CISAが2組織で同時レッドチーム演習 — 片方は検知できず全ドメイン侵害、もう片方は初期侵入で封じ込めに成功した差を分析

米サイバーセキュリティ・インフラストラクチャ安全保障局（CISA: Cybersecurity and Infrastructure Security Agency）は2026年8月25日、**2つの重要インフラ組織で同時に行ったレッドチーム演習「A Tale of Two SOCs: Insights From Two Red Team Assessments（AA26-237A）」**の結果を公表した。同じ手口を使いながら、一方の組織（Organization A: Government Services and Facilities Sector）は検知・封じ込めに失敗して全ドメイン侵害を許し、もう一方（Organization B: Water and Wastewater Systems Sector）は初期侵入を迅速に検知して隔離し、レッドチームを「侵害を前提とした（assume breach）」運用へ追い込んだ。CISAは両者の差から、SOC（Security Operations Center: セキュリティ運用センター）の成熟度を左右する要因を整理した。

レッドチームは実際の脅威アクターの手口（TTP）を模倣し、MITRE ATT&CK v19にマッピングして活動を記録。永続的なアクセスの獲得、防御の回避、業務システム（SBS: Sensitive Business Systems）やクラウド、OT（Operational Technology: 制御システム）のDMZ（非武装地帯）への到達を試みた。

演習の前提 — 同じ手口、異なる防御

CISAによると、両演習とも初期アクセスからドメイン全体の侵害、SBSとクラウド資源への到達を目標とした。Organization Aでは4台のワークステーションへの初期侵入後、特権昇格と横展開で防御の介入なく全SBSの管理者アクセスを獲得した。Organization Bでは初期侵害をSOCが即座に検知して端末を隔離したため、CISAは信頼されたエージェント（TA）が用意した「侵害後を想定したホスト」から演習を再開するassume breachモデルに切り替えた。そこからも特権昇格と横展開でSBSやクラウド、OT DMZの踏み台ホストに到達したが、OT DMZでの活動は再び検知・隔離されたという。

Organization Aで再現された侵入経路

初期アクセスとAD偵察

レッドチームはdefault認証情報が残るWebアプリケーションを発見し、複数のビルトインユーザのdefaultパスワードで内部メールアドレスからの送信権限を取得した。そのアドレスからフィッシングメール（T1566）を送付して4台のワークステーションに侵入した。

侵入後はEDRの静的シグネチャを回避するようカスタマイズしたBloodHoundコレクタでActive Directory（AD）情報を収集。ユーザ・コンピュータ・グループ・ACL・GPOを取得した。1台のワークステーションではMachine Account Quota（MAQ）がdefaultの10のままで、非特権ユーザが最大10台のコンピュータアカウントをドメインに追加できる状態だった。さらにActive Directory Certificate Services（ADCS）の証明書テンプレートで「ESC1」の誤設定（任意のユーザが任意のアカウントの証明書を要求できる）を複数確認した。

レッドチームはMAQを悪用してマシンアカウントを作成（T1136.002）し、ESC1のテンプレートでそのマシンアカウントの証明書を要求（T1649）、そこから任意のユーザの証明書を取得して横展開の足がかりとした。

業務システム（SBS）への横展開

全ドメイン侵害の後、SBSへの到達は以下の手順で進められたとCISAは説明する。

1. ADデータからSBSに関連するユーザ・グループを特定
2. System Center Configuration Manager（SCCM）でユーザと端末の紐付けを列挙（T1033）
3. SCCMサーバから対象ユーザのワークステーションへ横展開
4. ワークステーション上の認証情報を取得してSBSへアクセス

具体例として、SBS 1（データベース）では管理者ワークステーション上の平文認証情報（T1552）を、SBS 2（データベース）ではSQL開発ツールのconnections.jsonとproduct-preferences.xmlを復号して平文パスワード（T1552.001）を取得した。SBS 3（自動処理システム）では、ホームディレクトリの設定ファイルに保存された失効・ローテーションされていない長期のAWS IAMユーザ認証情報を悪用した。

