敵対的エクスポージャーの検証でレッドチームのオペレーションを10倍にする

レッドチームは、実際の敵の行動をシミュレートすることで、重大なセキュリティギャップを発見する強力な方法である。しかし、実際には、従来のレッドチーム活動は規模を拡大するのが難しい。

通常、実行には高度なスキルを持つ専門家が必要であり、計画、実行、調査結果の報告に数週間を要することもある。結果が戻ってくる頃には、すでに時代遅れになっていたり、もっと悪いことに悪用されていたりすることもある。

現実の世界では、攻撃者はチームが報告を終えるのを待ってはくれない。そして、今日のAIを駆使した脅威の状況では、レッドチームの結果を何週間も待つことは、もはや実行可能な選択肢ではありません。

CISOやセキュリティ・リーダーは、予算やリソースを消耗することなく、より迅速で一貫性があり、拡張性の高い攻撃テストを必要としています。

その答えは？敵対的暴露検証のアプローチを採用することです。

レッドチーム活動の拡大という課題

解決策を説明する前に、従来のレッドチーム活動を拡大することがなぜこれほど困難なのかを説明しよう：

• 人間の専門知識がボトルネックレッドチーム活動は、攻撃者のように考えることができる希少で高価な人材に依存している。そして、限られたスタッフ、さらに限られた予算では、レッドチームは業務の拡張に多くの問題を抱えています。適切な自動化が行われないと、反復的なタスクが山積みになり、エキスパートが最も重要なことに集中できなくなります。

• 時間とリソースの集中手作業によるレッドチームの運用には数週間を要し、通常はセキュリティ態勢のスナップショットを 1 回だけ作成します。変化の激しい環境では、そのスナップショットはすぐに意味をなさなくなる可能性がある。

• 継続的なカバレッジの欠如： ほとんどのレッドチーム演習は、頻度が低く、カスタマイズされている。テストとテストの間隔が長いため、組織は、実施と実施の間に新たに発生するあらゆる暴露に気づくことができません。

組織には、自動化され、継続的で、スケーラブルな攻撃的テストが必要です。Adversarial Exposure Validationのアプローチは、Breach and Attack Simulation (BAS)と自動ペネトレーションテストを組み合わせることで、この要求に正面から応えます。

a.fl_button { background-color：#border：1px solid #3b59aa; color：#text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; margin：4px 2px; cursor: pointer; padding：12px 28px; } .fl_ad { background-color：#width: 95%; margin: 15px auto 15px auto; border-radius: 8px; border：1px solid #d6ddee; box-shadow: 2px 2px #728cb8; min-height: 200px; display: flex; align-items: center; } .fl_lef>a>img { margin-top: 0px !important; } .fl_rig>p { font-size: 16px; } .grad-text { background-image: linear-gradient(45deg, var(–dawn-red), var(–iris)54%, var(–aqua)); -webkit-text-fill-color: transparent; -webkit-background-clip: text; background-clip: text; } .fl_rig h2 { font-size: 18px!important; font-weight: 700; color：color: #333; line-height: 24px; font-family：font-family: Georgia, times new roman, Times, serif; display: block; text-align: left; margin-top: 0; } .fl_lef { display: inline-block; min-height: 150px; width: 25%; padding：10px 0 10px 10px; } .fl_rig { padding：10px; display: inline-block; min-height: 150px; width: 100%; vertical-align: top; } .fl_lef>a>img { border-radius: 8px; } .cz-news-title-right-area ul { padding-left: 0px; } @media screen and (max-width: 1200px) { .fl_ad { min-height: 184px; } .fl_rig>p { margin: 10p10px; } .fl_rig { padding：0 10px 10px 10px; width: 100%; } } @media screen and (max-width: 400px) { .cz-story-navigation ul li:first-child { padding-left: 6px; } .cz-story-navigation ul li:last-child { padding-right: 6px; } } }.

侵害と攻撃のシミュレーション継続的なセキュリティコントロールの検証

侵害と攻撃のシミュレーションは、MITRE ATT&CKのようなフレームワークにマッピングされた既知のサイバー攻撃と敵対者のテクニックを継続的に模倣し、お客様の特定の環境と防御に対する実際の攻撃をシミュレートして、キルチェーンの各段階における検出、ブロック、および対応の程度をテストします。

BASが重要な理由

• カバー範囲の広さ：最新のBASソリューションは、ランサムウェアから横の動きやデータの流出まで、数千もの既知の脅威や新たな脅威をシミュレートします。

• 継続的で安全なテスト：BASは、本番環境で非侵入型のシミュレーションを安全に実行するため、中断することなく毎日または毎週テストを行うことができます。

• コントロールの検証：BASは、「当社のツールでこの攻撃を検出またはブロックできるか」という重要な質問に答え、SIEM、EDR、ファイアウォールスタックのギャップを特定します。

• パープル・チーミングの推進： BAS のアウトプットを使用して、レッドチームとブルーチームの共同演習を促進し、検出と対応を改善することができます。

反復可能でオンデマンドのテストにより、BASは迅速な修復、継続的なベンチマーキング、次の監査や評価を待たずに新たな脅威に対応する俊敏性を実現します。

自動ペネトレーション・テスト：攻撃者のように考え、テストする

自動ペネトレーション・テストは、攻撃者のワークフローをエミュレートすることで、完全なレッドチームを待機させることなく、実際に悪用可能な攻撃経路を発見します。BASが貴社の管理体制が脅威に対して反応するかどうかをチェックするのに対し、自動ペネトレーション・テストは次のように問いかけます：「侵入できるか？もしそうなら、私はどこまで行けるのか？

