ブログ

究極の内部侵入テストチェックリスト：包括的なガイド

ジョン・プライス

偵察

偵察は、侵入テストの第一段階とみなされることが多く、セキュリティ評価を成功させるための土台を築く重要なプロセスです。この段階での主な目的は、対象となるシステムとネットワークに関する可能な限り多くの情報を収集し、インフラストラクチャとその潜在的な脆弱性を包括的に理解することです。この情報は、潜在的な攻撃ベクトルを特定し、それらを悪用するための効果的な戦略を策定するために活用できます。

標的のシステムやネットワークに関する関連データを収集するために、侵入テスターは受動偵察と能動偵察を含む様々なツールや手法を用います。受動偵察では、DNSレコード、WHOISデータ、検索エンジンの結果といった公開情報を利用し、システムに直接アクセスすることなく標的に関する詳細情報を収集します。一方、能動偵察では、標的システムに直接アクセスし、IPアドレス、開いているポート、システムの脆弱性といったより具体的なデータを収集します。

アクティブ偵察によく使われるツールの一つにNmap（Network Mapperの略）があります。Nmapはオープンソースのユーティリティで、ペネトレーションテスターが特別に細工したパケットを送信し、その応答を分析することで、コンピュータネットワーク上のホストやサービスを発見することができます。Nmapは多彩な機能を備えており、使用中のオペレーティングシステム、開いているポートと閉じているポート、ファイアウォールや侵入検知システムの有無など、対象システムに関する貴重な情報を提供します。

偵察に役立つもう一つのツールは、広く利用されている脆弱性スキャナーであるNessusです。Nessusは、標的システムのセキュリティ体制における弱点を特定するのに役立ちます。Nessusは、一連のテストを標的システムに送信し、その応答を分析することで潜在的な脆弱性を検出します。豊富なプラグインライブラリを備えたNessusは、ソフトウェアの欠陥、設定ミス、暗号化プロトコルの弱点など、幅広い脆弱性を特定できます。

偵察フェーズが完了すると、侵入テスターは収集した情報を用いてターゲット環境をマッピングし、潜在的な侵入ポイントを特定できます。この知識は、脆弱性評価、エクスプロイト、エクスプロイト後の検証といった侵入テストの次段階の計画に不可欠であり、最終的にはターゲットのセキュリティ体制を評価し、改善のための推奨事項を提供することを目指します。

脆弱性スキャン

内部ネットワーク侵入テストにおける偵察フェーズに続く重要なステップは、脆弱性スキャンです。このプロセスは、対象システム上の既知の脆弱性を特定し、侵入テスト担当者に悪用される可能性のある潜在的な弱点に関する貴重な情報を提供することを目的としています。効果的な脆弱性スキャンを実行するために、NessusやOpenVASなどの様々なツールや手法が利用可能です。

脆弱性スキャンは、対象システムのセキュリティ状況を深く理解するために不可欠です。既知の脆弱性を発見することで、ペネトレーションテスターは作業の優先順位を決定し、リスクの高い領域に重点的に取り組み、評価の効果を最大化することができます。さらに、脆弱性スキャンは、組織が最新のセキュリティ脅威とパッチ管理に関する最新情報を常に把握し、全体的なセキュリティ戦略を強化するのに役立ちます。

Nessusは、豊富なプラグインライブラリと定期的なアップデートで知られる、広く利用され、高い評価を得ている脆弱性スキャナーです。強力なスキャン機能を備えたNessusは、ソフトウェアの欠陥、設定ミス、暗号化プロトコルの脆弱性など、様々なプラットフォームにわたる幅広い脆弱性を特定できます。Nessusが提供する情報を活用することで、侵入テスターは重大な脆弱性を迅速に特定し、標的を絞った攻撃戦略を策定することができます。

