侵入に気付けないSOCは何が違う？

同じ攻撃で明暗　CISAの侵入テストで見えた「機能するSOC」3つの鉄則

米CISAが2組織へ同時侵入テストを実施した。侵入に気付けない組織と即座に隔離した組織の差はどこにあったのか。アラート疲れや組織のサイロ化を打破し、形骸化したSOCを再建する要点を明かす。

公開 2026年09月02日 05時00分

著者

Sharon Shea

[TechTarget]

印刷する連載新着通知を受け取る

　「それは最良の時代であり、最悪の時代でもあった……」。

　英国の小説家チャールズ・ディケンズ氏のこの一節は、レッドチームによる侵入テストを想定して書かれたものではない。だが、同じ出来事でも組織によって体験が大きく異なるという逆説は、レッドチームシミュレーションに直面した各組織のシステムの命運が分かれる状況にも通じる。

　米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月25日、重要インフラを担う2つの組織で同時に実施したレッドチーム評価の結果を公表した。どちらのテストでもレッドチームは標的環境への初期侵入に成功したが、一方の組織はもう一方に比べて被害が深刻な結果となった。

　CISAが公開した勧告「AA26-237A」は、「2つのSOCの物語：2件のレッドチーム評価から得られた知見」と題されている。政府サービスおよび施設部門に属する「組織A」が侵入を検知できなかったのに対し、上下水道部門の「組織B」は侵入を検知した。同レポートはCISAが両ネットワークへ侵入した手口を詳述しており、いずれの演習結果も情シスにとって重要な教訓を示している。

　調査会社Omdiaのアナリストであるテレサ・ラノウィッツ氏は、「今回の勧告はサイバーセキュリティの現状に妥当な懸念を投げかけており、人材、プロセス、テクノロジーの各面で改善すべき領域を提示している」と話す。

2つのテスト、2つの結果

組織Aのケース

　CISAのレッドチームは、デフォルトの認証情報が設定されたアプリケーションを発見し、組織Aへの初期アクセスを獲得。この設定不備を利用して組織内のメールアドレスからフィッシングメールを送信した。

　4台のワークステーションに侵入した後、レッドチームは改変したオープンソースの攻撃経路特定ツールを用いて検知を回避し、Active Directory（AD）のデータを収集した。さらに、管理者以外のユーザーでもデフォルトでドメイン内に最大10個のアカウントを作成できるAD設定「Machine Account Quota」と、AD証明書サービステンプレートの設定不備を悪用して攻撃権限を昇格させた。

　その後、レッドチームは平文で保存された静的な認証情報を発見してデータベースにアクセスした。さらに「Microsoft Entra ID」の昇格した権限を悪用し、SOCメンバーのメールや「Microsoft Teams」のメッセージを閲覧可能な状態にした。

　レポートによると、組織AのSOCは低および中重要度のEDRアラートを受信していたものの、それらに対応していなかった。CISAはこの原因として、アラート疲れ、組織のサイロ化、アラートのエスカレーション手順の不備を挙げている。

組織Bのケース

　CISAのレッドチームは、3人のユーザーがスピアフィッシングメールをクリックしたことで組織Bのネットワークに侵入した。標的となった組織BのSOCは、クリックごとに中重要度のアラートを受信し、2分、10分、20分以内に該当するワークステーションをネットワークから隔離した。ただし、隔離が完了する前にレッドチームはLDAPクエリを実行し、ユーザー、グループ、デバイスを含むドメインのADデータを収集していた。

　ここで演習を継続させるため、シミュレーションの実施を把握していた組織BのITスタッフがペイロードを実行し、あたかもレッドチームが検知を回避したかのようなアクセス権を付与した。その後、レッドチームはドメインサービスアカウントの平文認証情報を発見し、DCSync権限を獲得してADアカウントの認証情報を取得した。

　レッドチームはFTPの認証情報を使ってSSH経由で踏み台サーバにログインし、OTネットワークへのアクセスを試みた。だが、組織BのSOCはOTのDMZ内にある該当ホストの隔離に成功した。さらにレッドチームは、Entra ID Connectの平文認証情報を使って組織のクラウドシステムへの侵入を試みた。しかし、Microsoftからの自動アラートを契機にSOCが不審なログインをブロックした。

