ペネトレーションテストとは、既知の脆弱性を用いて、システムのセキュリティを評価するテストです。これにより、現状のセキュリティレベルを確認することができます。

この記事では、ペネトレーションテストの代表的なツール、メリットや用途を解説します。ペネトレーションテストを検討している場合、ぜひこの記事を参考にしてください。

＼入力から送信まで3分で簡単に完了／

ペネトレーションテスト（侵入テスト）とは

ペネトレーションテスト（ペンテスト、侵入テスト）は、ホワイトハッカー（良い意味でのハッカー）が、サイバー攻撃の手段を使ってシステムに侵入しようとするテストです。

ペネトレーションテストでは、実際にシステムに侵入を試みることで、脆弱性を悪用された場合の被害をより現実的に把握することができます。

具体的には、ポートスキャン攻撃、脆弱性攻撃、マルウェア感染などの攻撃手法を模擬します。システムに侵入したあとは、攻撃者の視点から模擬攻撃を行い、その結果に基づいてシステムの安全性を評価します。これにより、攻撃者の視点からシステムのセキュリティを評価し、より効果的なセキュリティ対策を実施することにつながります。

ただ、ペネトレーションテストはシステムが攻撃に耐えられるかどうか確認することを目的としたテストであり、脆弱性を網羅的に洗い出すことに特化したテストではないことには注意を払うべきでしょう。

無料ツールや自社テストにはいくつかの問題も

なお、無料のツールでも簡単なテストはできますが、これらのツールは脆弱性の有無を検出することはできても、攻撃者が実際に攻撃を仕掛けた場合の被害を評価することはできません。また、自社で実施するテストでは、攻撃者の視点に立って疑似攻撃を行うことが難しいため、脆弱性が悪用されることで生じるリスクを過小評価してしまう可能性があります。

また無料のツールや自社で実施するテストでは、攻撃手法の網羅性が不十分な場合があり、実際には存在する脆弱性を見逃してしまう可能性があります。そのため、正確な調査結果を得るには、ペンテスト専門のサイバーセキュリティ会社に依頼することをおすすめします。

ペネトレーションテスト（侵入テスト）の基本的なステップ

ペネトレーションテスト（侵入テスト）は、悪意のある攻撃者と同じ手法を用いて、システムのセキュリティを評価するテストです。

ペネトレーションテストには、以下の4つの基本的なステップがあります。

①範囲と目的を定義する

ペネトレーションテストの範囲と目的を明確に定義します。テストの範囲と目的を明確に定義することで、テストの効率性と信頼性を高めることができます。これによって、テスト対象システムの範囲、テストの目的、テストの対象とする攻撃手法などを定義します。

②脆弱性を特定する

次に対象システムに潜在する脆弱性を特定します。これは前述したような脆弱性スキャナーによる診断などの方法を用いて、脆弱性を特定します。

なお、脆弱性スキャナーは、対象システムの脆弱性データベースと照合することで、システムに存在する脆弱性を自動的に検出することができるツールです。

③侵入を試みる・リスク評価する

脆弱性を突いて、外部からシステムに侵入することができるかを試みたあと、攻撃者がどのようにシステムを操作できるかを調査します。具体的には、以下の内容を調査します。

• 侵入したユーザー権限
• 侵入したシステムの範囲
• 攻撃者が実行できる操作

その後、攻撃者がシステムに侵入した場合に、どのような被害が発生する可能性があるかを評価します。具体的には、以下の内容を評価します。

• 情報の漏えい
• システムの改ざん
• システムの停止

これらの調査結果を踏まえて、システムのセキュリティ対策の改善策を検討します。

④報告書の作成

調査と評価の結果に基づいて、報告書が作成されます。報告書では、検出された脆弱性、侵入に成功したかどうか、侵入した場合にどのような被害が発生する可能性があるかなどが記載されており、具体的には、以下のような対策事項を確認するのに有効です。

• 脆弱性の修正
• セキュリティ対策の強化
• 運用ルールの見直し

ペネトレーションテスト（侵入テスト）を行うメリット

ペネトレーションテスト（侵入テスト）を行うメリットは次のとおりです。

セキュリティ上の脆弱性を洗い出せる

ペネトレーションテストは、実際に攻撃を仕掛けることで、システムやネットワークに存在する脆弱性を特定することができます。

脆弱性は、攻撃者がシステムに侵入するための足掛かりとなるため、早期に発見して対策を講じることが重要です。テストで見つかった問題を修正することで、攻撃者が悪用する脆弱性を排除し、システムの安全性を高めます。これにより、データ漏えいリスクやセキュリティ上の問題を減らすことができます。

セキュリティ対策の有効性を検証・評価できる

ペネトレーションテストでは、攻撃者が実際に行うであろう攻撃手法を想定してテストが行われます。そのため、既存のセキュリティ対策が十分に機能しているか、つまり既存のセキュリティ対策がどの程度有効であるかを評価することができます。

DDFのペネトレーションテスト（侵入テスト）

ペネトレーションテストの実施には、セキュリティやシステムに関する豊富な知識と経験が必要です。

DDFでは、OSCP資格保持者が在籍しており、高い専門性と豊富な知識、経験を積んだホワイトハッカーによるペネトレーションテストが実施可能です。お客様のご相談内容に合わせて、想定される脅威から対象システムへの攻撃シナリオを設定し、疑似的なサイバー攻撃を行うことでセキュリティ上の脆弱性や問題点を評価します。

OSCPとは、Offensive Security Certified Professional の略で Offensive Security社が開発・運営するペネトレーションテストの認定試験です。資格取得により、攻撃対象への侵入や特権昇格の技術力を証明することができます。国際的に難関資格とされており、海外ではペネトレーションテストを実施するための必須要件です。

想定するシナリオ

ペネトレーションテストではシステムやネットワーク環境に合わせて様々なシナリオを設定します。設定したシナリオで実際に侵入を試みることで、システムの脆弱性や問題点を評価するのです。想定するシナリオの例は以下を参考にしてください。

• サイバー攻撃で悪用されやすいVPNの脆弱性をついた攻撃を試みる
• インターネット経由でWebサーバへ侵⼊を試みる
• パスワードクラックを試みる
• Webサーバへ侵入できたことを想定し、機密情報の窃取を試みる
• 社内システムへ侵入できたことを想定し、ファイルサーバへ不正アクセスを試みる

テスト実施の流れ

ペネトレーションテストの基本的な流れは以下のステップで行われます

1. ポートスキャン
   サーバの各ポートへデータを送信し、その応答状況を調べる方法です。各ポートの状況を把握し、そのサーバでどんな機能（サービス）が提供されているかなどを把握します。
2. 脆弱性診断
   対象のシステムやサーバの脆弱性を洗い出します。（網羅的ではない）
3. 疑似攻撃の実施
   想定シナリオを決定し、ホワイトハッカーによる疑似攻撃を実施します。
4. レポーティング
   疑似攻撃実施後、テストの結果に基づいた報告書を作成します。テストで発見された脆弱性や問題点の詳細、今後の対策などを記載します。

ご報告

テスト実施後、結果と今後推奨する対応をまとめた報告書をご納品します。ご報告内容は以下を参考にしてください。

ご報告内容

• エグゼクティブサマリ
• テスト結果の詳細（スクリーンショット付きで説明）
• 対応すべき事項
• 推奨対応事項

ペネトレーションテスト（侵入テスト）は専門業者へ依頼する