Microsoft IT: 攻撃および侵入テスト チーム

有能な攻撃および侵入テスト チームの編成は、経営上の課題の中でも独特な位置付けにあります。有能な人材を見つけることが難しいこともあります。テスト実施者は機密性のきわめて高い企業データにアクセスしますが、アクセス先のシステムの責任者が協力的であるとは限りません。

企業は現在、業務上の必要性からインターネットに接続せざるを得ない状況にあります。企業ネットワークをインターネットに接続するため、企業の中核的な知的財産がインターネットを経由した攻撃の危険にさらされています。また、米国企業改革法、カリフォルニア州上院法案 1386 (SB 1386)、医療保険の携行性と責任に関する法律 (HIPAA : Health Insurance Portability and Accountability Act) などアメリカ合衆国における法規によって、企業は個人を特定できる情報の保護対策手段を講じるように求められています。IT 部門は企業ネットワークのセキュリティを高めるためにさまざまな選択肢を検討する必要があります。

また、リスクを評価し、そのリスクを軽減するためのポリシーを作成して、ポリシーへの準拠を強制するシステムを開発することも必要です。ポリシーを整備したら、そのポリシーへの準拠をテストするためのメカニズムを構築します。攻撃および侵入テストはセキュリティ ポリシーへの準拠性をテストし、まだ明らかになっていない脆弱性を検出するための一連の技法と方法論です。テストでは脅威を限定し、悪意のある身元不明なユーザーによる侵入を防ぐことを全体的な目的としています。

メモ   Microsoft IT が行っているリスク測定フレームワークに基づいたポリシーの設定方法の詳細については、ホワイト ペーパー (http://www.microsoft.com/japan/technet/itsolutions/msit/security/mssecbp.mspx および http://www.microsoft.com/technet/itsolutions/msit/security/securingITenviron.mspx) (英語) を参照してください。

攻撃および侵入テストに取り組まずに、セキュリティ対策の効果を把握することは困難です。

攻撃および侵入テストはテスト対象に侵入しようとする試みを実践するもので、これによってセキュリティ対策の効果を測ります。このテストは企業のセキュリティを評価するために不可欠なものであり、その他のあらゆるセキュリティ対策の効果を判断するための最終チェックとして機能します。

攻撃および侵入テストは外部のベンダに委託することも社内で行うこともできます。このホワイトペーパーでは、社内の攻撃および侵入テスト チームの編成と運用に関する Microsoft IT の経験を記載します。

このホワイトペーパーは、企業の IT プロフェッショナルを対象としています。マイクロソフトの攻撃および侵入テスト チームについて概要を説明し、チームの計画、編成、展開、および運用の要点を記載します。このペーパーの内容は Microsoft IT の経験と推奨事項に基づいており、手順の説明を意図したものではありません。企業の持つ環境や状況はそれぞれ異なります。したがって、このホワイト ペーパーで説明している計画や得られた教訓を独自の要件に合わせて調整する必要があります。

このペーパーでは、社内の攻撃および侵入テスト チームを構築するプロセスについて説明します。マイクロソフトが使用したツール、技法、および技術の詳細には触れません。

トピック

	Microsoft IT について
	攻撃および侵入テストの定義
	Microsoft IT セキュリティ グループ部門 (SGO)
	攻撃および侵入テスト プログラムの計画
	攻撃および侵入テスト プログラムの構築
	攻撃および侵入テスト プログラムの展開と運用
	ベスト プラクティス
	まとめ
	詳細情報

Microsoft IT について

Microsoft IT は、さまざまな役割を担っています。まず、エンド ユーザーのサポートや通信管理からサーバーやネットワークの運用に至るまで、幅広い IT サービスを提供しています。マイクロソフトは世界 400 か所を超える事業所でおよそ 56,000 人の従業員、7,000 社の請負業者、および 28,000 社のベンダを擁していますが、Microsoft IT は、これらの人々が週を通して 1 日 24 時間いつでもマイクロソフトのネットワークにアクセスできるように努めています。

環境

Microsoft IT は、実にアクティブで手腕を問われるセキュリティ環境で活動しています。手腕を問われる課題には、次のようなものがあります。

これらの課題の組み合せは、大規模かつ動的な IT 環境に見られるセキュリティ上の脆弱性に起因するものです。継続的な取り組みが行われているものの、それらの課題に含まれる変動要因によって状況は一層複雑になっています。

ページのトップへ

攻撃および侵入テストの定義

攻撃および侵入テストは体系的なアプローチであり、既に展開されている "テスト対象" の弱点を特定します。テスト対象としてネットワーク、一連のホスト、組織内に展開されているアプリケーション、および検討が必要な機能や部分が挙げられます。攻撃および侵入テストでは、機密性の高いビジネス システムへの侵入を試みるときにハッカーが使用するものと同様の技術やツールを採用します。攻撃および侵入テスト チームは脆弱性を検出し特定するための方法論を構築します。

システムにおける脆弱性のほとんどは異なる種類に分類されます。脆弱性の種類に応じて、異なる技術が必要になることが一般的です。たとえば、プラットフォームの脆弱性は次のような種類に分類されます。

攻撃および侵入テストでは攻撃を組み合わせたり、新手の攻撃方法を考えたり、既に明らかになっている脆弱性を利用したりするなど、これらのことを計画的に試行します。その目的はテスト対象の解読や対象への侵入に必要なものを見つけることです。

攻撃および侵入テスト チームは自動ポート スキャナ、ネットワーク パケット スニッファ、パスワード攻撃、テスト スクリプトなどのツールを使用して、企業ネットワークへの許可されていないアクセスを試みるテストを実施します。これらは悪意のあるユーザーが実際に使用するツールです。

ページのトップへ

Microsoft IT セキュリティ グループ部門 (SGO)

攻撃および侵入テスト チームはマイクロソフトにおいて専門的なテスト実施者で構成される小さなグループです。企業の機密保持を担当する組織である Microsoft IT に属します。

攻撃および侵入テスト チームは次に挙げるような、マイクロソフトの他のグループと密接に連携しています。

ページのトップへ

攻撃および侵入テスト プログラムの計画

攻撃および侵入テスト プログラムを計画するには、次の手順を実行します。

リスク評価

攻撃および侵入テストを実施する前にリスクを把握し、優先順位を付けることが重要です。優先順位の最も高いリスクから順にテストを行います。

マイクロソフトでは攻撃および侵入テスト チームの対象を特定し、テストの優先順位を設定するために別組織としてリスク評価チームを設けています。

リスク評価は次のように異なる側面から実施します。

リスク評価チームは、これらの基準を使用して特定のテスト対象に関する総合的なリスクを見極め、攻撃および侵入テストの優先順位を決定します。

総合的なリスクを最小限に抑えるには、重要な対象をテストするだけでは十分でありません。優先順位の低い対象であっても、企業ネットワークのすべての対象に対してある時点でサンプリング テストを行う必要があります。これは、優先順位の低い対象ホストのセキュリティ上の弱点を突いて侵入に成功することによって、優先順位の高いアプリケーションの脅威に結び付き、損害額が増大することが考えられるためです。

Microsoft IT は、リスク評価チームを編成してさまざまな対象にあるデータの重要性を確認することをお勧めします。リスク評価チームから提示される攻撃および侵入テストの優先順位に基づいて、攻撃および侵入テスト プログラムを開始します。

メモ   リスク評価の詳細については、『セキュリティ管理ガイド』 (http://www.microsoft.com/japan/technet/security/guidance/secrisk/default.mspx)、ホワイトペーパー『インシデント対応 : Microsoft 社内におけるセキュリティ管理』 (http://www.microsoft.com/japan/technet/itsolutions/msit/security/msirsec.mspx)、ホワイトペーパー『Microsoft のセキュリティ対策』の「Microsoft Corporate Security Group のリスク管理フレームワーク」 (http://www.microsoft.com/japan/technet/itsolutions/msit/security/mssecbp.mspx) を参照してください。

攻撃および侵入テストの社内実施と外部委託

コンサルティング業務を基盤に攻撃および侵入テストのサービス提供を専門とするセキュリティ対策企業は数多くあります。中小規模の企業である場合、または業務上直ちにテストを実施する必要性がある場合、重要性の高い対象のテストを外部委託することは最短期間で目標を達成するための選択肢になり得ます。

ただし、長期的には攻撃および侵入テスト チームを社内に編成することに多くの利点があります。たとえば、次のような点が挙げられます。

チームの規模と専門領域の決定

攻撃および侵入テストには、技術に関する広範な専門知識が求められます。たとえ小規模な企業であっても、あらゆる種類の攻撃および侵入テストを実施するための専門知識を 1 人の担当者が備えているとは考えられません。次に挙げる技術的な専門知識の広範な 3 つの領域において補完的なスキルを持つセキュリティの専門家チームを編成することが重要です。

攻撃および侵入テスト チームに推奨される最低限の編成は、これらの領域のそれぞれの専門家から成る 3 人の編成です。このような 3 人がそれぞれ異なる強み、意見、および考えを持っていると、チームはより包括的に機能しより広い範囲において脆弱性を検出することができます。チームを編成するときにはネットワーク上に展開されている各技術の専門家を採用します。マイクロソフトでは、ホストの専門家のほとんどは特に Windows プラットフォームの経験が豊富な人材から選定しました。展開しているシステムに基づいて専門家を選定してください。

3 つの領域の専門家から成るチームは、最もリスクの高いアプリケーションのテストから作業を開始します。十分なテストを行うには、ネットワークに展開するテスト対象の数に応じて、攻撃および侵入テスト チームの増員が必要になる場合があります。マイクロソフトの攻撃および侵入テスト チームは、このホワイトペーパーを執筆している時点で 5 人で編成されています。メンバを追加すると、チームに新しい能力が加わるため、より多くの社内テスト対象を評価できるようになります。追加するチーム メンバの専門知識については、企業で広く用いられている特定の技術領域の専門知識に重点を置きながら、リスク評価チームが示したリスクに基づいて、おおよその見当を付けることができます。

法律上の問題

業界によってさまざまな法規が制定され、情報システムの整合性と安全性についてさまざまな管理方法が指定されています。たとえば、カリフォルニア州上院法案 1386 (SB 1386) では個人を特定できる情報をネットワーク経由で送信する場合、それらのあらゆる情報を暗号化するように義務付けています。攻撃および侵入テスト チームは、これらの要件を満たしていることを 2 つの側面から検証します。まず、トラフィックを解析し、暗号化されていない個人を特定できる情報がないかどうかを確認します。そして、個人を特定できる情報を送信するときの暗号化を確認します。

ページのトップへ

攻撃および侵入テスト プログラムの構築

ここでは、Microsoft IT 攻撃および侵入テスト プログラムの構築にかかわる人材、プロセス、および技術について説明します。

攻撃および侵入テスト チームの編成

攻撃および侵入テスト プログラムを開始するにあたって最大の難関は第一人者となる人材を探すことです。セキュリティのチームは小規模で結束の固いグループであり、攻撃および侵入テスト プログラムを開始するために経験豊富な人材を見つけることは非常に困難な作業になることもあります。

まず、セキュリティのコンサルティング企業と仕事をして、ふさわしい候補者について尋ねてみるのも 1 つの方策です。

セキュリティについて豊富な職務経験を持ち、チームを率いる人材を 1 人見つけることができたら、他のメンバとしてコンピュータ関連の広範なトラブルシューティング スキルを持つ人材を探し、その他のポジションを担当するようにトレーニングすることができます。これらの人材は、多くの場合、ネットワーク エンジニアリング、ソフトウェアのテスト、ヘルプ デスクなどの職務経験があります。攻撃および侵入テストはいろいろな意味で品質保証 (QA) テストに類似しています。このテストの目的は、対象 (テスト対象であるホスト、ネットワーク、およびアプリケーションのセットを指す) の通常動作を妨害することにあります。QA テストに適性のある人材であれば、攻撃および侵入テストを担当する能力があると考えられます。

ただし、人材を探すときには、脆弱性を見つける技術的なスキルを持ち、システムへの侵入を試みるテストを行う実力があるという面だけでなく、対人関係が優れている面も考慮します。攻撃および侵入のテスト実施者は業務上のシステムの責任者との連携作業が求められ、検出された脆弱性を効果的に修正するために許可されていないユーザーからのアクセスを試行する必要があります。

何よりも信頼できる候補者を見つけることが重要です。攻撃および侵入のテスト実施者は企業において最も機密性の高いデータに触れる可能性があります。テスト実施者には必然的にこれらの情報を機密扱いにすることが求められます。セキュリティを専門とする外部のコンサルティング企業も、多くの場合、これを理由に守秘義務の契約締結を求められます。すべての候補者に対して徹底的な審査と職務経験に関する調査を行う必要があります。

トレーニングと認定

SANS (SysAdmin, Audit, Network, and Security Institute) はセキュリティの専門家を養成するための優れた広範なプログラムやコースを提供します。SANS は GIAC (Global Information Assurance Certification) と呼ばれるプログラムによって、セキュリティの専門家に対する認定試験制度を運用しています。

管理支援

攻撃および侵入テスト チームに選定されたメンバは、知的で意欲的な創造力のある人材です。セキュリティの専門家は需要が高く、十分な報酬を見込むことができます。また、通常の業務では高い独立性を持って職務を遂行することが認められます。

マイクロソフトの攻撃および侵入テスト チームは友好的で競争心の強いグループとして編成されました。勤務評定の期間中、各メンバは管理者からだけでなく、チームの他のメンバからのフィードバックも受け取ります。チーム メンバの競争心は強く、各メンバはテストしている新たな対象に潜む脆弱性をだれよりも早く見つけようとします。プロジェクトごとに順番に各メンバがリーダーとなるようにしてチーム全体の成長を図ります。

テストを行うチーム メンバの最大の動機付けは知識を追求して理解することです。定期的な調査は日常業務の一環です。各メンバは業務時間を使って新たな脆弱性やセキュリティ上の弱点を確認し、新しい技術を理解します。また、定期的に実際のテスト作業から離れ、チームにとって有益と思われる点について徹底的な調査を行います。マイクロソフトの攻撃および侵入テスト チームの標準的なテスト実施者は作業時間の 80% を評価作業に当てます。残りの 20% については、新たな脆弱性の調査や産業界の時流の把握に 10% を、電子メールへの返信などその他の作業に 10% を割り当てています。

チーム内で上級のメンバになるにつれて、業務時間の大部分を調査および他のチーム メンバの管理や指導に当てることになります。上級メンバは、業務時間を次のように配分します。

攻撃および侵入テスト チームに属するテスト実施者の業務遂行能力は、発見した脆弱性の数、テスト実施者が発見した脆弱性の中で従来明らかになっていなかった脆弱性の種類、および脆弱性の解決におけるシステムの責任者との連携作業の効率に基づいて評価される必要があります。

攻撃および侵入テスト チームのマネージャは、チーム運営に必要となる尊敬を得られるような優れた技術的スキルを持ち、強力な指導力を発揮する人材であることが求められます。企業幹部からのサポートを得られるように、幹部との円滑なコミュニケーションを図ることも必要です。また、評価プロセスのループを閉じるために効果的に働くことや、脆弱性の見つかった対象の責任者に対して、見つかった脆弱性へのセキュリティ確保に責任を取らせることも求められます。チーム メンバによる調査手段の選定を支援し、各メンバ、チーム、および企業にとってプラスになるように指導しながら、チーム メンバを先導できる能力を備えているマネージャが理想的です。

攻撃および侵入テストの方法論の構築

攻撃および侵入テストの方法論は長い間を経て社内で構築され、企業の知的財産として扱われることが一般的です。チームを立ち上げるときにセキュリティの専門家を採用する理由の 1 つに、セキュリティの専門家は企業に対して有効な方法論を開発するときの支援業務を経験していることが挙げられます。方法論は技術および企業文化を始め、企業に固有のその他の要因などによって変わります。

マイクロソフトの攻撃および侵入テスト チームは業務アプリケーションの責任者をそれぞれ個別のクライアントとして扱います。構築された大部分の方法論にはテスト対象の責任者と協力して作業を進めるために、攻撃および侵入テスト チームにとって効果的な方法が反映されています。

