こんなときにご相談ください
脆弱性診断の結果が本当に危ないか知りたい一覧の「高」が、実際の侵入につながるかを確かめたい。
内部に入られたら何が起きるか知りたい1 台の PC が乗っ取られた前提で、どこまで広がるか。
Web アプリケーションを公開している顧客データを扱うサイトやポータルの認証、権限、入力処理。
取引先や監査からテストの実施を求められた再現手順と修正の確認を含む報告書を提出したい。
オフィスの無線 LAN が安全か分からない来客用と社内用の分離、認証方式。
監視やアラートが機能するか確かめたいテスト中に検知されたかどうかも報告します。
テストの種類
- 外部ペネトレーションテスト：インターネットから到達できる範囲を対象に、侵入を試みます。公開サーバー、VPN、メール、Web サイト。
- 内部ペネトレーションテスト：社内ネットワークに接続した 1 台の端末、または 1 つの一般ユーザーアカウントから、どこまで権限を広げられるかを確かめます。
- Web アプリケーションテスト：認証、セッション、権限、入力処理、API を対象に手動で検査します。
- 無線 LAN テスト：オフィスの無線 LAN の認証方式、来客用ネットワークの分離、持ち込み機器からの到達範囲。
- ルール：対象、時間帯、やってはいけないこと（サービス停止、データ改変）を事前に文書で合意します。緊急連絡先を双方で決めます。
壊しません。テストは合意した範囲内で、本番に影響する操作を避けて行います。到達できた証拠は画面と記録で示し、データは閲覧の事実だけを記録して持ち出しません。
進め方
- 範囲とルールの合意対象、期間、禁止事項、緊急連絡先を文書で確定します。
- 偵察公開情報、ドメイン、漏えいした認証情報の有無、公開サービスを調べます。
- 侵入試行手動で侵入を試み、到達した範囲と経路を記録します。重大な発見は報告書を待たず即日お知らせします。
- 報告侵入経路、各段階の再現手順、到達した範囲、検知の有無、各段階で止めるための対策を日本語と英語で報告します。
- 再テスト修正後に同じ経路を再確認し、結果を追記します。
成果物
- テスト報告書（日本語、英語、または両方）。経路、再現手順、証拠、対策
- 経営層向けの要約：何ができたか、何を直すべきか
- 優先順位付きの対策一覧
- 再テストの結果
- 検知された、または検知されなかった操作の一覧（監視の改善に使えます）
料金の目安
目安35万円程度から外部ペネトレーションテスト（公開範囲が小規模な場合）の目安です。内部テスト、Web アプリケーションの規模、無線 LAN の拠点数により変動し、複数の種類を組み合わせる場合は数百万円規模になることがあります。開始前に範囲と金額を確定します。
よくある質問
費用はどのくらいかかりますか？
小規模な外部テストで 35 万円程度からが目安です。内部テスト、Web アプリケーションの規模、拠点数により変動し、複数を組み合わせると数百万円規模になることがあります。再テストは含まれます。
脆弱性診断とどちらを先にすべきですか？
まず脆弱性診断で弱点を網羅し、その結果でテストの必要性と範囲を決めるのが効率的です。取引先からテストを求められている場合や、公開 Web アプリケーションがある場合は、テストを直接行うこともあります。
業務に影響はありますか？
サービス停止やデータ改変につながる操作は行いません。影響の可能性がある検査は事前に時間帯を合意します。緊急連絡先を双方で決め、問題があれば即時に中断します。
社員に知らせずに行えますか？
はい。監視や対応が機能するかを確かめる目的で、担当者数名だけが知る形で実施できます。
英語での対応はできますか？
はい。打ち合わせ、報告書、経営層向けの説明を日本語と英語の両方で行えます。海外の本社や親会社への報告が必要な場合は、同じ内容を英語で用意します。
報告書は誰に提出できますか？
取引先、監査、親会社に提出できるよう、経営層向けの要約と技術的な詳細を分けて作成します。再現手順を含む部分は配布範囲を限定することをお勧めします。