← すべての記事 解説

Adversarial Exposure Validation と Breach and Attack Simulation

Pathbreak チーム · · 6 分で読めます

要点

  • AEV は、攻撃者が最も機密性の高いシステムやデータに到達できるかを問います。BAS は、あなたのコントロールが既知のテクニックを検知するかを問います。
  • 両者は異なる問いに答えます。AEV は悪用可能な露出と攻撃経路を測り、BAS は防御のスタックを測ります。
  • どちらも CTEM プログラムの検証段階に供給され、最も優れたプログラムは両者を併用します。
  • 何千もの検出のうち、どれが最初に修正すべき経路へと連鎖するかを教えてくれるのが AEV です。
  • Pathbreak はクラウドネイティブな AEV です。実在する攻撃経路を読み取り専用で検証し、そのそれぞれを断ち切るひとつの変更を提示します。

チームが自分たちのセキュリティが機能していることを証明しようとするたびに、2 つの略語が登場します。AEV、すなわち Adversarial Exposure Validation と、BAS、すなわち Breach and Attack Simulation です。両者は似て聞こえ、どちらも検証を謳い、絶えず混同されます。両者は同じものではなく、その違いを知ることは、あなたが何を購入し、それをどう使うかを変えます。

Breach and Attack Simulation は何をテストするか

BAS の方が先に登場しました。BAS プラットフォームは、既知の攻撃者のテクニック、すなわちマルウェアのサンプル、横移動の動き、データ持ち出しのパターンのライブラリを、稼働中の環境に対して実行し、どれがコントロールに捕捉され、どれがすり抜けたかを報告します。テストの対象はあなたの防御のスタック、すなわちエンドポイント検知、ネットワークのコントロール、SIEM のルールです。BAS は、具体的で価値ある問いに答えます。攻撃者がこのテクニックを実行したら、私たちはそれを見て、止められるのか、という問いです。

それがコントロールの検証です。テクニックが実行されてもアラートが鳴らない死角を見つける方法です。BAS が教えてくれないのは、そもそも攻撃者がそのテクニックを実行できる位置に到達できるのかどうかです。

Adversarial Exposure Validation は何をテストするか

AEV は反対側から始めます。そもそも攻撃者が価値あるものに到達できるのかを問います。あなたの露出、すなわち設定ミス、広すぎる権限、到達可能なサービスを取り上げ、そのうちどれが最重要資産への機能する経路へと連鎖させ得るかを検証します。テストの対象はあなたの露出です。

露出を列挙するツールはたくさんあります。AEV はさらに進んで、そのうちどれが本物で到達可能かを確認します。残るのは、攻撃者が歩み得る経路です。スキャナーはあなたに 1 万件の検出があると教えてくれます。そのうちの 3 件が本番データへの経路へと連鎖することを示すのが AEV です。

AEV と BAS を一目で

観点Adversarial Exposure ValidationBreach and Attack Simulation
中核となる問い攻撃者は重要なものに到達できるか。私たちのコントロールはそのテクニックを検知するか。
テストの対象露出と攻撃経路検知と防止のコントロール
主な出力検証済みで到達可能な経路と、その修正コントロールのギャップとカバレッジのスコア
担当露出管理、クラウドセキュリティ検知エンジニアリング、SOC
主な価値何を修正すべきかを優先順位付けする何を検知できるかを向上させる

それぞれが単独では見逃すもの

BAS だけを実行すると、検知を見事に調整できても、攻撃者が 1 つのアラートも鳴らさずに歩ける、大きく開いた経路を残したままになり得ます。それはすべて認可された活動、すなわちロールの引き受け、シークレットの読み取り、権限の使用だからです。検証なしに露出だけを追いかけると、設定ミスの生のリストは膨大で、そのほとんどが到達不可能なため、溺れてしまいます。AEV はそのリストを成立する経路に絞り込み、BAS はその周囲のコントロールを強化します。ほとんどのチームは両方の答えを必要とします。だからこそ両者は同じプログラムに登場するのです。

