企業のデータベースや大手プラットフォームなどが、サイバー攻撃の被害に遭う事例が増えています。現在、セキュリティ対策の重要性はかつてなく高まっているといっても過言ではない状況です。企業のセキュリティ担当者やWebサービスの運用を任されるエンジニアの方には、決して他人事とは捉えられない緊張感が走っていることでしょう。

本記事では、企業の基幹システムやネットワークの脆弱性を検証し、安全性を確認するために用いられる手法であるぺネトレーションテストについて詳しく解説。テストの目的や手法、脆弱性診断との違い、費用相場などを掘り下げていきます。

ペネトレーションテストとは

ペネトレーションテスト（ペンテスト）とは、ネットワークやシステムなどにおける脆弱性を検証するテスト手法のひとつです。実際に攻撃を試み、システムの弱点を発見し、その改善策を見つけ出すアプローチを経て、攻撃を未然に防ぐための有効な対策を講じます。

具体的には、次のようなプロセスでの検証を経て、システムの信頼性の維持を目指します。

• ネットワーク：ネットワークのセキュリティを評価し、外部からの攻撃に対する防御力を検証する
• PC・サーバー：個々のコンピュータやサーバーの脆弱性を調査し、システム全体の安全性を確保する
• アプリケーション：Webアプリケーションやソフトウェアの脆弱性を検証し、不正アクセスやデータ漏洩を防ぐ

 

ペネトレーションテストの必要性と目的

現代の企業では、リモートワークの浸透やクラウドサービスの利用などに伴い、ネットワーク構成の複雑化が進んでいます。つまり、従来以上のセキュリティ対策が求められる環境に置かれているということであり、ペネトレーションテストの実効性があらためて注目されることとなったのです。

ペネトレーションテストの主な目的は、実際にシステムに侵入・攻撃して脆弱性を見つけ、その脆弱性を悪用されるリスクを評価することにあります。これにより、システムの安全性を確認し、次のような改善策にフィードバックしていきます。

• 脆弱性の発見と修正：システムやネットワークの弱点を早期に発見、修正し、攻撃を未然に防ぐ
• セキュリティ対策の評価：現在のセキュリティ対策の効果を評価し、必要な改善を加える
• 法令遵守：規制やセキュリティ基準を満たし、コンプライアンスを達成する
• 経営層への報告：テスト結果を用いてセキュリティ対策の重要性をエスカレーションし、必要な予算を確保する

 

ペネトレーションテストと脆弱性診断の違い

ペネトレーションテストに類似する言葉に「脆弱性診断」があります。両者はしばしば混同されますが、厳密には異なる手法です。

脆弱性診断とは、システムの弱点を自動的にスキャンし、検出する手法です。一方、ペネトレーションテストは実際に攻撃を試みることで、脆弱性の実際の影響を評価します。

 

ペネトレーションテストの費用相場

ぺネトレーションテストの費用は、テストを実施する範囲や想定するシナリオによって大きく変動します。一般的には数十万円から数千万円とされていますが、具体的な費用は、テストの規模や複雑さに依存します。

 

ペネトレーションテストの種類

ペネトレーションテストの種類は、大きく「外部ペネトレーションテスト」と「内部ペネトレーションテスト」に分類できます。

両者はそれぞれ異なる視点からシステムのセキュリティを評価するもので、両方のテストを組み合わせて実施することで、総合的なセキュリティを強化する関係性です。

 

外部ペネトレーションテスト

外部ペネトレーションテストは、外部からの攻撃をシミュレーションするテストです。主にインターネット経由での攻撃を想定しており、外部の攻撃者がシステムに侵入できるかどうかを検証します。

内部ペネトレーションテストと比較すると、外部からの脅威に対する防御力を評価することが特徴であり、外部からの不正アクセスやデータ漏洩を防ぐための重要な手段となっています。

 

内部ペネトレーションテスト

一方、内部ペネトレーションテストは、内部からの攻撃をシミュレーションするテストです。従業員や内部関係者による不正行為を想定し、内部ネットワークやシステムの脆弱性を検証します。

 

ペネトレーションテストの手法

ペネトレーションテストの手法は、大きく「Whitebox型」と「Blackbox型」に分類でき、両者は異なる視点と方法でシステムのセキュリティを評価します。

この手法についても、両方のテストを実施することで、システムの総合的なセキュリティ強化を可能とする関係性です。

 

Whitebox型

Whitebox型のペネトレーションテストは、システムの内部構造やソースコードを把握したうえで行うテスト手法を指します。内部の脆弱性を詳細に検出する際に適しており、システム内部の情報を使用して脆弱性を検出し、修正するアプローチです。

Blackbox型と比較して、より深い分析が可能であり、通常は開発者や内部セキュリティチームが実施します。

 

