目的型ペネトレーションテスト・レッドチーム

Objective-Based Penetration Testing & Red Teaming

「実際に攻撃されたら耐えられるのか」という問いに、実際に試した根拠で答えます。

顧客データや中核システムのように守るべき目標を定め、実際の攻撃者のようにその目標を狙います。目標までの経路を見る目的型ペネトレーションテストとしても、組織の対応まで記録するレッドチームとしても進められます。

目標を狙う現実的な攻撃に対して、組織はどう予防・検知・対応するのか？

目標に届いたか、どこで気づき止めたかを、段階ごとの記録とともに評価します。

専門家確認済み

攻撃者役は定めた範囲の中で目標へ進み、組織の中で誰が事前に知っているかは三つの方式から選びます。

このような状況に適しています

実際に攻撃されたら気づけるか分からないとき
セキュリティ機器や監視、対応手順は整っているものの、「本当に見つけられるのか」という問いに答える根拠がないときです。
一度の侵入がどこまで広がるか知りたいとき
社員のPC一台やアカウント一つが破られたら会社全体に広がるのか、その途中のどこで止められるのかを確かめます。
毎年点検は受けているが、実際の攻撃者は違う方法で来そうなとき
実際の攻撃者は脆弱性一つで止まらず、複数の弱点をつないで目標へ進みます。その過程と、その間の対応を見たい場合です。
経営陣が実戦に近い試験を望むとき
取締役会が実際の攻撃にどこまで耐えられるかを問うときや、経営陣がセキュリティチームに知らせずに実戦さながらに試したいと言うときに適しています。

SAFE SQUAREのアプローチ

目標を先に決めます

「顧客データに届くか」のような目標を先に定め、その目標へつながる経路に力を注ぎます。

攻撃と対応を同じ時間軸に残します

攻撃の記録と組織の検知・報告・対応の記録を同じ時間軸に合わせ、どこで気づき、どこで見逃したかがひと目で分かるようにします。

人と現場まで広げられます

承認を得た範囲内で、フィッシング・ソーシャルエンジニアリング、サプライチェーン、無線、物理的なアクセスまでシナリオに含められます。

二つの進め方

目的型ペネトレーションテスト

攻撃者は目標に実際に届くのか、届くならどの経路か？

攻撃者の役割で複数の弱点をつないで目標への到達を試み、どの条件と経路で到達したか、またはどこで止まったかを根拠とともに示します。

見るもの: 目標への到達の可否とその経路
防御チーム: 必要な範囲で事前に知らせて実施
結果: 目標までの攻撃経路と根拠、その経路を断つ改善課題

レッドチーム

目標を狙う攻撃者に、組織は気づき、止められるのか？

実際の攻撃者のように目標への到達を試み、組織がいつ気づき、どう止めて対応するかを段階ごとに記録して評価します。

見るもの: 目標への到達の可否と、組織の予防・検知・対応
防御チーム: 事前告知・限定公開・無予告から選択。対応は進行中に観察
結果: 攻撃経路・タイムラインと段階ごとの対応の評価

レッドチームの記録の例：攻撃が段階ごとにどこまで進んだかと、組織がいつ気づき、報告し、対応したかを同じ時間軸に残します。

防御チームと一緒に攻撃手法ごとの検知を訓練し、改善していく場合は、人とAIのセキュリティ能力向上のパープルチーム・検知実践訓練で行います。

監督機関や親会社が枠組みを定めているとき

その枠組みの要件に合わせ、脅威インテリジェンスに基づいて進めます。

TLPT（脅威インテリジェンス主導型ペネトレーションテスト）

お客様に関連する脅威情報でシナリオを作り、レッドチームで検知と対応まで検証します。

TLPT脅威・シナリオ分析エクスポージャー・インテリジェンス

攻撃対象領域と漏えい情報、関連する脅威アクターを分析し、TLPTシナリオの根拠を作ります。

進め方

目標・条件の合意
攻撃目標と範囲、防御チームに事前にどこまで知らせるかを一緒に決めます。
シナリオの準備
定めた目標と、エクスポージャー・インテリジェンスで確認した露出、同じ業界を狙ってきた脅威の手法をもとに、現実的な攻撃シナリオを準備します。
実施と記録
攻撃者の役割で目標へ進みながら、段階ごとに何を行い、組織がどう反応したかを記録します。
結果の検討
終了後、関係チームと攻撃の記録と対応の記録を突き合わせて結果を検討します。
改善と再確認
補うべき点を整理し、ご希望があれば対策後に再確認します。

安全に進めるために運用に影響しうる試みは、すぐに止められるよう準備したうえで進めます。安全な進め方と中断基準、事実と推定の区別、資料の保管・廃棄といった共通の原則は、仕事の進め方と原則にまとめています。

お客様に残る成果

攻撃シナリオとタイムライン

攻撃がたどった経路と時系列の進行、目標に到達したか、またはどこで止まったかをまとめます。

検知・対応の評価

各段階で実際に何が遮断・検知・報告され、組織がどう対応したかをまとめます。

改善と再確認の課題

検知・対応体制で補うべき点と、対策後に再確認する項目をまとめます。

目的型ペネトレーションテストの結果の例架空の例

目標

協力会社の連携アカウント一つから、本番サービスへのデプロイまで届くのか

出発点：協力会社向けの連携アカウント一つ・防御側：セキュリティ責任者と承認者のみ事前に把握

段階	結果	根拠
協力会社の連携アカウントからビルドサーバーへ	突破された	協力会社向けの連携アカウントが、必要なリポジトリだけでなくビルドサーバーのジョブ画面にも接続できました。
ビルドサーバーからデプロイ権限へ	突破された	ビルドジョブの設定にデプロイ用トークンが平文で残っており、そのトークンでデプロイ権限を得られました。
デプロイ権限から本番サービスへ	防がれた	本番へのデプロイは承認者2名の確認を経る仕組みになっており、本番サービスには届きませんでした。
その間の検知	補完が必要	ビルドサーバーへの見慣れない接続は記録されましたが、アラートの基準がなく、進行中に誰も気づきませんでした。

評価: 目標には届きませんでしたが、協力会社の連携アカウント一つからデプロイ権限まではつながりました。
断つべき箇所: 協力会社の連携アカウントは必要なリポジトリにだけアクセスできるようにし、デプロイ用トークンはシークレット管理ツールへ移し、ビルドサーバーへの見慣れない接続にアラートを設けます。

ここで評価する対応は、シナリオで定めたサイバー攻撃の状況での予防・検知・対応で、組織が気づいて対応できるかはこのサービスが評価します。ランサムウェアが業務を止め、復旧まで妨げうるかは、ランサムウェア攻撃耐性の検証で確かめます。その検証は検知の箇所を記録しつつ、防ぐ箇所と復旧を評価します。

関連する研究：オフェンシブエンジニアリング（EXPLOIT）—攻撃者の視点から、脆弱性と実際の影響を分析・検証する技術を研究します。