データ露出監査で見つかるもの

データ露出監査がソースコード内で何をチェックするか。

A データ露出監査 AikidoのコードベースDSPMです。機密データがどのようにアプリケーションに入ってきて、移動し、保存され、そして外部へ出ていくのかを、APIやORMモデルから、ロギング、キュー、サードパーティ連携、AIワークフローまで含めて分析します。データベースやクラウドデータストアを接続する必要はありません。各検出結果にはコードベースの 証拠からSlackを接続してください。設定手順は 進捗と検出結果を追跡する の読み方について。

従来のDSPMとの違いについては、 データ露出監査（DSPM）。監査を実行するには、 データ露出監査を実行する.

カバレッジの概要

データ露出監査は、コード内での機密データの取り扱いに焦点を当てており、以下を含みます。

• 平文および脆弱な保存：暗号化されずに保存されている、またはMD5、SHA-1、base64のような暗号化として扱われる弱い代替手段で保存されている秘密情報、トークン、または規制対象の個人データ（PII、PHI、決済カードデータ）。
• URL内の認証情報：クローンURL、クエリ文字列、リダイレクト、その他のリクエストパスに埋め込まれ、ログ、プロキシ、ブラウザ履歴を通じて漏えいし得るトークン、パスワード、またはAPIキー。
• 過剰なAPI公開：必要以上に広く返される機密フィールド、およびデータアクセス時のフィールドレベルまたはテナント所有権チェックの欠如。
• 安全でないロギング、キャッシュ、エクスポート：アプリケーションログ、トレース、キャッシュ、ダンプ、またはデータエクスポート経路にあるマスクされていないPIIや秘密情報。
• 過度に広いサードパーティおよびAI共有：必要以上に、ベンダー、分析ツール、サポートツール、LLMプロンプト、またはベクターストアに送信される顧客データや秘密情報。
• 不完全なデータ削除：ユーザーや保持ポリシーでは削除が期待されているのに、下流のレコード、キャッシュ、関連ストアを残したままにする削除フロー。
• シャドーデータと脆弱なバックアップ：機密データの意図しないコピー（ステージング復元、スナップショット、サイドストア）や、十分な保護またはマスキングがないバックアップ／スナップショット経路。
• 過剰権限のアクセス：コードに必要以上のデータアクセス権を付与するクラウドIAMロールや、サードパーティのOAuthスコープ。
• 認証なしまたは監査なしのデータストア：認証なしでアクセスできるデータストア、または機密データを保持するストアで監査ログが無効になっている状態。
• IDおよびソースの露出：アカウントやIDの列挙リスク、ならびに機密フローに関連する送信元IPや類似識別子の不要な露出。

対象となるデータ型

検出結果には、コードが扱うあらゆる機密データが含まれる可能性があります。たとえば：

• 個人識別情報（PII）
• 保護対象医療情報（PHI）
• 決済カードおよび金融データ（PCI）
• 秘密情報、トークン、認証情報
• 顧客コンテンツおよび業務データ
• AIプロンプト、埋め込み、または関連ワークフローに渡されるデータ

従来のDSPMでは見えないもの

従来のDSPMは、ストア内に機密データが存在することを示すことが多いです。データ露出監査は、その露出をそれを生み出したコードパスまで結び付けるため、保存先、リスク、そしてそのまま出荷できる修正案が得られます：

• PIIを漏えいするロギング：たとえば、チェックアウトのパスが完全な請求オブジェクト（メール、電話番号、住所、カード下4桁）を可観測性スタックに記録してしまうケースです。修正方法は、それらのフィールドをマスクし、IDとエラーコードだけを保持することです。
• トークンのエンドツーエンドの取り扱いミス：トークンがどこで入ってきたか（OAuth、GitHub App、PAT）、どのスコープを持つか、どこに保存またはキャッシュされるか、URLに埋め込まれているかどうか、そしてログ、トレース、エラー、プロセス引数から漏えいし得るかどうか。
• 過剰共有するAPIレスポンス：呼び出し元が見るべきでない機密フィールドを、対応する認可チェックなしに返してしまうシリアライザやハンドラ。
• AIおよびベンダーパイプライン：最小化なしで顧客データをサードパーティやLLMのワークフローに取り込むプロンプトや連携。

置き換えられないもの

データ露出監査は ソースから推論します。ライブのデータストアには接続しないため、従来のDSPMのように、バケット、ウェアハウス、SaaSアプリにすでに存在するものを棚卸しすることはできません。アプリケーションがどのようにデータを露出しているかを見つけて修正するために使い、保存中のデータをエステート全体で棚卸しする必要がある場合は、クラウドおよびストレージのレビューと組み合わせてください。

また、 コードセキュリティ監査 やライブの Aikido Pentestの代わりにもなりません。これらは脆弱性のクラスや実行時の悪用可能性を対象としていますが、データ露出監査はコード内での機密データの取り扱いと露出経路に焦点を当てています。

自分の対象範囲がカバーされているか不明ですか？

開く Intercomチャット 右下隅の。クレジットを使う前に、特定のデータ型、フレームワーク、または検出クラスについて、当社チームがカバレッジを確認できます。