攻撃者の視点
入る道はあるか、入ったらどこまで届くか。
実際の攻撃者が使う情報と手法で、外から内へたどります。表に出た痕跡を探し、開いている扉を試し、アカウントと権限をたどってどこまで広げられるか、何を持ち出し、何を止められるかを確認します。
総合セキュリティ診断
Comprehensive Security Health Check
攻撃者の目で探し、防御者の目で確かめます。
ハッキングとセキュリティの問題を、攻める側と守る側の両方から確認します。攻撃者ならどこから入り何を狙うのか、組織はそれを防ぎ、気づき、元に戻せるのかを、合意した範囲で外部露出からサービス・インフラ、認証・権限、重要情報、対応の準備まで組織全体にわたって確かめます。組織の環境と優先事項に合わせて複数の専門技術を組み合わせ、必要な部分は実際に検証し、主なリスクと改善の優先順位を示します。
全体の状態はどうなっているか？
確認されたリスクと改善の優先順位をまとめます。
確認済み
攻撃者と防御者、二つの視点で見ます
侵害は一か所の脆弱性ではなく、つながった経路で起こります。だから同じ組織を二度見ます。一度は入ろうとする側から、一度は守る側から。
二つの視点が食い違う場所、つまり攻撃は通るのに防御が気づかない場所こそ、最初に直すべき場所です。
防御者の視点
防げるか、気づいて元に戻せるか。
保護手段と人、手順がその攻撃の前で役割を果たすかを見ます。何が露出しているかを把握しているか、防げるか、境界が持ちこたえるか、異常に気づき、止め、元に戻せるか、何が起きたかを説明できる記録が残るかを確認します。
総合セキュリティ診断の違い
脆弱性の一覧を作るところで終わりません。問題が実際にどうつながって被害になるのか、組織がそれを防ぎ、気づけるのかまで確認します。
二つの視点で見ます
実際の攻撃者が使う手法で探し、保護手段と手順がその前で役割を果たすかを合わせて確認します。片方だけでは見落とす隙が、二つの視点が交わる場所で見えてきます。
組織全体を見渡します
合意した範囲で、一つのシステムではなく、外部に表れた痕跡からサービス・インフラ、アカウントと権限、重要情報、人と手順までを見ます。攻撃者は部署やシステムの境界を選びません。
点ではなく経路で見ます
一つずつは小さく見える問題も、つながれば重要情報に届きます。見つけた問題を経路として結び、実際に起こり得る被害を基準にリスクの大きさを判断します。
必要な部分は実際に検証します
アンケートやチェックリストで終わりません。合意した範囲の中で、重要なリスクは脅威調査、ペネトレーションテスト、レッドチームで用いる手法と技術で直接確認します。
事実と推定を分けて伝えます
確認した問題、追加確認が必要な兆候、今回確認できなかった部分を区別して記します。確認していない場所を安全とは書きません。
優先して直すことで締めくくります
発見事項を並べるだけでは終わりません。業務への影響と根拠をもとに何から直すかの順序を決め、意思決定者と実務担当者にそれぞれ説明します。
総合セキュリティ診断は、複数の専門技術を組み合わせる総合診断です。各観点は、SAFE SQUAREの専門サービスで用いる方法と技術で確認します。
関連する研究：セキュリティインテリジェンス・検証（INTEL・EXPLOIT）—外部への露出と攻撃対象領域を分析し、システムの脆弱性と実際の影響を検証する技術を研究します。
何を確認するか
ハッキングとセキュリティの問題を五つの観点に分け、観点ごとに攻撃者と防御者の問いを合わせて立てます。以下の課題は例であり、実際に確認する対象はお客様の環境と悩みに合わせて決めます。
- EXPOSURE外部露出・脅威外部から観測される資産・アカウント・ブランド・情報と、関連する脅威の兆候
- 攻撃者
- 自社を狙うなら、外からまず何を探すか。
- 防御者
- 知らないうちに開いているもの、漏れているものはないか。
確認する課題
- SERVICEサービス・インフラ主要な構成と最近の変更、既知の脆弱性、必要に応じた実地検証
- 攻撃者
- どこから入れるか、既知の攻撃は通用するか。
- 防御者
- 最近の変更や古い構成でも、保護の条件は守られているか。
