BASとは？【2026年版】ツール比較・導入費用・ペネトレーションテストとの違い完全ガイド

ペネトレーションテストは年1回実施しているのに、なぜ侵害は防げないのか――そう疑問を感じるCISOやIT部長は少なくないでしょう。攻撃者は365日、24時間、組織のわずかな隙を探し続けています。一方、従来の単発テストでは「その瞬間の断面」しか見えません。この時間的ギャップを埋める手段として近年注目されているのが、BAS（Breach and Attack Simulation）です。本記事では、BASの定義・仕組み・主要ツールの比較・導入費用の相場・ペネトレーションテストとの違いを、中堅企業のIT担当者・CISOが意思決定できるレベルで解説します。

BAS（Breach and Attack Simulation）とは

BAS（Breach and Attack Simulation）とは、実際の攻撃者が用いる戦術・技術・手順（TTP）をソフトウェアエージェントや仮想マシンによって自動再現し、組織の防御制御（EDR・SIEM・Firewallなど）が正しく機能しているかを継続的かつ定量的に評価するセキュリティ検証フレームワークです。

1. エージェント配置: 評価対象のネットワークセグメントにソフトウェアエージェントを設置する。
2. 攻撃シナリオ実行: クラウド上のシナリオライブラリから攻撃手順を選択し、無害化された形で再現する。
3. 防御検出率の測定: EDRやSIEMが各シナリオをどの割合で検出・ブロックできたかをスコアリングする。
4. ギャップレポート生成: 見逃された攻撃ステップと推奨改善策をダッシュボードで提示する。

MITRE ATT&CKフレームワークとの関係

MITRE ATT&CKは、実際のサイバー攻撃から体系化された戦術（Tactics）・技術（Techniques）の知識ベースです。2026年現在、Enterprise版だけで14の戦術・200以上の技術が収録されています。主要BASツールはこのATT&CKを攻撃シナリオの索引として活用しており、「T1566（フィッシング）が自社のメールゲートウェイで何件検出されたか」を技術番号単位で追跡できます。これにより、経営層への報告を「攻撃技術カバレッジ率：68%→82%に改善」という定量的な言葉で伝えられるようになります。

ペネトレーションテスト・レッドチームとの違い

BASはペネトレーションテストやレッドチームを「代替」するものではなく、年1〜2回の深掘り調査と継続的な防御体制モニタリングを組み合わせることで最大の効果を発揮します。詳しいペネトレーションテストの費用感についてはペネトレーションテスト費用ガイドも参照ください。

BASツールの主要機能と選定ポイント

① 攻撃シナリオ数・更新頻度

主要ツールのシナリオ数は2026年時点で2,000〜10,000件以上に達します。重要なのは件数よりも更新頻度です。新しいランサムウェアグループのTTPやゼロデイ悪用手法が数週間以内に追加されるかどうかを確認してください。特にCISA KEV（Known Exploited Vulnerabilities）カタログとの連動を持つツールは実際の脅威インテリジェンスとの整合性が高く評価されます。

② 対応フレームワーク

MITRE ATT&CKへの対応はほぼ必須ですが、加えてNIST CSF、CIS Controls、PCI DSSへのマッピングがあると、コンプライアンス要件への回答にも活用できます。

③ レポート品質・ダッシュボード

「検出漏れ率」「平均修復時間（MTTR）」「スコアの時系列推移」がグラフで確認できるツールは、改善活動のPDCAサイクルを回しやすくなります。

④ 既存ツールとの統合性

SIEM（Splunk、Microsoft Sentinel等）やSOARとのAPI連携が可能かどうかを確認してください。BAS単体で運用すると「BASは検出しているのにSIEMのアラートが上がらない」というケースが見落とされます。

国内外の主要BASツール比較

BAS導入費用の相場

SaaS自己運用型

• 初期費用: 導入支援・エージェント設定で50万〜100万円
• 年間ライセンス費用: エンドポイント数に応じて年間150万〜450万円
• 内部工数: 週1〜2時間程度のダッシュボード確認・四半期ごとのシナリオ見直し

