評価方法
最近では、政府と民間の両方の組織がサイバーセキュリティを戦略的優先事項として取り上げています。サイバー犯罪者は、さまざまな攻撃ベクトルを使用して、政府や民間の組織をソフトターゲットにすることがよくあります。残念ながら、情報システムの効率的なポリシー、標準、および複雑さが不足しているため、サイバー犯罪者は多数の標的を持っており、システムの悪用や情報の盗難にも成功しつつあります。
ペネトレーションテストは、サイバー攻撃のリスクを軽減するために使用できる戦略の1つです。ペネトレーションテストの成功は、効率的で一貫性のある評価方法にかかっています。
ペネトレーションテストに関連するさまざまな評価方法があります。方法論を使用する利点は、評価者が環境を一貫して評価できることです。以下はいくつかの重要な方法論です-
オープンソースセキュリティテスト方法論マニュアル（OSSTMM）
オープンWebアプリケーションセキュリティプロジェクト（OWASP）
米国国立標準技術研究所（NIST）
ペネトレーションテスト実行基準（PTES）
PTESとは何ですか？
PTES、ペネトレーションテスト実行標準は、その名前が示すように、ペネトレーションテストの評価方法です。ペネトレーションテストに関連するすべてをカバーしています。PTES内には、評価者が遭遇する可能性のあるさまざまな環境に関連するいくつかの技術ガイドラインがあります。技術ガイドラインには業界標準ツール内の環境に対処して評価するための提案があるため、これは新しい評価者がPTESを使用する最大の利点です。
次のセクションでは、PTESのさまざまなフェーズについて学習します。
PTESの7つのフェーズ
ペネトレーションテスト実行標準（PTES）は、7つのフェーズで構成されています。これらのフェーズは、侵入テストに関連するすべてをカバーします。ペネトレーションテストの背後にある最初のコミュニケーションと推論から、テスターが舞台裏で作業するインテリジェンス収集と脅威モデリングのフェーズまでです。これにより、脆弱性の調査、悪用、および悪用後の調査を通じて、テスト対象の組織をよりよく理解できます。ここでは、テスターの技術的なセキュリティの専門知識が、エンゲージメントのビジネス理解と決定的に組み合わされ、最後に、顧客にとって意味があり、最も価値のある方法でプロセス全体をキャプチャするレポートになります。
後続のセクションでPTESの7つのフェーズについて学習します-
エンゲージメント前のインタラクションフェーズ
これはPTESの最初の非常に重要なフェーズです。このフェーズの主な目的は、侵入テストのエンゲージメント前のステップを成功させるのに役立つ、利用可能なツールとテクニックを説明することです。このフェーズの実装中に間違いがあった場合、残りの評価に重大な影響を与える可能性があります。このフェーズは、次のもので構成されます。
評価のリクエスト
このフェーズが開始する最初の部分は、組織による評価の要求の作成です。ARequest for Proposal (RFP) 環境、必要な評価の種類、および組織の期待に関する詳細が記載された文書が評価者に提供されます。
入札
今、に基づいて RFP 文書、複数の査定会社または個々の有限責任会社（LLC）が入札し、その入札が要求された作業、価格、およびその他の特定のパラメーターに一致する当事者が勝ちます。
エンゲージメントレター（EL）の署名
これで、入札に勝った組織と当事者は、エンゲージメントレター（EL）の契約に署名します。手紙にはstatement of work (SOW) そして最終製品。
スコーピングミーティング
ELに署名すると、スコープの微調整を開始できます。このような会議は、組織と当事者が特定の範囲を微調整するのに役立ちます。スコーピングミーティングの主な目標は、何をテストするかについて話し合うことです。
スコープクリープの処理
スコープクリープは、クライアントが約束されたレベルの作業を追加または拡張して、約束された金額よりも多くを取得しようとする可能性があるものです。そのため、時間とリソースを考慮して、元のスコープへの変更を慎重に検討する必要があります。また、電子メール、署名された文書、承認された手紙などの文書化された形式で記入する必要があります。
アンケート
顧客との最初のコミュニケーション中に、エンゲージメントの範囲を適切に見積もるためにクライアントが答えなければならないいくつかの質問があります。これらの質問は、クライアントが侵入テストから何を得ようとしているのかをよりよく理解できるように設計されています。クライアントが環境に対して侵入テストを実行することを検討している理由。また、侵入テスト中に特定の種類のテストを実行するかどうか。
テストの実施方法
事前エンゲージメントフェーズの最後の部分は、テストを実行する手順を決定することです。ホワイトボックス、ブラックボックス、グレーボックス、二重盲検テストなど、さまざまなテスト戦略から選択できます。
以下は、要求される可能性のある評価のいくつかの例です-
- ネットワーク侵入テスト
- Webアプリケーション侵入テスト
- ワイヤレスネットワーク侵入テスト
- 物理的侵入テスト
- ソーシャルエンジニアリング
- Phishing
- ボイスオーバーインターネットプロトコル（VOIP）
- 内部ネットワーク
- 外部ネットワーク
インテリジェンス収集フェーズ
