Attack Chaining：継続的かつ自動化されたレッドチーミング

Attack Chainingは、OpenAEVをリアルタイムで適応するアタックパスエンジンへと変え、あるアクションの出力が次のアクションの入力として供給される仕組みを実現します。各結果（認証情報、IP／ポート、トークン、ファイルなど）は構造化されたファインディングとして取得され、エンジンは実行時にこれらを評価して次の動作を判断します。つまり、固定された台本に従うのではなく、実際に発見された内容に基づいて経路を分岐させます。

特に際立つ特長は3つです。

• オープンで条件分岐可能なロジック。 チェーンを自ら構築し、テクニックの変化に合わせて更新・再利用できます。
• リアルタイムで実用的な可視性。 あらゆるアクションとファインディングを、発生と同時にインタラクティブなグラフ上で追跡できます。
• ボトルネックの特定。 攻撃者がどのように弱点を連鎖させるか、そしてその経路全体を断ち切る一つの修正策を把握できます。
• 自律的なオーケストレーション。 エージェントに目的を与えるだけで、チェーンの計画・実行・適応を自律的に行います。

その結果、脆弱性を大規模に検証するための、高速かつ現実的で費用対効果の高い手段が実現します。

Attack Chainingの仕組み

Attack Chainingのシナリオは、条件によって結びつけられた一連のアクションです。脅威アーセナル（TTP、ペイロード、フィッシング、カスタムアクション）からアクションを選択し、条件によって、直前のアクションが発見した内容に基づいて次に実行するアクションが決まります。一つのチェーンは複数の方向に分岐できるため、一つのシナリオで多数の攻撃経路をカバーできます。

各チェーンには、対象となる資産・ターゲットの範囲と、どこまでエスカレーションできるかを定めるスコープも設定されます。

実行中、すべての結果は認証情報、開いているポート、クリックされたフィッシングリンクなど、構造化されたファインディングとして保存されます。エンジンは各ファインディングを条件と照合し、チェーンを前進させます。インタラクティブなグラフ上で経路をリアルタイムに追跡し、任意のノードをクリックすることで、そのアクションが何を行い、何を返し、なぜチェーンが次のステップに進んだのかを確認できます。

以下では、ロジックの構築から安全な実行まで、各機能を詳しく見ていきます。

オープンで条件分岐可能なチェーンロジック

脅威アーセナルに含まれるあらゆるイベントやアクション（TTP、ペイロード、カスタムアクション）を活用し、独自の再利用可能なアタックパスロジックをゼロから構築できます。次に何が起こるかを決める条件を定義することで、固定された一つの順序に従うのではなく、各アクションが発見した内容に応じてチェーンが自動的に分岐します。新しいアクションやテクニックが登場するたびに、ロジックをいつでも更新できます。

レッドチームは自らのトレードクラフトを一度コード化すれば、あらゆるエンゲージメントで再実行できます。パープルチームは、修正後に同じ経路を再実行し、実際に塞がれたかどうかを確認できます。

リアルタイムのアタックパスマッピング

Attack Chainingのシミュレーションがインタラクティブなグラフ上でリアルタイムに展開される様子を確認できます。最初のアクションから最終目的まで、エンドツーエンドで実行される各アクションを追跡します。各ホップとピボットは発生と同時にライブで描画され、事後の静的なレポートではなく、形成されつつあるアタックパスをリアルタイムに把握できます。

レッドチームは攻撃の実行をリアルタイムで確認でき、ブルーチームは実行内容を振り返り、各ステップとSOCが実際に検知した内容（あるいは見逃した内容）を比較できます。パープルチーム演習は、1週間後のデブリーフィングではなく、ライブのワーキングセッションになります。

ボトルネックの優先順位付けに役立つ、透明性のある実用的なファインディング

各アクションの結果（認証情報、IP／ポート、トークン、ファイルなど）は、自動的に構造化されたファインディングとして取得されます。マップ上の任意のノードを掘り下げることで、そのアクションがなぜ、どのように実行されたのか、何を返したのか、そしてそのファインディングが次のステップをどう導いたのかを正確に確認でき、一つの修正で経路全体を断ち切れるボトルネックを明らかにします。

CVSSで並べられた長大なファインディングのリストを修復チームに渡す必要はありません。3つの攻撃経路が依存する一つの設定ミスを示すだけで済みます。これにより、優先順位をITチームに対して説明しやすく、経営層にも伝えやすくなります。

スコープと安全制御

各チェーンシナリオは、事前に設定したガードレールの中で実行されます。対象となる資産、ターゲット、アクションの範囲、そしてチェーンが停止するまでにどこまでエスカレーションを許可するかを定めます。これにより、すべての実行を安全かつ制御された状態に保つことができます。

本番環境に近い環境で、障害のリスクを冒すことなく現実的な攻撃経路を検証できます。交戦規定はプラットフォーム上で設定・適用され、別の文書で管理する必要はありません。