マネージドサービス型

• 月額費用: 10万〜40万円
• 年間費用合計: 120万〜480万円

Webアプリケーションのセキュリティ検証コストについてはWebアプリ脆弱性診断費用ガイドも参考にしてください。

BASで防御検証できる攻撃シナリオの例

① フィッシング・メール配信（ATT&CK T1566）

実際に無害なテストファイルをメール添付またはリンク形式で送信し、メールゲートウェイ・URLフィルタリング・EDRのどの層でブロックされたかを検証します。2025年の国内インシデント調査では、フィッシングを初期侵入経路とするケースが全体の43%を占めており、最優先で検証すべきシナリオです。

② ランサムウェア横展開（ATT&CK T1486）

エンドポイント上でランサムウェアの動作を模倣したファイル操作を実行し、EDRのビヘイビアブロッキングが機能するかを確認します。SMBやWMIを使った横展開がファイアウォールやNDRで検出されるかも同時に検証します。

③ データ漏洩・Exfiltration（ATT&CK T1048）

テストデータをHTTPS・DNS・クラウドストレージ経由で外部に転送するシミュレーションを行い、DLPやプロキシのポリシーが正しく機能しているかを検証します。

④ 認証情報窃取・権限昇格（ATT&CK T1003）

MimikatzやLSASSダンプの動作をシミュレートし、EDRのメモリ保護機能が検出するかを確認します。Active Directory環境のKerberoasting検出は見落としが多いポイントです。

BAS導入の進め方・ROI計算の考え方

1. 現状ベースラインの把握: 導入前のATT&CKカバレッジ率を測定する。多くの組織で初期値は30〜50%程度です。
2. 優先シナリオの設定: 自社業界に多い脅威を中心にシナリオセットを選定する。
3. 防御ツールのチューニングサイクル確立: 月次または四半期ごとにBAS実行→ギャップ特定→ルール改善→再実行のサイクルを回す。
4. ROI計算: 国内中堅企業のランサムウェア被害平均損失は2〜5億円。BAS年間投資200万円でカバレッジが50%→80%に改善し、発生確率が20%低下すれば期待損失低減効果は4,000万円超となり、ROIは20倍以上になります。

AEVUSでは、MITRE ATT&CK対応の攻撃シナリオを活用したBASサービスを提供しており、ペネトレーションテストと組み合わせた段階的な防御体制強化を支援しています。

金融庁ガイドライン・TLPTの流れとBASの役割

BASの導入価値を語るうえで、日本の金融規制の動きは外せません。金融庁は2024年に「金融分野におけるサイバーセキュリティに関するガイドライン」を公表し、重要な金融機関に対して脅威ベースのペネトレーションテスト（TLPT）を含む高度な検証態勢を求める方向を強めています。TLPTは実際の攻撃者の戦術を模した大規模演習で、通常は年1回程度・数百万〜のコストがかかります。ここで課題になるのが「演習と演習の“あいだ”の防御状態をどう担保するか」です。BASはこの空白を継続的に埋める手段として位置づけられます。

TLPTとBASの役割分担

つまり両者は競合ではなく補完関係にあります。金融機関に限らず、経済産業省のサイバーセキュリティ経営ガイドラインや重要インフラの分野別指針でも「継続的な検証」が重視されており、TLPT／ペネトレーションテストを“点”で実施し、その間をBASで“線”として埋める運用が、規制対応と実効性の両面で合理的です。

金融機関向けのTLPTの要件や進め方については、金融機関のTLPT実施ガイドで詳しく解説しています。

BASのコストを正当化する——「検証空白期間」という考え方

BAS導入の稟議で最大の壁は「ペネトレーションテストを年1回やっているのに、なぜ追加コストが必要なのか」という問いです。これに答える鍵が検証空白期間（Validation Gap）という考え方です。

脆弱性診断やペネトレーションテストは、実施した“その時点”の防御状態しか保証しません。しかし現実の環境は日々変化します。診断の翌日から次の診断までの約360日間に、次のような変化が積み重なります。

• 新たに公表された脆弱性（CVE）への未対応
• EDR／アンチウイルスの定義更新による検知ロジックの意図しない劣化
• ファイアウォール・プロキシの設定変更による例外穴の発生
• クラウド設定・新規SaaS導入による攻撃面の拡大

