CISA、2つのSOCにおけるレッドチーム演習結果から検知精度の格差要因を公開

米国政府機関のCISAは、2つの異なるセキュリティオペレーションセンター（SOC）を対象に実施したレッドチーム演習の比較分析結果を公開しました。この調査は、同一の攻撃戦術（TTPs）を用いた場合に、組織ごとの検知および対応能力にどのような差異が生じるかを検証したものです。分析の結果、同様の攻撃シナリオであっても、防御側のログ収集範囲やアラート設計の精度によって、最終的な防御成果に極端な違いが生じることが示されました。

具体的には、一方の組織が迅速な検知と封じ込めに成功した一方で、もう一方は初期侵入後の内部探索を許すなど、対応レベルに差が見られました。従来はセキュリティ製品の導入状況が重視されてきましたが、今回の報告ではログの相関分析や異常検知の閾値設定といった、運用上の構成差が直接的な防御力の差として現れています。特に攻撃者が多用する横展開や認証情報の窃取において、早期にアラートを発信できるかどうかが被害規模を左右しました。

今回のレポートでは、組織が攻撃者の活動を可視化できていない「死角」の特定が重要であると指摘されています。特に、既存のセキュリティツールがデフォルト設定のままで運用されている場合、高度な攻撃手法を見逃すリスクが高いことが実例を通じて示されました。運用側は、レッドチームによる擬似攻撃の結果を自組織の検知ルールにフィードバックし、継続的にログの取得定義を最適化していくことが求められます。