ペネトレーションテストの原則

1. ペネトレーションテストの概要

---

ペネトレーションテストとは何ですか?

ペネトレーションテストは、既存のサイバーセキュリティ対策の耐性を試験して、攻撃者によって悪用される可能性のある脆弱性を検出できるか試みる手法です。 ペネトレーションテストを実施すると、攻撃者のネットワークへの侵入方法について洞察を得られるため、セキュリティギャップを埋めて機先を制することができます。

ペネトレーションテストは社内で実施することもできますが、通常は、ネットワークに侵入するためのさまざまなツールを使用できるサードパーティが行います。 このテストは、攻撃者が実際に使用する攻撃方法に似ています。 目標は、脆弱性、設定ミス、その他のセキュリティの弱点を、攻撃者が悪用して企業をリスクにさらす前に検出することです。

攻撃 (または、ペネトレーションテストによる侵入) が成功した場合、以下の行動が侵入者によって可能であることを表します。

• 保護対象保険情報 (PHI) へのアクセス
• 個人を特定できる情報 (PII) へのアクセス
• 認証情報の窃取
• データと記録の窃取
• マルウェアの起動
• ネットワークのラテラルムーブメント (気付かれるまで数週間から数か月間かかる可能性がある)
• クレジットカード情報などの金融情報へのアクセス
• ビジネス活動の中断
• システムや業務を人質にした身代金の要求
• データの破壊

ペネトレーションテストは、アタックサーフェス内の弱点を明らかにするのに役立ちます。そのため、脅威アクターが弱点を悪用する前に修復を行う計画を立てることができます。

ペネトレーションテストは、脆弱性評価プログラムの補完的な構成要素です。 企業は、脆弱性評価の一環として定期的な脆弱性スキャンを実施して、企業全体のすべての資産と脆弱性について詳細情報を取得する必要があります。 ペネトレーションテストを実施すれば、スキャンで検出された脆弱性の悪用の可能性を検証して修正の取り組みの成果が評価できます。

包括的な脆弱性評価プログラムを構築するには、脆弱性評価スキャンを継続的に実行し、ペネトレーションテストを定期的に実行してください。一部のコンプライアンスガイダンスでは、ペネトレーションテストを毎年実施することが求められています。しかし、さらに頻度を上げる (少なくとも四半期ごとなど) ことで、より強固なサイバーセキュリティプログラムを構築できます。

ペネトレーションテストの重要性

企業にとって、包括的なサイバーセキュリティプログラムの一環としてペネトレーションテストを導入することが推奨される理由をいくつか紹介します。

• ペネストレーションテストは、攻撃者がネットワーク、データ、資産にアクセスするために悪用する可能性のある脆弱性やその他のセキュリティ上の弱点があるかどうかを発見するのに役立ちます。
• これらのテストにより、コンプライアンス基準をどの程度満たしているか、またセキュリティ上の問題がどこにあるのかを把握できます。
• また、ペネトレーションテストは、セキュリティコントロールが正常に機能しているかどうかを判断する上でも役立つ
• 企業が使用しているアプリケーションをテストして、攻撃者がネットワークにアクセスできる可能性のあるプログラミングミスがあるかどうかを確認できる

2.ペネトレーションテストの目標とプロセス

---

一般的に、ペネトレーションテストには 5 つの段階があります。

1. ペネトレーションテストのプロセスは、テスト担当者 (社内リソースまたはサードパーティのペネトレーションテスト担当者) を決定することから始まります。 この段階で、目標と目的を設定する必要があります。 目標と目的は、それぞれの企業のビジネスの目標やサイバーセキュリティの目的に沿った企業独自のものとなります。
2. 次に、テストの範囲を決定します (たとえば、テスターがネットワーク全体をターゲットにして発見できるものを確認したいのか、それとも、テストにパラメータを設定して特定のサブネットのみを対象にするのか)。 スコープは、テスターがターゲットに対する攻撃計画を立てる際に役立ちます。
3. 範囲と対象を設定したら、テストを開始します。 テスト担当者はまず、ターゲットに対して多数のスキャンを実行して、既存のセキュリティプロトコルに関する可能な限り多くの情報を収集し、セキュリティの弱点や脆弱性を見つけようとします。ペネトレーションテスターが自組織のセキュリティ対策を理解したら、現実世界の攻撃者が行うのと同じように、悪用に用いられるさまざまな手法によりアクセスを試みます。アクセスできた場合、拡張アクセスを維持できるか、侵入箇所からさらにアクセスできる他のシステムがあるかどうかを判断します。 テストの完了時には、テストで使用した攻撃に関する証拠 (スクリプトやログなど) をすべて削除する必要があります。
4. テストの完了後、ペネトレーションテスト担当者から調査結果に関するレポートが提供されます。 このレポートでは、脆弱性の内容、侵入経路、既存のセキュリティ対策のセキュリティギャップ、企業に対する影響が明確に示されます。 レポートの結果を確認して、企業に最も大きな影響を与える可能性のある最も深刻な脆弱性を最優先とする、軽減のための計画を策定します。
5. 緩和計画を実装したら、追加のペネトレーションテストを実行して、修正が意図したとおりに機能するかどうか、および最後のテスト以降に新しい脆弱性が表面化したかどうかを確認することをお勧めします。