この期間は「守れているつもり」でも実際には検知できない、という状態が生じ得ます。BASはこの空白を日次・週次で埋め、「昨日まで検知できていた攻撃が、今日は検知できなくなっていないか」を継続的に確認します。

費用対効果の考え方

BASの年間費用は、次の式で経営層に説明すると納得を得やすくなります。

BASの妥当性 ＝（防げた可能性のあるインシデント1件あたりの想定被害額 × 検知漏れの発生確率）− BASの年間運用コスト

重要なのは、被害額を「復旧費用」だけでなく事業停止・信用低下・報告対応の人件費まで含めて見積もることです。1件の重大インシデントがもたらす損失は、多くの場合BASの年間費用を大きく上回ります。BASは“保険”ではなく、空白期間中の検知能力を維持し続けるための“常時点検”だと位置づけると、投資判断がぶれません。

よくある質問（FAQ）

Q1. BASは小規模企業でも導入できますか？

A. 従業員100名未満の小規模企業では、まずEDRやSIEMの整備を優先し、セキュリティ基盤が整った段階でBASを検討するのが現実的です。マネージドサービス型であれば月額10万円前後から導入できるプランもあります。

Q2. BASを導入すれば脆弱性診断は不要になりますか？

A. BASと脆弱性診断は目的が異なります。BASは「既存の防御制御が攻撃を検出・ブロックできるか」を検証するものであり、個別システムの脆弱性を発見するWebアプリ脆弱性診断とは補完関係にあります。

Q3. BAS実行中に本番環境に影響はありますか？

A. 主要なBASツールはすべて無害化されたペイロードを使用しており、実際のマルウェアが実行されることはありません。初回導入時はステージング環境または業務時間外での実行を推奨します。

Q4. BASのレポートをどのように経営層に報告すればよいですか？

A. 「ATT&CKカバレッジ率（前四半期比+15ポイント）」や「検出漏れが発生している攻撃フェーズのリスク金額換算」が有効です。多くのBASツールはエグゼクティブサマリー用のPDFレポートを自動生成する機能を備えています。

Q5. ペネトレーションテストと組み合わせる場合、どちらを先に実施すべきですか？

A. まずBASで防御体制のベースラインと主要なギャップを特定し、そのギャップを重点的に深掘りする形でペネトレーションテストを実施するアプローチが費用対効果に優れています。

BAS導入プロセス：スモールスタートから本格運用まで

BASを初めて導入する企業が陥りやすいのが「全社一斉展開」による複雑化です。まずは限定的なスコープで始め、効果を検証しながら段階的に拡大する方法が現実的です。

1. フェーズ1：PoC（概念実証）— 1〜2ヶ月
   1〜2つの重要セグメント（エンドポイント層またはネットワーク境界）のみを対象に、ベンダーのトライアルライセンスで検証します。既存のEDRやSIEMがどれだけのATT&CKテクニックを検出できているかの「ベースライン」を把握することが目的です。PoCの成功基準を事前に定義する（例：「MITRE ATT&CKカバレッジ率を現状比+20%以上改善できる見込みが立つ」）ことが、投資判断の根拠になります。
2. フェーズ2：パイロット運用 — 3〜6ヶ月
   PoCで効果を確認したスコープに正式導入し、週次または月次でシナリオを実行・レポートを確認する運用サイクルを確立します。担当者がダッシュボードの読み方・検出漏れの対処方法・シナリオの追加・除外の操作に習熟する期間です。SIEMのアラートルールやEDRのポリシーの調整（チューニング）もこの段階で実施します。
3. フェーズ3：本格運用・スコープ拡大 — 6ヶ月以降
   パイロットで確立した運用サイクルを維持しながら、クラウド環境・OT/ICSネットワーク・リモートアクセス経路などへスコープを拡大します。四半期ごとに新しい脅威インテリジェンス（最新ランサムウェアグループのTTP等）を反映したシナリオを追加し、防御体制のアップデートを継続します。

