なぜペネトレーションテストはサイバー攻撃に有効なのか
ランサムウエア攻撃の被害が後を絶たない。特に悪質なのが企業のシステムに潜り込み、暗号化したファイルを復号するための身代金の脅迫にくわえ、身代金の支払いに従わなかった場合にデータを流出させると脅す「二重脅迫」のランサムウエアだ。世界的なサイバー犯罪集団「LockBit」による攻撃が有名で、事業活動を脅かす大きな脅威となっている。
こうしたランサムウエアをはじめとするサイバー攻撃に有効な手段として注目を集めているのが「ペネトレーションテスト」だ。ペネトレーションテストとは、ネットワークやPC、サーバーやシステムのセキュリティーを検証する方法の1つ。ペネトレーション（Penetration）は「侵入」を意味しており、実際のサイバー攻撃と同様に、高度なスキルを持つ専門家がシステムへの侵入を試みることで、その組織のセキュリティー対策がどこまで侵入に耐えられるのかを評価する。
よく混同される手法に「脆弱性診断」があるが、これはWebアプリケーションやネットワーク機器、OS・ミドルウエアなどについて、不正アクセスにつながる脆弱性はないか、不要な通信ポートから攻撃される脆弱性はないかなど、攻撃の侵入口となる脆弱性を網羅的に検出することを目的としている。
これに対してペネトレーションテストは、想定される攻撃シナリオに沿って、攻撃者と同様の手口で侵入や情報窃取などの攻撃を実施する。このため自組織のセキュリティー対策がどれほど有効なのか、守りたい情報資産が窃取される可能性がどれだけあるのかをリアルに把握することが可能だ。
それではペネトレーションテストを実施することで、企業はどのような成果を見込めるのか。具体的なサービスを基にその活用方法や実施ステップなどについて解説したい。