セキュリティデータ構造（NRQLリファレンス）

Security RX は、脆弱性と構成ミスのデータを New Relic のデータベース (NRDB) に保存し、NRQL を使用してクエリできるようにします。このリファレンスガイドでは、カスタムクエリ、ダッシュボード、アラートの構築に使用できるエンティティタイプ、属性、およびデータ構造について説明します。

エンティティとイベントの種類

Security RX は、セキュリティデータを保存するために次のエンティティおよびイベントタイプを使用します。

SecurityFindingエンティティ（推奨）

SECURITY_FINDINGは、Security RX によって検出されたすべてのセキュリティ問題の汎用コンテナとして機能する特殊なエンティティタイプです。これは、New Relic でセキュリティデータをクエリするための推奨される方法です。

重要: SecurityFinding は、従来のイベントではなく、エンティティタイプとしてクエリされます。

FROM Entity
SELECT * WHERE type = 'SECURITY_FINDING'

findingTypeの理解

findingType属性は、データソースを区別するためのキーフィールドです。

findingType = 'VULNERABILITY' : APMエージェント、インフラストラクチャーエージェント、サードパーティスキャナー（ Snyk 、Trivy、FOSSA）などの情報源からの脆弱性の発見を示します。
findingType = 'MISCONFIGURATION' : Security RX Cloud (AWS Security Hub、GuardDuty、Config など) からのcloudセキュリティポスチャ管理 (CSPM) の検出結果を示します。

その他の findingType 値には、 LIBRARY_VULNERABILITY 、 INFRASTRUCTURE_VULNERABILITY 、 APPLICATION_VULNERABILITY 、 SYSTEM_VULNERABILITY 、 SECURITY_EVENT 、 OTHERなどがあります。

コアエンティティフィールド

属性	タイプ	説明	例
`id`	弦	この SecurityFinding のグローバルに一意の識別子 (ターゲット固有の CVE および影響を受けるエンティティ)	「ABC123…」
`type`	弦	エンティティタイプ - 常に「SECURITY_FINDING」	「SECURITY_FINDING」
`name`	弦	脆弱性または構成ミスのタイトル	「CVE-2024-12345: ライブラリ名内の SQL インジェクション」
`scope.id`	弦	この検出が検出されたアカウントID	「1234567」
`scope.type`	弦	スコープタイプ - 通常は「ACCOUNT」	"ACCOUNT"
`metadata.createdAt`	タイムスタンプ	このエンティティが作成された時期	Unix タイムスタンプ
`metadata.updatedAt`	タイムスタンプ	このエンティティが最後に更新された日時	Unix タイムスタンプ
`tags`	配列	エンティティに適用可能なタグのリスト（通常、SecurityFinding の場合は空）	[]

分類分野

属性	タイプ	説明	例
`vulnerabilityIdentifier`	弦	「SecurityFindings」を集約するための識別子（通常はCVE ID）	「CVE-2024-12345」
`findingType`	弦	最上位レベルの検出結果の種類	"VULNERABILITY", "MISCONFIGURATION"
`findingSubType`	弦	サブタイプ（APM 脆弱性の場合は言語、インフラストラクチャの場合は INFRA_OS_VULNERABILITY または INFRA_PACKAGE_VULNERABILITY）	"java", "INFRA_PACKAGE_VULNERABILITY"
`source`	弦	発見の出典	「New Relic」、「Snyk」、「AWS セキュリティハブ」

ステータスと重大度フィールド

属性	タイプ	説明	価値観
`severity`	弦	報告された所見の重症度	"CRITICAL", "HIGH", "MEDIUM", "LOW", "UNKNOWN", "INFO"
`status`	弦	調査結果の現状	"AFFECTED", "IGNORED", "NO_LONGER_DETECTED", "UNKNOWN"
`remediation.remediationExists`	ブール値	改善策が存在するかどうか	true, false
`remediation.upgradeAction`	弦	Security RXの推奨アップグレード	「バージョン2.17.1にアップグレード」
`remediation.remediationDetails`	弦	ソースからの簡単な修復テキスト	「ライブラリをパッチ適用バージョンに更新する」
`remediation.url`	弦	ソースからのドキュメントURL	「 https://example.com/security-advisory 」