BAS導入でよくある失敗事例と対策

失敗事例1：SIEMやEDRのチューニングをせずに導入する

BASを導入してスキャンを実行したところ「検出率：12%」という壊滅的な結果が出た事例があります。これはBASが問題なのではなく、既存のSIEMのアラートルールが実際の脅威の多くを検出していなかったことの「可視化」です。しかし経営層への説明が難しく、「BASを入れたら問題が発覚した」として担当者が責任を問われるケースがあります。対策：導入前に「BASはあくまで現状の防御能力の計測ツールであり、低いスコアは既存ツールの課題を発見したということ」という理解を経営層・CISOと共有しておきます。初回レポートは「課題発見レポート」として前向きに活用できる文脈を設定します。

失敗事例2：シナリオを更新しないまま運用する

導入初期に設定したシナリオを1年以上更新しないまま「毎月同じシナリオでスキャン→検出率は高い」という運用を続けた結果、最新の攻撃手法（例：2026年に急増したAI生成ルアーを使ったスピアフィッシング）への防御が確認されていなかったという事例があります。対策：四半期に1回以上、CISA KEV（Known Exploited Vulnerabilities）カタログやベンダーの脅威レポートを参照し、シナリオを更新する「シナリオレビュー会」を運用カレンダーに組み込みます。

失敗事例3：BASの結果を改善アクションにつなげない

BASのダッシュボードに「未検出のATT&CKテクニック：47件」と表示されているにもかかわらず、その情報をEDRのポリシー担当やSIEM運用チームに伝達するプロセスがなく、スコアが改善されないまま1年が経過したケースがあります。対策：BASの未検出テクニックを起点に、担当者・対応方針・期限を決めたチケット（Jira・ServiceNow等）を発行するプロセスを確立します。月次のBASレビュー会議に防御担当（EDR・SIEM管理者）を必ず参加させる体制を作ります。

BAS導入のROI試算方法

BASの費用対効果を数値で示すことは、経営層への予算申請において重要です。以下のフレームワークで試算します。

インシデント対応コストの参考値：IPA「企業の情報セキュリティ投資対効果調査」では、中堅企業のランサムウェア感染1件あたりの対応・復旧費用は平均1,500万〜5,000万円と報告されています。

BAS導入前の選定チェックリスト

要件定義フェーズ

• 現在運用しているEDR・SIEM・Firewallの製品名とバージョンを整理しているか
• BASで最優先に検証したい攻撃シナリオ（ランサムウェア・内部不正・クラウド侵害等）を定義しているか
• スコープとする環境（エンドポイント数・ネットワークセグメント数）を明確にしているか
• BASの運用担当者とその週あたりの稼働工数を確保できているか

ベンダー評価フェーズ

• MITRE ATT&CKカバレッジ率（対応テクニック数と定期更新状況）を確認したか
• 自社の既存セキュリティ製品（EDR・SIEM）との統合実績を確認したか
• 本番環境に影響を与えない「無害化保証」の仕組みを技術的に説明してもらったか
• トライアルライセンス（30〜60日）での事前検証が可能か確認したか
• 日本語サポート・日本語レポートの対応可否を確認したか
• 複数ベンダーから見積もりを取得し、シナリオ数・価格・サポート品質を比較したか

契約・導入フェーズ

• PoCの成功基準（KPI）を契約前にベンダーと合意したか
• エージェントのインストール・ネットワーク設定変更に関してIT部門の承認を得ているか
• BAS実施期間中に監視担当者（SOC・CSIRT）へ事前通知しているか（誤検知による対応混乱防止）

まとめ

• BASはMITRE ATT&CKフレームワークに基づく攻撃シナリオを自動実行し、防御制御の有効性をスコアリングする。
• ペネトレーションテスト・レッドチームとは「実施頻度」「目的」「コスト」が異なり、組み合わせることで最大の効果を発揮する。
• 主要ツールの年間費用は150万〜450万円が目安で、マネージドサービス型なら120万〜480万円。
• ROIはATT&CKカバレッジ改善による期待損失低減で試算でき、年間投資200万円に対して数千万円単位の効果が見込める。
• 導入成功の鍵は「測定する基準の設計」と「月次または四半期ごとのPDCAサイクル」にある。