脆弱性診断やペネトレーションテストの効果と限界

近年、セキュリティ対策の一環として「脆弱性診断」を行う企業や組織が増えています。脆弱性診断とはその名の通り、自社のシステムやネットワークにセキュリティ上の脆弱性が存在しないかどうか診断を行うというものです。現在、多くのベンダーやセキュリティ企業がこうした脆弱性診断のサービスを提供しています。

今日のサイバー攻撃・標的型攻撃の多くは、企業や組織が運用するIT製品の脆弱性を突いてきます。ここで言う脆弱性とは、主にOSやアプリケーション、ミドルウェアの不具合（の一部）を指していて、攻撃者はこれを悪用することで情報を窃取したり、システムを破壊したりします。脆弱性診断では、企業や組織が利用しているソフトウェアやハードウェアのファームウェアにこうした脆弱性が存在するかどうか、一通りチェックを行います。

また「ペネトレーションテスト」を行う企業・組織も増えてきています。こちらは、企業や組織に対して意図的にサイバー攻撃を仕掛けてみて、システムがどれだけ攻撃に耐え得るか、あるいはどのあたりに弱点があるかを診断するというものです。セキュリティの専門家が最新のサイバー攻撃のトレンドを踏まえて、さまざまなシナリオに沿って攻撃を仕掛けるため、より実情に即した形で自社のセキュリティ対策状況を評価できます。

脆弱性診断やペネトレーションテストを定期的に行うことで、自社のセキュリティ対策の状況やレベルを客観的に評価し、対策上の弱点や足りない部分を洗い出せます。ただし脆弱性診断やペネトレーションテストは「弱点が存在するかどうか」を一部のシステムに対してチェックするのみで、実際に全システムに対して「弱点を突いた攻撃を受けているか」「既に侵害を受けているかどうか」についてはチェックしません。従って、もし既に内部ネットワークに対するマルウェアの侵入を許してしまっていたとしても、それを検知したり被害を防ぐことはできません。

脆弱性の有無だけでなく侵害の有無もチェックする「ヘルスチェック」

既に内部への侵入を許してしまったマルウェアの存在を効果的に検知するには、弊社が提供する「Cybereason EDR」をはじめとするEDR製品の導入が有効です。このあたりについては、これまで何度か本ブログでも紹介しているのでぜひご参照ください。

ただし当然のことながら、製品の導入にはお金も手間も掛かります。予算や時間に余裕があればEDR製品を導入することが望ましいのですが、とりあえず「現時点で侵害されているかどうか」「どんな攻撃を受けているのか」をチェックするためだけに、わざわざ製品を導入するのは割に合いません。

そこで最近注目を集めているのが、「ヘルスチェック」のサービスです。ヘルスチェックは、実際にその時点で「侵害を受けているかどうか」「侵害に対してどう対処すればいいのか」「将来的に侵害を防ぐにはどうすればいいか」といった点を明らかにしてくれるサービスです。

人間の健康診断に例えれば、脆弱性診断は簡単な診察で将来病気になりそうな箇所を特定することを目的とし、ペネトレーションテストは実際に身体に負荷をかけて病気に罹るかどうかを確かめてみることに相当します（実際にそんなことはしないでしょうが……）。

それに対してヘルスチェックは、人間ドックで身体中をつぶさに検査し、病気の有無を徹底的に洗い出すことに相当します。病気の治療を行うにも、生活習慣を見直すにも、まずは自身の健康状態や罹患の有無を正確に可視化する必要があります。情報セキュリティ対策も同様に、まずは既に攻撃によって侵害されていないかどうかを知ることが対策の第一歩となります。

Cybereaso EDRを使ったヘルスチェックサービス

ではヘルスチェックは一体、どのように行われるのでしょうか？　実は弊社でも、「Cybereasonヘルスチェックサービス」と呼ばれるサービスを提供しています。このサービスを利用いただく場合、まずはCybereason EDRのクライアントモジュール（センサー）を、監視対象のエンドポイント（PCやサーバーなど）に導入していただきます。

そしてそのまま2週間ほど、Cybereason EDRをお客様のネットワーク内で稼働させます。この間に、Cybereason EDRは各エンドポイントからログ情報を集め、その内容をクラウド環境上で解析することで侵害の有無を判定します。そして最終的には、侵害の有無とセキュリティ診断の結果をレポートとして提出します。

このように弊社が提供するヘルスチェックサービスでは、本来なら導入のためにまとまった予算が必要なEDR製品を、一時的とはいえ比較的安価なコストでお客様の環境に導入し、一定期間情報を収集することで内部の疑わしい挙動を漏れなく検知し、侵害の有無を可視化します。

本サービスは現在、多くの企業・組織から好評を博しており、日本国内においても既に数多くの実績があります。既存のセキュリティ対策の有効性をチェックするためだけでなく、EDR製品の導入効果を事前に確かめる目的で利用されることも多いようです。とても手軽にお試しいただけますので、興味をお持ちの方はぜひ弊社までお問合せください。

ホワイトペーパー「すべての組織が狙われている」

企業、組織がどんなにセキュリティを強固にしてもハッカーが悪用できる脆弱性は必ず存在します。侵入されることが避けられないことを受け入れ、新たな対策を立てる必要があります。本書で、なぜ避けられないのか、どのように対処するのかをご覧ください。
https://www.cybereason.co.jp/product-documents/input/?post_id=606