パスワードなどの機密性の高い Azure ARM テンプレート パラメーターでは、通常、securestring または secureobject タイプを使用します。

セキュア タイプを使用するパラメーターの場合、パラメーター値はログに記録されず、デプロイメント履歴に保存されません。

しかし、ハードコーディングされたデフォルト値がセキュア タイプに設定されている場合、そのデフォルト値は、テンプレートまたはデプロイメント履歴にアクセスできるすべてのユーザーが読み取ることができます。

ハードコーディングされたシークレットはセキュリティを危険にさらす可能性があり、この問題への対策は簡単ではありません。ソフトウェアが実運用に入った後は、侵害されたシークレットを変更するためのアップデートが必要です。

データの暗号化に使用されるシークレットの場合、侵害されたキーによって保護されているすべてのデータを復号化および再暗号化するために、キーローテーション手順を実行する必要があります。

例 1: 次のテンプレートは、ハードコーディングされたデフォルト値を持つ、シークレット タイプのパラメーターを示しています。

{
    ...
    "parameters": {
        "rootPassword": {
            "defaultValue": "HardcodedPassword",
            "type": "secureString"
        },
        "adminLogin": {
            "type": "string"
        },
        "sqlServerName": {
            "type": "string"
        }
    },
    ...
}

パブリック アクセス可能な Kubernetes API サーバーは、組織を攻撃にさらす危険性があります。

例 1: 次の例は、API サーバーへの接続を許可される IP アドレスの範囲を制限しない Kubernetes サービス クラスターを定義するテンプレートを示しています。

{
    "name": "TestCluster",
    "type": "Microsoft.ContainerService/managedClusters",
    "apiVersion": "2020-02-01",
    "location": "[resourceGroup().location]",
    "properties": {
    ...
    "servicePrincipalProfile": {
        "clientId": "422313d8-123a-41ea-8f8e-90821ff61c05",
        "secret": "xxxxxxxxxxxxxxxxx"
    },
    }
}

デバッグ インターフェイスは、攻撃者に、より標的を絞った攻撃に利用できる情報を提供します。

例 1: 次のテンプレートの例では、リモート デバッグが有効な Azure App Service を定義しています。

{
    ...
    "type": "Microsoft.Web/sites/config",
    "properties":
    {
        ...
        "remoteDebuggingEnabled": true,
    }
}

デフォルトでは、Azure BLOB ストレージ コンテナーは BLOB への匿名アクセスを防ぎます。

アクセス設定が不十分であると、システムが公開され、組織の攻撃対象領域が広がります。パブリック アクセスが可能なリソースは、意図せずに機密データを漏洩する可能性があります。

例 1: 次のテンプレートの例では、publicAccess プロパティを Container に設定して、Azure BLOB ストレージ コンテナーを定義しています。これにより、コンテナーのすべての BLOB とデータに匿名でアクセスできます。

{
    "type": "Microsoft.Storage/storageAccounts/blobServices/containers",
    "apiVersion": "2021-04-01",
    "name": "[format('{0}/default/{1}', parameters('storageAccountName'), parameters('containerName'))]",
    "properties":{
        "publicAccess": "Container"
    }
    ,
    "dependsOn": [
        "[resourceId('Microsoft.Storage/storageAccounts', parameters('storageAccountName'))]"
    ]
}

アクセス設定が不十分であると、システムが公開され、組織の攻撃対象領域が広がります。インターネットと情報をやりとりするサービスは、悪意のあるエンティティによる継続的なスキャンとプロービングの対象となります。

これは、公開されたサービスのゼロデイ エクスプロイトが発見され、公表された場合 (Heartbleed など) に、特に問題になります。攻撃者は、パッチが適用されていない、公開されたシステムを積極的に追跡、検索して、それを悪用できます。

例 1: 次のテンプレートの例では、publicNetworkAccess プロパティを有効にし、IP 制限を設けないことで、ネットワーク アクセスが制限されない Azure Container Registry を定義しています。

{
    "name": "[variables('acrName')]",
    "type": "Microsoft.ContainerRegistry/registries",
    ...
    "properties": {
        "publicNetworkAccess": "Enabled",
        ..
}

例 2: 次のテンプレートの例では、networkRuleSet プロパティに幅広い許可リストを指定することで、ネットワーク アクセスが制限されない Azure Container Registry を定義しています。

