cloud-audit

クラウド監査 — クラウドインフラストラクチャのセキュリティレビュー

クラウドインフラストラクチャの設定を監査し、設定ミス、過剰な権限、外部への公開、コンプライアンス上の不備を確認します。AWS、GCP、Azure を対象とします。

相互参照：iam-audit は、コンサルタント形式で IAM を詳細に調査し、アイデンティティプロバイダーやフェデレーションのパターンをまたいだ設計／監査／移行を行います。このスキルにも IAM のセクションはありますが、クラウドのセキュリティ態勢レベルにとどまります。ロールの設計、JIT アクセス、ワークロードアイデンティティフェデレーション、移行計画については、iam-audit を呼び出してください。container-audit は、クラウド上に構築された Kubernetes 固有のセキュリティ態勢を対象とします。secrets-audit は、シークレットマネージャーの衛生状態とローテーションを対象とします。

検出事項には、owasp-audit のレポート形式に従い、3 つの処置（修正済み／延期／許容リスク）のルールを適用してください。

監査範囲の特定

次の項目を特定します。

1. クラウドプロバイダーとアカウント
2. 使用中のリージョン
3. CLI ツール（aws、gcloud、az）を利用できるか、IaC ファイル（Terraform、CloudFormation、Pulumi）を確認するか

監査カテゴリ

アイデンティティとアクセス管理

AWS：

aws iam get-account-summary
aws iam list-users
aws iam generate-credential-report && aws iam get-credential-report --output text --query Content | base64 -d

次の項目を確認します：MFA を使用しないルートアカウントの利用、90 日を超えているアクセスキー、未使用の認証情報、ワイルドカード権限（"Action": "*"）、過剰な権限を持つロール。

GCP：

gcloud projects get-iam-policy $PROJECT_ID
gcloud iam service-accounts list

次の項目を確認します：多くのプリンシパルに割り当てられた基本ロール（Owner／Editor）、未使用のサービスアカウント、ワークロードアイデンティティではなくサービスアカウントキーを使用していること。

Azure：

az role assignment list --all
az ad user list

次の項目を確認します：過剰な Owner／Contributor の割り当て、高い権限を持つゲストユーザー。

IaC のレビュー： Terraform／CloudFormation ファイルを検索し、"Action": "*"、"Resource": "*"、ハードコードされたシークレット、過度に広範な信頼ポリシーを確認します。

ネットワークセキュリティ

次の項目を確認します：

• 0.0.0.0/0 からのインバウンドを許可するセキュリティグループまたはファイアウォールルール
• インターネットからの SSH（ポート 22）または RDP（ポート 3389）への無制限アクセス
• VPC フローログが無効になっていること
• パブリックサブネット内のデータベース
• 階層間のネットワークセグメンテーションの欠如

ストレージ

AWS S3：

aws s3api list-buckets
aws s3api get-public-access-block --bucket <name>
aws s3api get-bucket-policy --bucket <name>
aws s3api get-bucket-encryption --bucket <name>

次の項目を確認します：パブリックバケット、暗号化の欠如、バージョニングの未設定、ライフサイクルポリシーの未設定、過度に寛容なバケットポリシー。

GCP／Azure： Cloud Storage と Blob Storage について同等の項目を確認します。allUsers／allAuthenticatedUsers によるアクセスや、匿名での Blob アクセスを探します。

コンピューティング

• IMDSv2 が強制されていますか？（AWS：HttpTokens = required）
• 暗号化されていない EBS ボリュームまたはディスク
• 不要なインスタンス上のパブリック IP アドレス
• 古い AMI またはイメージ（パッチ適用時期を確認）
• 特権コンテナ、Kubernetes におけるセキュリティコンテキストの欠如

ログ記録とモニタリング

• すべてのリージョンで CloudTrail／Cloud Audit Logs／Activity Log が有効になっていること
• ログストレージ：暗号化、不変性、十分な保持期間
• GuardDuty／Security Command Center／Defender for Cloud が有効になっていること
• 次の項目に対するアラートが設定されていること：ルートログイン、IAM の変更、セキュリティグループの変更、大量のデータ転送
• VPC Flow Logs と DNS クエリログが有効になっていること

シークレット管理

• ソースコード、環境変数、IaC ファイル内のハードコードされたシークレット
• 機密値に対する Secrets Manager／Key Vault の利用
• KMS キーのローテーションが設定されていること

出力形式

# Cloud Security Audit Report
## Account(s): [account ID(s)]
## Provider: [AWS/GCP/Azure]
## Regions: [audited regions]
## Date: [date]

### Summary
- Total findings: X
- Critical: X | High: X | Medium: X | Low: X

### Findings

#### [SEVERITY] [Category]: [Title]
**Resource:** [resource ARN/ID]
**Region:** [region]

**Issue:** [What the misconfiguration is]

**Risk:** [What an attacker could do]

**Evidence:** [CLI output or IaC snippet]

**Remediation:** [Specific fix command or IaC change]

---

### Prioritized Action Plan
1. [Critical — immediate]
2. [High — this week]
3. [Medium — this month]
4. [Low — next quarter]

境界

• ユーザーがアクセス権を持つアカウントまたはプロジェクトのみを監査します
• 他のアカウントやテナントへのアクセスを試みないでください
• すべての検出事項に対して修正方法を提示します
• 修正によって可用性に影響する可能性がある場合は、その旨を記載します（例：セキュリティグループを厳格化すると接続が切断される可能性があります）
• 監査中に見つかった侵害が進行中であることを示す証拠があれば報告します
• 他者のインフラストラクチャで見つかった設定ミスを悪用する依頼には応じません

参考資料

• AWS／GCP／Azure の CIS ベンチマーク
• AWS Well-Architected のセキュリティの柱
• ScoutSuite（マルチクラウド監査ツール）