Cloud Search: アセットインベントリを検索

使い方

クラウドのインベントリを検索する 探しているものを説明することで 自然言語で そして、関連するアセットを見つける方法はシステムに任せます。下の例を使って、始めるきっかけや着想を得てください。

シンプルなプロンプト

プロンプト	なぜ重要か
公開 S3 バケット	公開 S3 バケットは設定ミスが起こりやすく、データの露出や漏えいにつながる可能性があります。バケットを公開する方法も複数あります。
EU 外のバケット	GDPR などのデータ所在規制への準拠を徹底し、機密データが許可されたリージョンを離れないようにします。
MFA 未設定のユーザー	多要素認証のないアカウントは、認証情報の窃取によるアカウント乗っ取りの危険があります。
プログラムによるアクセス権を持つユーザー	API キーでクラウドとやり取りできるユーザーを特定します。これらの認証情報は攻撃者の一般的な標的です。
削除保護のないデータベース	重要なデータベースの誤削除や悪意ある削除を防ぎます。

ネットワーク関連のプロンプト

プロンプト	なぜ重要か
管理ポートが開いている EC2 インスタンス	SSH (22) や RDP (3389) のようなポートがインターネットに公開されていると、不正アクセスの主要な攻撃経路になります。
EC2 インスタンスからのトラフィックを許可している RDS データベース	攻撃者が悪用できる信頼関係や横展開の経路を特定するのに役立ちます。
VPC 内で実行されていない Lambda 関数	VPC 外の関数はネットワーク制御が不足している可能性があり、機密トラフィックを公開インターネットにさらすことがあります。
データベースをホストしている可能性のある EC2 インスタンス	明示的にラベル付けされていなくても、追加の保護や監視が必要なデータストアを特定するのに役立ちます。
VPC エンドポイントにアクセスできる Lambda	VPC にアクセスできる Lambda 関数が悪用されると、機密性の高い内部サービスやデータベースとやり取りできてしまいます。

IAM 関連のプロンプト

プロンプト	なぜ重要か
S3 バケットにアクセスできる EC2 インスタンス	過剰に許可された IAM ロールによるデータ流出の可能性がある経路を検出します。
ユーザーを作成できる Lambda	ユーザー作成権限を持つ関数は、永続化や権限昇格に悪用される可能性があります。
他のアカウントからアクセス可能な IAM ロール	クロスアカウントアクセスは攻撃対象領域を広げ、監視されていない可能性があります。
管理者権限を持つユーザー	権限過多のユーザーは、セキュリティ設定ミスや内部脅威の主な原因です。
権限過多の IAM ロール	最小権限のベストプラクティスを超える過剰な権限を持つロールを検出します。

CVE/EOL の問題

プロンプト	なぜ重要か
CVE-2025-21613 の脆弱性がある EC2 インスタンス	インフラ内の既知の高リスク脆弱性に対して、的を絞った修復を可能にします。
古い OS を実行している EC2 インスタンス	レガシーシステムは重要なセキュリティパッチやサポートが不足していることが多く、リスクが高まります。
古い Python を使用している VM	古いランタイムは脆弱であり、最新のセキュリティライブラリと互換性がない場合があります。
重大な脆弱性を持つ VM	脆弱性の深刻度に基づき、悪用される可能性が最も高い VM の修復を優先します。
log4shell の脆弱性がある EC2 インスタンス	特定の脆弱性を狙って対処することで、重大なゼロデイを迅速かつ確実に修正できます。
高または重大な脆弱性を持つコンテナ	クラウドでコンテナを実行する方法は ECS、Lambda、App Runner など複数あります。これにより、重大な脆弱性の影響を受けるコンテナを特定し、優先順位を付けられます。
古い Python を使用しているコンテナ	すべてのサービスにわたって、古いパッケージ（この場合は Python）を使用しているコンテナをすばやく特定します。
EOL のディストリビューションを使用しているコンテナ	コンテナは、通常ベースイメージの一部である未保守のオペレーティングシステムも実行できます。これらを更新すると、コンテナのセキュリティが大幅に向上し、多くの脆弱性も解消できる可能性があります。

