30万件の実運用ペネトレーションテストが明らかにした、信頼・悪用可能性・自律的セキュリティの実態
30万件を超える実運用ペネトレーションテスト(pentest)を実施してきた当社は、昨今相次ぐ自律型セキュリティに関する発表を見ている人々にとって意外かもしれない教訓を得ています。
自律型セキュリティにおける最も難しい課題は、マシンに攻撃の仕方を教えることではありません。ミスが重大な結果を招く実運用環境の中で、AIベースのシステムに安全かつ予測可能に、そして繰り返し動作させる方法を教え込むことなのです。
攻撃経路を見つけること自体はエンジニアリングの問題です。しかし、医療機関、金融機関、製造業、重要インフラに対して動作させても組織から信頼されるプラットフォームを構築することは、運用上の問題です。この違いは、何年にもわたって大規模に運用を続けて初めて明らかになります。
業界がAIエージェント、自律型レッドチーム、マシンスピードでの運用を取り入れるにつれ、議論の多くは依然として「能力」に焦点が当てられています。マシンは侵害への経路を特定できるのか。弱点を連鎖させられるのか。人間のオペレーターと同じ成果を達成できるのか。
これらは妥当な問いです。しかし、セキュリティ責任者が本当に気にかけている問いではありません。
セキュリティ責任者が必要としているのは、プラットフォームが実運用環境で安全に稼働できるという確信、一貫して意味のある結果を生み出せるという確信、そしてチームがリスクについてより良い判断を下す助けになるという確信です。私たちの経験では、真の課題はそこから始まります。
2019年以降、NodeZero® は数千の環境にわたって30万件を超える実運用ペネトレーションテストを実施してきました。これらの取り組みを通じて、繰り返し浮かび上がってくる教訓が裏付けられています。
最大のセキュリティ上の課題は、組織が見えていないものから生じることはほとんどありません。それは、シグナルをノイズから切り分けることから生じるのです。
ほとんどの組織は脆弱性を見つけること自体には苦労していない
セキュリティ業界はこの数十年、可視性の向上に注力してきました。
組織は脆弱性スキャナー、アタックサーフェス管理プラットフォーム、クラウドセキュリティツール、エクスポージャー管理プログラム、そして無数の検出結果で埋め尽くされたダッシュボードを保有しています。ほとんどのセキュリティチームは、情報の不足に悩んでいるわけではありません。問題は、どの情報が重要なのかを見極めることに苦労している点です。
攻撃者は個々の検出結果という単位で考えることはありません。彼らは「成果」という単位で考えます。ある弱点を特定し、別の弱点と組み合わせ、環境内を移動しながら目的を追求するのです。個々のステップよりも、その経路全体の方が重要なのです。
セキュリティチームはしばしば、これと逆の問題を抱えています。何千もの検出結果がダッシュボードに次々と表示され、それぞれが個別に評価される一方で、それらの弱点がどのように結びつく可能性があるかについての文脈はほとんどありません。その結果、チームは深刻度をめぐる議論に多くの時間を費やす一方で、攻撃者は悪用可能性に注力しているのです。
この違いは些細に聞こえるかもしれませんが、すべてを左右します。深刻度は脆弱性そのものを表しますが、悪用可能性はリスクを表すのです。
経験がリスクの評価方法を変える
信頼は約束によって築かれるものではなく、何十万件ものペネトレーションテストを実施することで得られる深い経験によって築かれるものです。時間の経過とともに、業界、技術スタック、組織の成熟度にかかわらず、繰り返し現れるパターンが見えてきます。
私たちは、実質的な影響がほとんどない脆弱性の修復に多大な労力を要する既存ツールを組織が信頼する一方で、最終的に重大な侵害を可能にした一見些細な弱点を見過ごしている事例を数多く見てきました。これが起こるのは、リスクが単一の脆弱性として存在することはほとんどなく、複数の弱点が相互に作用し合う中に存在するからです。
ある金融サービス環境では、たった1つの侵害された認証情報から、115台のホストにわたる586件の重大な影響が生じ、そのうち3件は個別のドメイン侵害にまで至りました。個別に見れば、その認証情報はさほど重要には見えませんでした。しかし攻撃経路の一部として見た場合、それはまったく異なる意味を持つものとなったのです。
別のクラウド環境では、Entra IDテナント全体の侵害に至る経路に、共通脆弱性識別子(CVE)やゼロデイエクスプロイトは一切必要ありませんでした。関与した弱点はいずれも既知のものであり、既存のツールもそれらをすでに検出していました。欠けていたのは、それらの弱点がどのように連鎖しうるか、そしてその一連の出来事が組織にとって何を意味するのかという理解だったのです。
また、初期侵害そのものが評価において最も重要な部分ではなかったことを組織が発見した事例もあります。ある教育機関の環境では、より大きな問題は「侵入後に攻撃者がどこまで移動できるか」でした。影響範囲(ブラスト・レディウス)を測定した結果、当初の侵害地点からは到達不可能と考えられていたシステムやデータへの経路が明らかになったのです。
これらの事例はいずれも同じ教訓を裏付けています。課題は弱点を見つけることではほとんどなく、攻撃者よりも先にどの弱点が重要なのかを把握することにあるのです。この種の判断力は、デモンストレーションやベンチマークから生まれるものではありません。何年にもわたって実運用環境で活動し、数千の組織にわたって実際の攻撃経路がどのように生じるかを見てきた経験によって培われるものです。
信頼構築の鍵が「信頼性」にある理由と、それを実現する方法について詳しくはこちらをクリックしてご覧ください。
自律型ペネトレーションテスト7年間で学んだこと
ほとんどの組織が必要としているのは、検出結果を新たに増やすことではありません。彼らはすでに、現実的に対処しきれないほど多くの検出結果を抱えています。彼らが必要としているのは、実際に何が悪用可能なのか、攻撃者がそれをどう利用するのか、そして自分たちの対策がリスクを実際に低減できたのかについての確信です。
これが、私たちが実運用環境での運用を通じて長年学んできた教訓です。
そして、これこそが私たちが解決してきた課題です。
翻訳元: https://www.csoonline.com/article/4206099/autonomy-is-earned-not-claimed.html
