[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/threat-actor-misuse-of-azurehound/) * [Spanish (LATAM)](https://unit42.paloaltonetworks.com/es-la/threat-actor-misuse-of-azurehound/) * [French](https://unit42.paloaltonetworks.com/fr/threat-actor-misuse-of-azurehound/) * [Japanese](https://unit42.paloaltonetworks.com/ja/threat-actor-misuse-of-azurehound/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [クラウド サイバーセキュリティ リサーチ](https://unit42.paloaltonetworks.com/ja/category/cloud-cybersecurity-research-ja/ "クラウド サイバーセキュリティ リサーチ") [クラウド サイバーセキュリティ リサーチ](https://unit42.paloaltonetworks.com/ja/category/cloud-cybersecurity-research-ja/) # AzureHoundを使用したクラウド ディスカバリ ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 5 分で読めます Related Products [![Cortex icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex](https://unit42.paloaltonetworks.com/ja/product-category/cortex-ja/ "Cortex")[Cortex Cloud](https://unit42.paloaltonetworks.com/ja/product-category/cortex-cloud-ja/ "Cortex Cloud")[![Cortex XSIAM icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XSIAM](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xsiam-ja/ "Cortex XSIAM")[![Prisma SASE icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/prisma_RGB_logo_Icon_Color.png)Prisma SASE](https://unit42.paloaltonetworks.com/ja/product-category/prisma-sase-ja/ "Prisma SASE")[![Secure Access Service Edge (SASE) icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/prisma_RGB_logo_Icon_Color.png)Secure Access Service Edge (SASE)](https://unit42.paloaltonetworks.com/ja/product-category/secure-access-service-edge-ja/ "Secure Access Service Edge (SASE)")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/ja/product-category/unit-42-incident-response-ja/ "Unit 42 Incident Response") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Margaret Kelley](https://unit42.paloaltonetworks.com/ja/author/margaret-kelley/) * [Bill Batchelor](https://unit42.paloaltonetworks.com/ja/author/bill-batchelor/) * [Eyal Rafian](https://unit42.paloaltonetworks.com/ja/author/eyal-rafian/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2025年10月24日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [クラウド サイバーセキュリティ リサーチ](https://unit42.paloaltonetworks.com/ja/category/cloud-cybersecurity-research-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Control plane](https://unit42.paloaltonetworks.com/ja/tag/control-plane-ja/) * [Curious Serpens](https://unit42.paloaltonetworks.com/ja/tag/curious-serpens-ja/) * [Data plane](https://unit42.paloaltonetworks.com/ja/tag/data-plane-ja/) * [Logging](https://unit42.paloaltonetworks.com/ja/tag/logging-ja/) * [Microsoft Azure](https://unit42.paloaltonetworks.com/ja/tag/microsoft-azure-ja/) * [Pentest tool](https://unit42.paloaltonetworks.com/ja/tag/pentest-tool-ja/) * [Security logging](https://unit42.paloaltonetworks.com/ja/tag/security-logging-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/threat-actor-misuse-of-azurehound/?pdf=download&lg=ja&_wpnonce=ac4b3be3b8 "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/threat-actor-misuse-of-azurehound/?pdf=print&lg=ja&_wpnonce=ac4b3be3b8 "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=AzureHoundを使用したクラウド%20ディスカバリ&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fthreat-actor-misuse-of-azurehound%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fthreat-actor-misuse-of-azurehound%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fthreat-actor-misuse-of-azurehound%2F&title=AzureHoundを使用したクラウド%20ディスカバリ "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fthreat-actor-misuse-of-azurehound%2F&text=AzureHoundを使用したクラウド%20ディスカバリ "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fthreat-actor-misuse-of-azurehound%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=AzureHoundを使用したクラウド%20ディスカバリ%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fthreat-actor-misuse-of-azurehound%2F "Share in Mastodon") ## エグゼクティブ サマリー AzureHoundは、BloodHoundスイートの一部である侵入テストを目的としたデータ収集ツールです。脅威アクターはこのツールを悪用して、Azureリソースを列挙し、潜在的な攻撃経路をマッピングすることで、さらなる悪意のある操作を可能にしています。ここでは、擁護者がこのツールを理解し、不正な使用から身を守ることを支援します。 AzureHoundの機能と一般的な使用方法について説明し、そのツールの使用方法をMITRE ATT\&CKフレームワークにマッピングします。本稿では、関連するATT\&CK技術に焦点を当て、ツールの実行例を通して、アクティビティがAzureログソースやCortex XDRにどのように表示されるかを説明します。 AzureHoundのようなツールは、脅威アクターがクラウド環境で迅速かつ効率的に活動することを可能にするものです。このようなツールを使用する脅威アクターは、調査すべき場所を知っている熟練の防御担当者にとっては、しばしば検出可能な証拠を残します。本稿では、検出のチューニングをはじめ、インシデント対応プロセスの改善、脅威ハンティングの実施、セキュリティ機能の管理に役立つ実用的なインテリジェンスも取り上げています。 パロアルトネットワークスのお客様は、以下の製品およびサービスを通じて、ここに記載されている脅威に対する確実な保護を構築いただけます。 * [Cortex Cloud](https://www.paloaltonetworks.com/cortex/cloud) * [Cortex XSIAM](https://docs-cortex.paloaltonetworks.com/p/XSIAM) * [Prisma Browser](https://www.paloaltonetworks.com/apps/pan/public/downloadResource?pagePath=/content/pan/en_US/resources/datasheets/prisma-access-browser) 情報漏えいの可能性がある場合、または緊急の案件がある場合は、[Unit 42インシデント レスポンス チーム](https://start.paloaltonetworks.com/contact-unit42.html)までご連絡ください。 | **Unit 42の関連トピック** | [**Azure**](https://unit42.paloaltonetworks.com/ja/tag/azure-ja/)**,** [**制御プレーン**](https://unit42.paloaltonetworks.com/ja/tag/control-plane-ja/)**,** [**データプレーン**](https://unit42.paloaltonetworks.com/ja/tag/data-plane-ja/)**,** [**セキュリティ ロギング**](https://unit42.paloaltonetworks.com/ja/tag/security-logging-ja/) | |--------------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| ## AzureHoundツールの背景 [AzureHound](https://github.com/SpecterOps/AzureHound)は、Goプログラミング言語で書かれたオープンソースのデータ収集ツールです。Windows、Linux、macOS用にプリコンパイルされています。 ツールは、Microsoft GraphとAzure REST Application Programming Interface(API)を使用してデータを収集するものです。Entra IDとAzure環境を列挙し、IDやその他のさまざまなリソースに関する情報を収集するように設計されています。この列挙の目的は、収集したデータを使用して、ターゲットのAzure環境内で特権昇格への潜在的な攻撃経路を特定することです。 AzureHoundは、その出力を[BloodHound](https://github.com/SpecterOps/BloodHound)が取り込むことができるJSONファイルに送信することができます。 BloodHoundは、Entra ID、Azure、Active Directory(AD)環境内の隠れた関係をグラフィカルに明らかにし、アタックサーフェスを特定するために設計された可視化ツールです。 [Microsoft Graph API](https://learn.microsoft.com/en-us/graph/use-the-api)は、[Microsoft 365](https://learn.microsoft.com/en-us/microsoft-365/enterprise/microsoft-365-overview?view=o365-worldwide)および[Microsoft Entra](https://learn.microsoft.com/en-us/entra/fundamentals/whatis) [ID](https://learn.microsoft.com/en-us/entra/fundamentals/whatis)内の組織データとIDへのプログラムによるアクセスを開発者に提供します。 インフラストラクチャ層で動作するAzure REST APIでは、[Azure Resource Manager](https://learn.microsoft.com/en-us/azure/azure-resource-manager/management/overview)(ARM)へのアクセスを取得できます。これはストレージ、仮想マシン、ネットワークなど、すべてのAzureリソースのコントロールプレーンに該当するものです。 AzureHoundは、侵害を受けた環境から実行される必要はありません。これは、Microsoft GraphとAzure REST APIの両方が外部から利用可能であるためです。 ## 脅威アクターによるAzureHoundの使用状況 AzureHoundは、クラウドの脆弱性を積極的に見つけ、修正するために、セキュリティの専門家(ディフェンダーやレッドチームなど)が使用することを意図としたツールです。しかし、脅威アクターによって、標的のAzure環境にアクセスした後、脆弱性を見つけるために悪用されることもあります。 脅威アクターはAzureHoundを使用して、Azure環境における複雑な発見手順を自動化しています。これは、ユーザー階層を発見し、価値の高いターゲットを特定するのに効果的です。 Azureの内部情報を収集することは、ターゲットとなるAzure環境の全体像を把握しなければわからないような、設定ミスや間接的な権限昇格の機会を発見するのに役立ちます。 脅威アクターはまた、標的の環境に最初にアクセスした後、ツールを実行し、アクセス権を得た資産に対してAzureHoundをダウンロードして実行します。 最近の2025年8月でも、本ツールを使用した脅威アクターの活動は、重要なアタックサーフェスとしてのクラウド環境への継続的な重点を強調しています。公開されている調査によると、AzureHoundは、いくつかの侵害後の作戦の一部であることが確認されています。 * [Unit 42](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2025/)は、イランの支援を受けたグループ、Curious Serpens(別名: [Peach Sandstorm](https://www.microsoft.com/en-us/security/blog/2023/09/14/peach-sandstorm-password-spray-campaigns-enable-intelligence-collection-at-high-value-targets/))を追跡調査しており、このグループは少なくとも2013年から活動していることが確認されています。グループは、AzureHoundを使用してターゲットのMicrosoft Entra ID環境の内部探索を行うなど、攻撃チェーンの中でAzureクラウド環境を悪用するように進化してきた背景があります。 * 2025年5月、Microsoftは、国家支援を受けている脅威アクターと疑われるグループについて報告しています。[Void Blizzard](https://www.microsoft.com/en-us/security/blog/2025/05/27/new-russia-affiliated-actor-void-blizzard-targets-critical-sectors-for-espionage/)と称される当該グループは、攻撃の発見段階でAzureHoundを活用しており、Entra IDのコンフィギュレーションを列挙していることが報告されています。 * 2025年8月、Microsoftはランサムウェアのオペレーターによるキャンペーンを報告しており、オペレーターを[Storm-0501](https://www.microsoft.com/en-us/security/blog/2025/08/27/storm-0501s-evolving-techniques-lead-to-cloud-based-ransomware/)として特定しています。ハイブリッドでマルチテナントなAzure環境でオンプレミスを運用する脅威アクターは、AzureHoundを使用してターゲットのEntra IDテナントを列挙しています。 ## MITRE戦術のディスカバリ [MITRE ATT\&CK フレームワーク](https://attack.mitre.org/matrices/enterprise/)は、サイバー攻撃の戦術、技術、手順（TTPs）を記述した、脅威アクターの行動に関するセキュリティ実務者とコミュニティ主導の知識ベースです。このフレームワークは、インテリジェンスとリサーチを共有するための共通の語彙を提供するものであり、サイバー攻撃を構造的に分析し、脅威アクターの活動の傾向を追跡するのに役立ちます。 [MITRE ATT\&CK フレームワークにおけるディスカバリ](https://attack.mitre.org/tactics/TA0007/)とは、脅威アクターが初期アクセスを獲得した後、標的環境について学習するために使用する検出テクニックを指します。MITRE ATT\&CKでは、クラウドの技術や手順がエンドポイントとは異なることを認識し、[エンタープライズ マトリックス](https://attack.mitre.org/matrices/enterprise/)のクラウドに特化したサブセットを[クラウド マトリックス](https://attack.mitre.org/matrices/enterprise/cloud/)として特定します。クラウドマトリックスからの検出テクニックに焦点を当てます。 Azureでは、ディスカバリ(検出)プロセスでは以下のような詳細を収集することができます。 * ユーザー * グループ * サービス プリンシパル * ロール * デバイス * ストレージ アカウント * アプリケーション * アクセス許可 脅威アクターは、攻撃を容易にするために、Azure環境内のリソースと関係を理解しようと試みます。 AzureHoundは、このプロセスを加速させるものであり、データを収集する効率的な手段として脅威アクターは本ツールを使用して標的のAzure環境に対する潜在的な攻撃経路をマッピングしています。これらの攻撃経路には以下のようなものが含まれます。 * 特権昇格の機会 * 横方向の移動経路 * 高価値なアカウントとの関係([グローバル管理者](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference#global-administrator)またはその他の特権ロールなど) ## MITREのディスカバリ テクニック AzureHoundを使用する脅威アクターの観点からすると、各ディスカバリ(検出)テクニックは、ターゲットのクラウド環境の包括的な理解を構築するためのステップを意味します。 AzureHoundのようなコマンドライン ツールを理解するために、ユーザーは通常、オンラインドキュメントやツールの-h、--help、その他の使用法パラメータからの出力を参照します。[オンライン ドキュメント](https://bloodhound.specterops.io/collect-data/ce-collection/azurehound-flags)と比較して、AzureHoundの2.6.0バージョンでlist -hパラメータを介して完全なリストは、潜在的な悪意のある使用状況を分析するコンテキストで有用な追加の検出オプションを明らかにするものです。これには、以下のような、脅威アクターが特に関心を持つコマンドが含まれます。 * function-apps * function-app-role-assignments * storage-accounts * storage-containers * subscription-user-access-admins * web-apps 上記のコマンドは、クラウド環境で一般的に悪用されるサービスに関するベースライン情報を脅威アクターに与えるものです。この分析で詳述するコマンドは、ツールからの直接的なアウトプットに基づいています。 ### T1087.004: アカウント ディスカバリ: クラウド AzureHoundは、Entra IDテナント内のユーザー、デバイス、およびサービス プリンシパルを列挙してID情報を収集するツールです。 ![AzureHoundは、Entra IDテナント内のユーザー、デバイス、およびサービス プリンシパルを列挙してID情報を収集するツールです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/Blank-diagram-1-3-786x121.png) 標的環境の基礎的な理解を確立するために、脅威アクターはまず、その中で活動するアイデンティティを特定します。この初期列挙によって、クレデンシャル盗難またはなりすましの潜在的な標的の名簿を作成します。このツールは、ユーザー、デバイス、サービス プリンシパルを含むすべてのIDを、それらの所有関係とともに自動収集するもので、これによりテナントに存在するアイデンティティの詳細なステータスが得られます。 AzureHoundパラメータは、MITREの技術アカウント ディスカバリを容易にします。[クラウド アカウント](https://attack.mitre.org/techniques/T1087/004/)には以下が含まれます。 * list users * list devices * list device-owners * list service-principals * list service-principal-owners AzureHoundは、以下のような複数の認証手段をサポートしています。 * ユーザー名とパスワード * リフレッシュ トークン * JSON Webトークン(JWT) * サービス プリンシパルのシークレット * サービス プリンシパル証明書 MicrosoftのEntra IDドキュメントでは、[Azureトークン タイプ](https://learn.microsoft.com/en-us/entra/identity-platform/security-tokens)について詳しく説明しています。この例では、[AzureHound CEリファレンス](https://bloodhound.specterops.io/collect-data/ce-collection/azurehound) [ドキュメント](https://docs.an)のガイダンスに従って、[デバイス コード フロー](https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-device-code)を使用して生成したAzureリフレッシュトークンを使用します。 脅威アクターは、利用可能な認証手段は何でも利用します。盗まれたユーザー名とパスワードは、多要素認証[(MFA)疲労攻撃](https://unit42.paloaltonetworks.com/ja/threat-group-assessment-muddled-libra-2024/)に組み入れることで、ログインに影響を与えることができます。あるいは、盗まれたトークンでログインすることもあります。[Racoon Stealer](https://attack.mitre.org/software/S1148/)や[Redline](https://unit42.paloaltonetworks.com/ja/2025-unit-42-global-incident-response-report-social-engineering-edition/)のようなインフォステラ(情報窃取ツール)は、ユーザーのブラウザからクッキー、認証情報、セッショントークンを抽出することができます。Flareの研究者らは、情報窃取型マルウェアから取得したセッショントークンが[Azureのトークンを漏洩させている](https://thehackernews.com/2025/05/from-infection-to-access-24-hour.html)ことを明らかにしています。 図1内のユーザーリクエストのリストで表示されているように、AzureHoundのコマンドライン ディスカバリの出力は、脅威アクターにとって関心のある情報を明らかにするものです。このコマンドの実行例では、すべてのEntra IDユーザーをリストアップし、users.json というファイルに出力を送信しています。 ![AzureHound 2.6.0ツールの出力を表示するコンピュータ画面上のテキスト。出力は、プロセスが完了し、ソフトウェアが優雅にシャットダウンすることを示す。