仮想デスクトップ環境では、すべての仮想デスクトップのローカルファイルが分散ファイルシステム（DFS）のルートドライブと同期されていたため、DFSのルートドライブを侵害することで、アクティブなセッションの有無にかかわらず数千ユーザのクラウド設定ファイルやDB接続情報を一括で探索できたという。レッドチームは侵害したワークステーションを内部プロキシ（T1090.001）としてツールを中継し、防御の介入なく全SBSの管理アクセスを得た。

クラウド（Microsoft Entra ID）への波及

SBS侵害の後、Microsoft Entra ID（旧Azure AD）上のアプリケーションの権限を狙った。Application permissions（アプリケーション権限）はユーザ同意なしにデータへアクセスできるため、高い権限を持つアプリケーションを侵害すれば、その権限をそのまま継承できる。CISAはこの経路でクラウド資源へのアクセスも実証した。

Organization Bでは何が違ったのか

Organization BのSOCは初期侵害を迅速に検知し、影響を受けたシステムを隔離した。このためレッドチームは初期アクセスの優位を失い、assume breachモデルでの再演習を強いられた。エスカレーション後も、OT DMZの踏み台ホストへの到達時に再び検知・隔離され、防御側の可視化と初動の速さが示された。一方で、assume breach後はOrganization Aと同様にSBSやクラウドへの到達は再現されており、初期検知の有無が被害の広がりを大きく左右したことが浮き彫りになった。

CISAが挙げた3つの教訓

CISAは演習から得られた教訓を3点に整理した。

1. チューニングされていない検知は脅威を見逃す — ベースラインが定義されず、誤検知や日常的なアラートが防御者を圧倒すると、本当の脅威が埋もれる
2. 組織のサイロと官僚的障壁が初動を妨げる — ツールは人・プロセス・手順に支えられて初めて機能する。断片的なコミュニケーション、責任の不明確さ、防御者の権限不足が対応を遅らせる
3. クラウドは過小評価されたリスク — 多くの組織でクラウド環境のセキュリティ統制や、クラウド侵害時の対応手順が不足している

CISAが示した主要な対策

CISAは重要インフラ組織向けに、以下の対策を推奨している。以下はアドバイザリが実際に記載した内容に限定する。

• ベースラインを確立し、継続的に維持してアラートノイズを低減するため、検知ルールを継続的にチューニングする
• サイロを解消し、ネットワーク防御者に権限を与える — 責任範囲の明確化、迅速な隔離や遮断の権限付与、部門横断の連携手順を整備する
• ワークロードアイデンティティに条件付きアクセス（Conditional Access）ポリシーを実装し、過剰または未使用の権限を監視する
• クラウド侵害時にアクセス／リフレッシュトークンを検知・修復・失効させる包括的な手順を確立し、定期的に見直す
• ADCSテンプレートのESC1等の誤設定の棚卸し、MAQの最小化、SCCMやDFSの権限分離、長期の静的AWS認証情報の廃止とローテーションといった、演習で悪用された経路の是正（アドバイザリのTechnical DetailsとMitigationsで詳述）

CISAは連邦政府機関、地方政府、重要インフラのシステム管理者、インシデントレスポンス、防御アナリスト、脆弱性アナリストを想定読者とし、937KBのPDF版レポートも同時に公開した。演習の手口はMITRE ATT&CKの戦術・技術にマッピングされており、防御側が自組織の検知カバレッジを点検する材料になるとしている。

出典

• CISA Cybersecurity Advisory「A Tale of Two SOCs: Insights From Two Red Team Assessments（AA26-237A）」（2026年8月25日） https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-237a
• 同アドバイザリ PDF版 https://www.cisa.gov/sites/default/files/2026-08/aa26-237a-tale-of-two-socs.pdf