CISOが把握すべきポイント

　Omdiaのラノウィッツ氏は、CISAのレポートにはセキュリティリーダーにとって重要な示唆が含まれていると語る。

　「ツール単体では効果も十分性も得られない。最大の弱点は人間だ。組織的な防御を構築するには、ツールと人間が実行する再現性のあるルールやアクションとしてプロセスを明文化し実装する必要がある」（ラノウィッツ氏）

　CISOやSOCが学ぶべき主な教訓には以下が挙げられる。

検知ツールのチューニング

　CISAはレポートで「明確なベースラインとアラートフィルタリングがなければ、誤検知や日常的なアラートに防御側が圧倒され、真の脅威が見えなくなる」と指摘している。SOCが真の脅威を検知し誤検知を減らすためには、ベースラインを確立し適切なアラートフィルタリングを設定する必要がある。

　「セキュリティツールの膨大な誤検知に圧倒される時代は終わった。最新のツールを使えば、セキュリティチームはベースラインを確立し、日常的な業務活動を効率的に識別できる」とラノウィッツ氏は話す。

サイロの解消

　「組織のサイロ化がセキュリティチームの迅速な行動を阻害している点に留意することが重要だ。効果的なインシデント対応を妨げた官僚的な組織体制は、サイバーレジリエンスの欠如を示している」とラノウィッツ氏は述べる。

　同氏によると、サイバーレジリエンスの高い組織はコミュニケーションを優先し、合意された手順を持ち、迅速な行動を可能にする権限を与えている。これには事業部門とセキュリティ部門の連携を強化して組織のサイロを解消することが含まれ、信頼関係と協力体制が求められる。

クラウド内外での基本的なセキュリティハイジーンの徹底

　ラノウィッツ氏は「両組織がクラウド環境のリスクを過小評価していたことは驚くにあたらない」と述べ、クラウドを含む攻撃対象領域全体を把握し、全ての資産を可視化することの重要性を強調した。同氏によると、Omdiaの最近の調査では脅威や脆弱（ぜいじゃく）性の修復プロセスのために資産の構成データを収集している組織は41％にとどまるという。

　セキュリティハイジーンの主なベストプラクティスとしては、最小権限の原則に基づく権限管理や、条件付きアクセスの対象を人間のユーザーだけでなく非人間的なID（サービスアカウントなど）にまで拡大することが挙げられる。また、静的な認証情報を排除し、平文での保存を禁止することも必須だ。さらに、クラウド環境でのインシデント検知、対応、修復のプロセスを確立し、セキュリティインシデント発生後にトークンの取り消しや再発行を適切に実行する手順を整備する必要がある。

　レッドチームシミュレーションでの失敗は痛みを伴う場合もあるが、得られた教訓からセキュリティを強化するという有意義な結果につながる。冒頭のディケンズ氏が『二都物語』で「悲嘆と絶望の中には途方もない力が宿る」と記したように、失敗を糧に前進することが求められている。

印刷する

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Sharon Shea

同じ攻撃で明暗　CISAの侵入テストで見えた「機能するSOC」3つの鉄則

2つのテスト、2つの結果

組織Aのケース

組織Bのケース

CISOが把握すべきポイント

検知ツールのチューニング

サイロの解消

クラウド内外での基本的なセキュリティハイジーンの徹底

TechTarget発　先取りITトレンド

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

同じ攻撃で明暗 CISAの侵入テストで見えた「機能するSOC」3つの鉄則

2つのテスト、2つの結果

組織Aのケース

組織Bのケース

CISOが把握すべきポイント

検知ツールのチューニング

サイロの解消

クラウド内外での基本的なセキュリティハイジーンの徹底

TechTarget発 先取りITトレンド

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

同じ攻撃で明暗　CISAの侵入テストで見えた「機能するSOC」3つの鉄則

TechTarget発　先取りITトレンド