メモ   セキュリティのチームは攻撃および侵入テストを含め、さまざまなセキュリティ監査に対して一般的な手順や方法論を採用します。次に、この情報を掲載している Web サイトを一覧に示します。

http://www.sans.org

http://www.securityfocus.com

攻撃および侵入テスト チームは、方法論に加えて、テスト実施者とテスト対象の責任者との間の取り決めを概説した職務遂行上のルールを明確に定義します。職務遂行上のルールは、侵入テストによって得られる知識を最大限に活用しながら、業務に及ぼす影響を最小限に抑えるように意図されていることが必要です。このルールでは、自己対応プロセスに予想外の事象が発生した場合の対処方法についても定義します。マイクロソフトでは、これらのルールは標準的な IT サービス レベル契約 (SLA) と同じように機能します。

職務遂行上のルールには、少なくとも次に挙げる事項を含めます。

マイクロソフトでは、攻撃および侵入テスト チームの目標をアプリケーションの責任者であるビジネス ユニット IT (BUIT) グループの目標とは正反対の内容に設定しています。BUIT グループは、テスト実施者が侵入できない場合にテストは成功であると見なしますが、テスト チームは許可されていないユーザーが対象にアクセスできた場合にテストが成功したと考えます。セキュリティ プログラムのマネージャは、これらの 2 つのグループの仲介役として機能し、プロセスがスムーズに進行するようにします。

ほぼすべてのテストで、テスト実施者は何らかのセキュリティ上の弱点となり得る脆弱性を見つけています。脆弱性を見つけられない場合、テスト実施者は何か重要なことを見落としているに違いないという態度を崩しません。このようなテストを引き受けて取り組むことは BUIT グループにとって困難な場合がありますが、最終的にはこうした取り組みが企業ネットワークのセキュリティ強化に結び付きます。2 つのチームの相反する目標を両立させるためには、セキュリティの許容レベルについて明確に定義されたプロセスと開示されたポリシーが不可欠です。

攻撃および侵入テストに必要な技術

テスト実施者は攻撃の種類に応じた適切なツール セットを使用してテストを実施します。たとえば、脆弱性のスキャン、ネットワーク スニッフィング、侵入テストなどを実行するツールや、特定の脆弱性を詳しく調べるために記述したカスタム スクリプトなどを使用します。特定の攻撃を調べるために使用するツールは完全にテスト対象に依存します。

攻撃および侵入テスト チームは、専用のテスト環境を使用してテストを実施します。テスト環境は構成、オペレーティング システム、およびネットワーク上の配置条件の異なるさまざまなコンピュータで構成されています。このような環境でテスト実施者は入手した情報を最大限に活用しながら、テスト対象のシステムに対していろいろな側面から攻撃します。

ページのトップへ

攻撃および侵入テスト プログラムの展開と運用

攻撃および侵入テスト チームを編成したら、脆弱性の評価を実際に開始します。評価プロセスは一般に、図 1 に示すような基本手順に従って行われます。

図 1   侵入テスト
拡大表示する

ページのトップへ

ベスト プラクティス

このホワイトペーパーに記載した大部分の助言は、マイクロソフトの攻撃および侵入テスト チームの経験に基づいています。

ページのトップへ

まとめ

攻撃および侵入テスト プログラムは、許可されていないユーザーがテスト対象にアクセスする困難さを評価し、企業の全体的な脅威をより正確に判断することを支援します。攻撃および侵入テストでは、Microsoft 企業ネットワークのセキュリティ評価には不可欠なセキュリティ チェックを行います。

テスト対象とするシステムを選定するときの 1 つのアプローチとして、システムに格納されているデータが悪意のあるユーザー、競合他社、または一般の利用者に開示された場合に企業が被る損害額を計る方法があります。Microsoft IT は、企業の IT 部門が攻撃および侵入テストを実施することをお勧めします。システムに格納されているデータのビジネス上の価値に基づいて、最初に評価するシステムとチームに加えるリソースの数を決定します。

企業の IT 部門は、この作業を外部のコンサルタントに委託することも社内にチームを編成して実施することもできます。社内に Microsoft IT チームを編成すると、コスト削減や全体的な IT セキュリティの強化につながります。また、リリース前のテストにおける製品フィードバックを通じて、製品の品質を高めることができます。

ページのトップへ

詳細情報

インターネットでは、次の Web サイトで弊社の情報をご覧いただけます。

http://www.microsoft.com/japan/

http://www.microsoft.com/japan/showcase/

http://www.microsoft.com/japan/technet/itsolutions/msit/default.mspx

ページのトップへ