Microsoft Defender for Cloudは、クラウド デプロイのエージェントレス シークレット スキャンを提供します。
クラウドデプロイとは
クラウドデプロイとは、Azureや AWS などのクラウド プロバイダーに大規模なリソースをデプロイして管理し、Azure Resource Manager テンプレートや AWS CloudFormation スタックなどのツールを使用するプロセスを指します。 言い換えると、クラウド デプロイは、コードとしてのインフラストラクチャ (IaC) テンプレートのインスタンスです。
各クラウド プロバイダーは API クエリを公開し、クラウド デプロイ リソースの API に対してクエリを実行するときは、通常、デプロイ テンプレート、パラメーター、出力、タグなどのデプロイ メタデータを取得します。
ソフトウェア開発からランタイムまでのセキュリティ
従来のシークレット スキャン ソリューションでは、多くの場合、コード リポジトリ、コード パイプライン、または VM とコンテナー内のファイル内の誤ったシークレットが検出されます。 クラウド デプロイ リソースは見過ごされがちであり、データベース、Blob Storage、GitHub リポジトリ、Azure OpenAI サービスなどの重要な資産へのアクセスにつながる可能性がある平文のシークレットが含まれている場合があります。 これらのシークレットを使用すると、攻撃者はクラウド環境内の隠れた攻撃面を悪用できます。
クラウド デプロイ シークレットをスキャンすると、セキュリティ層が追加され、次のようなシナリオに対処できます。
- セキュリティカバレッジの強化: Defender for Cloudでは、Defender for Cloudの DevOps セキュリティ機能によって、ソース管理管理プラットフォーム内で公開されているシークレットを識別できます。 ただし、開発者のワークステーションから手動でトリガーされたクラウドデプロイは、見過ごされる可能性のあるシークレットが公開される可能性があります。 さらに、一部のシークレットは、デプロイの出力で明らかにされたり、Azure Key Vaultから解決されたりする場合など、デプロイの実行時にのみ表示される場合があります。 クラウドデプロイシークレットのスキャンは、このギャップを埋めます。
-
横移動の防止: デプロイ リソース内で公開されているシークレットを検出すると、不正アクセスの重大なリスクが発生します。
- 脅威アクターはこれらの脆弱性を悪用して環境全体を横断し、最終的に重要なサービスを侵害する可能性があります
- クラウドデプロイシークレットスキャンで攻撃パス分析を使用すると、機密データ侵害につながる可能性のあるAzure展開に関連する攻撃パスが自動的に検出されます。
-
リソース検出: 正しく構成されていないデプロイ リソースの影響が広範囲に及ぶ可能性があります。その結果、新しいリソースが拡大する攻撃対象領域で作成される可能性があります。
- リソース コントロール プレーン データ内のシークレットを検出してセキュリティで保護すると、潜在的な侵害を防ぐのに役立ちます。
- リソースの作成時に公開されたシークレットに対処するのは困難な場合があります。
- クラウド デプロイ シークレットのスキャンは、これらの脆弱性を早期に特定して軽減するのに役立ちます。
スキャンを使用すると、クラウド デプロイのプレーンテキスト シークレットをすばやく検出できます。 シークレットが検出された場合Defender for Cloud、セキュリティ チームがアクションに優先順位を付け、修復して横移動のリスクを最小限に抑えるのに役立ちます。
クラウド デプロイ シークレットのスキャンのしくみ
スキャンを使用すると、クラウド デプロイのプレーンテキスト シークレットをすばやく検出できます。 クラウド デプロイ リソースのシークレット スキャンはエージェントレスであり、クラウド コントロール プレーン API を使用します。
Microsoft シークレット スキャン エンジンは、SSH 秘密キーを使用してネットワーク内を横方向に移動できるかどうかを確認します。
- 正常に検証されない SSH キーは、[Defender for Cloud推奨事項] ページで未確認として分類されます。
- テスト関連のコンテンツを含んでいると認識されるディレクトリは、スキャンから除外されます。
サポートされている機能
クラウド デプロイ リソースをスキャンすると、プレーンテキスト シークレットが検出されます。 スキャンは、Defender Cloud Security Posture Management (CSPM) プランを使用している場合に使用できます。 Azureと AWS クラウドのデプロイがサポートされています。 Defender for Cloudが検出できるシークレットの一覧を確認します。
シークレットの問題を識別して修復するにはどうすればよいですか?
さまざまな方法があります。
- 資産インベントリのシークレットを確認する: インベントリには、Defender for Cloudに接続されているリソースのセキュリティ状態が表示されます。 インベントリでは、特定のマシンで検出されたシークレットを表示できます。
- シークレットの推奨事項を確認する: 資産でシークレットが見つかると、[Defender for Cloudの推奨事項] ページの [脆弱性の修復] セキュリティコントロールの下で推奨事項がトリガーされます。
セキュリティに関する推奨事項
次のクラウド デプロイ シークレットのセキュリティに関する推奨事項を利用できます。
- Azure リソース: Azure Resource Manager のデプロイでは、シークレットに関する検出結果を解決する必要があります。
- AWS リソース: AWS CloudFormation スタックでは、シークレットに関する検出結果が解消されている必要があります。
攻撃経路シナリオ
攻撃パス分析は、クラウド セキュリティ グラフをスキャンして、攻撃者が影響の大きい資産に到達するために使用する可能性のある悪用可能なパスを公開するグラフ ベースのアルゴリズムです。
定義済みのクラウド セキュリティ エクスプローラーのクエリ
クラウド セキュリティ エクスプローラーを使用すると、クラウド環境内の潜在的なセキュリティ リスクを事前に特定できます。 これは、クラウド セキュリティ グラフに対してクエリを実行することで行われます。 クラウド デプロイ リソースの種類と検索するシークレットの種類を選択して、クエリを作成します。