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-754765-163371-2.png) 図1.AzureHoundを実行してユーザーを列挙する。 以下のデータは、Entra ID Userレコードで利用可能な場合、各ユーザのデフォルトで返されるフィールドの1つです。 * displayName * jobTitle * lastPasswordChangeDateTime * mail * userPrincipalName * userType * tenantId * tenantName 図2は、AzureHoundからの生出力の画面キャプチャで、上記のフィールドの一部が表示されています。 ![アカウントID、作成日、電子メール、その他の属性のフィールドを含む、ユーザー アカウント データ構造に関連するコード スニペットのスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-757329-163371-3.png) 図2.AzureHoundリストユーザーの生の出力。 このデータは、脅威アクターが標的組織内の主要ユーザーを標的として、攻撃の連続的な段階を踏むのに役立ちます。例えば、脅威アクターは全ユーザーをJSONファイルにダンプし、次のような単語を含む、価値の高いターゲットを示す役職名を検索することができます。 * 管理者 * アプリケーション * アイデンティティ * クラウド これらのジョブ ロールはAzureテナント内で昇格した権限を持つため、これらのターゲットは価値が高いとみなされます。 ### T1069.003:パーミッショングループのディスカバリ: クラウド グループ ![AzureHoundは、管理ロールとセキュリティ グループのメンバーシップを検出し、潜在的な特権昇格経路をマッピングすることができます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/Blank-diagram-1-2-786x123.png) 脅威アクターは、ターゲット環境内のアイデンティティを知ったら、パーミッション構造を発見することで、アイデンティティ間の関係を理解する必要があります。 このテクニックは、管理者ロールとグループ メンバーシップをマッピングするものであり、悪用可能な特権昇格経路を見つけることに重点を置くものです。これは、グループやロールそのものだけでなく、アイデンティティとリソースを結びつける特定のロール割り当ての網を収集し、誰が何にアクセスできるかを明らかにすることによって達成されます。 [パーミッション グループのディスカバリ:クラウド アカウント](https://attack.mitre.org/techniques/T1069/003/)、AzureHoundには以下の機能があります。 * list groups * list roles * list group-members * list group-owners * list role-assignments * list app-role-assignments * list key-vault-access-policies * list management-group-role-assignments * list resource-group-role-assignments * list subscription-role-assignments * list virtual-machine-role-assignments 上記のオプションが返すデータは、AzureHoundが認証に使用するIDによって異なります。AzureHound は、Azure内で実行するアカウントに付与された権限に基づいて情報を収集します。これらのアカウントは、サブスクリプションまたはリソース グループレベルでリーダー以上のロールを持っている場合にのみ、ポリシー定義と割り当てを列挙することができます。 図3は、テナント内のグループを列挙するコマンドの結果を示しています。 ![AzureHoundからのログ メッセージを表示する端末の画面キャプチャ。タイムスタンプ、ストレージ アカウントのリストに関する通知、収集プロセスの期間などが含まれ、シャットダウン メッセージで終わる。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-762094-163371-5.png) 図3.AzureHoundを実行してグループを列挙する。 脅威アクターは、Entra IDのグループ、ロール、およびロールの割り当てを列挙します。これにより、ユーザー、アプリケーション、およびリソースにアクセスおよび権限を分散する方法を総体的に定義します。脅威アクターは、グローバル管理者や特権ロール管理者などの高度な特権ロールを特定し、どのユーザーまたはサービス プリンシパルがそれらに割り当てられているかを特定することができます。この情報は、ネスト化されたグループ メンバーシップを介した特権昇格経路を明らかにすることもできます。 役割の割り当てによって、過剰な、あるいは誤ったパーミッションが明らかになることがあります。この情報は、脅威アクターが特権の昇格、横方向の移動、追加データ収集の機会を発見するのに役立ちます。 AzureHoundはBloodHoundと統合し、潜在的な特権のエスカレーションとアーキテクチャの青写真を視覚的にマッピングするグラフを作成します。これは、ユーザー、グループ、アプリ、サブスクリプション、およびそれらのパーミッションのリストなどの膨大な生データを使用して行われます。 手作業で点と点を結ぶのは時間がかり、エラーも起こりやすいです。このような点から、BloodHound GUIは、脅威アクターにとって有用な分析ツールとなります。 収集したデータをインポートすることで、ツールはテキストの行を重要な関係を示す生きた地図に変換します。高度な特権を持つユーザーに関するこの情報は、脅威アクターにクレデンシャル窃取の対象となる ユーザーのリストを与えます。図4は、グローバル管理者ロールが直接割り当てられているユーザー、またはグループ メンバーシップを通じて継承されているユーザーを示したものです。 ![グローバル管理者のインターフェイスを表示した画面。さまざまな相互接続ノードがあり、一部はピンクと青で強調表示され、さまざまなエンティティとその関係を表している。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-764455-163371-6.png) 図4.グローバル管理者に繋がるBloodHoundのパス。 機密保持のため、テナント情報だけでなく、ユーザーやグループのラベルも隠したり、見えなくしたりしています。 ### T1619:クラウド ストレージ オブジェクトのディスカバリ ![AzureHoundは、Azureストレージ アカウントとその中のBLOBコンテナを検出し、データがどこに保存されているかを特定することができるツールです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/JP-2-786x122.png) 多くの脅威アクターの主な目的はデータの流出であり、データがどこに保存されているかを特定することは非常に重要です。この技術には、クラウド ストレージ リソースを発見することが含まれます。脅威アクターはAzureHoundを使用して、Azureストレージ アカウントとその中のブロブコンテナを特別にターゲットにして列挙し、潜在的にセンシティブなデータの場所を明らかにすることができる。 AzureHoundには、Azureストレージ アカウントとコンテナの両方をカバーする、ストレージ オブジェクト検出のための2つのオプションがあります。 * list storage-accounts * list storage-containers 図5は、AzureHoundを介したストレージ アカウント検出の例を示したものです。コマンドに渡されたIDがアクセスできるすべてのストレージアカウントを列挙していることが分かります。 ![AzureHoundツールがAzure ADグループを一覧表示するコマンドライン インターフェイス。プロセスは、Ctrl+Cキーを押して強制終了することを提案しながら、シャットダウンして終了している。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-770740-163371-8.png) 図5.AzureHoundを実行してストレージ アカウントを列挙する。 list storage-accountコマンドの出力は、ストレージ アカウント設定に関する重要な情報を明らかにするものです。出力は、以下を含むストレージ アカウント リソース定義全体から構成されます。 * 名前 * 拠点 * 主要なKey Vaultのプロパティ * レプリケーション タイプ * DNSエンドポイント * ネットワーク アクセス制御リスト(ACL) Microsoftのリファレンス ページでは [フルストレージ アカウント設定の例](https://learn.microsoft.com/en-us/rest/api/storagerp/storage-accounts/get-properties)をご確認いただけます。 このデータの中で、ストレージ アカウントの名前は非常に重要であり、ストレージ アカウントに接続するために使用される一般に解決可能なDNS名であるサービスエンドポイントと結びついています。たとえば、ストレージ アカウントblobコンテナのデフォルトでは、ストレージ アカウント名、コンテナ名、blob名を使用して、次のようにサービス エンドポイントを定義することができます。 hxxps\[:\]//mystorageaccount.blob.core.windows\[.\]net/mycontainername/myblobname ストレージ アカウントはカスタム ドメイン名と紐付けることもでき、これは出力のcustomDomainキーと値のペアになります。カスタム ドメインやその他の詳細につきましては、Microsoftの[ストレージ アカウント概要](https://learn.microsoft.com/en-us/azure/storage/common/storage-account-overview)を参照してください。 データ窃取を試む脅威アクターは、ストレージ アカウントのデータにアクセスしようとします。しかし、これらのサービス エンドポイントは、[ストレージ アカウント ファイアウォール](https://learn.microsoft.com/en-us/azure/storage/common/storage-network-security)のネットワークACLによって保護することができます。この情報をもとに、脅威アクターはファイアウォール設定を構成するネットワーク許可リストと拒否リストを理解することができます。 図6は、ストレージ アカウント サービスがデフォルトで拒否ポリシーを採用しており、アクセスを2つの/24ネットワーク範囲およびAzure Monitor、Backup、File Syncなどの[信頼されたAzureサービス](https://learn.microsoft.com/en-us/azure/storage/common/storage-network-security-trusted-azure-services)に限定していることを示しています。 ![Azure Servicesのネットワークルールのスニペットのスクリーンショット。特定のIPアドレスで「許可」に設定された2つのIPルールを示している。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-773512-163371-9.png) 図6.ストレージ アカウントのネットワークACL。 Azureの信頼されたサービスとは、Microsoftが所有するサービスの事前定義されたリストのことで、デフォルトでは、標準的なネットワークACLをバイパスして、他のAzureリソースへの権限とアクセスが許可されています。このリストはMicrosoftが管理しており、リソースの種類(ストレージ ブロブ、Key Vaultなど)固有のものです。 ### T1526:クラウド サービス ディスカバリ ![AzureHoundを使用することで、どのAzureプラットフォームサービス(Web Apps、Function Apps、Logic Appsなど)が使用されているかを識別できます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/Blank-diagram-1-1-786x118.png) 攻撃者は、ストレージやIDだけでなく、どのようなプラットフォーム サービスが使われているかを把握しようとするだろう。 これらは攻撃に利用できるユニークな経路となる可能性があるからです。Web Apps、Function Apps、Kubernetesクラスタ(AKS)などのサービスを列挙することで、脅威アクターは設定ミスや脆弱性の可能性があるアプリケーション プラットフォームを特定することができます。これにより、脅威アクターは、潜在的なハイレベル サービスのターゲット メニューを得ることができます。 [クラウド サービス ディスカバリ](https://attack.mitre.org/techniques/T1526/)において、AzureHoundは以下の機能を備えています。 * list apps * list web-apps * list function-apps * list logic-apps * list automation-accounts * list managed-clusters * list vm-scale-sets * list container-registries アプリケーションのリストがあれば、脅威アクターの検索対象は基盤となるリソースにまで広がります。これにより、自動化パイプライン、Kubernetesクラスタ、クラウドの王冠のためのコンテナ登録のマッピングが可能になります。誤った設定のオートメーション アカウント1つで、攻撃者自身のコードを高い権限で実行できる可能性があります。 この検索には、一般に公開されているコンテナ レジストリのテストや、ハードコードされた認証情報、APIキー、脆弱なライブラリの探索のためのオフライン分析のためのイメージの取得も含まれます。また、放棄された資源を発見し、新たな強力な攻撃戦略を提供する可能性もあります。 例えば、ひとたび脅威アクターが忘れ去られたテスト自動化パイプラインを発見すると、その強力なアイデンティティとリソースグループに対する権利を悪用することができます。攻撃者は、この信頼されたIDを使用して、オートメーションのランブックに悪意のあるコードを注入し、クラウド パイプラインがトリガーされるのを待って、昇格した権限で悪意のあるコードを実行することができます。 クラウド パイプラインの脅威についてさらに詳しく知りたい場合は、Unit 42による[クラウド供給パイプライン攻撃の解剖](https://www.paloaltonetworks.com/cyberpedia/anatomy-ci-cd-pipeline-attack)分析をご覧ください。 ### T1580: クラウド インフラストラクチャ ディスカバリ ![AzureHoundは、仮想マシン、Key Vault(キー保管庫)、管理グループなどの基盤となるインフラ リソースを列挙するツールです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/Blank-diagram-2.png) 標的環境のアーキテクチャーを完全に把握するためには、脅威アクターは基盤となるインフラ コンポーネントを見つける必要があります。この手法では、コア リソースとそれを含む管理コンストラクトを列挙します。 脅威アクターは、以下を列挙することで、クラウド デプロイメントの完全なアーキテクチャマップを構築することができます。 * 仮想マシン * Key Vault * テナント、サブスクリプション、リソースグループの階層構造 [クラウド インフラストラクチャのディスカバリ](https://attack.mitre.org/techniques/T1580/)において、AzureHound は以下の機能を備えています。 * テナントのリストアップ * サブスクリプションのリストアップ * リソース グループのリストアップ * リスト管理グループのリストアップ * 仮想マシンのリストアップ * Key-Vaultのリストアップ 以前に示したBloodHoundユーザー マッピングと同様に、このユースケースでは、攻撃者がBloodHoundを使用してインフラストラクチャ要素を視覚的に調べる方法について理解することができます。図7は、これらKey Vaultに関する調査結果を示したものです。機密保持のため、ラベルやテナント情報は伏せたり黒塗りにしています。 ![Microsoft AzureHoundポータル インターフェースのスクリーンショット。テナント、サブスクリプション、リソース グループ、およびKey Vaultを表すアイコンが付いたネットワーク トポロジー ダイアグラムが表示されている。アイコンは、関係を示す線で結ばれている。右側の矢印は、ナビゲーション メニューの特定の項目を指します。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-780620-163371-12.png) 図7.BloodHoundによるKey Vaultのイラスト。 これで脅威アクターは、出力をスクロールする代わりに、テナント インフラ内の主要なKey Vaultを完全に俯瞰できるようになりました。テナントから個々のリソースまでの階層を視覚的にナビゲートすることができます。 例えば、Key Vaultに加えて、攻撃者はProductionサブスクリプションを表すノードをクリックすることが可能です。そして、子孫オブジェクトリストから仮想マシンを選択し、そのオブジェクトに接続されているすべての仮想マシンを即座に確認することができます。 ## 防御担当者の視点 AzureHoundは、ユーザー、ロール、権限を列挙するうえで、Microsoft GraphとAzure REST APIに依存しています。つまり、効果的な防御には、アクセス制御、エンドポイント セキュリティ、APIアクティビティへの可視性を組み合わせたレイヤーアプローチが必要であることがわかります。目指すべき目標は、脅威アクターが認証し、実行し、組織環境で発見されずに活動することを著しく困難にすることです。 ### 緩和策 防御担当者の観点からは、安全なコンフィギュレーションは不可欠である。MITREのディスカバリー手法の説明で前述したように、AzureHoundは、公開されているドキュメント化されたAPIを介して、特定のテナント内のAzureユーザーとリソースに関する情報を取得するために使用することができます。これらのAPIリクエストは、テナント内のセキュリティ脆弱性をさらしてしまう可能性もあるものです。設計上、この情報には、テナントごとに、そのテナントで読み取り権限を持つEntra IDアカウントを持つユーザーがアクセスできます。 Azureアカウントのセキュリティを強化するため、お客様には[Microsoftのベストプラクティス](https://learn.microsoft.com/en-us/azure/security/fundamentals/identity-management-best-practices)に従うことをお勧めします。さらに、この手法が成功するために必要な不正アクセスを防ぐため、管理者には[追加のセキュリティ対策](https://learn.microsoft.com/en-us/azure/security/fundamentals/steps-secure-identity)の実施をお勧めします。 Microsoftが推奨するベストプラクティスと追加のセキュリティ対策に加え、以下の対策を講じることで、組織の安全性をさらに高めることができます。これらの中には、ベストプラクティスと交差するものもあれば、環境をさらに強固にするために実施できる補完的なコントロールやポリシーの考慮事項もあります。 防御の第一線は、ユーザー、グループ、またはサービスプリンシパルができることを制御する、強力なIDとアクセス制御です。組織は、すべてのアカウント、特に機密データや管理ロールにアクセスできるアカウントに対して、フィッシング攻撃に耐性のあるMFAを導入することが求められます。また、グローバル管理者または特権ロール管理者のような高度な特権タスクを実行するユーザーは、それらの職務のために別のアカウントを維持する必要があります。 Microsoft Entra ID PIMや、より広範な特権アクセス管理(Privileged Access Management: PAM)プラットフォームなどの特権ID管理(Privileged Identity Management: PIM)ソリューションは、組織が特権IDへのアクセスを管理、制御、監視することを可能にします。これらのソリューションは、標準的なユーザー認証情報の漏洩が脅威行為者に昇格アクセスを許可することを防ぐのに役立ちます。 IDおよびアクセス制御に加えて[条件付きアクセスポリシー](https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview)(CAP)は、ユーザーとアプリケーションのアクセスを制限することで、AzureHoundへの暴露を軽減するのに役立ちます。CAPはEntra IDの一部であり、認証時に強制されます。MFA、デバイスのコンプライアンス、信頼できる場所、クライアント アプリケーションの制限など、CAPで定義された要件を実施することで機能します。このため、CAPは、攻撃者が有効な認証情報を取得していたとしても、AzureHoundがMicrosoft GraphやAzure管理APIにアクセスするのをブロックすることができます。 もう1つの効果的な対策は、トークン バインディングで、認証トークンを特定のデバイスに確実に結びつけることです。この機能はEntra IDにおいて[トークン保護](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-token-protection)として知られており、2025年8月に一般提供に移行しました。 上述の通り、Void Blizzardは盗まれた認証トークンを攻撃に使用しているように、これらのトークンは、AzureHoundによるMicrosoft Graph APIを含む、ターゲット環境への認証に使用できるものです。トークン バインディングは、盗まれたトークンを別のデバイスからは無効にするものであり、トークン盗難攻撃を軽減するのに役立ちます。 さらに、セキュア ブラウザでは、プライベートまたは特権アプリケーションへのアクセスを遮蔽し、発行されたトークンがセキュア ブラウザからのみ有効であることを保証することによって、同様の保護を提供することができます。このため、AzureHoundなどのツールでは、コマンドラインからのトークンは無効になります。 AzureHoundやその他の脅威を検知・防止するためには、アイデンティティ管理に加えて、エンドポイント レベルでの可視化が不可欠であることに変わりはありません。クラウド ディテクション\&レスポンス(CDR)などのクラウド ワークロードを含め、エンドポイント ディテクション\&レスポンス(EDR/XDR)ツールがすべての資産に展開されていることを確認することが大切です。 [Unit 42 グローバル インシデント レスポンス レポート(2025年版)](https://unit42.paloaltonetworks.com/ja/2025-unit-42-global-incident-response-report-social-engineering-edition/)では、脅威アクターが管理対象外の資産を標的とする手法について取り上げています。このような資産とは、エンドポイント検出・対応ツール(EDR/XDR/CDR)を持たず、脅威が発見される可能性が低いと定義された資産です。 また、攻撃者が新しいコンピュート インスタンス(仮想マシン、コンテナ、サーバーレス機能など)を作成するのを検知するために、組織がクラウド セキュリティ体制管理(CSPM)とCDRツールを組み合わせて使用することも極めて重要です。これはまた、新しく作成されたコンピュート インスタンスに対する監視機能を維持するために、クラウド エンドポイント エージェントが適切にインストールされ、設定されていることを確認するのにも役立ちます。可視性のギャップを埋めることは、脅威アクターが検知されるのを回避する能力を大幅に低下させることにつながります。 AzureHoundは、Azureテナント内でアプリケーションを登録できるIDを明らかにするため、アプリケーションの登録を制御することも、AzureHoundに対する効果的な緩和策の1つです。脅威アクターは、ユーザーがアプリケーションを登録し、自分自身に昇格した権限を付与できるようにするデフォルト設定を利用することがよくあります。これにより、双方向のログインやMFAなしで、広範なディレクトリの可視化が可能になります。 ユーザ主導のアプリ登録を無効にし、管理者の同意ワークフローを要求することで、脅威アクターが悪意のあるサービス プリンシパルを作成したり、トークン化されたアプリベースの認証を通じてMFAをバイパスしたりする可能性を低減します。 ### ロギングに関する考察 Microsoft Graphのアクティビティ ログは、[2023年10月](https://techcommunity.microsoft.com/blog/microsoft-entra-blog/microsoft-graph-activity-log-is-now-available-in-public-preview/3848269)よりプレビュー版として提供され、[2024年4月](https://techcommunity.microsoft.com/blog/microsoft-entra-blog/microsoft-graph-activity-logs-is-now-generally-available/4094535)に一般提供(GA)を開始しました。この重要な機能を活用することで、防御担当者はGraphサービスへのHTTPリクエストを監視し、疑わしい列挙パターンを検出することができます。 デフォルトでは [Microsoft Graphアクティビティ ログ](https://techcommunity.microsoft.com/blog/microsoftsecurityexperts/cloud-forensics-why-enabling-microsoft-azure-graph-activity-logs-matters/4234632)は有効になっていません。