MDR 顧客による侵入テスト実施に関する期待事項ポリシー

目的

このポリシーは、顧客主導で実施される侵入テスト (人間主導のよるものと自動化されたものの両方) に対して Sophos Managed Detection and Response（MDR）サービスがどのように対応するかについての期待事項を定めるとともに、連絡、実施頻度、および連携に関する双方の責任を明確にするものです。

明確な期待事項を定めることで、認識のずれによる誤解を防ぎ、不必要なエスカレーションを最小限に抑えるとともに、テストプロセス全体を通じて、顧客、パートナー、および社内チームの間で明確性と信頼を維持します。

MDR サービス概要との関係

このポリシーは、スタンドアロンのMDRポリシー文書として運運用することを意図しており、MDR サービス概要で参照されます。

1.通知およびコミュニケーション

人間主導の侵入テストや自動侵入テストでは事前通知は不要です。MDR の検知、対応、およびインシデント管理機能を十分に評価できるよう、現実的で予告のないシナリオによるテストを歓迎します。

事前の通知は必須ではありませんが、テストが検出されたら、お客様は迅速な確認とコラボレーションを提供し、アクティビティが正しく識別され、管理されていることを確認する必要があります。

このポリシーは、MDR検出および対応能力を評価することを目的とした侵入テスト活動に適用されます。継続的または MDR に焦点を当てていないテスト (継続的な BAS または EDR の検証など) は、セクション 6 の追加の調整要件の対象となります。

2.コラボレーション

侵入テストの実施中に、正確な検知、迅速な対応、および運用への影響の最小化を確保するためには、お客様と Sophos MDR チームとの効果的な連携が不可欠です。

また、効果的な連携は有意義な改善の基盤にもなります。この演習を実際の脅威であるかのように扱い、現実的な攻撃者の行動や実環境に即したコミュニケーションパターンを再現しながら共同で取り組むことで、両者はプロセスを正確に検証し、ギャップを特定するとともに、今後の検知、対応、および連携を強化するための具体的な改善策に合意できます。

Sophos MDRチームは、侵入テスト中に以下の作業を行います。

• 実際の脅威に対して適用されるものと同じワークフローおよびプレイブックを使用して、不審な悪意のあるアクティビティを検知、調査、および対応します。
• この標準ワークフローの一環として、お客様が設定した脅威対応モードで定義されたエスカレーションポリシーと連絡先の詳細に従って、お客様にエスカレーションします。

• お客様がアクティビティが許可された侵入テストであることを確認した後、Sophos MDRチームは次の作業を行います。

  • 当該のテストアクティビティに関連する通常の調査、脅威対応、追加の封じ込め措置、および復旧対応を停止します。
  • 関連するケースと基盤となる検出を侵入テストアクティビティとして分類し、タグ付けします。
  • 別の無関係な脅威が特定されない限り、当該テスト期間中は追加のお客様連絡やエスカレーションを行うことなく、その後発生するテスト関連警告を継続的に検知し、同一 (または関連する) ケースに関連付けて可視化します。

お客様には、テストのライフサイクルを通じて迅速かつ明確なコミュニケーションを維持することが求められます。本ポリシーにおいて、迅速なコミュニケーションとは以下を指します。

• 電話または音声通話で連絡を受けた場合は、直ちに電話で確認すること。
• 初回の連絡がメールまたはその他の非同期チャネルで行われた場合は、1時間以内に応答すること。

お客様には、以下の対応が求められます。

• MDR チームからの要求に応じて、観察されたアクティビティが許可された侵入テストであることを確認します。
• テストが終了したら MDR チームに通知し、関連する検出を適切に閉じ、行動ベースラインを正規化できるようにします。
• 分析上のギャップが特定された場合は、MDR チームがアクティビティを正確に分類し解決できるよう、評価レポート、使用したツール、ペイロードサンプルなどの関連資料を提供します。

この連携アプローチにより、Sophos MDRチームは、最初はアクティビティが実際の脅威であるかのように行動し、確認後はペネトレーションテスト処理モードに安全に移行できるため、両者にとって現実的な評価と運用効率の両方が促進されます。

このサブポリシーを遵守していないお客様は、非遵守状態とみなされます。付録を参照してください。

3.実施頻度に関する要件

お客様は、12 か月間に 2 回を超えて侵入テストシミュレーションを実施しないことが求められます。

この頻度を超える追加の侵入テストを検出し、そのアクティビティがテスト関連であるという高い確信を持てば、これらは次のように扱われます

• テストアクティビティとして分類され、ソフォスのシステムで検出され、認識されます。
• 標準の SLA の対象外として処理されます。つまり、通常の対応、トリアージ、またはエスカレーションのワークフローは実施されません。