ペネトレーションテストのアプローチ

ペネトレーションテストにはさまざまなアプローチがあります。最も一般的なアプローチは、ホワイトボックステストとブラックボックステストの 2 つです。

ホワイトボックステストでは、組織はテスト担当者に対象のターゲットに関する情報を提供します。ホワイトボックステストも通常、認証された環境内で行われます。

ブラックボックステストでは、ターゲットに関する追加情報をテスト担当者と共有しません。したがって、テスト担当者は通常、資格情報を使用せずにネットワークスイープを実行します。

グレーボックス (グレーボックス) テストは、ペネトレーションテストにおけるもう 1 つのアプローチです。名前が示すように、これはブラックボックステストとホワイトボックステストの中間のようなものです。このテストでは、企業はテスト担当者に対象に関する詳細の一部を提供します。

Nessus Expert は、ペンテストのこのようなアプローチを補完する素晴らしいツールです。

ペネトレーションテストの方法

企業との取り組みにおいて、ペネトレーションテスト担当者は、ペネトレーションテストのアプローチの他にもさまざまなテスト手法を利用する場合があります。 以下に、一部の例を挙げます。

標的型テスト: 標的型のペネトレーションテストでは、社内 IT チームとサードパーティのテスト担当者が協力してアタックサーフェスへの侵入を試みます。 このタイプのテストでは、テスト担当者と社内チームの間で攻撃方法や防御対応策についての情報が共有されます。 このタイプのテストでは、脆弱性が存在する場所に関する情報だけでなく、実際にハッキング攻撃を受けて防御するという体験も得られます。

ブラインドテスト: ブラインドテストは、テスト担当者は URL または組織名だけを知っており、チームはテストが実行されることを知っている状況のハッキングシナリオです。このテストでは、テスト担当者は企業やセキュリティ体制に関する詳細情報がほとんどない状態で、ネットワークやシステムへのアクセスをリアルタイムで試みます。

ダブルブラインドテスト: ダブルブラインドテストはブラインド テストに似ており、テスト担当者は組織に関する限定された情報を持っています。しかしブラインドテストとは異なり、チームは、テストが承認されていること、およびテスト作業が実際に行われていることを知りません。

外部テスト: 外部テストでは、テスト担当者は外部に接している資産やシステム (ウェブサーバー、ファイヤーウォール、メールサーバーなど) を攻撃します。

内部テスト: 内部テストでは、テスト担当者はファイヤーウォールの背後にあるシステムにアクセスして、従業員や認証情報を窃取した人物が企業システムに不正アクセスした場合に起こることをシミュレーションします。

ペネトレーションテストの頻度

企業は定期的なペネトレーションテストを計画する必要があります。 一部のコンプライアンス規制では、テストを毎年実施することが求められています。しかし、さらに頻度を上げる (少なくとも四半期ごとなど) ことで、全般的なサイバーセキュリティ体制に関してより大きなメリットを得られます。

ペネトレーションテストは、セキュリティ体制のポイントインタイムのスナップショットを提供します。 アタックサーフェスは絶えず変化し拡大しているため、定期的なペネトレーションテストを実施することで、既存のプログラムに存在するセキュリティホールやギャップを検出し、攻撃者によって悪用される前に修正できるようになります。

3. ペネトレーションテストと脆弱性管理

---

• 脆弱性評価とペネトレーションテストには相違点がありますが、この 2 つのプロセスは補完関係にあります。
• ペネトレーションテストは、ある単一時点でのサイバーリスクを把握できる、スタンドアロンで実行可能なテストです。
• 脆弱性管理は、さまざまなテクノロジーやツールを使用して、企業全体のサイバーリスクを特定し、特定したリスクとビジネス上の目標や目的との整合を取り、タイムリーに脆弱性を修正することにより、ネットワークを保護してビジネスの安全を維持する継続的なプログラムです。
• ペネトレーションテストを実施することで、脆弱性評価プロセスを強化するための改善点を明確化できます。