CVE参照フィールド

脆弱性の検出については、 cveオブジェクトに詳細な CVE 情報が含まれます。

属性	タイプ	説明
`cve.id`	弦	CVE識別子
`cve.description`	弦	CVEの説明
`cve.cvssScore`	数	CVSSスコア
`cve.cvssVector`	弦	CVSSベクトル文字列
`cve.epssScore`	数	EPSSエクスプロイト確率スコア
`cve.epssPercentile`	数	EPSSパーセンタイルランキング
`cve.exploitKnown`	ブール値	既知の脆弱性が存在するかどうか
`cve.disclosureUrl`	弦	CVEが公開されたURL
`cve.disclosedAt`	タイムスタンプ	CVEが公開されたとき

誤った設定フィールド（クラウドの検出結果）

構成ミスの検出結果については、 misconfigurationオブジェクトにクラウド固有の情報が含まれます。

属性	タイプ	説明
`misconfiguration.cloudProvider`	弦	クラウドプロバイダー
`misconfiguration.issueTitle`	弦	誤った設定のタイトル
`misconfiguration.misconfigurationType`	弦	ソースからの生の検出タイプ
`misconfiguration.normalizedResourceType`	弦	簡略化されたリソースタイプ（例：「S3」、「EC2」、「RDS」）

影響を受けるエンティティフィールド

impactedEntityオブジェクトは、影響を受ける New Relic エンティティを識別します。

属性	タイプ	説明
`impactedEntity.id`	弦	エンティティGUID
`impactedEntity.name`	弦	エンティティ名
`impactedEntity.type`	弦	エンティティタイプ (APM-APPLICATION, INFRA-HOST など)
`impactedEntity.scope.id`	弦	アカウントID
`impactedEntity.scope.type`	弦	スコープタイプ

タイムスタンプフィールド

属性	タイプ	説明
`firstDetected`	タイムスタンプ	発見が最初に発見されたとき
`findingUpdatedAt`	タイムスタンプ	調査結果が最後に更新された日時
`lastSeen`	タイムスタンプ	発見が最後にアクティブであったことがわかった時期

UIと内部フィールド

属性	タイプ	説明
`vulnerabilityUILinks.detailsUrl`	弦	Security RX UI の詳細ページへのリンク
`vulnerabilityUILinks.tabUrl`	弦	Security RX UI のエンティティビューへのリンク
`internalState.status`	弦	内部ステータスフィールド
`internalState.active`	ブール値	内部アクティブフラグ (cloudで使用)
`entityLookupValue`	弦	内部フィールド（本番環境では非表示になります）
`issueInstanceKey`	弦	内部フィールド（本番環境では非表示になります）
`additionalInfo`	オブジェクトの配列	キーの値ペアを含む追加のメタデータ (cloudアカウント ID などに使用)

ヒント

「内部」としてマークされたフィールドは現在 NRDB に表示されますが、最終リリース時には非表示になる可能性があります。 internalState.activeフィールドは、アクティブな検出結果をフィルター処理するために、 cloud誤った構成のクエリでよく使用されます。

脆弱性のクエリ例

エンティティごとにアクティブな重大な脆弱性をカウントします。

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
  AND severity = 'CRITICAL'
FACET impactedEntity.name

特定の CVE の影響を受けるエンティティを検索します。

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
  AND cve.id = 'CVE-2024-23944'
FACET impactedEntity.name

アクティブなランサムウェアキャンペーンの CVE を検索します。

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND cve.exploitKnown IS true
FACET impactedEntity.name, cve.id

悪用される可能性のある脆弱性を見つける（EPSS スコアが高い）:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND cve.epssPercentile > '0.95'
FACET cve.id

調査結果の報告元を探す:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
FACET source

脆弱性閾値が高いエンティティ:

SELECT impactedEntity
FROM (
  SELECT count(*) AS vulnerableCount
  FROM Entity
  WHERE type = 'SECURITY_FINDING'
    AND severity IN ('CRITICAL', 'HIGH')
  FACET impactedEntity.name AS impactedEntity, severity
)
WHERE (severity = 'HIGH' AND vulnerableCount > 10)
   OR (severity = 'CRITICAL' AND vulnerableCount > 5)

cloudの構成ミスの例

ステータス別に固有の誤った構成をカウントします。

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
FACET status

最も一般的な構成ミスの上位 10 種類:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
FACET misconfiguration.issueTitle
LIMIT 10

