Breach & Attack Simulation ツールの購入ガイド

Roman Samborskyi | shutterstock.com

Breach & Attack Simulation（BAS）ソリューションは、企業がセキュリティレベルを理解するのに役立ちます。これらのツールは特定の脅威ベクトルのテストを自動化します。通常、MITRE ATT&CKまたはCyber Kill Chain フレームワークがベースとして使用されます。BAS製品は、例えば以下をシミュレートします：

• ネットワーク攻撃と侵入の試み、

• 横方向の移動、

• フィッシング、

• エンドポイントおよびゲートウェイ攻撃、

• マルウェアおよびランサムウェア攻撃、および

• 内部脅威。

Breach & Attack Simulation の位置づけ

Breach & Attack Simulation は、Red Teaming、ペネトレーション テスト、または攻撃表面評価（ASA）を補完できますが、これらの措置とは明らかに異なります。あなたの企業が邸宅だと想像してみてください：

• Red Teamingまたはペネトレーション テストでは、あなたは誰かに敷地内に侵入させ、金庫を空にするよう依頼します。目標：潜在的なアクセス経路を明かす。

• 一方、Breach & Attack Simulationは、すべてのドアロックの機能性を確認し、インストールされているセキュリティカメラが人を認識したときに適切に反応することを確認するようなものです。目標：すべての制御措置が期待通りに機能していることを確認する。

• BASがEDRなどのエンタープライズセキュリティ制御に焦点を当てる一方、攻撃表面評価ではすべての潜在的な脆弱性と攻撃ベクトルが調査されます。

アナリスト企業Gartnerは、これらのテクノロジーをより広い「エクスポージャー管理」カテゴリにまとめています。アナリストによると、Breach & Attack Simulationソリューションは、特に銀行や保険などの強く規制された業界で、コンプライアンス要件の増加に直面している企業が求めています。セキュリティ企業Sygnia の対立戦術ディレクター、Ilja Rabinovich はこの評価を確認できるだけです：「BAS製品は通常高価であり、予算が限られているか、プロセス環境が限定されている小規模企業では購入されません。」

Gartnerのアナリストは予測しており、2026年までに全企業の40%以上が、サイバーセキュリティ検証テストについて、統合プラットフォームまたはマネージド サービス プロバイダーに依存するようになるとされています。したがって、BASプロバイダー業界は広く展開されています。スタンドアロン プロバイダーから大規模なセキュリティ企業、サービス プロバイダーまで、すべてが顧客にBASソリューションをもたらしたいと考えています。Constellation Research のアナリスト、Chirag Mehta は、市場のさらなる統合が地平線上にあると見ています：「攻撃をシミュレートできるツールがあれば、次の論理的なステップはそれらの攻撃を防ぐことです。ただし、これには様々なツールを統合する必要があり、簡単なことではありません。」

このセクション全体、および IT セキュリティのすべての他の領域における成長している傾向は、生成 AI（GenAI）の使用です。Forrester Research のアナリスト Erik Nost は、この展開を前向きに見ています：「おそらく、生成 AI は最初にユーザー インターフェイスの領域で使用されるようになるでしょう。

データとかっこよい方法で対話できることが、新しい GenAI ユースケースです。」

アナリストは、AI が将来的に

データまたはユーザーおよび企業にとって最も関連性のある攻撃タイプに基づいて脅威をモデル化する可能性があることも考えています。彼は次のように付け加えています：「生成 AI は、企業が BAS で見つかった問題を理解し、適切な優先順位を設定し、具体的な改善策を提案するのを支援するためにも使用できます。」

BASソリューションが提供すべきもの

ユーザーは Breach & Attack Simulation ツールで次の重要な機能に注意を払う必要があります：

• 代表的な攻撃ベクトルは、企業に関連する可能な限り広い範囲の攻撃をシミュレートします。

• 現実的な攻撃シナリオは、MITRE ATT&CK などのフレームワークに基づいており、実際の攻撃者のものに似ています。

• カスタマイズ可能なシナリオは、特定のインフラストラクチャ側面をテストします。

• 自動化されたテストは、運用に影響を与えたり、追加の人的リソースを必要としたりすることなく、定期的で効率的なシミュレーションを実現します。

• 詳細なレポートと分析は、テストの重要性を説明し、改善の必要な領域を特定します。

• スケーラビリティは、現在のエンタープライズ環境だけでなく、将来の発展もカバーします。

• ハイブリッド本番環境のテスト機能は、実際の条件下で制御措置を検査します。

• 簡単な使用と シンプルなデプロイ オプション、および既存のセキュリティ ツールおよびプラットフォームとの統合オプション。

• 専門知識のあるサポート–特に、Breach & Attack Simulation ツールに慣れていない場合、または関連する経験を持つ大規模なセキュリティ チームを配置できない場合。

