ピンボール戦車少女

セキュリティ対策の株式会社ラック

閉じる

企業や組織のセキュリティ事故発生(sheng)時はこちら

緊急対応窓口:サイバー救急センター®

ご相談は予約不(bu)要、24時間対(dui)応

電話で相談する
0120-362-119
メールで相談する
サイバー救急センター®のメールアドレス
自分で調べる
「FalconNest」について

ペネトレーションテスト

情報システムペネトレーションテスト エクスプレス

Inspection & Consulting

本物のサイバー攻撃を模した「疑似攻撃」を自動化し、
短期間かつ低コストでのペネトレーションテストを実現

高度標的(de)型攻撃(ji)(APT)などのサイバー攻撃(ji)が数多く発生する中、企業を狙うサイバー攻撃(ji)者の目(mu)線で疑似(si)的(de)な攻撃(ji)を行い、現実の脅(xie)威を再(zai)現する「ペネトレーションテスト(侵(qin)入(ru)テスト)」は企業の情報(bao)システムにおけるセキュリティ対(dui)策が適(shi)切になされているかを確認する方法(fa)の一つです。一般(ban)的(de)なペネトレーションテストには時間(jian)やコストがかかるという課題が存在してきましたが、当サービスでは、疑似(si)攻撃(ji)の自動化により短(duan)期間(jian)かつ低コストでのペネトレーションテストを実現します。

サービスの強み

多種多様な手法による疑似攻撃を自動化することで、
より少ない所(suo)要期(qi)間で多くのPCやサーバの調査を実現

一般的なペネトレーションテストでは、サイバー攻(gong)撃技(ji)術について深(shen)い知見を持つセキュリティ専門家であるペンテスターが、サイバー攻(gong)撃を模した疑似(si)攻(gong)撃を自らの手(shou)で行うことで対象システムのセキュリティ対策状況(kuang)を調査します。

具(ju)体的(de)には、ネットワーク内の情(qing)(qing)報を収集(ji)することで知りえた情(qing)(qing)報を活(huo)用して他のPCやサーバに侵(qin)害を拡(kuo)大する横断(duan)的(de)侵(qin)害や、侵(qin)害先のPCやサーバ上の情(qing)(qing)報を窃取する活(huo)動といった疑似攻(gong)撃の一連の流(liu)れを、企(qi)業(ye)ごとに作成した独自の攻(gong)撃シナリオに沿(yan)って1つずつ実(shi)施します。

本サービスではこれらの疑似攻撃(ji)を自(zi)動(dong)化(hua)することで、より少ない所要期間で多(duo)くのPCやサーバの調査を実(shi)施し、効率よくペネトレーションテストを実(shi)施することが可(ke)能(neng)です。多(duo)くのコストをかけずにペネトレーションテストを実(shi)施したい、特定の攻撃(ji)シナリオに限らず、攻撃(ji)者(zhe)に侵入(ru)された場合発生しうる脅威を短時間で効率よく確認(ren)したい、といったような課題を持つ組織に最適なサービスです。

最新の脅威シナリオに基づいて診断する

  1. APT(高度標的型攻撃)などの
    侵害手法の一連の流れを
    自動的に実施
    本サービスでは、ペンテスターが高度標的型攻撃(APT)における攻撃の一連の流れに沿って実行する疑似攻撃を、ツールを使用することによりシームレスかつ自動的に実行可能です。また、攻撃の流れに沿ってPCやサーバを1台ずつ手動で調査するのではなく、対象とするシステム上のPCやサーバ全てを網羅的に一気に調査するという方法を取ることができることもツールの強みです。
  2. サイバー攻撃手法や戦術に
    関するフレームワーク
    「MITRE ATT&CK」の活用
    サイバー攻撃手法や戦術に関する国際的なフレームワークである「MITRE ATT&CK」で定義された膨大な攻撃手法の一つ一つを自動化し、そして調査対象のシステムの状況に応じてツールがそれらの攻撃手法の中から適するものを取捨選択し、自律的に組み合わせて実行します。さらに「MITRE ATT&CK」は、各攻撃手法への対策の推進にも活用できます。
  3. ソフトウェアの脆弱性などの
    最新の脅威動向を
    取り入れた疑似攻撃
    サイバー攻撃手法の一つが、ソフトウェア製品に存在する脆弱性を悪用する方法です。ASVツール「Pentera」では、最新の脆弱性に関する情報を随時取り入れており、調査対象のシステム上に脆弱性が存在するかどうかを調査することが可能です。また脆弱性の有無だけではなく、脆弱性を悪用することで実際にどのような攻撃の実行につなげられるか、最終的にどのような目的を達成できるかといった調査を合わせて実施します。

疑似攻撃を自動化する、ASVツール「Pentera」

ASV(Automated Security Validation:自動(dong)セキュリティ検証)ツールは、最新(xin)サイバー攻撃手法を用(yong)い、お客様の情報(bao)システムに疑似攻撃を行うことでセキュリティ対策状況を評(ping)価する、「自動(dong)化ペネトレーションテスト・プラットフォーム」です。

