FAQ
L1 サポート向け FPT CWPP (Cloud Workload Protection Platform) に関するよくある質問と回答。
1. Runtime agent
| # | 質問 | 回答 |
|---|---|---|
| 1.1 | Runtime agent とは何で、なぜインストールするのですか? | Runtime agent は、クラスターの各ノードにデプロイされる軽量な DaemonSet です。システムコール、ネットワーク接続、コンテナの動作を監視して脅威を検出し、Finding を生成します。agent を入れないと、クラスターは Inventory に表示されますが runtime finding は生成されません。 |
| 1.2 | agent の動作にはどのようなネットワークアクセスが必要ですか? | クラスターテーブル上部の network requirement banner に必要な接続が示されます。各ノードの agent は、指定された protocol・port・IP 範囲で FPT Security Platform への outbound アクセスが必要です。banner に表示された値のとおりに egress を許可してください。 |
| 1.3 | クラスターに agent をインストールするには? | status が No agent のクラスターで Install Agent をクリックし、Terms & Agreement を読み、"I have read and agree to the terms above." にチェックを入れ（チェックするまでボタンはロック）、Request installation をクリックします。agent は Installing に移り、ノードが enroll されると Agents active になります。 |
| 1.4 | agent をアンインストールするには? | Agents active のクラスターで Uninstall Agent をクリックし、uninstall（小文字、大文字小文字を区別）を入力して Confirm をクリックします。agent は Uninstalling に移り、ワークロードのスキャンを停止します。Installing または Uninstalling の間、クラスターに操作ボタンは表示されません。 |
| 1.5 | agent のステータスバッジは何を意味しますか? | No agent = 未インストール（操作: Install Agent）。Installing = インストール中（操作なし）。Agents active · X/X = すべてのノードが正常（操作: Uninstall Agent）。Agents active · X/Y（amber）= 一部の agent がダウン（操作: Uninstall Agent）。Uninstalling = 削除中（操作なし）。 |
| 1.6 | バッジが Agents active · X/Y の場合、どうすればよいですか? | これは partial 状態です。クラスターは保護されていますが、一部の agent ノードがダウンしています（Y 中 X がアクティブ）。警告アイコンにホバーすると "N agent(s) are down" と "Please contact FPT Support for assistance." が表示されます。ダウンした agent の復旧は FPT Support に連絡してください。 |
| 1.7 | インストールまたはアンインストールが失敗した場合は? | インストール失敗（バッジ No agent + 赤アイコン）: "Last installation attempt failed. Please wait 15 minutes, then click Install Agent to try again." アンインストール失敗（バッジ Agents active + 赤アイコン）: agent はまだ動作中です — Uninstall Agent をクリックして再試行してください。 |
2. K8s Asset Inventory
| # | 質問 | 回答 |
|---|---|---|
| 2.1 | K8s Asset Details には何が表示され、agent に依存しますか? | クラスター内のリソース（Resource · Type · Namespace · Node）を一覧表示し、Resource 名・Type・Node でフィルターできます。リソース一覧は KSPM / asset inventory から取得され、runtime agent に依存しません — agent が on、installing、uninstalling、off のいずれでも表示されます。 |
| 2.2 | 新しいクラスターにリソースが表示されないのはなぜですか? | 新しく接続したクラスターはまだ KSPM データがない場合があり、テーブルに "No records found" が表示されます。検索・フィルター条件が一致しない場合も同じメッセージが出ます。inventory データの同期を待つか、フィルターを確認してください。 |
| 2.3 | Namespace または Node 列の — は何を意味しますか? | Namespace = — はリソースが cluster-scoped（どの namespace にも属さない。例: 多くの CRD や Node）であることを示します。Node = — はリソースが特定のノードに紐付いていないことを示します。これは正常な表示であり、データエラーではありません。 |
3. Runtime Findings
| # | 質問 | 回答 |
|---|---|---|
