*執筆者：**Picus Security** セキュリティリサーチエンジニア [Sila Ozeren Hacioglu](https://www.linkedin.com/in/silaozeren/) 氏* 自動ペネトレーションテストツールを取り巻く初期の興奮は、しばしば収益の減少期に続きます。ダッシュボードには、クリティカルな発見、ラテラルムーブメントパス、レガシーサービスアカウントの脆弱性が表示されます。レッドチームは力を得て、CISOは「ヒューマンエレメント」が自動化されたと信じます。 しかし、熱狂は終わります。 4回目または5回目の実行までに、新しい発見はほとんどなくなります。ツールは同じ古い問題を報告し始め、かつて輝いていたダッシュボードは単なるノイズ源になります。この現象は**検証ギャップ**として知られています。組織が実際に検証していることと、検証済みとして報告していることとの間の乖離です。 自動ペネトレーションテストツールが約束過多で成果不足だと感じているなら、それは市場の変化を経験しているということです。業界は、自動ペネトレーションテストは強力な*機能*ですが、*単独で使用すると危険な戦略*であると認識しています。 ## PoCクリフ：発見が死ぬ場所 エキサイティングな最初の実行に続き、収益が大幅に減少するというパターンは、経験則ではありません。 セキュリティ実務家はこれを**概念実証（PoC）クリフ**と呼んでいます。ツールが固定スコープを使い果たすと、新しい発見が急激に減少します。これはチューニングの問題ではありません。 設計上、自動ペネトレーションテストソリューションは最初の実行で最良の結果をもたらします。数回のサイクルで、スコープ内の悪用可能なパスは使い果たされます。しかし、これは環境が安全であることを意味するわけではありません。単にツールが限界に達し、より深い問題がテストされていないだけです。 これは、決定論的なサーフェスに対して動作するツールの構造上の天井です。運用上の問題ではなく、アーキテクチャ上の制限です。 自動ペネトレーションテストはステップを連鎖させます。ステップBはステップAに依存し、ステップCはステップBに依存します。ツールが好む特定のパスをパッチすると、ステップAでブロックされ、ステップBからZは実行されなくなります。ツールは20のラテラルムーブメント技術をテストできるかもしれませんが、チェーンの早い段階で捕捉された場合、それらの技術は暗闇のままです。残りの攻撃サーフェスが調査されないまま、「ミッション完了」という偽の感覚を得ます。 ここで**Breach and Attack Simulation (BAS)** が明確な一線を引きます。 BASは連鎖させず、数千の独立したアトミックシミュレーションを実行します。各技術は独自のクリーンな実行を得ます。DNS経由の exfiltration テストが失敗しても、HTTPS経由の exfiltration テストが次に実行されるのを妨げることはありません。ラテラルムーブメント技術が失敗しても、ツールが他の19のテストを実行するのを止めることはありません。 一方はパスをテストし、もう一方はシールドをテストします。 ## 空気をきれいにする：BAS vs. 自動ペネトレーションテスト PoCクリフの「なぜ」をよりよく理解するために、業界における混乱の増大している点に対処する必要があります。Breach and Attack Simulation (BAS) と自動ペネトレーションテストは、検証という広範な目標を共有していますが、異なる質問に答えるために異なる方法を使用します。 BASを独立した一連の測定と考えることができます。敵対的な技術、マルウェアペイロード、ラテラルムーブメント、exfiltration を継続的かつ安全にエミュレートし、特定のセキュリティコントロール（ファイアウォール、WAF、EDR、SIEM）が実際に機能しているかを確認します。 その主なミッションは、防御が既知の脅威の動作をブロックまたは警告しているかを確認することです。各テストは、防御の強さをチェックする単独のチェックです。 対照的に、自動ペネトレーションテストは方向性があります。実際の攻撃者が行うように、脆弱性と設定ミスを連鎖させることで、より外科的で敵対的なアプローチを取ります。