クラウドペネトレーションテスト
GMO Flatt Securityが提供する「クラウドペネトレーションテスト(内部侵入テスト)」は、お客様のクラウド環境に対して、攻撃者が実際に機密情報の窃取や管理者権限の奪取などの目標を達成してしまうセキュリティリスクの有無を検証する侵入テストのサービスです。
専門のセキュリティエンジニア(ペンテスター)が内部視点で擬似的に攻撃することで、クラウド環境に内在する致命的なセキュリティリスクを評価します。
GMO Flatt Securityのクラウドペネトレーションテスト
GMO Flatt Securityのクラウドペネトレーションテストは、主に3つの特徴があります。
実際に攻撃者が目標達成できるのか、明らかにします
実際の攻撃者を想定して擬似的に攻撃することで、機密情報の漏洩やインフラ環境の悪用、管理者権限の奪取などの攻撃者の具体的な目標を達成できるかを明らかにします。
実際の攻撃に利用されうる脆弱性を検知します
対象のクラウド環境で検出された脆弱性や設定不備などを悪用して、シナリオの目標を達成するために実際の攻撃者と同等のアプローチを試みます。
特に、攻撃者が外部から何らかのアクセス権限を窃取したことを前提に、それぞれのアクセス権限でシナリオの目標が達成できるかを検出します。
セキュリティ対策が機能しているかを検証します
クラウド環境に導入しているセキュリティ製品やセキュリティサービスが総合的に機能しているのかも検証します。
クラウドペネトレーションテストのシナリオ構成
クラウドペネトレーションテストでは、以下のようなシナリオで擬似的に外部侵入テストを実施します。
想定攻撃者
サーバーに付与されるアクセス権限を持つ攻撃者（前提：アプリケーションの脆弱性を突いて窃取した想定）
開発者が使用するアクセス権限を持つ攻撃者（前提：フィッシングやマルウェアによって窃取した想定）
目標（ゴール）
顧客情報などの機密情報の窃取または改ざん
クラウドサービスの悪用または改竄による提供サービスの停止
クラウド環境の管理者権限の奪取または権限昇格
オプション：セキュリティサービスに関する機能停止や設定変更
その他条件
マルチクラウド環境の影響
特質した禁止事項
具体的なシナリオ達成の例
設定不備によるS3やRDSなどの情報の漏洩や改ざん(ランサムウェア攻撃)
Lambda関数のSlack BotからSlackのInvite Tokenの奪取による社内情報の漏洩
EC2インスタンスやLambda関数の新規作成によるマイニング
Lambda関数やCloudFormationテンプレートの悪用によるIAMの権限昇格
Bedrockなどの生成AIの悪用によるモデル利用費の転嫁や学習データの汚染
シナリオの構成は、お客様のご要望や懸念点などを踏まえてヒアリング時にご相談させていただきます。
定めたシナリオの構成をもとに、想定攻撃者が目標を達成できるかの有無に重点を置き、診断期間内に内部侵入テストを実施します。
ペネトレーションテストと脆弱性診断の違い
一般的にペネトレーションテストと脆弱性診断は、混同して誤解されていることがあります。
弊社サービスにおいて、それぞれの違いを項目別に整理すると以下のようになります。
| クラウドぺネトレーションテスト | クラウド診断 | |
|---|---|---|
| 目的 | クラウド環境内で権限を掌握された際に、攻撃者がどこまで侵入可能かを検証します | 連携するアプリケーションの仕様を加味しながら、クラウド環境の構成や設定ミスを網羅的に洗い出します |
| 範囲 | クラウド環境全体 | クラウド環境全体, もしくは一部対象のみ |
| 観点 | 対象のあらゆる脆弱性を組み合わせたり、脆弱性を悪用したりして、攻撃者が目標を達成できるかに重点を置いて検証します | ベンチマーク等の一般的な診断観点に加えて、当社独自の診断項目をもとに、網羅的に脆弱性を検出します |
| 報告書 | シナリオの目標達成の有無や攻撃方法の解説、各脆弱性の概要や対策案などを記載します | 発見した脆弱性の概要や再現手順、リスクや対策案を一覧で記載します |
| 期間 | 1週間〜2週間程度 | 数日間〜1週間程度 |
| メリット | クラウド環境の侵害などを前提としながら、クラウド環境の脅威を多角的な視点で検証します | クラウド環境の脅威を網羅的に検出します |
クラウドペネトレーションテストのプラン
クラウドペネトレーションテストでは、「サーバー侵害型」と「端末侵害型」の2つのプランで提供しています。
サーバー侵害型
クラウド環境に関連するサーバーが侵害されたことを想定して、シナリオの目標を達成できるかを検証します。
端末侵害型
クラウド環境へのアクセス権限を持つ端末が侵害されたことを想定して、シナリオの目標を達成できるかを検証します。
クラウドペネトレーションテストのプランは、お客様のご要望や懸念点など踏まえて、どちらがオススメかもヒアリング時にご提案させていただきます。
提供をご依頼するデータ
クラウドペネトレーションテストでは、以下の様なデータをご提供いただきます。
クラウド環境へのアクセス権限
・シナリオに応じた想定攻撃者の権限 (攻撃者用)
・設定確認が可能な広範囲の読み取り権限 (監査用)
インフラ構成図
CDKやTerraform、CloudFormationなどのIaC
GitHubやCI/CDツール等の各種開発基盤の権限
診断期間内に効率よく調査する上で、基本的に攻撃者用と監査用のアクセス権限をいただき、クラウド環境に内在するセキュリティリスクも踏まえて、最終的に攻撃者視点でのアプローチが可能かを検証します。
提供する報告書
クラウドペネトレーションテストの報告書は、以下のような内容を含む形で提供します。
クラウドペネトレーションテストの総評
シナリオの目標達成の有無
シナリオの目標達成の再現手順
検出した脆弱性の指摘事項
・各脆弱性の概要や対策案
また、お客様のご希望に合わせて、シナリオの目標達成のデモンストレーションや報告書の解説等を含む報告会を実施します。 (別途料金あり)
料金
クラウドペネトレーションテストは、対象とするクラウド環境の規模や作業期間、シナリオの構成によって費用が変わります。お客様のご要望に合わせて柔軟にご提案します。お気軽にお問い合わせください。
お見積もりは無料です。お気軽にお問い合わせください。