最もリスクの高い AWS アカウントを見つける:

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
  AND severity IN ('CRITICAL', 'HIGH')
FACET aparse(additionalInfo, '%"key":"cloudProviderAccountId","values":["*"]%') AS 'AWS Account ID'
LIMIT 10

リソースタイプ別に誤った構成をカウントします。

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
FACET misconfiguration.normalizedResourceType

重要な公開リソースを見つけます:

FROM Entity
SELECT name, impactedEntity.name, misconfiguration.misconfigurationType
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
  AND severity = 'CRITICAL'
  AND misconfiguration.misconfigurationType LIKE 'Effects/Data Exposure'
SINCE 1 day ago

NrAiIncident（レガシー）

脆弱性の発見とその現在のステータスを保存するレガシーイベントタイプ。このイベントタイプは下位互換性のために引き続きサポートされていますが、新しいクエリにはSecurityFindingを使用することをお勧めします。

主な用途：エンティティに影響を与える書き込み脆弱性

主な属性:

属性	タイプ	説明	例
`title`	弦	脆弱性のタイトル	「CVE-2024-12345: ライブラリ名内の SQL インジェクション」
`priority`	弦	計算された優先順位	"CRITICAL", "HIGH", "MEDIUM", "LOW"
`state`	弦	現在の脆弱性の状態	"OPEN", "CLOSED"
`acknowledged`	ブール値	脆弱性が検討されているかどうか	`true`, `false`
`conditionName`	弦	検出源/条件	「 Security RX - 脆弱性検知」
`entity.guid`	弦	脆弱性の影響を受けるエンティティ GUID	「ABC123…」
`entity.name`	弦	エンティティ名	"my-application"
`entityType`	弦	影響を受けるエンティティの種類	"APPLICATION", "HOST"

クエリの例：

FROM NrAiIncident
SELECT count(*)
WHERE conditionName LIKE '%Security RX%'
FACET priority, state

脆弱性（カスタムイベント）

CVE 情報、重大度スコア、修復ガイダンスなどの詳細な脆弱性メタデータを保存します。

主な用途:脆弱性の詳細とメタデータの詳細な調査

主な属性:

属性	タイプ	説明	例
`cveId`	弦	CVE識別子	「CVE-2024-12345」
`severity`	弦	CVSSベースの重大度	"CRITICAL", "HIGH", "MEDIUM", "LOW"
`cvssScore`	数	CVSS数値スコア	9.8
`epssScore`	数	EPSSの悪用確率	0.95
`epssPercentile`	数	EPSSパーセンタイルランキング	98.5
`activeRansomware`	ブール値	既知のランサムウェアキャンペーンで使用	`true`, `false`
`affectedPackage`	弦	脆弱なライブラリ/パッケージ名	「log4j-core」
`affectedVersion`	弦	脆弱なパッケージのバージョン	「2.14.0」
`fixedVersion`	弦	修正版	「2.17.1」
`entityGuid`	弦	影響を受けるエンティティのGUID	「ABC123…」
`source`	弦	検出源	"APM_AGENT", "SNYK", "AWS_SECURITY_HUB"

クエリの例：

FROM Vulnerability
SELECT count(*)
WHERE severity = 'CRITICAL'
AND activeRansomware = true
FACET affectedPackage

NrAiIncidentTimeline

脆弱性のステータスの変更とライフサイクルイベントを追跡します。

主な用途:脆弱性のステータス履歴を監査し、修復の進捗状況を追跡する

主な属性:

属性	タイプ	説明	例
`incidentId`	弦	関連インシデント/脆弱性ID	「INC-123」
`timestamp`	タイムスタンプ	ステータスが変更されたとき	Unix タイムスタンプ
`event`	弦	変更の種類	"STATUS_CHANGED", "DETECTED", "RESOLVED"
`previousState`	弦	変更前の状態	"AFFECTED"
`newState`	弦	変更後の状態	"IGNORED"
`changedBy`	弦	変更を行ったユーザー	「 user@example.com 」
`reason`	弦	ステータス変更の理由	「誤検知 - 脆弱なコードパスを使用していない」

クエリの例：

FROM NrAiIncidentTimeline
SELECT timestamp, event, previousState, newState, changedBy
WHERE event = 'STATUS_CHANGED'
SINCE 7 days ago

