サイバーセキュリティは「攻撃者視点の対策を」、キーサイト：侵入される前提で、被害最小限に（2/2 ページ）

[永山準，EE Times Japan]

実際の攻撃でシミュレーションする「Threat Simulator」

　Threat Simulatorは、攻撃者が実際に使用するテクニックを用いて攻撃をシミュレーションし、組織のセキュリティ対策が機能しているかを確認する「Breach＆Attack Simulation（BAS）」を用いたセキュリティリスク検査プラットフォームだ。

　下図がThreat Simulatorのシステム構成である。Threat Simulatorは実ネットワークから隔離された専用のソフトウェアエンドポイント（エージェント）を使用し、プロダクションサーバやエンドポイントを脅威にさらすことなく、実世界のマルウェアや攻撃をシミュレーションできる。

Threat Simulatorのシステム構成　出典：キーサイト・テクノロジー（クリックで拡大）

　セキュリティ対策の基本サイクルとしては、現在のシステムの「測定」、測定結果を基に行う「最適化」、その後、最適化された状態を保っているかの「監視」の3つがあるが、Threat Simulatorはそれぞれに特長を持つ。

　測定においては、各検査項目の検知、防御可否のスコアリングを実施。設定ミスやセキュリティギャップおよび可視性のギャップを迅速に特定する。このギャップ特定のため、ネットワーク、Email、エンドポイント、キルチェーンと大きく分けて4タイプでさまざまなシナリオテンプレートが用意されている。特に、実際使用されたサイバー攻撃の戦術やテクニックを14のカテゴリーで分類してまとめたナレッジベース「MITER ATT＆CK」を実装したことで、「BASの本格的なテストができるようになった」としている。

左＝測定における特長／中央＝シナリオテンプレートの例／右＝MITER ATT＆CKの実装　出典：キーサイト・テクノロジー（クリックで拡大）

　また、同社のセキュリティ研究専門組織「Keysight Application and Threat Intelligence（ATI）リサーチセンター」から、一定期間ごとに新たな攻撃シナリオセットが提供されるといい、「新たな攻撃を防御できるかを常にサイクルしてテスト可能で、最新の攻撃から自分たちを守ることにつなげてもらえる」としている。

　最適化については下図の通りで、防御できなかった攻撃に対し、どういった改善を行うべきかの提案策を実施。「一般的な改善ポイントの提案だけでなく、使用している機器のベンダーを登録しておくと、そのベンダーが出しているパッチのIDを表示するなど、『一歩踏み込んだ提案』を行う」としている。

最適化の特長（左）と改善ポイントの提案の例（右）　出典：キーサイト・テクノロジー（クリックで拡大）

　監視については、検査をスケジューリングし自動実行することで、セキュリティの状態変化を監視可能だとしている。

監視の特長（左）とレポートの内容（右）　出典：キーサイト・テクノロジー（クリックで拡大）