Blackbox型

一方、Blackbox型のペネトレーションテストは、システムの内部構造やソースコードを知らない状態で行うテスト手法を指します。Whitebox型と比較して、外部からの脅威に対する防御力を評価するのに適しています。

このテストは、外部からの攻撃者の視点でシステムを評価し、セキュリティの脆弱性を検出するものであるため、主に外部のセキュリティ専門家が行います。

 

ペネトレーションテストの形式

ペネトレーションテストには次の4つの形式があり、それぞれの形式には独自の特徴と目的があります。

 

シナリオ型

シナリオ型のペネトレーションテストは、特定の攻撃シナリオに基づいてテストを行う手法です。

この形式では、攻撃者が実際に使用する可能性のある攻撃パターンをシミュレーションし、システムの防御力を評価します。特定の攻撃経路を予測し、その脆弱性を検証するために効果的です。

 

脅威リード型

脅威リード型のペネトレーションテストは、最新の脅威情報をベースにテストを行う手法です。

この形式では、新たに発見された脆弱性や攻撃手法に対する防御力を評価します。迅速に変化するサイバー脅威に対処するために効果的です。

 

PCI　DSS型

PCI DSS型のペネトレーションテストは、PCI DSS（Payment Card Industry Data Security Standard）に準拠したテスト手法です。

この形式では、クレジットカード情報を扱うシステムのセキュリティを評価し、規制に準拠するために必要なセキュリティ対策を確認します。

 

組込みシステム型

組込みシステム型のペネトレーションテストは、その名の通り組込みシステム向けに特化したテスト手法です。

この形式では、IoTデバイスや産業機器など、特定の組込みシステムのセキュリティを評価し、ハードウェアとソフトウェアの両方の脆弱性の検証に適しています。

 

ペネトレーションテストのやり方

ペネトレーションテストのやり方は、大きく以下のフェーズに分類されます。プロセスごとに、詳細を確認していきましょう。

• 準備
• 手法
• レポート作成と改善

なお、ペネトレーションテストの期間は、テストの範囲や複雑さによって異なりますが、一般的には数週間から数ヶ月かかるケースが多いです。

 

準備

準備フェーズでは、テスト対象の環境分析、要求分析、実施計画の作成、テスト環境の構築などを行います。これにより、ペネトレーションテストの範囲や目標を明確にし、効率的にテストを進めることができます。

1. テスト対象の環境分析：テスト対象となるシステムのネットワーク構成や使用されているソフトウェア・ハードウェアの情報を収集します
2. 要求分析：テストの目的および範囲を明確にし、どの部分に力点を置くかを定めます。関係者とコミュニケーションを取りながら、テストのゴールを設定します
3. 実施計画の作成：テストのスケジュール、リソース配分、具体的な手順などを策定します。この計画にはリスク管理や緊急時の対応策も含まれます
4. テスト環境の構築：実際のペネトレーションテストを実施するための環境を設定します。必要に応じて、テスト用の仮想環境やサンドボックスを準備します

 

手法

手法フェーズでは、情報収集、分析、攻撃、検証などを行います。具体的には、システムの脆弱性を探索し、実際に攻撃を試みてその影響を評価します。

1. 情報収集：公開されている情報やシステムに対する情報を収集します
2. 脆弱性評価：収集した情報をもとに、システムの脆弱性を特定します
3. 侵入テスト：脆弱性を利用して実際にシステムに侵入を試みます。このステップでは、システムの弱点を具体的に検証し、どの程度侵害できるかを確認します
4. 権限昇格：侵入後、システム内での権限を高めるための手法を試みます。これは、さらなるデータアクセスやシステム制御を試すためです
5. 持続的なアクセス確立：権限を取得した後、そのアクセスを持続する方法を確認します。バックドアの設置や持続的なアクセス方法を模索します
6. データ収集と検証：侵入が成功した場合、どのデータにアクセスできるかを確認し、その影響を評価します
7. 攻撃の痕跡除去：侵入テストの痕跡を消去し、システムの管理者に発見されないようにする手法を確認します

 

レポート作成・改善

テスト後は、レポートを作成して結果を分析し、対策を実施します。対策の実効性を測るべく、再テストの実行も重要です。

1. 結果の分析：テストで得られたデータや発見された脆弱性を詳細に分析します
2. レポート作成：ペネトレーションテストの結果を文書化し、発見された脆弱性やそれに対する具体的な改善策を提示します。レポートには、発見された脆弱性の概要や攻撃シナリオとその影響、推奨される対策、総合的なセキュリティ評価などを記載します
3. フィードバックセッション：テスト結果を関係者と共有し、改善策を議論します
4. 対策実施：レポートで推奨された改善策を実施します。これには、パッチの適用や設定の変更、セキュリティポリシーの更新が含まれます
5. 再テスト：対策が適切に実施されたかどうかを確認するために、必要に応じて再度ペネトレーションテストを実施します