ペネトレーションテスト、ペネトレーションテスト、ペネトレーションテスト

ペネトレーションテスト（ペンテスト）は、本質的にシステムの倫理的ハッキングであり、認可されたシミュレーションサイバー攻撃とも呼ばれ、ホワイトボックス（システムに関する既知の情報）、グレーボックス（部分的に知られているシステム）、およびブラックボックス（完全に未知のシステム）の3つのタイプに分類されます。現代のペンテストは厳しく規制され、構造化されたフレームワークに従っていますが、その起源は1960年代半ばにさかのぼります。その時、タイムシェアリングが始まりました。1960年代後半には、米国国防総省（DoD）、国家安全保障局（NSA）、中央情報局（CIA）、さらには学界と産業界が一堂に会し、コンピュータの侵入がもたらす脅威を評価し確認しました。1970年代には、正式な「タイガーチーム」が登場し、ペンテストの専任として活動し始めました。

なぜペンテストを行うのか？

• リスク管理：脆弱性が見つかると、何らかのスコアが付与されます。一般的な脆弱性スコアリングシステム（CVSS）などのスコアリングシステムがありますが、最終的には、スコアは通常、容易さ、可能性、影響から構成されます。このスコアに基づいて、非常に高い、高い、中程度などのリスクカテゴリにグループ化されます。これは、リスクプログラムに直接接続され、優先順位を指導するのに役立ちます。
• セキュリティコントロールの検証：現在のコントロールを検証する最良の方法は、ペンテストを行うことです。これにより、それらが効果的かどうかを判断し、企業内の強みと弱点を特定できます。また、どのようなソリューションがあるかなど、他の会話を引き起こすこともあります。
• コンプライアンス：いくつかの規制基準は、コンプライアンスを確保するための取り組みの一環として定期的なペンテストを義務付けています。これにより、システムを保護するための適切な配慮が示されます。
• プレイブックの準備/インシデント対応：攻撃をシミュレートすることで、プロセスや早期検出システムをストレステストする機会が得られます。シミュレーションされた攻撃が検出されれば、何が起こるべきかに対抗して挑戦できます。例：セキュリティオペレーションセンター（SOC）に行き、SOCに到着した際にその後のプロセスが攻撃に効果的に対応したかどうかを確認します。
• 第三者によるテスト：次の攻撃は、どこかで開発されています。内部チームは非常に優れていますが、第三者のペンテストチームがテストするすべての組織から得る経験に追いつくのは非常に難しいです。外部ペンテストチームを使用した検証は、偏りのない評価を提供し、システムを保護する取り組みを示します。
• 意識：何よりも注意を引くのは、ペンテストチームが非常に簡単で利用可能な技術を使って主要な記録システムを侵害することです。すべての利害関係者が技術的なわけではないため、脆弱性を理解可能な言語にすることで、全員が同じページに立つことができます。脆弱な姿勢を検証することも、商業的な決定や修正に割り当てられる予算に影響を与えます。
• 脆弱性の特定：システム内の脆弱性を知っていることで、組織はそれらに対処することができ、悪用される前に対応できます。組織のセキュリティの成熟度に応じて、脆弱性のリストを持つことは、修正努力を指導する効果的な方法となる場合があります。

メインフレームのペンテスト

なぜ組織がペンテストを行うべきかがわかったので、メインフレームとペンテストについて話しましょう。企業の他のプラットフォームとは異なり、メインフレームをテストするための特定のツールキットはなく、ほとんどが自家製のツールです。最終的には、ペンテストの提供者があなたと共にカスタマイズされたサービスを調整できますが、メインフレームの利用可能なサービスと、ホワイト、グレー、ブラックボックスの文脈でメインフレームペンテストがどのように見えるかについて説明します。

