セキュリティチームの明暗を分けたのは“あれ”だった 同じ手口で正反対の結果に：セキュリティニュースアラート

米CISAは2つの重要インフラ組織に対し、同様の手口でレッドチーム評価を同時に実施した。一方は侵入に気付けず、もう一方は初動で端末を隔離して封じ込めた。技術的な弱点は両組織に共通していた。明暗を分けたものは何か。

[ITmedia]

　米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年8月25日（現地時間）、2つの重要インフラ組織に対して同時に実施したレッドチーム評価の結果を、アドバイザリ「A Tale of Two SOCs: Insights From Two Red Team Assessments」（AA26-237A）として公開した。レッドチーム評価は対象組織の依頼に基づき、攻撃者の手口を模倣して組織の検知や対応の能力を評価する取り組みだ。

　CISAは、政府サービス、施設セクターの「組織A」と上下水道システムセクターの「組織B」に対し、同様の手口で評価を実施した。組織AのSOC（セキュリティオペレーションセンター）は、複数のワークステーションへの初期侵入からドメイン全体の権限奪取、横展開に至るまで、これを侵害として認識できなかった。一方の組織BのSOCは初期侵入の段階でアラートを調査し、該当端末を隔離してレッドチームの足場を絶っている。

　ただし、両組織ともドメインレベルでは完全に侵害され、平文の認証情報や過剰な権限といった技術的な弱点も共通して見つかった。差が出たのは、侵入を防げたかどうかではなく、気付いて手を打てたかどうかだ。では、その差はどこから生まれたのか。

2つのSOCの明暗を分けたものは何か

　CISAが教訓として総括したのは、検知ツールの効果は、それを支える人、プロセス、手順の質を超えられないという点だ。

　組織Aでは、レッドチームが4台のワークステーションへの初期侵入後、ドメインの権限を奪い、重要業務システムやクラウド資源にまで到達した。レッドチームはSOC要員のメールやチャットを閲覧し、防御側が侵害に気付いているかどうかを確認しながら活動を続けたという。

　CISAによると、組織AのSOCはレッドチームの活動に関連する中、低深刻度のアラートを受信していたが、対応に至らなかった。CISAが挙げた要因は次の3点だ。

1. アラートの過剰：通常業務に由来する誤検知が数千件規模で発生していた。その多くはレッドチームの活動によるアラートより高い深刻度で表示され、本物のアラートが埋もれていた
2. 組織の分断：複数のSOCと複数のEDR（エンドポイント検知、対応）製品が並立し、SOC間で検知ツールの可視性が共有されていなかった。SOC要員とシステム所有者の間にも連携がなかった
3. 手順と権限の不備：レッドチームは、SOC要員にアラートをエスカレーションする標準手順がなく、自ら対処する権限も限られていたことが背景にあるとみている

　象徴的な例もある。あるサーバでレッドチームの活動に関連するアラートが上がったものの、防御側はそのシステムの所有者や用途を特定できなかった。最終的にこのアラートは誤検知として処理された。

　一方の組織Bは、フィッシングで侵入された3台のワークステーションをそれぞれ10分、2分、20分で隔離し、レッドチームの指令通信を断った。足場を失ったレッドチームは、侵害を受けた状態を前提に組織内から評価を続ける「侵害済み前提（assume breach）」のモデルに移行している。その後もOT（制御技術）ネットワークとの境界に置かれた踏み台サーバへの侵入などがSOCに検知され、該当端末は隔離された。

　ただしCISAは、組織Bを単純な成功事例としては扱っていない。両組織ともドメインは完全に侵害され、クラウド環境では過剰なアプリケーション権限や、侵害後にアクセストークンを失効させる手順の欠如といった共通の課題が確認された。組織Aでは有効期限のないクラウド認証情報も見つかっている。

　CISAは組織が取り組むべき方向性として、ベースラインの確立とアラートノイズの削減、組織の縦割りと手続き上の障壁の排除、防御担当者への権限付与、クラウド環境への統制の適用を挙げた。

　誤検知の抑制はチューニングと運用設計、縦割りの解消は組織設計、アラートの所有者が分からない事態は資産管理の問題だ。いずれも製品の入れ替えでは解決しない。外部のMSSP（マネージドセキュリティサービスプロバイダー）にSOC機能を委託する企業にとっても、可視性の共有や対応権限の設計は自社側の論点になる。同様の攻撃を受けても、体制次第で結果は正反対になり得る。