本サービスで使用しているPentera社が提供するASVツール「Pentera(ペンテラ)」は、あらかじめ指(zhi)定したIPアドレス範(fan)囲に対してネットワークのスキャンや脆(cui)弱性チェック、およびそれらの情(qing)報を利用した各種の疑似攻撃を自(zi)動で実施(shi)します。

ASVツール「Pentera」によるペネトレーションテストの自動化

自動化された疑似攻撃による情報システムのセキュリティ対策の評価

本(ben)サービスでは、情報システムのネットワーク上(shang)に存在(zai)するPCやサーバがマルウェアに感(gan)染してしまった場合を想(xiang)定して、調(diao)(diao)(diao)査(cha)対象のネットワークにツールを導入した調(diao)(diao)(diao)査(cha)用の端末を設置する方法で調(diao)(diao)(diao)査(cha)をします。ツールはオフライン環境でも動作可能なため、インターネットに接続(xu)していないクローズドなネットワークにおいても調(diao)(diao)(diao)査(cha)ができます。調(diao)(diao)(diao)査(cha)は実際のサイバー攻撃と同(tong)様に、以下のような流れで実施します。

1.ネットワーク内部からの情報収集

調査対象として指定したIPアドレス範囲に、どのような端末が存在(zai)するかを調査するためのネットワークのスキャンを行います。検(jian)出されたネットワーク上のPCやサーバについて、脆弱性の有無や認証情報(bao)の窃取可否(fou)、パスワードクラックといった調査を実施し、それぞれの端末への侵入や権限昇格への糸口(kou)を探(tan)ります。合わせて、調査対象のネットワーク全体に関する情報(bao)を収(shou)集し、侵害に悪用可能な設(she)定の不備(bei)などの有無を調査します。

2.PCやサーバの「乗っ取り」

調(diao)査(cha)対(dui)象(xiang)のPCやサーバについて、情報収集によって見つけ出(chu)したセキュリティ上の問題点を悪用することで、PCやサーバへの侵(qin)入や権限昇格が可能(neng)(neng)な場合はそれを実(shi)行します。このような方法で「乗っ取り」に成功した攻撃者は、乗っ取ったPCやサーバを自在に遠隔操作することが可能(neng)(neng)です。乗っ取りの過(guo)程(cheng)では、PCやサーバ上で動(dong)作しているウイルス対(dui)策ソフトのようなエンドポイントセキュリティを回避できるかどうかの調(diao)査(cha)なども実(shi)施します。

3.攻撃者の目的の達成

調査対象のPCやサーバの乗っ取りに成功した場合は、より高権限のアカウントの奪取や機密情報(bao)の持ち出(chu)しなど、攻撃者が目的としていると考えられる活動を試みます。このような目的の達成にはセキュリティ上の問題点を複数組み合わせて実行(xing)することが必(bi)要なケースがほとんどであり、本サービスではツールが自動で実行(xing)可能な攻撃手法(fa)を取捨選択し、それらを自律的に組み合わせて実行(xing)します。

対象ネットワークに設置した調査用の端末を起点として、対象機器を網羅的に調査

ペネトレーションテストでは疑似攻撃(ji)を行うだけでなく、疑似攻撃(ji)の結(jie)果から企業(ye)のセキュリティ対(dui)策(ce)(ce)が適切になされているかを確認することや、もしも対(dui)策(ce)(ce)が不十分な場合は必要(yao)なセキュリティ対(dui)策(ce)(ce)を実(shi)施(shi)することが必要(yao)です。本サービスでは、これまでにラックが数(shu)多く実(shi)施(shi)してきたペネトレーションテストで得られた知見(jian)に基づいた疑似攻撃(ji)結(jie)果の分析や、その結(jie)果から見(jian)出すことができるセキュリティ対(dui)策(ce)(ce)の評価(jia)および今後(hou)実(shi)施(shi)すべきセキュリティ対(dui)策(ce)(ce)の検(jian)討の支援を行います。

サービスの流れ

実施内容 期間の目安 期間の
目安

1.事前準備

2週間
調査実施希望日の2週間前までを目途に、調査対象とするIPアドレスの範囲を選定いただきます。
調査開始までに、調査対象とするIPアドレスの範囲や調査に使用するアカウント情報などを記入した問診票を弊社までご提出ください。
ご提出いただいた問診票をもとに、調査の流れについての認識合わせの打ち合わせを行います。

2.調査の実施

1~2営業日
調査は弊社技術者が現地にお伺いしてオンサイトで実施します。ツールを導入した端末(ミニタワーPC1台およびノートPC1台)を調査対象のネットワークに接続し、ツールでの調査を実施します。

3.報告書の作成・ご提出

5営業日
調査結果および検出した問題点への対策方法を取りまとめた報告書を弊社にて作成し、ご提出します。

報告書

報告書イメージ、報告書目次例、問題点の評価基準

価格

お客様のご要(yao)望により、個(ge)別にお見(jian)積りいたします。お気軽にお問い合わせください。

「情報システムペネトレーションテスト エクスプレス」に関するお問い合わせ

メールマガジン

サイバーセキュリティや
ラックに関する情報を
お届けします。

page top