クラウドディスカバリー: アセットインベントリを検索

使い方

クラウド資産一覧を検索する 探しているものを記述して 自然言語で そして、システムに関連する資産の見つけ方を判断させます。始めるため、または着想を得るために、下の例をご利用ください。

シンプルなプロンプト

プロンプト	重要な理由
公開S3バケット	公開S3バケットは設定ミスが多く、データの露出や漏えいにつながることがあります。バケットを公開する方法も複数あります。
EU域外のバケット	データ所在地のコンプライアンス（例: GDPR）の遵守に役立ち、機密データが許可されたリージョンの外へ出ないようにします。
MFAなしのユーザー	多要素認証のないアカウントは、認証情報の盗難によるアカウント乗っ取りの危険があります。
プログラムによるアクセス権を持つユーザー	APIキーを通じてクラウドとやり取りできるユーザーを識別します。これらの認証情報は攻撃者の一般的な標的です。
削除保護のないデータベース	重要なデータベースの誤削除や悪意ある削除を防ぎます。

ネットワーク関連のプロンプト

プロンプト	重要な理由
管理ポートが開放されたEC2インスタンス	SSH（22）やRDP（3389）などのポートがインターネットに公開されていると、未承認アクセスの主要な攻撃経路になります。
EC2インスタンスからのトラフィックを許可するRDSデータベース	攻撃者が悪用できる信頼関係や横展開の経路を特定するのに役立ちます。
VPC内で実行されていないLambda関数	VPC外の関数はネットワーク制御が不足しており、機密トラフィックがパブリックインターネットに露出する可能性があります。
データベースをホストしている可能性があるEC2インスタンス	明示的にラベル付けされていなくても、追加の保護や監視が必要なデータストアを特定するのに役立ちます。
VPCエンドポイントにアクセスできるLambda	誤用された、VPCアクセスを持つLambda関数は、機密性の高い内部サービスやデータベースとやり取りできます。

IAM関連のプロンプト

プロンプト	重要な理由
S3バケットにアクセスできるEC2インスタンス	権限が過剰なIAMロールによるデータ流出経路の可能性を検出します。
ユーザーを作成できるLambda	ユーザー作成権限を持つ関数は、永続化や権限昇格のために悪用される可能性があります。
他アカウントからアクセス可能なIAMロール	クロスアカウントアクセスは攻撃対象領域を広げ、監視されていない可能性があります。
管理者権限を持つユーザー	権限過多のユーザーは、セキュリティ設定ミスや内部脅威の主な原因です。
権限過多のIAMロール	最小権限のベストプラクティスを超える過剰な権限を持つロールを検出します。

CVE/EOLの問題

プロンプト	重要な理由
CVE-2025-21613に脆弱なEC2インスタンス	インフラ内の既知の高リスク脆弱性に的を絞って対処できます。
古いOSを実行しているEC2インスタンス	レガシーシステムは重要なセキュリティパッチやサポートが不足していることが多く、リスクが高まります。
古いPythonを使用しているVM	古いランタイムは脆弱性を抱えやすく、最新のセキュリティライブラリと互換性がない場合があります。
重大な脆弱性を持つVM	脆弱性の深刻度に基づき、悪用される可能性が最も高いVMの修復を優先します。
log4shellに脆弱なEC2インスタンス	特定の脆弱性を対象にすることで、重要なゼロデイを迅速かつ徹底的に修正できます。
高または重大な脆弱性を持つコンテナ	クラウドでコンテナを実行する方法には、ECS、Lambda、App Runnerなど複数あります。これにより、重大な脆弱性の影響を受けるコンテナを特定し、優先順位を付けることができます。
古いPythonを使用しているコンテナ	古いパッケージ（この場合はpython）を使用しているコンテナを、すべてのサービス横断ですばやく特定します。
EOLのディストリビューションを使っているコンテナ	コンテナは、通常ベースイメージの一部として、保守されていないOSを実行していることもあります。これらを更新するとコンテナのセキュリティが大幅に向上し、多くの脆弱性にも対処できる可能性があります。

