AWS のための敵対的エクスポージャー検証 (AEV)

Pathbreak チーム · 2026年10月24日 · 7 分で読めます

敵対的エクスポージャー検証 (通常は AEV と略されます) とは、攻撃者と同じやり方でエクスポージャーをテストし、どの検出結果が利用可能でどれがそうでないかをセキュリティチームが把握できるようにする手法です。Gartner はこの用語を、侵害および攻撃シミュレーションと自動ペネトレーションテストから発展したツールのカテゴリーに使っています。共通する考え方は、検証がスキャナーの報告に証明を加え、実際に成立することが示された検出結果にチームが対処できるようにする、というものです。

この記事では、それが AWS において具体的に何を意味するかを取り上げます。クラウドのコントロールプレーンでは、手法と出力の両方が変わるためです。

AWS に独自の検証が必要な理由

ネットワークでは、エクスポージャーの検証とはトラフィックを送ることを意味します。ツールがホストに到達できるか、認証できるか、横移動できるか、です。証拠は接続の成功や取得した認証情報です。AWS のコントロールプレーンには、到達すべきホストがありません。攻撃者の操作はすべて API 呼び出しであり、呼び出しが成功するかどうかは、AWS がまとめて評価する一連のポリシードキュメントによって決まります。呼び出し元のアイデンティティポリシー、アクセス許可の境界、アカウントの組織単位にあるサービスコントロールポリシー、標的の信頼ポリシーまたはリソースポリシー、そして各ステートメントの条件キーです。

これには 2 つの帰結があります。第一に、それらのドキュメントを読み取り専用で解決すれば呼び出しと同じ許可または拒否が得られるため、経路を実行せずに検証できます。第二に、アイデンティティポリシーだけを読むツールは攻撃対象領域を過大に見積もります。アイデンティティポリシーが付与しているように見えるものの大部分を、SCP と境界が取り除くためです。

AWS で検証すべきもの

実際のアカウントで見られる証明済みの経路の大半は、4 種類のエクスポージャーによるものです。

IAM 権限昇格。より強い権限を持つロールに到達できる権限、またはその組み合わせを持つプリンシパルです。コンピューティングの作成アクションと組み合わせた iam:PassRole、ポリシーのアタッチやインラインポリシーの書き込み、信頼ポリシーの書き換え、アクセスキーの作成などがあります。AWS 権限昇格マップには、これらが CloudTrail イベントとそれぞれを断ち切る変更とともに掲載されています。

クロスアカウント信頼。別のアカウント、ベンダー、またはワイルドカードを信頼するロールで、信頼する側が特権を持ち、信頼される側が誰もが想定していたより弱いものです。2 つか 3 つの sts:AssumeRole のホップがつながるだけで、サンドボックスが本番環境につながることがあります。

構成内に露出した認証情報。EC2 のユーザーデータ、Lambda の環境変数、CloudFormation の出力、コンテナ定義に含まれるアクセスキーやトークンです。露出したキー 1 つが、そのキーのプリンシパルが到達できるすべてのものへの侵入口になります。

パブリックな侵入口。関数 URL、書き込み可能なパブリックバケット、インスタンスプロファイルを持つインターネット向けインスタンス、特権ロールを呼び出す API ゲートウェイです。エクスポージャーが深刻になるのは、その背後にあるロールがどこかにつながっている場合だけであり、それを確定させるのがまさに検証です。

AWS 向け AEV ツールが行うべきこと

読み取り専用の接続からグラフを構築し、デプロイするエージェントも付与する書き込み権限も不要にすること。グラフを推論して、マルチホップやクロスアカウントのものを含む候補チェーンを生成すること。すべてのステップについて認可のすべての層を評価して各チェーンを検証し、その結果を証拠として記録すること。証明済みの経路を到達先でランク付けし、チームがまず影響範囲を把握できるようにすること。経路ごとにそれを断ち切る具体的な変更を示し、変更が反映された後に経路を再評価して、消えたことを確認すること。アカウントは変化し続けるので、スケジュールに沿って実行すること。

一方で、必要のないことが 2 つあります。コントロールプレーンでは証明とは認可の結果なので、証明を生成するためにアカウント内で何かを実行する必要はありません。また、すべての検出結果の記録システムになる必要もありません。それはすでに CSPM や CNAPP が担っており、検証ツールの役割は、それらの検出結果のうちどれが証明済みの経路上にあるかを伝えることです。

主要な AEV ベンダーの AWS への取り組み方

このカテゴリーに関連するベンダーは、それぞれ異なる出発点からここに至り、それを土台に発展してきました。以下の概要は、各ベンダーの公開資料で使われている表現に沿って説明したものです。これをもとに何かを決める前に、詳細をベンダーに確認してください。

有用な区別は、手法のエミュレーションによる証明と、認可の解決による証明の違いです。エクスプロイトがホストに対するコードである場合は、エミュレーションが自然に適合します。認可の解決は、エクスプロイトが権限である場合に当てはまり、AWS ではそれがコントロールプレーンの大部分を占めます。また、読み取り専用なので毎日のスケジュールで実行できます。

CTEM プログラムにおける AEV の位置づけ

継続的な脅威エクスポージャー管理には、スコーピング、発見、優先順位付け、検証、動員の 5 つの段階があります。AEV は検証段階です。その入力は発見段階からの優先順位付けされたリストで、出力は証明済みのエクスポージャーの小さな集合であり、それぞれに担当者と変更が割り当てられます。CTEM の検証に関する記事では、それが AWS アカウントでどのようになるかを実際の数値で説明しており、AEV と BAS の比較記事では統制テストとの違いを取り上げています。

よくある質問