ランサムウェアやサプライチェーン攻撃といった言葉をよく耳にするなと感じてはいないでしょうか？「たしかに！」と共感して頂ける方々ばかりではないかもしれませんが、近年ではセキュリティやサイバー攻撃に対する世の中の関心が非常に高まってきております。そして、いくつかのセキュリティ対策製品あるいはサービスを既に導入していらっしゃるケースが多いのではないかと思われます。そういった方々へ自社のセキュリティ対策状況についてお伺いすると、「うちは大丈夫」「どこまで対策したら良いのか不安」などといった具合に、おそらく様々なご意見が出てくるかと思います。
ここで1つの問いを投げかけてみたいと思います。みなさんは「どのような基準からその判断をされてますか？」
判断基準が曖昧であると考えている方々へお薦めしたいセキュリティ対策の1つとして、ペネトレーションテストがあります。今回はこのペネトレーションテストについて、その特徴や目的、セキュリティ対策をわかりやすく解説いたします。
ペネトレーションテストとは？
まずはペネトレーションテスト（またはペンテスト）の基本的な概念から始めましょう。ペネトレーションテストとは、システムやネットワークに対するセキュリティの強度を試す一連のプロセスを指します。つまり、自社のシステムがどれだけ安全なのか、または安全でないのかを確認するためのテストです。
このテストは、サイバーセキュリティの専門家が対象のシステムに対して潜在的な脆弱性を見つけるために実施します。ペネトレーションテスター（ペンテスター）は、ハッカーや攻撃者が利用するさまざまな手法を使って、システムやネットワークに対する攻撃をシミュレーションします。
例えば、オンラインショッピングサイトには多数のユーザー情報（氏名、住所、クレジットカード情報など）が保存されています。ペネトレーションテスターは攻撃者を模倣し、ショッピングサイトが十分に保護されているか、あるいは攻撃者がユーザー情報を盗み出す可能性がある脆弱性が存在するかどうかを調査します。
ペネトレーションテストの恩恵
なぜペネトレーションテストが必要なのでしょうか？その理由は、セキュリティの穴を見つけ、それを修正し、実際の攻撃者からシステムを保護するためです。
ペネトレーションテストの結果を元に、企業は自身のシステムに存在するリスクを特定し、それを修正または軽減するための策を講じることができます。これにより、攻撃者はそれらの脆弱性を利用してシステムへ侵入できなくなります。
また、ペネトレーションテストは法規制順守やセキュリティ基準への準拠を確認するためにも重要です。クレジットカード業界において有名なPCI DSS（Payment Card Industry Data Security Standard）と呼ばれるセキュリティ基準では、定期的なペネトレーションテストが必須となっており、その結果は企業の信用性や顧客信頼の維持に直接影響します。
ペネトレーションテストと他のセキュリティ対策との違い
さて、ここで他のセキュリティ対策との違いについて説明します。ペネトレーションテストは、「”攻撃者の視点”からシステムを評価する」という点で他の多くのセキュリティ対策とは異なります。
他のセキュリティ対策、例えばファイアウォール/WAF/アンチウィルスソフトウェアなどは、実際のサイバー攻撃を検出し防ぐための防御機能を提供します。これらの対策は攻撃者による不正な活動を防ぐために重要ですが、システムに存在する脆弱性自体を特定することはできません。
そしてペネトレーションテストとよく似た対策として脆弱性診断が挙げられます。評価の目的から考えると一般的には、下表のような違いがあると考えられます。
| ペネトレーション | 脆弱性診断 | |
|---|---|---|
| 評価の 目的 | リスクの洗い出し | リスクの洗い出し |
| 目的達成のためのアプローチ | 機密情報の入手やデータの改ざんといった攻撃者が本来達成したい目的を攻撃者に代わって遂行/再現し、その結果によってリスクの有無等を判断する | 対象のシステムにおいて収集可能な、サイバー攻撃のきっかけやヒントに繋がるような脆弱性の情報（＝リスク）をできるだけ多く集める |
| 評価の 対象 | システム全体を対象都市、評価の過程で複数の機器をまたがる場合がある | 特定の機器（Webサイト、IoTデバイス、など）を対象とする場合が多い |
| 評価の 手法 | テスターが直接実施する場合が多い | ツールで実施する場合とテスターが直接実施する場合があり、さらに両者を必要に応じて使い分ける場合もある |
このようにペネトレーションテストは他のセキュリティ対策を補完する役割を果たします。既存のセキュリティ対策がどれだけ有効であるか、またどの部分が改善の余地があるかを明らかにすることができます。
ペネトレーションテストを始めるには？
ぺネトレーションテストを開始するにはまず、適切なペネトレーションテスターを選定することが重要です。以下に、ペネトレーションテスターを選定する際の重要な基準をいくつか挙げてみましょう。
- 技術的なスキルと経験: ペネトレーションテスターは、システムとネットワークのセキュリティに関する広範な知識とスキルを持っている必要があります。また、様々なシステムや状況でのテスト経験も重要です。
- 認証: 国際的に認知されたペネトレーションテスターの認証（例：CEH, OSCP）を持っているかどうかも確認するべきです。これはテスターのスキルと知識が確認されている証拠です。
- 報告とコミュニケーション: ペネトレーションテスターは、見つけた脆弱性とそれを修正するための推奨策をわかりやすく伝えられる報告書を作成できる必要があります。また、全体のプロセスを通じてクライアントと適切にコミュニケーションを取る能力も必要です。
以上がペネトレーションテストについての基本的なガイドです。自社のシステムが安全であるかどうかを確信するために、ペネトレーションテストは不可欠です。読者のみなさまが管理するシステムのセキュリティを向上させるために、少しでもお役に立ちましたら幸いです。
当サイトではWebサイト、モバイル端末、IoT機器が抱える脆弱性によるリスクへの対策を検討している方や、サイバー攻撃の脅威から守るWAFに興味がある方へ、ダウンロード資料をご用意しております。ぜひ資料をダウンロードいただき、ご活用ください。