ペネトレーションテスト-クイックガイド

ペネトレーションテストとは何ですか？

ペネトレーションテストは、アプリケーションのセキュリティの不安定さをテストするために使用されるセキュリティテストの一種です。これは、システムに存在する可能性のあるセキュリティリスクを見つけるために実施されます。

システムが保護されていない場合、攻撃者はそのシステムを妨害したり、許可されたアクセスを取得したりする可能性があります。セキュリティリスクは通常、ソフトウェアの開発および実装中に発生する偶発的なエラーです。たとえば、構成エラー、設計エラー、ソフトウェアのバグなどです。

侵入テストが必要なのはなぜですか？

ペネトレーションテストは通常、ネットワーク、アプリケーション、エンドポイント、およびユーザーを外部または内部の脅威から保護するシステムの能力を評価します。また、セキュリティコントロールの保護を試み、許可されたアクセスのみを保証します。

侵入テストは不可欠です。

シミュレーション環境、つまり侵入者がシステムを攻撃する方法を特定します。 white hat attack。
侵入者がコンピュータの機能やデータにアクセスするために攻撃できる弱点を見つけるのに役立ちます。
回避をサポートします black hat attack 元のデータを保護します。
潜在的なビジネスへの攻撃の規模を推定します。
テクノロジーのセキュリティ面への投資を増やすことが重要である理由を示唆する証拠を提供します

ペネトレーションテストはいつ実行しますか？

ペネトレーションテストは、システムの機能を保護するために定期的に実行する必要がある重要な機能です。これに加えて、それはいつでも実行されるべきです-

セキュリティシステムは、攻撃者による新しい脅威を発見します。
新しいネットワークインフラストラクチャを追加します。
システムを更新するか、新しいソフトウェアをインストールします。
あなたはあなたのオフィスを移転します。
新しいエンドユーザープログラム/ポリシーを設定します。

ペネトレーションテストはどのように有益ですか？

ペネトレーションテストには次の利点があります-

Enhancement of the Management System−セキュリティの脅威に関する詳細情報を提供します。これに加えて、脆弱性の程度も分類し、どちらがより脆弱でどちらがより弱いかを提案します。したがって、セキュリティリソースを適宜割り当てることで、セキュリティシステムを簡単かつ正確に管理できます。
Avoid Fines−侵入テストは、組織の主要な活動を最新の状態に保ち、監査システムに準拠します。したがって、侵入テストは罰金を科すことからあなたを守ります。
Protection from Financial Damage−セキュリティシステムの単純な違反は、数百万ドルの損害を引き起こす可能性があります。侵入テストは、そのような損害から組織を保護することができます。
Customer Protection− 1人の顧客のデータが侵害されただけでも、評判を損なうだけでなく、大きな経済的損害を引き起こす可能性があります。これは、顧客と取引する組織を保護し、データを無傷に保ちます。

ペネトレーションテストは、システムのさまざまな問題を考慮し、テスト、分析、および解決策を提供する手法の組み合わせです。これは、侵入テストを段階的に実行する構造化された手順に基づいています。

この章では、侵入テスト方法のさまざまなステップまたはフェーズについて説明します。

ペネトレーションテスト方法のステップ

以下は侵入テストの7つのステップです-

計画と準備

計画と準備は、侵入テストの目標と目的を定義することから始まります。

クライアントとテスターは共同で目標を定義し、両者が同じ目的と理解を持つようにします。ペネトレーションテストの一般的な目的は次のとおりです。

脆弱性を特定し、技術システムのセキュリティを向上させるため。
ITセキュリティを外部のサードパーティに確認してもらいます。
組織/人事インフラストラクチャのセキュリティを強化します。

偵察

偵察には、予備情報の分析が含まれます。多くの場合、テスターは予備情報以外の多くの情報、つまりIPアドレスまたはIPアドレスブロックを持っていません。テスターは、利用可能な情報を分析することから始め、必要に応じて、システムの説明、ネットワーク計画などの詳細情報をクライアントに要求します。このステップは、一種のパッシブ侵入テストです。唯一の目的は、システムの完全で詳細な情報を取得することです。

発見

このステップでは、侵入テスターが自動化されたツールを使用して、脆弱性を発見するためにターゲット資産をスキャンする可能性があります。これらのツールには通常、最新の脆弱性の詳細を提供する独自のデータベースがあります。しかし、テスターは発見します

Network Discovery −追加のシステム、サーバー、およびその他のデバイスの検出など。
Host Discovery −これらのデバイスで開いているポートを判別します。
Service Interrogation −ポートに問い合わせて、ポートで実行されている実際のサービスを検出します。

情報とリスクの分析

このステップでは、テスターは、システムに動的に侵入するためのテストステップの前に収集された情報を分析および評価します。システムの数が多く、インフラストラクチャのサイズが大きいため、非常に時間がかかります。テスターは分析中に次の要素を考慮します-

侵入テストの定義された目標。
システムへの潜在的なリスク。
後続のアクティブな侵入テストのために潜在的なセキュリティ上の欠陥を評価するために必要な推定時間。

ただし、識別されたシステムのリストから、テスターは潜在的な脆弱性を含むシステムのみをテストすることを選択できます。

アクティブな侵入の試み

これは、十分な注意を払って実行する必要がある最も重要なステップです。このステップでは、実際のリスクを抱えている発見ステップで特定された潜在的な脆弱性の程度が伴います。この手順は、潜在的な脆弱性の検証が必要な場合に実行する必要があります。整合性要件が非常に高いシステムの場合、重要なクリーンアップ手順を実行する前に、潜在的な脆弱性とリスクを慎重に検討する必要があります。

