悪意のある攻撃を防ぐために、組織は侵入テストを実施してシステム内の脆弱性を検索します。 ペネトレーションテストでは、電子ツールを使用して、悪意のある攻撃の抜け穴となる可能性のある欠陥を明らかにします。 サービスの XNUMX つとしてペネトレーション テストを提供するペネトレーション会社もあります。 この記事では、侵入テストの会社とツールのリストを提供します。
侵入テストとは?
ペネトレーション テストは、コンピュータ システムが悪用可能な欠陥がないかテストするサイバーセキュリティ アプローチです。 ソフトウェアの欠陥や脆弱性を発見、テストし、強調するためにこれを利用している組織があります。 侵入テストまたは倫理的ハッキングとも呼ばれます。
倫理的ハッカーは、これらの侵入テストを頻繁に実行します。 これらの内部スタッフ メンバーや外部関係者は、攻撃者の戦術や行動を模倣して、組織のコンピュータ システム、ネットワーク、または Web アプリケーションがどれほど簡単に侵害されるかを評価します。
侵入テストを使用すると、次のことができます。
理想的な世界では、ソフトウェアやシステムは、有害なセキュリティ欠陥が存在しないようにゼロから作成されているはずです。 侵入テストは、その目標の成功に関する情報を提供します。 侵入テストはビジネスに利益をもたらします。
- システム的な欠陥を発見します。
- コントロールの堅牢性を特定します。
- データ プライバシーとセキュリティに関する法律 (PCI DSS、HIPAA、GDPR など) の遵守を奨励します。
- 現在のセキュリティ状況と予算の優先順位について、経営に関連する定性的および定量的な例を示します。
侵入テストはどのように行われますか?
倫理的ハッカーは、悪意のある行為者の立場に立ってペネトレーションテストに使用されます。 ネットワーク所有者は、どのシステムがテストの対象となるか、およびテストがどれくらいの期間続くかを詳細に記した侵入テストの範囲を正確に定義します。
スコープを設定すると、テスターが実行できる内容に関するルール、トーン、および制限が確立されます。 倫理的ハッカーは、範囲とスケジュールが設定された後、ネットワークへのエントリ ポイントを検索することから作業を開始します。
ネットワークへの潜在的なエントリ ポイントを見つけるのに役立つ脆弱性スキャンは、通常、テストの最初のステップです。 不正なパケットを誤って処理するアプリケーションや不適切に構成されたファイアウォールも、これらの脆弱性の原因となる可能性があります。
テスターは、システムが侵害された後、特権アカウントへのアクセスを試みて、ネットワークをさらに調査し、追加の重要なシステムにアクセスすることができます。 侵入テスターはネットワークを分析し、エスカレーション戦術を使用して最悪のシナリオを検討します。
侵入テスターは、テストの範囲に応じて、さまざまな通常とは異なる方法でネットワークにアクセスできます。 汚染された USB ドライブを企業内に廃棄することも、これらの方法の XNUMX つです。 熟練していない従業員がそのドライブを発見し、企業ネットワークに接続すると、仮想的な攻撃が加速する可能性があります。
物理層は、無視されることが多いサイバーセキュリティのもう XNUMX つの部分です。 最も優れたネットワーク セキュリティであっても、ロックされていないドアや偽の IT スタッフによって破られる可能性があり、場合によっては実際の機器が持ち出されてしまうこともあります。
テストされた手順またはシステムを要約し、侵害を特定し、テスト終了後に修正措置を作成することを提案する、徹底的な調査結果レポート。 提案された一連のセキュリティ アップグレードの実装後、年次侵入テストが繰り返される場合があります。
一般的な侵入テスト戦略
組織の目標に基づいてよく使用される侵入テスト手法をいくつか紹介します。
#1. 外部テスト
これには、企業のネットワーク境界への侵入が伴い、エクストラネットやインターネットなど、組織のシステムの外部から実行される手法も利用されます。
#2. 内部テスト
この方法は通常、組織の環境内から実行されます。 テストの目的は、ネットワーク境界が侵害された場合の潜在的な結果、または許可されたユーザーが組織のネットワークを通じて特定の情報リソースにアクセスするために行う可能性があることを把握することです。
#3. ブラインドテスト
この場合、テスターは本物のハッカーの活動を模倣しようとします。 ターゲットについてさらに詳しく知り、侵入テストを実行するには、テスト チームは公的にアクセス可能な情報 (企業 Web サイト、ドメイン名登録など) に依存する必要がありますが、その情報についてはほとんど、またはまったく知識がありません。
＃4。 二重盲検法
この演習では、組織内の選択されたグループの個人のみがテストについて知らされます。 IT およびセキュリティの従業員は、事前に通知も連絡も受けていないため、計画されたテスト操作に「気付かない」ことになります。 組織のセキュリティ監視、インシデント検出、エスカレーション、対応プロセスはすべて、二重盲検テストを使用してテストできます。
