ペネトレーションテストとはどのような取り組みか
目的を見る前に、何を行うのかを押さえておきましょう。
ペネトレーションテストが行うこと
ペネトレーションテストとは、あらかじめ合意した範囲と目標のもとで、専門の技術者が実際に侵入を試みる取り組みです。侵入テストとも呼ばれます。個別の弱点を挙げることではなく、目標に到達できるかどうかを確かめることが中心になります。
例えば、外部から社内の特定のデータへ到達できるか、一般の利用者の権限から管理者の権限を取得できるかといった目標を設定します。複数の弱点を組み合わせて到達する経路が見つかることもあり、単体では影響が小さいと判断されていた設定が問題として浮かび上がる場合もあります。
脆弱性診断との違い
脆弱性診断は、対象のシステムに既知の弱点が存在するかを網羅的に調べる取り組みです。検出された項目を一覧として示し、危険度に応じた対応を促します。定期的に実施し、状態を確認する用途に適しています。
ペネトレーションテストは、その先を確かめるものです。弱点があることと、それが実際に悪用されて目標に到達できることは別だからです。両者は代替の関係ではなく、まず診断で全体の状態を把握し、必要に応じてテストで実効性を確かめるという順序が採られます。
実施が目指す目的
何のために行うのかを、三つに分けて確認します。
侵入されうる経路を確かめる
個別の設定は基準を満たしていても、組み合わせによって想定しない経路が生じることがあります。書類上の確認だけでは、こうした状態を見つけにくいのが実情です。
実際に試みることで、経路として成立するかどうかを確認できます。到達できた場合は、その過程が具体的に示されるため、どこを塞げばよいかも明確になります。逆に到達できなかった場合も、現在の構成が一定の水準にあることを確認する材料になります。
検知と対応の体制を試す
侵入を試みる過程で、自社の監視の仕組みが反応するか、担当者が気づいて対応できるかも確かめられます。技術的な構成だけでなく、運用の体制を検証できる点が特徴です。
通知が届いたのに確認されていない、記録は残っていたが誰も見ていなかったといった状況が見つかることもあります。こうした発見は、機器の設定だけを見直しても得られません。人と手順を含めた備えを確認する機会として活用できます。
対策の優先順位を判断する
脆弱性診断で多数の項目が挙がると、どこから着手すべきか判断に迷う場面があります。危険度の表示だけでは、自社の構成における影響までは分かりません。
実際に到達できた経路が示されれば、その経路上の対策から着手するという判断ができます。限られた予算と工数を、影響の大きい部分へ振り向ける材料になります。経営層へ対策の必要性を説明する際にも、具体的な根拠として使えます。
実施の進め方
どのような流れで進めるのかを、二つの段階に分けて確認します。
範囲と条件の取り決め
最初に、対象とするシステムと、設定する目標を決めます。外部から試みるのか、社内のネットワークに接続した状態から始めるのか、一般の利用者の権限を与えた状態から始めるのかによって、確認できる内容が変わります。
実施の期間、使用してよい手法、避けるべき操作もあわせて取り決めます。業務が止まる可能性のある操作をどう扱うかは、事前の合意が欠かせません。連絡の経路と、想定外の事態が生じた際の中止の判断についても定めておきましょう。
実施から報告までの流れ
合意した範囲で実施し、結果を報告書としてまとめる流れが一般的です。報告には、到達できたかどうかだけでなく、その経路と再現の手順、対策の案が含まれます。
報告を受けた後は、対策の実施と、その効果の確認が続きます。対応した内容を再度確かめる機会が含まれるかは、契約によって異なります。報告書をどう社内で共有するかも、扱う内容の性質を踏まえて決めておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまなサービスで比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でセキュリティ診断サービスの一括資料請求が可能です。浮いた時間で、じっくりとサービスを比較検討し進めましょう。
実施前に確認したい注意点
実際に侵入を試みる取り組みであるため、事前の準備が欠かせません。二つ挙げます。
業務への影響と実施の時期
試みる内容によっては、対象のシステムに負荷がかかり、動作が不安定になる可能性があります。稼働中の業務システムを対象とする場合は、影響を抑える配慮が必要です。
業務時間外に実施する、検証用の環境で行う、負荷のかかる手法を除外するといった方法が採られます。影響が生じた際の連絡経路と、復旧の手順もあわせて決めておきましょう。関係する部署へ実施の予定を周知しておくことも必要です。
委託先との契約と許諾
他者のシステムに対して侵入を試みる行為は、正当な許諾がなければ問題となります。自社が保有するシステムであっても、書面で範囲と条件を明確にしたうえで実施する必要があります。
クラウド上に構築した環境を対象とする場合は、その事業者の規約で実施の可否や事前の申請が定められていることがあります。共用の環境では、他の利用者への影響も考慮が必要です。対象がどこにあるかを整理し、必要な手続きを確認したうえで進めましょう。
セキュリティ診断サービスの選び方
ここまでの内容を踏まえ、委託先を選ぶ際の確認事項を整理します。
対象と目的の整理