これらの実施頻度に関する要件は、MDR の評価を目的として実施される個別の侵入テストに適用されます。セクション 6 で説明されているように、適切に調整された継続的テストおよび MDR を主目的としないテストは、この回数制限の対象外ですが、チューニングまたは抑制の対象となる可能性があり、標準の MDR SLA では処理されません。

このサブポリシーを遵守していないお客様は、非遵守状態とみなされます。付録を参照してください。

4。テストの最小間隔および期間

侵入テストは、各テストの実施間隔を少なくとも 3 か月以上空けて実施する必要があります。この頻度により、各評価の間に、修復対応、チューニング、および継続的な改善を行うための十分な時間を確保できます。

また、1 回のテスト実施期間は、連続 5 日間を超えないものとします。この期間を超える長期のテストは、検知の明確性の低下、警告の疲労、および運用の中断につながる可能性があります。

このサブポリシーを遵守していないお客様は、非遵守状態とみなされます。付録を参照してください。

5.侵入テストの品質と現実性

侵入テストは、現実的な攻撃シナリオのシミュレーションを目指す必要があります。

テストにおいて、デフォルトの管理者権限や人為的に単純化された侵入手法に依存するのではなく、初期アクセスの獲得、権限昇格、ラテラルムーブメントなど、実際の攻撃者の行動を模擬することが期待されます。

このアプローチにより、MDR サービスは実環境における検知および対応の有効性を適切に評価できます。

お客様の環境内に既存の脆弱性が存在すると、侵入テストの結果に大きく影響し、MDRの対応に影響を与える可能性があります。

このサブポリシーを遵守していないお客様は、非遵守状態とみなされます。付録を参照してください。

検知およびケース生成に関する留意事項

Sophos MDR は、MDR の検知、相関分析、重要度、および調査のしきい値を満たすセキュリティアクティビティを特定し、調査および対応するよう設計されています。お客様は、侵入テストのすべてのアクティビティがケース、エスカレーション、またはアナリスト主導の調査につながると想定しないでください。

MDR ケースが生成されない可能性があるアクティビティの例として、以下が挙げられます (ただし、これらに限定されません）。

• 基本ポートスキャンまたはサービス列挙
• 少量または影響の小さい偵察活動
• 検出またはエスカレーションのしきい値を満たさない特定のブルートフォース試行、
• 関連するエクスプロイト活動を伴わない脆弱性スキャン
• 正常または想定内の管理者アクティビティ
• ブロックされたツール実行、重大度の低いツール実行、または悪意のある十分なコンテキストを欠く単独のツール実行

6.継続的テストおよび MDR を主目的としないテスト

一部のお客様は、Sophos MDR の評価を主な目的とせず、自社のインフラストラクチャ、エンドポイント保護、セキュリティ強化、より広範な IT 環境の検証に重点を置いた継続的または高頻度なテスト作業の実施を希望する場合もあります。

本ポリシーにおいて、継続的テストおよび MDR を主目的としないテストには、以下が含まれますが、これらに限定されません。

• BAS (Breach and Attack Simulation) プラットフォームの継続的または定期的な利用
• 定期的に実行されるよう構成された自動化レッドチームツールまたはパープルチームツール
• EDR/AV の構成と制御の反復的または継続的なテスト
• 繰り返し検出または予測可能な検出を生成する高頻度の社内セキュリティ検証演習

これらのアクティビティは、セクション 2～5 で説明した、お客様主導の侵入テストとは異なります。後者は、MDR の検知、対応、およびインシデント管理能力を評価することを明確な目的としています。

6.1 通知要件

継続的または自動化されたテストは、長期間にわたって大量のセキュリティテレメトリを生成する可能性があるため、MDR で確認可能な警告を発生させる可能性のある継続的テストまたは MDR を主目的としないテストを実施する場合は、事前通知が必要です。

お客様には、以下の対応が求められます。

• 当該テストを有効化する、または大幅に変更する前に、合理的な期間の事前通知 (例: 少なくとも 5営業日前まで) を行う。
• 使用するツール、手法、および想定される挙動についての概要を共有する (例: ツール名、おおよその実行スケジュールや頻度、一般的な警告パターン、主な対象)。
• MDR の対応対象外とするアクティビティを明確にする (例: ツールで使用する特定のテストアカウント、ホスト、ドメイン)。

