攻撃者の視点で真の脅威をあぶり出す。
脆弱性診断・
ペネトレーションテスト
アピリッツのペネトレーションテストは、明確な意図を持った攻撃者が目的を達成できるかを検証します。
Web、ネットワーク、そしてゲームチートまで、システムに潜む深刻なリスクを徹底的に調査します。
ABOUT ペネトレーションテストとは
「ペネトレーションテスト（Penetration Test / Testing）」とは、明確な意図を持った攻撃者にその目的が達成されてしまうかを検証するためのセキュリティテストの一種です。
ペネトレーションテストではその組織が持つすべてのシステム、もしくは指定されたシステム全体を対象として、実際の攻撃者が使用しているツールや脆弱性、ソーシャルエンジニアリングなどを利用して一定期間内に目的を達成できるかどうかの調査を行います。
テストを実施する際には遠隔操作を行う疑似マルウェアを用いたり、組織の内部ネットワークの端末やサーバーへの侵入を繰り返したり、Active
Directoryなどのシステムへの攻撃を行い管理者権限を奪ったりすることもあります。
いわゆる脆弱性診断のようなWebアプリケーション単体やプラットフォーム単体のテストではなく、また網羅的に脆弱性の調査を行うわけではありません。
サイバー脅威の高度化と実証的評価の必要性
現代のデジタルビジネス環境において、サイバー攻撃は組織の事業継続性を脅かす最も重大な経営リスクとして認識されている。
デジタルトランスフォーメーション（DX）の推進、クラウドインフラ（AWS、GCP、Azure等）への移行、リモートワークの定着、さらには生成AIをはじめとする高度な技術の業務実装により、企業が防御すべきアタックサーフェス（攻撃対象領域）はかつてない規模で拡大している。こうした環境下において、ファイアウォールやエンドポイント保護（EDR）、Webアプリケーションファイアウォール（WAF）といった多層的な防御機構を導入するだけでは不十分であり、「実装された防御機構が、現実の巧妙なサイバー攻撃に対して意図した通りに機能するのか」を客観的かつ実証的に評価するプロセスが不可欠となっている。
この実証的評価の中核を担うのが「ペネトレーションテスト」です。
COMPARISON ペネトレーションテストとセキュリティ診断の違い
| 比較項目 | ペネトレーションテスト | セキュリティ診断 |
|---|---|---|
| 目的 | 実際に「脆弱性を悪用する」ことで、明確な意図を持った攻撃者がその目的を達成することが可能であるかどうかを検証することを主眼とします。 | 脆弱性やセキュリティ機能の不足を「網羅的に洗い出す」ことを目的とし、システムに内在するリスクをすべて洗い出します。 |
| 手法 |
実際の攻撃者が使用しているツールや脆弱性の利用、ソーシャルエンジニアリングなど様々な手法を用いて一定期間内で目的を達成できるかの調査を行います。網羅的に脆弱性の調査を行うわけではありません。 ソーシャルエンジニアリングや物理面での調査などを実施するかどうかはテストベンダーによって異なり、実施手法は顧客と相談の上で決定します。また、外部からの侵入自体を試行する例や、侵入されたことを前提として内部からテストを実施する例もあります。 |
網羅的に脆弱性を洗い出すため、ガイドライン等に従って定型的なテストケースに基づいた作業を行います。 主に、脆弱性の有無を確認するために必要最低限の通信にとどめ、実際に被害が発生してしまうような調査を意図的に行うことはありません。 |
| 調査対象 | システム、人、組織、ルールを調査対象とし、その組織が持つすべてのシステム、もしくは指定されたシステム全体に対して作業をします。新規に構築したシステムよりは、運用し始めて時間が経過しているシステムに対して実施することが効果的です。 | システムを調査対象とし、指定されたWebアプリケーションやIPアドレスごとに作業をします。一般的に、調査対象と関連するシステムであっても、調査対象に指定されていないWebアプリケーションやIPアドレスに対しては、診断を行いません。 |
| 結果・報告書 | 報告書へは、「目的達成までの侵入経路や行った攻撃シナリオ」や「シナリオ実行過程で使用した脆弱性や攻撃手法、セキュリティの問題」について記載します。 | 発見された脆弱性やセキュリティ機能の不足している一覧を、リスクの高いものから低いものまですべて報告書に記載します。 |
網羅的なシステムの脆弱性チェックをご希望の方へ
Webアプリケーションやプラットフォームに対する網羅的な脆弱性の洗い出しをご希望の場合は、脆弱性診断サービスをご覧ください。
FEATURES アピリッツのペネトレーションテスト3つの特徴
10年以上の技術・診断実績に基づくノウハウで、お客様のセキュリティ対策状況をスピーディかつ的確に診断・アドバイスいたします。
-
01
開発会社の知見を活かした「ビジネスロジック」の深層検証
要件定義からシステム開発までを手掛けるアピリッツだからこそ、お客様のビジネス課題や事業の強みを深く理解したテスト設計が可能です。自動ツールでは発見が困難な、決済フローのバイパスや権限不正といった「ビジネスロジックの欠陥」を突く、実戦的な攻撃シナリオでシステムの深層を検証します。
-
02
Web・スマホアプリからクラウドまで。全領域を守る包括的アプローチ
Webアプリケーションやスマートフォンアプリ、プラットフォームからクラウド環境に至るまで、あらゆるデジタル領域に対する深い知見を有しています。ペネトレーションテスト単体に留まらず、標的型攻撃メール訓練なども組み合わせた多角的なアプローチで、お客様のシステム全体を俯瞰した総合的なセキュリティ対策を実現します。
-
03
2010年から提供。10年超の実績とノウハウに基づく確かな検証力
