クラウド検索: アセットインベントリを検索

使い方

クラウド資産インベントリを検索する 探しているものを説明することで 自然言語で そして、システムに関連するアセットの見つけ方を判断させます。下の例を使って、始め方やアイデアの参考にしてください。

シンプルなプロンプト

プロンプト	重要な理由
公開S3バケット	公開S3バケットは設定ミスが多く、データの露出や漏えいにつながる可能性があります。バケットを公開する方法も複数あります。
EU外のバケット	データ所在のコンプライアンス（例: GDPR）を徹底し、機密データが許可されたリージョン外へ出ないようにします。
MFA未設定のユーザー	多要素認証を設定していないアカウントは、認証情報の窃取によるアカウント乗っ取りに脆弱です。
プログラムによるアクセス権を持つユーザー	APIキーを通じてクラウドを操作できるユーザーを特定します。これらの認証情報は攻撃者に狙われやすい対象です。
削除保護のないデータベース	重要なデータベースの誤削除や悪意ある削除を防ぎます。

ネットワーキングのプロンプト

プロンプト	重要な理由
管理ポートが開放されたEC2インスタンス	SSH（22）やRDP（3389）などのポートがインターネットに公開されていると、不正アクセスの主要な攻撃経路になります。
EC2インスタンスからのトラフィックを許可しているRDSデータベース	攻撃者が悪用できる信頼関係や横展開の経路を特定するのに役立ちます。
VPC内で実行されていないLambda関数	VPC外の関数はネットワーク制御が不足している可能性があり、機密トラフィックを公開インターネットにさらすおそれがあります。
データベースをホストしている可能性のあるEC2インスタンス	明示的にラベル付けされていなくても、追加の保護や監視が必要なデータストアを特定するのに役立ちます。
VPCエンドポイントにアクセスできるLambda関数	VPCアクセスを持つLambda関数が悪用されると、機密性の高い内部サービスやデータベースとやり取りできてしまいます。

IAMのプロンプト

プロンプト	重要な理由
S3バケットにアクセスできるEC2インスタンス	権限が過度に広いIAMロールによる、データ流出の可能性がある経路を検出します。
ユーザーを作成できるLambda関数	ユーザー作成権限を持つ関数は、永続化や権限昇格に悪用される可能性があります。
他のアカウントからアクセス可能なIAMロール	クロスアカウントアクセスは攻撃対象領域を広げ、監視されていない場合があります。
管理者権限を持つユーザー	権限過多のユーザーは、セキュリティ設定ミスや内部脅威の主な原因です。
権限過多のIAMロール	最小権限のベストプラクティスを超える過剰な権限を持つロールを検出します。

CVE/EOLの問題

プロンプト	重要な理由
CVE-2025-21613に脆弱なEC2インスタンス	インフラ内の既知の高リスク脆弱性に対して、的を絞った修復を可能にします。
古いOSを実行しているEC2インスタンス	レガシーシステムは重要なセキュリティパッチやサポートが不足していることが多く、リスクが高まります。
古いPythonを使用しているVM	古いランタイムは脆弱であり、最新のセキュリティライブラリと互換性がない場合があります。
重大な脆弱性を持つVM	脆弱性の深刻度に基づき、悪用される可能性が最も高いVMの修復を優先します。
Log4Shellに脆弱なEC2インスタンス	特定の脆弱性に的を絞ることで、重大なゼロデイを迅速かつ徹底的に修正できます。
高または重大な脆弱性を持つコンテナ	クラウドでコンテナを実行する方法は、ECS、Lambda、App Runnerなど複数あります。これにより、深刻な脆弱性の影響を受けているコンテナを特定し、優先順位を付けられます。
古いPythonを使用しているコンテナ	すべてのサービスにわたって、古いパッケージ（この場合はPython）を使用しているコンテナをすばやく特定します。
EOLのディストリビューションを使用しているコンテナ	コンテナは、通常ベースイメージの一部として、保守されていないオペレーティングシステムを実行することもあります。これらを更新するとコンテナのセキュリティが大幅に向上し、多くの脆弱性も解消できる可能性があります。