{
    "name": "[variables('acrName')]",
    "type": "Microsoft.ContainerRegistry/registries",
    ...
    "properties": {
        "publicNetworkAccess": "Enabled",
        "networkRuleSet":
        {
            "defaultAction": "Allow",
            "ipRules":[{
                "action": "Allow",
                "value": "*"
            }]
        }
        ...
}

クロスオリジン リソース シェアリングは、一般に CORS と呼ばれ、ドメインが、そのリソースが別のドメインでホストされている Web ページからアクセスされるポリシーを定義できるようにするテクノロジーです。これまで、Web ブラウザーは、同一生成元ポリシーに従うために、異なるドメインからロードされたスクリプトによるそのドメイン リソースへのアクセスを制限してきました。
CORS は、ドメインが他のドメインを許可し、それらのドメインがそのリソースにアクセスできるようにする手段を提供します。

ドメインまたはドメイン上のディレクトリに対してサーバー レベルで設定された、過度に許容的なポリシーは、意図したよりも多くのコンテンツをクロス ドメイン アクセスに公開する可能性があるため、CORS ポリシーを定義するときは注意してください。CORS を使用すると、悪意のあるアプリケーションが被害者のアプリケーションと不適切に通信できるようになり、情報の開示、なりすまし、データの盗難、リレー、またはその他の攻撃につながる可能性があります。

CORS を実装すると、アプリケーションの攻撃対象領域が増える可能性があるため、必要な場合にのみ使用してください。

例 1: 次のテンプレートの例は、Azure SignalR Web アプリケーションに適用する、過度に許容的な CORS ポリシーを定義しています。

{
    ...
    "type": "Microsoft.SignalRService/SignalR",
    ...
    "properties": {
    ...
        "cors": {
            "allowedOrigins": ["*"]
        },
    ...
}

例 2: 次のテンプレートの例は、Azure Web アプリケーションに適用する、過度に許容的な CORS ポリシーを定義しています。

{
    "apiVersion": "2020-12-01",
    "type": "Microsoft.Web/sites",
    ...
    "properties": {
        ...
        "siteConfig": {
            ...
            "cors": {
                "allowedOrigins": [
                    "*"
                ]
            },
    ...
}

例 3: 次のテンプレートの例は、Azure Maps アカウントに適用する、過度に許容的な CORS ポリシーを定義しています。

{
    "apiVersion": "2021-12-01-preview",
    "type": "Microsoft.Maps/accounts",
    ...
    "properties":{
        "cors":{
            "allowedOrigins": ["*"]
        }
    },
    ...
}

例 4: 次のテンプレートの例は、Azure Cosmos DB アカウントに適用する、過度に許容的な CORS ポリシーを定義しています。

{
    "type": "Microsoft.DocumentDB/databaseAccounts",
    ...
    "properties": {
        "cors": [{
            "allowedOrigins":"*"
        }],
    ...
}

例 5: 次のテンプレートの例は、Azure ストレージ BLOB サービスに適用する、過度に許容的な CORS ポリシーを定義しています。

{
"type": "Microsoft.Storage/storageAccounts/blobServices",
    ...
    "properties": {
        "cors": {
            "corsRules": [
                {
                    "allowedOrigins":["*"],
                    ...
                }
            ]
        }
    }
    ...
}

アクセス設定が緩いと、システムが公開され、組織の攻撃対象領域が広がります。インターネットと情報をやりとりするサービスは、悪意のあるエンティティによるほぼ継続的なスキャンとプロービングの対象となります。

これは、公開されたサービスのゼロデイ エクスプロイトが発見され、公表された場合 (Heartbleed など) に、特に問題になります。攻撃者は、パッチが適用されていない、公開されたシステムを積極的に追跡、検索して、それを悪用できます。

例 1: 次のテンプレートの例では、無制限のネットワーク アクセスが可能な Azure Cosmos DB を定義しています。publicNetworkAccess プロパティが Enabled に設定され、IP アドレス範囲にはすべての IP が含まれます。

{
    "type": "Microsoft.DocumentDB/databaseAccounts",
    "apiVersion": "2021-04-15",
    ...
    "properties": {
        ...
        "publicNetworkAccess": "Enabled",
        "ipRules":[{
                "ipAddressOrRange":  "0.0.0.0"
            }]
    ...
}

