データ露出監査で見つかるもの

データ露出監査がソースコードでチェックする内容。

1つの データ漏えい監査 Aikido のコードベース DSPM です。機密データがどのようにアプリケーションに入り、移動し、保存され、そして外に出ていくかを推論します。API や ORM モデルから、ロギング、キュー、サードパーティ統合、AI ワークフローまでを対象とします。データベースやクラウドのデータストアを接続する必要はありません。各検出結果にはコードベースの 証拠。参照 進捗と検出結果を追跡 の読み方について。

従来の DSPM との違いについては、 データ露出監査（DSPM）。監査を実行するには、 データ露出監査を実行する.

対応範囲の概要

データ露出監査は、コード内での機密データの取り扱いに重点を置いており、次のようなものを含みます。

• 平文および脆弱な保存：秘密情報、トークン、または規制対象の個人データ（PII、PHI、決済カードデータ）が暗号化なしで、あるいは MD5、SHA-1、base64 のような脆弱な代替手段を暗号化として扱って保存されている状態。
• URL 内の認証情報：クローン URL、クエリ文字列、リダイレクト、またはログ、プロキシ、ブラウザ履歴から漏えいし得る他のリクエストパスに埋め込まれたトークン、パスワード、API キー。
• API の過剰公開：必要以上に広く返される機密フィールド、およびデータアクセスに対するフィールドレベルまたはテナント所有権チェックの欠如。
• 安全でないロギング、キャッシュ、エクスポート：アプリケーションログ、トレース、キャッシュ、ダンプ、またはデータエクスポート経路にある、マスキングされていない PII や秘密情報。
• 範囲が広すぎるサードパーティおよび AI 共有：必要以上にベンダー、分析ツール、サポートツール、LLM プロンプト、またはベクターストアへ送信される顧客データや秘密情報。
• 不完全なデータ削除：ユーザーや保持ポリシーが削除を期待しているのに、下流のレコード、キャッシュ、または関連ストアをそのまま残す削除フロー。
• シャドーデータと脆弱なバックアップ：機密データの意図しないコピー（ステージング復元、スナップショット、サイドストア）や、十分な保護やマスキングのないバックアップ／スナップショット経路。
• 過剰権限のアクセス：コードが必要とする以上のデータアクセスを許可するクラウド IAM ロールやサードパーティ OAuth スコープ。
• 認証なし、または監査されていないデータストア：認証なしでのデータストアアクセス、または機密データを保持するストアで監査ログが無効になっている状態。
• ID とソースの露出：アカウントや ID の列挙リスク、および機密フローに紐づく送信元 IP や類似の識別子の不要な露出。

対象となるデータ型

検出結果には、コードが扱うあらゆる機密データが含まれ得ます。たとえば次のものです。

• 個人を特定できる情報（PII）
• 保護医療情報（PHI）
• 決済カードおよび金融データ（PCI）
• 秘密情報、トークン、認証情報
• 顧客コンテンツおよび業務データ
• AI プロンプト、埋め込み、または関連ワークフローに渡されるデータ

従来の DSPM では見えないものを超えて

従来の DSPM は、保存先に機密データが存在することを示すだけであることがよくあります。データ露出監査は、その露出を生み出したコードパスまで結び付けるため、送信先、リスク、そしてそのまま出荷できる修正案が得られます。

• PII を漏えいするロギング：たとえば、チェックアウト処理が、完全な請求先オブジェクト（メール、電話番号、住所、カード下4桁）を可観測性スタックにログ出力しているケースです。修正方法は、それらのフィールドをマスクし、ID とエラーコードだけを残すことです。
• トークンのエンドツーエンドの取り扱い不備：トークンがどこで入ってくるか（OAuth、GitHub App、PAT）、どのスコープを持つか、どこに保存またはキャッシュされるか、URL に埋め込まれているかどうか、そしてログ、トレース、エラー、またはプロセス引数を通じて漏えいし得るかどうか。
• 過剰共有する API 応答：呼び出し元が見るべきでない機密フィールドを、対応する認可チェックなしに返すシリアライザやハンドラ。
• AI とベンダーのパイプライン：最小化を行わずに、顧客データをサードパーティや LLM ワークフローへ取り込むプロンプトや統合。

置き換えないもの

データ露出監査は ソースから推論します。ライブのデータストアには接続しないため、従来の DSPM のように、バケット、データウェアハウス、SaaS アプリにすでに置かれているものを棚卸しすることはありません。アプリケーションがデータをどのように露出しているかを見つけて修正するために使い、保存時データの資産全体のインベントリが必要な場合は、クラウドやストレージのレビューと組み合わせてください。

また、〜の代替でもありません コードセキュリティ監査 または実行中の Aikido Pentest。これらは脆弱性の種類や実行時の悪用可能性を扱いますが、データ露出監査はコード内での機密データの取り扱いと露出経路に重点を置いています。

自分の対象範囲が含まれるか分からない場合は？

レポート行の Intercomチャット 右下のコーナーにあるチャットをお使いください。クレジットを使う前に、特定のデータ型、フレームワーク、または検出クラスが対応範囲に含まれるかを当チームが確認できます。