implementing-attack-path-analysis-with-xm-cyber

XM Cyber を使用した攻撃経路分析の実装

概要

XM Cyber は、攻撃グラフ分析を用いる継続的なエクスポージャー管理プラットフォームです。攻撃者がエクスポージャー（脆弱性、設定ミス、ID リスク、認証情報の弱点）をどのように連鎖させ、重要なビジネス資産に到達できるかを特定します。XM Cyber が 2024 年に 1,150 万のエンティティにわたる 4,000 万件を超えるエクスポージャーを分析した調査によると、組織が抱える悪用可能なエクスポージャーは通常約 15,000 件ですが、従来の CVE が占める割合は全体の 1% 未満です。このプラットフォームは、エクスポージャーのうち、複数の攻撃経路が合流する「チョークポイント」に位置するものはわずか 2% だと特定しており、セキュリティチームは、最小限の労力で最も多くのリスクを取り除ける修正に注力できます。

使用するタイミング

• 環境に XM Cyber の攻撃経路分析機能を導入または設定する場合
• コンプライアンス要件に沿ったセキュリティ制御を確立する場合
• このドメインのセキュリティアーキテクチャを構築または改善する場合
• この実装が必要なセキュリティ評価を実施する場合

前提条件

• XM Cyber プラットフォームのライセンスとテナントへのアクセス
• 監視対象環境（オンプレミス、クラウド、ハイブリッド）へのネットワーク接続
• エージェントのデプロイまたはエージェントレス統合のための管理者アクセス
• クラウドの攻撃経路分析に必要なクラウドプロバイダーの API アクセス（AWS、Azure、GCP）
• ID ベースの攻撃経路モデリングに必要な Active Directory の読み取りアクセス
• 重要なビジネス資産を定義した CMDB または資産インベントリ

基本概念

攻撃グラフ分析

XM Cyber は、特定時点の脆弱性スキャンとは異なり、環境全体にわたるすべての攻撃経路を継続的にモデル化します。

従来のスキャン	XM Cyber の攻撃経路分析
個々の脆弱性を一覧表示	連鎖する攻撃経路をマッピング
CVSS の深刻度でスコアを付与	重要な資産への到達可能性でスコアを付与
特定時点での評価	継続的なリアルタイムモデリング
横方向の移動に関するコンテキストなし	横方向の移動チェーン全体をモデル化
各脆弱性を個別に扱う	脆弱性がどのように連鎖するかを表示

XM Cyber の調査による主な指標（2024 年）

調査結果	統計
組織あたりの平均エクスポージャー数	約 15,000
CVE ベースのエクスポージャー	全体の 1% 未満
設定ミスベースのエクスポージャー	全体の約 80%
重要なチョークポイント上のエクスポージャー	2%
攻撃者がオンプレミスからクラウドへピボットできる組織	70%
2 ホップで侵害可能なクラウドの重要資産	93%
クラウドプラットフォームにおける重要資産のエクスポージャー	56%

チョークポイントの概念

チョークポイントとは、重要な資産へとつながる複数の攻撃経路が交差する位置にある単一のエンティティ（ホスト、ID、認証情報、設定ミス）です。チョークポイントを修正すると、多数の攻撃経路を同時に排除できるため、修復作業あたりのリスク低減を最大化できます。

Attack Path 1:  Web Server -> SQL Injection -> DB Admin Creds
                                                    \
Attack Path 2:  VPN -> Stolen Creds -> File Server   -> Domain Controller
                                                    /     (Critical Asset)
Attack Path 3:  Workstation -> Mimikatz -> Cached Creds
                                    ^
                              CHOKE POINT
                     (Cached Domain Admin credential)

エクスポージャーのカテゴリ

カテゴリ	エクスポージャーの割合	例
ID と認証情報	40%	キャッシュされた認証情報、過剰な権限を持つアカウント、Kerberoast 可能な SPN
設定ミス	38%	オープン共有、弱い権限、ハードニングの不足
ネットワークエクスポージャー	12%	オープンポート、フラットネットワーク、セグメンテーションの不足
ソフトウェアの脆弱性	8%	未適用の CVE パッチ、古いソフトウェア
クラウドのエクスポージャー	2%	IAM の設定ミス、公開ストレージ、過度に許容的なロール

ワークフロー

ステップ 1：重要な資産を定義する（ビジネスコンテキスト）

Critical Asset Definition:
    Tier 1 - Crown Jewels:
        - Domain Controllers (Active Directory)
        - Database servers with PII/financial data
        - ERP systems (SAP, Oracle)
        - Certificate Authority servers
        - Backup infrastructure (Veeam, Commvault)

    Tier 2 - High Value:
        - Email servers (Exchange)
        - File servers with IP/trade secrets
        - CI/CD pipeline servers
        - Jump servers / PAM vaults

    Tier 3 - Supporting Infrastructure:
        - DNS/DHCP servers
        - Monitoring systems
        - Logging infrastructure

ステップ 2：XM Cyber センサーをデプロイする

Deployment Architecture:
    On-Premises:
        - Install XM Cyber sensor on management server
        - Configure AD integration (read-only service account)
        - Enable network discovery protocols
        - Set scanning scope (IP ranges, AD OUs)

