ペネトレーションテスト

GMO Flatt Securityのペネトレーションテスト

実際に攻撃者が目標を達成できるのかを明らかにできる

実際の攻撃者を想定して擬似的に攻撃することで、どこまで侵入できるのか、どのような攻撃が出来るのかを検証し、重要なサーバへの不正アクセスといった攻撃の目標を達成できるのかを明らかにすることができます。

攻撃者としての能力が高い専門のセキュリティエンジニアがテスターとなり、システムにある悪用可能な脆弱性や設計の不備などを狙うことで精度の高いペネトレーションテストを実施します。

攻撃に利用されうる脆弱性を検知できる

ペネトレーションテストでは攻撃の目標を達成するために脆弱性を利用します。そのため、攻撃者に利用されうる脆弱性を検知することができます。ソーシャルエンジニアリングを用いることもあり、システムの脆弱性だけでなく、人や組織から生まれる脆弱性を検知できることも可能です。

導入しているセキュリティ対策が総合的に機能しているのか確認できる

擬似的にシステムを攻撃することで、現在導入しているセキュリティ対策が総合的に機能しているのかを確認することができます。システム上の脆弱性を利用して攻撃するだけでなく、機密情報の管理体制といった運用上のミスを利用することもあります。

そのため、導入しているセキュリティ製品や組織内のルールなどのセキュリティ対策の総合力を評価し、役に立っていないセキュリティ対策や形骸化したルールなども見直すことができます。

柔軟なテストを実施

ブラックボックステストやホワイトボックステスト、システムの外部を攻撃起点としたテストや内部を攻撃起点としたテストなど様々な形態、手法で柔軟なテストを実施します。

事前のヒアリングでお客様のご要望や必要性に合わせたテスト内容を決定し、最適なテストプランをご提案いたします。

脆弱性診断との違い

ペネトレーションテストと脆弱性診断は混同、誤解されていることがあります。脆弱性診断とはシステムにおける脆弱性を網羅的に洗い出すことを目的としたセキュリティテストです。項目別の違いを以下の表にまとめました。

目的の違い

ペネトレーションテストでは脆弱性を利用して、攻撃者がシナリオに沿って目標を達成できるのかを検証することを目的とします。

一方で、脆弱性診断では脆弱性の有無を網羅的に明らかにすることを主な目的とします。脆弱性を網羅的に洗い出すには脆弱性診断の方が有効と言えますが、実際の攻撃の被害や侵入経路を検証するにはペネトレーションテストが有効です。

方法の違い

ペネトレーションテストでは実際の攻撃者が用いる攻撃手法と同等の攻撃を利用して、攻撃者の目標が達成できるのかを検証します。

一方で、脆弱性診断では特定のガイドラインや基準をベースラインとして、診断対象がそのベースラインを遵守できているかを確認することで網羅的に脆弱性を調査します。ペネトレーションテストではソーシャルエンジニアリングを用いることや、機密情報の管理体制のミスを利用することもあるため、人や組織のルールなどもテスト対象になり得る点も特徴の一つです。

報告書の違い

脆弱性診断では発見された脆弱性やセキュリティ機能不足の一覧を記載をすべて報告書に記載します。一方で、ペネトレーションテストでは擬似攻撃に用いた侵入経路や攻撃シナリオ、脆弱性などを報告書に記載します。