OpenVAS（Open Vulnerability Assessment System）は、脆弱性スキャンのもう一つの人気の選択肢です。オープンソースツールであるOpenVASは、対象システムの脆弱性を特定するための柔軟で費用対効果の高いソリューションを提供します。Nessusと同様に、OpenVASは広範なプラグインライブラリを使用して、さまざまなプラットフォームやソフトウェアにまたがるセキュリティ上の弱点を検出します。モジュール型アーキテクチャを採用しているため、OpenVASは特定の内部ネットワーク侵入テストの独自の要件に合わせてカスタマイズできます。

脆弱性スキャンフェーズでは、侵入テスト担当者はNessusとOpenVASが提供する結果を補完するために、追加のツールや手法の活用も検討する必要があります。例えば、自動スキャンの結果を検証し、見逃されている可能性のある脆弱性を発見するために、手動テストを実施することができます。この包括的な脆弱性スキャンアプローチは、潜在的な弱点をすべて特定し、対処することを可能にし、内部ネットワーク侵入テストの全体的な有効性を高めます。

脆弱性スキャンフェーズが完了すると、ペネトレーションテスターは収集された情報に基づき、リスクレベルと潜在的な影響に基づいて脆弱性の優先順位付けを行うことができます。この優先順位付けは、エクスプロイトやエクスプロイト後の検証といったペネトレーションテストのその後の段階を導く上で非常に重要であり、最終的には組織のリスク軽減とセキュリティ体制の強化に役立ちます。

搾取

エクスプロイトフェーズは、内部ネットワーク侵入テストの重要な要素です。このフェーズの主な目的は、特定された脆弱性を悪用して標的システムへのアクセスを取得することです。実際の攻撃シナリオをシミュレートすることで、侵入テスターは組織のセキュリティ対策の有効性を評価し、潜在的な弱点に関する貴重な洞察を得ることができます。エクスプロイトを成功させるには、MetasploitやCore Impactなどの様々なツールや手法が活用できます。

組織のセキュリティリスクの真の規模と、サイバー攻撃が成功した場合の潜在的な影響を理解するには、エクスプロイト（脆弱性の悪用）が不可欠です。ペネトレーションテスターは、標的システムへの不正アクセスを取得することで、脆弱性が及ぼす実際の影響を実証し、組織が修復活動の優先順位を決定し、最も重大なリスクへの対応に注力できるように支援します。

Metasploitは、広く利用されている強力なエクスプロイトフレームワークであり、エクスプロイトの開発、テスト、実行のための包括的なプラットフォームを提供します。豊富なビルド済みエクスプロイトモジュールとペイロードを備えたMetasploitは、脆弱性のエクスプロイトプロセスを簡素化し、ペネトレーションテスターがターゲット環境の理解に集中できるようにします。組み込みモジュールに加えて、Metasploitはカスタムスクリプトとプラグインもサポートしているため、テスターは社内ネットワークペネトレーションテストの特定のニーズに合わせてエクスプロイトをカスタマイズできます。

Core Impactは、エクスプロイトツールとして人気の高い商用製品で、高度な機能と使いやすさで知られています。Metasploitと同様に、Core Impactは幅広いビルド済みのエクスプロイトモジュールとペイロードを提供しており、様々なプラットフォームやソフトウェアにまたがる幅広い脆弱性をカバーしています。直感的なインターフェースと自動化機能を備えたCore Impactにより、ペネトレーションテスターは特定された脆弱性を迅速かつ効率的にエクスプロイトし、対象システムのセキュリティ体制を評価できます。

エクスプロイトフェーズでは、ペネトレーションテスターはMetasploitやCore Impactといったツールの自動化機能を補完するために、手動の手法も活用することを検討すべきです。手動のエクスプロイト手法は、新たな脆弱性を発見し、ターゲット環境をより深く理解するのに役立ちます。さらに、手動テストは、自動化ツールによる発見結果を検証し、潜在的な攻撃ベクトルがすべて考慮されていることを確認するのに役立ちます。