| 3.1 | Finding とは何で、どこから来ますか? | Finding は監視中に検出された runtime のセキュリティシグナルです。各 Finding には Source badge があります: K8s Runtime（Kubernetes ノードの agent から）、K8s Audit（Kubernetes Audit ログから）、VM Runtime（VM の agent から）。現段階では実データは K8s Runtime から来ており、他はバッジを示すための mock data です。 |
| 3.2 | "observe mode only" とは何を意味しますか? | フィルターバー上部の固定バナーに "Findings currently support observe mode only. No actions can be taken from this screen." と表示されます。Findings 画面は観察・調査専用で、Finding の閲覧・フィルター・詳細表示はできますが、ここから対処アクションは実行できません。 |
| 3.3 | Severity バッジ C / H / M / L は何ですか? | 略記の Severity バッジです: C = Critical、H = High、M = Medium、L = Low。レベルごとに色分けされています。 |
| 3.4 | Finding の検索とフィルターはどうしますか? | Search は finding 名、entity、Event ID、Finding ID。Severity: Critical / High / Medium / Low。Time: Last 1h / 24h / 3d / 7d、デフォルト Last 24h。MITRE: technique でフィルター。条件は AND で結合し、リストは Time の降順で並びます。Refresh はフィルターを保持し 1 ページ目に戻って最新の Finding を再読み込みします。 |
| 3.5 | MITRE technique によるフィルターはどう動作しますか? | MITRE ドロップダウンは prefix match でフィルターします。ルートの technique ID を選ぶと、その sub-technique も含まれます（例: T1059 は T1059.001、T1059.004 などに一致）。テーブル内の MITRE ID はハイパーリンクで、参照先の MITRE ATT&CK ページを新しいタブで開きます。 |
4. Finding 詳細
| # | 質問 | 回答 |
|---|---|---|
| 4.1 | Finding の詳細はどこで開きますか? | Findings テーブルで finding 名（Finding 列のリンク）をクリックすると、右からスライドする詳細ドロワーが開きます。他のセルをクリックしてもドロワーは開きません。ドロワーは 4 セクション: Details、Known benign causes、Security Graph Context、Raw Event。 |
| 4.2 | Detection rule と finding タイトルの違いは何ですか? | Detection rule は Finding を発生させた一般的なルール名です（例: "Container escape attempt (namespace/root manipulation)"）。Finding title はそのルールの具体的なインスタンスです（例: "Container escape attempt via chroot"）。1 つのルールが複数の Finding を生成することがあります。データのないフィールドは — と表示されます。 |
| 4.3 | "Known benign causes"、"Security Graph Context"、"Raw Event" は何のためですか? | Known benign causes は、Finding が本当に危険かを判断できるよう、一般的な false-positive のシナリオを列挙します（デフォルトは折りたたみ — Expand をクリック。ルールにこの内容がある場合のみ表示）。Security Graph Context は近日公開（プレースホルダー "Security Graph enrichment coming soon..."）。Raw Event は元のイベントデータを JSON で表示します（デフォルトは折りたたみ — Expand JSON をクリック）。 |
5. アクセス権限
| # | 質問 | 回答 |
|---|---|---|
| 5.1 | runtime agent をインストール・アンインストールできるのは誰ですか? | CWPP Admin ロールのみです。Install Agent と Uninstall Agent ボタンは CWPP Member には非表示ですが、Member も K8s Asset List、K8s Asset Details、Runtime Findings は閲覧できます。 |
6. 一般的なエラー
| # | 症状 | 主な原因 | 対処方法 |
|---|---|---|---|
| 6.1 | "System is busy. Please try again later." | リストまたは詳細の読み込み時の一時的なバックエンドエラー | 数分後に再試行する |
| 6.2 | "No records found" | 一致するデータがない（cluster / resource / finding）、または検索・フィルターが一致しない | フィルター条件を確認する。inventory または findings の同期を待つ |
| 6.3 | "You don't have permissions to access" | CWPP へのアクセス権限がない | 組織管理者に連絡する。注: ページを開けても Install/Uninstall Agent ボタンが見えない場合は Member ロールであり、アクセスエラーではありません |