過度に広く定義すると、システムが公開され、組織の攻撃対象領域が広がります。一般に公開されているサービスは、攻撃者によるほぼ継続的なスキャンとプロービングの対象になります。

これは、公開されたサービスのゼロデイ エクスプロイトが発見され、公表された場合 (Heartbleed など) に、特に問題になります。攻撃者は、パッチが適用されていない、公開されたシステムを積極的に追跡、検索して、それを悪用できます。

例 1: 次のテンプレートの例では、RDP サービスポート (3389) を含むさまざまなポートへの、無制限の受信トラフィックを許可しています。

{
    ...
    "name": "sample/securitygroup",
    "type": "Microsoft.Network/networkSecurityGroups/securityRules",
    "apiVersion": "2020-11-01",
    "properties": {
        "description": "Services Inbound Range",
        "protocol": "Tcp",
        "sourcePortRange": "*",
        "destinationPortRanges": [
            "3333-3389"
        ],
        "sourceAddressPrefix": "*",
        "destinationAddressPrefix": "*",
        "access": "Allow",
        "priority": 100,
        "direction": "Inbound"
    ...
}

許容される IP アドレスの範囲が制限されていない Azure SQL データベース インスタンスは、組織の攻撃対象領域を不必要に広げます。一般に公開されているサービスは、攻撃者によるほぼ継続的なスキャンとプロービングの対象になります。

例 1: 次のテンプレートの例では、過度に公開された Azure SQL データベース インスタンスを定義しています。

{
    "resources": [
        {
            "name": "[variables('sqlServerName')]",
            "type": "Microsoft.Sql/servers",
            ...
            "resources": [
                {
                    "type": "databases",
                    ...
                },
                {
                    "name": "AllowAllIPs",
                    "type": "firewallrules",
                    "apiVersion": "2020-02-02-preview",
                    "location": "[parameters('location')]",
                    "properties": {
                        "endIpAddress": "255.255.255.255",
                        "startIpAddress": "0.0.0.0"
                    },
                }
            ]
        }
    ]
}

Transport Layer Security (TLS) プロトコルおよび Secure Sockets Layer (SSL) プロトコルは、クライアントと Web サーバーの間で転送されるデータの真正性、機密性および完全性を保証するための保護メカニズムを提供します。TLS と SSL の両方とも複数回の改訂を経て定期的にバージョンが更新されています。新しい改訂では毎回、前のバージョンで見つかったセキュリティの脆弱性に対応しています。安全ではない TLS/SSL のバージョンを使用すると、データ保護の強度が弱まり、攻撃者による機密情報の侵害、盗難、改変の可能性が生じます。

安全でないバージョンの TLS/SSL には、次のような性質のいくつかが含まれる場合があります。

- 中間者 (man-in-the-middle) 攻撃に対する保護が行われない
- 認証と暗号化に同じ鍵が使用される
- メッセージ認証制御が脆弱である
- TCP 接続の切断に対して保護が行われない

このような性質があると、攻撃者による機密データの傍受、改変、改竄が可能になることがあります。

暗号化されていない通信チャネルは、盗聴や改ざんされる傾向があります。

トランスポート セキュリティを無効にすると、データが不正アクセス、盗難、改ざんの危険にさらされます。

暗号化されていない通信チャネルは、盗聴や改ざんされる傾向があります。

トランスポート セキュリティを無効にすると、データが不正アクセス、盗難、改ざんの危険にさらされます。

暗号化されていない通信チャネルは、盗聴や改ざんされる傾向があります。

デフォルトでは、apiVersion 2019-04-01 以降、Azure ストレージ アカウントにはリクエストに応答するための安全な接続が必要とされますが、この要件は supportsHttpsTrafficOnly プロパティを使用して無効化できます。

転送セキュリティを無効にすると、データが不正アクセス、盗難、改ざんの危険にさらされます。

例 1: 次のテンプレートの例は、安全な転送を強制しないストレージ アカウントを示しています。

{
    "name": "Storage1",
    "type": "Microsoft.Storage/storageAccounts",
    "apiVersion": "2021-02-01",
    ...
    "properties": {
        "supportsHttpsTrafficOnly": false
    }
}