PTESの第2フェーズであるインテリジェンス収集では、ターゲットに対して予備調査を実行して、脆弱性の評価および悪用フェーズでターゲットに侵入するときに利用できる情報をできるだけ多く収集します。これは、組織が評価チームによる外部被ばくを決定するのに役立ちます。情報収集は次の3つのレベルに分けることができます-
レベル1の情報収集
自動化されたツールは、このレベルの情報をほぼ完全に取得できます。レベル1の情報収集作業は、コンプライアンス要件を満たすために適切である必要があります。
レベル2の情報収集
このレベルの情報は、レベル1の自動ツールといくつかの手動分析を使用して取得できます。このレベルでは、物理的な場所、ビジネス関係、組織図などの情報を含め、ビジネスを十分に理解する必要があります。レベル2の情報収集作業は、長期的なセキュリティ戦略などの他のニーズとともにコンプライアンス要件を満たすために適切である必要があります。小規模メーカーの買収など。
レベル3の情報収集
このレベルの情報収集は、最先端の侵入テストで使用されます。レベル3の情報収集には、レベル1とレベル2のすべての情報と、多くの手動分析が必要です。
脅威モデリングフェーズ
これはPTESの第3フェーズです。ペネトレーションテストを正しく実行するには、脅威モデリングアプローチが必要です。脅威モデリングは侵入テストの一部として使用できますが、いくつかの要因に基づいて直面する可能性があります。ペネトレーションテストの一部として脅威モデリングを使用している場合、第2フェーズで収集された情報は第1フェーズにロールバックされます。
次の手順は、脅威モデリングフェーズを構成します-
必要な関連情報を収集します。
一次資産と二次資産を識別して分類する必要があります。
脅威と脅威コミュニティを特定して分類する必要があります。
一次および二次資産に対して脅威コミュニティをマッピングする必要があります。
脅威のコミュニティとエージェント
次の表に、関連する脅威のコミュニティとエージェントを、組織内での場所とともに示します。
| ロケーション | 内部 | 外部 |
|---|---|---|
| Threat agents/communities | 従業員 | ビジネスパートナー |
| 管理者 | 請負業者 | |
| 管理者（ネットワーク、システム） | 競合他社 | |
| エンジニア | サプライヤー | |
| 技術者 | 民族国家 | |
| 一般ユーザーコミュニティ | ハッカー |
脅威モデリングの評価を行う際、脅威の場所は内部にある可能性があることを覚えておく必要があります。資格情報をブロードキャストすることで組織のセキュリティを危険にさらしているフィッシングメールまたはイライラした従業員1人だけが必要です。
脆弱性分析フェーズ
これはPTESの第4フェーズであり、評価者はさらなるテストのために実行可能なターゲットを特定します。PTESの最初の3つのフェーズでは、組織に関する詳細のみが抽出され、評価者はテスト用のリソースに触れていません。これはPTESの最も時間のかかるフェーズです。
次の段階は脆弱性分析を構成します-
脆弱性テスト
これは、ホストとサービスのシステムとアプリケーションの構成ミスや安全でないアプリケーション設計などの欠陥を発見するプロセスとして定義される場合があります。テスターは、脆弱性分析を実行する前に、テストと望ましい結果を適切にスコープする必要があります。脆弱性テストには、次のタイプがあります-
- アクティブテスト
- パッシブテスト
2つのタイプについては、以降のセクションで詳しく説明します。
アクティブテスト
これには、セキュリティの脆弱性についてテストされているコンポーネントとの直接の相互作用が含まれます。コンポーネントは、ネットワークデバイス上のTCPスタックなどの低レベルでも、Webベースのインターフェイスなどの高レベルでもかまいません。アクティブテストは、次の2つの方法で実行できます-
自動化されたアクティブテスト
ソフトウェアを利用してターゲットと対話し、応答を調べ、これらの応答に基づいて、コンポーネントに脆弱性が存在するかどうかを判断します。手動アクティブテストと比較した自動アクティブテストの重要性は、システムに数千のTCPポートがあり、テストのためにそれらすべてを手動で接続する必要がある場合、かなりの時間がかかるという事実から理解できます。ただし、自動化されたツールを使用してそれを行うと、多くの時間と労力の要件を減らすことができます。ネットワーク脆弱性スキャン、ポートスキャン、バナーグラブ、Webアプリケーションスキャンは、自動化されたアクティブなテストツールを使用して実行できます。
手動アクティブテスト
手動の効果的なテストは、自動化されたアクティブなテストと比較した場合、より効果的です。自動化されたプロセスまたはテクノロジーでは、許容誤差が常に存在します。そのため、自動テストの結果を検証するために、ターゲットシステムで使用可能な各プロトコルまたはサービスへの手動直接接続を実行することが常に推奨されます。
パッシブテスト
パッシブテストには、コンポーネントとの直接の相互作用は含まれません。これは、次の2つの手法を使用して実装できます。
メタデータ分析