イベントタイプに共通する属性

これらの属性は複数のイベントタイプにわたって表示されます。

エンティティ識別

属性	説明
`entity.guid`	影響を受けるエンティティの一意の識別子
`entity.name`	人間が読めるエンティティ名
`entity.type`	エンティティタイプ（APPLICATION, HOST, SERVICE）
`accountId`	New RelicアカウントID

タイムスタンプ

属性	説明
`timestamp`	イベントが発生したとき
`detectedAt`	脆弱性が最初に検出されたとき
`updatedAt`	最終更新タイムスタンプ
`resolvedAt`	脆弱性が解決されたとマークされたとき

ソース追跡

属性	説明
`source`	データソース (APM_AGENT, INFRASTRUCTURE, SNYK, など)
`sourceId`	ソースシステムからの固有ID
`integrationName`	データを提供したインテグレーション

データ関係

データ型が互いにどのように関連しているかを理解する:

現代的なアプローチ（推奨）

SecurityFinding Entity (type = 'SECURITY_FINDING')
    ↓ contains
    ├─ findingType (VULNERABILITY or MISCONFIGURATION)
    ├─ cve (CVE details for vulnerabilities)
    ├─ misconfiguration (Cloud security details)
    └─ impactedEntity (Affected New Relic entity)

レガシーアプローチ（下位互換性）

Entity (Application/Host)
    ↓ has many
NrAiIncident (Active vulnerabilities)
    ↓ references
Vulnerability (CVE details)
    ↓ has many
NrAiIncidentTimeline (Status history)

クエリパターン

ヒント

推奨:新しい実装には、 SecurityFindingエンティティクエリ (上記の SecurityFinding セクションに表示) を使用します。以下のパターンはレガシーイベントタイプを使用しており、下位互換性のみを目的として提供されています。

レガシークエリパターン

これらのパターンでは、レガシーイベントタイプを使用します。

エンティティデータと脆弱性を結合する（レガシー）

FROM NrAiIncident
SELECT entity.name, count(*) as 'Vulnerability Count'
WHERE conditionName LIKE '%Security RX%'
AND state = 'OPEN'
FACET entity.name
SINCE 1 day ago

現代の同等語:

FROM Entity
SELECT impactedEntity.name, count(*) as 'Vulnerability Count'
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
FACET impactedEntity.name
SINCE 1 day ago

露出ウィンドウを計算する（レガシー）

FROM Vulnerability
SELECT entity.name,
       cveId,
       (max(timestamp) - min(timestamp)) / 86400 as 'Days Exposed'
WHERE severity IN ('CRITICAL', 'HIGH')
FACET entity.name, cveId
SINCE 30 days ago

現代の同等語:

FROM Entity
SELECT impactedEntity.name,
       cve.id,
       (max(findingUpdatedAt) - min(firstDetected)) / 86400 as 'Days Exposed'
WHERE type = 'SECURITY_FINDING'
  AND severity IN ('CRITICAL', 'HIGH')
FACET impactedEntity.name, cve.id
SINCE 30 days ago

修復速度を追跡する（レガシー）

FROM NrAiIncidentTimeline
SELECT count(*) as 'Vulnerabilities Resolved'
WHERE event = 'STATUS_CHANGED'
AND newState = 'CLOSED'
FACET weekOf(timestamp)
SINCE 90 days ago

重要

SecurityFinding エンティティを使用してステータスの変化を追跡するには、時間の経過に伴うstatusフィールドの変化を監視するか、 New Relicアラートを使用してステータスの変化が発生したときに通知を受け取ります。

属性の種類と形式

重大度値

CRITICAL - CVSS 9.0-10.0
HIGH     - CVSS 7.0-8.9
MEDIUM   - CVSS 4.0-6.9
LOW      - CVSS 0.1-3.9
INFO     - CVSS 0.0

州の価値

OPEN      - Vulnerability currently active
CLOSED    - Vulnerability resolved or fixed
AFFECTED  - Entity is confirmed affected
IGNORED   - Marked as not applicable
NO_LONGER_DETECTED - No longer seen in scans