最初に、何を確かめたいのかを決めます。全体の状態を把握したいのであれば脆弱性診断、特定の目標への到達可否を確かめたいのであればペネトレーションテストが候補になります。
対象とするシステムの範囲も整理しましょう。公開しているWebサイトなのか、社内のネットワークなのか、クラウド上の環境なのかによって、必要な知見と費用が変わります。過去に実施した診断の結果があれば、それも共有すると提案を受けやすくなります。
実施の方式と報告の内容
どこまでの情報を事前に伝えて実施するかによって、確認できる内容が変わります。構成の情報を伝えずに行う方式と、内部の情報を共有したうえで行う方式では、それぞれ得られる結果が異なります。
報告書の内容も確認点です。到達の可否だけでなく、経路と再現の手順、対策の案が含まれるか、社内で共有できる形になっているかを確かめておきましょう。報告を受けた後に相談できる機会があるかも、実務に関わります。
費用とサポート範囲の確認
費用は、対象の範囲と実施の期間によって決まることが一般的です。同じ範囲でも、方式や深さによって金額が変わります。複数社から見積もりを取る際は、条件をそろえて比べることが必要です。
対策を実施した後の再確認が含まれるか、別料金となるかも確認しておきましょう。技術者の経験や、実施の体制についても確かめておきたい部分です。契約時には、取得した情報の取り扱いと守秘に関する内容も書面で確認しておきましょう。
目的にあわせて選べるセキュリティ診断サービス
実施の目的や対象範囲にあわせて検討できるサービスを紹介します。
アズジェントのペネトレーションテスト
- 現在の脆弱性を把握し、セキュリティレベルを向上
- 経験豊富な技術者による調査検証と対策提言
- システム環境やビジネス要件にあわせて柔軟に対応
株式会社アズジェントが提供する「アズジェントのペネトレーションテスト」は、実際の攻撃手法を模してシステムへの侵入を試みる診断サービスです。脆弱性の有無だけでなく、侵入後にどこまで被害が広がるかを確認できる構成になっており、実践的なリスク評価を目的とする場合に活用されます。
Webアプリケーション脆弱性検査ツール vex
- 自動巡回、またはシナリオマップによる簡易なシナリオ作成
- ユーザの利用環境に合わせて幅広く利用できる柔軟な利用形態
- 目的や利用者に合わせた日本語/英語10種類の多種多様なレポート
株式会社ユービーセキュアが提供する「Webアプリケーション脆弱性検査ツール vex」は、Webアプリケーションの脆弱性を検査できるツールです。自動診断の機能を備えており、定期的な脆弱性診断を継続的に実施したい場合の選択肢になります。
GMOサイバー攻撃ネットde診断 ASM
- 直感的に使える簡単操作で、手間なくIT資産を常時監視
- 専門家サポート付きで安心して運用可能
- 価格・運用の手間を抑えた、継続しやすいサービス
GMOサイバーセキュリティ byイエラエ株式会社が提供する「GMOサイバー攻撃ネットde診断 ASM」は、外部に公開しているIT資産を継続的に把握・診断できるサービスです。攻撃者の視点で自社の公開範囲を確認する目的に対応しており、把握できていない公開資産の洗い出しに活用できます。
サイバートラスト脆弱性診断サービス （サイバートラスト株式会社）
- IPAやOWASP等の指針に基づく診断項目で網羅的に評価。
- 専門エンジニアが手動診断し、ツールでは見えない問題も確認。
- 改修後の再診断や速報レポートなどフォローを提供。
Securate （株式会社電通総研）
- Sansan社への導入実績あり
- AIと専門家が回答を作成。
- 株式会社電通総研が開発・提供
ペネトレーションテストに関するよくある質問
実施を検討する担当者から寄せられることの多い質問と回答をまとめました。
- Q1： 脆弱性診断とどちらを実施すべきですか？
- まず全体の状態を把握したい段階では脆弱性診断が適しています。対策を進めたうえで、その実効性を確かめたい場合にペネトレーションテストが候補になります。目的が異なるため、順序を踏まえて検討しましょう。
- Q2： どのくらいの頻度で実施すべきですか？
- 一律の目安はありません。システムの構成が大きく変わった際や、新しいサービスを公開する前に実施する考え方があります。定期的に確認したい場合は、脆弱性診断と組み合わせる進め方も検討できます。
- Q3： 実施によって業務が止まる心配はありませんか？
- 試みる内容によっては負荷がかかる場合があります。業務時間外に実施する、検証環境で行う、負荷のかかる手法を除外するといった配慮が可能です。影響が生じた際の連絡経路と中止の判断も、事前に取り決めておきましょう。
- Q4： クラウド上の環境も対象にできますか？
- 対象にできる場合が多くありますが、事業者の規約で事前の申請が必要とされていることがあります。共用の環境では他の利用者への影響も考慮が必要です。対象の所在を整理し、必要な手続きを確認したうえで進めましょう。
まとめ
ペネトレーションテストの目的は、実際に侵入を試みることで、侵入されうる経路が成立するか、検知と対応の体制が機能するかを確かめることにあります。得られた結果は、対策の優先順位を判断する材料にもなります。網羅的に弱点を洗い出す脆弱性診断とは目的が異なるため、順序を踏まえて使い分けましょう。範囲と条件を書面で取り決め、業務への影響と必要な許諾を確認したうえで実施することが前提になります。
