Pentera | Pentera Core (ペンテラコア )－東京エレクトロンデバイス

従来のホワイトハッカーによる手動ペネトレーションテストは費用が高額であり、企業が実施できるのは年1回から多くても数回に限られていました。しかし、現在のIT環境は以下の通り大きく変化しており、従来の年数回のテストでは追いつかない状況になっています。

リモートワークの普及により社内外の接続ポイントが増加

クラウド利用の拡大と環境の複雑化

その結果、攻撃者に狙われやすい環境に変化

IT管理者の負担が増え、予算・時間をセキュリティに十分割けない

こうした状況から、企業はこれまでのように「高額・低頻度」の診断に依存するだけでは、現代のセキュリティリスクに対応しきれないという課題を抱えています。

ペネトレーションテストとは？

現状のセキュリティリスクが見えない理由

「セキュリティ製品導入後の製品の有効性や投資対効果がわからない」

「日々発生する多くの脆弱性の対策優先度がわからない」

「ペネトレーションテストの実施による検証を行うも、診断機会が年に1度で有効性が薄い」　

など、セキュリティにおいて見えていないことによるリスクは非常に大きい上に可視化がされていないことによってそもそもこれらのリスクが認識自体されていない状況ではないでしょうか？

マニュアルペネトレーションテストとの比較

マニュアルペネトレーションテストとの違いについてわかりやすくまとめてみました。

企業/組織は昨今のDXに伴うIT環境の複雑化により、サイバー攻撃の対象となりうる領域が拡大し続けており、従来の入り口を守る手法だけではセキュリティレベルを維持するのが困難になってきています。このような状況の変化に対して、攻撃者が侵入された後を想定した内部ネットワークのセキュリティ対策が必要不可欠になっています。

ゼロトラストに必要なのは“実証された対策”

ランサムウェア攻撃の無差別化が加速する状況で、電子メールへの添付ファイルを介在して感染を広げる「Emotet」やVPN機器のゼロデイ脆弱性など、侵入される機会が増す一方、「サイバー攻撃の被害に遭ったら」を疑似体験でき、コストをかけるべき重点施策の参考になるペネトレーションテストは、ゼロトラストによるセキュリティ構築を進めている状況でも非常に有効です。

ランサムウェアとは？

IT運用・セキュリティ両部門で使える仕組み

従来、このようなペネトレーションテストツールは、高度な専門知識を持つセキュリティのプロフェッショナルが使用するもので、企業、組織などのIT管理者が容易に使用できる物ではありませんでした。

PenteraはIT管理者が使用する事を前提として開発されており、セキュリティについての基本的な知識を持っていれば、ペネトレーションテストの実施、問題点への対処が出来るよう設計されています。もちろん、セキュリティプロフェッショナルにとっても、手動では膨大な時間が掛かる検査が自動化されることで調査段階の工数を大幅に削減し、結果の分析や対処方法の調査に十分な時間をかけることが出来るようになります。

具体的には、以下のような特徴を持っています。

 完全自動化で工数ゼロ

必要に応じて重要な検査の前に、ユーザーに承認を求めるプロセスを含める事も可能ですが、Penteraは通常検査を開始したら終了まで全自動で検査が実施されます。これにより、スケジュール機能を利用して夜間や休日などにも検査を実施することが可能になります。

迅速な検査

従来のマニュアルペンテストでは実際の検査から最終的な結果が出るまでに数週間～１ヶ月以上かかることが一般的でした。
しかし、この期間の間にも検査対象の状況は変化し続けており、検査結果が出てから対処を開始した段階では、すでに適切な対応が出来ない状況となっていることがしばしば発生します。

Penteraは検査の開始からわずか数時間程度で結果を確認でき、実際の状況により即した対処を行うことが可能です。

最新のハッキング技術

Penteraは元イスラエル国防軍のエリートハッカー部隊出身者が立ち上げた会社であり、豊富な経験と高度な知識を有し、最新のハッキング技術にも精通しています。
Penteraにはそれらの技術が反映されており、また、独自の分析チームを持つことで、影響度の大きい脆弱性等については最短１週間以内に対処できるような即応性も持ち合わせています。

シミュレーションではない、実際の攻撃

ペネトレーションテストツールの中には、BAS (Breach and Attack Simulation)*¹と呼ばれる物が存在します。
BASはシミュレーションのため検査対象に影響を与えないというメリットは存在するものの、検査対象の実際の挙動を見ているわけでは無く、また全ての挙動をシミュレートできるわけではないため、検査結果の精度という意味では本来のペネトレーションテストに及ばないことがほとんどです。

また、追加機能のランサムウェアエミュレーションでは単にランサムウェアを送り込んで暗号化を実施するだけではなく、実在する攻撃グループの攻撃をシュミレートしたシナリオによるランサムウェアによる攻撃フローを忠実に再現することができます。Penteraなら実際にハッカーが使用するテクニックを用いて検査対象に対して攻撃を実施することで、精度の高い検査結果を得ることが出来ます。

ランサムウェア診断の詳細はこちら

*¹BAS(Breach and Attack Simulation)とは：検査対象から収集した情報を元に仮想的な攻撃シミュレーションを実施し、問題点を分析するもの

サービスへの影響を与えない安全設計

ペネトレーションテストを実施する上での懸念点としてよくあげられるのが、検査が与えるサービス、システムなどへの影響です。
Penteraは自動ペネトレーションテストツールとして、業務時間中でも定期的な検査を実施する事を想定し、サービス、システムなどへ高負荷を与えたり、ダウンさせてしまうといったことがないよう設計がなされています。

 攻撃実行後もシステムを安全に原状回復

Penteraは検査対象に影響を与えないよう注意深く設計されていますが、シミュレーションでは無く実際に攻撃を実施する関係上、検査対象にファイルやアカウントを作成するといった変更を加えます。そのため、Penteraは検査終了後にこれらのクリーンナップを実施し、検査前の状態に戻します。

分かりやすい結果の表示

得られた結果を可視化し、また全体の状況を統合的に表示することで、容易に状況を把握し、迅速な対処ができます。

テスト結果の表示の詳細はこちら

攻撃の可視化

Penteraは実施した検査結果をアタックフローという形で視覚的にわかりやすいフローチャートとして表示します。

これによりユーザーは攻撃がどのような流れで行われたか、関連する脆弱性などは何かなどを容易に把握することが出来ます。
また、アタックフロー上で問題点の対処をシミュレーションすることが可能で、特定の脆弱性などを対処した場合にそのアタックフローがどのように変化するのかを事前に予測することが可能です。

対処の優先順位付け

どの問題から対処すべきかについて、脆弱性の危険度についてはCVSSスコアなどの基準が存在しますが、これらの基準は汎用的なもので有り、その組織にとっての重要度、深刻度は加味されていません。

また、その脆弱性がハッカーにとって利用しやすく、実際の攻撃に多用されているといった実情も反映されていません。Penteraでは通常セキュリティ分析の専門家が実施するような、様々な情報の分析を実施し、検査した環境において対処すべき事項を優先順位付けして提示します。

修復の優先順位

ペネトレーションテストで発見された問題について、その全てを対処することは現実的ではありません。よって、どの問題について対処すべきであるかという判断が必要となります。
Penteraでは通常ペンテスターが実施するような高度な分析を実施し、その環境で対処すべき問題点の優先順位を提示します。これによりユーザーは容易に対処方針を決定できるようになります。

改善アクション（処方箋）の具体的な提示

多くのマニュアルペネトレーションテスト支援ツールでは、検査結果は示してくれるものの、問題点への対処方法についてはユーザー自身で調査、検討する必要があるケースがほとんどでした。
Penteraでは多くの脆弱性／脅威について、対処方法を「処方箋」という形で以下のような内容をわかりやすく提示してくれます。

どのような脅威であるのか

考えられる被害

対処方法

サービスはこちら

CTEM設計・運用支援サービス

関連記事はこちら

金融庁の新ガイドラインから金融業界に求められるペネトレーションテストとその手法を考える

ランサムウェア被害に直結するAD認証情報リスクを可視化

「もし攻撃者だったら？」──ランサムウェア時代に企業が持つべき“攻撃者視点”とは

大手企業を襲うランサムウェア被害から学ぶ攻めのセキュリティ戦略

自動ペネトレーションテストで高頻度なセキュリティ検証を実現

クラウド環境に対するセキュリティ評価を実施するPentera Cloudのご紹介

セキュリティ診断用語解説 ～乱立するセキュリティ診断用語について理解する～

BAS2.0とは？PenteraはBASとどう違うのか？を詳しく解説します

新たなセキュリティアプローチ”CTEM”とは