米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年8月25日（現地時間）、2つの重要インフラ組織に対して同時に実施したレッドチーム評価の結果を、アドバイザリ「A Tale of Two SOCs: Insights From Two Red Team Assessments」（AA26-237A）として公開した。レッドチーム評価は、対象組織の依頼に基づき、攻撃者の手口を模倣して組織の検知や対応の能力を評価する取り組みだ。
同じ手口で正反対の結果に
CISAは、政府サービス、施設セクターの「組織A」と上下水道システムセクターの「組織B」に対して、同じ手口で評価を実施した。組織AのSOC（セキュリティオペレーションセンター）は、複数のワークステーションへの初期侵入からドメイン全体の権限奪取、横展開に至るまで、これを攻撃として認識できなかった。一方の組織BのSOCは初期侵入の段階でアラートを調査し、該当端末を隔離してレッドチームの足場を断っている。
ただし、両組織ともドメインレベルでは完全に侵入され、平文の認証情報や過剰な権限といった技術的な弱点も共通して見つかった。差が出たのは、侵入を防げたかどうかではなく、気付いて手を打てたかどうかだ。では、その差はどこから生まれたのか。
2つのSOCの明暗を分けたもの
CISAが教訓として総括したのは、検知ツールの効果は、それを支える人、プロセス、手順の質を超えられないという点だ。
組織Aでは、レッドチームが4代のワークステーションへの初期侵入後、ドメインの権限を奪い、重要業務システムやクラウド資源にまで到達した。レッドチームはSOC要員のメールやチャットを閲覧し、防御側が侵入に気付いているかどうかを確認しながら活動を続けたという。
CISAによると、組織AのSOCはレッドチームの活動に関連する中、低深刻度のアラートを受信していたが、対応に至らなかった。CISAが挙げた要因は次の3点だ。
- アラートの過剰：通常業務に由来する誤検知が数千件規模で発生していた。その多くはレッドチームの活動によるアラートより高い深刻度で表示され、本体のアラートが埋もれていた
- 組織の分断：複数のSOCと複数のEDR（エンドポイント検知、対応）製品が並立し、SOC間で検知ツールの可視性が共有されていなかった。SOC要員とシステム所有者の間にも連絡がなかった
- 手順と権限の不備：レッドチームは、SOC要員にアラートをエスカレーションする基準手順がなく、自ら対処する権限も限られていたことが背景にあるとみている
象徴的な例もある。あるサーバでレッドチームの活動に関連するアラートが上がったものの、防御側はそのシステムの所有者や用途を特定できなかった。最終的にこのアラートは誤検知として処理された。
組織Bの対応と両組織に共通する課題
一方の組織Bは、フィッシングで侵入された3代のワークステーションをそれぞれ10分、2分、20分で隔離し、レッドチームの指揮通信を断った。足場を失ったレッドチームは、侵入を受けた状態を前提に組織内から評価を続ける「侵入済み前提（assume breach）」のモデルに移行している。その後もOT（制御技術）ネットワークとの境界に置かれた踏み台サーバへの侵入などがSOCに検知され、該当端末は隔離された。
ただしCISAは、組織Bを単純な成功事例としては扱っていない。両組織ともドメインは完全に侵入され、クラウド環境では過剰なアプリケーション権限や、侵入後にアクセストークンを失効させる手順の欠如といった共通の問題が確認された。組織Aでは有効期限のないクラウド認証情報も見つかっている。
CISAは組織が取り組むべき方向性として、ベースラインの確立とアラートノイズの削減、組織の縦割りと手続き上の障壁の排除、防御担当者への権限付与、クラウド環境への統制の適用を挙げた。
誤検知の抑制はチューニングと運用設計、縦割りの解消は組織設計、アラートの所有者が分からない事態は資産管理の問題だ。いずれも製品の入れ替えでは解決しない。外部のMSSP（マネージドセキュリティサービスプロバイダー）にSOC機能を委託する企業にとっても、可視性の共有や対応権限の設計は自社側の論点になる。同じ攻撃を受けても、体勢次第で結果は正反対になり得る。
