オフェンシブセキュリティ（OffSec）」とは、悪意のある行為者が実際の攻撃で使用するのと同じ手口を使用して、 ネットワーク・セキュリティを 害するのではなく、むしろ強化する、さまざまなプロアクティブなセキュリティ戦略のことです。一般的なオフェンシブセキュリティー手法には、レッド・チーミング、侵入テスト、 脆弱性評価などがあります。
オフェンシブセキュリティオペレーションは、多くの場合、 倫理的ハッカー、つまりITシステムの欠陥を発見し修正するためにハッキング・スキルを駆使するサイバーセキュリティの専門家によって実行されます。機密データを盗んだり、 マルウェアを落としたりするためにシステムに侵入する本物のサイバー犯罪者とは異なり、倫理的ハッカーは許可を得た上で模擬的な侵入を行う。 彼らは実際の被害を引き起こす手前で止まり、偽の攻撃から得られた調査結果を組織の防御強化に役立てます。
歴史的に、オフェンシブセキュリティーとは、攻撃者を行き止まりのディレクトリに誘い込むなど、攻撃者を困らせるための戦略も指します。このような対立的な方法は、今日の 情報セキュリティの 状況ではあまり見られません。
オフェンシブセキュリティがなぜ重要であるかを理解するには、それをディフェンシブセキュリティと比較すると役立ちます。
ウイルス対策ソフトウェアやファイアウォールなどの防御的なセキュリティ対策は、設計上事後対応型です。これらのツールは、既知の脅威をブロックするか、不審な動作を検出するために構築されています。SOARプラットフォームのような高度なディフェンシブセキュリティツールの中には、進行中の攻撃への対応を自動化できるものもあります。
防御的なセキュリティ戦術は、進行中の サイバー攻撃を 阻止するのに役立つが、こうした手法はセキュリティ・チームに多大な作業負荷をもたらします。アナリストはアラートとデータを分類して、実際の脅威と誤報を区別する必要があります。さらに、防御的なセキュリティ対策は既知の攻撃ベクトルからしか保護できないため、組織は新たな未知のサイバー脅威にさらされることになります。
オフェンシブセキュリティーは守備的セキュリティーを補完 セキュリティ チームは OffSec 戦術を使用して、他のセキュリティ対策が見逃す可能性のある未知の攻撃ベクトルを発見して対応します。また、オフェンシブセキュリティーは防御的なセキュリティよりも積極的です。オフェンシブセキュリティー対策では、サイバー攻撃が発生したときにそれに対応するのではなく、攻撃者が悪用する前に欠陥を発見して対処します。
つまり、オフェンシブセキュリティーは、防御的なセキュリティをさらに効果的にする情報をもたらします。また、セキュリティチームの負担も軽減されます。 これらの利点により、一部の高度に規制されたセクターでは、オフェンシブセキュリティーが業界標準となっています。
オフェンシブセキュリティー専門家が使用する戦術、技術、および手順 (TTP) は、脅威アクターが使用するものと同じです。これらの TTP を使用することで、OffSec の専門家は、実際のハッカーが既存のセキュリティ プログラムのテスト中に使用する可能性のある潜在的な脆弱性を根絶できます。
主なオフェンシブセキュリティー戦術には以下のようなものがあります：
脆弱性スキャンは、組織の IT 資産の脆弱性を検出するための自動プロセスです。これには、専用ツールを使用してコンピューター システムの脆弱性をスキャンすることが含まれます。
脆弱性スキャナーは、特定のソフトウェア バージョンに関連する既知の脆弱性を資産から検索できます。また、一般的な SQL インジェクション文字列やその他の悪意のある入力にアプリがどのように応答するかを確認するなど、よりアクティブなテストを実行することもできます。
ハッカーは多くの場合、脆弱性スキャンを使用して、攻撃中に悪用できる脆弱性を特定します。次に、OffSec の専門家は、同じ脆弱性スキャナーを使用して、ハッカーが脆弱性を占拠する前にこれらの脆弱性を見つけて解決します。このプロアクティブなアプローチにより、組織は脅威の先を行き、防御を強化することができます。
ペネトレーション テスト (「ペネトレーション テスト」) は、コンピュータ システムの脆弱性を見つけるために模擬サイバー攻撃を使用することです。基本的に、侵入テスターは人間の脆弱性スキャナーとして機能し、本物のハッカーを模倣してネットワークの欠陥を検索します。侵入テスターは攻撃者の視点を採用しているため、多くの場合、悪意のある攻撃者がターゲットとする可能性が最も高い脆弱性を正確に特定できます。
人間のセキュリティの専門家は侵入テストを実行するため、完全に自動化されたツールが見逃す可能性のある脆弱性を検出できます。ペネトレーションテスターは発見した欠陥を悪用するため、誤検知が発生する可能性は低くなります。サイバー犯罪者が欠陥を悪用できるのであれば、サイバー犯罪者も悪用できるのです。また、侵入テストはサードパーティのセキュリティ サービスによって提供されることが多いため、社内のセキュリティ チームが見逃してしまう可能性のある欠陥を発見できることがよくあります。
「敵対的シミュレーション」としても知られるレッド チームは、専門家のグループが現実世界のサイバー犯罪者の TTP を使用して、コンピューター システムに対して模擬攻撃を開始する演習です。
侵入テストとは異なり、レッド チームは敵対的なセキュリティ評価です。レッド チームは、(実際の損害を引き起こすことなく) 攻撃ベクトルを積極的に活用して、どこまで攻撃できるかを確認します。レッドチームは、彼らを阻止しようとするセキュリティエンジニアのブルーチームとも対決します。これにより、組織は インシデント対応の 手順を実地テストする機会を得る。
組織は社内にレッドチームを雇用するか、サードパーティと契約してレッドチーム演習を実施します。技術的な防御と従業員の意識の両方をテストするために、レッドチームの運用ではさまざまな戦術が使用される場合があります。一般的なレッドチームの手法には、 ランサムウェアの 模擬攻撃、フィッシングや その他の ソーシャル・エンジニアリングの シミュレーション、さらにはテールゲーティングのような現場での侵害テクニックが含まれます。
レッドチームは、持っている情報の量に応じて、さまざまな種類のテストを実施する場合があります。ホワイトボックス テストでは、レッド チームはターゲット システムの内部構造とソース コードに対する完全な透明性を持っています。ブラックボックス テストでは、レッド チームはシステムに関する情報を持たないため、現実世界のハッカーと同様に、外部から侵入する必要があります。グレーボックス テストでは、レッド チームは、ネットワーク デバイスの IP 範囲など、ターゲット システムに関する基本的な知識を持っている可能性がありますが、それ以外の知識はほとんどありません。
オフェンシブセキュリティーへの取り組みには、実践的なハッキング経験、プログラミング言語の知識、Web アプリケーションのセキュリティに関する知識が不可欠です。これらの分野での専門知識を証明するために、オフェンシブセキュリティーの専門家は、多くの場合、オフェンシブセキュリティー認定プロフェッショナル (OSCP) や認定倫理ハッカー (CEH) などの認定資格を取得します。
OffSec チームは、オープンソース セキュリティ テスト方法マニュアル (OSSTMM) やペネトレーション テスト実行標準 (PTES) などのオープンソース プロジェクトを含む、確立された倫理的なハッキング手法にも準拠しています。
オフェンシブセキュリティーの専門家は、次のような一般的なオフェンシブセキュリティー ツールにも熟練しています。
Metasploit: IT システムに対するエクスプロイトを開発および自動化するためのフレームワーク主にペネトレーションテストや脆弱性評価に用いられます。
Kali Linux： ペンテストと デジタル・フォレンジック用に設計されたLinuxオペレーティング・システム。
Burp Suite: 脆弱性をスキャンし、Web トラフィックを傍受および変更し、攻撃を自動化できる Web アプリケーション セキュリティ テスト ツール。
Wireshark: ネットワーク トラフィックをキャプチャして検査し、ネットワーク通信におけるセキュリティ問題の特定に役立つネットワーク プロトコル アナライザー。
Nmap: ネットワーク検出、ポート スキャン、サービス識別に使用されるネットワーク スキャン ツール。
Aircrack-ng: Wi-Fi ネットワーク セキュリティをテストするためのツール スイートで、パケットの盗聴、ハンドシェイクのキャプチャ、パスワード暗号化の解読機能を備えています。
John the Ripper: パスワード ハッシュに対してブルート フォース攻撃を実行するパスワード クラッキング ツール。
sqlmap: Web アプリの SQL インジェクションの脆弱性を悪用するプロセスを自動化するツール。
X-Force® Red のオフェンシブセキュリティーサービスは、デジタルおよび物理エコシステム全体をカバーするセキュリティ上の欠陥を特定し、優先順位を付け、修正するのに役立ちます。
シャドー IT を発見し、敵対的な誘惑に基づいて相関性のある事実に基づいた調査結果を使用してセキュリティ チームを目標に保ちます。合理化されたワークフローにより、既存のセキュリティー・エコシステムとの統合を通じて全体的なレジリエンスが向上します。
最も重要な資産を漏らす可能性のある欠陥を特定し、優先順位を付け、修復を管理する脆弱性管理プログラムを採用します。
レッド チームとパープル チームを含む敵対者シミュレーション演習は、インシデント対応チーム、制御、プロセスのギャップを見つけて埋めることができ、侵害が発生した場合の被害を最小限に抑えることができます。
侵入テスターは、偽の攻撃を仕掛けることで、セキュリティ チームが重大なセキュリティの脆弱性を発見し、全体的なセキュリティ体制を向上させるのに役立ちます。
脆弱性管理ソリューションが、セキュリティ チームが IT 資産のセキュリティ脆弱性を積極的に発見し、優先順位を付け、解決するのにどのように役立つかを説明します。
ハッキング (サイバー ハッキングとも呼ばれます) は、デジタル デバイス、コンピューター システム、またはコンピューター ネットワークに不正なアクセスを得るために、型破りな手段または違法な手段を使用することです。