PTES Technical Guidelines は、ペネトレーションテスト（侵入テスト）の実施に関する技術的な指針を提供する標準フレームワークです。これにより、ペネトレーションテストのプロセスが体系化され、品質や一貫性が確保されます。
Contents
PTESの概要
PTESは、ペネトレーションテストを以下の7つのフェーズに分割して定義しています。それぞれのフェーズにおいて、実施すべき具体的な手法や期待される成果物が明記されています。
PTESの7つのフェーズ
Pre-engagement Interactions（事前準備）
- テストのスコープや目的、リソース、リスクなどを明確化する段階。
- クライアントとの合意を形成し、テスト範囲を特定します。
例:
- スコープ内のIPアドレス範囲や対象システムの明確化。
- NDA（秘密保持契約）や契約の締結。
Intelligence Gathering（情報収集）
- テスト対象のシステムや環境に関する情報を収集し、脆弱性や攻撃の足がかりを見つける段階。
主な手法:
- OSINT（オープンソースインテリジェンス）
- DNS調査、WHOIS情報の取得。
- ソーシャルエンジニアリングを用いた情報収集。
Threat Modeling（脅威モデリング）
- 情報収集フェーズで得たデータを分析し、潜在的な攻撃経路や脆弱性を特定。
- リスクを評価し、テストの優先順位を決定します。
目的:
- 攻撃対象や攻撃シナリオを特定する。
- テストのリソースを効果的に配分。
Vulnerability Analysis（脆弱性分析）
- システムの脆弱性を確認し、リスクを評価する段階。
主な手法:
- スキャニングツール（例: Nessus、OpenVAS）の使用。
- マニュアルによる脆弱性の確認。
- サービスやOSのバージョン情報を基にした既知の脆弱性検索。
Exploitation（攻撃の実行）
- 発見された脆弱性を実際に攻撃し、システムへの侵入や影響範囲を確認。
目的:
- システムの脆弱性が実際に悪用可能かどうかを検証。
- 攻撃成功時の影響度を評価。
例:
- SQLインジェクションを利用したデータベースへのアクセス。
- バッファオーバーフロー攻撃によるシステム権限の奪取。
Post-exploitation（攻撃後の活動）
- システム内に侵入した後の影響範囲や潜在的な拡散を調査する段階。
主な活動:
- 横方向（lateral movement）の侵入。
- 機密データや権限のエスカレーション。
- システム全体の影響範囲を特定。
Reporting（報告）
- テスト結果をまとめ、クライアントに報告。
内容:
- 発見された脆弱性とそれが引き起こすリスクの説明。
- 改善策や修正方法の提案。
- 攻撃成功時の技術的詳細とビジネスへの影響。
PTESのメリット
- 体系的なプロセス
- ペネトレーションテストを一貫性のあるプロセスで実施できる。
- 明確な成果物
- クライアントにとって価値のある結果を提供。
- 柔軟な適用
- 企業規模やテスト対象に応じてプロセスをカスタマイズ可能。
- 品質保証
- 各フェーズで実施すべきことが明確化されているため、品質が一定以上になる。
PTESを利用する上での注意点
- クライアントとの事前合意:
- スコープ外の活動を避け、テスト範囲を明確にする。
- 法的および倫理的な準拠:
- 未承認の攻撃や無許可のスキャンを行わない。
- ツールの適切な使用:
- スキャンツールやエクスプロイトツールの使用方法を熟知し、誤検出や誤動作を防ぐ。
PTESと他のセキュリティ標準の比較
| 項目 | PTES | OWASP Testing Guide | NIST SP 800-115 |
|---|---|---|---|
| 対象 | ペネトレーションテスト全般 | Webアプリケーション | ITシステム全般 |
| フェーズの具体性 | 非常に具体的 | Webアプリ特化 | 広範囲なIT環境に対応 |
| 柔軟性 | 高い | 中程度 | 高い |
| 適用可能性 | 全てのシステム | Webアプリケーション | ITインフラ全般 |
まとめ
PTES Technical Guidelines は、ペネトレーションテストを体系化し、標準化されたプロセスで実施するための重要なフレームワークです。このガイドラインを活用することで、テストの品質や一貫性が向上し、クライアントに信頼される結果を提供することが可能になります。
ペネトレーションテストの計画から報告まで、プロフェッショナルな手法を確立したいセキュリティエンジニアや企業にとって必須のリソースです。
