従来型のレッドチーミング vs OpenAEV: 継続的な検証が重要な理由
レッドチーミングは、敵対者のように考えるスキルを持つ専門家によって実施されます。彼らは、実際の攻撃が発生する前に組織の防御をテストするために、脆弱性を特定し悪用するトレーニングを受けています。
しかし、ここに不都合な真実があります。年次のレッドチームエンゲージメント中に検証されたセキュリティカバレッジは、システムアップデート、設定変更、または新たな脅威が出現した後の6か月後には、もはや保護できないかもしれません。そして攻撃の頻度と高度化の進展に伴い、このギャップはますます拡大しています。
これが、従来の定期的なレッドチーミングだけではもはや十分でない理由です。オフェンシブテストは、単なるチェックボックスの作業ではなく、コンテキストに基づいた継続的なものである必要があります。そこでAdversary Emulation and Validation (AEV)ツールの出番となります。
しかし、OpenAEVのようなAEVツールは、レッドチーミングを完全に置き換えるべきでしょうか?(ネタバレ:いいえ)
このブログでは、従来型のレッドチーミングとOpenAEVの機能を比較し、なぜ現代のセキュリティチームが永続的なレジリエンスを構築するために両方を活用すべきかを説明します。
要約
レッドチーミングとOpenAEVのような敵対者エミュレーションツールは、異なるものの相補的な目的を果たしており、現代のセキュリティチームはレジリエンスを維持するために両方を必要としています。
- 従来型レッドチーミングは、深い、創造的な、人間主導のセキュリティ検証を提供しますが、定期的で高価であり、結果はすぐに陳腐化します
- OpenAEVは、MITRE ATT&CKにマッピングされた実際の敵対者のテクニックを継続的にシミュレートし、検知コントロールが実際に機能するかを検証します
- 2つのアプローチは異なる質問に答えます:レッドチームは「攻撃者は侵入できるか?」と問い、OpenAEVは「彼らが試みた場合、検知できるか?」と問います
- 両者が一緒になって、発見が継続的な検知改善を推進するパープルチームのフィードバックループを形成します
- MITREのThreat-Informed Defense手法を基盤として、OpenCTI + OpenAEVはセキュリティチームにインテリジェンス主導で継続的に検証されたセキュリティポスチャーを提供します
OpenAEV: 継続的なエクスポージャー検証
まずOpenAEVから始めましょう。これは、優先順位付けされた脅威インテリジェンスを活用して実世界の攻撃シナリオをシミュレートし、レジリエンスを評価し、侵害を積極的に防止するオープンソースのエクスポージャー検証プラットフォームです。
設計目的は以下の通りです:
- 最小限の人的介入で敵対者のテクニックを安全にシミュレート
- EDR、SIEM、XDR、SOAR全体で検知を検証
- 技術的コントロールと並行して人間とプロセスの準備状況を評価
- 自動化により継続的かつオンデマンドで実行
- すべてのアクティビティをMITRE ATT&CKフレームワークにマッピング
中核となる目的はシンプルです:セキュリティレジリエンスを繰り返し、大規模に評価、改善、証明することです。
レッドチーミング:それは何か、なぜ重要か
レッドチーミングは、組織のセキュリティコントロールと前提を試し、実際の弱点を特定するために設計された構造化されたオフェンシブシミュレーションプロセスです。重要なのは、レッドチーミングはプロセスであり、製品ではなく、単一のツールによって定義または制限されるものではないということです。
- 熟練した経験豊富なオフェンシブセキュリティ専門家
- 実際の脅威インテリジェンスまたはCapture the Flag (CTF)スタイルのエンゲージメントに基づいた成果重視のシナリオ
- 現実的な攻撃条件下での検知、対応、コミュニケーションをテストするために設計されたカスタム攻撃パターンとペイロード
適切に実行されると、レッドチーミングはセキュリティにおける最も重要な質問の一つに答えます:攻撃者は今、私たちの環境に侵入できるか?
レッドチーミング:強みと限界
レッドチーミングはサイバーセキュリティにおいて最も価値のあるアクティビティの一つであり続けており、脅威の状況とともに進化し続けています。とはいえ、認識に値する固有の制約があります。
これらの限界は失敗ではないことに注意する価値があります。単に人間主導モデルの自然な制約です。
OpenAEVがこれらの制約にどう対処するか
OpenAEVは異なる角度から問題にアプローチします。「攻撃者は侵入できるか?」と尋ねるのではなく、「私たちが持っているセキュリティコントロールは実際に悪意のある行動を検知し、どれくらい早く検知するか?」と尋ねます。
人間の専門知識を置き換えるのではなく、組織が実世界の脅威にマッピングされた最新のTactics, Techniques, and Procedures (TTP)を使用して、前提を継続的にテストできるようにします。
実践的な比較
この比較により、一つのことが明らかになります:これらのアプローチは同じ役割を競っているのではなく、設計上相補的なものです。
AEV:安価なレッドチームではない
よくある誤解は、AEVプラットフォームが単に「予算重視のレッドチーム」であるというものです。そうではありません。根本的に異なる質問で動作します:
- レッドチーミング:攻撃者は今日、私たちを侵害できるか?
- OpenAEV:私たちのセキュリティコントロールは悪意のある行動を検知し、どれくらい速いか?