    Cloud (AWS):
        - Deploy XM Cyber CloudConnect via CloudFormation
        - Configure IAM role with read-only permissions
        - Enable cross-account scanning for multi-account orgs

    Cloud (Azure):
        - Deploy via Azure Marketplace
        - Configure Entra ID (Azure AD) integration
        - Grant Reader role on subscriptions

    Hybrid:
        - Configure cross-environment path analysis
        - Map on-premises to cloud trust relationships
        - Enable identity correlation across environments

ステップ 3：攻撃シナリオを設定する

Scenario 1: External Attacker to Domain Admin
    Starting Point:  Internet-facing assets
    Target:          Domain Admin privileges
    Attack Techniques: Exploit public CVEs, credential theft,
                      lateral movement, privilege escalation

Scenario 2: Insider Threat to Financial Data
    Starting Point:  Any corporate workstation
    Target:          Financial database servers
    Attack Techniques: Credential harvesting, share enumeration,
                      privilege escalation, data access

Scenario 3: Cloud Account Takeover
    Starting Point:  Compromised cloud IAM user
    Target:          Production cloud infrastructure
    Attack Techniques: IAM privilege escalation, cross-account
                      pivot, storage access, compute compromise

Scenario 4: Ransomware Propagation
    Starting Point:  Phished workstation
    Target:          Maximum host compromise (lateral spread)
    Attack Techniques: Credential reuse, SMB exploitation,
                      PsExec/WMI lateral movement

ステップ 4：攻撃経路の結果を分析する

# Interpreting XM Cyber attack path analysis results
def analyze_choke_points(attack_graph_results):
    """Analyze attack graph results for priority remediation."""

    choke_points = []
    for entity in attack_graph_results.get("entities", []):
        if entity.get("is_choke_point"):
            choke_points.append({
                "entity_name": entity["name"],
                "entity_type": entity["type"],
                "attack_paths_blocked": entity["paths_through"],
                "critical_assets_protected": entity["protects_assets"],
                "remediation_complexity": entity["fix_complexity"],
                "exposure_type": entity["exposure_category"],
            })

    # Sort by impact (paths blocked * assets protected)
    choke_points.sort(
        key=lambda x: x["attack_paths_blocked"] * len(x["critical_assets_protected"]),
        reverse=True
    )

    print(f"Total choke points identified: {len(choke_points)}")
    print(f"\nTop 10 choke points for maximum risk reduction:")
    for i, cp in enumerate(choke_points[:10], 1):
        print(f"  {i}. {cp['entity_name']} ({cp['entity_type']})")
        print(f"     Paths blocked: {cp['attack_paths_blocked']}")
        print(f"     Assets protected: {len(cp['critical_assets_protected'])}")
        print(f"     Exposure type: {cp['exposure_type']}")
        print(f"     Fix complexity: {cp['remediation_complexity']}")

    return choke_points

ステップ 5：影響度に基づいて修復の優先順位を決める

Remediation Priority Matrix:

Priority 1 (Immediate - 48h):
    - Choke points on paths to Tier 1 assets
    - Identity exposures (cached Domain Admin creds)
    - Internet-facing vulnerabilities with attack paths

Priority 2 (Urgent - 7 days):
    - Choke points on paths to Tier 2 assets
    - Cloud IAM misconfigurations with privilege escalation
    - Network segmentation gaps enabling lateral movement

Priority 3 (Important - 30 days):
    - Remaining choke points
    - Misconfigurations reducing defense depth
    - Non-critical software vulnerabilities on attack paths

Priority 4 (Standard - 90 days):
    - Exposures NOT on any attack path to critical assets
    - Informational findings
    - Hardening recommendations

ベストプラクティス

1. プラットフォームをデプロイする前に重要な資産を定義します。対象のコンテキストがなければ、攻撃経路に意味はありません
2. まずボトルネックの修正に重点を置きます。露出の2%を修正するだけで、リスクの大半を排除できます
3. 攻撃経路のコンテキストを使って、ITチームに修正の緊急性を説明します（脆弱性だけでなく、攻撃の連鎖を示します）
4. 修正のたびに攻撃経路分析を再実行し、経路が確実に排除されたことを確認します
5. 分析にクラウド環境を含めます。重要な資産の露出の56%はクラウドプラットフォームに存在します
6. インフラストラクチャの変更（新しいサーバー、権限の変更）によって生じる新たな攻撃経路を監視します
7. 検出結果をチケット管理システムと連携し、修正状況の追跡を自動化します

よくある落とし穴

• 露出の80%は設定ミスに起因するにもかかわらず、CVE だけに注目する
• 重要な資産を定義せず、焦点の定まらない攻撃経路分析を行う
• ボトルネックに注目せず、すべての露出を同等に扱う
• ID ベースの攻撃経路（キャッシュされた認証情報、Kerberoastable アカウント）を無視する
• ハイブリッド環境で、オンプレミスとクラウドの攻撃経路を関連付けない
• 分析を継続的に実行せず、一度だけ実行する

関連スキル

• implementing-continuous-security-validation-with-bas
• performing-asset-criticality-scoring-for-vulns
• detecting-lateral-movement-in-network
• exploiting-active-directory-with-bloodhound