#5. 対象を絞ったテスト
これは、ライトオン戦略とも呼ばれ、侵入テストと IT チームの両方が必要になります。 これには、テスト手順の理解と、ターゲットとネットワーク アーキテクチャに関する事前の知識が含まれます。 ブラインド テストに比べて、対象を絞ったテストは時間も労力もかかりませんが、多くの場合、企業のセキュリティ上の欠陥と対応能力を完全には把握できません。
侵入テストの例とは
侵入テストの例は次のとおりです。
- ソーシャル エンジニアリング技術を使用してシステムおよび関連データベースにアクセスする。
- 重要なアカウントにアクセスするためのフィッシングメール。
- ネットワーク共有システム経由でプライベート データベースにアクセスします。
- パスワードの暗号化を解除します。
これらの試行は、脆弱性スキャンよりもはるかに侵入的である可能性があり、サービス拒否が発生したり、通常のシステム使用量を超えて生産性が低下したり、マシンが破損したりする可能性があります。
侵入テストにはどのような種類がありますか?
- 外部または内部ネットワーク侵入テスト サービス
- Web アプリケーション侵入テスト サービス
- モバイルアプリケーション侵入テストサービス
- ICS/SCADA 侵入テスト サービス
- IoT およびインターネット対応デバイスの侵入テスト サービス
- ソーシャル エンジニアリング/クライアント認識ペン テスト サービス
- レッドチーム攻撃シミュレーション
- ワイヤレスネットワーク侵入テストサービス
- ブラックボックス | グレーボックス | 白い箱
侵入テストツールとは?
ペネトレーション テスト ツールは、一部の操作を自動化し、テストの効率を高め、人間による分析技術のみを使用して発見するのが難しい欠陥を検出するために使用されます。 最も一般的なテスト手法は、静的分析ツールと動的分析ツールです。
侵入テストツール
にもかかわらず、侵入テスト ツールは通常、ネットワークまたはサービスの大規模なセキュリティ レビューの一環として導入されます。 開発者は、まったく同じツールを自由に利用して、自分の作業の有効性を検証できます。 以下は、上位の侵入テスト ツールのリストです。
#1. カリ・リナックス。
Kali Linux は、侵入テストとデジタル フォレンジック用の Debian ルーツを持つ Linux ディストリビューションです。 Offensive Security がそれを監督し、メンテナンスを提供します。
Kali Linux では、グラフィカルなサイバー攻撃管理ツール Armitage、ポート スキャナー Nmap、パケット アナライザー Wireshark、パスワード クラッカー John the Ripper、自動 SQL インジェクションおよびデータベース乗っ取りツール SQLmap など、約 600 の侵入テスト アプリケーション (ツール) が利用可能です。 、無線 LAN をテストするためのソフトウェア スイート Aircrack-ng、Burp スイート、OWASP ZAP Web アプリケーション セキュリティ スキャナーです。
#2. メタスプロイト。
Metasploit は、いくつかの侵入テスト ツールのコレクションを提供します。 常に変化し続けるフレームワークです。 これは、このプラットフォームに知識を提供できる今日の倫理的なハッカーに遅れないようにするためです。
PERL プラットフォームを利用する Metasploit には、さまざまなペネトレーション テストの実行に使用でき、さらにカスタマイズ可能なエクスプロイトが多数組み込まれています。 たとえば、ネットワーク スニファーがすでに組み込まれており、さまざまな種類のサイバーベースの攻撃を開始および計画するための多数のエントリ ポイントが組み込まれています。
#3. SQLマップ。
SQLmap は、SQL インジェクションの問題を検出して悪用するために使用できる侵入テスト ツールです。 ユーザー入力を使用して、SQL クエリの実行方法を変更することもできます。 2006年にダニエレ・ベルッチによって創設されました。
＃4。 げっぷスイート
Java ベースの Burp Suite 侵入テスト ツールは、PortSwigger Web セキュリティによって作成されました。 これは、テストと脆弱性スキャンを組み合わせた Web アプリケーション向けのソリューションです。
#5. ンマップ。
NMAP は、企業内のネットワーク環境の脆弱性を特定するための侵入テスト ツールです。 これは監査にのみ適用されます。 NMAP は、新しく形成された生データ パケットを使用して、次のことを確認します。
- 特定のネットワーク セグメント上ではどのホストにアクセスできますか?