エクスプロイトが成功すると、ペネトレーションテスターはエクスプロイト後の段階へと進みます。この段階では、アクセスの維持、権限の昇格、機密データの窃取に重点が移ります。これらの高度な攻撃シナリオをシミュレートすることで、組織はセキュリティリスクをより深く理解し、改善のための的確な戦略を策定することができます。

権限昇格

権限昇格は、内部ネットワーク侵入テストにおける極めて重要なフェーズであり、対象システムへの不正アクセスが成功した後に実行されます。このフェーズの主な目的は、侵入先システム内で侵入テスト担当者の権限を昇格させ、機密情報やネットワーク内の他のシステムへのアクセスを可能にすることです。対象環境に侵入した攻撃者の行動をシミュレートすることで、組織は潜在的なセキュリティ上の弱点に関する貴重な洞察を得て、これらのリスクを軽減するための戦略を策定することができます。

権限昇格は、水平と垂直の2つの主要なカテゴリに分類できます。水平権限昇格は、他のユーザーの同じレベルの権限へのアクセスを取得することであり、垂直権限昇格は、攻撃者の権限を低いレベルから高いレベル（管理者権限やルート権限の取得など）に昇格させることに重点を置いています。どちらのタイプの権限昇格も、標的の環境に関する貴重な情報を提供し、組織のセキュリティ体制における潜在的な弱点を明らかにすることができます。

権限昇格を成功させるために、侵入テスターは様々なツールや手法を用いる場合があります。一般的な手法としては、設定ミスの悪用、未修正の脆弱性の悪用、脆弱な認証情報やデフォルトの認証情報の悪用などが挙げられます。さらに、侵入テスターは、権限昇格プロセスを支援するために設計された専用ツール、例えば資格情報抽出用のMimikatzや、Windowsベースのシステムを悪用するためのPowerShellスクリプトなどを活用することもあります。

権限昇格フェーズでは、侵入テスターは注意深く計画的に作業を進め、対象環境内でアクセス権限を昇格できる可能性のあるあらゆる手段を徹底的に調査する必要があります。これには、様々なユーザーアカウントの権限とロールの分析、ネットワークアーキテクチャの調査、適切に保護されていないファイルやディレクトリの検索などが含まれる場合があります。

侵入テスターが権限の昇格に成功すると、この昇格されたアクセス権限を利用して、ユーザーの認証情報、財務データ、独自の知的財産などの機密情報を収集できます。さらに、テスターはネットワーク内で他のシステムへの侵入を試み、組織のセキュリティ体制をさらに評価することもできます。

権限昇格フェーズで得られる知見は、組織のセキュリティリスクの真の規模と、サイバー攻撃が成功した場合の潜在的な影響を理解する上で非常に貴重です。これらの脆弱性が実際に及ぼす影響を実証することで、ペネトレーションテスターは組織が修復活動の優先順位を決定し、最も重大なリスクへの対応に注力できるよう支援することができます。

横方向の移動

ラテラルムーブメントは、内部ネットワーク侵入テストにおける重要なフェーズです。このテストの主な目的は、他のシステムや機密情報にアクセスすることで内部ネットワークを横断することです。標的環境への侵入に成功した攻撃者の行動をシミュレートすることで、組織はセキュリティ体制と潜在的な弱点をより深く理解することができます。MimikatzやBloodhoundなどのツールは、侵入テスト中のラテラルムーブメントを促進するのに役立ちます。

ラテラルムーブメントフェーズは、組織のセキュリティリスクとサイバー攻撃が成功した場合の潜在的な影響を包括的に評価するために不可欠です。侵入テスターは、ネットワーク内の他のシステムへの不正アクセスを取得することで、脆弱性が及ぼす実際の影響を実証し、組織が修復活動の優先順位を決定し、最も重大なリスクへの対応に集中できるように支援します。