確認する課題
- ACCESS認証・権限・保護境界利用者・管理者の権限、業務の流れ、システム間の信頼と分離
- 攻撃者
- アカウントを一つ得たら、どこまで広げられるか。
- 防御者
- 権限と境界は設計どおりに防いでいるか。
確認する課題
- DATA重要情報・運用情報の処理・保存・伝達の方法と、その設定、運用、保護措置
- 攻撃者
- 最も価値ある情報はどこにあり、どう持ち出すか、止めるか。
- 防御者
- 重要情報がどこへ流れ誰が見るかを把握し、失っても取り戻せるか。
確認する課題
- READINESS対応の準備担当者と手順、保護手段が、必要なときに役割を果たせるか
- 攻撃者
- 気づかれずにどれだけ長く潜めるか。
- 防御者
- 気づき、止め、復旧し、説明できるか。
確認する課題
範囲と深さ確認する対象と条件を先に合意します。どこまで深く確認し、どれだけの工数をかけるかは、決まった等級ではなく、その対象と条件に合わせて決めます。すべての資産と技術を無制限に点検したり、後続の検証を自動的に含めたりするものではありません。また、他のサービスの前に必ず受けるべき段階でもありません。すべてのサービスは、単独でも、複数を組み合わせてもご契約いただけます。
このような状況に適しています
- きちんとしたセキュリティ点検を受けたことがないとき
総合的な点検を受けたことがない、または前回から時間が経っており、担当者の交代や急な成長でシステム全体を知る人がいなくなった場合です。
- 身近で事故の知らせを聞いたとき
同業他社や取引先が侵害されたという知らせを受けて「うちは大丈夫か」と問われ、推測ではなく根拠で答える必要がある場合です。
- 誰かにセキュリティの現状を問われたとき
経営者や取締役会、投資のデューデリジェンス、取引先からのセキュリティ要求、提携・監査を控え、現在のセキュリティ状態を根拠とともに説明する必要がある場合です。
- 環境が大きく変わったとき
クラウド移行、合併・買収、新サービスの開始、セキュリティ担当者の交代などでシステムと組織が大きく変わり、今の姿を一から確かめ直す必要がある場合です。
- 改善の優先順位に根拠が必要なとき
予算と人員が限られており、どのリスクから改善するかを根拠をもって決める必要がある場合です。
進め方
悩みと範囲の合意
今の悩みから出発し、確認する対象と条件、ご提供いただく資料とアクセスの範囲、検証してよい範囲と時間を決めます。
現状の把握
構成・設定・権限・データの流れに関する資料から現在の環境を把握し、攻撃者が狙いそうな場所と守るべき場所を絞り込みます。
攻撃・防御の両面からの確認
攻撃者の視点で表に出た情報を調べ、実際に通用するかを検証します。防御者の視点でその攻撃を防ぎ、気づけるかを確認します。サービスに影響し得る検証は、事前に合意した場合にのみ行います。
結果の説明
確認した問題と兆候、優先して改善すべきことを、意思決定者と実務担当者にそれぞれ説明します。
お客様に残る成果
何をどの条件で確認したか、セキュリティ状態の要約、根拠のある発見事項、業務への影響と改善の優先順位をまとめます。
SAMPLE優先して直すこと・例説明のための架空の例です
-
退職者のアカウントで外部からリモート接続できます
-
バックアップが本番サーバーと同じ管理者権限で削除できます
-
社名に似たドメインが新たに登録されました
事実として確認した問題
確認した問題を、その根拠と発生条件とともに説明します。
追加確認が必要な兆候
まだ確定していない兆候は事実と区別し、確認に必要な条件を併せて記します。
今回の範囲で確認できなかった部分
合意した範囲外、または条件上確認できなかった部分を明確に示します。
- セキュリティ状態の要約意思決定者向け
五つの観点から見た現在の状態を、意思決定者が読めるようにまとめます。
- 発見事項と根拠実務担当者向け
問題ごとに、確認した根拠と発生条件、攻撃経路と防御の空白、改善の方向を記し、担当者が確かめて直せるようにします。
- 優先して改善すること双方で共有
業務への影響と根拠をもとに何から直すかの順序を決め、その理由も併せて記します。