最終分析

このステップでは、主に、それまでに実行されたすべてのステップ（上記で説明）と、潜在的なリスクの形で存在する脆弱性の評価を検討します。さらに、テスターは脆弱性とリスクを排除することをお勧めします。とりわけ、テスターは、テストの透明性とそれが開示した脆弱性を保証する必要があります。

レポートの準備

レポートの準備は、全体的なテスト手順から開始し、次に脆弱性とリスクの分析を行う必要があります。高いリスクと重大な脆弱性には優先順位があり、次に低い順序が続く必要があります。

ただし、最終報告書を文書化する際には、以下の点を考慮する必要があります。

ペネトレーションテストの全体的な概要。
各ステップの詳細と、侵入テスト中に収集された情報。
発見されたすべての脆弱性とリスクの詳細。
システムのクリーニングと修正の詳細。
将来のセキュリティに関する提案。

一般に、これらの2つの用語、つまり侵入テストと脆弱性評価は、誤解やマーケティングの誇大宣伝のために、多くの人が同じ意味で使用しています。ただし、両方の用語は、目的やその他の手段の点で互いに異なります。ただし、違いを説明する前に、まず両方の用語を1つずつ理解しましょう。

ペネトレーションテスト

ペネトレーションテストは、情報セキュリティを破り、貴重なデータをハッキングしたり、組織の通常の機能を妨害したりすることを目的とした、外部または内部のサイバー攻撃者の行動を複製します。したがって、高度なツールと技術の助けを借りて、侵入テスター（別名ethical hacker）重要なシステムを制御し、機密データへのアクセスを取得するように努めます。

脆弱性評価

一方、脆弱性評価は、特定の環境におけるセキュリティの脆弱性を識別（発見）および測定（スキャン）する手法です。これは、情報セキュリティの位置付けの包括的な評価です（結果分析）。さらに、潜在的な弱点を特定し、それらの弱点を取り除くか、リスクレベルを下回るように適切な緩和策（改善策）を提供します。

次の図は、脆弱性評価をまとめたものです。

次の表は、侵入テストと脆弱性評価の基本的な違いを示しています。

ペネトレーションテスト	脆弱性の評価
攻撃の範囲を決定します。	特定のシステムの資産とリソースのディレクトリを作成します。
機密データの収集をテストします。	各リソースに対する潜在的な脅威を発見します。
ターゲットを絞った情報を収集したり、システムを検査したりします。	利用可能なリソースに定量化可能な値と重要性を割り当てます。
システムをクリーンアップし、最終レポートを提供します。	貴重なリソースの潜在的な脆弱性を軽減または排除しようとします。
それは邪魔にならない、文書化と環境のレビューと分析です。	包括的な分析と、ターゲットシステムとその環境のレビューによる。
物理環境やネットワークアーキテクチャに最適です。	ラボ環境に最適です。
これは、重要なリアルタイムシステムを対象としています。	これは、重要ではないシステムを対象としています。

どのオプションが実践に理想的ですか？

どちらの方法も機能とアプローチが異なるため、それぞれのシステムのセキュリティ上の位置によって異なります。ただし、侵入テストと脆弱性評価の基本的な違いのため、2番目の手法は最初の手法よりも有益です。

脆弱性評価は、弱点を特定し、それらを修正するための解決策を提供します。一方、侵入テストは、「誰でもシステムセキュリティに侵入できますか？侵入した場合、彼はどのような害を及ぼす可能性がありますか？」という質問にのみ答えます。

さらに、脆弱性評価はセキュリティシステムの改善を試み、より成熟した統合セキュリティプログラムを開発します。一方、侵入テストでは、セキュリティプログラムの有効性を把握することしかできません。

ここで見たように、脆弱性評価は侵入テストと比較してより有益であり、より良い結果をもたらします。しかし、専門家は、セキュリティ管理システムの一部として、完全に安全な環境を確保するために、両方の手法を定期的に実行する必要があることを示唆しています。

ペネトレーションテストの種類は、通常、範囲と組織の要望および要件によって異なります。この章では、さまざまな種類の侵入テストについて説明します。としても知られていますPen Testing。

ペネトレーションテストの種類

以下は、ペンテストの重要なタイプです-

ブラックボックス侵入テスト
ホワイトボックス侵入テスト
グレーボックス侵入テスト

理解を深めるために、それぞれについて詳しく説明しましょう。

ブラックボックス侵入テスト

ブラックボックス侵入テストでは、テスターは自分がテストしようとしているシステムについて何も知りません。彼は、ターゲットネットワークまたはシステムに関する情報を収集することに関心があります。たとえば、このテストでは、テスターは期待される結果がどうあるべきかを知っているだけで、結果がどのように到着するかを知りません。彼はプログラミングコードを調べません。

ブラックボックス侵入テストの利点

以下の利点があります-

テスターは特定の言語知識を必要としないため、必ずしも専門家である必要はありません。
テスターは、実際のシステムと仕様の矛盾を検証します
テストは通常、設計者ではなくユーザーの視点で実施されます

ブラックボックス侵入テストのデメリット

その欠点は次のとおりです。

特に、これらの種類のテストケースは設計が困難です。
おそらく、設計者がすでにテストケースを実施している場合、それは価値がありません。
すべてを行うわけではありません。

ホワイトボックス侵入テスト

テスターには、スキーマ、ソースコード、OSの詳細、IPアドレスなど、システムやネットワークに関するあらゆる情報が提供されているため、これは包括的なテストです。通常、テスターによる攻撃のシミュレーションと見なされます。内部ソース。これは、構造、ガラスボックス、クリアボックス、およびオープンボックステストとも呼ばれます。

