脆弱性スキャンとペネトレーションテスト

リアクティブなセキュリティは攻撃が発生した後に対応します。一方、プロアクティブなセキュリティは、攻撃者に悪用される前に弱点を見つけて修正します。相互に補完し合う2つのプロアクティブな実践が、脆弱性スキャンとペネトレーションテストです。どちらもセキュリティ上の弱点を特定しますが、対象範囲、方法論、承認要件、リスクレベル、組織に提供する成果物は大きく異なります。これらの違いを理解することは、Security+の受験者にとって、また各活動からセキュリティ態勢について何が分かり、何が分からないのかを関係者に説明するうえで不可欠です。

脆弱性スキャンは、既知の脆弱性のデータベースとシステムを照合する自動化されたプロセスです。スキャナーは、バージョン番号、構成設定、ソフトウェアシグネチャをCVEデータベースやベンダーのアドバイザリと比較し、潜在的な弱点を特定します。スキャンは通常非侵入型です。バージョンや構成に基づいて脆弱性が存在する可能性を特定しますが、一般にその脆弱性の悪用までは試みません。スキャンは定期的（毎日、毎週、または継続的）に実行でき、数千のシステムを対象に大規模に実施できます。PCI-DSS（ASVによる四半期ごとの外部スキャン）をはじめ、多くのフレームワークでコンプライアンス要件となっています。

ペネトレーションテスト（ペンテスト）とは、攻撃者が使用するのと同じ手法を使って、システムの侵害を試みる、目的指向の体系的な取り組みです。スキャンとは異なり、ペンテストでは脆弱性を実際に悪用して、それが理論上存在するだけでなく、現実に悪用可能であることを確認します。ペンテスターは、実際にどのような影響が生じるかを実証します。特権アクセスを取得できるか、データを持ち出せるか、あるシステムから別のシステムへ横展開できるか、といった点です。ペンテストでは、悪用可能性の証拠を示すことで、修正対応の緊急性を高められます。また、自動スキャナーでは特定できない、複雑な複数段階の攻撃経路が明らかになることも少なくありません。

承認を受けずにペネトレーションテストを実施することは違法です。米国のCFAA（Computer Fraud and Abuse Act）のような法律では、不正アクセスに該当します。ペンテストを開始する前に、ルール・オブ・エンゲージメント（RoE）文書に署名し、対象範囲（対象システム、IP範囲、ドメイン）、実施時間帯（営業時間内または営業時間外）、禁止事項（物理的な攻撃を行わない、本番環境に対してDoS攻撃を行わない）、緊急連絡先、承認者の署名を定める必要があります。ペンテストチームが携行する許可証明書は、セキュリティ担当者に発見された場合に、テストの承認を受けていることを証明します。完全な書面による承認なしに、決してテストを開始してはいけません。

ペンテストは、テスターが対象についてどの程度の情報を持っているかによって分類されます。ブラックボックステストでは、事前情報が一切与えられません。テスターは外部の攻撃者と同じように、OSINTやスキャンを使って対象を発見するところから始めます。最も現実に近い一方で、内部の脆弱性を見逃す可能性があります。ホワイトボックステストでは、ネットワーク図、ソースコード、認証情報など、すべての情報が提供されるため、徹底したテストが可能ですが、現実性は低くなります。グレーボックステストでは、一般ユーザーアカウントなどの一部の情報が提供され、侵害された内部関係者や、認証情報を盗まれた状況を想定します。実際の業務で行われるテストの多くは、グレーボックスまたはブラックボックスです。

ペンテストでは、異なる攻撃視点から対象をテストします。外部テストは、内部アクセスを持たないインターネット上の攻撃者を想定し、境界防御、インターネットに公開されたアプリケーション、メールセキュリティをテストします。内部テストは、すでにネットワーク内部に侵入した脅威アクター（侵害された従業員やマルウェアによる足がかりの拡大など）を想定し、横展開の防止策、内部アプリケーションのセキュリティ、Active Directoryの堅牢化をテストします。多くの組織では、両方の視点からテストすることが有効です。実際の侵害の多くは、外部の攻撃者が最初のアクセスを獲得した後、内部へ移動するという流れを取るため、両方のテストを組み合わせる方が、どちらか一方だけを行うより価値があります。