自動ペンテストの特徴

• 攻撃経路の発見：自動ペンテストソリューションは、脆弱性と設定ミスを連鎖させ、初期アクセスからドメイン乗っ取りまでのエンドツーエンドの攻撃経路をシミュレートします。

• 実世界でのエクスプロイテーション：自動ペンテストソリューションは、実際のリスクを証明するために、安全かつ制御されたエクスプロイトを実行します。

• インパクト・ドリブンの調査結果：自動ペンテストレポートは、どのシステムまたは資産が侵害されたかを示し、実際の暴露に基づいて修復の優先順位を決定するのに役立ちます。

• 頻繁なディープダイブ：自動化されたペンテストの評価は、従来のレッドチームの演習よりもはるかに頻繁に実施することができるため、実際の攻撃者に発見される前に問題を発見し、修正することができます。

悪用可能な経路を明らかにし、優先度が低いと思われるリスクを連鎖させることで、自動ペンテストは、攻撃者がお客様の環境で達成しうる現実的なイメージを提供します。

BASと自動ペネトレーションテストはどのように補完し合うか

BASと自動ペネトレーションテストは、Adversarial Exposure Validationアプローチにおいて、それぞれ異なる、しかし補完的な役割を果たします。

BASは、防御を検証し、コントロールが既知の攻撃テクニックを継続的に検出し、ブロックしているかどうかをテストすることに重点を置きます。ドリフト検知、コントロールのチューニング、SOCの可視性の検証に最適です。

一方、自動ペンテストは、防御が失敗した場合に何が起こるかを証明することに重点を置きます。これは、実際の攻撃経路を発見し、弱点を悪用し、潜在的な影響を示すもので、特にリスクの優先順位付けと死角の削減に役立ちます。

BASと自動ペンテストを併用することで、以下のことが可能になります：

• 継続的な可視化： BASは、継続的な可視性を維持するために、環境間で頻繁で反復可能なテストを提供します。

• 深さとインパクト：自動化されたペンテストは、豊富なコンテキストに基づく洞察を提供し、チームが実際に重要な脅威と修正に集中できるようにします。

• バランスのとれたカバレッジ：BASは、通常、ブルーチームとパープルチームが検知能力を向上させるために使用し、一方、Automated Pentestingは、拡張可能な攻撃能力でレッドチームをサポートします。

これらの機能を組み合わせることで、攻撃的テストは、年に一度のプロジェクトから、セキュリティ環境と全体的な脅威の状況の絶え間ない変化に合わせて進化する、継続的かつ運用可能なプラクティスに変わります。

逆境暴露検証によるレッドチーム運用の拡大

ここでは、Adversarial Exposure Validation（AEV）が、レッドチームがより少ないリソースでより多くのことを行う上でどのように役立つかを紹介します：

• フォース・マルチプライヤ AEVを使用することで、手作業では再現不可能な数千もの攻撃シミュレーションを大規模に自動実行できます。

• 専門知識の体系化： レッドチームは再利用可能なBASシナリオを構築し、組織に合わせた脅威ライブラリを作成できます。

• 継続的な準備：チームは、次の評価を待つのではなく、セキュリティ態勢がどのように進化しているかを常にほぼリアルタイムで把握できます。

• よりスマートな優先順位付け：自動化されたペンテストは、過剰なアラートノイズをフィルタリングし、セキュリティチームが実際に悪用可能で組織にとってリスクの高いエクスポージャに集中できるようにします。

最も重要なことは、自動化によって、人間のレッドチーマーは、複雑な攻撃ベクターの発見、高度な脅威モデルのテスト、予期せぬ事態のシミュレーションなど、本来の業務に専念できるようになり、残りの業務は自動化と既存の防御に任せられるようになることです。

逆境暴露検証の導入をお考えですか？

敵対的露出の検証は、適切な場所に適切なツールを配置するだけではありません。少なくとも、脅威主導の考え方を採用し、継続的な検証をセキュリティ運用に組み込むことが重要です。

Picus Securityは、攻撃シミュレーションと 自動ペネトレーション・テストを統合し、実用的な結果を提供する統合プラットフォームを提供しています。主な特徴は以下のとおりです：

• 30,000以上の実世界のTTP： Picus脅威ライブラリは、ランサムウェアからクラウドの誤設定まで、幅広い脅威を網羅しています。

• 組み込みの修復機能： Picus Mitigation Libraryから、すぐに使用できるベンダー固有の改善案を入手できます。

• 統合された検証：セキュリティ対策と潜在的な攻撃経路の両方を同じ場所で検証できます。

Picusを使用すれば、検証はもはや年に一度のチェックボックスではありません。継続的な常時稼働プロセスです。2010年のようなテストはやめましょう。2025年のような防御を始めましょう。

本当のセキュリティ態勢をご確認ください。デモをリクエストする。

Picus Securityがスポンサーとなり、執筆しました。