OpenAEVでテーブルトップシナリオを構築する

テーブルトップ演習(TTX)は、実際のサイバーインシデントが発生する前にチームを準備するための、強力で低コスト、かつ低リスクな手法です。これらの演習は、インシデント対応計画のテスト、ギャップの特定、チーム間の連携改善において重要です。

この記事では、目的の定義や説得力のあるシナリオの作成から、生産的な議論の促進、継続的改善のための教訓の活用まで、インパクトのあるテーブルトップシミュレーションを独自に作成するための重要なステップをご案内します。

今回の演習では、ランサムウェア攻撃のシナリオに焦点を当てます。この非常に関連性が高く広範な脅威は、技術的対応、コミュニケーションプロトコル、事業継続性など、複数の領域にわたる組織の準備状況を評価するための優れたシナリオとなります。

要約

ランサムウェアのテーブルトップ演習(TTX)は、インシデント対応のテスト、コミュニケーションの改善、組織的ギャップの特定に不可欠です。
OpenAEVを使用することで、動的なインジェクト、チーム連携、カスタム評価基準を備えた現実的なシミュレーションを簡単に設計、実行、評価できます。
IT、法務、広報、経営幹部などの主要な役割に焦点を当て、包括的で実用的なシナリオを確保します。
シミュレーション後の分析、フィードバック、自動レポート生成により、継続的改善を推進し、組織全体でベストプラクティスを共有できます。

ランサムウェア攻撃シナリオの計画

目的の定義

現在のTTXにおける課題の1つは、明確に定義された目的や成果が欠けていることです。正確には何をテストしようとしているのでしょうか?ランサムウェアシミュレーションでは、次の領域を重視できます:

現在のインシデント対応計画の有効性の評価: 既存の計画は、技術的修復から法的・広報的配慮まで、ランサムウェア攻撃の多面的な側面に適切に対処していますか?
コミュニケーションプロトコルと意思決定プロセスの評価: 危機的状況下で内部チーム(IT、法務、人事、経営幹部)はどれだけ効果的にコミュニケーションを取り、意思決定を行っていますか?外部コミュニケーション戦略(顧客、メディア、規制当局)は明確に定義されていますか?
技術的管理と復旧能力のギャップの特定: 組織は、ランサムウェアを検出、封じ込め、根絶するために必要なツールと手順を保有していますか?重要なシステムとデータを効率的かつ完全に復旧できますか?
事業継続計画と災害復旧計画のテスト: ランサムウェアによる重大な停止に直面した場合、事業運営はどれだけ回復力がありますか?重要な機能を維持、または迅速に復旧できますか?
チーム連携と役割の明確性の向上: すべてのチームメンバーは、自分の責任と、自分の行動が全体的なインシデント対応活動にどのように貢献するかを理解していますか?

優れたチームの構成

適切な参加者を特定することは、包括的で現実的な演習にとって重要です。プレイヤーは、実際のランサムウェアインシデントに関与する主要な関係者を代表する必要があります。このシミュレーションでは、次のメンバーを含めることを検討してください:

インシデント対応チーム(技術系): 検出、封じ込め、復旧の技術的側面に直接関与するITセキュリティスペシャリスト、ネットワーク管理者、システム管理者、フォレンジックアナリスト。
ITリーダーシップ: 戦略的監督とリソース配分を担当するCIO、CISO、ITマネージャー。
法務顧問: コンプライアンス、データ侵害通知法、潜在的な法的影響についてアドバイスできる社内または外部の法律専門家。
コミュニケーション/広報: 社内外のコミュニケーションの作成、メディアへの問い合わせ対応、組織の評判保護を担当する担当者。
事業部門代表: 攻撃の事業への影響を明確に説明し、復旧の優先順位に関する洞察を提供できる重要部門(財務、オペレーション、人事など)のリーダー。
経営幹部: 組織の対応と復旧に関する高レベルの意思決定を行うCEO、COO、またはその他のシニアエグゼクティブ。
人事: 従業員関連の懸念事項とコミュニケーションに対処します。

OpenAEVを使用したシナリオの準備

OpenAEVでのターゲットの定義

シミュレーション用に選択したプレイヤーに基づいて、OpenAEVプラットフォームに登録し、機能チームに割り当てるだけです。

プレイヤー作成パネルから新しいプレイヤーを登録します。

シナリオに関与するチームを定義し、各チームに関連するプレイヤーを割り当てます。

インジェクトの作成

インジェクトは、事前にスクリプト化された情報やイベントで、実際のインシデントの動的で予測不可能な性質を模倣するために、戦略的なポイントでファシリテーターによって導入されます。これらはシミュレーションシナリオ中に段階的に展開され、参加者に挑戦します。

各インジェクトは参加者に反応、意思決定、進化する圧力下での計画とコミュニケーションプロトコルのテストを強いることで、最終的に対応能力の強みと弱点を明らかにします。

インジェクト作成パネルでインジェクトを選択し、コンテンツを入力します。

OpenAEVでは、シナリオを活性化するための様々なインジェクトにアクセスできます:

プレイヤーをターゲットとするインジェクトのリスト。

個別メールまたはグループメール: 異なるソースから届く新しい情報をシミュレートし、プレイヤーを実際の危機状況に置きます
SMS: 同様に、SMSを活用してシナリオを実際の危機状況に近づけることができます
メディアプレッシャー: プレス記事、ツイートなどのメディアソースから届く情報をシミュレートします
チャレンジ: プレイヤーに質問を送信し、進行するために正しく答える必要があります
手動インジェクト: これらはプレースホルダーで、インジェクトの範囲外のアクション、例えば演習中の危機管理セルの作成などを追跡できます。

コンテンツ作成を支援するために、AIアシスタントであるAriane AIにプロンプトに基づいたコンテンツ生成を依頼できます。

コンテキストを定義し、プロンプトのパラメータを選択します。

インジェクトのコンテンツが準備できたら、関連する機能チームに割り当て、スケジュールを設定してインジェクトを完成させます。

完成したインジェクトの外観。起動準備完了です。

インジェクトの期待値の定義

期待値は、インジェクトに添付できる評価基準で、必須ではありませんが強く推奨されます。チームの成功を評価し、実装すべきベストプラクティスを特定するための鍵となります。

インジェクトのパラメータとして期待値を追加できます:

インジェクトに関与するチームに期待される行動を定義します。

インジェクトを作成したら、アニメーションビューを使用して、シナリオがどのように展開され、チームがタイムライン上でどのように影響を受けるかを視覚化できます。

アニメーション画面でシナリオのタイムラインを視覚化し、シミュレーション中の進捗状況を追跡します。

XLSインポート

または、XLSマッパーを使用して、シナリオ全体をインポートし、チームを追加し、期待値を設定できます。入力としてシナリオの.xlsクロノグラムを提供し、データを正しく取り込むためのマッパーを作成する必要があります。

.xlsクロノグラムの構造例。

クロノグラムをインポートできるように専用のXLSマッパーを作成します。

シミュレーションの実行

シナリオの起動

OpenAEVでは、シナリオを手動で起動するか、特定の日時に自動的に開始するようにスケジュールできます。

シミュレーションの時間スケジュールオプション

演習の進行

セッション中、評価者としてプレイヤーと対話できます:

プレイヤーのメールに返信し、ニーズに基づいて新しい情報を提供することで、シナリオ全体をより現実的にできます。

統合メールツールを使用して、シミュレーション中にプレイヤーに返信します。

また、その場で新しいインジェクトを生成して含めることができるため、任意のコンテキストにシナリオを適応させることができます。

インシデント対応の評価

期待値の評価

シナリオ中または後に、チームの対応に基づいて期待値を評価することで、チームのパフォーマンスを評価します。

実行されたインジェクトの期待値を検証します

インジェクトの詳細ページで、評価に基づいて、期待値を満たしていたチームとプレイヤーを確認できます。

すべての評価が完了すると、チームのパフォーマンスの概要が表示されます。このビューは、正しくカバーされた内容と、プロセス改善の方向性を強調します。

シミュレーション概要のインジェクト結果を確認して、チームが正しく対応したインジェクトと改善の余地がある箇所を理解します。

チームから貴重なフィードバックを得る

プレイヤーのフィードバックを収集し、体験に関するコンテキストに沿った洞察を得るために、OpenBASではアンケートを送信し、シミュレーションページでフィードバックを集中管理できます。

プレイヤーに送信されたフィードバックフォームの例

レポートを生成し、関係者にベストプラクティスを伝達する

最後に、シミュレーションの結果をチームや様々な関係者と共有して、ベストプラクティスを伝達し、プロセスの改善余地を強調し、推奨される次のステップを示すことが重要です。

OpenAEV内のレポート機能を通じて直接これを行うことができます。レポート機能は、シミュレーションの結果を集約し、特定のインジェクトにコメントを追加したり、シミュレーション全体に関する詳細なメモを記載したり、すべてをPDFレポートとしてエクスポートしたりできます。

レポートページでシミュレーションを要約し、コメントを追加します。

まとめ

TTXは、サイバー脅威に対する組織のレジリエンスを強化するための不可欠なツールです。高ストレスシナリオをシミュレートするための低リスクな環境を提供することで、単なる準備ではなく変革的な役割を果たします。従来、このような演習の実施は、フルスペクトラムの対応をシミュレートするために技術的および非技術的関係者を巻き込む必要があり、煩雑でした。また、シナリオが実際のサイバー脅威(ランサムウェア、内部脅威、サプライチェーン攻撃など)の複雑さを反映していない場合もあります。しかし、OpenAEVのような直感的で包括的なAdversary Exposure Validation(AEV)ツールの進歩により、現実的なTTXの実施は誰にでも手の届く範囲になりました。

最終的に、定期的なテーブルトップ演習への投資は、十分に準備されたチームと堅牢で適応力のあるプロセスを育成する積極的な対策であり、ランサムウェア攻撃の潜在的に壊滅的な影響を乗り越え、軽減するために不可欠な要素です。

デモインスタンスへのアクセスをリクエストして、今すぐOpenAEVをテストしてください。

OpenAEV Live Demo

お楽しみください。また、Slackコミュニティチャンネ lでお気軽にご質問ください!

OpenAEVでテーブルトップシナリオを構築する

要約