- これらのホストが提供するサービスに関する情報。
- オペレーティング システムの識別 (「フィンガープリンティング」とも呼ばれます)
特定のホストが使用するデータ パケット フィルターとファイアウォールのバージョンと種類
組織は、NMAP を利用してネットワーク セグメントの仮想マップを構築することで、サイバー攻撃者が悪用できる可能性のある重要な弱点を特定できます。 NMAP は無料のオープンソース プログラムであり、ペネトレーション テスト手順のどの時点でも使用できます。
#6. ジョン・ザ・リッパー
JTR は、迅速かつ効果的に機能するパスワード クラッカーです。 現在、Unix、macOS、Windows、DOS、BeOS、OpenVMS などのいくつかのオペレーティング システムで利用できるようになりました。 侵入テスターは、これを使用して弱いパスワードを特定し、ほとんどの人がパスワードを使用する方法の問題を修正できます。 オープンソース フレームワークを使用して設計および開発されました。
侵入テストツールの特徴
#1. 正確かつ詳細なレポート
適切な侵入テスト ツールは、徹底的かつ詳細な調査結果を提供できる必要があります。 ネットワークの脆弱性を見つけることは、侵入テストの始まりにすぎません。 オペレータまたは管理者は、ネットワークの問題を理解できる必要があります。
この理解がなければ、その後の行動を計画することは困難でしょう。 テストレポートでは、リスクの概要、サポート、評価を行うとともに、発見された脆弱性に対する修正を提案する必要があります。
#2. 統合された脆弱性スキャナー
ほとんどの侵入テスト ツールには脆弱性スキャナーが含まれています。 脆弱性スキャンの目的は、いつかシステムを攻撃にさらす可能性があるハードウェアまたはソフトウェアの欠陥を特定することです。
脆弱性スキャナーは公開されている Common Vulnerabilities and Exposures (CVE) データベースに基づいてスキャンを行うため、定期的な更新が非常に重要です。 指定されたプログラムのリストで実行するようにプログラムされた自動スキャンもスキャンに含まれます。
#3. クロスプラットフォーム機能
複数のデバイス上で実行できる柔軟性は、優れた侵入テスト ソフトウェアの重要な要素です。 侵入テスト ツールの大部分は Linux オペレーティング システムと互換性があり、一部は OS に付属しています。
また、侵入テスト ツールが、Windows オペレーティング システム、macOS、Android モバイル デバイスを備えたさまざまなデバイス間で動作することも重要です。 このため、多くのデバイスと互換性のあるテスト ソフトウェアに対する大きな需要があります。
#4. パスワードを解読する能力
ビジネス ネットワークやコンピュータ ネットワークの最も弱い点の XNUMX つは、パスワードの使用です。 人々は、重要な情報へのアクセスを保護するために、可能な限り単純な文字の組み合わせを選択することがよくあります。
このため、侵入テストにはパスワードの強度の評価が含まれます。 そのため、侵入テストにはパスワード解析ソフトウェアが必須となります。 パスワードの強度を決定するために、ブルート フォース攻撃、暗号解析攻撃、辞書攻撃などの要素を組み合わせます。
ペネトレーションテストの給与
侵入テストの給与は、侵入テスト担当者の役割や業界によって異なる場合があります。 米国におけるペネトレーション テストの平均給与は、推定年間報酬総額 97,671 ドル、平均給与は 90,596 ドルです。 ただし、これらの数値は、さまざまなユーザーから収集した賃金に関するデータに基づいた平均値を示しています。
予想される追加給与は年間 7,075 ドルです。 現金ボーナス、コミッション、チップ、利益分配はすべて、追加報酬の形態として考えられます。
電子侵入テスト
