CISA、2つのSOCによるレッドチーム演習の比較結果を公開し検知能力の差を分析

米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は、2つの異なるセキュリティオペレーションセンター（SOC）を対象に実施したレッドチーム演習の比較分析結果を公開しました。この報告書では、攻撃者が用いる戦術、技術、手順（TTP）が同一であっても、防御側の検知・対応能力によって最終的な被害状況が劇的に異なる実態を明らかにしています。演習を通じて、片方の組織では迅速に攻撃を特定できた一方で、もう片方の組織では重要な侵入ステップが見逃される事例が示されました。

分析によれば、検知の成否を分けた主な要因は、エンドポイントやネットワークにおけるログ収集の網羅性と、収集したデータを相関分析するためのルール設定にありました。以前はツールの導入自体が重視されていましたが、今回の比較では、デフォルト設定のまま運用している環境と、自組織の資産に合わせてアラートの閾値をカスタマイズしている環境とで、初動対応までの時間に明確な差が生じています。特に、特権昇格や横移動といった攻撃の初期段階での検知精度が、攻撃チェーン全体の遮断に直結することが示されました。

さらに、セキュリティ製品のライセンス形態やログの保持期間といった運用上の制約が、事後分析の可否に影響を与える点にも触れています。高度な検知機能を有効化していても、適切な監視対象が選択されていない場合や、通知が過多となり重要性が埋没しているケースでは、インシデントを見逃すリスクが高まることが確認されました。組織は、単なるツールの導入に留まらず、定期的なレッドチーム演習を通じて既存の検知パスが実際に機能するかを検証し、設定の微調整を継続することが求められます。