侵入に気付けないSOCは何が違う？
同じ攻撃で明暗 CISAの侵入テストで見えた「機能するSOC」3つの鉄則
米CISAが2組織へ同時侵入テストを実施した。侵入に気付けない組織と即座に隔離した組織の差はどこにあったのか。アラート疲れや組織のサイロ化を打破し、形骸化したSOCを再建する要点を明かす。
「それは最良の時代であり、最悪の時代でもあった……」。
英国の小説家チャールズ・ディケンズ氏のこの一節は、レッドチームによる侵入テストを想定して書かれたものではない。だが、同じ出来事でも組織によって体験が大きく異なるという逆説は、レッドチームシミュレーションに直面した各組織のシステムの命運が分かれる状況にも通じる。
米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月25日、重要インフラを担う2つの組織で同時に実施したレッドチーム評価の結果を公表した。どちらのテストでもレッドチームは標的環境への初期侵入に成功したが、一方の組織はもう一方に比べて被害が深刻な結果となった。
CISAが公開した勧告「AA26-237A」は、「2つのSOCの物語：2件のレッドチーム評価から得られた知見」と題されている。政府サービスおよび施設部門に属する「組織A」が侵入を検知できなかったのに対し、上下水道部門の「組織B」は侵入を検知した。同レポートはCISAが両ネットワークへ侵入した手口を詳述しており、いずれの演習結果も情シスにとって重要な教訓を示している。
調査会社Omdiaのアナリストであるテレサ・ラノウィッツ氏は、「今回の勧告はサイバーセキュリティの現状に妥当な懸念を投げかけており、人材、プロセス、テクノロジーの各面で改善すべき領域を提示している」と話す。
2つのテスト、2つの結果
組織Aのケース
CISAのレッドチームは、デフォルトの認証情報が設定されたアプリケーションを発見し、組織Aへの初期アクセスを獲得。この設定不備を利用して組織内のメールアドレスからフィッシングメールを送信した。
4台のワークステーションに侵入した後、レッドチームは改変したオープンソースの攻撃経路特定ツールを用いて検知を回避し、Active Directory（AD）のデータを収集した。さらに、管理者以外のユーザーでもデフォルトでドメイン内に最大10個のアカウントを作成できるAD設定「Machine Account Quota」と、AD証明書サービステンプレートの設定不備を悪用して攻撃権限を昇格させた。
その後、レッドチームは平文で保存された静的な認証情報を発見してデータベースにアクセスした。さらに「Microsoft Entra ID」の昇格した権限を悪用し、SOCメンバーのメールや「Microsoft Teams」のメッセージを閲覧可能な状態にした。
レポートによると、組織AのSOCは低および中重要度のEDRアラートを受信していたものの、それらに対応していなかった。CISAはこの原因として、アラート疲れ、組織のサイロ化、アラートのエスカレーション手順の不備を挙げている。
組織Bのケース
CISAのレッドチームは、3人のユーザーがスピアフィッシングメールをクリックしたことで組織Bのネットワークに侵入した。標的となった組織BのSOCは、クリックごとに中重要度のアラートを受信し、2分、10分、20分以内に該当するワークステーションをネットワークから隔離した。ただし、隔離が完了する前にレッドチームはLDAPクエリを実行し、ユーザー、グループ、デバイスを含むドメインのADデータを収集していた。
ここで演習を継続させるため、シミュレーションの実施を把握していた組織BのITスタッフがペイロードを実行し、あたかもレッドチームが検知を回避したかのようなアクセス権を付与した。その後、レッドチームはドメインサービスアカウントの平文認証情報を発見し、DCSync権限を獲得してADアカウントの認証情報を取得した。
レッドチームはFTPの認証情報を使ってSSH経由で踏み台サーバにログインし、OTネットワークへのアクセスを試みた。だが、組織BのSOCはOTのDMZ内にある該当ホストの隔離に成功した。さらにレッドチームは、Entra ID Connectの平文認証情報を使って組織のクラウドシステムへの侵入を試みた。しかし、Microsoftからの自動アラートを契機にSOCが不審なログインをブロックした。
CISOが把握すべきポイント
Omdiaのラノウィッツ氏は、CISAのレポートにはセキュリティリーダーにとって重要な示唆が含まれていると語る。
「ツール単体では効果も十分性も得られない。最大の弱点は人間だ。組織的な防御を構築するには、ツールと人間が実行する再現性のあるルールやアクションとしてプロセスを明文化し実装する必要がある」（ラノウィッツ氏）
CISOやSOCが学ぶべき主な教訓には以下が挙げられる。
検知ツールのチューニング
CISAはレポートで「明確なベースラインとアラートフィルタリングがなければ、誤検知や日常的なアラートに防御側が圧倒され、真の脅威が見えなくなる」と指摘している。SOCが真の脅威を検知し誤検知を減らすためには、ベースラインを確立し適切なアラートフィルタリングを設定する必要がある。