脆弱性スキャナーは完全ではありません。誤検知とは、実際には存在しない脆弱性をスキャナーが報告することです。たとえば、バージョン番号は脆弱に見えても、パッチがバックポートされている場合などが該当します。誤検知は修正対応のリソースを浪費し、スキャナーの出力に対する信頼を損ないます。見逃しとは、実際に脆弱性が存在するにもかかわらず、スキャナーが検出できないことです。たとえば、脆弱性に認証が必要なのにスキャンが未認証で行われた場合や、その脆弱性が新しく、まだデータベースに登録されていない場合などです。認証付きスキャンを使用すると、未認証スキャンと比べて誤検知と見逃しを大幅に減らせます。

現代のセキュリティプログラムでは、脆弱性管理を定期的なイベントではなく、継続的なプロセスとして扱います。継続的スキャンでは、次回の予定スキャンを待つのではなく、新たな脆弱性が発生したとき（新しいCVEが公開されたときなど）に検出します。脆弱性管理のライフサイクルには、検出、優先順位付け（CVSSスコアとビジネス上の状況に基づく）、修正（パッチ適用、設定変更、または受容）、検証（再スキャンによる修正確認）、報告が含まれます。パッチ管理との統合により、検出された脆弱性を自動パッチ展開のワークフローに組み込めます。SLAでは、深刻度ごとに修正までの期限を定めます（例：Criticalは24時間以内、Highは7日以内）。

ペネトレーションテストは、主要な成果物である包括的なレポートを作成して終了します。レポートには通常、技術者ではない経営層向けのエグゼクティブサマリー（全体的なリスク評価、ビジネスへの影響、主な検出事項）、技術的検出事項のセクション（脆弱性の詳細な説明、証拠となるスクリーンショット、再現手順）、優先順位を付けた推奨事項からなる修正ロードマップが含まれます。検出事項は通常、CVSSスコアとビジネス上の状況を組み合わせて、リスクレベル（Critical/High/Medium/Low）で評価します。優れたペンテストレポートにより、顧客はすべての検出事項を再現・検証し、必要な修正内容を正確に把握できます。

バグバウンティプログラムは、外部のセキュリティ研究者に報奨金を支払い、組織のシステムにある脆弱性を発見して、責任ある形で開示してもらう仕組みです。HackerOne、Bugcrowd、Intigritiなどのプラットフォームは、世界中の数千人に及ぶセキュリティ研究者と組織を結び付けます。バグバウンティでは、検証済みの検出事項に対してのみ報酬を支払うことで、大規模な継続的外部テストを実現できます。内部のペンテストを補完し、多様な研究者の視点と、正式な評価の合間にも継続するテストを提供します。Criticalの検出事項には、深刻度やプログラムに応じて通常500～50,000ドル以上の報奨金が支払われます。組織は、ペンテストのルール・オブ・エンゲージメントと同様に、対象範囲とルールを定めます。

Security+試験に向けて、主な違いを明確に理解しておきましょう。脆弱性スキャン：自動化され、非破壊的で、広範囲をカバーし、潜在的な脆弱性を特定しますが、悪用可能性は確認しません。頻繁または継続的に実施され、社内スタッフが担当します。ペネトレーションテスト：手動（または半自動）で行われ、サービスに影響を与える可能性があります。対象を深く掘り下げ、実際の悪用可能性と現実世界での影響を確認します。四半期または年次など、定期的に実施され、通常は専門的な外部の知識と正式な承認が必要です。両者は補完関係にあります。スキャンは広さを、ペンテストは深さを提供します。成熟したセキュリティプログラムでは、両方を定期的に利用します。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、脆弱性スキャンが自動化され、頻繁かつ非侵入的に行われ、脆弱性を悪用せずに潜在的な脆弱性を特定することを学びました。一方、ペネトレーションテストは手動で目的指向に行われ、脆弱性を実際に悪用して、現実の影響と攻撃経路を証明します。どちらも、ルール・オブ・エンゲージメント文書による適切な承認が必要です。また、認証付きスキャンは、未認証スキャンと比べて誤検知と見逃しを大幅に減らします。次は、Nessus、OpenVAS、Nmapなど、一般的なスキャンツールについて学びます。