ホワイトボックス侵入テストは、コードカバレッジを調べ、データフローテスト、パステスト、ループテストなどを実行します。

ホワイトボックス侵入テストの利点

以下の利点があります-

これにより、モジュールのすべての独立したパスが実行されたことが保証されます。
これにより、すべての論理的決定が真と偽の値とともに検証されていることが保証されます。
誤植を発見し、構文チェックを行います。
プログラムの論理フローと実際の実行の違いが原因で発生した可能性のある設計エラーを検出します。

グレーボックス侵入テスト

このタイプのテストでは、テスターは通常、システムのプログラムの内部詳細に関する部分的または限定的な情報を提供します。これは、組織のネットワークインフラストラクチャドキュメントへの不正アクセスを取得した外部ハッカーによる攻撃と見なすことができます。

グレーボックス侵入テストの利点

以下の利点があります-

テスターはソースコードへのアクセスを必要としないため、邪魔にならず、偏りがありません。
開発者とテスターの間に明確な違いがあるため、個人的な競合のリスクが最も少なくなります
プログラムの機能やその他の操作に関する内部情報を提供する必要はありません。

ペネトレーションテストの分野

ペネトレーションテストは通常、次の3つの領域で行われます。

Network Penetration Testing−このテストでは、システムの物理構造をテストして、ネットワークのセキュリティを確保する脆弱性とリスクを特定する必要があります。ネットワーク環境では、テスターは、それぞれの会社/組織のネットワークの設計、実装、または運用におけるセキュリティ上の欠陥を特定します。テスターによってテストされるデバイスは、コンピューター、モデム、さらにはリモートアクセスデバイスなどです。
Application Penetration Testing−このテストでは、システムの論理構造をテストする必要があります。これは、脆弱性とリスクを特定することにより、アプリケーションのセキュリティ制御の効率を明らかにするように設計された攻撃シミュレーションです。ファイアウォールやその他の監視システムはセキュリティシステムを保護するために使用されますが、特にトラフィックがファイアウォールを通過できる場合は、集中的なテストが必要になることがあります。
The response or workflow of the system−これはテストが必要な3番目の領域です。ソーシャルエンジニアリングは、人間の相互作用に関する情報を収集して、組織とそのコンピューターに関する情報を取得します。情報システムへの不正アクセスを防ぐために、それぞれの組織の能力をテストすることは有益です。同様に、このテストは、組織/会社のワークフロー専用に設計されています。

手動侵入テストと自動侵入テストはどちらも同じ目的で実施されます。それらの間の唯一の違いは、それらが行われる方法です。名前が示すように、手動の侵入テストは人間（この分野の専門家）によって行われ、自動の侵入テストは機械自体によって行われます。

この章は、両方の用語の概念、違い、および適用可能性を学習するのに役立ちます。

手動侵入テストとは何ですか？

手動侵入テストは、人間が行うテストです。このようなタイプのテストでは、マシンの脆弱性とリスクが専門のエンジニアによってテストされます。

一般的に、テストエンジニアは次の方法を実行します-

Data Collection−データ収集はテストにおいて重要な役割を果たします。データを手動で収集することも、オンラインで無料で利用できるツールサービス（Webページのソースコード分析手法など）を使用することもできます。これらのツールは、テーブル名、DBバージョン、データベース、ソフトウェア、ハードウェア、さらにはさまざまなサードパーティのプラグインなどの情報を収集するのに役立ちます。
Vulnerability Assessment −データが収集されると、テスターがセキュリティの弱点を特定し、それに応じて予防措置を講じるのに役立ちます。
Actual Exploit −これは、エキスパートテスターがターゲットシステムへの攻撃を開始するために使用する一般的な方法であり、同様に、攻撃のリスクを軽減します。
Report Preparation−侵入が完了すると、テスターはシステムに関するすべてを説明する最終レポートを作成します。最後に、レポートを分析して、ターゲットシステムを保護するための修正手順を実行します。

手動侵入テストの種類

手動侵入テストは通常、次の2つの方法で分類されます。

Focused Manual Penetration Testing−これは、特定の脆弱性とリスクをテストする非常に焦点を絞った方法です。自動侵入テストでは、このテストを実行できません。これは、特定のドメイン内の特定のアプリケーションの脆弱性を調査する人間の専門家によってのみ行われます。
Comprehensive Manual Penetration Testing−あらゆる種類のリスクと脆弱性を特定するために、相互に接続されたシステム全体をテストします。ただし、このテストの機能は、複数の低リスクの障害がより脆弱な攻撃シナリオをもたらす可能性があるかどうかを調査するなど、より状況に応じたものです。

自動侵入テストとは何ですか？

自動侵入テストは、マシンの脆弱性とリスクを自動的にテストする、はるかに高速、効率的、簡単、かつ信頼性の高いものです。この技術は専門の技術者を必要とせず、この分野の知識が最も少ない人なら誰でも実行できます。

自動侵入テストのツールは、Nessus、Metasploit、OpenVA、backtract（シリーズ5）などです。これらは、侵入テストの効率と意味を変えた非常に効率的なツールです。