• 適切なコスト構造。BAS プロバイダーの価格モデルは通常異なるため、価格構造はユースケースに適切である必要があります。

以下では、Breach & Attack Simulation の領域における主要なプロバイダーとそのソリューションを見ていきます。この選択は、Gartner の Peer Insights ランキングからの顧客レビューおよびExpert Insightsの専門家の評価に基づいています。

AttackIQ

Expert Insights によると、AttackIQ の中央エミュレーション プラットフォームは、MITRE ATT&CK フレームワークに準拠した攻撃者の戦術、技術、方法をレプリケートします。Breach & Attack Simulation 分野での企業の提供は 3 つのオプションに分かれています：

• マネージド プラットフォーム「Ready!」は、企業がより迅速かつ簡単に一貫性のあるセキュリティ検証戦略に到達するのを支援することを目的としています。

• エージェントレス テストサービス「Flex」はオンデマンドで機能し、従量課金制またはサブスクリプション形式で課金されます。

• 「Enterprise」は包括的な共同管理サービスです。

AttackIQ は、ML および AI ベースのサイバーセキュリティ コンポーネントのテストでも名前を上げています。同社によると、AttackIQ は Self-Service ソリューションとフル サービス ソリューションの両方を提供する唯一の BAS プロバイダーです。今後、人工知能は AttackIQ の顧客が自動的にセキュリティ上の問題を特定し、修復するのを支援することになります。

Cymulate

Cymulate は Expert Insights によると Continuous Threat Exposure Management の大手プロバイダーであるだけでなく、優れたユーザー体験のおかげで Gartner の Peer Insights で最も高い顧客評価を得ているプロバイダーでもあります。Cymulate の「Breach and Attack (BAS)」ソリューションは SaaS モデルで提供されます。データ分離の必要性がある企業向けに、プライベート テナンシー オプションも利用できます。AttackIQ と同様に、Cymulate は MITRE ATT&CK フレームワークを基礎として使用しています。

プロバイダーによると、現在、統合をセットアップして BAS ツールをデプロイするには約 3～4 週間かかります。Cymulate は、生成 AI を使用してこの期間を今後数分に短縮したいと考えています。しかし、プロバイダーの GenAI 計画はさらに進んでいます。技術は、将来的に数千または数十万のさまざまな攻撃シナリオから軽減戦略を自動的に開発し、セキュリティ チームにそれらの実装方法を説明することができるようになります。Cymulate によると、GenAI 機能は 2024 年 10 月末までに完全に利用可能になるとのことです。

Fortinet

顧客評価の点では、Fortinet の BAS オファリングは最初の 2 つのオファリングには完全には追いつきません。しかし、「FortiTester」は Breach & Attack Simulation をネットワーク パフォーマンス テストと組み合わせており、その点で包括的なソリューションを提示しています。

Fortinet ツールは MITRE ATT&CK フレームワークに基づいて多くの種類の攻撃をシミュレートし、Expert Insights によると、CVE ベースの IPS テストおよび DDoS トラフィック生成もサポートしています。

Mandiant

セキュリティ プロバイダー Mandiant は、主に脅威インテリジェンス分野のサービス提供で知られています。この分野での専門知識は、企業が BAS ソフトウェア ソリューション「Security Validation」にも活かされており、競合他社との差別化を図っています。

Mandiant ツールは、例えば MITRE ATT&CK フレームワーク マッピング、自動アラート、および環境ドリフト検出をサポートし、実世界の攻撃シナリオをシミュレートしています。

NetSPI

ペネトレーション テストの点では、NetSPI はすでに名前を上げています。企業は「Breach and Attack Simulation」を使用しており、セキュリティ制御を検証し、検出ギャップを特定し、攻撃表面を管理できる BAS ソリューションも提供しています。NetSPI の Pentesting ノウハウは、特に包括的なサポートに表れており、企業の上級セキュリティ顧問 Derek Wilson が約束しています：「当社の経験豊富なペネテスター チームがあなたの SOC チームと協力し、検出を分類し、予防措置を講じるのをサポートします。」