CTEM の中で両者はどこに位置づけられるか

Gartner によって広まったフレームワークである Continuous Threat Exposure Management は、5 つの段階で進みます。スコーピング、ディスカバリー、優先順位付け、検証、そしてモビライゼーションです。AEV と BAS はどちらも検証の段階に位置し、それぞれ異なるものを検証します。AEV はどの露出が到達可能かを検証するため、優先順位付けは証拠に基づいて行われます。BAS は、途中で攻撃者が使うであろうテクニックをあなたのコントロールが検知できるかを検証します。両方をモビライゼーションに供給すれば、修正は到達可能性を無視した生の深刻度スコアではなく、何が悪用可能で何が検知可能かによって進められます。

Pathbreak の位置づけ

Pathbreak はクラウド向けに作られた Adversarial Exposure Validation です。あなたのアイデンティティ、ロール、信頼関係を横断して推論し、管理者や機密データに到達する実在の攻撃経路を検証します。実際の認可を端から端まで解決することで、読み取り専用で検証するため、経路が機能するかどうかを手作業でテストする必要はありません。検証されたすべての経路について、それを断ち切る単一の変更をお渡しします。

これは Breach and Attack Simulation ではありません。Pathbreak は検知を測定するために、あなたのコントロールへテスト用のペイロードを送り込むことはしません。攻撃者がどこまで到達できるかを証明し、その修正をお渡しします。BAS は、あなたが攻撃を捕捉できるかをテストします。Pathbreak は、そもそもその攻撃が可能かどうかをテストし、それを閉じる変更をお渡しします。検証の仕組みは 仕組み で、私たちがカバーする連鎖は 攻撃経路 で読めます。具体例についてさらに深く知るには、AWS IAM の権限昇格 に関する記事をご覧ください。

よくあるご質問

Adversarial Exposure Validation（AEV）とは何ですか。

AEV とは、露出を攻撃者と同じように検証する手法です。どの弱点が、管理者や機密データへの実在の経路へと連鎖させ得るかを確認します。露出があなたの環境で悪用可能かどうかに答えるものであり、それは露出が存在するかどうかとは別の問いです。 Pathbreak は AWS 向けの AEV プラットフォームであり、各攻撃経路を読み取り専用で検証し、それを断ち切る変更を示します。

AEV は Breach and Attack Simulation とどう違いますか。

BAS は、あなたのセキュリティコントロールが既知のテクニックを検知してブロックするかをテストするため、防御のスタックを測ります。AEV は、そもそも攻撃者があなたの最重要資産に到達できるかをテストするため、悪用可能な露出と攻撃経路を測ります。 Pathbreak は AEV の側に位置し、AWS の攻撃経路に焦点を当てています。

AEV と BAS は CTEM の中でどこに位置づけられますか。

どちらも Continuous Threat Exposure Management の検証段階を支えます。AEV は、優先順位を付けられるよう、どの露出が到達可能で修正に値するかを検証し、BAS は、あなたが気にかけるテクニックをコントロールが検知することを検証します。両者はカバーする領域が異なるため、一方が他方の代わりにはなりません。 Pathbreak は AWS の検証段階を担い、修正内容と、その適用後の確認までを提供します。

Pathbreak は AEV のツールですか、それとも BAS のツールですか。

Pathbreak はクラウド向けの Adversarial Exposure Validation です。攻撃者がクラウド全体で連鎖させ得る実在の攻撃経路を、実際の認可を解決することで読み取り専用で検証し、各経路を断ち切る単一の変更を提示します。Breach and Attack Simulation ではなく、あなたのコントロールへテスト用のペイロードを送り込むこともしません。

関連記事

あなたのクラウド内に実在する攻撃経路を検証し、それを断ち切ってみませんか。

デモを申し込む