ユーザーを騙して添付ファイルを開かせた攻撃者は、そのマシンに残っている権限をそのまま手に入れます。ドメイン全体にアクセスできるサービスアカウント、どこへでも通じるアウトバウンド経路、使われるのを待っているだけのスクリプトエンジン——Christopher Frenz氏は、誰かが検知ルールを書く前に、こうした機能そのものを消し去るべきだと考えています。
Frenz氏はOWASP Subtractive Security Top 10を率いています。これは、Path Erasure Rate（経路消去率）と呼ばれるエンジニアリング標準とともに公開された、9つのリストから成る取り組みです。この10年、EDR、SIEM、NDRを次々と積み重ねて対応してきた組織は今、本来削除できたはずの経路に関するアラートに対価を払い続けています。これらのリストは、プラットフォームごとに「どの経路を削除すべきか」を具体的に示すものです。
このスイートはWindows、Linux、macOS、Active Directory、AWS、M365、ネットワーク、IoTを網羅しており、その土台には基本原則をまとめた汎用リストが置かれています。
優先順位の考え方はセキュリティ分野の外から
Frenz氏は、この優先順位付けの手法を、より長い歴史を持つ別の分野から取り入れました。
「信頼性工学の世界では、故障モードへの対処は可能な限りアーキテクチャレベルでの消去によって行われ、それが不可能な場合はアーキテクチャによる制約で対応し、消去も制約もできない場合に限って監視が用いられます。サイバーセキュリティにおける攻撃経路は、この故障モードに相当するものです。本プロジェクトの『有効性の階層』は、他のあらゆる成熟したエンジニアリング分野で用いられている故障モード排除の階層構造を模倣し、まず攻撃経路の排除を第一の防御手段とし、完全には排除できない攻撃経路は制約し、消去も制約もできないものについてのみ監視を行う、という考え方に基づいています」
アラート疲れは、加算型のモデルが限界を迎えている証拠として、このプロジェクトが挙げる状況のひとつです。
「この階層構造を適用することで、実は組織の攻撃検知能力そのものが向上します。なぜなら、生成されるアラートのシグナル対ノイズ比が大きく改善されるからです。消去済みの経路はもはやアラートのノイズを生み出しません」とFrenz氏はHelp Net Securityに語りました。
EDR契約をめぐる問い
監視を階層の最下層に置くという考え方は、予算会議の場では「エンドポイント検知製品の更新契約を打ち切ってもよい」という主張として使われかねません。
「この標準は検知と対応の廃止を主張しているわけではありません。検知と対応を第一の防御手段にすべきではない、と言っているのです。今日のセキュリティチームは、その労力の大半を、より高性能な煙感知器を設置することと、より迅速に対応できる消防隊になることに費やしています。この標準が主張しているのは、消防隊が果たす役割は今後も欠かせないものであり続ける一方で、火を消すことを第一の目標にすべきではない、ということです。第一の目標とすべきは、可燃性を下げ、そもそも簡単には燃え広がらない建物を設計することです」
分母を決めるのは調査した本人
PERは分数です——消去済みの経路数を、消去対象となり得る経路の総数で割ったものです。分母は、評価者が発見できた範囲を洗い出すことで作られるため、同じ環境の規模を測定しても、チームが違えば異なる合計値になり得ます。
「PERは定義された運用スコープ（例えば、Active Directoryフォレスト全体やクラウドテナント全体など）の中で算出されるため、分母を狭めることは、検証済みの対象範囲を縮小することを意味するにすぎず、セキュリティを見かけ上よく見せているわけではありません。重要な資産を除外して指標を操作したとしても、その数えられていない経路が消えてなくなるわけではなく、単に測定されないリスクとして残るだけです。さらに、PERが方向性の判断に役立つために完璧な正確性は必要なく、データが不完全な状態でも、最も影響の大きいアクションを特定することは可能です」
Frenz氏は具体例を示しました。
「経路消去Aによって1000の資産にまたがる5つのTTPが排除される（つまり5000の攻撃経路）とし、経路消去Bによって同じ1000の資産にまたがる1つのTTPが排除される（つまり1000の攻撃経路）とします。この場合、施策Aの方が攻撃者の選択肢をより大きく減らすことは明らかであり、優先すべきだと分かります。この影響の方向性は、ある人が資産数を998として数えていても、別のチームが1001と考えていても変わりません」
スコアを再現する
この算出にはグラフ理論が使われており、その手法はPER 1.0の仕様書にまとめられています。現時点での検証は、2人の評価者がこの文書を読み、同じ数値にたどり着くかどうかに依存しています。
削除は何かを壊す
Frenz氏は、削除に取りかかる前に必ず分析フェーズを置くべきだとしています。
「このアプローチでは、チームがまず時間をかけて、その環境で正当に必要とされている機能は何か、そして攻撃経路を生かし続けているだけで他に何の役にも立っていない機能は何かを見極める必要があります。目標はあらゆる攻撃経路を排除することではありません。経路の中には正当な業務目的で使われているものもあるからです。目標は、正当な目的を持たない経路を排除または制約することです。例えば、少し分析するだけで、ブラウザがPowerShellを起動する正当な必要性など通常はまったくないことが分かるはずです」
リストへの項目の採用基準
元々のOWASP Top 10は、実際のアプリケーションで見つかった脆弱性を集めたデータセットに基づいています。Frenz氏はこれらのリストを、それとは異なる基準でまとめました。
「各リストの項目は、典型的な組織においてそれらがもたらす攻撃者の選択肢の削減効果に基づいて選定されています。これらのリストは、典型的な組織においてその排除が最大のPER改善をもたらす攻撃経路のクラスを表しています」
保険会社が採用した場合
保険会社や規制当局に渡るセキュリティスコアは、コンプライアンス上の数値となり、コンプライアンス上の数値は最適化の対象になりがちです。
「PERはこれに対抗するため二値的な設計になっています。PERの算出において、経路は『存在する』か『存在しない』かのいずれかであり、『存在しない』と判定するには、その経路を利用した攻撃がもはや実行できないことの検証が必要です。主観の入り込む余地はなく、検知が作動したからといって加点されることもありません。さらに、PERの算出は意図的に重み付けを行わない設計になっており、それによって操作しにくくしています。資産を再分類することで書類上リスクを下げることができないようにするためです」
この重み付けを行わない設計には、明確な狙いがあります。
「攻撃者にとっては、フィッシングに成功して足場を築いたワークステーションが、リスク登録簿上で重要資産に分類されていようがいまいが、知ったことではありません」
9つのリストとPERの仕様書はGitHubで公開されています。
翻訳元: https://www.helpnetsecurity.com/2026/08/04/owasp-subtractive-security/
