Tweet

第14回 ASV検査、ペネトレテスターの思考を追う

　連載第11回「ハニーポットによるウイルス捕獲から見えてくるもの」から13回「プレイバックPart.II：シフトした脅威の中で」では、コンピュータウイルスを題材に筆者の視点で書かせていただいた。新年は心機一転というわけでもないが、筆者自身、原点に立ち返る意味も込めて、セキュリティの検査であるペネトレーションテストについて書かせていただきたい。

　ペネトレーションテストとは何か

　さて、ペネトレーションテストという言葉。この記事を読んでいただいている皆さんは、もうなじみ深い言葉かもしれない。しかし昨今、この言葉が誤用されているとまではいわないにしても、筆者はその使い方に違和感を覚える場面に遭遇することがよくある。よい機会なので、「ペネトレーションテストとは何か」ということを説明させていただきたい。

　ペネトレーションテストとは、コンピュータネットワークに内在する弱点、つまり脆弱（ぜいじゃく）性を検出し、実証する行為のことを指す。（インターネットへの公開、非公開は関係なく）ネットワーク上のコンピュータやネットワーク機器などに対して、「検査者の手で実際の攻撃手法」を用いて、その対象がどの程度のセキュリティレベルであるのかということを調査するものである。

　ペネトレーションテスト、実際の検査内容を知る

　読者の皆さんの中には、ペネトレーションテストとして実際に検査を受け、報告された内容から対策を講じ、再検査を行い自システムの脆弱性を減らしていったという方もいらっしゃると思う。そのような方でも、検査の概要と検査のアウトプットである報告書、報告会がどのようなものかは知っていても、肝心の検査そのものがどのように行われているのかはあまりご存じないという場合が多いのではないだろうか。

　言葉の定義としてのペネトレーションテストだけではなく、現場ではどのようなことが行われているのかということを、筆者が行ったとある認定試験の一部を例に紹介させていただく。

　ASV認定試験はこのようにして行われる

　筆者を含む検査チームは、昨年にASVという認定試験を受験した。ASVとは、「Approved Scanning Vendor」の略で、PCI DSS（Payment Card Industry Data Security Standard：クレジットカード業界のセキュリティ基準）の要件の11.2【注1】に記述されている企業・組織である。PCI DSSを取得するには、ASVとして認められた組織による脆弱性スキャニングテストを年に4回受ける必要がある。

　PCI DSSに関する詳しい内容については、連載「オール・ザッツ・PCI DSS」に任せるとしよう。ASVではたとえ試験であっても、通常のサービス提供と変わりなく、テスト環境を提供してくれているチーム（以下、被検査チーム）をお客さまとして扱うように、と規定されている。

　受験前には、検査対象がどのような構成であるかということが通知される。今回の検査対象は、Windows系が5台、UNIX系4台、ネットワーク機器4台の計13台のマシン（IPアドレス）であった。実は筆者がASVを受験するのは2回目である。上記の構成は、前回（2007年度試験）と比べて大きく変わっている点がある。前回はWindows 2000が検査対象にいくつか存在したのだが、今回は、Windows Server 2003に置き換わり、Windows Server 2008も登場していた。

図1　検査対象の構成例

　最近筆者が行う業務上の検査でも、Windows 2000とWindows Server 2003とでは圧倒的にWindows Server 2003が多いことを考えると、この試験は時代の流れをしっかり取り入れることでブラッシュアップが図られている試験内容であるといえる。

　検査開始までに、検査を行うIPアドレスを被検査チームに通知する。これは、通知したIPアドレスからのみの通信を許可してもらうためである。通常の検査も検査を行うIPアドレスを事前に通知するということを行う。これは、検査によって発生する通信に、IDS／IPS、ファイアウォールが無駄な反応を起こさないことを目的としたアクションである。

1/4

Index
ASV検査、ペネトレテスターの思考を追う
	Page1 ペネトレーションテストとは何か ペネトレーションテスト、実際の検査内容を知る ASV認定試験はこのようにして行われる
	Page2 検査、開始！ 脆弱性スキャナ、オン！ 脆弱性スキャナの「うそと沈黙」
	Page3 その貫通に“確証”はあるか 脅威は“そこ”だけなのか
	Page4 検査はせめて、人間らしく

セキュリティ対策の「ある視点」 連載インデックス

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード