Varonis

Varonis Threat Labs が、Entra ID 向けのユニークなトレーニング体験「Breach at the Beach」をどのように開発したかをご紹介します。この CTF を通じた実践的な学習で、サイバーセキュリティのスキルを向上させましょう。

サイバーセキュリティは、まるで海のようなものです。水面は穏やかに見えますが、水中には未知の何かが潜んでいる可能性があります。

Varonis Threat Labsの研究者であるDoron Kapah氏とMark Vaitsman氏は、この現実を身をもって知っています。彼らの日々の業務の多くは、クラウドネイティブ環境において脅威が機密データをどのように持ち出すかを調査することに費やされています。

また、AIによってID管理が進化し、脅威が組織を攻撃する手法も変化していることを踏まえ、この2人は、他のセキュリティ実務者に対し、Entra IDにおけるデータ流出が最前線で実際にどのように発生するかを直接体験できるトレーニング体験を創り出したいと考えました。こうして、「Breach at the Beach」が誕生したのです。

Varonisの脅威検知猫「Pixel」は、ビーチで休暇を過ごしていたところ、Entra IDでの侵害事件を知り、調査モードに切り替わります。プレイヤーはPixelを通じて脅威アクターの足取りをたどり、攻撃者が狙っている機密データを突き止め、手遅れになる前に阻止することを目指します。

『Breach at the Beach』の着想源となった実際の事例、『Breach at the Beach』を通じて、AIが脅威検知をどのように進化させ、実践的な教育の必要性をいかに高めたか、そして『Breach at the Beach』を完了することでCPEクレジットを取得する方法について、続きをお読みください。

なぜEntra IDなのか？

Entra IDは単なるIDプロバイダーではなく、企業全体を統括するコントロールプレーンです。ユーザー、アプリケーション、権限、自動化、そしてますますAIを活用したワークフローを結びつけます。AIエージェント、サービスプリンシパル、自動化されたワークフローといった「非人間」のIDの台頭により、Entra IDにおける侵害の様相は変化しています。

「今日のAI時代において、多くのIDは非人間的なIDです。Entraで侵害が発生した場合、脅威アクターは非人間的なIDへと移行することができ、それは瞬く間に、検知されにくく大規模なデータ流出の試みへと発展する可能性があります」と、Varonisのセキュリティリサーチチームリーダーであるマーク・ヴァイツマン氏は述べています。

『Breach at the Beach』全体に織り込まれている手法は、単なる仮説ではありません。これらは、ドロン氏とマーク氏が実際の顧客環境で直接遭遇した事例を反映しており、各課題は、防御担当者が今日直面している現実を基にした教訓となっています。

「非人間IDは人間IDを急速に上回りつつあり、その結果、攻撃対象領域が拡大しています。脅威アクターはアクセス権を獲得・拡大させながら、監視や検知に重大な課題をもたらす可能性があります」とドロン氏は述べています。

またドロン氏は、組織がAIを迅速に導入すべきという圧力と、AIの進展に追いついていないセキュリティインフラとの板挟み状態にあり、その複雑さが防御アプローチを根本的に変えつつあると指摘している。

『Breach at the Beach：究極のEntra ID CTF』

レッドチーム、ブルーチームのいずれに所属していても、あるいはCPEクレジットの取得が必要であっても、これは実践を通じて学ぶ絶好の機会です。

「Breach at the Beach」は無料で、オンラインでプレイ可能です：https://breachatthebeach.com

『Breach at the Beach』をプレイする

CTFという視点を通じた知識の共有

今日の防御担当者がEntra IDにおける最新の攻撃に対する認識を必要としていることを踏まえ、DoronとMarkは、最新の攻撃がどのようなものかを示す実践的な体験を防御担当者に提供したいと考えました。

『Breach at the Beach』を通じて、彼らはプレイヤーに以下のことを確実に学ばせました：

  • 脅威は設定ミスのためではなく、機能を悪用するものであること：プレイヤーは 「不具合」を探すのではなく、正当な機能が攻撃に利用されている状況を認識する方法を学びます。
  • AIを使わずに脅威を検知する方法：ドロンとマークは、LLM（大規模言語モデル）が課題を解決してしまうことを避けるよう、意図的にCTFを設計しました。これは、1～2年前には研究者たちが考えていなかった点です。AIの支援を排除することで、プレイヤーは競争のために手っ取り早く学ぶのではなく、体験に組み込まれた教訓を深く吸収できるようになります。
  • ノイズを排除する方法：生のEntraログを精査することは、ほとんどの防御担当者にとって現実の課題です。データが絶えず変化し続ける複雑な環境を構築することで、プレイヤーは自ら状況を明確に把握する能力が試されます。

具体的な教訓に加え、マークは実践的な学習が防御担当者に実戦的な経験をいかに与えるかを身をもって理解している。

「キーボードを実際に操作し、あちこちクリックして、それがどのように機能するかを確認しなければ、何も理解できません。読むだけでは不十分です」とヴァイツマン氏は述べています。

マークはまた、CTFの経験が、プレイヤーに概念的な理解にとどまらず、その影響を肌で感じさせるのに役立つことについても語りました。

「CTFに参加していると、まるでこれが実際に自分の会社であるかのような感覚になります。攻撃の流れやその中のテクニックを理解していなければ、単にチャレンジに負けるだけにとどまらない損失を被ることになります」とヴァイツマン氏は説明しました。

すべてのサイバーセキュリティ専門家のために構築

Entra IDやAIに関する新たな知識を組み込むことは、マークとドロンにとって当然のことでした。また、この体験を完了することが、レッドチーム、ブルーチーム、CISO、脅威インテリジェンス担当者など、あらゆるセキュリティ役割にとって有益であることを確実にすることも同様に重要でした。

「ブルーチームの側面に精通していなければ、優れた、あるいは完璧なレッドチームメンバーになることは不可能です。同様に、攻撃者の側面に精通していなければ、優れたCISOになることもおそらくできないでしょう」とヴァイツマン氏は続けた。

また、ドロン氏は、AIや監査における可視性のギャップに関しては、すべてのセキュリティ実務者が日常業務で直面するものではないと指摘した。CTFにこの要素を取り入れることで、彼らが見落としている可能性のあるギャップを特定するのに役立つ。

「すべてのセキュリティ専門家が、DataverseやCopilotといったシステムの監査ログや、これらのAIシステムがどのように動作するかという根本的な仕組みに触れるわけではありません。このCTFは、AIエージェントを扱う際に防御策を構築することがいかに困難であるかを、彼らに実感する機会を与えてくれます」と、Varonisのセキュリティリサーチャーであるドロン・カパ氏は説明した。

「また、適切なアイデンティティ管理とはどのようなものか、そして自身の環境で最小権限の原則をどのように実装すべきかを理解する上でも役立ちます」とカパ氏は付け加えます。

『Breach at the Beach』の開発初期段階において、チームはRSAC 2026の「Cloud Village」でこのコンテンツを披露しました。参加者から寄せられたフィードバックでは、これが単なるタスクではなく、楽しさとインスピレーションを与えてくれる創造的な挑戦であると感じられたことが強調されました。

「このチャレンジは難易度が高い一方で、非常に勉強になるとのフィードバックをいただきました。ブースにいたベテランのCTFスタッフでさえ、新しいことを学んだと語ってくれました」とカパ氏は述べています。

今すぐ『Breach at the Beach』をプレイしよう

レッドチーム、ブルーチームのいずれに所属していても、あるいはCPEクレジットの取得が必要であっても、これは実践を通じて学ぶ絶好の機会です。

『Breach at the Beach』は無料で、オンラインでプレイ可能です：https://breachatthebeach.com。

CTFの各ステージをクリアすると、プレイヤーには1 CPEクレジットとテーマに沿ったバッジが授与されます。4つのステージすべてをクリアすると、LinkedInで共有できる修了証が授与されます。CPEクレジットの取得を希望される場合は、有効なメールアドレスをご使用ください。

また、ドロンとマークは、Black Hat USAおよびDEF CON 34に参加するためラスベガスへ向かいます。現地では、CTFの構築方法について詳しく解説し、参加者が演習を進めるのを直接サポートする予定です。これらのイベントの詳細は以下をご覧ください。

Black Hat USA 2026での開催：

  • 2026年8月3日～6日
  • 会場：Varonisブース（#2948）
  • 8月6日までにCTFを完了したオンラインプレイヤーおよびBlack Hat参加者の中から、抽選でマリオット・ホテルズの2,000米ドル相当のギフトカードが当たります
  • Black HatにおけるVaronisの詳細

DEF CON 34の「Cloud Village」での参加

  • 2026年8月6日～9日
  • ラスベガス・コンベンションセンター
  • Cloud Villageの詳細
  • 参加者は、Cloud Villageで開催される「Capture the Flag」チャレンジで他の参加者と競い合う機会があり、上位入賞者には様々な賞品が贈られます
  • DEF CONでの参加登録は、イベント開催前に開始されます

また、「Breach at the Beach」は、どこからでもオンラインでプレイ可能です！

Varonisによる提供・執筆。