Microsoft Defender for Cloudでは、マシン シークレットのスキャンなど、さまざまなシナリオでシークレットのスキャンが提供されます。
マシン シークレットスキャンは、マシンのセキュリティ体制を向上させるDefender for Cloudのエージェントレス スキャン機能の 1 つです。 エージェントレス スキャンでは、インストール済みのエージェントやネットワーク接続は必要なく、マシンのパフォーマンスにも影響を与えません。
- エージェントレス のマシン シークレットスキャンは、環境内で公開されているプレーンテキスト シークレットを迅速に検出、優先順位付け、修復するのに役立ちます。
- シークレットが検出された場合、結果は、セキュリティ チームがアクションに優先順位を付け、修復して横移動のリスクを最小限に抑えるのに役立ちます。
- サポートされているシークレットのマシンのスキャンは、サーバー プラン 2 のDefenderまたは Defender クラウド セキュリティ体制管理 (CSPM) プランが有効になっている場合に使用できます。
- マシン シークレットのスキャンでは、Defender for Cloudに接続Azure VM と AWS/GCP インスタンスをスキャンできます。
セキュリティ リスクの軽減
シークレット スキャンは、次の方法でリスクを軽減するのに役立ちます。
- 不要なシークレットを排除する。
- 最小特権の原則を適用する。
- Azure Key Vaultなどのシークレット管理システムを使用してシークレットのセキュリティを強化する。
- たとえば、Azure Storage の接続文字列を、より短い有効期間を持つ SAS トークンで置き換えるなど、有効期間の短いシークレットを使用します。
マシン シークレット スキャンの仕組み
VM のシークレット スキャンはエージェントレスであり、クラウド API を使用します。 その仕組みを次に示します。
- シークレット スキャンでは、VM のパフォーマンスに影響を与えることなく、ディスク スナップショットを取得して分析します。
- Microsoft シークレット スキャン エンジンは、ディスクからシークレット メタデータを収集した後、データをDefender for Cloudに送信します。
- シークレット スキャン エンジンは、SSH 秘密キーを使用してネットワーク内を横方向に移動できるかどうかを確認します。
- 正常に検証されない SSH キーは、[Defender for Cloud推奨事項] ページで未確認として分類されます。
- テスト関連のコンテンツを含むディレクトリは、スキャンから除外されます。
マシン シークレットに関する推奨事項
次のマシン シークレットのセキュリティに関する推奨事項を使用できます。
- Azure リソース: マシンのシークレットに関する検出結果を解決する必要がある
- AWS リソース: EC2 インスタンスでは、シークレットの検出結果が解決されている必要があります
- GCP リソース: VM インスタンスにあるシークレット検出結果は解消されている必要がある
マシンのシークレットの攻撃経路
次の表は、サポートされている攻撃パスをまとめたものです。
| VM | 攻撃パス |
|---|---|
| Azure | 公開されている脆弱な VM には、VM に対する認証に使用される安全でない SSH 秘密キーがあります。 公開された脆弱な VM には、ストレージ アカウントに対する認証に使用される安全でないシークレットがあります。 脆弱な VM には、ストレージ アカウントに対する認証に使用される安全でないシークレットがあります。 公開された脆弱な VM には、SQL サーバーに対する認証に使用される安全でないシークレットがあります。 |
| AWS | 公開されている脆弱な EC2 インスタンスには、EC2 インスタンスに対する認証に使用される安全でない SSH 秘密キーがあります。 公開された脆弱な EC2 インスタンスには、ストレージ アカウントに対する認証に使用される安全でないシークレットがあります。 公開された脆弱な EC2 インスタンスには、AWS RDS サーバーに対する認証に使用される安全でないシークレットがあります。 脆弱な EC2 インスタンスには、AWS RDS サーバーに対する認証に使用される安全でないシークレットがあります。 |
| GCP | 公開されている脆弱な GCP VM インスタンスには、GCP VM インスタンスに対する認証に使用される安全でない SSH 秘密キーがあります。 |
定義済みのクラウド セキュリティ エクスプローラーのクエリ
Defender for Cloudでは、シークレットのセキュリティの問題を調査するための次の定義済みクエリが提供されます。
- 別の VM に対して認証できるプレーンテキスト シークレットを持つ VM - 他の VM または EC2 にアクセスできるプレーンテキスト シークレットを持つすべての Azure VM、AWS EC2 インスタンス、または GCP VM インスタンスを返します。
- ストレージ アカウントに対して認証できるプレーンテキスト シークレットを持つ VM - ストレージ アカウントにアクセスできるプレーンテキスト シークレットを持つすべての Azure VM、AWS EC2 インスタンス、または GCP VM インスタンスを返します
- SQL データベースに対して認証できるプレーンテキスト シークレットを持つ VM - SQL データベースにアクセスできるプレーンテキスト シークレットを持つすべてのAzure VM、AWS EC2 インスタンス、または GCP VM インスタンスを返します。
マシン シークレットの調査と修復
複数の方法を使用して、Defender for Cloud内のマシン シークレットの結果を調査できます。 すべてのシークレットですべてのメソッドを使用できるわけではありません。 さまざまな種類のシークレットについて、サポートされているメソッドを確認します。