> For the complete documentation index, see [llms.txt](https://help.aikido.dev/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aikido.dev/docs/docs-ja/kuraudosukyan/cloud-search-querying-the-asset-graph.md). # Cloud Search: アセットインベントリを検索 ### 使い方 [クラウドのインベントリを検索する](https://app.aikido.dev/clouds/assets) 探しているものを説明することで **自然言語で** システムに関連するアセットの見つけ方を判断させます。以下の例を使って始めるか、アイデアを得てください。 #### シンプルなプロンプト | プロンプト | 重要な理由 | | -------------------- | ------------------------------------------------------------- | | 公開S3バケット | 公開S3バケットは設定ミスが多く、データの露出や漏えいにつながる可能性があります。バケットを公開にする方法も複数あります。 | | EU以外のバケット | データ所在地のコンプライアンス（例: GDPR）を強化し、機密データが許可されたリージョン外へ出ないようにします。 | | MFAなしのユーザー | 多要素認証のないアカウントは、認証情報の窃取によるアカウント乗っ取りの危険があります。 | | プログラムによるアクセス権を持つユーザー | APIキーを介してクラウドとやり取りできるユーザーを特定します。これらの認証情報は攻撃者の標的になりやすいものです。 | | 削除保護のないデータベース | 重要なデータベースの誤削除や悪意ある削除を防ぎます。 | #### ネットワーク関連のプロンプト | プロンプト | 重要な理由 | | -------------------------------- | ----------------------------------------------------------- | | 管理ポートが開いているEC2インスタンス | SSH（22）やRDP（3389）などのポートがインターネットに公開されているのは、不正アクセスの主要な攻撃経路です。 | | EC2インスタンスからのトラフィックを許可するRDSデータベース | 攻撃者が悪用できる信頼関係やラテラルムーブメントの経路を特定するのに役立ちます。 | | VPCで動作していないLambda関数 | VPC外の関数はネットワーク制御が不十分で、機密トラフィックを公開インターネットにさらす可能性があります。 | | データベースをホストしている可能性のあるEC2インスタンス | 明示的にラベル付けされていなくても、追加の保護や監視が必要な可能性のあるデータストアを特定するのに役立ちます。 | | VPCエンドポイントにアクセスできるLambda | 悪用されたVPCアクセス権を持つLambda関数は、機密性の高い内部サービスやデータベースとやり取りできます。 | #### IAM関連のプロンプト | プロンプト | 重要な理由 | | ----------------------- | ---------------------------------------- | | S3バケットにアクセスできるEC2インスタンス | 過度に許可されたIAMロールによるデータ流出の可能性のある経路を検出します。 | | ユーザーを作成できるLambda | ユーザー作成権限を持つ関数は、永続化や権限昇格に悪用される可能性があります。 | | 他のアカウントからアクセス可能なIAMロール | クロスアカウントアクセスは攻撃対象領域を広げ、監視されていない可能性があります。 | | 管理者権限を持つユーザー | 権限過多のユーザーは、セキュリティ設定ミスや内部脅威の主な原因です。 | | 権限過多のIAMロール | 最小権限のベストプラクティスを超える過剰な権限を持つロールを検出します。 | #### CVE/EOLの問題 | プロンプト | 重要な理由 | | --------------------------- | ---------------------------------------------------------------------------------------------------------- | | CVE-2025-21613に脆弱なEC2インスタンス | インフラ内の既知の高リスク脆弱性に対して、的を絞った修復を可能にします。 | | 古いOSを実行しているEC2インスタンス | レガシーシステムは重要なセキュリティパッチやサポートが不足していることが多く、リスクが高まります。 | | 古いPythonを使っているVM | 古いランタイムは脆弱であり、最新のセキュリティライブラリと互換性がない場合があります。 | | 重大な脆弱性を持つVM | 脆弱性の深刻度に基づき、悪用される可能性が最も高いVMの修復を優先します。 | | log4shellに脆弱なEC2インスタンス | 特定の脆弱性を狙って絞り込むことで、重要なゼロデイを迅速かつ徹底的に修正できます。 | | 高または重大な脆弱性を持つコンテナ | ECS、Lambda、App Runnerなど、クラウドでコンテナを実行する方法はいくつもあります。これにより、重大な脆弱性の影響を受けるコンテナを特定し、優先順位を付けられます。 | | 古いPythonを使っているコンテナ | 古いパッケージ（この場合はPython）を使っている、すべてのサービスにまたがるコンテナをすばやく特定します。 | | EOLのディストリビューションを使っているコンテナ | コンテナは、通常はベースイメージの一部として、保守されていないオペレーティングシステムを実行することもあります。これらを更新するとコンテナのセキュリティが大幅に向上し、多くの脆弱性にも対処できる可能性があります。 | #### 高度: 組み合わせる | プロンプト | 重要な理由 | | ------------------------------------------------ | -------------------------------------------------------- | | S3バケットにアクセスできる、CVE-2025-21613に脆弱な公開EC2インスタンスを見せて | 公開露出 + 脆弱性 + 機密データへのアクセス、というエンドツーエンドの攻撃チェーンをモデル化します。 | | 手動で作成されたLambda関数 | 手動プロビジョニングは、IaCのガードレールやコンプライアンスチェックを回避する可能性があります。 | | 管理者権限を持ち、インターネットに公開されている関数 | 管理者権限とインターネット公開を持つサーバーレスリソースは、権限昇格やデータ流出に悪用される可能性があります。 | | 最もリスクの高いデータストア | Aikidoが、露出、脆弱性、権限に基づいて最もリスクの高いデータ資産を表示し、保護の優先順位付けを支援します。 | ### プロンプト作成のベストプラクティス * **ぴったりの用語を見つけるのに悩む必要はありません:** 従うべき定義済みのプロンプト、用語、ルールはありません。クラウド環境で見たいものを何でも説明すれば、Aikidoが検索に必要な内容とクエリの生成を判断します。 * **プロンプトエンジニアリング:** 結果に満足できない場合は、望む内容をより具体的にしてみてください。例 ❌RDSにアクセスできる関数 ✅RDSインスタンスへのネットワークアクセスを持つLambda関数 * **広範な検出には単一のキーワードを使用する:** 単一のキーワードを入力すると、Aikidoがアセット全体にわたって広範なテキスト検索を実行します。たとえば、ユーザー名で検索すると次が返されます: * 同じ名前、または似た名前のユーザー * そのユーザーが所属するすべてのグループ、\ タグにその名前が含まれるアセット、\ およびそのユーザーに言及しているポリシー。 **ヒント: ユーザー名、インスタンス名、タグ値などのキーワードを使うと、関連するアセットや権限をすばやく見つけられます。** たとえば `alice` と入力すると、ユーザープロファイル、所属グループ、名前付きのEC2インスタンス、そしてそのユーザーに言及しているIAMポリシーが、1回の検索ですべて表示されることがあります。 ### 仕組み（詳細） あなたが次の後 [クラウド環境を接続すると](https://help.aikido.dev/cloud-scanning/connect-your-cloud)、Aikidoは自動的にアセットインベントリを作成し、アカウントとリージョン全体の可視性を提供します。Aikidoは、クラウドプロバイダーのAPIを呼び出すことで、クラウドスキャン（スケジュール実行および手動トリガー実行）の一環としてインベントリを同期します。さらに、Aikidoプラットフォームからのデータでグラフを拡張します。たとえば、以下で見つかった脆弱性やEOLの問題などです [仮想マシン](https://help.aikido.dev/virtual-machine-scanning/virtual-machines-overview) と [コンテナ](https://help.aikido.dev/container-image-scanning/container-image-scanning-overview). クラウドアセットインベントリには、 **Clouds -> Assets** タブからアクセスできます。これにより、接続済みのすべてのクラウドのアセットが表示されます。あるいは、特定のクラウドに移動して、そのアセットタブを見ると、そのクラウドのアセットのみが表示されます。
クラウドインベントリを検索するには、見たいものを **自然言語で** 記述し、関連するアセットを見つける方法はシステムに判断させます。Aikidoは、プロンプトの複雑さに応じて、1つまたは複数のステップにプロンプトを変換します。その後、最終結果を得るためにステップを実行する過程で、中間結果を表示します。 上の例では、「S3バケットにアクセスできるEC2インスタンスを見せて」というプロンプトに対して、AikidoはEC2インスタンスに関連付けられたIAMロール（インスタンスプロファイル経由）を探し、S3バケットへのアクセス権を持つIAMロール（インラインポリシーまたはアタッチ済みポリシーのいずれかで付与されたもの）を見つけ、ロールにアクセス権を付与するバケットポリシーを見つけ、それらを最終結果にまとめました。 最初のタブで、すべてのステップ、その要約、アセット一覧を確認できます。複数のクラウドプロバイダー（AWS、Azure、Google Cloud）を接続している場合は、各プロバイダーに関連する複数のタブが表示されます。
最終結果は右側のタブに表示され、検索条件に該当するアセットの完全な一覧が含まれます。これはマルチクラウド検索でも同様で、AWS、Azure、Google Cloudのすべてのアセットがまとめて表示されます。 #### 補足 * 1語で検索すると、Aikidoはテキスト検索を実行し、名前やその他のフィールドでアセットを見つけられます。たとえば、ユーザーの名前で検索すると、Aikidoはそのユーザーと、そのユーザーが所属するすべてのグループ、タグでそのユーザーが言及されているアセット、そしてARNでそのユーザーを参照しているポリシーを返します。 * Aikidoはプロンプトをキャッシュし、後続の検索をさらに高速に提供します。また、以前の検索も表示します（あなたのユーザー分のみ）。 ![](/files/fc57367219aa71aef838f904474299a8f7aa9487) --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://help.aikido.dev/docs/docs-ja/kuraudosukyan/cloud-search-querying-the-asset-graph.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.