Trend Vision One File Security Storageの挙動が少しだけ変わりました
2025.06.12こんにちは、シマです。
皆さんは「Trend Vision One File Security Storage（以下、V1FSS）」を使っていますか？
V1FSSは、「Trend Cloud One File Storage Security」の後継製品で、S3バケットに保存されたファイルをスキャンし、マルウェアを検出する機能を提供します。
今回は、2025年6月2日に公開された新機能「CloudFormationテンプレートのEventBridge同期」に関するアップデートをご紹介します。このアップデートにより、CloudFormationテンプレートを使ってV1FSSをデプロイする際、S3バケットのスキャン設定をより柔軟に制御できるようになりました。
従来の仕様と今回の変更点を整理しながら、新機能の詳細を見ていきましょう。
従来バージョンの挙動
V1FSSのバージョン1.2.0未満では、S3バケットをスキャン対象とするかどうかは、バケットに設定されたEventBridgeイベントに依存していました。そのため、CloudFormationテンプレートを使ってV1FSSを初めてデプロイすると、EventBridgeが有効なすべてのS3バケットが自動的にスキャン対象として登録されていました。
この仕様では、意図しないバケットまでスキャン対象になってしまうなど、柔軟な設定が難しいという課題がありました。
新バージョン（1.2.0以降）の改善点
今回のアップデートにより、CloudFormationテンプレートでV1FSSをデプロイする際に、EventBridgeが有効なバケットをスキャン対象にするかどうかを、デフォルトで「オン」または「オフ」に設定できるようになりました。さらに、V1FSSはAWSアカウント内に「構成バケット」を自動的に作成し、スキャン対象のバケット情報をこのバケット内に保存するようになりました。この構成バケットの導入により、スキャン設定の有効・無効をEventBridgeの設定とは独立して管理できるようになり、より柔軟な運用が可能になりました。
デプロイ時の注意点
既存のV1FSSスタックをアップグレードする場合、構成バケットに保存された設定情報により、従来のスキャン対象バケットの設定がそのまま引き継がれます。一方、既存のスタックを削除して新たにデプロイし直す場合は、構成バケットも削除されるため、スキャン対象のバケット情報は失われ、再設定が必要になります。
確認してみた
V1FSSバージョンの確認
CloudFormationの対象スタックの「出力」セクションから、「TemplateVersion」を確認できます。
私の環境では「2.2.1」と表示されており、今回のアップデートが反映されていることが確認できました。
バージョンが「1.2.0」未満の方は、以下の記事を参考にスタックのアップデートを行うことで、バージョンアップが可能です。
テンプレート展開時の新しい設定項目
今回のアップデートにより、CloudFormationテンプレートのパラメータに「FileSecurityStorageSyncBucketsEventBridge」という新しい項目が追加されました。
このパラメータを「false」に設定すると、EventBridgeが有効であってもスキャンは「オフ」として構成されます。一方、「true」に設定すると、EventBridgeが有効なバケットはスキャン「オン」の状態で構成されます。
既存の仕様と同じ動作をさせたい場合（例：システム変更による影響を避けたい場合）は「true」に設定するのも1つの選択肢です。ただし、新規構築など通常のケースでは、デフォルト値の「false」で問題ないでしょう。
S3構成バケット
V1FSSでは、スキャンの有効・無効状態を管理するために、「vision-one-fss-config-xxxxxxxxxxxx（AWSアカウントID）」という名前の構成バケットが自動的に作成されます。
このバケット内には「v1-file-security-storage-filter.config」という設定ファイルが保存されており、スキャン対象となっているS3バケットの情報がリージョンごとに記載されています。
例えば以下のようなスキャン設定状態では設定ファイルの中身は下記のようになっているということです。
{"ap-northeast-1":["shimatest-20250612-01"]}
まとめ
今回のアップデートにより、V1FSSのスキャン設定がより柔軟になり、意図しないスキャンの実行を防げるようになりました。また、構成バケットの導入により、EventBridgeの設定とスキャン設定が切り離され、より分かりやすく管理できるようになったのも良いですね。
本記事がどなたかのお役に立てれば幸いです。
