ペネトレーションテスト-制限

情報技術の分野での開発のペースが速いため、侵入テストのサクセスストーリーは比較的短命です。システムに対するより多くの保護が必要なため、企業が認めるレベルまで攻撃が成功する可能性を減らすために、侵入テストを実行する必要があるよりも多くの場合です。

以下は、侵入テストの主な制限です。

• Limitation of Time−私たち全員が知っているように、侵入テストは常に制限された演習ではありません。それにもかかわらず、侵入テストの専門家は、各テストに一定の時間を割り当てています。一方、攻撃者には時間の制約がなく、1週間、1か月、さらには数年で計画を立てます。

• Limitation of Scope −組織の多くは、リソースの制約、セキュリティの制約、予算の制約など、独自の制限があるため、すべてをテストするわけではありません。同様に、テスターの範囲は限られており、システムの多くの部分を離れる必要があります。脆弱であり、攻撃者にとって完璧なニッチになる可能性があります。

• Limitation on Access−多くの場合、テスターはターゲット環境へのアクセスを制限しています。たとえば、企業がインターネットネットワーク全体からDMZシステムに対して侵入テストを実行したが、攻撃者が通常のインターネットゲートウェイを介して攻撃した場合はどうなるでしょうか。

• Limitation of Methods−侵入テスト中にターゲットシステムがクラッシュする可能性があるため、特定の攻撃方法の一部は、プロの侵入テスターのテーブルから外される可能性があります。たとえば、システムまたはネットワーク管理者を別の攻撃方法からそらすためにサービス拒否フラッドを生成することは、通常、本当に悪者にとって理想的な戦術ですが、ほとんどのプロの侵入テスターの関与のルールから外れる可能性があります。

• Limitation of Skill-sets of a Penetration Tester−通常、プロの侵入テスターは、専門知識や過去の経験に関係なくスキルが限られているため、制限されています。それらのほとんどは特定の技術に焦点を当てており、他の分野の知識はほとんどありません。

• Limitation of Known Exploits−テスターの多くは、公開されているエクスプロイトのみを認識しています。実際、彼らの想像力は攻撃者ほど発達していません。攻撃者は通常、テスターの考えをはるかに超えて考え、攻撃する欠陥を発見します。

• Limitation to Experiment−ほとんどのテスターは期限があり、組織または先輩からすでに与えられている指示に従います。彼らは何か新しいことを試みません。彼らは与えられた指示を超えて考えません。一方、攻撃者は自由に考え、実験し、攻撃への新しいパスを作成することができます。

さらに、侵入テストは、通常のITセキュリティテストに取って代わることも、一般的なセキュリティポリシーを置き換えることもできません。むしろ、侵入テストは、確立されたレビュー手順を補足し、新しい脅威を発見します。