CISA Red Team による重要インフラ侵入テスト：明らかにされた SOC と Cloud のギャップとは？

CISA Red Team Breaches Critical Infrastructure to Reveal SOC and Cloud Security Gaps

2026/08/25 CyberSecurityNews — CISA がレッド・チーム向けに公開した最新アドバイザリが警告するのは、重要インフラ事業者がセキュリティ対策に多額の資金を投入してセキュリティ製品を導入しても、それだけでは十分に機能しない可能性があることだ。その理由は、アラートに効果的に対応するには訓練を受けたアナリストが必要となるからである。CISA の “A Tale of Two SOCs” レポートでは、並行して実施された 2 件のレッド・チーム演習を比較している。一方では Government Services and Facilities Sector の組織を対象とし、もう一方では Water and Wastewater Systems Sector の組織を対象として、ほぼ同一の攻撃手法を使用した。注目すべきは、その結果に大きな違いが生じたことだ。

いずれのケースでも、フィッシングによる初期侵入後に CISA のオペレーターは、デフォルトの Machine Account Quota や誤設定された Active Directory Certificate Services テンプレートなどの、Active Directory の設定上の弱点を介して権限昇格／横展開を実行した。

CISA のレッド・チームが重要インフラに侵入

Organization A では、侵入したチームがドメイン上での権限を高め、まったく検知されることなく、機密性の高い業務システムやクラウド・リソースに到達した。最終的には、SOC スタッフの電子メールの閲覧／防御担当者自身のマシンへのキーロガーの展開に至ったが、防御側による対応は行われなかった。その一方で、Organization B では、最初のフィッシング・ペイロードの実行から 2～20 分の間に、SOC が侵害されたワークステーションを隔離し、侵入が拡大する前にコマンド&コントロール通信を遮断した。

Organization B が、侵害を極めて迅速に検知したため、CISA は「侵害を前提とする (assume breach)」モデルへ移行し、フィッシング試行が検知されなかったケースでレッド・チームが獲得していたアクセス権を、信頼されたエージェントを介して付与した。そこからチームは、同じ Machine Account Quota の弱点を突いて再び権限を高め、System Center Configuration Manager ファイルからの平文の認証情報の取得／DCSync 攻撃によるドメイン・コントローラーの認証情報の取得を実行したほか、Golden Ticket の偽造に悪用される重要な “krbtgt” アカウントの認証情報も取得した。

このように広範なアクセス権が取得されたが、Organization B の防御担当者は、OT (Operational Technology) の DMZ (Demilitarized Zone) に存在する侵害された踏み台ホストを隔離し、さらに Microsoft の自動アラートが検出した不審な Azure へのログインをブロックした。これは、ネットワークが侵害されたことを前提とする運用に移行した後も、多層的な検知が機能し続けていたことを示している。

CISA によると、Organization A に生じた盲点の原因は、ツールの不足ではなく運用面の機能不全にある。この組織は、チーム間の連携がない状態で複数の SOC と複数の EDR プラットフォームを運用していた。さらに、通常の業務活動に伴って発生する数千件の誤検知により本物の侵害の痕跡が埋もれていた。

不審な活動を上位担当者へ報告するための標準運用手順が不足し、対応するアナリストの権限も限られていたため、SCCM サーバ上でのレッド・チームの活動に関連するアラートを含め、実際のアラートも誤検知として処理されていた。防御担当者がシステム所有者を特定できなかったことも、その一因である。

このアドバイザリの中心的な要点は、検知ツールの有効性は、それを支える人材とプロセスによって決まるということである。CISA が重要インフラ事業者に求めているのは、過度に許容された Machine Account Quota や ESC1 の脆弱性を持つ証明書テンプレートなど、Active Directory に共通する弱点を修正することである。それに加え、サービス・アカウントおよびクラウド・アカウントへの認証情報の有効期限の設定や、ワークロード ID への Conditional Access の導入によるアプリケーションの権限管理上のギャップなどを解消する必要がある。

こうした技術的な対策と同様に重要なのが、文書化されたエスカレーション手順／チーム間での可視性／対応権限を持つアナリストの確保である。Organization B に成功をもたらしたのは特定のセキュリティ製品ではなく、迅速な初期評価と速やかな隔離である。それが示すのは、検知のための能力だけでなく、発見された事象を実際の対応につなげる運用体制の重要性である。

CISA による最新報告書では、大規模な資金を投じた環境でも人材とプロセスの不備により攻撃を見過ごす実態が示されています。Active Directory の設定上の不備や過剰な権限放置／アラート過多による本物の検知情報の埋没／標準運用手順の欠如が課題です。この影響により、機密リソースやクラウドへの不法侵入を許すリスクが生じます。これに対しては、Microsoft Azure や Active Directory 上の設定見直し／権限の最小化／エスカレーション手順の整備／迅速な隔離処理が効果的な解決策です。ツールだけに頼らず、迅速かつ組織的な運用の確立が重要であり、継続的な体制改善と適切なプロセス構築が強く求められます。