TLPT（脅威インテリジェンス主導型ペネトレーションテスト）
Threat-Led Penetration Testing
自社と業界を実際に狙う脅威を基準に、検知と対応を検証します。
脅威の分析からシナリオを作り、統制されたレッドチームで実施したあと、検知・対応の結果を一緒に検討するところまで進めます。
自社に関連する攻撃者が実際に攻撃してきたら、組織はどう対応するのか？
シナリオごとに、目標に届いたか、いつ気づきどう対応したかを根拠とともに残します。
確認済み
このような状況に適しています
- 監督機関や親会社から、定められた枠組みに沿ったテストを求められたとき
枠組みの要件を先に確認し、その要件に合わせて脅威の分析とテストを準備します。
- 自社の業界を狙う攻撃グループが気がかりなとき
同じ業界を狙ってきた攻撃者が実際に使ってきた手法で、自社の防御体制が持ちこたえるかを確かめたい場合です。
- 見つかった脅威の兆候を検証につなげたいとき
脅威調査や外部露出の分析で確認した兆候と攻撃者の行動を、実際の対応検証の根拠にします。 エクスポージャー・インテリジェンス
SAFE SQUAREのアプローチ
脅威の分析から検討まで自ら
脅威の分析とシナリオ設計、レッドチームの実施、結果の検討をSAFE SQUAREが自ら担うため、分析の根拠がテストと結果までそのままつながります。
露出しているものから出発します
エクスポージャー・インテリジェンスで確認した攻撃対象領域や、漏えい・なりすましの兆候があれば、その上でシナリオづくりを始めます。
実戦さながらに、統制のもとで
実際の攻撃者のように進めながらも、決めた範囲の中でいつでも止められるよう統制します。
定められた枠組みに沿う場合
たとえばTIBER-EUは、個別の脅威インテリジェンスで人・プロセス・技術を検証する、統制されたレッドチームの枠組みです。
こうした枠組みには、定められた役割と統制、報告の要件があります。開始前に要件を確認し、それに合わせてSAFE SQUAREが担う範囲を明確にします。枠組みに基づく認定と監督機関の判断は、各機関の手続きで行われます。
進め方
範囲と枠組みの確認
対象と目標、従うべき枠組みの有無、その枠組みでSAFE SQUAREが担う範囲を決めます。
脅威・シナリオの分析
自社と業界に関連する脅威アクターと攻撃手法、攻撃対象領域と外部に露出した情報を分析してシナリオと目標にまとめ、根拠の出典と限界を記録します。
テスト設計
まとめたシナリオをもとに、レッドチームの進め方と安全・中断の基準を決めます。
統制された実施
決めた範囲と統制の中でレッドチームを実施し、組織の予防・検知・対応を段階ごとに記録します。
結果の検討と改善
関係チームと結果を検討して改善課題を決めます。
お客様に残る成果
脅威の根拠
シナリオがどの脅威アクターと攻撃手法に基づいているか、その情報の出典と時点、限界を併せて説明します。
検知・対応の記録
各段階で何が遮断・検知・報告され、組織がどう対応したかを整理します。
改善と再確認の課題
改善事項と、後で再確認する項目をまとめます。
同じ業界を狙ってきた攻撃グループの手法で、決済システムの運用権限に届くのか
根拠：同じ業界で公開された事件、外部に開いた協力会社のリモート接続窓口、漏えいした従業員アカウントの兆候
| 段階 | 組織の対応 | 根拠 |
|---|---|---|
| 最初の侵入：協力会社のリモート接続窓口 | 見逃し | 接続のアラートは出ましたが、確認する担当が決まっておらず、そのまま見過ごされました。 |
| 内部での拡散 | 対応の遅れ | 監視チームが4時間後に異常を検知して報告しましたが、最初の対処が決まっておらず、遮断まで1日かかりました。 |
| 目標：決済の運用権限 | 遮断 | 運用権限は別の承認手続きで守られており、目標には届きませんでした。 |
- 評価
- 目標は守られましたが、最初の侵入のアラートが確認されず、検知後の最初の対処にも時間がかかりました。
- 改善課題
- リモート接続のアラートを確認する担当と基準を決め、異常を検知したときの最初の対処を対応手順に加えます。対策後、同じシナリオの該当段階を再確認します。