適用於雲端的 Microsoft Defender 可協助安全性小組將攻擊者利用安全性秘密的風險降到最低。
取得初始存取權之後，攻擊者會嘗試橫向跨網路移動、存取資源以惡意探索弱點並損壞重要信息系統。橫向移動通常牽涉到認證威脅，這些威脅通常會利用敏感數據，例如公開的認證和秘密，例如密碼、密鑰、令牌和 連接字串，以取得其他資產的存取權。
在檔案、VM 磁碟或容器的多重雲端部署中，通常會發現秘密。 揭露的秘密發生有許多原因：
- 缺乏意識：組織可能不知道秘密暴露的風險和後果。
- 缺乏原則：在程式代碼和組態檔中處理和保護秘密時，可能沒有明確的公司原則。
- 缺少探索工具：工具可能無法偵測和補救秘密洩漏。
- 複雜度和速度：可能包含多個雲端平臺、開放原始碼軟體和第三方程式代碼的複雜環境。 開發人員可能會使用秘密來存取及整合資源和服務，並將秘密儲存在原始程式碼存放庫中，以方便和重複使用。 這可能會導致在公用或私人存放庫中，或在資料傳輸或處理期間意外公開秘密。
- 安全性與可用性之間的取捨：組織可能會讓雲端環境中公開的秘密以方便使用，以避免加密和解密待用和傳輸中的數據的複雜性和延遲。 這可能會危害資料和認證的安全性和隱私權。
掃描類型和計劃
適用於雲端的 Defender 提供不同類型的祕密掃描。
| 掃描類型 | 詳細資料 | 規劃支援 |
|---|---|---|
| 機器掃描 | 在多雲端虛擬機上進行無代理密鑰掃描。 | 適用於雲端的 Defender 安全性狀態管理 （CSPM） 方案，或適用於伺服器的 Defender 方案 2。 |
| 雲端部署資源掃描 | 在多雲基礎結構即代碼部署資源中進行無代理密鑰掃描。 | Defender CSPM 方案。 |
| 程式代碼存放庫掃描 | 掃描以探索 Azure DevOps 中公開的秘密。 | Defender CSPM 方案。 |
掃描許可權
若要使用秘密掃描，需要下列許可權：
安全性閱讀器
安全性系統管理員
Reader
Contributor
- Owner
審查機密發現結果
有許多方法可用來識別和減輕秘密問題。 並非每個秘密都支援每種方法。
- 檢閱資產清查中的秘密：清查會顯示連線到 Microsoft 適用於雲端的 Defender 的資源的安全性狀態。 您可以從詳細目錄中檢視在特定機器上探索到的秘密。
- 檢閱秘密建議：當在資產上發現秘密時，會在適用於雲端的 Microsoft Defender 建議頁面的「修復弱點」安全性控制下觸發對應建議。 建議的觸發方式如下：
- 使用雲端安全性探索器檢閱機密。 使用雲端安全性探索工具來查詢雲端安全性圖表以取得機密資訊見解。 您可以建置自己的查詢，或使用其中一個內建範本來查詢整個環境中的 VM 秘密。
- 檢閱攻擊路徑：攻擊路徑分析會掃描雲端安全性圖表，以公開攻擊可能用來入侵環境並觸達高影響資產的惡意探索路徑。 VM 秘密掃描功能支援許多攻擊路徑場景。
秘密支援
適用於雲端的 Defender 支援探索資料表中摘要說明的秘密類型。 檢閱使用資料行指出可用來調查和修復秘密建議的方法。
| 秘密類型 | VM 秘密探索 | 雲端部署機密偵測 | 檢閱使用 |
|---|---|---|---|
| 不安全的 SSH 私密金鑰 支援 PuTTy 檔案的 RSA 演算法。 PKCS#8 和 PKCS#1 標準 OpenSSH 標準 |
是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 純文字 Azure SQL 連接字串支援 SQL PAAS。 | 是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 純文字 Azure 資料庫適用於 PostgreSQL。 | 是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 純文字資料用於在 Azure 上建立 MySQL 資料庫。 | 是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| Plaintext Azure Cosmos DB，包括PostgreSQL和MySQL。 | 是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 明文 AWS RDS 連接字串支援 SQL PaaS： 明文 Amazon Aurora 與 Postgres 和 MySQL 變體。 以純文字方式呈現的 Amazon 客製化 RDS，提供 Oracle 和 SQL Server 等版本。 |
是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 純文本 Azure 儲存體帳戶連接字串 | 是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 純文字 Azure 儲存體帳戶連接字串。 | 是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 純文字 Azure 儲存體帳戶 SAS 權杖。 | 是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 純文字 AWS 便捷鍵。 | 是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 明文 AWS S3 預先簽署 URL。 | 是 | 是 | 庫存, 雲端安全探索器, 建議, 攻擊路徑 |
| 純文本形式的 Google 儲存空間簽署 URL。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Microsoft Entra ID 用戶端機密 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字的 Azure DevOps 個人存取權杖。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 GitHub 個人存取權杖。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure 應用程式組態存取金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure 認知服務金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Microsoft Entra 使用者憑證。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure Container Registry 存取金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure App 服務 部署密碼。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 明文 Azure Databricks 個人存取權杖。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure SignalR 存取金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure API 管理訂用帳戶金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure Bot Framework 祕密金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure Machine Learning Web 服務 API 金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure 通訊服務存取金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure 事件方格存取金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Amazon Marketplace Web 服務 (MWS) 存取金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure 地圖服務訂用帳戶金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure Web PubSub 存取金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 OpenAI API 金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 明文 Azure Batch 共用存取金鑰。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 NPM 作者權杖。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure 訂用帳戶管理憑證。 | 是 | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 GCP API 金鑰。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 AWS Redshift 認證。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字私密金鑰。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 ODBC 連接字串。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字一般密碼。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字使用者登入憑證。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 "Travis" 個人令牌。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Slack 存取權杖。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 ASP.NET 電腦金鑰。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 HTTP 授權標頭。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure Redis 快取密碼。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure IoT 共用存取金鑰。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure DevOps 應用程式秘密。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure 函式 API 金鑰。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure 共用存取金鑰。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure Logic App 共用存取簽章。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure Active Directory 存取權杖。 | No | 是 | 資產清單, 雲端安全性探索器。 |
| 純文字 Azure 服務匯流排 共用存取簽章。 | No | 是 | 資產清單, 雲端安全性探索器。 |