目的型ペネトレーションテスト・レッドチーム

Objective-Based Penetration Testing & Red Teaming

「実際に攻撃されたら耐えられるのか」という問いに、実際に試した根拠で答えます。

顧客データや中核システムのように守るべき目標を定め、実際の攻撃者のようにその目標を狙います。目標までの経路を見る目的型ペネトレーションテストとしても、組織の対応まで記録するレッドチームとしても進められます。

目標を狙う現実的な攻撃に対して、組織はどう予防・検知・対応するのか？

目標に届いたか、どこで気づき止めたかを、段階ごとの記録とともに評価します。

確認済み

攻撃者役は定めた範囲の中で目標へ進み、組織の中で誰が事前に知っているかは三つの方式から選びます。

このような状況に適しています

実際に攻撃されたら気づけるか分からないとき
セキュリティ機器や監視、対応手順は整っているものの、「本当に見つけられるのか」という問いに答える根拠がないときです。
一度の侵入がどこまで広がるか知りたいとき
社員のPC一台やアカウント一つが破られたら会社全体に広がるのか、その途中のどこで止められるのかを確かめます。
毎年点検は受けているが、実際の攻撃者は違う方法で来そうなとき
実際の攻撃者は脆弱性一つで止まらず、複数の弱点をつないで目標へ進みます。その過程と、その間の対応を見たい場合です。
経営陣が実戦に近い試験を望むとき
取締役会が実際の攻撃にどこまで耐えられるかを問うときや、経営陣がセキュリティチームに知らせずに実戦さながらに試したいと言うときに適しています。

SAFE SQUAREのアプローチ

目標から出発します

「顧客データに届くか」のような目標を先に定め、その目標へつながる経路に力を注ぎます。

脅威の分析から実施まで自ら

お客様の組織と業界を狙う脅威を分析してシナリオを作ることも、そのシナリオでテストを実施することも、SAFE SQUAREが自ら担います。

人と現場まで広げられます

承認を得た範囲内で、フィッシング・ソーシャルエンジニアリング、サプライチェーン、無線、物理的なアクセスまでシナリオに含められます。

二つの進め方

目的型ペネトレーションテスト

攻撃者は目標に実際に届くのか、届くならどの経路か？

攻撃者の役割で複数の弱点をつないで目標への到達を試み、どの条件と経路で到達したか、またはどこで止まったかを根拠とともに示します。

見るもの: 目標への到達の可否とその経路
防御チーム: 必要な範囲で事前に知らせて実施
結果: 目標までの攻撃経路と根拠、その経路を断つ改善課題

レッドチーム

目標を狙う攻撃者に、組織は気づき、止められるのか？

実際の攻撃者のように目標への到達を試み、組織がいつ気づき、どう止めて対応するかを段階ごとに記録して評価します。

見るもの: 目標への到達の可否と、組織の予防・検知・対応
防御チーム: 事前告知・限定公開・無予告から選択。対応は進行中に観察
結果: 攻撃経路・タイムラインと段階ごとの対応の評価

レッドチームの記録の例：攻撃が段階ごとにどこまで進んだかと、組織がいつ気づき、報告し、対応したかを同じ時間軸に残します。

防御チームと一緒に攻撃手法ごとの検知を訓練し、改善していく場合は、人とAIのセキュリティ能力向上のパープルチーム・検知実践訓練で行います。

監督機関や親会社が枠組みを定めているとき

その枠組みの要件に合わせ、脅威インテリジェンスに基づいて進めます。

TLPT（脅威インテリジェンス主導型ペネトレーションテスト）

お客様に関連する脅威情報でシナリオを作り、レッドチームで検知と対応まで検証します。

TLPT脅威・シナリオ分析エクスポージャー・インテリジェンス

攻撃対象領域と外部に露出した情報、関連する脅威アクターを分析し、TLPTシナリオの根拠を作ります。

進め方

目標・条件の合意
攻撃目標と範囲、防御チームに事前にどこまで知らせるかを一緒に決めます。
シナリオの準備
定めた目標に合わせて、現実的な攻撃シナリオを準備します。
実施と記録
攻撃者の役割で目標へ進みながら、段階ごとに何を行い、組織がどう反応したかを記録します。
結果の検討
終了後、関係チームと攻撃の記録と対応の記録を突き合わせて結果を検討します。
改善と再確認
補うべき点を整理し、ご希望があれば対策後に再確認します。

安全に進めるために運用に影響しうる試みは、すぐに止められるよう準備したうえで進めます。

お客様に残る成果

攻撃シナリオとタイムライン

攻撃がたどった経路と時系列の進行、目標に到達したか、またはどこで止まったかをまとめます。

検知・対応の評価

各段階で実際に何が遮断・検知・報告され、組織がどう対応したかをまとめます。

改善と再確認の課題

検知・対応体制で補うべき点と、対策後に再確認する項目をまとめます。

目的型ペネトレーションテストの結果の例説明のために作成した架空の例です。

目標

社員のPC一台から顧客データベースまで届くのか

出発点：一般社員のPC一台・防御側：セキュリティ責任者と承認者のみ事前に把握

段階	結果	根拠
社員のPCから業務サーバーへ	突破された	業務サーバーの管理画面が、同じ業務ネットワーク上の社員のPCにも開いていました。
業務サーバーから管理者権限へ	突破された	サーバーごとに同じ管理アカウントを使っており、一か所の権限がほかのサーバーにもそのまま通じました。
管理者権限から顧客データベースへ	防がれた	データベースは別のアクセス制御区間にあり、管理者権限でも接続できませんでした。
その間の検知	補完が必要	管理者権限の使用は記録されましたがアラートにつながらず、進行中に誰も気づきませんでした。

評価: 目標には届きませんでしたが、社員のPC一台から業務サーバー全体の管理者権限まではつながりました。
断つべき箇所: 業務サーバーの管理画面は管理区間からのみ開けるようにし、サーバーごとに別の管理アカウントを使います。管理者権限の使用にはアラートを設けます。

ここで評価する対応は、シナリオで定めたサイバー攻撃の状況での予防・検知・対応です。ランサムウェアが業務を止め、復旧まで妨げうるかは、ランサムウェア攻撃耐性の検証で確かめます。

関連する研究：オフェンシブエンジニアリング（EXPLOIT）—攻撃者の視点から、脆弱性と実際の影響を分析・検証する技術を研究します。