メインコンテンツまでスキップ

Runtime Findings

Runtime FindingsはKubernetesランタイムエージェントによって検出されたすべてのセキュリティシグナルをSeverityとMITRE ATT&CKテクニックで分類して表示します。各findingを検索、フィルタリング、詳細確認できます。

注記

Observe mode: このバージョンはobserve modeのみをサポートします。Findingsは監視のために表示されており、この画面からレスポンスアクションを実行することはできません。

前提条件​

  • 少なくとも1つのクラスターにランタイムエージェントがインストールされている必要があります。K8s Asset Inventoryを参照してください。

Finding一覧の確認​

  1. サイドバーでFindingsを選択します。

    Finding ListがLast 24hのtime rangeをデフォルトで適用した状態で読み込まれます。

Runtime Finding List — Observe-mode Banner、SeverityとSourceバッジを持つfindingsテーブル

  1. カラムを確認します。
カラム説明
SeveritySeverityバッジ: C 9.1（Critical）· H 7.8（High）· M 5.4（Medium）· L 3.2（Low）
Time検出タイムスタンプ（DD/MM/YYYY HH:mm）、新しい順
Source検出ソースバッジ: K8s Runtime · K8s Audit · VM Runtime
FindingFindingリンク — クリックするとFinding Detail drawerを開く
Entity影響を受けるリソース: 行1 = リソース名 + タイプタグ; 行2 = namespace（namespaced resourceの場合）
MITREMITRE ATT&CKテクニックIDリンク — クリックで新しいタブでMITREリファレンスを開く; ホバーで完全なテクニック名を表示
Event IDイベント識別子（monospace）
Finding ID一意のfinding ID — 32文字のhex文字列（monospace）

検索とフィルタリング​

フィルター説明
SearchFinding名、entity、Event ID、Finding IDで検索。リアルタイムフィルター。
Severityフィルター: Critical / High / Medium / Low
Time時間範囲: Last 1h / Last 24h（デフォルト）/ Last 3d / Last 7d
MITREMITREテクニックIDによるprefixマッチ — T1059を選択するとT1059.001、T1059.004なども含む

すべてのフィルターはANDロジックで組み合わされます。Refreshボタンをクリックすると現在のフィルターを保持しながら最新のfindingsを再読み込みします。

注記

Severity = CriticalとTime = Last 1hを組み合わせると、直近1時間の最も重大な脅威に集中できます。

Findingの詳細確認​

  1. Findingカラムのfinding名（太字リンク）をクリックします。

    Finding Detailドロワーが右からスライドインします。Finding Listは背後に表示されたままです。

Finding Detail Drawer — Details、Known Benign Causes、Security Graph Context、Raw Eventセクション

ヘッダーにはfindingタイトルと3つのバッジ（Source · Severity · MITREリンク）が表示されます。

  1. Detailsセクションを確認します。
フィールド説明
Time検出タイムスタンプ
Event IDイベント識別子（monospace）
Finding ID一意のfinding ID（monospace）
Detection rulefindingをトリガーしたルール名 — findingタイトルとは異なる
Clusterfindingが発生したクラスター
Nodeノード名
NamespaceNamespace。クラスタースコープのリソースには"—"を表示。
PodPod名。ノードレベルのfindingには"—"を表示。
Containerコンテナ名。ない場合は"—"を表示。
Imageregistry/image:tag形式のコンテナイメージ。ない場合は"—"を表示。
Processfindingをトリガーしたバイナリパス（monospace）。K8s Audit findingでは非表示。
Command引数付きのフルコマンドライン（monospace）。K8s Audit findingでは非表示。
Parent親プロセス（monospace）。K8s Audit findingでは非表示。
TacticMITRE ATT&CKタクティック（例: Privilege Escalation）
TechniqueMITREテクニックID + 名前（例: T1611 Escape to Host）
Context flagstrueの場合のみ表示されるリスクフラグ: Running as root · Full capability set · Dangerous capabilities: CAP_SYS_ADMIN · Shares host PID namespace · Touched sensitive path · Egress to public internet

  1. Known Benign Causesを展開します (オプション)。

    このセクションには検出ルールの一般的なfalse-positiveシナリオが記載されています。Expandで表示、Collapseで非表示にします。ルールにbenign causesが定義されていない場合、セクション自体が非表示になります。

  2. Security Graph Contextを確認します。

    プレースホルダー: "Security Graph enrichment coming soon — blast radius and lateral movement context will appear here once graph index is built."

  3. Raw Eventを展開します (オプション)。

    Expand JSONをクリックするとJSONフォーマットのraw eventデータを表示します。Collapse JSONで非表示にします。

  4. **×**をクリックするか、ドロワーの外側をクリックして閉じます。フィルターを保持したままFinding Listに戻ります。

よくある質問​

エージェントをインストールしたのにfindingsが表示されません。 インストール成功後、エージェントがデータの収集と送信を開始するまでに時間が必要です。30分後も表示されない場合は、Network Requirement Bannerのネットワークegressルールを確認し、FPT Supportにお問い合わせください。

Findings画面からプロセスをブロックまたは終了できますか？ バージョンv1.2.2はobserve modeのみをサポートしています — Findings画面からレスポンスアクションは実行できません。レスポンスアクションは今後のバージョンで追加される予定です。

「Agents active」バッジがX/Y（X < Y）と表示されています。 クラスター内の一部のノードでエージェントが稼働していません（エージェントダウン）。バッジの警告アイコンをホバーして影響を受けるノード数を確認してください。エージェントが自動回復しない場合はFPT Supportにお問い合わせください。

次のステップ​

  • K8s Assetsを管理する — クラスターのランタイムエージェントをインストールまたはアンインストールします。