これは、**Active Directory** における Kerberoasting や、Domain Admin アカウントに到達するための権限昇格など、複雑な攻撃パスを露出するのに優れています。 どちらも「検証方法」と見なされることが多いですが、ミッションと結果は根本的に異なります。一方は個々の防御の強さを伝え、もう一方はそれにもかかわらず攻撃者がどこまで移動できるかを伝えます。 ## 「シンプルさ」の罠：なぜペネトレーションテストはBASではないのか 最近、一部のベンダーは、自動ペネトレーションテストがBASを置き換えることができる、または置き換えるべきであるという考えを提案しています。表面的には、それは素晴らしいように聞こえます。 実際には、これはアップグレードではなく、単純化を装ったカバレッジの後退です。 先ほど見たように、自動ペネトレーションテストとBASツールは根本的に異なる質問に答えます。最新のエンタープライズを保護するには、両方の質問への回答が必要です。 * **BASは次のように尋ねます：**「私のファイアウォール、EDR、WAF、SIEMは、**MITRE ATT&CK** フレームワーク全体で実際に機能していますか？」防御コントロールの*有効性*に焦点を当てています。 * **自動ペネトレーションテストは次のように尋ねます：**「攻撃者は既知の脆弱性を使用してポイントAからポイントBに到達できますか？」特定の攻撃パスの*成功*に焦点を当てています。  **図1. 例：自動ペネトレーションテストとBASが検証するもの** BAS評価を自動ペネトレーションテストに置き換えると、防止および検出スタックの検証を停止します。 攻撃者が1つの特定の脆弱性を使用してデータベースに到達できないことは知っているかもしれませんが、別の非脆弱性技術を試した場合にEDRが反応するかどうかについては、まったく可視性がありません。 ## 現代の攻撃サーフェスの6つの盲点 マーケティング資料は「包括的な」カバレッジを約束していますが、現実は自動ペネトレーションテストは通常、インフラストラクチャとアプリケーションパスの表面をかすめるだけです。  **図2. 組織の攻撃サーフェスの6つのレイヤー** 上記に示すように、2つのサーフェスは自動ペネトレーションテストからまったくカバレッジを得られません。4つはせいぜい部分的なカバレッジしか得られません。完全にカバーされているサーフェスは1つもありません。これは、今日の侵害が実際に発生している大規模な検証ギャップを生み出します。 1. **ネットワークとエンドポイントコントロール：**脆弱性パスは特定されますが、ファイアウォール、WAF、IPS、DLP、またはEDRが実際に停止するように設定されている脅威をブロックしているかどうかの確認はありません。コントロールはサイレントに失敗し、「設定済み」は誤って「効果的」と同一視されます。 2. **検出と応答スタック：**自動ペネトレーションテストは、SIEMルールとEDR検出ロジックが実際にトリガーされているかどうかについての可視性がありません。ツールは攻撃者として実行され、防御者を観察できません。検出カバレッジは想定されており、測定されていません。 3. **インフラストラクチャとアプリケーションの攻撃パス：**これらのテストは「PoCクリフ」に遭遇することがよくあります。インフラストラクチャパスはマッピングされますが、複雑なアプリケーションレイヤー攻撃チェーンはカバレッジが異なり、多くの場合、敵対者に対して開いたまま利用可能になります。 4. **IDと権限：**既存のパスはトラバースされますが、Active Directoryの設定、IAMポリシー、権限境界の体系的な検証はありません。 5. **クラウドとコンテナ環境：**動的なKubernetesポリシーとクラウドセキュリティコントロールは、設定が変更されると、多くの場合、暗闇のまま再検証されません。設定ミスとポリシーのドリフトの可視性は想定されており、積極的にテストされていません。 6. **AIと機械学習：**自動ペネトレーションテストは、AI駆動型セキュリティツールの有効性を検証したり、AIモデルの脆弱性を特定したりしません。これは、ますます洗練されたAI搭載攻撃に直面して、重大な盲点となります。