攻撃手法の連鎖がもたらす侵入リスクと継続的検証技術の最新動向

要点

• セキュリティリーダーの93%が過去1年間に事業影響を伴う攻撃を受けたと回答したことが、Filigranの調査で判明した。

• 従来のセキュリティ検証は単一の手法を個別にテストする形式が多く、ツール間の隙間を突く一連の攻撃チェーンを防ぎきれない実態が指摘されている。

• 2025年のフランス税務総局への侵入など、個々の手法は一般的でもそれらを連動させた攻撃チェーンにより大規模な被害に至る事例が報告されている。

• Filigranは「OpenAEV」において、多段階の攻撃経路を自動化して低コストかつ高頻度で検証する「Attack Chaining」を提供している。

• セキュリティ企業のFiligranは、セキュリティテストに関する課題と最新の調査結果をまとめたレポート「State of Threat Management report」を公開し、個別の弱点だけでなく複数の攻撃手法が連鎖する「攻撃チェーン」に対する検証の重要性を明らかにした。多くの組織が防御機能の検証を実施しているにもかかわらず、手法を組み合わせた攻撃経路への対策が不十分である実態が浮き彫りとなっている。同社はこれを受け、自社製品「OpenAEV」において多段階の攻撃プロセスを自動で継続検証する新機能「Attack Chaining」の展開を進めている。

防御検証の実施と企業被害の実態

Filigranが発表した調査レポートによると、セキュリティ責任者の93%が、過去12ヶ月の間に自組織が事業に影響を及ぼすサイバー攻撃を受けたと回答している。これらの組織の大半は、被害に遭うまでの過程において何らかの防御検証を行っていたにもかかわらず、攻撃を遮断できていなかったという。

また、調査対象となったリーダーの88%は、侵入後の攻撃者の活動速度がAI技術によって加速していると回答した。さらに84%の回答者が、セキュリティツールが連携せずサイロ化していることや、それぞれ独立して行われる分断されたテストが原因となり、実際に悪用されるまで潜在的な露出箇所が見落とされていると指摘している。

現在多くの組織で採用されている侵入・攻撃シミュレーション（BAS：実際の攻撃を模倣して防御体制を自動テストする技術）では、MITRE ATT&CKなどのフレームワークに定義された個別の攻撃技術をライブラリから呼び出し、単体で検知や遮断ができるかを確認する手法が一般的となっている。特定の攻撃手法に対して検知ルールが作動するかを個別にスコアリングして完了とする従来のやり方では、複数の手法を組み合わせた攻撃に対する安全性を十分に確認できない実態が示されている。

連続する攻撃手法の組み合わせとフランス税務総局の事例

実際の攻撃者、とりわけAIを活用する攻撃者は、単一の手法を個別に試すのではなく、複数の手法を連続的に組み合わせて侵害を進行させる。典型的な攻撃経路では、フィッシングメールによる認証情報の窃取を起点とし、獲得した情報を用いて初期拠点を確保した上で、特権昇格やシステム間の横展開（ラテラルムーブメント：侵入後にネットワーク内を移動する行為）、データの収集を経て、最終的な外部持ち出しへと至る。

こうした一連の流れにおいて、個々のステップ自体は既存のセキュリティ製品が理論上対処できるものであったとしても、潜在的な露出箇所のすべてを個別に網羅することは困難とされている。仮に全体の90%の弱点を修正できたとしても、残る10%の不備が攻撃経路を成立させる決定打となり、個別のツールや担当チームの隙間をすり抜けてしまう構造が存在する。

こうした連鎖攻撃のリスクは実際のインシデントでも確認されている。2025年に発生したフランス税務総局（DGFiP）への不正アクセス事例では、攻撃者が用いた個々の手法そのものは特異なものではなかったと説明されている。初期アクセスから認証情報の悪用、横展開、データの持ち出しに至る各段階が連動したチェーンとして実行された結果、単体では対処可能と見なされていた複数の弱点が結びつき、大規模な侵害へと発展した。個々のセキュリティ制御が単体で動作していたとしても、攻撃の連鎖全体を阻止できなければ防ぎきれないことが示された事例となっている。

多段階の攻撃経路を自動検証する「Attack Chaining」

単体テストと実際の攻撃手法の間にある乖離を解消する手段として、Filigranは同社のプラットフォーム「OpenAEV」において「Attack Chaining」と呼ばれるシナリオを提供している。

Attack Chainingは、レッドチーム（実践的な攻撃を仕掛けて弱点を洗い出す専門部隊）が手動で実施するような多段階の攻撃経路を、エンドツーエンドで自動化する機能である。単一の技術を個別にテストするのではなく、攻撃の過程で得られた実際の結果を自動的に取得し、その状況に応じて次の攻撃対象や手法を動的に決定していく仕組みを備えている。

具体的には、事前の偵察で標的を特定し、取得した認証情報やパスワードを用いて次の機器へアクセスし、開放されたポートや誤った権限設定、トークンなどを手がかりに攻撃を継続する。システム環境内で実際に発見された情報に基づき、初期アクセスから最終目標に至るまでの攻撃経路がインタラクティブなグラフ上でリアルタイムに分岐しながら展開される。

従来の手動によるレッドチーム演習は詳細な検証が可能な一方で、コストが高く年1〜2回程度の実施に留まりやすく、変化し続けるシステム環境に対して一時的なスナップショットしか得られない側面があった。Attack Chainingを活用することで、数分単位で高頻度にテストを実行でき、攻撃者が複数の手法を連携させた場合にどこから突破されるのかを常に最新の状態で把握できるようになるという。

この機能は、オープンで条件分岐が可能なロジックによって構築されており、戦術や技術、ペイロード、カスタムアクションなどを組み合わせて再利用可能な攻撃パスを作成できる仕様となっている。