防御担当者は、Microsoft Entra IDを構成して、Microsoft Graphアクティビティ ログをAzure Event Hubsなどの宛先にエクスポートする必要があります。これにより、セキュリティ情報・イベント管理(SIEM)ソリューションやEDR、XDR、CDRツールとの統合が可能になります。これらのログは、AzureHoundのようなツールがターゲットとするエンドポイントを含め、Graph APIを通過したAPIコールの詳細な詳細をキャプチャするものです。 一部のAzureHoundリクエストは、management.azure\[.\]com ARMエンドポイントでAzure REST APIを呼び出します。これらの[ARMプロバイダーへのリクエスト](https://learn.microsoft.com/en-us/rest/api/azure/#request-uri)は、Graph API呼び出しとは異なる方法でログ記録され、可視性の課題を引き起こします。 [アクティビティ ログ](https://learn.microsoft.com/en-us/azure/azure-monitor/platform/monitor-azure-resource#activity-log)では、新規リソースの作成やストレージアカウントの削除など、AzureHoundリクエストとは関係のないARMプロバイダからのサブスクリプションレベルのイベントを収集できます。AzureHoundが呼び出す読み取りおよび一覧表示操作(REST GET呼び出し)は、[アクティビティ ログに記録されません](https://learn.microsoft.com/en-us/azure/azure-monitor/platform/activity-log?tabs=log-analytics#activity-log-entries)。 [診断設定は、リソース プロバイダー レベルのログを記録するために、さまざまなリソース タイプに対して明示的に有効化できます](https://learn.microsoft.com/en-us/azure/azure-monitor/platform/monitor-azure-resource#diagnostic-settings)が、これにより記録されるのは[データ プレーン レベル](https://learn.microsoft.com/en-us/azure/azure-resource-manager/management/control-plane-and-data-plane)でのサービス エンドポイント読み取り操作のみです(例: mystorage.blob.core.windows\[.\]net または myvault.vault.azure\[.\]net)。ARMプロバイダーへのリクエストが行われる制御プレーンレベルでは機能しません。その結果、ストレージアカウントの一覧表示(azurehound list storage-accounts)やKey Vaultの一覧表示(azurehound list key-vaults)など、AzureHound の Azure REST API への列挙呼び出しは、アクティビティログやリソースログに表示されません。 [AzureHound GitHubリポジトリ](https://github.com/SpecterOps/AzureHound)は、AzureHound コマンドが使用するAPIに関する追加のコンテキストと情報を提供し、その結果としてイベントを確認すべきログを特定します。 たとえば、前述のazurehound list storage-accountsコマンドの詳細については、[AzureHound API クライアントコードのストレージ アカウント](https://github.com/SpecterOps/AzureHound/blob/main/client/storage_accounts.go)に関する部分を参照してください。図8は、ストレージ アカウントの列挙にAzure REST APIを使用するAzureHoundクライアントコードを示したものです。 ![Microsoft Azure Storage Accountに関連するコード スニペットのスクリーンショット。サブスクリプションIDとAPIバージョン日付のパラメーターがある。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-783804-163371-13.png) 図8.AzureHoundストレージ アカウント列挙ソースコード。 図9は、Graph APIを使用した[ロール列挙リストロール コマンドのためのAzureHoundクライアント コード](https://github.com/SpecterOps/AzureHound/blob/main/client/roles.go)を示したものです。 ![Azure ADとMicrosoft Graph APIを使用したコーディング スクリプトのスクリーンショット。白地に赤と青で関数と変数が書かれている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-786431-163371-14.png) 図9.AzureHoundロール列挙ソースコード。 Azure REST API ARMエンドポイントを経由するため、ログに表示されない可能性のあるAzureHoundリスト コマンドには、以下のものが含まれます。 * automation-accounts * container-registries * function-apps * key-vaults * logic-apps * managed-clusters * management-groups * resource-groups * storage-accounts * storage-containers * virtual-machines * vm-scale-sets * web-apps このロギングの弱点は、AzureHoundの予期せぬ動作を明らかにするものです。すべてのazurehoundリストコマンドの前に、ツールが使用するエンドポイントとAPIへのAzureHoundテストコールがあります。呼び出される[エンドポイントとAPI](https://github.com/SpecterOps/AzureHound/blob/main/constants/environments.go)は、[Azure環境](https://learn.microsoft.com/en-us/entra/identity-platform/authentication-national-cloud)(例: グローバルAzureクラウド、米国政府、中国)によって異なります。 グローバルなAzure Cloud 環境では、以下の認証とAPIエンドポイントを使用します。 * Microsoft ID プラットフォーム エンドポイント: login.microsoftonline\[.\]com * Microsoft Graph API: graph.microsoft\[.\]com * Azure REST API ARM エンドポイント: management.azure\[.\]com 図10 は、これらのテスト コールのAzureHound実行時の冗長出力から抜粋したものです。 ![BloodHound Enterprise チームのツールである Azurehound バージョン 2.6.0 からのログを表示するコマンド ライン インターフェイスのスクリーンショット。接続のテストと、Microsoft Azure サービスに関連するデータ収集プロセスの開始を示している。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-788867-163371-15.png) 図10.AzureHound APIテスト リクエスト。 AzureHoundによるMicrosoft IDプラットフォーム エンドポイント endpoint login.microsoftonline\[.\]com への呼び出しは、[Entra IDの非対話型サインイン ログ](https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-noninteractive-sign-ins)に記録されます。前述のように、グラフAPIロギングが有効になっている場合、MicrosoftグラフAPI(hxxps\[:\]//graph.microsoft\[.\]com/v1.0/organization)へのテストコールは、Microsoftグラフのアクティビティ ログに表示されます。上記のロギングの制限により、management.azure\[.\]comにあるAzure REST APIへのテスト呼び出しはログに記録されません。 以下の表1は、10:57PMのlist storage-accountsリクエストと11:25PMのlist groupsリクエストのログからの情報です。ストレージ アカウントの列挙は、前述の通りAzure REST APIを使用します。 |------------------------|----------------------------------------------|---------------------------|----------------------------------------------------------------------------------------------|-------------------------| | **AzureHoundコマンド ライン** | **AzureHound APIコール** | **記録時間** | **ログに記録されたRequestURI** | **ログに記録されたユーザー エージェント** | | ストレージアカウントのリストアップ | 到達可能性を判断するためのグラフAPIへのAzureHoundテスト コール^\[1］^ | 8/1/2025, 10:57:35.185 PM | hxxps\[:\]//graph.microsoft\[.\]com/v1.0/organization | azurehound/v2.6.0 | | ストレージアカウントのリストアップ | Azure REST APIを呼び出し、ストレージ アカウント データを列挙。 | *Call to REST API at management.azure\[.\]com/\[...\]Microsoft.Storage/storageAccounts/list is not logged* ||| | グループのリストアップ | 到達可能性を判断するためのグラフAPIへのAzureHoundテスト コール^\[1］^ | 8/1/2025, 11:25:45.561 PM | hxxps\[:\]//graph.microsoft\[.\]com/v1.0/organization | azurehound/v2.6.0 | | グループのリストアップ | Microsoft Graph APIを呼び出し、グループデータを列挙。 | 8/1/2025, 11:25:45.651 PM | hxxps\[:\]//graph.microsoft\[.\]com/v1.0/groups?%24filter=securityEnabled+eq+true\&%24top=99 | azurehound/v2.6.0 | | 表にはグラフAPIのテスト コールしか含まれていないが、上記の3つのテスト コールはすべて毎回呼び出されている。 ||||| 表1.Microsoft Graph API vs. Azure REST APIリクエスト ロギング。 データによると、リスト グループ コマンド ログにはグループ列挙の読み取り操作(Graph API: hxxps\[:\]//graph.microsoft\[.\]com/v1.0/groups?\[...\])が記録されている一方、リスト ストレージ アカウント リクエストにはストレージ アカウントの読み取り操作(Azure REST API: Microsoft.Storage/storageAccounts/list)に関連するRequestURIが記録されていないことが分かります。これは、以前紹介したREST APIのロギングの弱点です。しかし、これらのテスト コールを他のログの情報と照合することで、このアクティビティをより詳細に把握することができます。 Azure REST APIを使用するAzureHoundリスト コマンドの場合、接続をテストするために使用される最初の/organization Graph APIリクエストがログに記録されます。セッションID、IPアドレス、ユーザーID、ユーザー エージェントなどのフィールドを、Microsoft Graphアクティビティ ログやEntra IDサインイン ログの他のログ アクティビティと照合することで、イベントの関連付けに使用できます。 Microsoft Graph APIとAzure REST APIのアクティビティとリソースのログに加えて、Entra IDのサインイン ログと監査ログは、追加のコンテキストを提供することができます。 その名が示す通り、[Entra IDサインイン ログ](https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-sign-ins)は成功したサインインと失敗したサインインを記録しますが、これらのログには以下の内容も記録されます。 * CAPポリシー評価 * APIコールのためのトークン発行 * ユーザー エージェントとデバイス * MFAの詳細 これらのログに含まれる情報は、以下のような不審なログイン パターンを特定するのに役立ちます。 * 珍しい位置情報 * 不可能な移動 * Microsoft GraphとAzure管理APIのリソースへの連続的なサインイン。 * MFAなしでサインインするアカウント [Entra 監査ログ](https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-audit-logs)は、Microsoft Entra IDのディレクトリ レベルの設定変更を追跡します。これには以下が含まれます。 * ユーザーとグループの変更(作成、削除、更新) * ロールの割り当てと削除 * アプリの登録とサービス プリンシパルの変更 * アプリケーションの同意 * 条件付きアクセス ポリシーの変更 * PIMロールのアクティブ化と非アクティブ化 そのため、監査ログはAzureHoundの活動を直接検出するのにはあまり役に立ちません。しかし、脅威アクターが永続化のために新しいユーザーを作成し、特権ロールを割り当てるなど、脅威アクターが特権をエスカレートさせた後の後続の活動を発見するのに有用とされます。 また、2025年7月にDefender XDRが新しいAdvanced Huntingテーブル[「GraphApiAuditEvents」](https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-graphapiauditevents-table)をパブリック プレビューで導入したことも特筆すべき点です。これは、Microsoft Graph Activity Logsの無駄を省いたバージョンで、余分な取り込みやストレージのコストをかけずにEntra ID Graph APIコールの可視性を提供します。スキーマは単純化され、RequestURIやトークン識別子のような主要なフィールドが含まれます。ただし、UserAgentフィールドが欠如しており、[データ保持期間](https://learn.microsoft.com/en-us/defender-xdr/data-privacy#data-retention)はデフォルトで30日間に制限されています。 この情報を使って、Cortex XDRまたはXSIAMで、関連する脅威アクターの活動をハントする方法については、次のセクションで説明します。 ### 脅威ハンティング Cortex Cloudには、Azureクラウドのディスカバリ アクティビティに対する様々な検出が含まれていますが、インシデント対応者や脅威ハンティング従事者は、Cortex XQLクエリを使用して、個々のイベントに関する詳細なデータをドリル ダウンすることもできます。最も基本的なレベルでは、ユーザーエージェントがAzureHound識別子(デフォルト: azurehound/\)を含むリクエストをCortex cloud\_audit\_logsデータセットに問い合わせることで実行可能です。 [産業観察結果](https://www.huntress.com/blog/threat-hunting-for-business-email-compromise-through-user-agents)によると、多くの場合、脅威アクターは、ユーザー エージェント文字列を含むデフォルトの設定を使用してツールを操作していることから、ここに最初のハント クエリに利用できる簡単なパラメータが残されています。 dataset = cloud\_audit\_logs | filter lowercase(user\_agent) contains "azurehound" |-------|----------------------------------------------------------------------------------| | 1 2 3 | dataset = cloud\_audit\_logs | filter lowercase(user\_agent) contains "azurehound" | オプションで、API操作のフィルターを設定して、それぞれの操作の結果をフィルターすることができます。次の例では、Entra IDユーザーのリストをMicrosoft Graph APIに問い合わせるAzureHoundアクティビティ(azurehound list users)を検索したものです。 dataset = cloud\_audit\_logs | filter lowercase(user\_agent) contains "azurehound" | filter operation\_name\_orig contains "1.0/users" or operation\_name\_orig contains "beta/users" |-----------|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 | dataset = cloud\_audit\_logs | filter lowercase(user\_agent) contains "azurehound" | filter operation\_name\_orig contains "1.0/users" or operation\_name\_orig contains "beta/users" | CortexはAzureからログデータを取り込みます。Azureのアクティビティは、Microsoft Entra IDのMicrosoft Graphアクティビティログを通じて表示され、監査およびサインイン監視機能と連携しています。これにより、テナント内のMicrosoft Graph APIへのHTTPリクエストが可視化されます。 以下の図11は、匿名化のためにサニタイズされたAzureHoundリストユーザーリクエストを表す生のアクティビティ ログ エントリのサンプルです。防御担当者は、多くのフィールドを使用して、調査している状況に合った追加クエリーを作成することが可能です。たとえば、特定のsignInActivityIdやcallerIpAddressをフィルタリングすることができます。 ![Microsoft Graph APIに関連するJSONコードのスニペットを表示したスクリーンショット。リクエストID、操作名、タイムスタンプなどの詳細がハイライトされている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/word-image-791230-163371-16.png) 図11.AzureHoundリストユーザーの生のAzureアクティビティ ログ抽出。 ログの抽出からは、他にも有用な要素がいくつかあります。 * ユーザー エージェント文字列は、AzureHoundがこのリクエストに使用された可能性が高いことを示しています。 * リクエストURIフィールドは、AzureHoundが大規模な属性セット(accountEnabled、createdDateTime、displayName、mail、userPrincipalNameなど)を持つGET /users経由でユーザー データを取得していることを示しています。これはディスカバリや特権昇格のマッピングと一致しています。 * App IDフィールドの値1950a258-227b-4e31-a9cf-717495945fc2は、Microsoft Azure PowerShellクライアントIDです。PowerShellは攻撃ツールや脅威アクターによってしばしば使用されるため、これは注意すべき対象です。 * 最後に、UserPrincipalObjectID (454b1120-3507-4bbb-b559-87b7f64af7fa)は、認証情報が使用されたユーザーのEntra IDオブジェクトIDです。詳細については、サインイン アクティビティID(frZ7H7lx8kSlDW0b-4MfAA)とEntra IDサインイン ログを関連付けます。 単一のIDによる大量のAPI列挙の識別は、不審な発見活動を識別するのに役立つ防御側にとっても有用な戦略です。AzureHoundは、Microsoft GraphまたはAzure REST APIにクエリを実行する際に、短い時間内にAPIコールのバーストを生成することがあります。この現象は、ユーザー、ロール、仮想マシン、アプリケーションなどの大量のリソースを要求しているときや、azurehound listを使用してAzure環境全体を一度に列挙しているときに発生することがあります。ユーザー エージェント文字列や呼び出し元のIPアドレスと組み合わせることで、Azure環境の広範な列挙のためのシグナルを得ることができます。 次のXQLクエリは、この列挙を表示するのに役立つものです。operation\_nameとoperation\_name\_origフィルターは、上記で説明したように、AzureHoundが使用するGraph API GETリクエストに検索結果を限定します。 [bin](https://docs-cortex.paloaltonetworks.com/r/Cortex-XSIAM/Cortex-XSIAM-Documentation/bin)ステージと[comp](https://docs-cortex.paloaltonetworks.com/r/Cortex-XSIAM/Cortex-XSIAM-Documentation/comp)ステージ、および[count()](https://docs-cortex.paloaltonetworks.com/r/Cortex-XSIAM/Cortex-XSIAM-Documentation/count)関数は、データを60分単位のバケットに集計するために使用され、apiCallCountのしきい値(例では60分あたり500回の呼び出し)との比較に用いられます。apiCallCountは、Azure環境のサイズに合わせて調整する必要があります。大規模な組織では、ユーザー数、ロール数、仮想マシン数、アプリケーション数が小規模な組織よりもはるかに多くなるため、リクエスト数が多くなる可能性が高いです。 dataset = cloud\_audit\_logs | filter operation\_name = "GET" | filter operation\_name\_orig contains "graph.microsoft.com" | bin \_time span = 60m | comp count() as apiCallCount by identity\_name, user\_agent, caller\_ip, \_time | filter apiCallCount \> 500 // adjust to your environment | sort desc apiCallCount |-------------------------------|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 6 7 8 9 10 11 12 13 | dataset = cloud\_audit\_logs | filter operation\_name = "GET" | filter operation\_name\_orig contains "graph.microsoft.com" | bin \_time span = 60m | comp count() as apiCallCount by identity\_name, user\_agent, caller\_ip, \_time | filter apiCallCount \> 500 // adjust to your environment | sort desc apiCallCount | [Cortex XQLクエリ](https://docs-cortex.paloaltonetworks.com/r/Cortex-XSIAM/Cortex-XSIAM-Documentation/Cortex-XSIAM-XQL)は、防御担当者がAzureHoundのアクティビティの詳細な指標を明らかにするために、Microsoft Graph APIのアクティビティ ログのようなソースから収集されたテレメトリを深堀するものです。定義された時間ウィンドウにわたってリクエスト量、ユーザーID、発信者IP、およびユーザー エージェントを相関させるクエリは、AzureHoundに典型的な異常な列挙パターンを識別するのに役立ちます。 ## 結論 脅威アクターは、AzureHoundの機能を標的型クラウドのディスカバリに利用しています。ユーザー、グループ、アプリケーション、権限、リソースの関係を列挙するこの機能は、MITRE ATT\&CK TTPに直接対応しています。これにより、Curious SerpensやVoid Blizzardのような脅威アクターは、環境をマッピングし、特権昇格のためのアカウントを特定し、クラウド環境の王冠の宝石を見つけるための構造化された方法を確立することに成功しています。 この活動の検出は、テレメトリの視認性に依存しています。Microsoft Graphのアクティビティ ログは、APIコールの豊富な記録を提供するものであり、防御担当者はこれを利用することでディスカバリ パターンを特定することができます。