要約
ペネトレーションテスト（侵入テスト）とは、実際のサイバー攻撃をシミュレートし、悪意のある攻撃者に悪用される前にセキュリティの脆弱性を発見するための、体系的かつ倫理的なハッキング演習です。ペネトレーションテストを成功させるには、「事前準備」、「実施」、「事後作業」という3つのステージを経る必要があります。フィッシング、ブルートフォース、サービス妨害（DDoS）などの攻撃ベクトルに対して、複数の手法（ブラックボックス、ホワイトボックス、グレーボックスなど）を用いることができます。組織は、リスクプロファイル、予算、規制要件に基づいてテストを計画する必要があります。また、セキュリティの全体像を把握するために、Webアプリケーションファイアウォール（WAF）を常にスコープに含める必要があります。
ペネトレーションテストとは？
ペネトレーションテストは、倫理的ハッキングの一形態です。プロセスが完了すると、計画の弱点を特定できます。レポートは、本物のハッカーに発見される前に、脆弱性にパッチを適用するのに役立ちます。
ハッキングが成功裡に終わったときには、会社のセキュリティシステムについて多くのことがわかるでしょう。どこにギャップがあるか、従業員がどのように貢献または妨害したか、そして問題を見つけるのにどれくらい時間がかかったかを理解できます。
しかし、ハッキングの終わりに、あなたは何かを失いました。ハッカーから制御を取り戻すために、身代金を支払わざるを得なかったかもしれません。そして、顧客からの信頼も失う可能性があります。
何も失うことなく学べるとしたらどうでしょうか？
なぜペネトレーションテストは、現在、業界を問わず広く行われているのでしょうか？
かつてペネトレーションテストは、規制の厳しい業界に特有のものでした。政府機関、公益事業、金融機関などに勤務している場合、規制を遵守するために事前テストを実施していました。しかし現在では、サイバー攻撃の脅威がほぼすべての市場セクターに及んでいるため、多くの企業がこのようなテストを実施しています。
ペネトレーションテストの段階とは、どのようなものですか？
ハッカーは、ほとんど準備や計画なしに攻撃を開始できます。ペンテストは異なります。プロジェクトは、十分な連携と対話を行いながら、予測可能な一連のステップで進める必要があります。
Payment Card Industry（PCI）Security Standards Councilは、ペネトレーションテストにおける3つの重要な段階を定めています：
- 事前契約
- エンゲージメント
- エンゲージメント後
それらを一つずつ見ていきましょう。
エンゲージメント前段階では何が行われますか？
社内チームを使用する場合でも、コンサルタントを雇う場合でも、作業を開始する前に話し合いが必要です。議論する内容：
- スコープ。テストに含める必要のあるコンポーネントは何ですか？
- ドキュメント。将来の研究のために、作業はどのように記録されますか？
- ルール。作業はいつ開始および終了する必要がありますか？ハッカーは停止するまでにどこまで深く掘り下げるべきですか？機密データが表示されますか？
会話は、カバーする必要のあるすべての側面に応じて、短くすることも長くすることもできます。プロジェクトが進むにつれてこの合意を参照するため、誰かが詳細なメモを取るようにしてください。
エンゲージメントステージでは何が行われますか？
この段階で、チームはシステムの詳細を掘り下げ、脆弱性を探し始めます。
専門家が説明するように、ペネトレーションテストはすべてを網羅するものではありません。プロセス中に表面化しない脆弱性が存在する可能性があります。ただし、ハッキングチームはここで防御を突破するために全力を尽くす必要があります。ハッカーが検知されることなくサーバーのどこまで侵入できるかを判断することが目的です。
侵入テストチームは通常、以下を調査します。
- アプリケーションレイヤー。
- ネットワーク層。
- セグメンテーション。
機密データが漏洩した場合、チームは直ちに通知する必要があります。また、チームがテスト中に破損または変更したものはすべて、作業が完了したらクリーンアップする必要があります。
エンゲージメント後の段階では何が起こりますか？
