ペネトレーションテスト よくある質問（FAQ）

LRQAでは、お客様とのコミュニケーションを重視し、コンサルティング型のアプローチでテストを実施します。テスト期間中は、確認された問題点だけでなく、良好な点も含め、進捗と結果を定期的にお知らせします。

重大度の高い脆弱性が確認された場合は、直ちにお知らせします。テスト完了時には、確認されたすべての結果をまとめたレポートを提供します。

はい。テストで特定された脆弱性ごとに、お客様の状況に応じた改善・修正のためのガイダンスを提供します。

対応上の制約がある場合には、その内容を確認したうえで、それぞれの脆弱性に対して適切な対応策をご提案します。

ブラックボックステストでは、URLやIPアドレス、場合によっては企業名のみが提供され、その他のインフラストラクチャに関する情報は提供されません。

インターネット上のハッカーや国家の支援を受けた攻撃者など、事前情報を持たない攻撃者が対象環境をどのように悪用できるかをシミュレーションするペネトレーションテストです。

ホワイトボックス・ペネトレーションテストは、ブラックボックステストとは対照的なアプローチです。テスト担当者には、対象アプリケーションのソースコードや関連する設計文書へのアクセス権が提供されます。

ソースコード解析ツールを使用した静的テストによって脆弱性を特定した後、アプリケーションをコンパイルしてサンドボックス環境で実行し、デバッガーや一般的なアプリケーションテストツールを使用した動的テストを実施できます。

これにより、ホワイトボックステストでは非常に高いレベルの技術的なアシュアランスを得ることができます。

グレーボックステストは、ブラックボックスとホワイトボックスの両方の手法を組み合わせたものです。お客様からテストに役立つ一部の情報を提供いただくことで、ブラックボックステストよりも幅広く、詳細なテストが可能になります。

セキュリティ態勢を費用対効果の高い方法で評価したい組織に適したアプローチです。

一般的なペネトレーションテストは、次の5つのステージで構成されます。

1. 計画と偵察（Planning and reconnaissance） – スコープと目標を定め、必要な情報を収集
2. スキャン（Scanning） – 開放されているポートや潜在的な脆弱性を特定
3. アクセスの取得（Gaining access） – 脆弱性を悪用し、侵入経路を検証
4. アクセスの維持（Maintaining access） – 継続的なアクセスが可能かどうかを確認
5. 分析と報告（Analysis and reporting） – 結果と改善・修正に関する推奨事項を整理

LRQAでは、すべてのペネトレーションテストにおいて、業界で認知された手法に従ってテストを実施しています。

はい。ペネトレーションテストは、Managed Detection and Response（MDR）サービスと組み合わせることができます。

ペネトレーションテストが攻撃をシミュレーションして弱点を特定するのに対し、MDRはリアルタイムで脅威を検知し、対応します。両者を組み合わせることで、脅威の特定、監視、軽減を継続的に行う多層的なサイバーセキュリティ対策が可能になります。

サービスと組み合わせることができます。

ペネトレーションテストが攻撃をシミュレーションして弱点を特定するのに対し、MDRはリアルタイムで脅威を検知し、対応します。両者を組み合わせることで、脅威の特定、監視、軽減を継続的に行う多層的なサイバーセキュリティ対策が可能になります。

はい。LRQAのペネトレーションテストサービスはCREST認定を受けています。これにより、資格を有する専門家が、高い技術基準および倫理基準に従ってテストを実施していることをお客様に示します。

LRQAでは、以下をはじめとする幅広いペネトレーションテストサービスを提供しています。

• ネットワーク・ペネトレーションテスト（内部・外部）
• Webアプリケーションテスト
• モバイルアプリケーション・ペネトレーションテスト
• 無線ネットワークテスト
• ソーシャルエンジニアリングおよびフィッシング・シミュレーション
• Penetration Testing as a Service（PTaaS）

お客様の組織のリスクプロファイルやコンプライアンス要件に合わせて、それぞれのペネトレーションテストを設計します。

従来、アシュアランス活動は特定の時点で実施されるのが一般的です。例えば、年に1回ペネトレーションテストを実施し、その時点での脆弱性レベルを確認します。その後、特定された問題への対応、根本原因の特定、必要な変更などを行います。

しかし、この方法で高いレベルのアシュアランスを得られるのはテストを実施した時点に限られ、テスト終了後からその有効性は徐々に低下していきます。

Attack Surface Management（ASM：アタックサーフェス管理）とは、組織の攻撃対象領域（アタックサーフェス）を特定・監視し、縮小することに重点を置いた、プロアクティブなサイバーセキュリティ戦略です。

LRQAでは、基本的なアシュアランスパッケージとして、Attack Surface Management（ASM）と継続的ペネトレーションテストを組み合わせることを推奨しています。

これにより、「常時稼働型」の継続的アシュアランスのサイクルを構築し、既知・未知の両方の資産について、年間を通じたアシュアランスを得ることができます。

LRQAには、モバイルアプリケーションのペネトレーションテストを専門とするチームがあります。社内での人材育成・採用とお客様からの需要を調整しながら、可能な限り効率的に対応しています。通常、2週間以内にテストを開始できる体制を目指しています。お急ぎの場合は、ご希望の期限に対応できるかご相談ください

テスト期間は、要件の複雑さや必要とするアシュアランスのレベルによって大きく異なります。多くの場合、1つのアプリケーションにつき少なくとも3日間を要します。

LRQAでは、自動スキャンではなく、手動によるペネトレーションテストを提供しています。具体的なテスト内容や期間については、LRQAの専門家がお客様の要件に合わせてご提案します。

LRQAのモバイルアプリケーションテストでは、偵察、列挙、発見、エクスプロイト、ポストエクスプロイトという主要なフェーズに沿ってテストを実施します。

テスト範囲を広げるために一部で自動化ツールも使用しますが、中心となるのは手動によるペネトレーションテストです。これにより、より詳細な検証を行います。ご要望に応じて、テスト手法についてさらに詳しい情報も提供しています。

テスト期間中は、良好な点と問題点の両方について、確認された内容を定期的にお知らせします。重大度の高い脆弱性を特定した場合は直ちにお知らせし、その後、書面でもご報告します。

テスト終了時には、すべての結果をまとめた概要を提供します。詳細なレポートを受け取るまで結果が分からないということがないよう、テストの進行に合わせて継続的に情報を共有します。

レポート提出後には、技術担当者向けおよび経営層向けの説明も提供できます。また、テスト終了後もLRQAのモバイルアプリケーション・ペネトレーションテストチームにご相談いただけます。

LRQAのモバイルアプリケーションテストチームは、アプリケーションへの攻撃手法だけでなく、その開発についても理解しています。

テストで特定した脆弱性ごとに、お客様の状況に合わせた改善・修正のためのガイダンスを提供します。対応上の制約がある場合は、その内容を確認し、それぞれの脆弱性に適した対応策をご提案します。