今夜、調べてみました-ペネトレーションテストis 何？-

ペネトレーションテスト。システムなどのテストでよく聞く言葉ではありますが、そもそもペネトレーションテストって何なのか？似たような言葉が多いけど違いは何か？ペネトレーションテストをやりたければどういう教育系コンテンツがあるのかも含めていろいろ調べてみました

俺たちのセキュリティはこれからだ！雰囲気セキュリティ勉強会#2(https://4tmosphere-sec.connpass.com/event/221022/)にて発表

Transcript

1. 今夜調べてみました - ペネトレーションテスト編 - 雰囲気セキュリティ勉強会 #2 Atmosphere Security #2 1
2. お約束 本プレゼンは、個人の見解であり、所属組織を代表するものでもありませんし、本発表は所属 組織に寄与する意図で記載しておりません 本発表で得られた情報から攻撃を助長する意思はございません。本発表で得られた知識による 犯罪行為、訴訟について一切の責任を持ちません Atmosphere Security #2 2
3. 目次 自己紹介 ペネトレーションテストとは ペネトレーションテストの対象 似たような用語との比較 ペネトレーションテストのツール トレーニング教材 Atmosphere Security #2 3
4. 自己紹介 名前:misQ お仕事:ITエンジニア 好きなもの:好き 嫌いなもの:嫌い セキュリティ:知ったかしている防御側、攻撃側は嫌い。謙虚な防御側、攻撃側は好き Atmosphere Security #2 4
5. ペネトレーションテストとは Wikipediaから ネットワークに接続されているコンピュータシステムに対し、実際に既知の技術を用いて侵 入を試みることで、システムに脆弱性がないかどうかテストする手法のこと。侵入実験また は侵入テストとも言われる(こっち) 日本国外において、防弾ベスト製造会社、銃器メーカーや警察特殊部隊、軍隊などで用いら れる用語。防弾ベストに対して弾丸を発射し、弾が貫通しない事を確認するペネトレーショ ンテスト。銃自体の貫通力をハイペネトレーションと言う Atmosphere Security #2 5
6. ペネトレーションテストの対象 「ネットワーク」に接続されている「コンピュータシステム」に対して「実際に既知の技術」 を用いて侵入する 以下の様な侵入はペネトレーションテストからは除外されていることが多い(各企業のサービス 体系、案件での契約内容でぶれがあるのであくまで例として捉えてください) 未知の技術を用いた攻撃 フィッシングメールを送付するなどのソーシャルエンジニアリングが関連する攻撃 会社の居室に物理的に侵入して実施するタイプの攻撃 Atmosphere Security #2 6
7. 似たような用語との比較 似たような概念の用語と比較をしてみた 脆弱性診断 目的はペネトレーションテストとの違いは脆弱性診断は既知の脆弱性の列挙。侵入は行わ ない(証明のための攻撃は行う場合がある) Atmosphere Security #2 7
8. 似たような用語との比較(続き) レッドチーム ブルーチーム(CSIRTやSOCの防衛側の事)が有事の際に適切な対応ができるかを確かめるため に行われる。攻撃者としての目的(クラウンジュエル)を設定し、その目的を達成するために攻 撃を行う 実際の攻撃者の模擬となるためなるべく検知されないように動くというステルス性も重視さ れる。一方でブルーチームの反応を確認するために意図的に検知を出すような動きをするこ ともある ペネトレーションテストでは実施しないソーシャルエンジニアリング、物理的な侵入も範囲 に対応する Atmosphere Security #2 8
9. 似たような用語との比較(続き2) TLPT 脅威ベースのペネトレーションテスト。実際の攻撃グループの手法に沿った形で攻撃をする タイプのペネトレーションテスト 目的は実際の攻撃グループの手法に沿った起こりえる攻撃から レッドチームとほぼ同じような扱いで問題ないと思われる Atmosphere Security #2 9
10. ペネトレーションテストに用いられるツール 攻撃にはいくつかの段階があるため「ペネトレーションテスト」に用いることのできるツール は多くあり、各ツールを組み合わせて実施されるが著名なものは以下の通り。少なくとも攻撃 の際の影響は把握をしておく必要があるため、利用するツールの性質は十分把握しておく必要 がある Nmap Masscan impacket Metasploit Nessus Atmosphere Security #2 10
11. どんなマシンでやるの？ 基本的にはハイエンドのスペックで行うことが多い。(仮想マシンとして分離させる事が多いた め) Atmosphere Security #2 11
12. 構築とか面倒くさい おすすめ環境とかないんか？ セキュリティの くそ高 優秀研修であるSANSで利用されているSlingshot Linuxがある 使いこなせるかと言われたら研修で利用されているのでそっちを受けたらより効果はある と思うが、攻撃側のツールは新しいものが出てきたり、新たな脆弱性のコードを引っ張っ てきたりすることが多い あとはKali Linux(旧BackTrack)やParrot OSなどがある 何にしても専用の機体(もしくは仮想環境)で行うのがデフォルト Atmosphere Security #2 12
13. で、なんかトレーニング教材ないんか？ CTFは？ 攻撃を行うという形であればWebやPwnがある(花形はPwnとRev(Bin)という印象) 最近のCTFだとかなりCTFに特化してしまいがちで敷居が高くなると感じがち Atmosphere Security #2 13
14. 常設で学べるコンテンツあります VulnHub 無料で提供されているがovaファイルの提供になるため仮想マシンを自前で用意する必要があ る Pentestit 無料で実施ができる。現状マシンの数は1つのみ。 会社のようなまとまった一つの環境を提示しているため、詰まってしまったらそこで終わっ てしまうところがある。段階的に取得すべき情報を問いとして出されてその情報を提出する かたち 後述の2つのサービスに比べて登録者が圧倒的に少ない。30000人ほど。 Atmosphere Security #2 14
15. 常設で学べるコンテンツあります(続き) HackTheBox ランクによる転職紹介サービスも一応あるがすべて英語 数か月で攻撃対象のマシンが代変わりする。リタイアしたマシンをやりたい場合は有料(月額 1500円程/年額15000円ほど。別途ProLabという別のマシンをオープンにしたい場合は料金 が必要) 教育用のサービスもある Atmosphere Security #2 15
16. 常設で学べるコンテンツあります(続き) TryHackme HackTheBoxに比べてWriteupも確認することができるので分からなくなったときに確認しや すい 教育用のコンテンツとしての提供となっており、特に転職サービス等と結びついてはいない 一部コンテンツは有料(月額1200円程/年額10800円程) Atmosphere Security #2 16
17. まとめ ペネトレーションテストの概要と似たような用語の比較、学習用のコンテンツについてザック リ調査した 攻撃系の技術は日進月歩。基本を押さえたうえで日々新しい知識を仕入れていく必要がある 実際のビジネスだと作業者は利用しているツールの挙動、実施しようとしているコマンドの意 味をある程度把握しておく必要がある。 管理者側は顧客との契約、調整、内部の作業管理を十二分に行わないと訴訟につながるので注 意 Atmosphere Security #2 17