ソーシャルエンジニアリングおよびフィッシングシミュレーション

実際の侵入は、技術的なエクスプロイトではなく、フィッシングメール、窃取された認証情報、巧妙な口実から始まることがよくあります。

Attack Chainingを使えば、ソーシャルエンジニアリングやフィッシングのアクションをチェーンに直接組み込めます。クリックされたリンク、入力された認証情報、ダウンロードされた添付ファイルは、他のアクションと同様にファインディングとなり、次の段階へとつながります。受信トレイから侵害されたエンドポイント、そして横方向への移動まで、一連の経路を一つのシナリオで検証できます。

フィッシングキャンペーンと技術的なテストを別々の演習・別々のレポートとして実施する必要はもうありません。一度のクリックがドメインへのアクセスへとつながる様子を示すことで、意識向上トレーニングとメールセキュリティへの投資について、より説得力のある根拠を示せます。

Autonomous Attack Chainingは、Attack Chainingと同じエンジン上で動作し、その上にエージェント層を備えています。これらは別々の機能ではありません。AIエージェントに目標を与えると、エージェントが経路を計画し、実行し、各結果を読み取りながら、実際の攻撃者と同じように進路を変えていきます。

エージェントにどこまでの裁量を与えるかはあなたが決めます。完全に自律的に実行させることも、重要な判断を承認するために人間の関与を維持することもできます。

これは、すべての演習にシニアレッドチーマーを配置できないチームに最適です。大規模な環境をカバーする少人数のチーム、攻撃スキルを構築中のチーム、定期的なペネトレーションテストの予算がないチームなどが当てはまります。年に一度だけでなく、必要なときにいつでも現実的な多段階攻撃を実行できます。

自動化されたエージェンティックなロジック生成

目標とスコープを平易な言葉で記述するだけです。例えば「財務部門のOU内のフィッシングされたワークステーションからドメイン管理者権限を取得する」や「本番環境のWebサーバーに触れずに顧客データベースに到達する」といった具合です。エージェントは攻撃経路のロジックを自ら構築し、レッドチーマーがキャンペーンを計画するのと同じように、アクションを選択して順序付けます。新しいチェーンを作成するよう依頼することも、既存のチェーンを更新するよう依頼することもできます。例えば、ラテラルムーブメントの段階を追加したり、最近の脅威レポートからTTPをテストしたりできます。

複雑なチェーンを手作業で構築する必要がないため、ジュニアレッドチーマーでも初週から現実的な多段階シナリオを実行できます。締め切りに追われる経験豊富なオペレーターも、数日ではなく数分で動作するキャンペーンを用意できます。パープルチームは、検知に関する疑問を、ロジックを書くことなくテスト計画に変換できます。

自律的な実行と適応

目標を設定すると、エージェントは自律的にシミュレーションを実行します。各結果に反応してステップを追加したり、順序を入れ替えたり、手法を切り替えたりしながら、目標に向かって進み続けます。クレデンシャルダンプがブロックされた場合、実際の攻撃者と同じように別の侵入経路を探します。フィッシングメールやランディングページも生成できるため、同じ実行の中で技術的ベクトルと人的ベクトルを切り替えることができます。

1つの手法がブロックされたかどうかだけでなく、適応する攻撃者が実際にどこまで到達できるかを確認できます。パープルチームは、防御がエージェントを別の経路へ押しやる正確な地点を把握できます。これにより、どの制御が実際に攻撃を阻止し、どの制御が単に遅らせているだけなのかが分かります。

ガードレールと判断ログ

すべての自律チェーンは、事前に定義されたガードレール（何に触れることが許され、どこまでエスカレーションできるか）の中で動作し、その境界はエージェントの判断に委ねられるのではなく、各ステップで自動的に適用されます。エージェントが下したすべての判断とその理由をリアルタイムかつ透明性の高い記録として残すことで、オペレーターは実行内容を完全に可視化でき、自動化されたチェーンを本番相当の環境で無人のまま安心して稼働させることができます。

監視なしでチェーンを実行させても、台本から外れる心配はありません。レッドチームは交戦規定（ルールオブエンゲージメント）のレビュー用に完全な監査証跡を取得できます。ブルーチームは判断ログを使って、自社のテレメトリに対して攻撃を再生し、検知のギャップを見つけることができます。

自由に使えるエージェント、またはカスタム構築

OpenAEVに組み込まれたエージェントから始めるか、XTM Oneから事前構築済みのエージェントを接続するか、高度な業務や専門的な業務向けに独自のエージェントを構築することもできます。実行中、オーケストレーターはペイロード作成、コード生成、偵察、エクスプロイト支援のために専門エージェントを呼び出します。これらはテナントのデフォルト設定から事前入力されます。

組み込みエージェントはデフォルトで有効になっており、実行ごとにオフにしたり置き換えたりできます。各エージェントの探索モードは、偵察からどれだけ新規作成できるかを設定します：

• エンリッチのみ：既存のエンティティに詳細情報を追加します
• スコープ内に留まる：新しい資産を発見しますが、定義された境界内のみです
• 境界を拡張：開始時のスコープを超えて攻撃対象領域をマッピングします

OT、クラウド、業界特有の攻撃手法など、独自のツールやニッチなニーズを持つチームは、自前のエージェントを組み込みつつ、オーケストレーション機能をそのまま利用できます。探索モードを使えば、狭い範囲の検証テストから広範な攻撃対象領域のレビューまで、演習ごとに偵察の積極度を設定できます。