detecting-azure-storage-account-misconfigurations

Azure Storage アカウントの設定ミスの検出

概要

Azure Storage アカウントは、パブリックアクセスの設定ミス、有効期限の長い SAS トークン、暗号化の欠如、古い TLS バージョンなどを原因として、攻撃者に頻繁に狙われます。このスキルでは、azure-mgmt-storage Python SDK の StorageManagementClient を使用して、サブスクリプション内のすべてのストレージアカウントを列挙し、セキュリティプロパティを検査し、パブリックアクセス設定について Blob コンテナーを一覧表示して、重大な設定ミスを特定するリスクスコア付きの監査レポートを生成します。

使用する場面

• Azure Storage アカウントの設定ミスの検出が必要なセキュリティインシデントを調査する場合
• この領域の検出ルールや脅威ハンティング用のクエリを作成する場合
• SOC アナリストがこの種の分析に関する体系的な手順を必要とする場合
• 関連する攻撃手法について、セキュリティ監視の対応範囲を検証する場合

前提条件

• azure-mgmt-storage、azure-identity を使用する Python 3.9 以降
• 対象のサブスクリプションで Reader ロールが付与された Azure サービスプリンシパル
• 環境変数：AZURE_CLIENT_ID、AZURE_TENANT_ID、AZURE_CLIENT_SECRET、AZURE_SUBSCRIPTION_ID

主な検出項目

1. パブリック Blob アクセス — ストレージアカウントで allow_blob_public_access が有効になっている、または個々のコンテナーのアクセスレベルが Blob／Container に設定されている
2. HTTPS の強制 — enable_https_traffic_only が無効になっており、暗号化されていない HTTP トラフィックが許可されている
3. 最小 TLS バージョン — 最小 TLS 1.2 ではなく、TLS 1.0 または TLS 1.1 を受け入れているアカウント
4. 保存データの暗号化 — ストレージサービスの暗号化が有効になっていない、またはカスタマー マネージド キーが設定されていない
5. ネットワークルール — デフォルトのアクションが Deny ではなく Allow に設定され、すべてのネットワークからストレージにアクセスできる
6. SAS トークンのリスク — アカウントレベルの SAS に過剰に広いアクセス許可が設定されている、または有効期間が長すぎる

出力

アカウントごとの検出結果、重大度（Critical／High／Medium／Low）、CIS Azure Benchmark のコントロールに沿った修復の推奨事項を含む JSON レポートです。