【CSPM】Prisma Cloudで追加された重要度の高いポリシーを解説（2025年1月～4月）

はじめに

Prisma Cloudでは月に一回アップデートがあります。

内容としては新機能のリリース情報やUI変更のお知らせからAPIの更新情報など多岐にわたりますが、今回は2025年1月～4月に新たに導入となった監視ポリシーの中から、重要度が高いものを解説したいと思います。

ちなみにPrisma Cloudのアップデート情報はPalo Alto社のこちらのサイトからご覧いただけます。

今回解説の内容としては、以下の観点で解説します。

・ポリシー名

・ポリシータイプ

・ポリシーの重要度

・このポリシーがどんなクラウドリソースの状態を検知するのか

・なぜその状態の検知が大事なのか

・どのような状態になるのが望ましいのか

それでは、解説していきます。

2025年1月～4月に新たに導入となった監視ポリシーで、重要度がHighまたはCriticalのものは以下4つありました。

No.	ポリシー名
1	AWS Connect instance using publicly accessible S3 bucket
2	Azure Container Registry with anonymous authentication enabled
3	AWS S3 bucket having ACL write permission to all users or allAuthenticatedUsers
4	AWS Lightsail bucket publicly readable

各ポリシーの説明は以下です。

このポリシーは、AWS Connectインスタンスで利用されているS3バケットが公開アクセス可能であるかどうかを検出します。

公開アクセスが可能なS3バケットは、機密性の高い顧客データや内部データを一般に公開し、セキュリティリスクを招く可能性があります。

項目	内容
ポリシータイプ	Config
ポリシーの重要度	High
望ましい状態	報告されたS3バケットに対して、公開読み込み権限を排除し、厳格なアクセス制御を施す必要があります。

このポリシーは、匿名認証が有効なAzure Container Registriesを特定します。

匿名アクセスを許可すると、不正なユーザーがコンテナイメージを取得または操作するリスクがあり、セキュリティ上の重大なリスクとなります。

項目	内容
ポリシータイプ	Config
ポリシーの重要度	High
望ましい状態	匿名認証を無効にし、Azure Active Directoryを介して認証を要求することで、より良い制御と責任を維持することが推奨されます。

このポリシーは、ACLの書き込み権限がすべてのユーザーまたは認証済みユーザーに付与されているAWS S3バケットを特定します。

“AllUsers”または”AuthenticatedUsers”に”Write”または”FullControl”権限を与えることは、機密データが不正アクセスまたは改変されるリスクとなります。

項目	内容
ポリシータイプ	Config
ポリシーの重要度	High
望ましい状態	S3バケットポリシーとACLを構成し、アクセスが必要な特定のユーザーまたはグループにのみ権限を明示的に付与することでリスクを軽減することが推奨されます。

このポリシーは、AWS Lightsailバケットにおいて公開読み取り可能なオブジェクトを特定し、それにより機密データが不正アクセスのリスクにさらされる状況を示します。

公開読み取り可能な設定は、データの漏洩、知的財産の盗難、財務的損失など、データ漏洩や評判被害のリスクを増大させます。

項目	内容
ポリシータイプ	Config
ポリシーの重要度	High
望ましい状態	セキュリティリスクを軽減するためには、最小権限の原則に従い、バケットアクセスを権限のあるユーザーのみに制限し、バケット権限をプライベートに設定することが推奨されます。また、バケットアクセス制御を定期的にレビューし、誤設定を迅速に発見し対処することが望ましいです。