Webペネトレーションテスト
GMO Flatt Securityが提供する「Webペネトレーションテスト(外部侵入テスト)」は、お客様のWebアプリケーションやWeb APIに対して、実際に攻撃者が機密情報の窃取やWebサーバーへの侵入などの目標を達成してしまうセキュリティリスクの有無を検証する侵入テストのサービスです。
専門のセキュリティエンジニア(ペンテスター)が外部視点で擬似的に攻撃することで、Webアプリケーションに内在する致命的なセキュリティリスクを評価します。
GMO Flatt SecurityのWebペネトレーションテスト
GMO Flatt SecurityのWebペネトレーションテストは、主に3つの特徴があります。
実際に攻撃者が目標達成できるのか、明らかにします
実際の攻撃者を想定して擬似的に攻撃することで、機密情報の漏洩や不正決済、Webサーバーへの侵入などの攻撃者の具体的な目標を達成できるかを明らかにします。
実際の攻撃に利用されうる脆弱性を検知します
検出されたあらゆる脆弱性を組み合わせたり、脆弱性を悪用したりし、実際の攻撃者と同等のアプローチを試みます。
特に、リスクレベルの高い傾向のある「攻撃者の操作のみで実行できる能動的な脆弱性」に重点を置きつつ、「被害者の操作を必要とする受動的な脆弱性」にも焦点を当て、それぞれで検出します。
セキュリティ対策が機能しているかを検証します
対象のWebアプリケーションに対して擬似的に攻撃するとともに、導入しているWAF(Web Application Firewall)や独自のセキュリティ機構が総合的に機能しているのかも検証します。
Webペネトレーションテストのシナリオ構成
Webペネトレーションテストでは、以下のようなシナリオで擬似的に外部侵入テストを実施します。
想定攻撃者
アカウントを持たない第三者
一般権限を持つユーザー
低い権限を持つユーザー
目標（ゴール）
顧客情報などの機密情報の窃取または改ざん
不正決済などの金銭的な被害
Webサーバーへの侵入
オプション：コンテナ侵害, OSINT(公開情報調査)
その他条件
WAF(Web Application Firewall)あり
特質した禁止事項
具体的なシナリオ達成の例
SQLインジェクションやディレクトリトラバーサルによる顧客情報の漏洩
パラメーターの検証不備やレースコンディションによる不正決済
OSコマンドインジェクションによるWebサーバーへの侵入
シナリオの構成は、お客様のご要望や懸念点などを踏まえてヒアリング時にご相談させていただきます。
定めたシナリオの構成をもとに、想定攻撃者が目標を達成できるかの有無に重点を置き、診断期間内に外部侵入テストを実施します。
ペネトレーションテストと脆弱性診断の違い
ペネトレーションテストと脆弱性診断は、混同されたり定義が人により異なることがあります。弊社サービスにおけるそれぞれの違いを項目別に整理すると以下のようになります。
| Webぺネトレーションテスト | Webアプリケーション診断 | |
|---|---|---|
| 目的 | 現時点で対象に致命的な脅威が存在しないかを検証します | 対象の脆弱性を網羅的に洗い出して検出します |
| 範囲 | 対象ドメイン全体（+ インターネット情報） | 対象ドメイン全体, もしくは一部機能のみ |
| 観点 | 対象のあらゆる脆弱性を組み合わせたり、脆弱性を悪用したりして、想定攻撃者が実際に目標を達成できるかに重点を置いて検証します | OWASP等の一般的な診断観点に加えて、当社独自の診断項目をもとに、網羅的に脆弱性を検出します |
| 報告書 | シナリオの目標達成の有無や攻撃方法の解説、各脆弱性の概要や対策案などを記載します | 発見した脆弱性の概要や再現手順、リスクや対策案を一覧で記載します |
| 期間 | 3週間〜4週間程度 | 1週間〜2週間程度（規模によって増減します） |
| メリット | 現時点での具体的な脅威の有無を検証します | 対象の脅威を網羅的に検出します |
Webペネトレーションテストのプラン
Webペネトレーションテストでは、「深さ優先型」と「幅優先型」の2つのプランで提供しています。
深さ優先型
シナリオの目標を達成できるかに重点を置き、目標達成のために時間をかけて調査します。
幅優先型
単一のシナリオに捉われず、可能な限りビジネスリスクの高い脆弱性を多数調査します。
Webペネトレーションテストのプランは、お客様のご要望や懸念点など踏まえて、どちらがオススメかもヒアリング時にご提案させていただきます。
提供をご依頼するデータ
Webペネトレーションテストでは、Webアプリケーションのソースコードやシステム構成図などをご提供いただきます。
診断期間内に効率よく調査する上で、基本的にホワイトボックス形式によるソースコードの分析を実施し、内在するセキュリティリスクも踏まえて、最終的に攻撃者視点でのアプローチが可能かを検証します。
提供する報告書
Webペネトレーションテストの報告書は、以下のような内容を含む形で提供します。
Webペネトレーションテストの総評
シナリオの目標達成の有無（深さ優先型のみ）
シナリオの目標達成の再現手順（深さ優先型のみ）
・攻撃者視点でのPoC付き
検出した脆弱性の指摘事項
・各脆弱性の概要や対策案
・開発者視点のJavaScript PoC付き(*2)
また、お客様のご希望に合わせて、シナリオの目標達成のデモンストレーションや報告書の解説等を含む報告会を実施します。 (別途料金あり)
*2 再現手順がブラウザのDevTools上で完結する場合などを想定し、実際のPoCの提供形態は再現手順に依存します。
料金
対象とするWebアプリケーションの規模や作業期間、シナリオの構成によって費用が変わります。お客様のご要望に合わせて柔軟にご提案します。お気軽にお問い合わせください。
お見積もりは無料です。お気軽にお問い合わせください。