この通知により、Sophos MDR は次のことが可能になります。

• 既知のテストアクティビティの不要な調査を避けるために、適切なチューニング、タグ付け、または抑制をを実施する。
• MDR の対応能力を維持し、実際の脅威への対応に集中する。
• テストにより継続的に生成されるアクティビティによって発生する警告の疲労や感度低下のリスクを軽減する。

6.2 侵入テスト実施制限との関係

継続的テストまたは MDR を主目的としないテストについて、事前に適切な調整が行われ、かつその旨が明確に識別されている場合は、以下が適用されます。

• これらのアクティビティは、セクション 3 で説明したペネトレーションテストの実施頻度制限には含まれません。
• セクション 4 で定めるテスト間隔および実施期間に関する要件は適用されません。

ただし、Sophos MDR は、継続的テストまたは MDR を主目的としないテストであることが明示的に合意されたアクティビティについて、標準 SLA や完全な調査ワークフローを提供することを約束するものではありません。これらのアクティビティは、チューニング、タグ付け、または抑制の対象となる場合があります。

6.3 非協調連続テスト

継続的または高頻度のテストが事前調整なしに導入され、その結果として Sophos MDR から継続的または反復的な警告が確認される場合は、以下の対応が行われることがあります。

• 当該アクティビティは、本ポリシーに基づき非準拠と分類され、別表に従って処理されます。
• 運用効率を維持するため、当該アクティビティに関連する検知およびケース生成は、抑制、優先度引き下げ、または標準 MDR SLA の対象外となる場合があります。
• お客様には通知が行われ、セクション 6.1 に従ってテストを調整するか、テストの範囲、頻度、または構成を見直すよう求められます。

このアプローチにより、お客様は継続的な検証やツール主導のテストのメリットを享受しながら、Sophos MDR は実際の脅威への対応に集中し、本番環境に対して高品質かつ信頼性の高い検知および対応を維持できます。

付録：非準拠の場合の処理

MDR サービスの枠組みの中で、非準拠の侵入テストアクティビティがどのように管理されるかの概要を以下に示します。

A.非準拠の判定

お客様が本書で定義されるいずれかのサブポリシーを遵守していない場合、非準拠と判断されることがあります。具体的には、非準拠には次のものが含まれます (ただし、これらに限定されません)。

• 許容頻度の超過：12か月間の期間内に、お客様主導の侵入テストを 2回を超えて実施。
• 間隔または期間の要件に違反した場合：3か月未満の間隔でテストを開始した場合、または継続期間が 5日を超える契約を実行した場合。
• 品質および現実性に関する要件を満たしていないこと：セクション 5 で定める現実性に関する要件に準拠していないテストを実施すること。
• お客様による十分な連携の欠如：MDR チームから求められた際にテスト活動の確認を行わない、テスト終了を通知しない、または正確な分析に必要な合理的な証跡資料を提供しないこと。
• 事前調整なしでの継続的または高頻度のテスト運用：セクション 6 で定める事前調整を行わず、MDR で継続的に確認可能なアラートを生成するテストを実施すること。

B.初回通知

非準拠の活動が確認された場合：

• MDR チームは、お客様の指定連絡先に対し、非準拠の内容を説明するとともに、当該アクティビティの確認および本ポリシーへの再準拠に向けた対応計画の提出を求めます。
• MDR チームが指定されたすべての連絡先に対して 2 回にわたり連絡を試みても応答または確認が得られない場合、そのアクティビティは未確認のテスト行動として扱われ、一時的な抑制措置が適用されます

C.一時的な抑制措置

非準拠状態にある場合：

• 運用効率を維持するため、反復的なテスト活動に関連する検知およびケース生成は抑制されるか、優先順位が引き下げられる場合があります。
• 非準拠テストの一環として識別された検知については、標準 SLA は適用されません。

D.準拠状態への復帰

準拠状態へ復帰するために、お客様は次の対応を行う必要があります。

• 調整されていない、または過度なテスト活動をすべて停止する。
• 非準拠であったことを認識し、是正措置を実施することを確認する。
• 新しい侵入テストを再開する前に、少なくとも 3 か月待機する。

準拠が確認された後は、MDR の通常の検知、対応、および SLA プロセスが再開されます。

E.エスカレーション済み

これらの要件を継続的に無視した場合、以下の措置が講じられることがあります。

• MDR サービス利用条件違反に関する正式通知の発行
• 検知またはケース対応に関連する MDR サービスの利用制限または停止
• アカウント管理部門へのエスカレーション、または契約内容の見直し。

サマリー表：侵入テストに関する準拠要件