応用編: 組み合わせる

プロンプト	重要な理由
CVE-2025-21613に脆弱で、S3バケットにアクセスできる公開EC2インスタンスを表示して	公開露出 + 脆弱性 + 機密データへのアクセス、というエンドツーエンドの攻撃チェーンを表します。
手動で作成されたLambda関数	手動でのプロビジョニングは、IaCのガードレールやコンプライアンスチェックを回避する可能性があります。
管理者権限でインターネットに公開されている関数	管理者権限を持ちインターネットに公開されたサーバーレスリソースは、権限昇格やデータ流出に悪用される可能性があります。
最もリスクの高いデータストア	露出、脆弱性、権限に基づいて最もリスクの高いデータ資産をAikidoが表示し、保護の優先順位付けを支援します。

プロンプト作成のベストプラクティス

• 完璧な用語を探すのに悩む必要はありません: あらかじめ定義されたプロンプト、用語、従うべきルールはありません。クラウド環境で見たいものを自由に記述すれば、Aikidoが検索に必要な内容を判断し、クエリを生成します。
• プロンプトエンジニアリング: 結果に満足できない場合は、何を求めているのかをより具体的にしてください。例

  ❌RDSにアクセスできる関数

  ✅RDSインスタンスへのネットワークアクセスを持つLambda関数
• 幅広く探すには単一キーワードを使う: 単一のキーワードを入力すると、Aikidoがアセット全体を対象に広範なテキスト検索を実行します。たとえば、ユーザーの名前を検索すると次の内容が返ります:

  • 同じ名前または似た名前のユーザー
  • そのユーザーが所属するグループ、 タグにその名前が含まれるアセット、 そのユーザーに言及しているポリシー。

ヒント: ユーザー名、インスタンス名、タグ値などのキーワードを使うと、関連するアセットや権限をすばやく見つけられます。 たとえば、次のように入力すると alice 彼女のユーザープロフィール、所属グループ、彼女の名前が付いたタグのEC2インスタンス、彼女に言及したIAMポリシーなどが、1回の検索で表示されるかもしれません。

仕組み（詳細）

クラウド環境を接続すると クラウド環境を接続すると、Aikidoが自動的にアセットインベントリを作成し、アカウントとリージョン全体を可視化します。Aikidoはクラウドスキャン（定期実行および手動実行）の一環として、クラウドプロバイダーのAPIを呼び出してインベントリを同期します。さらに、Aikidoプラットフォームのデータでグラフを拡張し、以下で見つかった脆弱性やサポート終了の問題などを反映します: 仮想マシン および コンテナ.

クラウドアセットインベントリには次の場所からアクセスできます: Clouds -> Assets タブ。これにより、接続済みのすべてのクラウドのアセットが表示されます。あるいは、特定のクラウドに移動し、そのアセットタブを見ると、そのクラウドのアセットのみが表示されます。

クラウドインベントリを検索するには、見たい内容を 自然言語 で記述し、関連アセットの見つけ方はシステムに判断させます。Aikidoはプロンプトの複雑さに応じて、1つ以上のステップに変換します。その後、最終結果を得るためにステップを実行する過程で中間結果を表示します。

上の例のプロンプト「S3バケットにアクセスできるEC2インスタンスを表示して」では、Aikidoはインスタンスプロファイルを通じて付与されたIAMロールを持つEC2インスタンスを探し、S3バケットへのアクセス権を持つIAMロール（インラインポリシーまたはアタッチ済みポリシーによるものを含む）を見つけ、IAMロールへのアクセスを許可するバケットポリシーを見つけ、それらを最終結果にまとめました。

すべてのステップ、その概要、およびアセット一覧は最初のタブで確認できます。複数のクラウドプロバイダー（AWSやAzure）を接続している場合は、各プロバイダーに関連する複数のタブが表示されます。

最終結果は右側のタブに表示され、検索に該当するアセットの完全な一覧が含まれます。マルチクラウド検索でも同様で、このビューで全アセットがまとめられます。

補足

• 1語で検索すると、Aikidoはテキスト検索を実行し、名前や他のフィールドからアセットを見つけられます。たとえば、ユーザー名を検索すると、そのユーザーと所属するすべてのグループ、タグにそのユーザーが記載されたアセット、さらにARNでそのユーザーを参照しているポリシーが返ります。
• Aikidoはプロンプトをキャッシュし、その後の検索をはるかに高速に返します。また、過去の検索（あなたのユーザーのみ）も表示します。