テストの最後に、詳細な分析のためのレポートを用意する必要があります。それをフィードバックとして使用して、セキュリティシステムの変更を導いてください。
受け取るフィードバックは、悪用された脆弱性に関するものである必要があります。つまり、ハッカーがシステムに関して発見した巧妙な手口や興味深い事柄について報告を受けても、それは役に立ちません。レポートに記載されている内容はすべて、実用的かつ有用でなければなりません。
ペネトレーションテスト（侵入テスト）では、どのような攻撃ベクトルが対象になりますか？
ハッキングチームは、作業の進行に合わせて、セキュリティシステムのほぼすべての部分を調査できます。しかし、International Council of E-Commerce Consultants（EC-Council）は、そのほとんどがわずか7種類の攻撃ベクトルに集中していると述べています。
- クロスサイトスクリプティング：ハッカーがユーザーになりすまして、ウェブベースのアプリケーションのセキュリティをテストします。
- ブルートフォースアタック：ハッカーがアクセスを試みるために、何百、何千ものユーザー名/パスワードの組み合わせを試します。
- バックドアシェル攻撃：ハッカーはマルウェアを使用して、侵入を試みます（本来は許可されていない人物であるにもかかわらず）。
- 中間者攻撃：ハッカーは、サーバーのトラフィックへのアクセスを試み、パケットが配信される前に変更します。
- バッファオーバーフロー攻撃: チームはバッファに大量のデータを送り込み、バッファを破綻させ、ハッカーがメモリにアクセスできるようにします。
- フィッシング攻撃：ハッカーは、従業員やユーザーを誘惑して機密データを渡させようとします。これは、アクセス権を取得するために使用される可能性があります。
- 分散型サービス拒否（DDoS）攻撃: ハッカーはサーバーに大量のリクエストを送り込み、正当なリクエストに応答できなくさせます。
これらのハッキングは、何十万ドルもの損害を引き起こす可能性があります。侵入テスト中にそれらを見つければ、会社のお金と手間を省くことができます。
ペネトレーションテストはどのくらいの頻度で実施すべきですか？
まったく同じシステムが2つとないように、侵入テストのスケジュールもまったく同じものはありません。貴社の特定の目標や規制環境に合わせて、スケジュールをカスタマイズする必要があります。
政府または地域の規制により、定められたスケジュールでのテストが義務付けられていない場合は、以下を考慮してスケジュールを作成してください：
- リスクほとんどの人が欲しがるような非常に魅力的なデータをお持ちですか？あなたの会社は、価値の高いターゲットだと思いますか？
- Coverage.あなたの会社は何らかの理由で地元のニュースに取り上げられましたか？何か物議を醸すようなことに関わっていますか？
- タイプオープンソースソフトウェアを使用していますか？または、最近インフラストラクチャに大きな変更を加えましたか？
予算はペネトレーションテストの実施頻度にどのように影響しますか？
予算も確認してください。ペンテストは、特にチームが直ちに修正しなければならない重大な問題を発見した場合、高額になる可能性があります。予算が非常に少ない場合は、予算を超えないように、テストの間隔を広げる必要があるかもしれません。
最も一般的なペネトレーションテストツールとは何ですか？
ほとんどのペンテストチームは、作業を強化するためにプログラムを使用しています。これにより、チームは多くの時間をコードの作成に費やすことなく、脆弱性を見つけることができます。
よく知られているテストツールには以下が含まれます。
どのチームにもお気に入りのプログラムがあるように、ブロガーにもお気に入りのプログラムがあります。無料のものもあるため、ご自身のシステムや専門知識に合うものが見つかるまで、いろいろと試してみることをお勧めします。
政府またはエンタープライズ向けの専用ツールはありますか？
政府部門で働いている場合は、公的機関が開発したツールを利用できる可能性があります。例えば、米国内務省の最高情報責任者室はペネトレーションテストを実施しています。