ただし、次の表は、手動侵入テストと自動侵入テストの基本的な違いを示しています。

手動侵入テスト	自動侵入テスト
テストを実行するには、専門のエンジニアが必要です。	自動化されているため、学習者でもテストを実行できます。
テストにはさまざまなツールが必要です。	それは統合されたツールを持っており、外部から何でも必要とします。
このタイプのテストでは、結果はテストごとに異なる可能性があります。	結果は修正されました。
このテストでは、テスターによるメモリのクリーンアップを覚えておく必要があります。	そうではありません。
それは網羅的で時間がかかります。	それはより効率的で高速です。
それには追加の利点があります。つまり、専門家が侵入テストを行うと、より適切に分析でき、ハッカーが何を考え、どこを攻撃できるかを考えることができます。したがって、彼はそれに応じてセキュリティをかけることができます。	状況を分析することはできません。
要件に応じて、専門家は多重検定を実行できます。	できない。
危険な状態の場合、より信頼性が高くなります。	そうではない。

ペネトレーションテストは通常、情報収集、脆弱性とリスクの分析、脆弱性の悪用、および最終レポートの準備で構成されます。

また、侵入テストで利用できるさまざまなツールの機能を学ぶことも不可欠です。この章では、これらの機能に関する情報と洞察を提供します。

ペネトレーションテストツールとは何ですか？

次の表は、最も重要な侵入ツールのいくつかを収集し、それらの機能を示しています-

ツール名	目的	移植性	予想される費用
Hping	ポートスキャンリモートOCフィンガープリント	Linux、NetBSD、 FreeBSD、 OpenBSD、	自由
Nmap	ネットワークスキャンポートスキャン OSの検出	Linux、Windows、FreeBSD、OS X、HP-UX、NetBSD、Sun、OpenBSD、Solaris、IRIX、Macなど。	自由
スーパースキャン	ping、whois、ホスト名ルックアップなどを含むクエリを実行します。開いているUDP / TCPポートを検出し、それらのポートで実行されているサービスを判別します。	Windows 2000 / XP / Vista / 7	自由
p0f	Osフィンガープリンティングファイアウォールの検出	Linux、FreeBSD、NetBSD、OpenBSD、Mac OS X、Solaris、Windows、およびAIX	自由
Xprobe	リモートアクティブOSフィンガープリントポートスキャン TCPフィンガープリンティング	Linux	自由
Httprint	WebサーバーのフィンガープリントSSL検出 Web対応デバイス（ワイヤレスアクセスポイント、スイッチ、モデム、ルーターなど）を検出する	Linux、Mac OS X、FreeBSD、Win32（コマンドラインとGUI	自由
Nessus	リモートクラッカーが機密データを制御/アクセスできるようにする脆弱性を検出する	Mac OS X、Linux、FreeBSD、Apple、Oracle Solaris、Windows	無料から限定版
GFI LANguard	ネットワークの脆弱性を検出する	Windows Server 2003/2008、Windows 7 Ultimate / Vista、Windows 2000 Professional、Business / XP、Sever 2000/2003/2008	試用版のみ無料
Issスキャナー	ネットワークの脆弱性を検出する	Windows 2000 Professional SP4、Windows Server 2003 Standard SO1、Windows XP Professional SP1a	試用版のみ無料
シャドウセキュリティスキャナー	ネットワークの脆弱性を検出し、プロキシサーバーとLDAPサーバーを監査します	Windows、ただし任意のプラットフォームで構築されたスキャンサーバー	試用版のみ無料
Metasploitフレームワーク	リモートターゲットに対してエクスプロイトコードを開発して実行するコンピュータシステムの脆弱性をテストする	UnixおよびWindowsのすべてのバージョン	自由
ブルータス	Telnet、ftp、およびhttpパスワードクラッカー	Windows 9x / NT / 2000	自由

コンピュータシステムおよび関連するネットワークは通常、多数のデバイスで構成されており、それらのほとんどは、それぞれのシステムの全体的な作業およびビジネスを実行する上で主要な役割を果たします。いつでも、そしてこれらのデバイスのどの部分でも小さな欠陥はあなたのビジネスに大きな損害を与えるかもしれません。したがって、それらはすべてリスクに対して脆弱であり、適切に保護する必要があります。

インフラストラクチャ侵入テストとは何ですか？

インフラストラクチャ侵入テストには、すべての内部コンピューターシステム、関連する外部デバイス、インターネットネットワーキング、クラウド、および仮想化テストが含まれます。

内部のエンタープライズネットワークに隠されているか、パブリックビューから隠されているかにかかわらず、攻撃者が悪用してインフラストラクチャに損害を与える可能性が常にあります。したがって、後で後悔するよりも、事前に安全を確保することをお勧めします。

インフラストラクチャ侵入テストの種類

以下は、インフラストラクチャ侵入テストの重要なタイプです。

外部インフラストラクチャ侵入テスト
内部インフラストラクチャ侵入テスト
クラウドと仮想化の侵入テスト
ワイヤレスセキュリティ侵入テスト

外部インフラストラクチャのテスト

外部インフラストラクチャを対象とした侵入テストでは、インターネットを介して簡単にアクセスできるネットワークでハッカーが何ができるかを発見します。

このテストでは、テスターは通常、外部インフラストラクチャのセキュリティ上の欠陥を見つけてマッピングすることにより、ハッカーが使用できるのと同じ種類の攻撃を複製します。

外部インフラストラクチャの侵入テストを活用することには、さまざまな利点があります。

誤用される可能性のあるファイアウォール構成内の欠陥を特定します
攻撃者がシステムから情報を漏らす方法を調べます
これらの問題を修正する方法を提案します
国境ネットワークのセキュリティリスクを強調する包括的なレポートを作成し、解決策を提案します
ビジネスの全体的な効率と生産性を確保します

内部インフラストラクチャ侵入テスト

いくつかのマイナーな内部セキュリティの欠陥のために、ハッカーは大規模な組織で不法に詐欺を犯しています。したがって、内部インフラストラクチャ侵入テストを使用すると、テスターはセキュリティの可能性と、この問題が発生した従業員を特定できます。