アピリッツは2010年から長きにわたりセキュリティ診断サービスを提供してきました。10年以上の歴史の中で蓄積された膨大な知見と診断ノウハウを、ペネトレーションテストにも余すところなく活用しています。過去の豊富な事例に基づく多角的なアプローチと、専任エンジニアによる高精度な検証体制により、お客様のシステムに潜む複雑なリスクを的確に洗い出します。
SERVICE ペネトレーションテスト サービス一覧
アピリッツでは、お客様の課題やシステム環境に応じた3つの専門的なペネトレーションテストを提供しています。
-
ネットワーク
ペネトレーションテスト対象：社内・社外ネットワークインフラ
企業インフラに対して外部または内部からの侵入を試み、ファイアウォールの突破やサーバ群への不正アクセス、Active Directory等の設定不備を利用した権限奪取や機密情報の持ち出しが可能か検証します。
- 外部からの初期侵入経路の有無を検証 （デフォルト認証情報、パッチ未適用サービス、フィルタリング設定漏れ等）
- 内部への不正アクセス・横展開の可能性を検証 （セグメンテーション迂回、信頼できない内部通信、権限昇格等）
- 重要資産（DB、ファイルサーバー、管理画面）へのアクセス制御が機能しているか検証 （ACL、ファイアウォールルール、認証の有効性等）
-
Web
ペネトレーションテスト対象：Webアプリケーション・外部公開リソース
Webアプリケーションの脆弱性やビジネスロジックの仕様上の不備を悪用し、システムにとって重要な情報（会員情報のデータベースなど）が取得可能か、またはWebサーバのroot権限が奪取可能かを調査します。
- Webアプリケーション経由での認証・認可の脆弱性を検証 （ログイン機構、セッション管理、アクセス制御の不備等）
- ビジネスロジック・機能設計の不備による情報窃取・機能悪用の可能性を検証 （APIパラメータの改ざん、隠し機能の露出、決済ロジックの迂回等）
- Webアプリケーション侵害を踏み台とした内部資産・クラウド環境への横展開可能性を検証 （サーバのコマンド実行権限、データベースアクセス、IAM権限の過度な委譲等）
-
ゲームチート
ペネトレーションテスト対象：オンラインゲーム・モバイルアプリ
ゲーム開発・運営の豊富な実績を持つアピリッツならではの特化型テスト。悪意あるチーターの視点で実際にゲームをプレイし、課金アイテムの不正取得やパラメータ改ざん等の実現性を検証します。
- クライアント側のゲーム操作ロジック・データ検証の脆弱性を検証 （リクエスト・レスポンスの改ざん、端末メモリ・バイナリ改ざん等）
- サーバサイドの業務ロジック不備による不正な報酬獲得・機能悪用の可能性を検証 （パラメータ改ざんによるスコア改変、コスト無視の報酬取得、ゲームバランス破壊等）
- ゲームデータ・内部システムの保護が機能しているか検証 （データベースアクセス制御、通信暗号化、認証の有効性等）
TEST CASE Webペネトレーションテストのシナリオ例
お見積を進めるためには、お客さまの方で重要視している情報や情報資産を決めて頂いて、
そのシナリオが達成できるかの条件内容や条件数によって期間が変わります。
| 診断目的 | ゴール(例) | シナリオ（例） | 推奨環境 | テスト用 データセット |
期間 |
|---|---|---|---|---|---|
| 特定のサイトに悪意を持った外部攻撃者は何ができてしまうか確認したい | Webアプリケーションサーバのroot権限奪取 | Web脆弱性OSINT(情報収集)結果を利用しroot権限や機密情報を取得します。 | 開発環境/本番環境 | 必要 | 10営業日〜 |
| 管理しきれていないWebサイトや開発環境の不備を確認したい | 簡単なパスワードのSSH/VPNを発見する | 会社名など特定のキーワードを定め、関連する公開Webサイトのサブドメインなどを探索し、脆弱なID/Passが利用されているかなどを確認します。 | 本番環境 | 不要 | 10営業日〜 |
| No2.に加えて不備が見つかった場合外部/内部に限定せずどこまで侵入されるか確認したい | 内部ＮＷにある個人情報ＤＢ | No2.のシナリオに加えてパスワードの運用不備などを利用して、機密情報を持ち出します。 | 本番環境 | 不要 | 15営業日〜 |
Q：データセットはなぜ必要なのですか？
A：全ての遷移を辿れるようにしていただくためです。
FAQ よくあるご質問
- Q依頼してから報告書を受け取るまで、どのくらいの期間がかかりますか？
- 対象システムの規模やテスト範囲によりますが、お申し込みから報告書のご提出までおおむね1〜2か月が目安です。事前のヒアリングと範囲確定に2週間程度、テスト実施に1〜2週間、報告書作成に2週間程度をいただいております。リリース時期が決まっている場合は、ご希望のスケジュールに合わせた実施計画をご提案いたします。
- Qペネトレーションテストはどの程度の頻度で、どのようなタイミングで実施すべきか？
- コンプライアンス要件（PCI DSS v4.0や金融庁ガイドライン）が適用される組織においては、「少なくとも年1回以上」の定期実施が求められる。それに加え、新規システムのローンチ前・大規模なアーキテクチャ変更後・重大なセキュリティインシデントの発生後に実施が推奨されます。
- Q報告書の品質はどのように評価すべきか？ 専門家でなくとも理解・活用でますか？
- エグゼクティブサマリー（経営層向けのリスク総評）、攻撃が成功した侵入経路と攻撃チェーンの視覚的解説、リスクの深刻度と、現実的な修正アプローチ（パッチ適用、WAFルールの追加、設定変更など）の優先順位付けを報告書に記載させて頂きますので、ご安心ください。