ソース値

APM_AGENT            - Detected by New Relic APM agent
INFRASTRUCTURE       - Detected by Infrastructure agent
SNYK                 - Imported from Snyk
AWS_SECURITY_HUB     - Imported from AWS Security Hub
DEPENDABOT           - Imported from GitHub Dependabot
FOSSA                - Imported from FOSSA
TRIVY                - Imported from Trivy
SECURITY_DATA_API    - Sent via API

クエリのヒント

重大度によるフィルタリング（最新のアプローチ）

調査結果は重大度に基づいて優先順位が付けられます。

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND severity IN ('CRITICAL', 'HIGH')
  AND status = 'AFFECTED'
FACET impactedEntity.name

検索結果の種類で絞り込む

脆弱性と誤った構成を区別する:

-- Vulnerabilities only
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'VULNERABILITY'
FACET impactedEntity.type

-- Misconfigurations only
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
FACET misconfiguration.normalizedResourceType

エンティティタイプでフィルタリング

アプリケーションとインフラストラクチャの脆弱性を分離する:

-- Application vulnerabilities
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND impactedEntity.type LIKE '%APPLICATION%'
FACET impactedEntity.name

-- Infrastructure vulnerabilities
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND impactedEntity.type LIKE '%HOST%'
FACET impactedEntity.name

検出元でフィルタリング

特定の統合から得られた発見:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND source = 'Snyk'
FACET severity

時間ベースのフィルタリング

最近検出された結果を検索:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND firstDetected > ago(7 days)
FACET cve.id, severity

カスタムダッシュボードの構築

SecurityFinding エンティティを使用して、包括的なセキュリティダッシュボードを作成します。

エグゼクティブダッシュボード- すべての検出タイプにわたる高レベルのセキュリティメトリクス
```
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
FACET severity, findingType
```

脆弱性の傾向- 脆弱性の検出を長期的に追跡します

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'VULNERABILITY'
FACET weekOf(firstDetected)
SINCE 90 days ago

クラウドのセキュリティ体制- cloud構成ミスを監視する

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
FACET misconfiguration.cloudProvider, severity

エンティティセキュリティ体制- エンティティごとのセキュリティビュー

FROM Entity
SELECT count(*) AS 'Findings'
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
FACET impactedEntity.name, severity

その他のクエリ例については、「セキュリティデータクエリの例」を参照してください。

レガシーダッシュボードの取り組み

下位互換性を確保するために、レガシーイベントタイプ (NrAiIncident 、 Vulnerability 、 NrAiIncidentTimeline) を引き続き使用できますが、新しいダッシュボードについては SecurityFinding エンティティに移行することをお勧めします。

次は何ですか？

クエリの例

一般的なセキュリティシナリオですぐに使用できる NRQL クエリ

アラートの設定

脆弱性に関するNRQLベースのアラートを作成する

脆弱性ステータスの管理

脆弱性のステータスを変更し、修復を追跡する

この機械翻訳は、参考として提供されています。

セキュリティデータ構造（NRQLリファレンス）

エンティティとイベントの種類.css-21sua1{background:none;border:none;width:0;padding:0;}

SecurityFindingエンティティ（推奨）

findingTypeの理解

コアエンティティフィールド

分類分野

ステータスと重大度フィールド

CVE参照フィールド

誤った設定フィールド（クラウドの検出結果）

影響を受けるエンティティフィールド

タイムスタンプフィールド

UIと内部フィールド

ヒント

脆弱性のクエリ例

cloudの構成ミスの例

NrAiIncident（レガシー）

脆弱性（カスタムイベント）

NrAiIncidentTimeline

イベントタイプに共通する属性

エンティティ識別

タイムスタンプ

ソース追跡

データ関係

現代的なアプローチ（推奨）

レガシーアプローチ（下位互換性）

クエリパターン

ヒント

最新のクエリパターン

レガシークエリパターン

エンティティデータと脆弱性を結合する（レガシー）

露出ウィンドウを計算する（レガシー）

修復速度を追跡する（レガシー）

重要

属性の種類と形式

重大度値

州の価値

ソース値

クエリのヒント

重大度によるフィルタリング（最新のアプローチ）

検索結果の種類で絞り込む

エンティティタイプでフィルタリング

検出元でフィルタリング

時間ベースのフィルタリング

カスタムダッシュボードの構築

レガシーダッシュボードの取り組み

次は何ですか？

クエリの例

アラートの設定

脆弱性ステータスの管理

エンティティとイベントの種類