困難なのは、エクスポージャー(露出した脆弱性)を発見すること自体ではありません。それにどう対応するか、すなわちパッチを適用するのか、緩和するのか、監視するのか、それとも受容するのかを判断し、その判断が明日も通用すると確信できるかどうかが本当の難所です。ペネトレーションテストは実施した当日の状況にしか答えを出せず、時間が経てば静かに効力を失っていきます。環境は変化し、コントロールはずれ、新しい手法が登場し、気がつけばレポートはすでに存在しないネットワークを描写したものになっているのです。
エクスポージャーの発見と、それに対して下した判断への信頼との間に横たわるこのギャップこそ、多くのセキュリティチームが今なお苦しんでいる課題です。そして、これはGartnerの新しい調査が埋めようとしているギャップでもあります。「How to Implement a Continuous Offensive Security Testing Program(継続的攻撃的セキュリティテストプログラムの実装方法)」の中でGartnerは、カレンダーベースのペネトレーションテストは、今日の環境と脅威が変化する速度に対してあまりにも遅すぎると指摘しています。この調査が示す答えは、継続的攻撃的セキュリティテスト(COST)モデルへの移行です。これは定期的な評価から、チームがすでに実践しているワークフローに組み込まれた、継続的かつトリガー駆動型の検証への転換を意味します。
なぜ定期的なペネトレーションテストは静かに機能しなくなったのか
旧モデルの仕組み自体が間違っていたわけではありません。それはよりシンプルな時代、より動きの遅い攻撃者を前提に構築されたものでした。スケジュールに従ってスキャンし、深刻度でスコアリングし、最悪のもの(重大な深刻度)をパッチ適用のキューに入れ、導入したコントロールが機能していると仮定する——それが旧モデルのやり方でした。
このモデルは、処理速度と計算能力の向上によってすでに脅かされていました。しかし、それを本当に崩壊させた起爆剤はAIです。
私たちはすでに、いわゆる「Mythosしきい値」を超えています。これは、AIモデルが脆弱性を自律的に発見し、武器化できるだけの能力を備えるようになった転換点を指します。それ以降のわずかな期間で、脆弱性が公開されてから攻撃者がそれを悪用するまでの時間は、数週間から数時間へと一気に短縮されました。
その時間差をリアルタイムで追跡するZero Day Clockによれば、2026年の平均は10時間未満で、わずか2年前の約53日から大幅に短縮しています。新しいデータが入るたびに数値は変動しますが、現在は確実に24時間を下回る水準で推移しています。
そして件数も増え続けています。2025年だけで49,183件の新規CVEが公開され、1日あたり約135件、前年比でおよそ40%の増加となりました。それでいて、パッチが適用されるのは0.5%未満にとどまっています。
四半期ごとのペネトレーションテストの結果が、報告される前にすでに時代遅れになっているのも無理はありません。
平均攻撃悪用時間(Mean TTE)に関するZero Day Clock
その結果、あらゆるSOCが痛感している判断のギャップが生まれています。エクスポージャーはチームが処理できる速度を上回るペースで積み上がり、どの脆弱性が存在するかは把握できても、その攻撃チェーンが自組織の環境やコントロールに対して実際に成功するかどうかは分からず、攻撃が数分で成立してしまう状況では、監査人や役員会に対してどの判断が正当と言えるのか、誰も証明できなくなっています。
GartnerのCOSTフレームワークを支える3本柱
GartnerはCOSTを循環型の旅(設計、構築、実行、改善)として位置づけていますが、そのうち特に重要なのは以下の3点です。
- 第一に、検証はカレンダーではなく変化によってトリガーされます。リスクに応じて階層化されたトリガー(新たにインターネットに露出した資産、ゼロデイアラート、重要コントロールの更新、コードコミットなど)はそれぞれ緊急度と完了期限にマッピングされ、リスクの高い変化は数時間以内に検証され、通常の変化は次のサイクルで検証されます。