NetSPI でも、生成 AI が BAS 顧客に価値をもたらすことになります。今後、プロバイダーのソリューションは、複数のデータ ソースを活用して、必要なテストをできるだけ早く特定および優先順位付けできるようになります。さらに、脅威情報に基づいて特定の産業向けに生成されたプレイブック、および範囲のギャップを特定するための動的攻撃チェーンのシミュレーションも予定されています。

Picus Security

Gartner Peer Insights に基づくと、Picus Security は 2 番目に高い顧客満足度を持つ BAS プロバイダーであり、Gartner の分析家から「Customers Choice」賞を授与されています。同社によると、Picus には数百のグローバル企業が顧客として含まれており、例えば Mastercard や ING Banking グループなどが挙げられます。

プロバイダーの「Security Validation」プラットフォームには Breach & Attack Simulation が含まれていますが、自動化されたペネトレーション テスト、攻撃表面管理、SOC 最適化、クラウド セキュリティ体制管理（CSPM）もサポートしています。Picus も AI に大きく投資しており、将来的にはユーザーのセキュリティ レベルについてより良く、より速く、より広くパーソナライズされた洞察を提供したいと考えています。

Redscan

Redscan がマネージド検出と対応およびペネトレーション テストを専門としているため、企業は「FAST Attack Simulation」という実践的な BAS アプローチを提供しています。これは、後続のステップをサポートするための相談サービスと組み合わせた、カスタマイズされた攻撃シミュレーションをユーザーに約束します。

Reliaquest

Reliaquest プロバイダーは、セキュリティ プラットフォーム「GreyMatter」で 2023 年に「マネージド検出と対応」カテゴリで Gartner から「Customers Choice」賞を授与されました。このソリューションは、特に中堅企業の環境で広く展開されています。このプラットフォームの機能の 1 つは「Verify」と呼ばれており、Breach & Attack Simulation を実現しています。

Reliaquest の BAS ソリューションは、ユーザーに包括的な（キュレーションされた）攻撃シナリオのポートフォリオを約束し、可能な限り短時間で対応する結果を得られるようにしています。これらのシナリオは、現在の脅威情報に基づいて継続的に更新されます。特定された脅威カバレッジは、ツールが MITRE ATT&CK などのセキュリティ フレームワークと照合します。

このプロバイダーを検討している場合は、次のことに注意してください。セキュリティ対策の有効性を独立して検証するという観点から、BAS と MDR に同じプロバイダーを選択するのは必ずしも最善の策ではないかもしれません。一方、ユーザーはこの統合から恩恵を受ける可能性もあります。

SafeBreach

専用の BAS プロバイダー SafeBreach も Gartner のピア レビューで高い評価を受けており、他のセキュリティ ツールとの包括的な統合オプションのおかげです。著名な顧客の点でも、SafeBreach は Netflix、PayPal、Pepsi、Carlsberg グループで説得力があります。

BAS プラットフォーム「SafeBreach」は、企業独自の「Hackers Playbook」から派生した 25,000 以上の攻撃方法に基づいて、既存のセキュリティ制御の有効性をテストします。さらに、プロバイダーは、24 時間以内にプラットフォームを新たに浮上する脅威で補足できると約束しています。MITRE ATT&CK フレームワークに基づくカスタマイズされた攻撃シミュレーションに加えて、SafeBreach ソリューションはリスク軽減対策の予想コストを決定するオプションも提供しています。

BAS投資前の7つの質問

Forrester のアナリスト Nost は、企業が BAS の取り組みを開始する際に、システムと制御措置をよく理解し、「急いで」しないようにすることを推奨しています：「テストする内容がわからなければ、BAS ツールに手を出すべきではありません。」

それ以外に、不快なサプライズを回避するために、正しい質問で Breach & Attack Simulation ツール プロバイダーに質問することをお勧めします。例えば：

1. セキュリティ制御の範囲で改善された検出機能をどの程度保証していますか？

2. テストを本番環境でスケーリングして実行できますか（顧客への大きな影響なしに）？

3. 最新の脅威に関するあなたの研究努力はどのようなものですか？

4. 脅威ライブラリはどのくらいの頻度で更新されますか？

5. シミュレーション結果がどのように提示されるかを例で説明できますか？

6. あなたのプラットフォームは透過的ですか、それともブラック ボックス テストのみが可能ですか？

7. オンプレミスまたはエアギャップ デプロイメントのオプションはありますか？

この記事は、姉妹出版物 CSOonline.com でオリジナルで公開されています。