4.ペネトレーションテストと脆弱性評価

---

• 脆弱性評価とペネトレーションテストには相違点がありますが、この 2 つのプロセスは補完関係にあります。
• ペネトレーションテストは、ある単一時点でのサイバーリスクを把握できる、スタンドアロンで実行可能なテストです。
• 脆弱性評価は、すべての脆弱性を可視化するための継続的な手法です。 脆弱性スキャンやペネトレーションテストを新たに実施することは、サイバーセキュリティ体制に関する新たな情報を発見する機会となります。
• ペネトレーションテストを実施することで、脆弱性評価プロセスを強化するための改善点を明確化できます。

脆弱性スキャンとペネトレーションテスト

脆弱性スキャンは、ペネトレーションテストの構成要素です。 アタックサーフェスの脆弱性と弱点を検出する方法であり、テスト担当者がテスト対象を明確にするために使用できます。

脆弱性スキャンの範囲は、アタックサーフェス全体とすることも、特定のサブネットに限定することもできます。 以下に、サブネットの例を挙げます。このなかには、特殊なテストに含まれるものもあります。

• 内部ネットワーク
• 外部ネットワーク
• クラウド環境
• IoT (モノのインターネット) デバイス
• IIoT (産業用モノのインターネット) デバイス (Industry 4.0)
• オペレーショナルテクノロジー (OT) デバイス
• コンテナ
• Web アプリケーション

5.ペネトレーションテストのツール

---

ペネトレーションテストは長い間、アタックサーフェスの侵入に熟達したテスト担当者のトレーニング、スキル、革新的な思考力に依存した、手作業によるプロセスでした。 しかし現在では、自動ツールがテスト担当者をサポートすることから、目的のターゲットでテストを開始しやすくなっています。そのようなツールに Kali Linux があります。

Kali Linux は 600 種類以上の侵入ツールを備えた、無料で利用できるリソースです。 ペネトレーションテスト、リバースエンジニアリング、テクニカルフォレンジック、研究に使用できます。

Tenable Nessus は、デフォルトでは Kali Linux にインストールされませんが、簡単にインストールできます。インストール後は、それを用いてペネトレーションテスト作業をサポートできます。Nessus を使用すると、ペネトレーションテスト担当者は、ローカルとリモートの脆弱性の検出、デフォルトの認証情報の確認、設定とコンプライアンス監査の支援、ウェブアプリケーションスキャンを容易に行えるようになります。 Nessus による Kali Linux のペネトレーションテストのサポートの詳細については、こちら (https://www.tenable.com/blog/getting-started-with-nessus-on-kali-linux) をご覧ください。

6. Nessus 脆弱性スキャン

---

Nessus Expert は、企業のアタックサーフェス全体から脆弱性を検出するのに役立つ効果的なツールです。オペレーティングシステム (MacOS、Windows、Linux)、アプリケーション、ネットワークデバイスなどのさまざまな種類の資産のスキャンに対応しています。

Nessus には、脆弱性スキャンのために、認証スキャンと非認証スキャンで使用できる作成済みのテンプレートが搭載されています。 これらのテンプレートを作成済みのポリシーとともに使用することで、ペネトレーションテスト担当者はテストの取り組みを最大化できます。 Nessus を使用すると、テスト担当者は企業のネットワークを可視化でき、弱点や脆弱性を迅速に検出できるため、攻撃者に対して先手を打つことができます。

Nessus のテンプレートは、CIS (Center for Internet Security)、HIPAA (Health Insurance Portability and Accountability Act)、DISA (Defense Information Systems Agency)、STIG (Security Technical Implementation Guides) などのコンプラインスフレームワークをサポートしています。 このテンプレートは、検出漏れや誤検出を避けるための設定の生成などのカスタマイズも可能です。

Nessus には 189,000 以上のプラグインが搭載されています。これらのプラグインは自動で更新されます。 Nessus は 77,000 以上の CVE をカバーしており、毎週 100 個以上の新規プラグインがリリースされています。 つまり、Nessus を使用すると、ペネトレーションテスト担当者は、最新の脆弱性やマルウェアに関する正確でタイムリーな情報を得ることができます。