ペネトレーションテストサービス（侵入テスト）

ラックのセキュリティ技術者が、ネットワークを介してお客様のITシステムに対する疑似攻撃を行い、セキュリティ対策の有効性の調査や被害範囲の想定、あるべき検知能力や対応の考察等を行うことで、お客様のシステム全体の耐性向上に貢献します。マルウェア感染等、第一段階の侵入を前提としたシナリオ想定の場合や、そうでなくとも侵入できた場合には、いわゆる「横展開」を実施し、被害拡散リスク観点の評価に移行します。

ペネトレーションテストは、組織を対象として行うことが基本形となりますが、OSINT情報の収集や社員への標的型攻撃メール送付、いわゆるAPT（高度標的型攻撃）などが代表的な侵入手段であり、これらを模擬的に実施し多層防御を検証します。

特定の外部公開システムのみを対象としたペネトレーションテストをご要望の場合、まずは外部公開サーバや社内の重要サーバに侵入するためにプラットフォーム調査を実施して脆弱性を洗い出します。

侵害可能な脆弱性が存在する場合、実際に侵入を試みることが、診断ではなくペネトレーションテストとしての実施様式です。しかしこの部分は、いわゆる「セキュリティ診断」によって、同等なカバレージを実現可能であり、むしろ「フロントエンドサーバが侵害を受けた場合にも、被害拡大を抑止できる構成であるかどうか」などの脅威シナリオに基づいた確認をすることがペネトレーションテストとしての特徴となります。

• サイバー攻撃対策の現状
• ペネトレーションテストサービスとは
• サービス提供の流れ
• 報告書
• TLPTへの対応
• 価格

サイバー攻撃対策の現状

サイバー攻撃を仕掛ける犯罪者と、攻撃を防ぐ企業の戦いは途切れることなく続き、企業は常に新しい攻撃手段による脅威にさらされています。
防御する私たちは、多層防御を用いて各セキュリティ対策の特性を補完しながら、安全性の確保に取り組んでいますが、攻撃をする側は、無数にある攻撃ポイントに対して、時期や期間を気にせずに攻撃できる立場にあるため、次のような対策を講じても完全に攻撃を防ぐことは難しいといわれています。

リアリティを追求したセキュリティ診断「ペネトレーションテストサービス」とは

サイバー攻撃は、コンピュータが自発的に行っているわけではなく、悪意を持った人間がコントロールをしています。どんなにセキュリティ対策を組み合わせても、その対策が狡猾な人間により付け入る隙を見つけられてしまう可能性があります。
そこでラックは、サイバー攻撃を知り尽くしたセキュリティプロフェッショナルが、お客様が運用している外部公開サーバなどあらゆる侵入経路に疑似攻撃を行い、人の目で弱点を発見します。攻撃に成功した場合は、どこまで企業の深部へ侵入でき、どのような情報を持ち出せるかを調査し、対策の有効性の診断や被害範囲の想定を行うことで、お客様はシステム全体の耐性を確認することができます。

1　システムの情報収集や物理的弱点を調査
検索サイトを利用した情報収集や物理的な弱点について確認。

2　外部公開サーバに侵入できるかを調査
プラットフォームやWebアプリケーションの脆弱性をついて、実際に侵入できるかを確認。

3　疑似マルウェアを用いて、社員のセキュリティモラルを調査
標的型メールが届いた場合の対応を確認したい場合や、社内の情報・メールアドレス等を外部に不用意に公開していないかなども、必要に応じて確認可能。

4　疑似感染により、情報持ち出しができるかを調査
お客様の組織ネットワークがマルウェアに感染した場合のリスクを確認。

「ペネトレーションテストサービス」は、次のように様々な角度から疑似的なサイバー攻撃を行い、お客様のシステムの弱点や被害の広がりを検証し、報告いたします。

サービスについてのお問い合わせはこちらからお願いいたします。

サービス提供の流れ

「ペネトレーションテストサービス」は、次の流れで実施されます。実施内容（シナリオ）については、事前に合意した上で実施します。また実施中にも担当者と確認をとりながら進めますので、本番環境への影響を最小限にした上で実施できます。

報告書

「ペネトレーションテストサービス」実施後に提供する報告書においては、調査により判明した問題点および対策について、絵や実際のコマンド等を用いて、具体的かつ分かりやすく記載します。

TLPTへの対応について

TLPT（Threat-led Penetration Testing）の実施をご要望の場合、以上のようなペネトレーションテストの要素に加えて、下記の要素が求められることになります。

• 実施シナリオが的を射ており、正しい優先順位であることを保証するための、脅威分析・脅威情報収集
• BlueTeamによる防御演習および（WhiteTeamによるコーディネート等を含む）人・組織・運用・体制の面を含めた、技術対策面に限定されない改善点を整理すること

これらを踏まえたTLPTの実施には、確実な技術をバックグランドとしたサイバー攻撃手法の再現が必須ですが、それだけではなく、サイバー攻撃事象とどう向き合うかについてのセキュリティコンサルティングを多分に含むことになります。

TLPTをご要望のお客様に対しては、現状のインシデントレスポンス体制、監視機構等を把握させて頂いた上で、個別にお客様にあったTLPTをご提案いたします。

進め方の例

ペネトレーションテストサービスの価格

ペネトレーションテストサービスは、お客様との打ち合わせにより、要望に沿った実施内容（シナリオ）を作成し提供します。
当社トップクラスのセキュリティ技術者が最低2ヶ月ほどを費やすことを見込み、1,000万円～を想定しています。以下は典型的なケースの価格例です。

※ 価格は実施内容により変動いたします。