一部の企業は、サービスとしてのペンテストソフトウェアも提供しています。彼らと契約して、彼らはあなたの仕事をエンドツーエンドで処理します。
利用できるペネトレーションテストの戦略と方法には、どのようなものがありますか？
ペンテストの計画段階で、重要な決定に直面します。テストチームとはどのような関係を築くべきですか？そして、彼らは始める前にどれくらいのことを知っておくべきでしょうか？方法を選択して、この質問に答えてください。
EC-Councilは、次のペネトレーションテストの種類を認定しています。
| メソッド | Description |
|---|---|
| ブラックボックス | テスト担当者は、作業開始前にはシステムに関する情報を一切持たない状態で、リアルタイムの攻撃を忠実にシミュレートします。 |
| ホワイトボックス | テスターは、インフラストラクチャやプロトコルなど、お客様のシステムに関するあらゆる情報を把握しています。 |
| グレーボックス | テスターは作業開始前に、システムについてある程度の知識は持っていますが、すべてを把握しているわけではありません。 |
| ターゲットを絞った | 貴社の情報技術（IT）チームと指定されたテスターが連携し、システムの一部のみを検証します。 |
| 外部 | テストの対象には、表示されているサーバーまたは資産のみが含まれます。 |
| 内部 | このテストには、承認されたユーザーがアクセスできる項目のみが含まれます。 |
貴社に最適な方法を見つけ、ペンテストを実施するたびに同じシステムを使用することがあります。しかし、現在のリスクに基づいて方法を切り替えるのは理にかなっています。
Webアプリケーションファイアウォールにペネトレーションテストはどのように適用されますか？
顧客にサービスを提供するためにアプリを設計し、デジタルファイアウォールで保護したデータ上で実行します。ペンテストはここにも拡張する必要がありますか？
WAFをペネトレーションテストの対象に含めるべきですか？
Webアプリケーションファイアウォール（WAF）は堅牢なセキュリティを提供しますが、調査によると、約65％の企業がWAFを完全に回避する攻撃を受けています。
テストからWAFを削除すると、重大なセキュリティ問題を見逃す可能性があります。ただし、この問題には慎重に取り組む必要があります。
WAFテストにはどのようにアプローチすべきでしょうか？
特定の種類の侵入テストを実行するために、ベンダーはWAFをオフにするように依頼する場合があります。このようなシミュレーションは、システムがダウンした場合や、不満を持つ内部関係者がいる場合に、アプリ自体がハッキングに対して脆弱であるかどうかを理解するのに役立ちます。
ただし、ベンダーにWAFも確認してもらい、設計どおりに機能し、バイパスが困難な保護を提供していることを確認する必要があります。
このような複数のペンテストを行うことで、アプリのセキュリティ環境全体を把握でき、それはユーザーにとって非常に重要になる可能性があります。
Oktaで必要なサポートを受けられます
当社のソリューションは、効果的なペンテストを準備するのに役立ちます。また、プロセスを経て、多くのギャップを埋める必要があることに気付いた場合でも、当社がお手伝いします。
当社のソリューションの仕組みと、それがお客様にどのように役立つかについて、詳しくご説明させていただきます。
よくある質問（FAQ）
ブラックボックス侵入テストとホワイトボックス侵入テストの違いは何ですか？
ブラックボックステストでは、テスターはシステムに関する予備知識を持たず、テストは実際の攻撃を忠実に模倣したものになります。ホワイトボックステストでは、テスターがインフラストラクチャとプロトコルを完全に可視化できるため、より徹底的かつ的を絞った調査が可能になります。
企業はどのくらいの頻度でペネトレーションテストを実施すべきですか？
画一的なスケジュールというものはなく、頻度はリスクプロファイル、高価値データの取り扱いの有無、最近のインフラストラクチャの変更、規制環境によって決まります。予算の制約により、テストの間隔を広げる必要が生じる場合もあります。
ペネトレーションテストと脆弱性スキャンは同じものですか？
