この記事では、攻撃パス、Cloud Security Explorer、およびMicrosoft Defender for Cloudの関連アラートで機密データのリスクを調査する方法について説明します。 機密データを含む露出したリソースの特定方法、セキュリティアラートの優先順位付け、データ所有者と共有するためのエクスポート方法を学びます。
機密データのリスクを調べて確認する
Microsoft Defender for Cloudでは、機密データを使用してリソースを<>検出した後、機密データのリスクを調べる方法がいくつか用意されています>
- 攻撃パス: Defender Cloud Security Posture Management (CSPM) プランで機密データ検出が有効になっている場合は、攻撃パスを使用してデータ侵害のリスクを検出できます。 詳細については、「Defender CSPM でのデータ セキュリティ態勢管理」を参照してください。
- セキュリティ エクスプローラー: Defender CSPM プランで機密データの検出が有効になっている場合は、Cloud Security Explorer を使用して機密データの分析情報を検索できます。 詳細については、「Defender CSPM でのデータ セキュリティ態勢管理」を参照してください。
- セキュリティ アラート: Defender for Storage プランで機密データ検出が有効になっている場合は、セキュリティ アラート設定で秘密度フィルターを適用することで、機密データ ストアに対する継続的な脅威に優先順位を付け、調査できます。
攻撃パスを使用してリスクを調べる
次のように、定義済みの攻撃パスを表示してデータ侵害リスクを検出し、修復の推奨事項を取得します。
Defender for Cloud で、 攻撃パス分析を開きます。
リスク要因でフィルター処理し、[機密データ] を選択して、データ関連の攻撃パスをフィルター処理します。
データ攻撃パスを確認します。
データ リソースで検出された機密情報を表示するには、リソース名 >Insights を選択します。 次に、[ 機密データを含む ] 分析情報を展開します。
リスク軽減の手順については、 アクティブな推奨事項を開きます。
機密データの攻撃パスのその他の例を次に示します。
- "機密データを含むインターネットで公開された Azure Storage コンテナーにパブリックにアクセスできる"
- "過剰なインターネット露出と機密データを使用したマネージド データベースでは、基本 (ローカル ユーザー/パスワード) 認証が可能です"
- "VM には重大度の高い脆弱性があり、機密データを含むデータ ストアに対する読み取りアクセス許可があります"
- "機密データを含むインターネットで公開された AWS S3 バケットはパブリックにアクセス可能です"
- "インターネットにデータをレプリケートするプライベート AWS S3 バケットが公開され、パブリックにアクセス可能"
- "RDS スナップショットはすべての AWS アカウントで一般公開されています"
Cloud Security Explorer を使用してリスクを調べる
クエリ テンプレートを使用するか、手動クエリを定義して、クラウド セキュリティ グラフの分析情報のデータ リスクと露出を調べる。
Defender for Cloud で、 Cloud Security Explorer を開きます。
独自のクエリを作成することも、機密データ クエリ テンプレートのいずれかを選択 >クエリを開き、必要に応じて変更することもできます。 次に例を示します。
クエリ テンプレートを使用する
独自のクエリを作成する代わりに、定義済みのクエリ テンプレートを使用できます。 いくつかの機密データ クエリ テンプレートを使用できます。 例えば次が挙げられます。
- パブリック アクセスを許可する機密データを含むインターネット公開ストレージ コンテナー。
- 機密データを含み、パブリックアクセスを許可しているインターネット公開の S3 バケット
定義済みのクエリを開くと、自動的に設定され、必要に応じて調整できます。 たとえば、"パブリック アクセスを許可する機密データを含むインターネット公開ストレージ コンテナー" の事前設定されたフィールドを次に示します。
機密データセキュリティアラートを調べる
Defender for Storage プランで機密データ検出が有効になっている場合は、機密データを含むリソースに影響を与えるアラートに優先順位を付けて重点を置くことができます。 詳細については、Defender for Storage のデータ セキュリティ アラートを監視するを参照してください。
プラットフォーム・アズ・ア・サービス(PaaS)データベースやAmazon S3バケットについては、結果がAzure Resource Graph(ARG)に報告されます。 Defender for Cloudのインベントリ、アラート、推奨の各ブレードで、センシティブラベルや機密情報タイプで絞り込みやソートが可能です。
結果をエクスポートする
攻撃パスまたはセキュリティ エクスプローラーで機密データの結果を確認するセキュリティ管理者は、データ ストアに直接アクセスできないのが一般的です。 そのため、データ所有者と結果を共有し、さらに調査を行う必要があります。
データ所有者と調査結果を共有するには、「機密データのインサイトを含む」内のエクスポートをご利用ください。
生成される CSV ファイルには、次のものが含まれます。
- サンプル名 – リソースの種類に応じて、データベース列、ファイル名、またはコンテナー名を指定できます。
- 秘密度ラベル – このリソース内で見つかった最も高いランク付けラベル (すべての行に対して同じ値)。
- 次に含まれる – サンプルの完全パス (ファイル パスまたは列の完全名)。
- 機密情報の種類 – サンプルごとに検出された情報の種類。 複数の情報の種類が検出された場合は、情報の種類ごとに新しい行が追加されます。 これは、より簡単なフィルター処理エクスペリエンスを可能にするためです。
注
Cloud Security Explorer ページで CSV レポートをダウンロードすると、クエリによって取得されたすべての分析情報が生形式 (json) でエクスポートされます。
次のステップ
- 攻撃パスの詳細を確認します。
- Cloud Security Explorer の詳細を確認します。