電子侵入テストは、テストにアクセスするための知識やユーザー名、パスワード、その他の手段を持たずにアクセスを試みるプロセスです。 通常、組織のセキュリティでは、侵入テストなどのプロアクティブな手順を使用して、遡及的な変更の必要性を減らし、セキュリティを強化します。
電子侵入テストは、テストで生成された結果に応じて継続的な自主的な調整を行うプロアクティブなサイバーセキュリティ対策です。 これは、欠陥が顕在化したときに対処しない消極的な戦略とは対照的です。 たとえば、企業がデータ侵害後にファイアウォールを改善することは、サイバーセキュリティに対する非積極的なアプローチになります。
ペネトレーションテスト会社
ペネトレーション テスト会社は、倫理的なサイバー セキュリティ評価の一種であるペネトレーション テスト サービスを実行し、コンピュータ ネットワーク、システム、アプリケーション、Web サイトに影響を与える弱点を見つけて安全に悪用し、見つかった欠陥を修正して悪意のある攻撃に遭遇するリスクを軽減します。攻撃。 組織は、コンピュータ セキュリティの欠陥を見つけるために侵入テスト会社と契約します。
侵入テスト会社には次のものがあります。
- ラピッド7。
- セキュアワークス
- アストラセキュリティ
- 検出
- 侵入者
- インビクティ
- 会社のAcunetix
- ネットスパーカー。
なぜ侵入テストを実行するのでしょうか?
- 侵入テストの目的は、組織が攻撃に対して最も脆弱な場所を示し、ハッカーが悪用する前にそれらの穴を塞ぐ予防措置を講じることができるようにすることです。
- セキュリティ制御をテストして、アプリケーション、ネットワーク、および物理セキュリティ層が全体としてどの程度適切に機能しているかを確認します。
- 敵からの攻撃に対して最も脆弱なコンピュータ システムのエンドポイントを可視化する必要があります。
- これはコンプライアンスを確保するためでもあります。 組織は、情報セキュリティ コンプライアンスにおける侵入テストの業界要件を遵守できます。
- 侵入テストは、企業が脆弱性に優先順位を付け、セキュリティ プログラムで解決するのに役立ちます。
XNUMX 種類の侵入テストとは何ですか?
侵入テストの種類には次のものがあります。
- ブラックボックス侵入テスト。
- グレーボックス侵入テスト。
- ホワイトボックス侵入テスト。
侵入テストと侵入テストの違いは何ですか?
ペネトレーション テストはリアルタイムで行われますが、ペネトレーション テストは時間内の特定の出来事を指します。 アプリの「侵入テスト」は可能であり、そうすべきです。私たちは、より多くのプログラマーとセキュリティ チームが定期的にそれを行うことを望んでいます。
結論は、
組織は通常、侵入テストを行って脆弱性を特定し、コンピュータのセキュリティが意図したとおりに動作していることを確認します。 これらのテストは、企業がハードウェア、ソフトウェア、人的リソースの欠陥を探索する際に積極的な姿勢をとり、継続的で常に変化するサイバー脅威シナリオに対応できる効率的な制御を確立するのに役立ちます。
よくあるご質問
ペネトレーションテスターはどの言語を使用しますか?
ペネトレーションテスターはほとんどが Python に精通しています。
Pentest ツールの目的は何ですか?
多くの IT サービス プロバイダーは、セキュリティ テストに侵入テスト ツールを使用しています。 侵入テスト ツールを使用すると、複雑なハイブリッド環境で欠陥を見つけることができ、テスターはこれを使用してシステムをコンプライアンス標準やセキュリティ ベンチマークと照合してチェックできます。
侵入ツールを選択する基準は何ですか?
侵入ツールを選択するときは、導入、設定、使用が簡単である必要があることに留意してください。
自動脆弱性検証を実行できる必要があります。
- 市場浸透戦略: 市場浸透へのガイド (+無料のヒント)
- ビジネスの成長戦略: 2023 年の簡単なヒントと必要なすべて
- 浸透価格戦略：新興市場向けガイド
- 侵入テスト: 意味、例、種類、段階
- 浸透価格設定ポリシー：市場参入を獲得する方法
参考文献