いいえ。ペネトレーションテストは網羅的なものではなく、完全な脆弱性スキャンとは異なります。ペネトレーションテストの目的は、システムに存在する可能性のあるすべての脆弱性をリストアップすることではなく、シミュレーションされた攻撃者が防御をどこまで突破できるかを判断することです。
Webアプリケーションファイアウォール（WAF）はペネトレーションテストの対象に含めるべきでしょうか？
はい。調査によると、約65％の企業が、自社のWebアプリケーションファイアウォール（WAF）を完全にバイパスする攻撃を経験しています。WAFを有効にした場合と無効にした場合の両方でテストすることで、アプリケーションのセキュリティ態勢の全体像を把握できます。
ペネトレーションテスト実施後のレポートに含めるべき内容とは？
このレポートでは、悪用された脆弱性、つまり、適用可能かつ実用的な調査結果のみに焦点を当てる必要があります。興味深いものの悪用できない発見に関するレポートは、有用ではないと見なされ、除外されるべきです。
ペネトレーションテストでテストされる最も一般的な攻撃ベクトルは何ですか？
一般的な攻撃ベクトルには、クロスサイトスクリプティング、ブルートフォース攻撃、バックドアシェル攻撃、中間者攻撃、バッファオーバーフロー攻撃、フィッシング、分散型サービス妨害（DDoS）攻撃などがあります。
参考文献
効果的なペネトレーションテストプログラムの実施に関するガイド。（2017年4月、CREST。
PCIデータセキュリティスタンダード（PCI DSS）、バージョン1.1。（2017年9月）。（PCI Security Standards Council）
ITセキュリティ手順ガイド：侵入テスト演習の実施。（2020年7月、GSA。
ペネトレーションテストプログラムを成功させるための10のヒント。(2010年11月).CSO）
ペネトレーションテストとは？EC-Council）
なぜ、いつ、どのくらいの頻度でペンテストを実施すべきか？ (2018年8月)Security Intelligence.
ペネトレーションテストのスケジュール頻度は？（2017年1月）。IT Governance。
Home.Hashcat。
Home.Kali。
Home.Metasploit。
Home.NMap
ペネトレーションテスト。米国、内務省。
The State of Web Application Firewalls。(2019年7月)Ponemon Sullivan Privacy Report。
ペンテストの段階
ハッカーは、ほとんど準備や計画なしに攻撃を開始できます。ペンテストは異なります。プロジェクトは、十分な連携と対話を行いながら、予測可能な一連のステップで進める必要があります。
PCIセキュリティ標準協議会は、3つの重要なペンテスト段階を認識しています。
- 事前契約
- エンゲージメント
- エンゲージメント後
それらを一つずつ見ていきましょう。
事前エンゲージメント
社内チームを使用する場合でも、コンサルタントを雇う場合でも、作業を開始する前に話し合いが必要です。議論する内容：
- スコープ。テストに含める必要のあるコンポーネントは何ですか？
- ドキュメント。将来の研究のために、作業はどのように記録されますか？
- ルール。作業はいつ開始および終了する必要がありますか？ハッカーは停止するまでにどこまで深く掘り下げるべきですか？機密データが表示されますか？
会話は、カバーする必要のあるすべての側面に応じて、短くすることも長くすることもできます。プロジェクトが進むにつれてこの合意を参照するため、誰かが詳細なメモを取るようにしてください。
関与度
この段階で、チームはシステムの詳細を掘り下げ、脆弱性を探し始めます。
専門家が説明するように、ペンテストは網羅的なものではありません。プロセス中に発生しない脆弱性が存在する可能性があります。しかし、ハッキングチームは防御を突破するために、ここで懸命に努力する必要があります。目標は、ハッカーが検知されずにサーバーにどこまで侵入できるかを判断することです。
侵入テストチームは通常、以下を調査します。
- アプリケーションレイヤー。
- ネットワーク層。
