敵対者の心の中: なぜより多くのセキュリティリーダーがAEVを選択しているのか

サイバーセキュリティは、善玉と悪玉の両方を演じることを含みます。高度な技術に深く入り込みながら、ダークウェブでの不正行為も行います。技術的なポリシーを定義し、攻撃者の行動をプロファイリングします。セキュリティチームは単にチェックボックスを埋めるだけでなく、攻撃者の心を理解する必要があります。

ここでAEVが登場します。

AEV（敵対的露出検証）は、敵対者がどのようにシステムを攻撃するかを模倣し、修復戦略を提供する高度な攻撃技術です。これにより、環境がどのように悪用され得るか、悪用の影響がどのようなものになるかを動的かつ継続的に発見し、対処することができます。

この記事では、AEVについて知っておくべきすべてのことと、攻撃に対する継続的な耐性を構築するためにチームがどのように活用できるかを共有します。

AEVとは何か#

Gartner®の敵対的露出検証に関するマーケットガイド（2025年3月）によると、AEVは「攻撃の実現可能性の一貫した、継続的かつ自動化された証拠を提供する技術」と定義されています。AEVはサイバー攻撃を模倣することにより、組織に攻撃者がどのようにネットワークに侵入できるかを理解させます。これにより、組織は効果的にセキュリティギャップを修復するための関連するセキュリティ対策を講じることができます。

AEV技術は、自動化ペネトレーションテストやBAS（侵害と攻撃シミュレーション）のような、以前は孤立していたセキュリティテスト方法を効果的に統合します。Gartnerは「2つの市場が発展し、重複する機能が増加するにつれて、2つの機能が攻撃技術を統合するために収束した」と述べています。

AEVの焦点は、実際の敵対者の心を再現することです。自動化されたペンテストの幅広さとBASの影響駆動型の焦点を組み合わせることで、AEVは実際の攻撃者が時間とともにどのように適応するかを反映する継続的なテストを可能にします。組織は攻撃者がどのように操作するかを継続的に模倣し、脆弱性のより洞察に満ちた確認とそれを最適に修正する方法を提供します。

AEVが露出管理をサポートする方法#

AEVは、CTEM（継続的脅威露出管理）の実践をサポートする技術的ソリューションとして登場しました。CTEMは、組織が脆弱性と露出を特定し、デジタル資産のリスクプロファイルを決定し、リスク軽減を優先し、その後修復を監視する包括的なプログラムです。

AEVがCTEMを促進する方法は次のとおりです：

• フィルタリングメカニズム – 一般的な発見の膨大なリストを生成する代わりに、AEVは実際に悪用可能な脆弱性に絞り込みます。セキュリティ問題の正当性を確認し、脅威アクターによってどれだけ簡単にアクセスできるかを評価するプロセスです。このアプローチは、従来のすべてをパッチする方法よりもはるかに効率的であり、最高リスクの問題のみをフラグし、その過程で無害で実際には修正を必要としない露出を特定します。
• 継続的な性質 – 一度限りのイベントや短期間の関与ではなく、AEVの継続的かつ頻繁な自動テストは、CTEMの発見、テスト、修復の継続的なフィードバックループをサポートします。これにより、新しい脅威技術に直面しても、IT環境が変化し、新しいソフトウェアの誤設定が発生しても、攻撃準備の永続的な状態を確保するのに役立ちます。
• 実際のテスト – ステージング環境は、攻撃者が環境を悪用する実際の条件を正確に表すことができないことがよくあります。これには、誤設定、休眠ユーザーアカウント、データ異常、複雑な統合が含まれます。最高のAEVツールの一部は、本番環境で安全にテストすることでこれに対処し、潜在的に壊滅的な影響をもたらす可能性のある脆弱性を特定するのに非常に正確で効果的です。
• パッチを超えた修復 – 悪用可能なCVEのパッチを超えて、AEVは修復のための非パッチ可能な脆弱性を特定します。例えば、露出した資格情報の置き換え、最小特権の原則の実装、誤設定の修正、安全でないサードパーティソフトウェアの置き換えなどです。これは、潜在的な脅威とリスクへの露出を全体的に削減しようとするCTEMの修復ガイダンスと一致しています。

レッドチームのためのAEV#

AEVは、攻撃者が異なる環境間で複数の脆弱性をどのように連鎖させるかを自動的に識別します。これにより、レッドチームのツールキットに欠かせないものとなっています。

AEVを使用することで、レッドチームは攻撃シナリオをより簡単にモデル化できます。これには、攻撃者がクラウドインフラストラクチャとオンプレミスシステム間を移動したり、異なるネットワークセグメントを通過したりする複雑なものが含まれ、既存のコントロールを克服し、低スコアの露出を組み合わせて完全な侵害を引き起こします。

AEVが提供する情報を装備したレッドチームは、決意のある攻撃者がどのように横方向に移動するかを明確に把握し、努力を拡大し、修復を迅速化することができます。組織にとって、AEVはコスト効率の高いレッドチーミングを保証し、エントリーレベルのレッドチームメンバーでも質の高い結果を提供できるようにします。GenAIは、複雑な攻撃シナリオのアイデアや説明を提供することで、これをさらに強化すると期待されています。

ブルーチームのためのAEV#

ブルーチームにとって、AEVは強力なスタートを提供します。AEVを使用することで、防御者は攻撃に直面したときにどの保護が本当に強固で、どれが強化を必要とし、どのコントロールが実際には冗長であるかを確認できます。これにより、防御者はセキュリティの姿勢が期待どおりに機能していることをトレンド分析を使用して確認できます。

ブルーチームはAEVからの洞察とデータを使用して以下を行うことができます：

• 検出スタックの調整
• 予防的な姿勢の変更
• 露出の優先順位付け
• サービスプロバイダーのパフォーマンス検証
• セキュリティベンダーのパフォーマンススコアカード
• その他の運用またはコントロールの改善

セキュリティの回復力のためのAEV#

AEVは、攻撃者が組織の防御の弱点をどのように悪用するかを継続的、自動化、現実的にシミュレートするように設計されています。サイバーセキュリティにおいて急速に重要な技術として浮上しているのも不思議ではありません。AEVを使用することで、セキュリティチームは環境内の露出がどのように悪用され得るか、そしてその目的を証明された検証を得ることができ、より賢明な優先順位付けと迅速な修復を可能にします。この必要な明確さは、サイバー回復力を育むための鍵です。

AEVの実装方法や、より広範なCTEM実践における役割について詳しく知るには、Penteraの露出管理サミットXposureに登録して参加してください。