SERIES

Series 07｜TLPT・Attack Flowで考える金融機関の攻撃耐性

全3回中3回・更新中

脆弱性診断で問題がなくても、実際の攻撃に耐えられるとは限りません。攻撃者は1つの弱点ではなく、侵入から権限の奪取、横展開、業務の停止までをつなげて攻めてくるからです。本シリーズでは、脅威インテリジェンスに基づく実践的な侵入テスト（TLPT）の考え方と、MITRE ATT&CKとAttack Flowを使った攻撃シナリオの設計方法を解説します。さらにPurple Teamの手法で「検知できるか・止められるか」を測り、防御を継続的に改善する道筋を、全3回で示します。

このシリーズの記事

第1TLPTとは何か ― 脆弱性診断・ペネトレーションテストとの違い毎年、脆弱性診断もペネトレーションテストも実施している。それでも、実際の攻撃者が侵入してきたとき、組織はそれに気付き、止められるでしょうか。この問いに答えるのがTLPT（脅威ベースのペネトレーションテスト）です。本稿では、3つのテストを「答える問い」の違いから比較し、金融庁ガイドラインが求める6つの要素、DORAによる3年ごとの義務化など海外の動向、ホワイト・レッド・ブルーの各チームの役割を整理します。国内の実情と、導入をためらわせる3つの誤解も解説します。
第2MITRE ATT&CKとAttack Flowで攻撃シナリオを設計するTLPTの計画書に「ランサムウェア攻撃を想定」とだけ書かれていては、テストで何を確かめたのか、どこを直せばよいのかが曖昧になります。本稿では、攻撃者の行動の辞書であるMITRE ATT&CKと、行動のつながりを描くAttack Flowを使い、測定できる攻撃シナリオを設計する4つのステップを解説します。VPNへの侵入から認証情報の窃取、権限昇格、横展開、業務停止までのフロー例と、各段階の制御点を「予防・検知・速さ・報告」で測る方法を示します。ATT&CK v19の戦術変更にも対応。
第3Purple Teamで「検知できるか・止められるか」を測るTLPTで「どこまで侵入されたか」はわかっても、個々の攻撃技術を、なぜ検知できなかったのかまでは掘り下げにくいものです。本稿では、攻撃役と防御役が協働するPurple Teamで、予防・検知・調査・封じ込めの4段階を技術ごとに測る方法を解説します。「検知できなかった」を、ログ・ルール・運用・対応の4つの穴に分けて直す考え方、計画から再テストまでの演習の進め方、継続的に追う3つの指標、そしてTLPTと組み合わせて防御の実力を高めるサイクルを示します。