- 第二に、継続的なセンシング層の上で動作します。これは、エクスポージャー、攻撃対象領域、脅威インテリジェンス、コントロールに関するシグナルを統合し、重要な変化とノイズを切り分ける仕組みです。
- 第三に、単一の手法だけでは全体をカバーしきれないため、乱立させるのではなくオーケストレーションします。Gartnerはペネトレーションテスト、コントロール検証、レッドチーム演習、バグバウンティ、そして侵害・攻撃シミュレーションとペネトレーションテストを組み合わせた敵対的エクスポージャー検証(AEV)を挙げ、単体のツールを継ぎ足すのではなく、それらを連携させるべきだと警鐘を鳴らしています。
さらにGartnerは、検出結果が数百ページのPDFの中に埋もれて停滞するのではなく、直接対応ワークフローに反映されるべきだとも強調しています。
Gartnerの調査は具体的な時期にも言及しています。2028年までに、エンタープライズのペネトレーションテストプログラムの60%以上が年次サイクルから完全に脱却し、CTEMによって統制され、DevSecOpsパイプライン内で実行される継続的検証として、レジリエンスを証明する新たな主要手段になるとしています。
見落とされがちな点:単一の手法では組織全体をカバーできない
Gartnerが複数の手法を推奨しているのは、環境内のあらゆる場所で「ここでは悪用可能か?」という問いに答えられる単一の手法など存在しないからです。
最も強力な選択肢である自律型ペネトレーションテストを例に考えてみましょう。到達可能な資産に対して安全に実際のエクスプロイトチェーンを実行できる場合、それは何よりも強力な証拠となります。すなわち、自組織の環境で実際に攻撃が実行されたという事実です。
しかし、実際の悪用が実行できる範囲には限界があります。
- リスクを負えないビジネスクリティカルなシステム
- 制限されたネットワーク
- エアギャップされたセグメント
これらはすべて、実際のエクスプロイトを起動するいかなる手法にとっても対象外です。
多くのCVEには、公開された、あるいは安全に実行できるエクスプロイトが決して用意されません。また、CVEが公開された当日から、武器化されたエクスプロイトがオンラインで出回るまでにはタイムラグがあります。一般的な企業環境では、安全にテスト可能な範囲はエクスポージャー全体のおよそ10~15%にとどまります。残りの85~90%については、答えはさらなる実弾攻撃ではなく、コントロールを踏まえた推論にあります。
地上テストの答えはTTPチェーン検証
ロケットを想像してみてください。唯一無二の存在で、有人であったり、あるいはまだ設計図の段階だったりして、打ち上げる余裕のない機体を証明するには、各コンポーネントを実際の条件を模した地上テストにかけます。必要な部品が一つでも不具合を起こせば、そのロケットは飛びません。しかも、実際の打ち上げにかかる費用やリスクを負うことなく、その事実を突き止められるのです。
エクスプロイトも同じ仕組みで動作します。一連の手法が順番に実行される連鎖であり、ロケットの部品と同様に、それぞれのリンクを個別にテストできます。
CVEをそのチェーンに分解し、EDRポリシー、ハードニング、LSASS保護、許可リスト、ファイアウォールといった、自組織が導入済みのコントロールに対して各手法を検証します。
TTPチェーンの仕組み
自組織の環境が必要なリンクのいずれかを断ち切っていれば、そのエクスポージャーはここでは悪用不可能だという答えを、証拠付きで得られます。それも、手を出せない資産や、まだ誰も武器化していない脅威に対してもです。
答えは明快です。安全に打ち上げられるロケットは打ち上げ、それ以外のすべてについては個々の部品を検証すればよいのです。
もう一つのツールではなく、ループを構築する
ここで「乱立させるのではなくオーケストレーションする」が合言葉になります。
個々のツールは、それぞれ問いの断片にしか答えを出せません。あるものはスキャンし、あるものはシミュレーションし、あるものはペネトレーションテストを実行します。ツールを積み重ねても判断のギャップは埋まらず、むしろ統合の負担が増すだけです。