Mimikatzは、侵入したシステムから認証情報を抽出するラテラルムーブメントフェーズでよく使用される強力なツールです。多彩な機能を備えたMimikatzは、平文のパスワード、ハッシュデータ、Kerberosチケットを取得できるため、ペネトレーションテスターは正規ユーザーになりすましてネットワーク内の他のシステムにアクセスすることができます。Mimikatzが提供する情報を活用することで、ペネトレーションテスターはネットワーク全体を効果的に巡回し、他のシステムに侵入することで、熟練した攻撃者の行動をシミュレートすることができます。

Bloodhoundは、Active Directory環境内の関係性を分析・可視化するために設計された、ラテラルムーブメント（横方向の移動）に有効なツールです。ユーザー、グループ、コンピュータ間の信頼関係をマッピングすることで、侵入テスターはラテラルムーブメントの潜在的な経路を特定し、標的を絞った攻撃戦略を策定することができます。グラフベースのインターフェースと包括的なデータ収集機能を備えたBloodhoundは、侵入テスターがターゲットネットワークを効率的にナビゲートし、隠れた攻撃経路を発見するための手段を提供します。

ラテラルムーブメントフェーズでは、ペネトレーションテスターはMimikatzとBloodhoundが提供する結果を補完するために、他のツールや手法の利用も検討する必要があります。例えば、PowerShellスクリプト、Windows Management Instrumentation（WMI）、またはServer Message Block（SMB）のエクスプロイトを用いて、他のシステムを侵害し、機密情報を収集することができます。複数のツールとアプローチを組み合わせることで、潜在的な攻撃ベクトルをすべて調査・悪用し、内部ネットワークペネトレーションテストの有効性を最大限に高めることができます。

ラテラルムーブメントフェーズが完了すると、ペネトレーションテスターは収集した情報を用いて対象組織のセキュリティ体制を評価し、改善のための実用的な推奨事項を提供できます。ネットワークへの侵入に成功した攻撃者の行動をシミュレートすることで、組織はセキュリティリスクをより深く理解し、これらの脆弱性を軽減するための的確な戦略を策定できます。

データ抽出

データ抽出フェーズは、内部ネットワーク侵入テストの重要な要素であり、対象システムから機密情報をリモートサイトに持ち出すことに重点を置いています。このフェーズでは、ネットワークへの侵入に成功し、貴重なデータを盗み出そうとする現実世界の攻撃者の行動をシミュレートします。サイバー攻撃が成功した場合の潜在的な結果を実証することで、組織はセキュリティ体制に関する貴重な洞察を得て、脆弱性とリスクを軽減するための的を絞った戦略を策定することができます。

データ抽出は、組織のセキュリティリスクの真の影響と、侵入が成功した場合に発生する可能性のある潜在的な損害を理解するために不可欠です。侵入テスターは、ユーザー認証情報、財務データ、独自の知的財産などの機密情報を抜き出すことで、組織が修復活動の優先順位を決定し、最も重大なリスクへの対処に集中できるよう支援します。

効果的なデータ抽出を行うために、侵入テスターは、対象環境や機密情報の性質に応じて、さまざまなツールや手法を活用します。データ抽出の一般的な手法には、以下のようなものがあります。

ネットワークベースのデータ流出：HTTP、HTTPS、FTP、DNSなどの様々なプロトコルを用いて、ネットワーク経由でデータを送信する手法です。侵入テスターは、HpingやNetcatなどのツールを利用してネットワーク接続を確立し、リモート拠点にデータを転送することができます。
隠蔽チャネル：これは、データ流出のプロセスを隠蔽し、セキュリティシステムによるデータ転送の検出を困難にする通信方法です。隠蔽チャネルの例としては、データを他のファイル内に隠すステガノグラフィーや、データを他のネットワークプロトコル内にカプセル化するトンネリングなどが挙げられます。
ソーシャルエンジニアリング：場合によっては、侵入テスターはフィッシングやプリテキスティングといったソーシャルエンジニアリングの手法を用いて機密情報を盗み出すことがあります。この手法は、組織内の個人を操り、意図しない形で目的のデータを開示または転送させることに依拠しています。
物理的なデータ流出：ネットワークベースのデータ流出が実現不可能またはリスクが高すぎる場合、侵入テスターは対象環境からデータを物理的に削除する手段に頼ることがあります。これには、データをリムーバブルストレージデバイスにコピーしたり、機密文書の写真を撮影したりすることも含まれます。