内部インフラストラクチャ侵入テストは、それ自体がメリットをもたらします-

内部の攻撃者が小さなセキュリティ上の欠陥を利用する方法を特定します。
内部の攻撃者が与える可能性のある潜在的なビジネスリスクと損害を特定します。
内部インフラストラクチャのセキュリティシステムを改善します。
内部ネットワークのセキュリティエクスポージャーの詳細と、それに対処する方法に関する詳細なアクションプランを提供する包括的なレポートを作成します。

クラウドと仮想化の侵入テスト

パブリックサーバーまたはウェーブスペースを購入すると、データ侵害のリスクが大幅に高まります。さらに、クラウド環境で攻撃者を特定することは困難です。攻撃者は、クラウド施設のホスティングを購入して、新しいクラウドデータにアクセスすることもできます。

実際、ほとんどのクラウドホスティングは仮想インフラストラクチャに実装されているため、攻撃者が簡単にアクセスできる仮想化リスクが発生します。

クラウドと仮想化の侵入テストは、それ自体がメリットになります-

仮想環境内の実際のリスクを発見し、脅威と欠陥を修正するための方法とコストを提案します。
問題を解決する方法のガイドラインとアクションプランを提供します。
全体的な保護システムを改善します。
クラウドコンピューティングと仮想化の包括的なセキュリティシステムレポートを作成し、セキュリティの欠陥、原因、および考えられる解決策の概要を説明します。

ワイヤレスセキュリティ侵入テスト

ラップトップやその他のデバイスのワイヤレステクノロジーにより、さまざまなネットワークに簡単かつ柔軟にアクセスできます。簡単にアクセスできるテクノロジーは、固有のリスクに対して脆弱です。物理的なセキュリティを使用してネットワークアクセスを制限することはできません。攻撃者は遠隔地からハッキングする可能性があります。したがって、企業/組織にはワイヤレスセキュリティ侵入テストが必要です。

ワイヤレステクノロジーを利用する理由は次のとおりです。

ワイヤレスデバイスによって引き起こされる潜在的なリスクを見つけるため。
外部の脅威から保護する方法に関するガイドラインと行動計画を提供するため。
全体的なセキュリティシステムを改善するため。
ワイヤレスネットワークの包括的なセキュリティシステムレポートを作成し、セキュリティの欠陥、原因、および考えられる解決策の概要を説明します。

組織の最も重要なデータを保護するという問題があります。したがって、侵入テスターの役割は非常に重要であり、小さなエラーが両方の当事者（テスターとそのクライアント）を危険にさらす可能性があります。

したがって、この章では、侵入テスターの資格、経験、責任など、さまざまな側面について説明します。

ペネトレーションテスターの資格

このテストは、資格のある侵入テスターのみが実行できます。したがって、侵入テスターの資格は非常に重要です。

資格のある内部専門家または資格のある外部専門家のいずれかが、組織的に独立するまで侵入テストを実行できます。これは、侵入テスターがターゲットシステムの管理から組織的に独立している必要があることを意味します。たとえば、サードパーティ企業がターゲットシステムのインストール、メンテナンス、またはサポートに関与している場合、そのパーティは侵入テストを実行できません。

ペネトレーションテスターを呼び出す際に役立つガイドラインを次に示します。

認証

認定された人が侵入テストを実行できます。テスターが保有する認定は、彼のスキルセットと有能な侵入テスターの能力を示しています。

以下は侵入テスト認証の重要な例です-

認定倫理的ハッカー（CEH）。
オフェンシブセキュリティ認定プロフェッショナル（OSCP）。
CREST侵入テスト認定。
通信電子セキュリティグループ（CESG）ITヘルスチェックサービス認定。
グローバル情報保証認定（GIAC）認定、たとえば、GIAC認定ペネトレーションテスター（GPEN）、GIAC Webアプリケーションペネトレーションテスター（GWAPT）、アドバンスペネトレーションテスター（GXPN）、GIACエクスプロイトリサーチャー。

過去の経験

次の質問は、効果的な侵入テスターを雇うのに役立ちます-

ペネトレーションテスターには何年の経験がありますか？
彼は独立した侵入テスターですか、それとも組織で働いていますか？
彼はペネトレーションテスターとして何社で働いていましたか？
彼は、あなたと同じような規模と範囲の組織に対して侵入テストを実行しましたか？
ペネトレーションテスターにはどのような経験がありますか？たとえば、ネットワーク層侵入テストの実施など
彼が働いていた他の顧客からの参照を求めることもできます。

ペネトレーションテスターを雇うときは、ターゲット環境内で彼が特別に展開したテクノロジーに関連しているため、彼（テスター）が働いた組織の過去1年間のテスト経験を評価することが重要です。

上記に加えて、複雑な状況や一般的なクライアントの要件については、以前のプロジェクトで同様の環境を処理するテスターの能力を評価することをお勧めします。

ペネトレーションテスターの役割

ペネトレーションテスターには次の役割があります-

ツールとテクノロジーの非効率的な割り当てを特定します。
内部セキュリティシステム全体でのテスト。
最も重要なデータを保護するために露出を特定します。
インフラストラクチャ全体の脆弱性とリスクに関する貴重な知識を発見してください。
最大のセキュリティギャップを保護しながら、セキュリティチームが最も効果的な方法で時間を活用していることを確認するために、修復の推奨事項を報告して優先順位を付けます。

