企業向けペネトレーション テスト ガイド: 範囲、方法、修復

侵入テスト (ペネトレーション テスト) は、システムに対する実際の攻撃をシミュレートし、攻撃者が行う前に脆弱性を発見します。自動化された脆弱性スキャンとは異なり、ペネトレーション テストには、攻撃者の立場になって考え、脆弱性を連鎖させ、自動ツールではできない方法で防御をテストする熟練したセキュリティ専門家が関与します。

Coalfire の調査によると、侵入テストの 73% で少なくとも 1 つの重大な脆弱性が発見され、42% で完全なシステム侵害への道が発見されました。しかし、多くの組織は侵入テストの実施が不十分で、範囲が狭すぎたり、間違ったベンダーを選択したり、調査結果に基づいて行動しなかったりします。このガイドにより、侵入テストへの投資から最大限の価値を確実に得ることができます。

---

侵入テストの種類

知識レベル

---

侵入テストの範囲を設定する

ステップ 1: 目標を定義する

ステップ 2: 範囲を定義する

以下を含めます:

• インターネットに接続されているすべての IP アドレスとドメイン
• 重要な社内システム (ERP、人事、財務)
• Web アプリケーション (本番 URL)
• APIエンドポイント
• クラウド環境とサービス
• 認証メカニズム

除外 (正当な理由あり):

• あなたが所有していないサードパーティのホスト型サービス
• 開発中のシステム (代わりにテストステージング)
• ピーク業務時間中の生産システム (業務時間外にスケジュール)
• 特別に許可されていない限り、破壊的テスト (DoS、データ破壊)

ステップ 3: 関与ルールを設定する

テストを開始する前にこれらを文書化してください。

---

侵入テスト ベンダーの選択

評価基準

Red Flags

• ベンダーは自動スキャンのみを提案しています (実際の侵入テストではありません)
• 認定資格を持つ指名テスターがいない
• 非常に低価格（複数日間の契約で 3,000 ドル未満）
• 関与ルールに関する議論はありません
• レポート テンプレートには修正ガイダンスがありません
• ベンダーは自社の方法論を説明できない

---

侵入テスト レポートを理解する

脆弱性の重大度評価

優れたレポートの内容

• 概要 --- 専門用語ではなく、ビジネス リスクに関する用語
• 方法論 --- 何をどのようにテストしたか
• 重大度、証拠、ビジネスへの影響を伴う調査結果**
• 各調査結果に対する 修復ガイダンス (具体的、実用的)
• 肯定的な調査結果 --- あなたがうまくやっている点
• セキュリティ向上のための 戦略的な推奨事項
• 付録には生データと詳細な技術的証拠が含まれます

---

修復プロセス

ステップ 1: トリアージ (1 ～ 2 日目)

• IT およびセキュリティ チームとすべての調査結果を確認します
• 検出結果を検証します (検出結果が偽陽性ではなく本物であることを確認します)
• 検出結果ごとに所有者を割り当てます
• 重大度とビジネスリスクに基づいて優先順位を付けます

ステップ 2: 計画 (3 ～ 7 日目)

ステップ 3: 修復 (さまざま)

• 重要な検出結果と重要な検出結果をすぐに修正します
• 中程度の結果を次のメンテナンスウィンドウにグループ化します
• 次の四半期に低い結果をスケジュールする

ステップ 4: 検証 (修復後)

• 重要かつ重要な結果の再テストをリクエストします (ほとんどのベンダーには限定的な再テストが含まれています)
• 修復の証拠を文書化する
• リスク登録簿を更新する

---

侵入テストのスケジュール

---

関連リソース

• インシデント対応計画テンプレート --- 脆弱性が悪用された場合の対処方法
• ゼロトラスト実装ガイド --- アーキテクチャー防御
• クラウド セキュリティのベスト プラクティス --- クラウド固有のセキュリティ
• API セキュリティと認証 --- 侵入テストの対象となる API のセキュリティ保護

---

侵入テストは、セキュリティ プログラムの現実性をチェックするものです。これにより、ユーザーが考えるセキュリティ体制と攻撃者が認識するセキュリティ体制との間のギャップが明らかになります。セキュリティ評価と侵入テストの調整については、ECOSIRE までお問い合わせください。