- セグメンテーション。
機密データが漏洩した場合、チームは直ちに通知する必要があります。また、チームがテスト中に破損または変更したものはすべて、作業が完了したらクリーンアップする必要があります。
エンゲージメント後
テストの最後に、詳細な分析のためのレポートを用意する必要があります。それをフィードバックとして使用して、セキュリティシステムの変更を導いてください。
得られるフィードバックは、悪用された脆弱性に関するものである必要があります。言い換えれば、ハッカーがあなたのシステムについて発見した巧妙または興味深いことについてレポートを入手することは役に立ちません。レポートのすべての内容は、適用可能であり、使用可能である必要があります。
ペンテストにおける一般的な攻撃ベクトル
ハッキングチームは、作業が進むにつれて、セキュリティシステムのほとんどすべての部分をつつく可能性があります。ただし、EC-Councilは、ほとんどが7つの異なる攻撃ベクトルに焦点を当てていることを示唆しています。
- クロスサイトスクリプティング：ハッカーがユーザーになりすまして、ウェブベースのアプリケーションのセキュリティをテストします。
- ブルートフォースアタック：ハッカーがアクセスを試みるために、何百、何千ものユーザー名/パスワードの組み合わせを試します。
- バックドアシェル攻撃：ハッカーはマルウェアを使用して、侵入を試みます（本来は許可されていない人物であるにもかかわらず）。
- 中間者攻撃：ハッカーは、サーバーのトラフィックへのアクセスを試み、パケットが配信される前に変更します。
- バッファオーバーフロー攻撃: チームはバッファに大量のデータを送り込み、バッファを破綻させ、ハッカーがメモリにアクセスできるようにします。
- フィッシング攻撃：ハッカーは、従業員やユーザーを誘惑して機密データを渡させようとします。これは、アクセス権を取得するために使用される可能性があります。
- 分散型サービス拒否（DDoS）攻撃: ハッカーはサーバーに大量のリクエストを送り込み、正当なリクエストに応答できなくさせます。
これらのハッキングは、何十万ドルもの損害を引き起こす可能性があります。侵入テスト中にそれらを見つければ、会社のお金と手間を省くことができます。
ペンテストのスケジュールを設定する
システムが同じものがないように、2つのペンテストスケジュールも同じではありません。あなたのスケジュールは、会社の特定の目標と規制環境に合わせてカスタマイズする必要があります。
政府または地方自治体の義務により、定められたスケジュールでテストを実施する必要がない場合は、スケジュールを作成し、以下を検討してください。
- リスクほとんどの人が欲しがるような非常に魅力的なデータをお持ちですか？あなたの会社は、価値の高いターゲットだと思いますか？
- Coverage.あなたの会社は何らかの理由で地元のニュースに取り上げられましたか？何か物議を醸すようなことに関わっていますか？
- タイプオープンソースソフトウェアを使用していますか？または、最近インフラストラクチャに大きな変更を加えましたか？
予算も確認してください。ペンテストは、特にチームが直ちに修正しなければならない重大な問題を発見した場合、高額になる可能性があります。予算が非常に少ない場合は、予算を超えないように、テストの間隔を広げる必要があるかもしれません。
一般的なペンテストツール
ほとんどのペンテストチームは、作業を強化するためにプログラムを使用しています。これにより、チームは多くの時間をコードの作成に費やすことなく、脆弱性を見つけることができます。
よく知られているテストツールには以下が含まれます。
すべてのチームがお気に入りのプログラムを持っており、一部のブロガーも同様です。無料のものもあるので、システムと専門知識に適したものがみつかるまで、組み合わせて試してみる価値があります。
政府部門で働いている場合は、政府機関が開発したツールを使用できる場合があります。たとえば、内務省の最高情報責任者室はペンテストを実施しています。
一部の企業は、サービスとしてのペンテストソフトウェアも提供しています。彼らと契約して、彼らはあなたの仕事をエンドツーエンドで処理します。
