ペネトレーションテストとは？種類と脆弱性診断との違い、価格・期間の選び方

ペネトレーションテストとは

ペネトレーションテストは、機密情報への到達や管理者権限の奪取といった目標を決めて、そこまで攻撃が届くかを試します。システムの弱点だけでなく、標的型メールや管理体制のミスも攻撃に使います。

比較ページには、自社でテストを提供する会社を載せています。

脆弱性診断との違い

• 脆弱性診断は、決めた対象の弱点を網羅的に洗い出します
• ペネトレーションテストは、目標に届く道を探します。網羅的には調べません
• 報告の中身も違います。ペネトレーションテストは、目標に届いた経路と使った攻撃が中心です

基本の診断を済ませてから受けます。GMOサイバーセキュリティ byイエラエも、脆弱性診断を実施したことがある組織を対象に挙げています。

3つの型

• シナリオ型は、目標と筋書きを決めて試します。多くの会社はこの形が基本です
• 手順化してまとめて試す型は、対象のPCとサーバを一気に調べます。ラックのエクスプレスがこの形で、インターネットにつながらないネットワークも調べられます
• レッドチーム・TLPTは、SOCやCSIRTが検知して対応できるかまで見ます。監視の体制ができている組織に向きます

価格と期間

価格を公開している会社は多くありません。

• GMO Flatt Securityは、200万円からです。期間は1週間〜数ヶ月です
• ユービーセキュアは個別見積りで、外部のテストの価格例は2,000,000円（税込2,200,000円）、TLPTの価格例は8,500,000円（税込9,350,000円）で⁠⁠⁠⁠す
• GMOサイバーセキュリティ byイエラエのシナリオ例は、5営業日からです
• SOMPO CYBER SECURITYは、テストが1〜3週間、レポート作成が2〜3週間です

範囲と日数で金額は大きく変わります。見積りは同じ目標と範囲にそろえて比べます。

頼む前に決めること

• 守りたいものと目標を決めます。個人情報のデータベースや管理者権限のように具体的に書きます
• 攻撃の起点を決めます。外部からか、感染した端末からか、社内のネットワークからかで内容が変わります
• 禁止事項と連絡先を決めます。テストで障害が出ることがあるので、止めてはいけないシステムは先に伝えます
• 知らせる人を決めます。無予告で試すなら、社内で知っている人を絞ります

テストのあと

報告を見て、影響の大きいものから直します。直ったかどうかは再テストで確かめます。FFRIセキュリティとバルテスは再テストを公式に案内しています。ほかの会社は見積りのときに聞いておきます。