それを埋めるのは、検証、判断、修正、再検証という一連の手法を一つのループとして扱うことであり、そのループは以下の要素の上に構築されます。
- 自律型ペネトレーションテストは、AIエージェントを稼働させ、自組織で定義したガードレールの範囲内で、実際の攻撃を環境全体にわたって連鎖させます。これにより、どのエクスポージャーが本当に悪用可能なのか、どのコントロールが攻撃を阻止するのか、そしてどうすればギャップを埋められるのかが明らかになります。
- エクスポージャー検証は、TTPチェーンによって実際のエクスプロイトを使わずに悪用可能性を証明する手法で、ビジネスクリティカルな資産、制限された資産、エアギャップされた資産に加え、公開初日の新規CVEにも対応します。
- 侵害・攻撃シミュレーションは、最新の手法に対して自組織の防御・検知スタックを継続的にテストすることで、コントロールや資産が変化してもすべての判断が正当性を保てるようにし、攻撃者に先んじてコントロールのドリフトを検出します。
このループはまた、自動化だけに頼ることへのGartnerの警鐘にも応えるものです。ガードレールで調整可能な自律性を備え、検出結果はJiraやServiceNowのチケットとして証拠付きで記録される、明確な管理連鎖(chain of custody)を実現します。
Picusが果たす役割
PicusはGartnerのCOSTベンダーマトリクスにおいて、敵対的エクスポージャー検証(BASとペネトレーションテストの組み合わせ)の分類で登場しています。これは同フレームワークが指し示すアーキテクチャ、すなわち何でもこなす単一スイートではなく、複数の手法を連携させた一つのエンジンです。
このプラットフォームはループ全体を実行し、シグナル駆動型で動作します。各サイクルは、スケジュールではなく、脅威インテリジェンス、資産のトポロジー、コントロールの有効性における実際の変化によってトリガーされます。言い換えれば、Gartnerが説明するセンシング層を実際に運用可能な形にしたものです。実際の悪用が安全に行える場合にはPicus Autonomous Penetration Testingが実際の攻撃チェーンを実行し、それが難しい場合にはPicus Exposure ValidationがTTPチェーンによって実弾攻撃を伴わずに悪用可能性を証明します。そしてPicus Breach and Attack Simulationが、時間の経過にわたってあらゆるコントロールと判断の正当性を保ち続けます。設計上オープンな構成となっており、すでに導入済みのスキャナーから資産、脆弱性、ビジネスコンテキストを取り込めます。
Picusの顧客データによれば、その成果はGartnerがプログラムに測定を求めているまさにそのKPIに沿ったものとなっています。
- 重大・緊急脆弱性におけるSLA違反が92%減少
- 新興脅威に対するMTTRが89%短縮
- 3か月以内にコントロールの有効性が2倍に向上
- 重大チケットの滞留が最大98%削減*
これらはすべて、ツールを追加購入するのではなく、実際のギャップを埋めることによって達成されています。
このループが答える問い
役員会が問う内容は「パッチは適用済みか?」から「今この瞬間、自組織は安全であり、それを証明できるか?」へと変化しています。
これはもはや定期的なペネトレーションテストでは答えられない問いです。テストが完了した瞬間に、その結果はすでに的外れなものになってしまうからです。COSTをうまく構築するには、二つの取り組みが必要です。検証を継続的なものにすることで答えが古くならないようにすること、そして組織全体をカバーし、手を出せない資産だけが検証対象から漏れることのないようにすることです。
単一の手法が答えられるのは一部分だけです。ループはそのすべてに答え、あらゆるエクスポージャーを、自信を持って説明できる判断へと変えてくれます。
自組織の環境でどの攻撃が実際に成功するのかを確認するには、こちらから無料デモを予約してください。
翻訳元: https://www.helpnetsecurity.com/2026/07/08/picus-continuous-offensive-security-testing-program/