この手法では、ファイル自体のデータではなく、ファイルを説明するデータを確認します。たとえば、MS Wordファイルには、作成者名、会社名、ドキュメントが最後に変更および保存された日時に関するメタデータが含まれています。攻撃者がメタデータへのパッシブアクセスを取得できる場合、セキュリティの問題が発生します。
トラフィックモニタリング
これは、内部ネットワークに接続し、オフライン分析のためにデータをキャプチャするための手法として定義できます。主にキャプチャするために使用されます“leaking of data” スイッチドネットワークに。
検証
脆弱性テストの後、調査結果の検証が非常に必要です。それは以下のテクニックの助けを借りて行うことができます-
ツール間の相関関係
評価者が複数の自動化ツールを使用して脆弱性テストを行っている場合、調査結果を検証するには、これらのツール間に相関関係を持たせる必要があります。ツール間にそのような相関関係がない場合、調査結果は複雑になる可能性があります。これは、アイテムの特定の相関とアイテムのカテゴリ相関に分類できます。
プロトコル固有の検証
検証は、プロトコルの助けを借りて行うこともできます。VPN、Citrix、DNS、Web、メールサーバーを使用して、調査結果を検証できます。
研究
システムの脆弱性を見つけて検証した後、問題の特定の正確さを判断し、侵入テストの範囲内で脆弱性の潜在的な悪用可能性を調査することが不可欠です。調査は公的または私的に行うことができます。公開調査を行っている間、脆弱性データベースとベンダーアドバイザリを使用して、報告された問題の正確性を検証できます。一方、個人的な調査を行っている間は、レプリカ環境を設定し、ファジングや構成のテストなどの手法を適用して、報告された問題の正確性を検証できます。
搾取フェーズ
これはPTESの第5フェーズです。このフェーズでは、セキュリティ制限をバイパスしてシステムまたはリソースにアクセスすることに重点を置きます。このフェーズでは、前のフェーズで行われたすべての作業により、システムにアクセスできるようになります。システムにアクセスするために使用される次のようないくつかの一般的な用語があります-
- Popped
- Shelled
- Cracked
- Exploited
エクスプロイトフェーズのログインシステムは、コード、リモートエクスプロイト、エクスプロイトの作成、ウイルス対策のバイパスを使用して実行できます。または、弱い資格情報を介してログインするのと同じくらい簡単です。アクセスを取得した後、つまりメインエントリポイントを特定した後、評価者は価値の高いターゲット資産の特定に集中する必要があります。脆弱性分析フェーズが適切に完了していれば、価値の高いターゲットリストに準拠しているはずです。最終的に、攻撃ベクトルは、成功の確率と組織への最大の影響を考慮に入れる必要があります。
悪用後のフェーズ
これはPTESの第6フェーズです。評価者は、このフェーズで次の活動を行います-
インフラストラクチャ分析
ペネトレーションテスト中に使用されるインフラストラクチャ全体の分析は、このフェーズで行われます。たとえば、ネットワークまたはネットワーク構成の分析は、インターフェイス、ルーティング、DNSサーバー、キャッシュされたDNSエントリ、プロキシサーバーなどを使用して実行できます。
略奪
これは、ターゲットホストから情報を取得することとして定義できます。この情報は、事前評価フェーズで定義された目標に関連しています。この情報は、システムにインストールされているプログラム、データベースサーバー、プリンターなどの特定のサーバーから取得できます。
データの漏えい
この活動の下で、査定者は、制御強度測定、すなわち組織からの機密情報の検出とブロックを行うことができるように、すべての可能な浸透経路のマッピングとテストを行う必要があります。
永続性の作成
このアクティビティには、認証が必要なバックドアのインストール、必要に応じたバックドアの再起動、複雑なパスワードを使用した代替アカウントの作成が含まれます。
掃除
名前が示すように、このプロセスは、侵入テストが完了した後のシステムのクリーンアップの要件をカバーします。このアクティビティには、元の値に戻すシステム設定、アプリケーション構成パラメーター、およびインストールされているすべてのバックドアと作成されたユーザーアカウントの削除が含まれます。
報告
これはPTESの最後の最も重要なフェーズです。ここでは、クライアントは侵入テストの完了後の最終報告に基づいて支払います。レポートは基本的に、システムに関して評価者が行った調査結果を反映しています。以下は、優れたレポートの重要な部分です。
エグゼクティブサマリー
これは、侵入テストの具体的な目標とテスト演習の高レベルの調査結果について読者に伝えるレポートです。対象読者は、チーフスイートの諮問委員会のメンバーになることができます。
ストーリーライン
レポートには、エンゲージメント中に行われたこと、実際のセキュリティの調査結果または弱点、および組織が確立した積極的な統制を説明するストーリーラインが含まれている必要があります。
概念実証/テクニカルレポート
概念実証またはテクニカルレポートは、テストの技術的な詳細と、エンゲージメント前の演習で主要な成功指標として合意されたすべての側面/コンポーネントで構成されている必要があります。テクニカルレポートのセクションでは、テストの範囲、情報、攻撃パス、影響、および修復の提案について詳しく説明します。