ペネトレーションテストサービス
経験豊富なテスターによる、事前承認済みの環境への攻撃実行。
日本のチームが運用を担当。最終報告書は日本語で納品します。
より幅広い機能セットが、日本でもご利用いただけるように
Cybereasonは、世界最大級のピュアプレイ・マネージドセキュリティサービスプロバイダーであるLevelBlueの一員です。
つまり、日本国内の組織にご提供できるサービスは、エンドポイントの枠を超えて拡大しています。ペネトレーションテストは、LevelBlue内のオフェンシブセキュリティおよび脅威リサーチ専門チームであるLevelBlue SpiderLabsが提供し、日本のお客様にも新たにご提供が可能になりました。
既存のCybereason製品・サービスは、これまで通りそのままご利用いただけます。これは現在ご利用中の環境を変更するものではなく、追加の選択肢としてご提供するものです。
攻撃者が実際にどこまで到達できるかを把握する
脆弱性リストは、理論上どこが露出しているかを示すものです。一方ペネトレーションテストは、攻撃者が実際にどこまで到達できるか、どの順序で、そしてそれがどれほどの被害につながるかを示します。LevelBlueのテスターは、お客様のインフラ、アプリケーション、システム、そして人に対して、事前承認・精密にスコープ設定された攻撃を実行し、実際にたどった侵入経路と、その塞ぎ方をお示しします。
- IT、OT、IoT、物理環境、そして人まで含め、インフラ、アプリケーション、システム、エンドポイント全体をテスト
- 固定パッケージではなく、お客様固有の要件に合わせて各エンゲージメントをスコープ設定
- 是正後の再テストにより、指摘事項が確実に解消されたことを確認
グローバルな検証の深さ。ローカルでのエンゲージメントとレポーティング。
すべてのエンゲージメントはLevelBlue Japanが主導し、アジア太平洋地域のLevelBlue SpiderLabs専門家がテストを実施します。
1. スコープ設定と計画
LevelBlue Japanチームが日本語でお客様と協議し、テスト範囲、実施ルール、タイミング、そして触れてはならないシステムを含む制約事項について合意します。
2. テスト実施
LevelBlue SpiderLabsの専門家がエンゲージメントを実施します。日本チームが窓口として一貫して対応し、双方のコミュニケーションを管理します。
3. レポーティング
最終報告書は日本語で作成され、お客様にお届けする前にLevelBlue Japanチームがレビューします。そのため、経営層、監査担当者、エンジニアの方々にそのままご提示いただけます。
グローバルなオフェンシブセキュリティの専門組織が持つ深い知見を、通常伴う言語面や調整業務の負担なしに活用できます。
第三者機関による評価と、主要アナリスト企業による評価を獲得
LevelBlueは、ペネトレーションテストおよび「Simulated Targeted Attack and Response（STAR）」の両方でCREST認証を取得しています。CRESTは、独立した監査を通じて、テスターの技術力、手法、品質管理体制を評価する国際的な認証制度です。
LevelBlueのペネトレーションテストに含まれるもの
- お客様の環境に合わせたスコープ設定
- すべてのエンゲージメントは、固定パッケージとして販売するのではなく、お客様の資産構成、リスク、タイミングに基づいてスコープ設定・計画・価格設定を行います。
- LevelBlue SpiderLabsの脅威インテリジェンス
- 静的なチェックリストではなく、攻撃者が実際に行っている手口に基づいたテスト。
- ネットワークセキュリティテスト
- ファイアウォールの内側・外側の両方から露出状況を特定。
- 指摘事項の検証
- 是正措置が有効であったことを確認する再テスト。
- アプリケーション・プロダクトセキュリティ
- 展開前、本番環境、またはその両方でアプリケーションをテスト。
- リスクベースのアプローチ
- 資産全体に均等に労力を分散するのではなく、事業への影響が大きい箇所に集中。
TESTING TIERS
ティア1．ベーシック
- 主に自動化
- 無料で入手可能な攻撃ツール
- 日和見的・低スキル
ティア2．機会狙い型
- 自動化＋人手による実施
- スキルを持つ攻撃者
- 狙いやすい標的を探索
ティア3．標的型
- 人手による実施
- 特定の標的を狙った攻撃
- 時間をかけて活動するスキルの高い攻撃者
ティア4．高度型
- 強い動機とスキルを持つ攻撃者
- 豊富な資金力
- 侵入のためあらゆる手段を尽くす
適切なツールの活用
自動化ツールは、それが適切な手段である場合にのみエンゲージメント内で使用します。すべてのティアは、当社のテスターが計画・実施・レビューを行います。
LevelBlueの包括的ペネトレーションテスト vs 従来型テスト
欠陥だけでなく、侵入経路を見つける。
- まず既知の領域を網羅。インターネットに公開されたポート等の露出をチェック・スキャンし、CVEを含む既知の脆弱性を評価、コンプライアンス・業界要件も組み込みます。
- 本番環境だけでなく、あらゆる環境をテスト。攻撃者は本番環境として扱われている経路ではなく、最も侵入しやすい経路を選ぶため、本番・開発・テスト環境すべてをスコープに含めます。
- 業務・ワークフローロジックを考慮。実際の業務プロセスに沿ってテストを行い、標準権限から管理者権限まで、実際の侵入の多くがエスカレートするポイントである特権認証情報のレベルを評価します。
- シニアテスターによる指摘事項の検証。すべての指摘事項は、お客様に届く前に経験豊富なテスターがレビューするため、単なるツールの出力ではなく、対応する価値のある課題としてお届けします。
- 優先順位付けされた推奨事項を含む詳細レポート。リスク順に整理し、各指摘事項に対する是正手順を明記します。
標準的なスコープと、その限界。
- 露出している範囲をチェック・スキャン。インターネットから到達可能なポート等の露出を特定します。
- 既知の脆弱性を評価。CVEを含む既知の問題を対象とし、コンプライアンス・業界要件を組み込みます。
- レポートを納品。指摘事項は推奨事項とともに提供されます。
- スコープは通常そこまで。開発・テスト環境、業務・ワークフローロジック、特権認証情報レベル、シニアテスターによる検証は、通常スコープ外か、別料金となります。
レッドチーム、パープルチーム、タイガーチーム演習により、人・プロセス・技術を統合的にテスト
シナリオベースのエンゲージメントにより、統制が正しく設定されているかどうかだけでなく、実際の攻撃下で組織がどのように対応するかを評価します。
- MITRE ATT&CKを含む業界フレームワークに基づいて構成
- ソーシャルエンジニアリング手法により人的要因をテスト
- 演習で明らかになった内容に基づき検知技術をチューニング
計画から防御まで、OT環境を保護
運用の可視性を向上させ、セキュリティの基盤を強化し、本番稼働を止めることなくOT環境を保護します。
- OTセキュリティの優先事項を事業目標と整合させ、プログラムのベースラインを設定
- OT環境にまで影響し得るIT系システムの弱点を悪用
- 分析、ワークフロー、可視性にわたりIT・OTの監視を統合
精鋭の専門家集団。世界に知られる脅威インテリジェンス。
LevelBlue SpiderLabsは、セキュリティコンサルタント、脅威ハンター、インシデントレスポンダー、フォレンジック調査官、リサーチャーから成るグローバルチームであり、お客様を保護すると同時に独自の調査研究を発表しています。