ペネトレーションテストのレポートを書くことは個別に学ぶ必要がある芸術であるため、経験豊富なペネトレーションテスターが良いレポートを書くことができる必要はありません。

レポート作成とは何ですか？

ペネトレーションテストでは、レポートの作成は、方法論、手順、レポートの内容と設計の適切な説明、テストレポートの詳細な例、およびテスターの個人的な経験を含む包括的なタスクです。レポートが作成されると、対象組織の上級管理職および技術チーム間で共有されます。今後、このような事態が発生した場合は、本報告書を参考にさせていただきます。

レポート作成段階

包括的な執筆作業が含まれるため、浸透レポートの執筆は次の段階に分類されます。

レポートの計画
情報収集
最初のドラフトを書く
レビューとファイナライズ

レポートの計画

レポートの計画は、読者が侵入テストの要点を理解するのに役立つ目的から始まります。このパートでは、テストが実施される理由、侵入テストの利点などについて説明します。次に、レポートの計画には、テストにかかる時間も含まれます。

レポート作成の主な要素は次のとおりです。

Objectives −ペンテストの全体的な目的と利点について説明します。
Time−時間の包含は、システムの正確なステータスを提供するため、非常に重要です。後で何か問題が発生した場合、このレポートは特定の期間における侵入テストの範囲内のリスクと脆弱性を示しているため、テスターを救うと仮定します。
Target Audience −侵入テストレポートには、情報セキュリティマネージャー、情報技術マネージャー、最高情報セキュリティ責任者、技術チームなどの対象者も含める必要があります。
Report Classification−サーバーのIPアドレス、アプリケーション情報、脆弱性、脅威を伝える機密性が高いため、適切に分類する必要があります。ただし、この分類は、情報分類ポリシーを持つ対象組織に基づいて行う必要があります。
Report Distribution−コピー数とレポートの配布は、作業範囲内で言及する必要があります。また、ハードコピーは、その番号と受信者の名前が添付された限られた数のコピーを印刷することによって制御できることにも言及する必要があります。

情報収集

複雑で時間のかかるプロセスのため、侵入テスト担当者は、テストのすべての段階ですべての情報を収集したことを確認するために、すべてのステップに言及する必要があります。方法に加えて、彼はまた、システムとツール、スキャン結果、脆弱性評価、彼の発見の詳細などについて言及する必要があります。

最初のドラフトを書く

テスターはすべてのツールと情報を準備できたら、最初のドラフトを開始する必要があります。主に、彼は詳細に最初のドラフトを書く必要があります–すべて、すなわちすべての活動、プロセス、および経験に言及します。

レビューとファイナライズ

レポートが作成されたら、最初に作成者自身が確認し、次に作成者を支援した可能性のある先輩または同僚が確認する必要があります。レビュー中、レビュー担当者はレポートのすべての詳細をチェックし、修正が必要な欠陥を見つけることが期待されます。

ペネトレーションテストレポートの内容

以下は、侵入テストレポートの典型的な内容です-

エグゼクティブサマリー作業範囲プロジェクトの目的 Assumption Timeline 調査結果の要約推奨事項の要約方法論 Planning Exploitation Reporting 詳細な調査結果詳細なシステム情報 Windowsサーバー情報参考文献 Appendix

インターネットの急速な成長は、すべての人の生活様式を変えました。最近、私的および公共事業のほとんどはインターネットに依存しています。政府のすべての秘密の作業計画、および運用はインターネットベースです。これらすべてのことにより、生活は非常にシンプルで簡単にアクセスできるようになりました。

しかし、良いニュースとして、この開発の暗い顔、つまり犯罪者のハッカーもいます。これらの犯罪ハッカーには地政学的な制限はなく、世界のどこからでもシステムをハッキングできます。それらは機密データと信用履歴に非常にひどい損害を与える可能性があります。

したがって、犯罪ハッカーから保護するために、倫理的ハッカーの概念が進化しました。この章では、倫理的ハッカーの概念と役割について説明します。

倫理的ハッカーとは誰ですか？

倫理的ハッカーは、犯罪者のハッカーから保護する目的でコンピューターシステムをハッキングすることを法的に許可されているコンピューターの専門家です。倫理的なハッカーは、システムの脆弱性とリスクを特定し、それらを排除する方法を提案します。

犯罪者ハッカーは誰ですか？

犯罪ハッカーとは、データを盗んだり、お金を盗んだり、他人の信用を傷つけたり、他人のデータを破壊したり、誰かを脅迫したりする目的で他人のシステムをハッキングするコンピュータープログラミングの専門家です。

刑事ハッカーは何ができますか？

システムがハッキングされると、犯罪者のハッカーはそのシステムで何でもできます。pdf.textfiles.comで公開されている次の2つの画像CCPalmerは、ハッキングされたページの簡単な例を示しています。

これは、ハッキングされる前に撮影されたWebページのスクリーンショットです-

そして、これはハッキングされた後の同じWebページのスクリーンショットです-

倫理的ハッカーのスキルセットとは何ですか？

専門家の倫理的ハッカーは、システムを倫理的にハッキングするために次のスキルセットを持っています

彼らは信頼できるに違いありません。
リスクや脆弱性が何であれ、システムのテスト中に発見した場合は、機密を保持する必要があります。
クライアントは、IPアドレス、パスワードなど、システムインフラストラクチャに関する機密情報を提供します。倫理的なハッカーは、この情報の機密を保持する必要があります。
倫理的なハッカーは、コンピュータープログラミング、ネットワーク、およびハードウェアに関する十分な知識を持っている必要があります。
彼らは、状況を分析し、リスクを事前に推測するための優れた分析スキルを持っている必要があります。
ペネトレーションテストには1日、1週間、またはそれ以上かかることがあるため、彼らは忍耐力とともに管理スキルを持っている必要があります。

