Pathbreak のご紹介

Pathbreak チーム · 2026年7月18日 · 4 分で読めます

ほとんどのセキュリティツールは、クラウドで何が問題かを列挙するのは得意ですが、それに優先順位を付けるのは苦手です。すべてのアカウントをスキャンし、何千もの検出を報告し、そのうちのどれを攻撃者がつなぎ合わせられるのかを割り出す作業はチームに委ねられます。その結果、バックログは膨らみ、あなたを乗っ取ることになるたった 1 つの設定ミスは、誰も掘り起こす時間のない 4,000 行目に埋もれたままになります。

私たちは、もう一方の問いに答えるために Pathbreak を作りました。あなたのクラウド内のどの連鎖が、管理者や機密データまで一気通貫でつながっているのか、という問いです。

攻撃者はどう動くか

攻撃者はクラウドを通り抜ける経路を探します。彼らが問うのは、足がかりから管理者や機密データへどうやって到達するか、ということです。その経路が攻撃経路です。アイデンティティ、ロール、信頼関係、リソースをまたぐ小さなステップの連鎖であり、各ステップは単体では何の変哲もなく見えますが、つなぎ合わされるとアカウントの管理者まで到達します。

1 つの権限、引き受けられるロール、誰も付与した覚えのない過剰な権限のポリシー。これらはどれも、単体ではアラートに値しません。しかし、それらが形づくる連鎖はアラートに値します。スキャナーは各ピースを個別にチェックするため、その連鎖を見逃します。

Pathbreak が行うこと

Pathbreak は、あなたのクラウドの実際のアイデンティティ、ロール、信頼関係のグラフを構築します。エージェントがそのグラフを探索して権限を昇格させ得る連鎖を探し、問いを正確なクエリに変え、認可を端から端まで解決して、それらの連鎖のうちどれが管理者や機密データに到達するかを確認します。連鎖が解決すると、Pathbreak はその経路と、それを断ち切る正確な変更を提示します。

仕組みの詳細は 仕組み に、私たちがカバーする連鎖は 攻撃経路 のページにあります。私たちは候補となる連鎖を見つけ、あなたの認可を解決することでどれが本物かを証明し、そのそれぞれを断ち切るひとつの編集をお渡しします。

検証済みとは何を意味するか

理論上起こり得るすべてのグラフを描いてくれるツールはたくさんありますが、そうしたエッジのほとんどは、その背後にある認可を解決すると成立しません。Pathbreak は実際の認可を端から端まで辿り、経路が成立することを確認するので、それが機能するかどうかを手作業でテストする必要はありません。

これらすべてを読み取り専用で行います。Pathbreak はアイデンティティとポリシーのメタデータに対して推論し、連鎖が悪用可能かどうかを割り出すため、あなたのリソースに対して何も実行されず、何も変更されません。その点については トラストとセキュリティ のページで詳しく説明しています。あなたのクラウドを乗っ取る方法をマッピングする製品は、鍵の扱いに慎重であるべきだからです。

現在の対応範囲

現在 Pathbreak は AWS 向けに作られており、コントロールプレーン、すなわち IAM の権限昇格とクロスアカウントの信頼関係の悪用を深く掘り下げます。Azure と Microsoft Entra ID が続き、Google Cloud とハイブリッドがロードマップにあります。私たちは、5 つのクラウドで平均的であるよりも、1 つのクラウドで強くありたいと考えています。

Pathbreak の位置づけ

カテゴリーのラベルが好みであれば、これは Adversarial Exposure Validation であり、そのまま CTEM プログラムに供給されます。Pathbreak は露出を継続的に検証し、到達可能な経路だけを報告します。

次に来るもの

私たちはここで、実際に遭遇する具体的な連鎖、AWS でコントロールプレーンの権限昇格がどのように展開するか、そしてどの検出が経路へと連鎖し、どれが行き止まりかをどう見極めるかについて、引き続き書いていきます。Pathbreak は本日より利用可能です。ご自身の AWS アカウント内の攻撃経路をご覧になりたい場合は、ぜひご連絡ください。

よくあるご質問