他のAzureやEntra IDのログと組み合わせることで、これらのソースは、脅威の検出とインシデント レスポンスを向上させる包括的な監視レイヤーを形成します。 [Microsoft Graphアクティビティ ログを使用した脅威の検出](https://www.paloaltonetworks.com/blog/security-operations/detecting-threats-with-microsoft-graph-activity-logs/)に関するガイドでは、Graph API ログの構成、Cortex XDRとの統合、およびCortexを使用したMicrosoft Graphアクティビティの調査の手順を解説しています。 検出をMITRE ATT\&CKフレームワークと整合させることで、防御担当者はこれらのログソースを活用し、可視化とプロアクティブな制御を組み合わせることができます。以下のアクションは、攻撃者の成功を阻止する組織の能力を強化するうえで重要なものです。 * 正当な検出ツールを脅威シナリオにマッピングする * システム間のデータの関連付け * 条件付きアクセス ポリシーを適用する * 最小特権の原則に従う * 通常の行動からの逸脱を注意深く監視する ### パロアルトネットワークスの保護と緩和策 パロアルトネットワークスのお客様は、以下の製品を通じて、上記の脅威に対する確実な保護を構築いただけます。 * [Cortex Cloud Identity Security](https://docs-cortex.paloaltonetworks.com/r/Cortex-XSIAM/Cortex-XSIAM-Premium-Documentation/What-is-Cortex-Cloud-Identity-Security)は、クラウド インフラストラクチャ権限管理(CIEM)、アイデンティティ セキュリティ体制管理(ISPM)、データアクセス ガバナンス(DAG)、ならびにアイデンティティ脅威検知と対応(ITDR)を[包括し](https://docs-cortex.paloaltonetworks.com/r/Cortex-XSIAM/Cortex-XSIAM-Premium-Documentation/What-is-Cortex-Cloud-Identity-Security)、顧客がアイデンティティ関連のセキュリティ要件を強化するために必要な機能を提供するものです。クラウド環境内のアイデンティティとそのアクセス許可を可視化することで、設定ミスや機密データへの不要なアクセスを正確に検出し、使用状況とアクセス パターンをリアル タイムで分析します。 * [Prisma Browser](https://www.paloaltonetworks.com/apps/pan/public/downloadResource?pagePath=/content/pan/en_US/resources/datasheets/prisma-access-browser)にはトークン保護機能が備わっています。これにより、プライベートまたは特権的なアプリケーションへのアクセスを保護し、発行されたトークンがセキュア ブラウザからのみ有効であることを確認することができます。 情報漏えいの可能性がある場合、または緊急の案件がある場合は、[Unit 42インシデント レスポンス チーム](https://start.paloaltonetworks.com/contact-unit42.html)までご連絡ください。 * 北米:フリーダイヤル: +1 (866) 486-4842 (866.4.UNIT42) * 英国: +44.20.3743.3660 * ヨーロッパおよび中東: +31.20.299.3130 * アジア: +65.6983.8730 * 日本: +81.50.1790.0200 * オーストラリア: +61.2.4062.7950 * インド: 00080005045107 ## 侵害のインジケーター ユーザー エージェント文字列: * azurehound/\ ## その他の資料 * [脅威情報:イランに関するサイバーリスクの拡大(6月30日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2025/) - パロアルトネットワークス * [Unit 42インシデント レスポンス レポート(2025年版):ソーシャルエンジニアリング編](https://unit42.paloaltonetworks.com/ja/2025-unit-42-global-incident-response-report-social-engineering-edition/) - パロアルトネットワークス * [クラウド サプライ パイプライン攻撃の分析](https://www.paloaltonetworks.com/cyberpedia/anatomy-ci-cd-pipeline-attack) - パロアルトネットワークス * [Microsoft Graphアクティビティ ログを使用した脅威検出](https://www.paloaltonetworks.com/blog/security-operations/detecting-threats-with-microsoft-graph-activity-logs/) - パロアルトネットワークス * [Cortex XSIAM XQL](https://docs-cortex.paloaltonetworks.com/r/Cortex-XSIAM/Cortex-XSIAM-Documentation/Cortex-XSIAM-XQL) - パロアルトネットワークス * [Peach Sandstormのパスワード散布キャンペーンにより、価値の高いターゲットでの情報収集が可能に](https://www.microsoft.com/en-us/security/blog/2023/09/14/peach-sandstorm-password-spray-campaigns-enable-intelligence-collection-at-high-value-targets/) - Microsoft * [ロシア系新アクター「Void Blizzard」、重要部門をスパイ活動の標的に](https://www.microsoft.com/en-us/security/blog/2025/05/27/new-russia-affiliated-actor-void-blizzard-targets-critical-sectors-for-espionage/) - Microsoft * [感染からアクセス:](https://thehackernews.com/2025/05/from-infection-to-access-24-hour.html) [現代の窃取キャンペーンの24時間タイムライン](https://thehackernews.com/2025/05/from-infection-to-access-24-hour.html) - The Hacker News * [クラウドベースのランサムウェアにつながるStorm-0501の進化する技術](https://www.microsoft.com/en-us/security/blog/2025/08/27/storm-0501s-evolving-techniques-lead-to-cloud-based-ransomware/) - Microsoft * [SpecterOps/AzureHound](https://github.com/SpecterOps/AzureHound) - GitHub * [SpecterOps/BloodHound](https://github.com/SpecterOps/BloodHound) - GitHub * [BloodHound CE Collection](https://bloodhound.specterops.io/collect-data/ce-collection) - Specter Ops * [企業向けATT\&CK®マトリックス](https://attack.mitre.org/matrices/enterprise/) - MITRE * [ATT\&CK® クラウドマトリックス](https://attack.mitre.org/matrices/enterprise/cloud/) - MITRE * [Microsoft Graph APIの活用](https://learn.microsoft.com/en-us/graph/use-the-api) - Microsoft * [Azure Resource Managerとは?](https://learn.microsoft.com/en-us/azure/azure-resource-manager/management/overview) - Microsoft トップに戻る ### タグ * [Control plane](https://unit42.paloaltonetworks.com/ja/tag/control-plane-ja/ "control plane") * [Curious Serpens](https://unit42.paloaltonetworks.com/ja/tag/curious-serpens-ja/ "Curious Serpens") * [Data plane](https://unit42.paloaltonetworks.com/ja/tag/data-plane-ja/ "data plane") * [Logging](https://unit42.paloaltonetworks.com/ja/tag/logging-ja/ "logging") * [Microsoft Azure](https://unit42.paloaltonetworks.com/ja/tag/microsoft-azure-ja/ "Microsoft Azure") * [Pentest tool](https://unit42.paloaltonetworks.com/ja/tag/pentest-tool-ja/ "pentest tool") * [Security logging](https://unit42.paloaltonetworks.com/ja/tag/security-logging-ja/ "security logging") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:スミッシングの氾濫：中国拠点のキャンペーンが世界のテキストメッセージに殺到](https://unit42.paloaltonetworks.com/ja/global-smishing-campaign/ "スミッシングの氾濫：中国拠点のキャンペーンが世界のテキストメッセージに殺到") ### 目次 * ### 関連記事 * [イランによるサイバー脅威の進化：MBRワイパーからアイデンティティの兵器化まで](https://unit42.paloaltonetworks.com/ja/evolution-of-iran-cyber-threats/ "article - table of contents") * [DNS OverDoS: プライベート エンドポイントはプライベートすぎるのか？](https://unit42.paloaltonetworks.com/ja/dos-attacks-and-azure-private-endpoint/ "article - table of contents") * [AdaptixC2:実世界の攻撃で活用される新しいオープンソース フレームワーク](https://unit42.paloaltonetworks.com/ja/adaptixc2-post-exploitation-framework/ "article - table of contents") ## 関連項目 クラウド サイバーセキュリティ リサーチ リソース ![Pictorial representation of autonomous AI attack in cloud environments.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/12_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年4月23日 [#### AIはクラウドを攻撃できるのか?自律型クラウド攻撃型マルチエージェント システムの構築から得られた教訓](https://unit42.paloaltonetworks.com/ja/autonomous-ai-cloud-attacks/) * [AI](https://unit42.paloaltonetworks.com/ja/tag/ai-ja/ "AI") * [Cloud](https://unit42.paloaltonetworks.com/ja/tag/cloud-ja/ "Cloud") * [Data exfiltration](https://unit42.paloaltonetworks.com/ja/tag/data-exfiltration-ja/ "data exfiltration") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/autonomous-ai-cloud-attacks/ "AIはクラウドを攻撃できるのか?