両方の質問が重要です。一方だけに答えると、重大な盲点が残ります。
OpenAEVとパープルチーミング
パープルチーミングは、オフェンシブセキュリティとディフェンシブセキュリティの間のギャップを埋めます。レッドとブルーチームがサイロで動作するのではなく、パープルチーミングは彼らを協力サイクルに集め、攻撃者と防御者が並んでギャップを特定し、より優れた検知を構築し、リアルタイムで修正を検証します。目標は単に弱点を見つけることではなく、体系的にそれらを閉じることです。
しかし、パープルチーミングはその背後にあるインテリジェンスと同程度にしか優れていません。どの敵対者とTTPが環境に最も関連しているかを知らなければ、間違ったものをテストするリスクがあります。ここでCTIツールが重要な役割を果たし、構造化された脅威インテリジェンスを演習に供給することで、シミュレーションが一般的な攻撃パターンではなく、実際の現在の脅威を反映するようにします。
OpenAEVは、オフェンシブな発見がディフェンシブな改善に継続的なフィードバックループで直接情報を提供するこの種のパープルチームワークフローに組み込まれたときに最大の価値を提供します。
典型的なサイクルは次のようになります:
- OpenCTIが業界をターゲットとする関連する脅威アクターとTTPを特定
- レッドチームエンゲージメント、OpenAEVシミュレーション、または実際のインシデントが検知ギャップを明らかにする
- 検知エンジニアが検知ルールを構築または更新
レッドチーミングには通常以下が含まれます:
- OpenAEVが関連するTTPを実行して修正を検証
- 結果がレビュー、調整され、文書化される
- シナリオが保存され、将来の検証サイクルで再利用される
時間の経過とともに、これはセキュリティを反応的な活動から、前提ではなく実世界の脅威インテリジェンスに基づいた測定可能で再現可能な積極的検証実践に変革します。これがそうでなければなりません。
OpenAEV vs レッドチーミング:適切なアプローチの選択
OpenAEVを選択:
OpenAEVは、検知能力に対する継続的でエビデンスベースの信頼を構築しようとするチームに最適です。優先順位が幅広さ、再現性、速度である場合に輝きます。
- コンテキスト脅威インテリジェンスとPriority Intelligence Requirements (PIR)を使用して、特定の環境のATT&CKカバレッジを理解
- セキュリティポスチャーに対する継続的な信頼を維持するために検知検証を自動化
- リーダーシップまたはコンプライアンス目的のためにセキュリティ効果の明確な証拠を提供
- テーブルトップ演習を通じて技術的、プロセス、人間の準備の組み合わせをテスト
- 環境の進化に応じてSIEMまたはEDRを継続的に調整
レッドチーミングを選択:
レッドチーミングは、人間の創造性と専門知識を必要とする深いシナリオ駆動型の評価に最適です。自動化ツールができないところに行きます。
- 熟練した専門家を活用して高度な多段階の敵対者キャンペーンをシミュレート
- 物理的または高度に複雑な環境における人間の反応とセキュリティコントロールをテスト
- 自動化ツールが試そうと考えない創造的な攻撃パスを明らかにする
- 主要なインフラストラクチャまたはアーキテクチャの変更後にポスチャーを検証
最善のアプローチ?両方を行う。
どちらのアプローチ単独でも全体像は語れません。一緒に使用すると、互いの盲点をカバーし、より強固で完全なセキュリティプログラムを作成します。
- OpenAEVは攻撃対象領域の自動化された継続的な評価を提供
- レッドチームは特定の複雑な目的で定期的に実行
- レッドチームエンゲージメントからの発見はOpenAEVの自動化検証ライブラリに直接フィード
これにより、セキュリティコントロールが継続的に評価され、時間の経過とともに機能することが証明されるフィードバックループが作成されます。
すべてに適合する単一のプロセスはありませんが、継続的な評価は現代のSOCチームにとって必須です。これがまさにMITREのThreat-Informed Defense (TID)フレームワークがサポートするように設計されているものです。
MITREフレームワークによるThreat-Informed Defense:Filigranの位置づけ
MITREのThreat-Informed Defense (TID)手法は、シンプルな原則に基づいています:実世界の敵対者の知識を使用して防御を優先順位付けし、それらが機能することを継続的に検証します。3つのステップで動作します:脅威を理解し、防御を検証し、学んだことを適用します。
Filigranのプラットフォームは、これらの各ステップを直接サポートするように設計されています:
- OpenCTIは、MITRE ATT&CKにマッピングされた脅威インテリジェンスを取り込み、相関付け、コンテキスト化することで、誰があなたをターゲットにし、どのようにしているかを把握できます。
- OpenAEVは、関連するTTPを自動的に実行して、コントロールが実際にそれらを検知するかどうかを検証します。
- 両者が一緒になってクローズドループを作成します:インテリジェンスがテスト対象を通知し、検証結果がインテリジェンスの全体像を鮮明にします。
つまり:OpenCTIは誰が来てどのように来るかを伝えます。OpenAEVは準備ができているかどうかを証明します。
まとめ
OpenAEVとレッドチーミングは競合するものではなく、防御を継続的にテストし改善するための相補的なメカニズムです。レッドチームはある時点で深い、創造的な、人間主導のセキュリティ検証を提供します。OpenAEVはその間に防御が効果的で測定可能であり続けることを保証します。
両方を採用し、OpenCTIとOpenAEVによって実現されるMITRE Threat-Informed Defense手法にアプローチを固定する組織は、大幅により強靭になります。チェックボックスにチェックを入れたからではなく、積極的で、エビデンスベースで、継続的に検証されたセキュリティプログラムを構築したからです。
今日の脅威の状況では、これは「あれば良い」ではありません。必要不可欠です。
お楽しみいただき、Slackコミュニティチャンネルでご質問があればお気軽にお寄せください!
続きを読む
関連トピックとインサイトをご覧ください