「セキュリティツールの膨大な誤検知に圧倒される時代は終わった。最新のツールを使えば、セキュリティチームはベースラインを確立し、日常的な業務活動を効率的に識別できる」とラノウィッツ氏は話す。
サイロの解消
「組織のサイロ化がセキュリティチームの迅速な行動を阻害している点に留意することが重要だ。効果的なインシデント対応を妨げた官僚的な組織体制は、サイバーレジリエンスの欠如を示している」とラノウィッツ氏は述べる。
同氏によると、サイバーレジリエンスの高い組織はコミュニケーションを優先し、合意された手順を持ち、迅速な行動を可能にする権限を与えている。これには事業部門とセキュリティ部門の連携を強化して組織のサイロを解消することが含まれ、信頼関係と協力体制が求められる。
クラウド内外での基本的なセキュリティハイジーンの徹底
ラノウィッツ氏は「両組織がクラウド環境のリスクを過小評価していたことは驚くにあたらない」と述べ、クラウドを含む攻撃対象領域全体を把握し、全ての資産を可視化することの重要性を強調した。同氏によると、Omdiaの最近の調査では脅威や脆弱（ぜいじゃく）性の修復プロセスのために資産の構成データを収集している組織は41％にとどまるという。
セキュリティハイジーンの主なベストプラクティスとしては、最小権限の原則に基づく権限管理や、条件付きアクセスの対象を人間のユーザーだけでなく非人間的なID（サービスアカウントなど）にまで拡大することが挙げられる。また、静的な認証情報を排除し、平文での保存を禁止することも必須だ。さらに、クラウド環境でのインシデント検知、対応、修復のプロセスを確立し、セキュリティインシデント発生後にトークンの取り消しや再発行を適切に実行する手順を整備する必要がある。
レッドチームシミュレーションでの失敗は痛みを伴う場合もあるが、得られた教訓からセキュリティを強化するという有意義な結果につながる。冒頭のディケンズ氏が『二都物語』で「悲嘆と絶望の中には途方もない力が宿る」と記したように、失敗を糧に前進することが求められている。
Copyright © ITmedia, Inc. All Rights Reserved.
TechTarget発 先取りITトレンド
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社kickflow] 2社の事例に学ぶワークフロー改革：属人化解消や年数万件の申請書類削減のコツ -
製品資料
[NTTPCコミュニケーションズ株式会社] 「回線速度不足」だけが原因ではない？ Web会議の遅延を解決する方法とは -
製品資料
[東京エレクトロン デバイス株式会社] 工場の可用性向上に重要な「7つの領域」と対策 OTセキュリティ強化の基礎知識 -
製品資料
[リコージャパン株式会社] 問い合わせ対応で本来の業務が進まない、総務や情シスの負担をどう減らす？ -
製品資料
[リコージャパン株式会社] 自社データから高精度な回答を生成、簡単に生成AIチャットボットを構築する方法
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
全社標準Copilotに絶望？ MS Copilotで問い合わせ6割減できた企業は何が違った
-
2
ITエンジニア1265人調査 生成AIを使い込むほど「人の確認」が重い理由
-
3
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
4
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
5
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
6
「Microsoft一択」で本当にいいのか 知らぬ間にライセンス費用が膨らむ真相
-
7
APIキー奪取から3時間でクラウド掌握 Anthropicが暴いた「バイブハッキング」の現実的な防御策
-
8
「Wi-Fi 7」は何がすごい？ Wi-Fi 5、Wi-Fi 6からの抜本的な進化とは
-
9
全社標準「Copilot」にダメ出し？ 現場の8割が不満を抱く“致命的な欠点”
-
10
【漫画付き】"RAG導入失敗3例"と処方箋 「入れても使われない」を終わらせる
ホワイトペーパーランキング PR
-
1
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
2
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
3
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
4
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
5
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
「スクラム」と「カンバン」の違いとは？ アジャイル型開発手法を徹底比較
-
8
AI時代に成功するための「ナレッジマネジメント」ベストプラクティス
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー