侵入テストのチュートリアル: PenTest とは?
トーマス・ハミルトン
侵入テスト
侵入テスト ペネトレーションテストは、 セキュリティテスト ソフトウェア アプリケーション、ネットワーク、または Web アプリケーションで攻撃者が悪用する可能性のある脆弱性、脅威、リスクをカバーするために使用されます。 侵入テストの目的は、ソフトウェア アプリケーションに存在する可能性のあるすべてのセキュリティ脆弱性を特定してテストすることです。 侵入テストは侵入テストとも呼ばれます。
脆弱性とは、攻撃者がシステムまたはシステム内に含まれるデータを妨害したり、それらへの許可されたアクセスを取得したりするリスクです。 脆弱性は通常、ソフトウェアの開発および実装段階で偶然に発生します。 一般的な脆弱性には、設計エラー、構成エラー、ソフトウェアのバグなどが含まれます。侵入分析は、脆弱性評価と侵入テスト (VAPT) という XNUMX つのメカニズムに依存しています。
なぜ侵入テストを行うのか?
企業では浸透が不可欠です。その理由は次のとおりです。
- 銀行、投資銀行、証券取引所などの金融部門はデータの安全性を望んでおり、セキュリティを確保するには侵入テストが不可欠です。
- ソフトウェア システムがすでにハッキングされており、組織が将来のハッキングを避けるためにシステムに脅威がまだ存在するかどうかを確認したい場合。
- プロアクティブな侵入テストはハッカーに対する最善の保護策です
侵入テストの種類
選択される侵入テストの種類は通常、範囲と、組織が従業員、ネットワーク管理者 (内部ソース) による攻撃、または外部ソースによる攻撃をシミュレートしたいかどうかによって異なります。 ペネトレーションテストには XNUMX 種類あります。
- ブラック Box テスト
- ホワイト Box 侵入テスト
- グレー Box 侵入テスト
ブラックボックス侵入テストでは、テスト担当者はテスト対象のシステムに関する知識を持ちません。テスト担当者は、対象のネットワークまたはシステムに関する情報を収集する責任があります。
ホワイト ボックス侵入テストでは、通常、IP アドレス スキーマ、ソース コード、OS の詳細など、テスト対象のネットワークまたはシステムに関する完全な情報がテスターに提供されます。これは、内部ソース (組織の従業員) による攻撃のシミュレーションと見なすことができます。
グレー ボックス侵入テストでは、テスターにシステムに関する部分的な知識が提供されます。これは、組織のネットワーク インフラストラクチャ ドキュメントに不正にアクセスした外部のハッカーによる攻撃と見なすことができます。
侵入テストの実行方法
侵入テストを実行するには、次のアクティビティを実行する必要があります。
ステップ 1) 計画段階
- 任務の範囲と戦略が決定される
- 既存のセキュリティ ポリシー、標準が範囲の定義に使用されます
ステップ 2) 発見フェーズ
- システム内のデータ、ユーザー名、パスワードなど、システムに関するできるだけ多くの情報を収集します。 これは次のようにも呼ばれます 指紋採取
- ポートをスキャンしてプローブする
- システムの脆弱性をチェックする
ステップ3) 攻撃フェーズ
- さまざまな脆弱性のエクスプロイトを見つける システムをエクスプロイトするには必要なセキュリティ権限が必要です
ステップ 4) 報告段階
- レポートには詳細な調査結果が含まれている必要があります
- 見つかった脆弱性のリスクとビジネスへの影響
- 推奨事項と解決策 (ある場合)
侵入テストの主なタスクは、システム情報を収集することです。 情報を収集するには XNUMX つの方法があります –
- ホストに関する「XNUMX 対 XNUMX」または「XNUMX 対多」モデル: テスターは、XNUMX つのターゲット ホストまたはターゲット ホストの論理グループ (サブネットなど) に対して線形な方法でテクニックを実行します。
- 「多対 XNUMX」または「多対多」モデル: テスターは複数のホストを利用して、ランダム、レート制限、および非線形で情報収集手法を実行します。
侵入テストツールの例
侵入テストにはさまざまなツールが使用されます。 重要な侵入テストツール には次の値があります:
1) Teramind
Teramind は、内部関係者による脅威の防止と従業員の監視のための包括的なスイートを提供します。 行動分析とデータ損失防止を通じてセキュリティを強化し、コンプライアンスを確保し、ビジネス プロセスを最適化します。 そのカスタマイズ可能なプラットフォームは組織のさまざまなニーズに適合し、生産性の向上とデータの整合性の保護に重点を置いた実用的な洞察を提供します。
特徴：
- 内部関係者による脅威の防止: データに対する内部関係者の脅威を示す可能性のあるユーザーのアクションを検出し、防止します。
- ビジネスプロセスの最適化: データ駆動型の行動分析を活用して運用プロセスを再定義します。
- 従業員の生産性: 従業員の生産性、セキュリティ、コンプライアンス行動を監視します。
- コンプライアンス管理： 中小企業、大企業、政府機関に適した単一のスケーラブルなソリューションでコンプライアンスの管理を支援します。
- インシデントフォレンジック: インシデント対応、調査、脅威インテリジェンスを強化するための証拠を提供します。
- データ損失防止： 機密データの潜在的な損失を監視し、保護します。
- 従業員の監視: 従業員のパフォーマンスと活動を監視する機能を提供します。
- 行動分析: 顧客のアプリ動作データを詳細に分析して洞察を得ることができます。
- カスタマイズ可能な監視設定: 特定のユースケースに合わせて監視設定をカスタマイズしたり、事前定義されたルールを実装したりできます。
- ダッシュボードの洞察: 包括的なダッシュボードを通じて、従業員のアクティビティに対する可視性と実用的な洞察を提供します。
- nmap– このツールは、ポート スキャン、OS の識別、ルートのトレース、および脆弱性スキャンを行うために使用されます。
- ネサス– これは従来のネットワークベースの脆弱性ツールです。
- Pass-The-Hash – このツールは主にパスワードクラッキングに使用されます。
ペネトレーションテスターの役割と責任
ペネトレーションテスターの仕事は次のとおりです。
- テスターは侵入テストを有効にするために必要な情報を組織から収集する必要があります
- ハッカーがターゲットマシンを攻撃できる可能性のある欠陥を見つける
- 侵入テスターは、倫理的ではありますが、本物のハッカーのように考え、行動する必要があります。
- ペネトレーションテスターが行う作業は、開発者が簡単に修正できるように再現可能である必要があります。
- テスト実行の開始日と終了日は事前に定義する必要があります。
- テスターは、テスト中のシステムまたは情報の損失に対して責任を負う必要があります。 ソフトウェアテスト
- テスターはデータと情報の機密性を保持する必要があります
手動侵入テストと自動侵入テスト
| 手動侵入テスト | 自動侵入テスト |
|---|---|
| 手動テスト 専門の専門家がテストを実行する必要がある | 自動テストツールは、経験の浅い専門家でも明確なレポートを提供します |
| 手動テストには、それを追跡するための Excel およびその他のツールが必要です | 自動化テスト 集中化された標準ツールがある |
| 手動テストでは、サンプルの結果はテストごとに異なります | 自動テストの場合、結果はテストごとに変わりません。 |
| メモリのクリーンアップはユーザーが覚えておく必要があります | 自動テストには包括的なクリーンアップが含まれます。 |
侵入テストの欠点
侵入テストでは、システム内のすべての脆弱性を検出できるわけではありません。 ペネトレーションテスターの時間、予算、範囲、スキルには制限があります
侵入テストを実行すると、次のような副作用が発生します。
- データの損失と破損
- ダウンタイム
- コストの増加
まとめ
テスターは本物のハッカーのように行動してアプリケーションまたはシステムをテストし、コードが安全に記述されているかどうかを確認する必要があります。 セキュリティ ポリシーが適切に実装されている場合、侵入テストは効果的です。 侵入テストのポリシーと方法論は、侵入テストをより効果的にするための場所である必要があります。 これはペネトレーション テストの完全な初心者ガイドです。
私たちをチェック ライブ侵入テスト プロジェクト