応用編: 組み合わせる

プロンプト	なぜ重要か
S3 バケットにアクセスできる、CVE-2025-21613 の脆弱性がある公開 EC2 インスタンスを表示して	公開露出 + 脆弱性 + 機密データへのアクセスという、エンドツーエンドの攻撃チェーンを表します。
手動で作成された Lambda 関数	手動プロビジョニングでは、IaC のガードレールやコンプライアンスチェックを回避できる可能性があります。
管理者権限を持ち、インターネットに公開されている関数	管理者権限を持ち、インターネットに公開されているサーバーレスリソースは、権限昇格やデータ流出に悪用される可能性があります。
最もリスクの高いデータストア	公開状況、脆弱性、権限に基づいて最もリスクの高いデータアセットを Aikido が抽出し、保護の優先順位付けを支援します。

プロンプト作成のベストプラクティス

• 完璧な用語を見つけようと悩む必要はありません: 従うべき定義済みのプロンプト、用語、ルールはありません。クラウド環境で見たいものを自由に説明すれば、Aikido が検索対象とクエリ生成に必要なものを判断します。
• プロンプトエンジニアリング: 結果に満足できない場合は、何を求めているのかをより具体的にしてみてください。例

  ❌RDS にアクセスできる関数

  ✅RDS インスタンスにネットワークアクセスできる Lambda 関数
• 広範な発見には単一キーワードを使う: 単一のキーワードを入力すると、Aikido がアセット全体に対して広範なテキスト検索を実行します。たとえば、ユーザー名を検索すると次のものが返ります:

  • 同じ名前または類似の名前のユーザー
  • 所属しているグループ、 タグにその名前が含まれるアセット、 そのユーザーに言及しているポリシー。

ヒント: ユーザー名、インスタンス名、タグ値などのキーワードを使うと、関連するアセットや権限をすばやく見つけられます。 たとえば、次を入力すると alice 彼女のユーザープロフィール、所属グループ、彼女の名前が付いた EC2 インスタンス、彼女に言及している IAM ポリシーが、1 回の検索ですべて表示されるかもしれません。

仕組み（詳細）

あなたが クラウド環境を接続すると、Aikido はアセットインベントリを自動的に構築し、アカウントとリージョン全体を可視化します。Aikido はクラウドスキャン（定期実行および手動実行）の一環として、クラウドプロバイダーの API を呼び出してインベントリを同期します。さらに、Aikido プラットフォームのデータを使ってグラフを拡充します。たとえば、次で見つかった脆弱性やサポート終了の問題などです: 仮想マシン に設定し、 コンテナ.

クラウドアセットのインベントリには次からアクセスできます: Clouds -> Assets タブです。ここには接続済みのすべてのクラウドのアセットが表示されます。あるいは、特定のクラウドに移動してアセットタブを開くと、そのクラウドのアセットだけが表示されます。

クラウドのインベントリを検索するには、欲しいものを次のように記述します: 自然言語 そして、関連するアセットを見つける方法はシステムに任せます。Aikido はプロンプトの複雑さに応じて、それを 1 つ以上のステップに変換します。その後、最終結果に至るまでのステップを実行しながら、中間結果を表示します。

上の例では、プロンプト「show me EC2 instances with access to S3 buckets」に対して、Aikido は IAM ロールを持つ EC2 インスタンス（インスタンスプロファイルを介して関連付けられているもの）を探し、S3 バケットへのアクセス権を持つ IAM ロール（インラインポリシーまたはアタッチ済みポリシーで付与されたものを含む）を見つけ、IAM ロールへのアクセスを許可するバケットポリシーを見つけ、それらを最終結果にまとめました。

最初のタブでは、すべてのステップ、その要約、アセットの一覧を確認できます。複数のクラウドプロバイダー（AWS や Azure など）を接続している場合は、各プロバイダーに関連する複数のタブが表示されます。

最終結果は右側のタブに表示され、検索に該当するアセットの完全な一覧が含まれます。マルチクラウド検索でも同様で、このビューにすべてのアセットがまとめられます。

補足

• 1 語で検索すると、Aikido はテキスト検索を実行し、名前やその他のフィールドでアセットを見つけられます。たとえば、ユーザー名を検索すると、そのユーザーと所属しているすべてのグループ、タグにそのユーザー名が含まれるアセット、そして ARN でそのユーザーを参照しているポリシーが返されます。
• Aikido はプロンプトをキャッシュするため、以降の検索がより速くなります。また、過去の検索も表示します（あなたのユーザーに限ります）。