テスト戦略と方法
ペンテストの計画段階で、重要な決定に直面します。テストチームとはどのような関係を築くべきですか？そして、彼らは始める前にどれくらいのことを知っておくべきでしょうか？方法を選択して、この質問に答えてください。
これらのペンテストの種類は、EC-Councilによって認定されています。
- ブラックボックス：テスターは、作業が始まる前にシステムについて何も知りません。場合によっては、組織内のほとんどの人がテストが行われていることを知りません。この形式のテストは、リアルタイム攻撃と非常によく似ています。
- ホワイトボックス：テスターは、インフラストラクチャやプロトコルなど、システムに関するすべてを知っています。チーム全体がテストについて知っている場合もあれば、一部の人々をその知識から除外することもできます。
- グレーボックス：テスターは、作業を開始する前に、システムについて少し知っていますが、すべてを知っているわけではありません。
- ターゲットを絞った：ITチームと指定されたテスターが協力して、システムの1つの部分だけを調べます。
- 外部： テストには、可視状態のサーバーまたはアセットのみが含まれます。
- 内部：権限のあるユーザーがアクセスできる項目のみがこのテストに含まれています。
貴社に最適な方法を見つけ、ペンテストを実施するたびに同じシステムを使用することがあります。しかし、現在のリスクに基づいて方法を切り替えるのは理にかなっています。
ペネトレーションテストとウェブアプリケーションファイアウォール
顧客にサービスを提供するためにアプリを設計し、デジタルファイアウォールで保護したデータ上で実行します。ペンテストはここにも拡張する必要がありますか？
Webアプリケーションファイアウォール（WAF）は堅牢なセキュリティを提供しますが、調査によると、約65％の企業がWAFを完全にバイパスする攻撃を受けています。
テストからWAFを削除すると、重大なセキュリティ問題を見逃す可能性があります。ただし、この問題には慎重に取り組む必要があります。
特定の種類の侵入テストを実行するために、ベンダーはWAFをオフにするように依頼する場合があります。このようなシミュレーションは、システムがダウンした場合や、不満を持つ内部関係者がいる場合に、アプリ自体がハッキングに対して脆弱であるかどうかを理解するのに役立ちます。
ただし、ベンダーにWAFも確認してもらい、設計どおりに機能し、バイパスが困難な保護を提供していることを確認する必要があります。
このような複数のペンテストを行うことで、アプリのセキュリティ環境全体を把握でき、それはユーザーにとって非常に重要になる可能性があります。
Oktaで必要なヘルプを入手する
当社のソリューションは、効果的なペンテストを準備するのに役立ちます。また、プロセスを経て、多くのギャップを埋める必要があることに気付いた場合でも、当社がお手伝いします。
当社のソリューションの仕組みと、それがお客様にどのように役立つかについて、詳しくご説明させていただきます。
参考文献
効果的なペネトレーションテストプログラムの実施に関するガイド。（2017年4月、CREST。
PCIデータセキュリティスタンダード（PCI DSS）、バージョン1.1。（2017年9月）。（PCI Security Standards Council）
ITセキュリティ手順ガイド：侵入テスト演習の実施。（2020年7月、GSA。
ペネトレーションテストプログラムを成功させるための10のヒント。(2010年11月).CSO）
ペネトレーションテストとは？EC-Council）
なぜ、いつ、どのくらいの頻度でペンテストを実施すべきか？ (2018年8月)Security Intelligence.
ペネトレーションテストのスケジュール頻度は？（2017年1月）。IT Governance。
Home.Hashcat。
Home.Kali。
Home.Metasploit。
Home.NMap
ペネトレーションテスト。米国、内務省。
The State of Web Application Firewalls。(2019年7月)Ponemon Sullivan Privacy Report。
