脆弱性診断とペネトレーションテスト

１．「脆弱性診断」とは

　情報システムに存在するセキュリティに関する問題や、
　　　サイバー攻撃に繋がる可能性のある脆弱性を見つける

　自動診断ツールと診断員による手動での診断手法を組み合わせて、
　　　網羅的により多くの脆弱性を見つけるための検査を実施する

２．ペネトレーション（penetration）テストとは

　「侵入テスト」とも呼ばれる
　　　攻撃者としてのゴールを設定した上で、
　　　それが実際に成功するかどうかを検証する

　システムの内部に深く侵入したり、
　　　管理者権限の奪取、クラウドサービスから重要なファイルを探し出す等
　　　あらゆる手法を使って検証を行う

　診断員個人のスキルに依存する面がある
　　　診断員のスキルや熟練度によっては成果は異なる

３．対応例

　・脆弱性診断
　　　網羅的により多くの脆弱性を探すことが目的で、
　　　攻撃をされるリスクを発見する
　　　　　Webアプリケーション診断
　　　　　　　Webアプリケーションを対象とする
　　　　　プラットフォーム診断
　　　　　　　サーバーやファイアウォール等のネットワーク機器を対象とする
　　　　　ネイティブアプリ診断
　　　　　　　スマートフォンなどのモバイル端末を対象とする
　　　　　IoTセキュリティ診断
　　　　　　　IoT機器を対象とする

　・ペネトレーションテスト
　　　実際に攻撃が成功するかどうかで
　　　特定の脆弱性や問題点を発見し攻撃を予防する
　　　　　システムの情報収集、OSINT（Open Source Intelligence）調査
　　　　　　　検索サイトを利用した情報収集によって、
　　　　　　　　　不用意に公開されている情報がないか、
　　　　　　　　　攻撃の糸口となる情報がないかを確認する
　　　　　外部公開サーバに侵入できるかを調査
　　　　　　　プラットフォームやWebアプリケーションについて、
　　　　　　　実際に侵入できる脆弱性があるかを確認する
　　　　　疑似マルウェアを用いて、社員のセキュリティモラルを調査
　　　　　　　標的型メールが届いた場合の対応を確認する
　　　　　疑似感染により、情報持ち出しができるかを調査
　　　　　　　マルウェアに感染した場合のリスクを確認する