米CISA、重要インフラ2組織への模擬攻撃結果を公表　同様の手法でも「検知ゼロ」と「即時隔離」で明暗

要点

• 米CISAが、重要インフラ分野の2組織に対して同時実施したレッドチーム演習の報告書「A Tale of Two SOCs」を公開した。

• 両組織ともドメインやクラウドリソースへの侵入を許したものの、防御側の検知・初動対応スピードには大きな差が生じた。

• 政府施設組織（組織A）は大量の誤アラートや運用の分断が原因で、攻撃活動を一切検知できなかった。

• 水道システム組織（組織B）は初期侵入を2〜20分で検知して端末を隔離し、攻撃の拡散を食い止めた。

• CISAは防御結果の違いについて、ツールの性能差ではなく運用する人材やプロセス、手順の差によるものだと指摘している。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月25日、重要インフラ分野の2組織を対象に実施したレッドチーム演習（攻撃者の視点でシステムの防御力を検証する模擬侵入テスト）の結果をまとめたセキュリティアドバイザリ「AA26-237A」を公開した。報告書は「A Tale of Two SOCs（2つのSOCの物語）」と題され、類似した攻撃手法を用いながらも、防御側であるセキュリティ運用センター（SOC）の対応体制によって結果が大きく分かれた経緯を客観的に報告している。

2つの重要インフラ組織を対象にした同時侵入テスト

CISAは今回、政府サービス・施設セクターの組織（組織A）と、水・下水道システムセクターの組織（組織B）の2者を対象に、ほぼ共通の攻撃手法を用いた侵入テストを同時に実施した。

演習の結果、両組織ともにドメイン管理者権限の奪取、機密業務システム（SBS）やクラウドリソースへの到達といった最終的な侵害自体は受けてしまったという。しかし、攻撃に対する防御側の検知能力や初動対応の迅速さにおいて、両者の間には極めて大きな乖離が見られたことが明らかになった。

組織A：アラート埋没とツールの分断で「完全不検知」

政府サービスセクターに属する組織Aでは、レッドチームによる一連の攻撃活動が一切検知されないまま推移した。

攻撃チームはまず、Webアプリケーションに残されていた初期設定（デフォルト）の認証情報を足がかりに侵入した。そこから組織内の正規アドレスを偽装してフィッシングメールを送信し、4台のワークステーションへ足場を広げた。

続いて、ドメインユーザーが端末アカウントを追加できる初期設定（Machine Account Quota）と、Active Directory Certificate Services（Windows環境でデジタル証明書を発行・管理する機能、AD CS）のテンプレート設定不備（ESC1）を悪用して権限昇格を実行した。これは近年報告されたドメイン乗っ取り脆弱性「Certighost」と同系統の手法だという。

さらに攻撃チームは、システム上に平文で保存されていたデータベース設定ファイルや、有効期限が無期限に設定された静的なAWSアクセスキーを用いて3つの機密業務システムへ侵入した。クラウド環境においてはPrimary Refresh Token（PRT）を窃取し、Microsoft Entra ID上で過剰な権限を持つアプリケーションを悪用してセキュリティチームの電子メールを閲覧し、防御側が侵入に気づいているかどうかを監視していたという。

CISAによると、組織Aで検知が完全に失敗した背景には、日常業務から生じる大量の誤検知アラートの存在があった。重要度が高く設定されたものを含む数千件のアラートに実際の攻撃兆候が埋もれてしまったほか、組織内に複数のSOCや端末保護ツールが存在しながらも可視性が共有されていなかった。また、アナリストのエスカレーション手順の欠落や対応権限の制限も重なり、システム管理ツール（SCCM）上で発生していた実際の攻撃アラートも「管理者が特定できない」という理由で誤検知として処理されていたと報告されている。

組織B：数分での迅速な隔離と境界防御で拡散を阻止

一方、水・下水道システムセクターの組織Bに対する演習では全く異なる防御対応が展開された。

組織BのSOCは、初期侵入を試みたフィッシングのペイロード（攻撃用プログラム）が実行された直後にそれを検知した。侵害されたワークステーションは実行からわずか2分から20分以内にネットワークから隔離され、攻撃者が外部から端末を遠隔操作するためのC2通信は即座に遮断された。

初期の足場が断たれたため、演習は事前に合意された協力者が非特権ホスト上でプログラムを実行する「侵害想定（assume-breach）」モデルへと切り替えられた。その後の検証では、組織Aと同様の根本的な問題（SCCM設定ファイル内の平文認証情報）からドメインコントローラーの制御権が奪われ、ドメイン管理者情報を複製するDCSync攻撃によってKerberos認証鍵（krbtgt）が取得されるなど、共通の脆弱性が確認された。

しかし、攻撃チームがプラントなどを制御するOT（運用技術）環境の境界にある踏み台サーバーに到達した際、そのサーバーからのインターネット向け通信が制限されていたため外部との通信チャネルを確立できず、OT中枢システムへの侵入は未然に防がれた。

CISAが指摘した主な弱点と「人とプロセス」の重要性

CISAは本アドバイザリにおいて、組織Aの全面的な侵害を許す要因となった主な技術的弱点として以下の5項目を挙げている。

• 全ドメインユーザーに端末アカウント追加を許可するMachine Account Quotaの初期設定放置
• 任意ユーザーの証明書要求を許してしまうAD CS証明書テンプレートの設定ミス
• 到達可能なシステム上に保存されていたサービスアカウントやデータベースの平文認証情報
• 失効手続きが整備されていない無期限の静的クラウドアクセスキー
• 全ユーザーのメール閲覧権限を持つEntra IDの過剰権限アプリケーション

報告書の総括としてCISAは、両組織の明暗を分けたのは導入されていたセキュリティツールの性能差ではなく、それらを運用する「人とプロセス」であったと結論づけている。「検知ツールがどれほど効果を発揮するかは、それを支える人材、プロセス、そして手順にかかっている」と指摘し、ツールの導入だけに頼らない運用体制の確立が重要であると述べている。