データ漏えい監査で見つかるもの

データ漏えい監査がソースコードでチェックする項目。

ある データ漏えい監査 AikidoのコードベースDSPMです。APIやORMモデルから、ロギング、キュー、サードパーティ連携、AIワークフローに至るまで、機微データがどのようにアプリケーションに入り、移動し、保存され、出ていくかを推論します。データベースやクラウドのデータストアに接続する必要はありません。各検出結果にはコードベースの証拠。進捗と検出結果を追跡するその読み方について。

従来のDSPMとの違いについては、データ漏えい監査（DSPM）。監査を実行するには、データ漏えい監査を実行する.

カバレッジの概要

Data Exposure Auditは、コード内での機微データの取り扱いに重点を置き、以下を含みます：

平文保存および弱い保存：秘密、トークン、または規制対象の個人データ（PII、PHI、支払カードデータ）が暗号化なしで保存されている、あるいはMD5、SHA-1、base64のような弱い代替手段を暗号化として扱っている状態。
URL内の認証情報：トークン、パスワード、またはAPIキーがクローンURL、クエリ文字列、リダイレクト、その他のリクエストパスに埋め込まれ、ログ、プロキシ、ブラウザ履歴を通じて漏えいしうる状態。
APIの過剰公開：必要以上に広く機微フィールドが返されており、データアクセス時のフィールドレベルまたはテナント所有権チェックが欠けている状態。
安全でないロギング、キャッシュ、エクスポート：アプリケーションログ、トレース、キャッシュ、ダンプ、またはデータエクスポート経路に、マスクされていないPIIや秘密情報が含まれている状態。
範囲が広すぎるサードパーティおよびAIへの共有：顧客データや秘密情報が、必要以上にベンダー、分析ツール、サポートツール、LLMプロンプト、またはベクターストアへ送信される状態。
不完全なデータ削除：ユーザーや保持ポリシーが削除を想定しているにもかかわらず、下流のレコード、キャッシュ、または関連ストアがそのまま残る削除フロー。
シャドーデータと脆弱なバックアップ：機微データの意図しないコピー（ステージング復元、スナップショット、補助ストア）や、十分な保護やマスキングのないバックアップ／スナップショット経路。
過剰な権限のアクセス：コードが必要とする以上のデータアクセスを許可するクラウドIAMロールやサードパーティOAuthスコープ。
認証なしまたは監査されていないデータストア：認証なしでデータストアにアクセスできる、または機微データを保持するストアで監査ログが無効になっている状態。
IDおよび送信元の露出：アカウントやIDの列挙リスク、および機微なフローに紐づく送信元IPや同様の識別子の不要な露出。

対象となるデータ種別

検出結果には、コードが扱うあらゆる機微データが含まれ得ます。たとえば：

個人を特定できる情報（PII）
保護対象健康情報（PHI）
決済カードおよび金融データ（PCI）
秘密情報、トークン、認証情報
顧客コンテンツおよび業務データ
AIプロンプト、埋め込み、または関連ワークフローに渡されるデータ

従来のDSPMが見る範囲を超えて

従来のDSPMは、機微データがストア内に存在することを知らせることが多いだけです。Data Exposure Auditは、その露出を生み出したコードパスまで結び付けるため、保存先、リスク、そしてそのまま適用できる修正案が得られます：

PIIを漏えいするロギング：たとえば、チェックアウト経路が請求オブジェクト全体（メール、電話番号、住所、カード下4桁）をオブザーバビリティスタックにログ出力してしまうケースです。対策は、それらのフィールドをマスクし、IDとエラーコードだけを残すことです。
エンドツーエンドのトークン取り扱いミス：トークンがどこから入るか（OAuth、GitHub App、PAT）、どのスコープを持つか、どこに保存またはキャッシュされるか、URLに埋め込まれていないか、ログ、トレース、エラー、プロセス引数を通じて漏えいし得るか、を確認します。
過剰共有するAPIレスポンス：対応する認可チェックなしに、呼び出し元が見るべきよりも多くの機微フィールドを返すシリアライザやハンドラ。
AIおよびベンダーパイプライン：最小化せずに顧客データをサードパーティやLLMのワークフローへ取り込むプロンプトや連携。

代替しないもの

Data Exposure Auditはソースから推論します ソース。ライブのデータストアには接続しないため、従来のDSPMのように、バケット、ウェアハウス、SaaSアプリにすでに置かれているものを一覧化することはありません。アプリケーションがデータをどのように公開しているかを見つけて修正するために使い、保存データ全体の棚卸しが必要なときは、クラウドやストレージのレビューと組み合わせてください。

また、～の代替でもありませんコードセキュリティ監査またはライブの Aikido Pentest。それらは脆弱性クラスと実行時の悪用可能性を対象とし、Data Exposure Auditはコード内での機微データの取り扱いと露出経路に重点を置きます。

FAQ

始める前に、対象範囲を確認してもらえますか？

はい。サポートに問い合わせるクレジットを消費する前に、特定のデータ型、フレームワーク、または検出クラスを確認するために。