自律型クラウド攻撃型マルチエージェント システムの構築から得られた教訓") ![Close-up of a black woman with glasses examining colorful computer code on a screen. The scene is illuminated by various lights, creating a focused and analytical atmosphere.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/13_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年2月6日 [#### クラウド脅威アクターの活動を検出する新しい手法](https://unit42.paloaltonetworks.com/ja/tracking-threat-groups-through-cloud-logging/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [IAM](https://unit42.paloaltonetworks.com/ja/tag/iam-ja/ "IAM") * [MITRE](https://unit42.paloaltonetworks.com/ja/tag/mitre-ja/ "MITRE") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-threat-groups-through-cloud-logging/ "クラウド脅威アクターの活動を検出する新しい手法") ![Pictorial representation of Azure OpenAI DNS resolution issue. Futuristic cityscape illustration with luminous structures and floating cloud elements, showcasing advanced technology and a dynamic, digitally enhanced environment.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/02_DNS_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月20日 [#### DNS OverDoS: プライベート エンドポイントはプライベートすぎるのか？](https://unit42.paloaltonetworks.com/ja/dos-attacks-and-azure-private-endpoint/) * [Microsoft Azure](https://unit42.paloaltonetworks.com/ja/tag/microsoft-azure-ja/ "Microsoft Azure") * [Networking](https://unit42.paloaltonetworks.com/ja/tag/networking/ "networking") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/dos-attacks-and-azure-private-endpoint/ "DNS OverDoS: プライベート エンドポイントはプライベートすぎるのか？") ![Pictorial representation of a gift card fraud campaign. A glowing skull and crossbones on a circuit board.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/07_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年10月22日 [#### Jingle Thief: クラウドベースのギフトカード詐欺キャンペーンの実態](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/) * [CL‑CRI‑1032](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-1032-ja/ "CL‑CRI‑1032") * [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/ "Microsoft") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/ "Jingle Thief: クラウドベースのギフトカード詐欺キャンペーンの実態") ![Pictorial representation of model namespace reuse. A vibrant digital illustration featuring a glowing cloud icon with a padlock, symbolizing cloud security technology, set against a backdrop of glowing circuit lines in blue and orange.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/08/05_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年9月3日 [#### モデル名前空間の再利用テクニック: AIサプライチェーンの基本的側面を誤用する](https://unit42.paloaltonetworks.com/ja/model-namespace-reuse/) * [Azure](https://unit42.paloaltonetworks.com/ja/tag/azure-ja/ "Azure") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/model-namespace-reuse/ "モデル名前空間の再利用テクニック: AIサプライチェーンの基本的側面を誤用する") ![Pictorial representation of serverless tokens in the cloud. East Asian woman examining data on multiple screens in a high-tech environment, surrounded by digital graphics and code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/07_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年6月13日 [#### クラウドにおけるサーバーレス トークン: エクスプロイト攻撃と検出](https://unit42.paloaltonetworks.com/ja/serverless-authentication-cloud/) * [AWS](https://unit42.paloaltonetworks.com/ja/tag/aws-ja/ "AWS") * [Google Cloud](https://unit42.paloaltonetworks.com/ja/tag/google-cloud-ja/ "Google Cloud") * [Microsoft Azure](https://unit42.paloaltonetworks.com/ja/tag/microsoft-azure-ja/ "Microsoft Azure") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/serverless-authentication-cloud/ "クラウドにおけるサーバーレス トークン: エクスプロイト攻撃と検出") ![Pictorial representation of ELF-based malware like NoodleRAT, Winnti, SSHdInjector, Pygmy Goat and AcidPour. Vibrant futuristic cityscape with glowing neon lines, clouds, and a dramatic sky at twilight.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/02_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年6月10日 [#### クラウド運用におけるLinuxバイナリの進化](https://unit42.paloaltonetworks.com/ja/elf-based-malware-targets-cloud/) * [Endpoint](https://unit42.paloaltonetworks.com/ja/tag/endpoint-ja/ "endpoint") * [Linux Malware](https://unit42.paloaltonetworks.com/ja/tag/linux-malware-ja/ "Linux Malware") * [Machine Learning](https://unit42.paloaltonetworks.com/ja/tag/machine-learning-ja/ "Machine Learning") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/elf-based-malware-targets-cloud/ "クラウド運用におけるLinuxバイナリの進化") ![Pictorial representation of AWS Roles Anywhere. Futuristic cityscape with glowing orange and blue structures, elevated clouds, and illuminated, scattered points representing lights or data points.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/01_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年6月9日 [#### AWS IAM Roles Anywhereの危険性に迫る。](https://unit42.paloaltonetworks.com/ja/aws-roles-anywhere/) * [AWS](https://unit42.paloaltonetworks.com/ja/tag/aws-ja/ "AWS") * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/ "Kubernetes") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/aws-roles-anywhere/ "AWS IAM Roles Anywhereの危険性に迫る。") ![Digital illustration of a glowing blue brain floating above a network of interconnected golden lines and points, symbolizing neural connections and artificial intelligence on a dark background with blue highlights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/12_Cloud_cybersecurity_research_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年5月21日 [#### GitHub Actionsサプライチェーン攻撃: Coinbaseへの標的型攻撃が拡大し、tj-actions/changed-files事件が多発: 脅威評価（4/2更新）](https://unit42.paloaltonetworks.com/ja/github-actions-supply-chain-attack/) * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Supply chain](https://unit42.paloaltonetworks.com/ja/tag/supply-chain-ja/ "supply chain") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/github-actions-supply-chain-attack/ "GitHub Actionsサプライチェーン攻撃: Coinbaseへの標的型攻撃が拡大し、tj-actions/changed-files事件が多発: 脅威評価（4/2更新）") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)