detecting-shadow-it-cloud-usage について
SOC アナリスト向けのセキュリティスキルで、プロキシ、DNS、ネットワークログから未承認の SaaS やクラウド利用を検出します。サービスを分類して通信量とリスクを集計し、検出レポートを作成します。
主な機能
- 01プロキシ・DNSログの解析
- 02ドメイン別通信量の集計
- 03クラウドサービスの分類
- 04未承認サービスの検出
- 05リスク評価とレポート作成
活用シーン
- 01未承認クラウド利用の調査
- 02脅威ハンティングクエリの作成
- 03セキュリティ監視範囲の確認
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/detecting-shadow-it-cloud-usageを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
LICENSEreferences/api-reference.mdscripts/agent.py詳細
シャドー IT クラウド利用の検出
概要
シャドー IT とは、IT 部門の承認を得ずに使用される、未承認の SaaS アプリケーションやクラウドサービスを指します。このスキルでは、プロキシログ、DNS クエリログ、ファイアウォール／NetFlow データを分析し、未承認のクラウドサービス利用を特定します。検出されたドメインを既知の SaaS カテゴリに分類し、データ転送量を測定するとともに、セキュリティ態勢とコンプライアンス要件に基づいて高リスクのサービスにフラグを立てます。
使用する場面
- シャドー IT クラウド利用の検出が必要なセキュリティインシデントを調査する場合
- この分野の検出ルールや脅威ハンティングクエリを作成する場合
- SOC アナリストが、この種の分析に必要な手順を体系化する場合
- 関連する攻撃手法に対するセキュリティ監視の網羅性を検証する場合
前提条件
pandas、tldextractを備えた Python 3.9 以降- プロキシログ（Squid、Zscaler、Palo Alto 形式）または DNS クエリログ
- 分類に使用する SaaS アプリケーションカタログ／ブロックリスト
- FQDN 解決情報を含むネットワークファイアウォールログ（任意）
手順
- プロキシアクセスログを解析し、通信量とともに宛先ドメインを抽出します
- DNS クエリログを解析し、名前解決されたクラウドサービスのドメインを特定します
- pandas を使用してドメインごとに通信を集計します（合計バイト数、リクエスト数、ユニークユーザー数）
- ドメインを既知の SaaS カテゴリ（ストレージ、メール、開発ツール、AI）に分類します
- 承認済みアプリケーションリストにない未承認サービスにフラグを立てます
- データ量、ユーザー数、サービスカテゴリに基づいてリスクスコアを算出します
- シャドー IT の検出レポートと是正に関する推奨事項を作成します
想定される出力
- 検出されたクラウドサービスについて、通信量、ユーザー数、リスクスコア、承認状況を記載した JSON レポート
- データ流出リスクの高い順に並べた未承認サービスの一覧
コメント
Markdown 対応