データ抽出フェーズでは、侵入テスターは検知リスクを最小限に抑え、データ抽出プロセスを可能な限り現実的なものにするために、慎重に行動計画を立てる必要があります。これには、暗号化、難読化、その他のセキュリティシステムを回避し、操作全体を通してステルス性を維持する手法が含まれる場合があります。

データ抽出フェーズが完了すると、侵入テスターは収集した情報を用いて対象組織のセキュリティ体制を評価し、改善のための実用的な推奨事項を提供できます。ネットワークへの侵入に成功し、機密情報を盗み出した攻撃者の行動をシミュレートすることで、組織はセキュリティリスクをより深く理解し、これらの脆弱性を軽減するための的確な戦略を策定できます。

‍

搾取後の報告

エクスプロイト後のフェーズは、内部ネットワーク侵入テストの重要な要素であり、テスト完了後に発見された結果と特定された脆弱性を文書化することに重点が置かれます。このフェーズは、組織にセキュリティ体制に関する貴重な洞察を提供し、修復活動の優先順位付けと潜在的なリスクへの効果的な対処を可能にする上で重要な役割を果たします。

内部侵入テストの完了後、侵入テスターは評価中に発見された調査結果と脆弱性の詳細を記載した包括的なレポートを作成する必要があります。このレポートは組織にとって貴重なリソースとなり、セキュリティリスクの真の規模を把握し、これらの脆弱性を軽減するための的確な戦略を策定するのに役立ちます。レポートに含めるべき主な要素は以下のとおりです。

エグゼクティブサマリー：侵入テストの目的、範囲、方法論を含む、侵入テストの概要。また、主な調査結果と、それらが組織のセキュリティ体制に与える影響についても簡潔にまとめる必要があります。
脆弱性：特定された脆弱性について、その深刻度、潜在的な影響、悪用可能性など、徹底的な分析を行います。この情報により、組織は修復活動の優先順位を決定し、最も重大なリスクへの対応に注力することができます。脆弱性はリスクレベルに基づいて明確に分類し、優先順位を付けることが重要です。これにより、組織は効果的な行動計画を策定できます。
エクスプロイト手法：侵入テストにおいて、脆弱性を悪用し、対象システムへの不正アクセスを取得するために使用された手法とツールの説明。この情報は、組織が現実世界の攻撃者が用いる戦術を理解し、これらの脅威を軽減するための的を絞った戦略を策定するのに役立ちます。
証拠: 調査結果の妥当性を実証し、潜在的なリスクを明確に理解できるように、脆弱性と成功したエクスプロイトの詳細な証拠（スクリーンショット、ログファイル、その他の関連データなど）をレポートに含める必要があります。
推奨事項：調査結果と分析に基づき、侵入テスターは、特定された脆弱性に対処し、組織のセキュリティ体制を強化するための実用的な推奨事項を提供する必要があります。これらの推奨事項には、ソフトウェアへのパッチ適用、追加のセキュリティ対策の実装、セキュリティポリシーと手順の改善などが含まれる場合があります。
結論：全体的な評価の要約であり、主要な調査結果と特定された脆弱性への対処の重要性を強調しています。このセクションでは、堅牢なセキュリティ体制を維持するために、継続的なセキュリティ対策と定期的な再評価の必要性についても強調する必要があります。

エクスプロイト後のフェーズは、発見された脆弱性の概要と対処方法を示す明確で実用的なレポートを組織が確実に受け取るために不可欠です。ペネトレーションテスターは、発見事項と脆弱性を徹底的に文書化することで、組織が重要なセキュリティリスクを特定し、優先順位を決定し、全体的なセキュリティ体制を強化するのに役立ちます。

