ペネトレーションテスト-テスター

組織の最も重要なデータを保護するという問題があります。したがって、侵入テスターの役割は非常に重要であり、小さなエラーが両方の当事者（テスターとそのクライアント）を危険にさらす可能性があります。

したがって、この章では、侵入テスターの資格、経験、責任など、さまざまな側面について説明します。

ペネトレーションテスターの資格

このテストは、資格のある侵入テスターのみが実行できます。したがって、侵入テスターの資格は非常に重要です。

資格のある内部専門家または資格のある外部専門家のいずれかが、組織的に独立するまで侵入テストを実行できます。これは、侵入テスターがターゲットシステムの管理から組織的に独立している必要があることを意味します。たとえば、サードパーティ企業がターゲットシステムのインストール、メンテナンス、またはサポートに関与している場合、そのパーティは侵入テストを実行できません。

ペネトレーションテスターを呼び出す際に役立つガイドラインを次に示します。

認証

認定された人が侵入テストを実行できます。テスターが保有する認定は、彼のスキルセットと有能な侵入テスターの能力を示しています。

以下は侵入テスト認証の重要な例です-

認定倫理的ハッカー（CEH）。
オフェンシブセキュリティ認定プロフェッショナル（OSCP）。
CREST侵入テスト認定。
通信電子セキュリティグループ（CESG）ITヘルスチェックサービス認定。
グローバル情報保証認定（GIAC）認定、たとえば、GIAC認定ペネトレーションテスター（GPEN）、GIAC Webアプリケーションペネトレーションテスター（GWAPT）、アドバンスペネトレーションテスター（GXPN）、GIACエクスプロイトリサーチャー。

過去の経験

次の質問は、効果的な侵入テスターを雇うのに役立ちます-

ペネトレーションテスターには何年の経験がありますか？
彼は独立した侵入テスターですか、それとも組織で働いていますか？
彼はペネトレーションテスターとして何社で働いていましたか？
彼は、あなたと同じような規模と範囲の組織に対して侵入テストを実行しましたか？
ペネトレーションテスターにはどのような経験がありますか？たとえば、ネットワーク層侵入テストの実施など
彼が働いていた他の顧客からの参照を求めることもできます。

ペネトレーションテスターを雇うときは、ターゲット環境内で彼が特別に展開したテクノロジーに関連しているため、彼（テスター）が働いた組織の過去1年間のテスト経験を評価することが重要です。

上記に加えて、複雑な状況や一般的なクライアントの要件については、以前のプロジェクトで同様の環境を処理するテスターの能力を評価することをお勧めします。

ペネトレーションテスターの役割

ペネトレーションテスターには次の役割があります-

ツールとテクノロジーの非効率的な割り当てを特定します。
内部セキュリティシステム全体でのテスト。
最も重要なデータを保護するために露出を特定します。
インフラストラクチャ全体の脆弱性とリスクに関する貴重な知識を発見してください。
最大のセキュリティギャップを保護しながら、セキュリティチームが最も効果的な方法で時間を活用していることを確認するために、修復の推奨事項を報告して優先順位を付けます。