応用: 組み合わせる

プロンプト	重要な理由
S3バケットにアクセスできる、CVE-2025-21613に脆弱な公開EC2インスタンスを表示して	公開露出 + 脆弱性 + 機密データへのアクセス、というエンドツーエンドの攻撃チェーンをモデル化します。
手動で作成されたLambda関数	手動プロビジョニングでは、IaCのガードレールやコンプライアンスチェックを回避できる場合があります。
管理者権限を持ち、インターネットに公開されている関数	管理者権限とインターネット露出を持つサーバーレスリソースは、権限昇格やデータ流出のために悪用される可能性があります。
最もリスクの高いデータストア	Aikidoが、露出、脆弱性、権限に基づいて最もリスクの高いデータ資産を表面化し、保護の優先順位付けを支援します。

プロンプト作成のベストプラクティス

• 完璧な用語を見つけようと悩む必要はありません: 従うべき定義済みのプロンプト、用語、ルールはありません。クラウド環境で見たいものを自由に記述し、Aikidoに必要な検索内容や生成するクエリを判断させてください。
• プロンプトエンジニアリング: 結果に満足できない場合は、何を求めているのかをより具体的にしてみてください。例

  ❌RDSにアクセスできる関数

  ✅RDSインスタンスへのネットワークアクセスを持つLambda関数
• 幅広く探すには単一キーワードを使う: 単一のキーワードを入力すると、Aikidoが資産全体に対して広範なテキスト検索を実行します。たとえば、ユーザー名を検索すると次が返されます:

  • 同じ名前、または似た名前のユーザー
  • そのユーザーが所属するすべてのグループ、 タグにその名前が含まれる資産、 およびそのユーザーに言及しているポリシー。

ヒント: ユーザー名、インスタンス名、タグ値などのキーワードを使うと、関連する資産や権限をすばやく見つけられます。 たとえば、 alice と入力すると、彼女のユーザープロファイル、所属グループ、彼女の名前が付いたEC2インスタンス、彼女に言及しているIAMポリシーなどが、1回の検索で表示されることがあります。

仕組み（詳細）

あなたが クラウド環境を接続すると、Aikidoが自動的に資産インベントリを作成し、アカウントやリージョン全体の可視性を提供します。Aikidoはクラウドスキャン（定期実行および手動トリガー）の一部として、クラウドプロバイダーのAPIを呼び出してインベントリを同期します。さらに、Aikidoプラットフォームのデータを使ってグラフを拡張し、たとえば 仮想マシン に、 コンテナ.

クラウド資産インベントリには、 Clouds -> Discovery タブからアクセスできます。これにより、接続済みのすべてのクラウドの資産が表示されます。あるいは、特定のクラウドに移動し、Discoveryタブを見ると、そのクラウドの資産のみが表示されます。

クラウドインベントリを検索するには、 自然言語 で探したいものを記述し、システムに関連する資産の見つけ方を判断させます。Aikidoはプロンプトの複雑さに応じて、1つ以上のステップにプロンプトを変換します。その後、最終結果を得るためにステップを実行しながら、中間結果を表示します。

上記の例のプロンプト「S3バケットにアクセスできるEC2インスタンスを表示して」では、Aikidoはインスタンスプロファイルを通じて付与されたIAMロールを持つEC2インスタンスを探し、S3バケットへのアクセス権を持つIAMロール（インラインポリシーまたはアタッチ済みポリシーによるものの両方）を見つけ、IAMロールにアクセス権を与えるバケットポリシーを見つけ、それらを最終結果にまとめました。

すべてのステップ、その要約、資産の一覧を最初のタブで確認できます。複数のクラウドプロバイダー（AWS、Azure、Google Cloud）を接続している場合は、特定のプロバイダーに関連する複数のタブが表示されます。

最終結果は右側のタブに表示され、検索条件に該当する資産の完全な一覧が含まれます。マルチクラウド検索でも同様で、AWS、Azure、Google Cloudのすべての資産がまとめて表示されます。

補足

• 1語で検索すると、Aikidoはテキスト検索を行い、名前や他のフィールドから資産を見つけられます。たとえばユーザー名を検索すると、そのユーザーと、ユーザーが所属するすべてのグループ、タグ内でユーザー名が言及されている資産、ならびにARNでそのユーザーを参照しているポリシーが返されます。
• Aikidoはプロンプトをキャッシュし、以降の検索をはるかに高速に提供します。また、以前の検索も表示します（あなたのユーザーに限ります）。