メインフレームペンテストの種類：

• ネットワーク：内部、外部
• オペレーティングシステム：IBM^® z/OS^®
• IBMエンタープライズコンテンツ管理システムモニター（ESM）セキュリティコントロール（IBM^® RACF^®、Broadcom ACF2、IBM^® TSS）
• サブシステム特有：
  • IBM^® CICS^®
  • IBM^® MQ^®
  • IBM^® IMS^™
  • IBM^® Db2^®
  • IBM^® WebSphereアプリケーションサーバー^®（WAS）
• ホワイトボックスの例：システムアクセスは、CICSアプリケーション用の基本的なユーザーIDとパスワードが与えられます。テスターは、アプリケーションに移動する方法を指示され、ペンテストの範囲は特定のCICSアプリケーションのみに制限されます。
• グレーボックスの例：システムアクセスは、基本的なユーザーIDとパスワード（またはメインフレームのIPアドレスのみ）が与えられます。テスターは、システムがDb2を実行しているかどうかなど、限られた知識を持っています。テスターは、システムを引き継ぐために任意の技術を使用できます。
• ブラックボックスの例：ブラックボックステストは、いくつかのレイヤーを持つ場合があり、1つのチームが物理的な侵入を行い、専門のネットワークペンテストチームまたはソーシャルエンジニアリングチームがメインフレームにアクセスできるポイントに到達し、その後メインフレームペンテストチームが引き継ぎます。この時点から、テスターはメインフレームを侵害しようとし、資格情報をスニッフィングしたり、ブルートフォース攻撃を行ったり、すべての攻撃ベクターをテストします。

セキュリティ評価とペンテスト

セキュリティ評価は、構成とコントロールの詳細な収集プロセスであり、最終的には改善が可能な場所を報告します。一方、ペンテストは、攻撃を実行するためにこれらの弱点をいくつか連鎖させることがあります。評価は、組織が脆弱である可能性のある場所を示唆しますが、ペンテストはそれを証明します。評価は包括的ですが、ペネトレーションテスターは、テストが成功したと見なすと、テストを停止する場合があります。最終的には、どちらも重要であり、異なるものを提供し、定期的に実施されるべきです。評価が示す盲点の1つは、3つの低リスクの誤設定が組み合わさって、ペネトレーションテスターにとって高リスクのベクターを作成する場合です。

ペネトレーションテストの潜在的な懸念

ペンテストには潜在的な欠点もあり、これらについて議論することが重要です。

• 運用の中断：慎重に計画されていない場合や、システムが適切に理解されていない場合、運用が中断される可能性があります（これは、経験豊富なチームと十分に計画されたテストでは発生しにくいです）。
• スコープの制限：クライアントがスコープを非常に厳密に制限すると、システムの他の領域の脆弱性を見逃し、偽の安全感を与える可能性があります（偽陽性）。
• リソース：専門のリソースは非常に少なく、システムをテストできる人を見つけるのは難しい場合があります。
• 頻度：テストが実施される期間は、新たに進化した脅威が登場する可能性を考慮して、合理的なペースで行う必要があります。

未来

自動化と人工知能（AI）は、今後の重要な役割を果たすことになるでしょう。ペネトレーションテスターがデータを収集するにつれて、それがモデルにトレーニングされて新しいベクターを提案することができます。AIモデル自体もテストされるでしょう。モデルには目標があり、その目標は悪用され、「毒される」可能性があります。ゼロトラストモデルは、システム自体ではなく、組織がどのユーザーにも特権を与えていないことを示すためにペンテストされる可能性があります。組織は、ツールキットが開発されるに伴い、継続的なテストを採用するでしょう。悪用が実行できるかどうかを常にチェックする長期間実行されるタスクを模倣するソリューションが市場に登場することは避けられません。

要約

ペネトレーションテストはセキュリティの向上において重要な要素であるべきですが、ほとんどのことと同様に、その後に行動が取られなければ効果はありません。ペンテストだけでは、システムのセキュリティが確認されたと見なすには不十分です。評価や、リアルタイムアラートやコンプライアンスなどのセキュリティ製品とともに行うべきです。この分野はメインフレームでの成長が続くでしょう。欧州連合のデジタル運用レジリエンス法（DORA）などの規制がまもなく施行されるため、ペンテストを行っていない場合は、規制に先んじてプロセスを開始することをお勧めします。

これらの投稿は私自身の見解であり、必ずしもBMCの立場、戦略、または意見を代表するものではありません。