CIS Critical Security Control 18. 侵入テスト

Center for Internet Security (CIS) は Critical Security Controls（CIS Controls） により、進化し続けるサイバーセキュリティ分野を支援しています。CIS Control 18 は侵入テスト（このトピックは、前バージョンでは Control 20 で扱われていました）を対象としています。

侵入テストとは、組織のセキュリティを評価するために、意図的にサイバー攻撃を実行することです。熟練したペネトレーションテスターは侵入テストを行い、システムのセキュリティに侵入して、Webサイト、アプリケーション、またはネットワークにおける盲点を明らかにします。これらの脆弱性を特定することで、侵入テストは企業がセキュリティ管理を常に把握し続けることを支援します。

セキュリティにおけるベストプラクティスではあるものの、ペネトレーションテストは高額になります。なぜなら複雑であるため、経験があり評判の良いペンテスター（いわゆる「エシカルハッカー」）が必要だからです。テストは、不安定なシステムの停止や、データの破損または削除などのリスクを招く可能性があります。さらに、出力レポートもリスクになります。組織の防御を突破する手順が明示されるため、レポートは慎重に保護する必要があります。

ペネトレーションテストは、別の重要な（そして多くの場合必要とされる）実施事項である脆弱性スキャンと混同されることがよくありますが、方法と目的は異なります。脆弱性テスト（CIS コントロール 7）では、非侵入型のスキャンを使用して、セキュリティ侵害を発見しようとしつつもそれを悪用することなく、システムのセキュリティ上の弱点を特定します。これに対して、ペネトレーションテストでは侵入型の手法を用いて、サイバー攻撃が組織にどれほどの損害を与え得るかを検証します。実際の攻撃を模倣し、攻撃者がアクセスできるIT資産を正確に把握します。脆弱性テストとペネトレーションテストのプロセスを併用することで、セキュリティ上の不足を包括的に把握できます。

18.1 ペネトレーションテストプログラムを確立し、維持する

成功したペネトレーションテストプログラムは、事業が常にハッカーより一歩先を行くのに役立ちます。ペネトレーションテストは、セキュリティシステムのギャップを明らかにし、IT資産を盗むことがいかに簡単であるかを示します。各ペネトレーションテストプログラムの具体的な内容は、組織の性質、規模、複雑性、成熟度によって異なります。以下はいくつかのガイドラインです。

• スコープ— ペンテスト（侵入テスト）プログラムには、外部と内部の両方を含めるべきです。そのうえで、テストのスコープには、以下の項目の一部またはすべてが含まれる可能性があります。
  • ネットワーク
  • ハードウェア
  • Web アプリケーション
  • API
  • Wi-Fi
  • 施設への物理的なアクセス
• 種類 — 事前テストで提供する情報の量に応じて、侵入テストには3つの種類があります。:
  • ブラックボックス: テスターは内部システムについての知識がない状態で入ります。
  • ホワイトボックス: 組織がターゲットに関する包括的な詳細を提供します。
  • グレーボックス: これらの評価はその中間に位置し、組織がテスターに対して部分的な情報を提供します。
• 制限 — テストの有効性を妨げ得る制限（例：）について必ず記載してください。
  • スコープ：リソースや予算の不足により、組織がペンテストの範囲を制限することを選ぶ場合があり、その結果としてセキュリティに潜在的な見落とし（ブラインドスポット）が生じる可能性があります。
  • 時間：ペンテスターは各テストに対して構造化された時間枠を設定しますが、攻撃者には時間制限がなく、攻撃に数週間または数か月を費やすことがあります。
  • 手法：一部のペンテスト手法は対象システムをクラッシュさせる可能性があるため、プロの侵入テストではこれらの技術は対象外になります。
  • スキル： ペンテスターは特定の種類のテクノロジーだけを学んでいる場合があり、その結果、視野が狭くなる可能性があります。
  • 実験：ペンテスターは、提示された構造やプロトコルに従うだけで、「枠の中で」考えることにとどまる場合があります。真の攻撃者は、アプローチにもっと創造性を持ち得ます。
• 頻度 —  CIS Controlsでは、組織に対して外部および内部のペンテストを定期的に実施すること（少なくとも年1回）に加え、インフラストラクチャやソフトウェアに大きな変更があった場合にも実施することを推奨しています。
• 窓口担当者 — ペネトレーションテストがいつ実施されるかを知っておくべきなのは、選ばれた少人数のみに限るべきです。各定期テストごとに、ペネトレーションテストチームと連携するための、組織内の特定の窓口担当者を割り当ててください。テスト実施中に問題が発生した場合、この担当者が適切な
• 是正対応と再テスト — テストが完了したら、組織はセキュリティを改善するために、ポリシーおよび技術的対策にどのような変更が必要かを判断すべきです。これらのアクションを実施した後、ペンテストを再度行う必要があります。

ペネトレーションテスト プログラムの段階

ペンテストのプロセスは7つのフェーズで構成されます。最初の6つはスコープに応じて約10日かかります。最後のステップである remediation（修復）は、しばしばさらに時間がかかります。

1. 事前準備（Pre-engagement） — プロセスは目的の設定から始まります。組織とテスターは、テストのスコープに含める企業資産と、どのセキュリティ面をテストするかを決定します。
2. 偵察（Reconnaissance） — テスターは、ペンテスト作業のスコープに含まれる資産に関する情報を収集します。テスターは、情報収集のためにネットワークへ積極的に直接関与する方法を取ることも、ネットワークトラフィックを受動的に追跡し、OSやインターネット上の痕跡をたどる方法を取ることもできます。
3. ディスカバリー（Discovery） — ディスカバリー（発見）フェーズには2つの部分があります。まず、テスターはホスト名、IPアドレス、アプリケーションやサービスの詳細など、さらなる情報を収集するかもしれません。次に、テスターは脆弱性スキャンを実施し、ネットワーク、アプリケーション、デバイス、およびサービスにおけるセキュリティ上の欠陥を探します。パッチ未適用のシステムのような脆弱性に加えて、テスターはポリシーセキュリティのエラー、セキュリティプロトコルの弱点、PCI DSS、 のような標準に関するコンプライアンス上の問題も発見することがあります。GDPR または HIPAA。脆弱性スキャンソフトウェアを使うほうがはるかに効率的ですが、チームに依頼して手動スキャンを行うことで、セキュリティ上のギャップについてより包括的な洞察が得られます。
4. 脆弱性分析 — 次に、テスターは発見された脆弱性に優先順位を付けます。このランキングはある程度主観的になり得ますが、熟練したペネトレーションテスターは Common Vulnerability Scoring System (CVSS) という、世界的に受け入れられている定量的なランキング（スコアリング）システムを使用します。
5. 悪用（Exploitation） — テスターは、脆弱性を利用して IT 環境にアクセスしようと試みます。彼らは、フィッシングメール、ソーシャルエンジニアリング、ユーザーの認証情報（credentials）の発見など、ハッカーが行い得るのと同様の手法を用います。侵入できた後、テスターは、どの資産にアクセスできるかを評価します。アクセスの範囲、アクセスを維持することの容易さ、侵害が検知されずに続く期間、そして潜在的なリスクについて記録します。
6. レポート作成と推奨事項 — テスターは、特定された脆弱性とそれに関連するリスクについて詳細なレポートを提示し、修復（対応）に関する推奨事項も併せて示します。
7. 修復（リメディエーション）と再スキャン — 組織の IT チームは、抜け道を塞ぎ、脆弱性を修正するために取り組みます。続いてペネトレーションテスターは、修復（対応）作業の効果を評価するためにネットワークを再スキャンします。

18.2 定期的な外部ペネトレーションテストの実施

外部ペネトレーションテストは、組織のシステムに対する周辺的な（外部からの）アクセスを対象とします。具体的には、外部のペンテストでは公開ネットワークを使用してシステムに侵入します。目的は、外部の攻撃者がどこまで到達できるかを検証することです。ハッカーの行動をシミュレーションすることで、テスターは貴社のレジリエンス（回復力）と脆弱性について、客観的な視点を提供します。外部ペンテストは、上記で詳述したのと同じ7つのフェーズに従います。

あなた（貴社）とテスターは、法的な協議を通じてペネトレーションテストのスコープ（範囲）について合意します。外部ペネトレーションテストは外部から見えるサーバーを対象とするため、Webサイト、アプリケーション、ユーザー、API、およびネットワーク全体が含まれる場合があります。テストによっては資産の一部分だけを対象とすることもありますが、多くの場合はテストを活用して、サイバー上の弱点をより全体的に把握します。CIS Control 18 に準拠し、外部ペンテストは少なくとも年1回実施してください。

18.3. ペネトレーションテスト結果の是正（修復）

ペネトレーションテストの最後のステップは、防御態勢を改善することです。テストから得られた推奨事項に優先順位を付け、脆弱性を減らし、企業のセキュリティ体制（セキュリティ・ポスチャー）を強化するために、どの項目を実装するかを選択してください。特に CVSS のスコアが低く、対応が難しい、または費用がかさむ場合は、一部の弱点について是正（修復）しないことを組織が選ぶ場合もあります。

18.4. セキュリティ対策の検証

社内のIT担当者がペンテストチームと連携して問題を是正した後は、適切な変更が行われたことを確認するために、システムを再テストすることが重要です。この検証ステップでは、システムの弱点を最も効果的に特定するために、スキャン手法を修正する必要がある場合があります。

18.5. 定期的な内部ペネトレーションテストを実施する

内部ペンテストが必要な理由は、悪意のある、または不注意な従業員、ビジネスパートナー、顧客が被害をもたらす可能性があるためです。これは外部ペンテストに対する重要な補完となります。内部ペンテスターは、ファイアウォールの背後にあるネットワークへの社内アクセスを用いて、企業のシステムをターゲットにします。内部ペンテストにより、内部ユーザーがシステムを悪用した場合に、資産に対して想定される損害とリスクを評価できます。

外部ペンテストと同様に、内部ペンテストも前述の7つのステップに従い、ブラックボックス／ホワイトボックス／グレーボックスのいずれでも実施できます。テスターは、インサイダーとしてのアクセス権を使って、アクセス制御の回避を試みます。チームは、従業員の行動や手順に加えて、物理的なコンピューターシステム、モバイル端末、セキュリティカメラもテストすることがあります。さらにテスターは、より強力な脆弱性を明らかにするために、無線ネットワーク、ファイアウォール、侵入検知・防止システムなどを含む、外部ペンテストに近いスコープを悪用しようとする場合もあります。

概要

侵入テストは、複雑で専門性の高い手法です。定期的な侵入テストの実施は データセキュリティのベストプラクティス の重要な一部です。外部と内部のペンテストを組み合わせることで、ITシステムにおける重要な弱点を明らかにし、脆弱なデータやその他の資産が侵害に対してどれほど危険にさらされているかを具体的に示すことができます。また、サイバーセキュリティを強化するための、堅実な是正（修復）活動を導きます。