侵入テストで問題なしでも安心できない？ 対象と再確認時期

昨年の侵入テストには重大な指摘がない。その後に新しい管理画面が公開されたとしたら、以前の結果をどこまで使えるでしょうか。これは仮想の変更です。試験した範囲と、後から変わった入口を分け、追加評価、発見への対応、修正後の再確認までを時間順に追います。

試験後に増えた入口は、以前の結果に含まれない

ここでの選択は、年に一度の人手による侵入テストをやめるか、継続的な走査だけにするかではない。人が攻撃経路を組み立てて確かめる仕事と、資産や既知の問題の変化を追う仕事を、別の目的として組み合わせる。何を試験していないか、いつから構成が変わったか、発見後に直せたかを監査の中心に据える。

仮想の二つの変更で判断を分ける

以下は仮想例で、実在の脆弱性報告ではない。年次侵入テストの後、新しい外部公開の管理画面を追加した。到達できる利用者と権限の境界が変わるなら、次の定期試験を待たず、変更した入口に絞った評価と継続走査への登録を優先する。以前の報告書をそのまま使う根拠はない。

条件を変える。変更したのは内部の説明文だけで、アクセス経路、ソフトの版、権限は変わっていない。重大な新しい脆弱性情報もないなら、全面的な侵入試験を即時に繰り返す理由は弱い。資産の把握と継続的な発見を保ちながら、次の計画的な試験で複雑な経路を再評価する。変更の意味と新しい脅威によって、どこを試すかが逆になる。

試験の種類を、残る攻撃経路に対応させる

再評価する経路は、変更した機能から選ぶ。公開先の追加なら到達と認証、認証変更なら既存セッションと回復手段、権限変更なら利用者間の分離を確認する。設定検査・走査・侵入テストの結果を同じ「指摘なし」にまとめず、何を試した証拠かを報告へ戻す。

深い試験と、変化を追う走査を使い分ける

NIST SP 800-115は情報セキュリティ試験の設計と分析を扱い、技術手法ごとの長所と限界を整理する。侵入テストは、個別の弱点をつないで実際の到達可能性を検討できる。一方、対象・期間・許された手法が限定され、何も見つからなかったことは脆弱性ゼロの証明ではない。同指針は2008年刊であり、具体的な製品や攻撃技術の最新性は別に確かめる必要がある。

CISAのCyber Hygieneは、インターネットから到達できる資産への継続的な脆弱性走査を説明する。公開資産の変化や緊急の発見を追う助けになる。ただし案内するサービスの対象は公開された静的IPv4などに限定され、社内ネットワーク、複雑な業務権限、攻撃経路の全体を検証するものではない。走査の頻度が高いから侵入テストより常に強い、とも言えない。

「指摘なし」に足りない情報

報告書には試験したURL、システムの版、権限、時点、除外した経路、試験を止める条件を記録したい。重要な決済操作を試験の対象から除いたなら、指摘がない結果はその操作の安全を示さない。逆に実行環境の停止が許されないから危険な手法を避けた場合、その制約は合理的である。試験を無理に広げるのでなく、隔離環境や設計レビューで別の証拠を作る。

一方、継続走査にも「毎日見ているから全部見えている」という錯覚がある。資産台帳に載らない新ドメイン、認証の後にしか見えない画面、外部委託先の環境は走査から抜けることがある。発見された一覧の件数が増えたのは危険が増したためか、観測範囲が広がったためかを分ける。単純な件数の増減を安全の評価にしない。

走査を増やすことが危険になる場面

工場や医療の制御装置、老朽化したシステムでは、試験や走査そのものが稼働へ影響する可能性がある。NISTの手法を読むときも、常に本番へ最大強度の検査を当てる指示とは解さない。安全な時間帯、隔離された試験環境、受動的な観測など、対象に応じて方法を選ぶ。危険なため試験しない範囲は、そのまま「問題なし」と報告せず、代替の証拠と残余リスクを記録する。

反対に、影響を恐れて公開された入口を全く確かめなければ、変更後の露出を把握できない。対象と手法を明示して限定的に走査する、開発環境で深い試験をする、重要な更新の後に再評価するなどを組み合わせる。試験の頻度だけを安全の代理にせず、許される業務影響と見逃す危険を比較する。ここで必要なのは特定の攻撃手順ではなく、監査の証拠をどう読むかという判断である。

発見した入口を、是正と再確認へつなぐ

侵入テストは、攻撃者が複数の弱点をつなげて到達する可能性を示せる。しかし報告書が技術用語の一覧だけで、どの業務が危険になるかを説明しなければ、修正する順番は決まらない。実際に使う権限、データ、外部からの入口を合わせ、発見した経路の影響を事業の言葉へ翻訳する。ここで重視するのは、試験結果の有効範囲とその後の変化である。

継続走査の結果も同じだ。新しい公開サーバーが見つかったとき、それが意図した資産か、担当者は誰か、何を提供しているかを確認する。知らない機器を台帳へ追加するだけなら、危険な設定や不要な公開が残る。走査の担当者と運用の担当者が、発見を取り消し・修正・受容のいずれかへ進められる経路を作る。

発見の後を追う

試験や走査の価値を、発見件数だけで判断しない。対象資産、発見日、影響する業務、暫定防御、修正予定、適用結果、再確認を一件としてつなぐ。テストで問題を見つけても、担当者が不在で修正されなければ安全は上がらない。走査が同じ問題を繰り返し報告するなら、発見の技術より修正の責任と優先順位が問題かもしれない。

侵入テストは時点と範囲を切って深く試す。継続走査は公開資産の変化を追う。前者の「問題なし」を現時点の保証にせず、後者の頻度を網羅性と混同しない。重要な入口が変わったら狙いを定めて追加評価し、変化がなければ定期試験と継続的な露出確認を役割別に続ける。監査の結論は「安全」ではなく、何をいつどの方法で確かめ、残る穴を誰が引き受けるかで示す。

試験日・変更日・修正日を報告へ残す

「侵入テスト問題なし」と一行で報告せず、「この時点のこの入口と権限をこの方法で試し、この範囲では重大な発見がなかった。以降に公開した入口は継続監視で把握し、未試験の経路は次の評価対象」という形にする。検査のない期間を隠さず、重要な変更が起きたら待たずに追加確認する。逆に構成が安定し、監視と是正が機能しているなら、同じ深い試験を毎週繰り返す価値は限定される。

報告の目的は不安を増やすことではなく、意思決定に使える時間軸を作ることだ。試験時点、変更時点、発見時点、修正時点を並べれば、古い合格結果に頼っていた期間が見える。見えない危険をゼロとは書けないが、何を監視し誰が閉じるかは決められる。

監査人は走査を実施した回数より、発見された公開先が承認済みの資産か、修正後に再確認したか、未解決の発見を誰が受け入れたかを追う。外部走査で見えない社内権限や人の操作は別の評価に残す。すべてを一つのツールで証明しようとすると、対象外を安全と誤認する。継続監視と深い試験の役割を分けて報告する。

評価の期限はカレンダーだけでは決まらない。新しい公開資産、権限の変更、重大な構成変更が起きれば、予定を待たずに評価対象を更新する。