倫理的ハッカーは何をしますか？

倫理的なハッカーは、侵入テストを実行しながら、基本的に次の質問に対する答えを見つけようとします-

犯罪者のハッカーが攻撃できる弱点は何ですか？
犯罪者のハッカーはターゲットシステムで何を見ることができますか？
犯罪者のハッカーはその機密情報で何ができるでしょうか？

さらに、倫理的なハッカーは、ターゲットシステムに存在することがわかった脆弱性とリスクに適切に対処する必要があります。彼は回避手順を説明し、提案する必要があります。最後に、侵入テストの実施中に彼が行い、観察したすべての倫理的活動の最終報告書を作成します。

ハッカーの種類

ハッカーは通常、3つのカテゴリに分類されます。

ブラックハットハッカー

「ブラックハットハッカー」とは、ハードウェアだけでなく広範なコンピュータソフトウェアを持っている個人のことであり、彼の目的は他人のインターネットセキュリティを侵害または回避することです。ブラックハットハッカーは、クラッカーやダークサイドハッカーとしても人気があります。

ホワイトハットハッカー

「ホワイトハットハッカー」という用語は、侵入テストおよびその他の関連するテスト方法を専門とする、コンピュータセキュリティの専門家である倫理的なコンピュータハッカーを指します。彼の主な役割は、組織の情報システムのセキュリティを確保することです。

グレイハットハッカー

「グレイハットハッカー」という用語は、その倫理基準が純粋に倫理的なものと単に悪意のあるものの間のどこかにあるコンピュータセキュリティシステムをクラックするコンピュータハッカーを指します。

ペネトレーションテストは倫理的ハッキングと非常に密接に関連しているため、これら2つの用語はしばしば同じ意味で使用されます。ただし、これら2つの用語の間には細い線の違いがあります。この章では、侵入テストと倫理的ハッキングの基本的な概念と基本的な違いについて説明します。

ペネトレーションテスト

ペネトレーションテストは特定の用語であり、システムのセキュリティ保護と制御を目的として、脆弱性、リスク、およびターゲット環境の発見にのみ焦点を当てています。言い換えれば、侵入テストは、すべてのコンピュータシステムとそのインフラストラクチャで構成されるそれぞれの組織の防御システムを対象としています。

倫理的ハッキング

一方、倫理的ハッキングは、すべてのハッキング手法、およびその他の関連するコンピューター攻撃手法を網羅する広範な用語です。したがって、セキュリティの欠陥や脆弱性を発見し、ターゲットシステムのセキュリティを確保するとともに、システムをハッキングするだけでなく、将来の目的のためにセキュリティを保護するための許可を得ることができます。したがって、それは包括的な用語であり、侵入テストは倫理的ハッキングの特徴の1つです。

以下は、次の表にリストされている侵入テストと倫理的ハッキングの主な違いです。

ペネトレーションテスト	倫理的ハッキング
狭い用語は、セキュリティシステムを保護するための侵入テストにのみ焦点を当てています。	包括的な用語と侵入テストは、その機能の1つです。
テスターは基本的に、ペンテストを実施する特定の領域のみの知識を持つために必要なすべての包括的な知識を持っている必要があります。	倫理的なハッカーは、基本的に、ハードウェアだけでなくソフトウェアプログラミングの包括的な知識を持っている必要があります。
テスターは必ずしも優れたレポートライターである必要はありません。	倫理的なハッカーは、本質的にレポート作成の専門家である必要があります。
ペネトレーションテストの入力があるテスターであれば、ペンテストを実行できます。	それは、効果的であるために倫理的ハッキングの義務的な認定を持っている主題の専門家である必要があります。
倫理的なハッキングと比較して、紙の作業は少なくて済みます。	法的な合意などを含む詳細な書類が必要です。
このタイプのテストを実行するには、必要な時間が短縮されます。	倫理的なハッキングには、侵入テストと比較して多くの時間と労力が必要です。
通常、コンピュータシステム全体とそのインフラストラクチャへのアクセスは必要ありません。アクセシビリティは、テスターが侵入テストを実行する部分にのみ必要です。	状況に応じて、通常、すべてのコンピュータシステムとそのインフラストラクチャにあらゆる範囲のアクセシビリティが必要です。

侵入技術は脅威から保護するために使用されるため、潜在的な攻撃者も急速に高度化し、現在のアプリケーションに新しい弱点を生み出しています。したがって、特定の種類の単一侵入テストでは、テスト対象のシステムのセキュリティを保護するのに十分ではありません。

レポートによると、場合によっては、新しいセキュリティの抜け穴が発見され、侵入テストの直後に攻撃が成功しました。ただし、侵入テストが役に立たないという意味ではありません。これは、徹底的な侵入テストでは攻撃が成功しないという保証がないことを意味するだけですが、間違いなく、テストによって攻撃が成功する可能性が大幅に減少します。

情報技術の分野での開発のペースが速いため、侵入テストのサクセスストーリーは比較的短命です。システムに対するより多くの保護が必要なため、企業が認めるレベルまで攻撃が成功する可能性を減らすために、侵入テストを実行する必要があるよりも頻繁に行われます。

以下は、侵入テストの主な制限です。

Limitation of Time−私たち全員が知っているように、侵入テストは常に制限された演習ではありません。それにもかかわらず、侵入テストの専門家は、各テストに一定の時間を割り当てています。一方、攻撃者には時間の制約がなく、1週間、1か月、さらには数年で計画を立てます。
Limitation of Scope −組織の多くは、リソースの制約、セキュリティの制約、予算の制約など、独自の制限があるため、すべてをテストするわけではありません。同様に、テスターの範囲は限られており、システムの多くの部分を離れる必要があります。脆弱であり、攻撃者にとって完璧なニッチになる可能性があります。
Limitation on Access−多くの場合、テスターはターゲット環境へのアクセスを制限しています。たとえば、企業がインターネットネットワーク全体からDMZシステムに対して侵入テストを実行したが、攻撃者が通常のインターネットゲートウェイを介して攻撃した場合はどうなるでしょうか。
Limitation of Methods−侵入テスト中にターゲットシステムがクラッシュする可能性があるため、特定の攻撃方法のいくつかは、プロの侵入テスターのテーブルから外される可能性があります。たとえば、システムまたはネットワーク管理者を別の攻撃方法からそらすためにサービス拒否フラッドを生成します。これは通常、本当に悪者にとって理想的な戦術ですが、ほとんどのプロの侵入テスターの関与ルールから外れる可能性があります。。
Limitation of Skill-sets of a Penetration Tester−通常、プロの侵入テスターは、専門知識や過去の経験に関係なくスキルが限られているため、制限されています。それらのほとんどは特定の技術に焦点を当てており、他の分野の知識はほとんどありません。
Limitation of Known Exploits−テスターの多くは、公開されているエクスプロイトのみを認識しています。実際、彼らの想像力は攻撃者ほど発達していません。攻撃者は通常、テスターの考えをはるかに超えて考え、攻撃する欠陥を発見します。
Limitation to Experiment−ほとんどのテスターは期限があり、組織または先輩からすでに与えられている指示に従います。彼らは何か新しいことを試みません。彼らは与えられた指示を超えて考えません。一方、攻撃者は自由に考え、実験し、攻撃への新しいパスを作成することができます。

さらに、侵入テストは、通常のITセキュリティテストに取って代わることも、一般的なセキュリティポリシーを置き換えることもできません。むしろ、侵入テストは、確立されたレビュー手順を補足し、新しい脅威を発見します。

ペネトレーションテストの取り組みは、たとえ徹底的であっても、セキュリティコントロールの有効性が不十分なすべてのインスタンスを網羅的に発見できるとは限りません。アプリケーションの1つの領域でクロスサイトスクリプティングの脆弱性またはリスクを特定しても、アプリケーションに存在するこの脆弱性のすべてのインスタンスが確実に公開されるとは限りません。この章では、修復の概念と有用性について説明します。

修復とは何ですか？

修復とは、間違いを置き換えて正しく設定するための改善を提供する行為です。多くの場合、ある領域に脆弱性が存在する場合は、他の場所で同様の脆弱性を複製または有効化した可能性のあるプロセスまたは開発プラクティスの弱点を示している可能性があります。したがって、修正する際には、テスターが、効果のないセキュリティ制御を念頭に置いて、テスト対象のエンティティまたはアプリケーションを注意深く調査することが重要です。

これらの理由により、それぞれの会社は、最初の侵入テスト後の妥当な期間内に、悪用可能な脆弱性を修正するための措置を講じる必要があります。実際、会社がこれらの手順を完了するとすぐに、侵入テストを実行して、元のリスクを軽減できる新しく実装されたコントロールを検証する必要があります。

最初の侵入テストの後、より長い期間にわたる修復作業では、最新の環境の正確な結果を保証するために、新しいテスト作業を実行する必要がある場合があります。この決定は、元のテストが完了してからどの程度の変更が発生したかについてのリスク分析の後に行う必要があります。

さらに、特定の条件では、フラグが立てられたセキュリティ問題は、それぞれの環境またはアプリケーションの基本的な欠陥を示している可能性があります。したがって、再テストの範囲では、テストから特定された修復によって引き起こされた変更が重要として分類されるかどうかを検討する必要があります。すべての変更を再テストする必要があります。ただし、システム全体の再テストが必要かどうかは、変更のリスク評価によって決定されます。

企業は通常、機密データのテストを許可する前に、データの可用性、機密性、および整合性に関する対策を講じます。この契約を締結するためには、法令遵守が組織にとって必要な活動です。

セキュリティおよび承認システムを確立および維持する際に遵守する必要のある最も重要な法的規制を、侵入テストの実装に使用するためのコンテキストとして以下に示します。

法的な問題は何ですか？

以下は、テスターとそのクライアントの間で発生する可能性のある問題の一部です。

テスターはクライアントに知られていないため、どのような理由で機密データへのアクセスを許可する必要があります。
失われたデータのセキュリティを誰が保証しますか？
クライアントは、データの損失またはテスターの機密性を非難する可能性があります

ペネトレーションテストはシステムパフォーマンスに影響を与える可能性があり、機密性と整合性の問題を引き起こす可能性があります。したがって、これは、書面による許可を得るために内部スタッフによって実行される内部侵入テストでも非常に重要です。テストを開始する前に、データのセキュリティ、開示などに関するすべてのポイントを明確にするために、テスターと会社/組織/個人との間で書面による合意が必要です。

A statement of intentテスト作業の前に、両当事者が作成し、正式に署名する必要があります。脆弱性テストの実行中に、ジョブの範囲と実行する場合と実行しない場合があることを明確に説明する必要があります。

テスターにとっては、作業が要求されているビジネスまたはシステムの所有者、およびペネトレーションテストの影響を受ける可能性のあるテストシステムとそのターゲット間のインフラストラクチャを知ることが重要です。アイデアは確認することです。