修復

修復フェーズは、内部ネットワーク侵入テストの重要な要素であり、特定された脆弱性への対処と、将来的な同様の攻撃を防ぐための対策の実施に重点を置いています。このフェーズは、組織のセキュリティ体制を強化し、サイバー攻撃の成功率を低減するために不可欠です。このフェーズでは、IT部門との緊密な連携が不可欠です。IT部門の専門知識と関与が、修復対策の効果的な実施の鍵となるからです。

脆弱性の優先順位付け：まず、侵入テストで特定された脆弱性を、深刻度、潜在的な影響、そして悪用可能性に基づいて優先順位付けします。これにより、組織は最も重要なリスクに修復作業を集中させ、リソースを効率的に配分できるようになります。
修復計画の策定：IT部門と連携し、特定された脆弱性に対処するために必要な手順とリソースを概説した包括的な修復計画を策定します。この計画には、具体的なタスク、タイムライン、責任者を記載し、プロセス全体を通して説明責任と進捗状況の追跡を確保する必要があります。
セキュリティパッチとアップデートの適用：修復プロセスにおいて最も重要な側面の一つは、脆弱なソフトウェアとシステムへのパッチ適用です。IT部門と連携し、必要なセキュリティパッチとアップデートが迅速に適用され、攻撃者が既知の脆弱性を悪用する機会を減らすようにしてください。
セキュリティ設定の調整：侵入テストの結果に基づき、システムおよびネットワークデバイスのセキュリティ設定を見直し、調整することで、潜在的な攻撃に対する保護を強化します。これには、アクセス制御の強化、不要なサービスの無効化、侵入検知システムなどの追加のセキュリティメカニズムの実装などが含まれる場合があります。
セキュリティポリシーと手順の強化：組織のセキュリティポリシーと手順を見直し、業界のベストプラクティスに準拠し、特定された脆弱性に適切に対処していることを確認します。必要に応じてポリシーを更新または新規作成し、従業員がこれらの変更と責任を認識していることを確認します。
従業員のトレーニングと意識向上：従業員のトレーニングと意識向上プログラムを強化し、従業員がセキュリティの重要性を理解し、潜在的な脅威を特定して対応できるよう支援します。定期的なトレーニングセッションと意識向上キャンペーンは、ソーシャルエンジニアリング攻撃やその他の人的脆弱性の悪用による被害を軽減するのに役立ちます。
継続的な監視と改善：組織のセキュリティ体制を継続的に監視し、定期的に再評価を実施します。定期的な脆弱性評価と侵入テストは、新たな脆弱性を特定し、進化する脅威に対して既存のセキュリティ対策の有効性を維持するのに役立ちます。
修復後の再テスト：修復措置を実施したら、フォローアップの侵入テストを実施し、脆弱性が効果的に解決され、プロセス中に新たな脆弱性が生じていないことを確認します。この再テストにより、修復作業が成功したことが保証され、さらに注意が必要な領域を特定するのに役立ちます。

最後に

内部侵入テストは、経験豊富なセキュリティ専門家が、組織からの事前の承認を得て実施する必要があることに留意することが重要です。さらに、セキュリティ上の脆弱性が適切に特定され、適切なタイミングで対処できるよう、定期的に内部侵入テストを実施することをお勧めします。

このブログ記事で概説した内部侵入テストのチェックリストに従うことで、組織は社内のセキュリティ体制をより深く理解し、潜在的な侵害から保護するための対策を講じることができます。定期的な内部侵入テストは、組織のセキュリティ維持に不可欠な要素です。明確な目的とテストの範囲を設定し、必要に応じて外部の専門家を積極的に活用してください。

お問い合わせ

セキュリティ体制を強化する準備はできていますか?

この記事についてご質問がある場合、または専門家によるサイバーセキュリティのガイダンスが必要な場合は、当社のチームにご連絡いただき、セキュリティに関するニーズについてご相談ください。

相談の予約