SOC の対応力を測る評価
A 社は，自社の SOC が日常の運用の中で実際の標的型攻撃を検知し，適切に対応できるかどうかを評価したい。NIST SP 800-115 の考え方に照らして，この目的に合った評価の進め方として，最も適切なものはどれか。
- アSOC に日程と対象を事前に通知した上で，全サーバを対象に既知の脆弱性を網羅的に突く侵入テストを行う。
- イ経営層の許可を得て，SOC には知らせずに特定の攻撃者の手口を模した攻撃を行い，試験であることを把握する第三者が関係者間の調整を担う。
- ウ全社のホストに脆弱性スキャナを定期的に実行し，検出された脆弱性の件数の推移を SOC の評価指標とする。
- エ現実の攻撃に近づけるため，経営層を含め社内の誰にも知らせずに外部の業者に攻撃を行わせ，SOC の対応を観察する。
正解と解説を見る
正解 イ
この問題の基礎知識
- NIST SP 800-115 は，情報セキュリティの技術的なテストと評価の手法をまとめたガイドである。
- 公然の（overt）テストは IT 部門が把握し協力して行うテストで網羅的な評価に向き，秘密の（covert）テストは IT 部門に知らせず上級経営層の許可の下で行うテストで検知と対応の能力の確認に向く。
- 脆弱性スキャンは既知の脆弱性や設定の不備を自動で洗い出す手法，侵入テストは攻撃者の手法を模して実際に侵入を試みる手法であり，評価したい対象に応じて使い分ける。
アSOC に日程と対象を事前に通知した上で，全サーバを対象に既知の脆弱性を網羅的に突く侵入テストを行う。
IT 部門が把握した上で行う公然の（overt）テストは網羅的な評価に向くが，SOC が警戒を強めるので日常の検知・対応能力は測れない。SP 800-115 は，管理者が警戒していない秘密の（covert）テストの方が日常のセキュリティをよく示すとしている。
イ経営層の許可を得て，SOC には知らせずに特定の攻撃者の手口を模した攻撃を行い，試験であることを把握する第三者が関係者間の調整を担う。正解
秘密のテストは IT 部門に知らせず，上級経営層の十分な認識と許可の下で行い，インシデントへの対応力の確認に有用である。試験を本物の攻撃と取り違えた対応を防ぐため，信頼できる第三者が仲介する組織もある。
ウ全社のホストに脆弱性スキャナを定期的に実行し，検出された脆弱性の件数の推移を SOC の評価指標とする。
脆弱性スキャンは古いソフトウェアや設定の不備などの既知の脆弱性を洗い出す手法で，組織の露出の把握には役立つ。しかし，攻撃が行われたときに SOC が検知し対応できるかどうかは評価できない。
エ現実の攻撃に近づけるため，経営層を含め社内の誰にも知らせずに外部の業者に攻撃を行わせ，SOC の対応を観察する。
秘密のテストでも，IT 部門には知らせないが上級経営層の十分な認識と許可の下で行う。誰も把握していない攻撃では，試験かどうかを確かめる仲介役も置けず，本物のインシデントとして事業に影響する対応を招くおそれがある。
検証用の出典出典照合済み
NIST SP 800-115 Technical Guide to Information Security Testing and Assessment ／ NIST CSRC Glossary: red team exercise照合の根拠（8 件）
- イ（正解）・エ（誤り）: 秘密のテストは IT 部門に知らせず，上級経営層の十分な認識と許可の下で行う
Covert security testing, also known as black hat testing, takes an adversarial approach by performing testing without the knowledge of the organization’s IT staff but with the full knowledge and permission of upper management.
NIST SP 800-115 · Section 2.4.2（新しいタブで開きます） - イ（正解）・エ（誤り）: 信頼できる第三者が，試験を本物の攻撃と取り違えた対応を防ぐ
Some organizations designate a trusted third party to ensure that the target organization does not initiate response measures associated with the attack without first verifying that an attack is indeed underway (e.g., that the activity being detected does not originate from a test).
NIST SP 800-115 · Section 2.4.2（新しいタブで開きます） - イ（正解）: 秘密のテストはインシデントへの IT 部門の対応力の確認に有用
This type of test is useful for testing technical security controls, IT staff response to perceived security incidents, and staff knowledge and implementation of the organization’s security policy.
NIST SP 800-115 · Section 2.4.2（新しいタブで開きます） - イ（正解）: 特定の攻撃者を模すことも秘密のテストの形態として扱われる
If an organization’s goal is to mirror a specific adversary, this type of testing requires special considerations—such as acquiring and modeling threat data.
NIST SP 800-115 · Section 2.4.2（新しいタブで開きます） - ア（誤り）: 公然のテストは IT 部門の認識と同意の下で行い，網羅的な評価に向く
Overt security testing, also known as white hat testing, involves performing external and/or internal testing with the knowledge and consent of the organization’s IT staff, enabling comprehensive evaluation of the network or system security posture.
NIST SP 800-115 · Section 2.4.2（新しいタブで開きます） - ア（誤り）: 管理者が警戒していない秘密のテストの方が日常のセキュリティをよく示す
Overt testing is less expensive, carries less risk than covert testing, and is more frequently used—but covert testing provides a better indication of the everyday security of the target organization because system administrators will not have heightened awareness.
NIST SP 800-115 · Section 2.4.2（新しいタブで開きます） - ウ（誤り）: 脆弱性スキャンは古いソフトウェア，パッチの欠如，設定の不備などを洗い出す手法
Vulnerability scanning can help identify outdated software versions, missing patches, and misconfigurations, and validate compliance with or deviations from an organization’s security policy.
NIST SP 800-115 · Section 4.3（新しいタブで開きます） - イ（正解）: 現実の条件を反映した模擬攻撃で組織のセキュリティ能力を評価する演習
An exercise, reflecting real-world conditions, that is conducted as a simulated adversarial attempt to compromise organizational missions and/or business processes to provide a comprehensive assessment of the security capability of the information system and organization.
NIST CSRC Glossary: red team exercise · red team exercise（新しいタブで開きます）
ウ（脆弱性スキャンの件数推移）は，スキャンが既知の脆弱性の識別を目的とする点から，SOC の検知・対応能力の評価にならないことが論理的に明らか。