ペネトレーションテストは、貴社のITインフラ、アプリケーション、そして人に対して行う統制された模擬サイバー攻撃であり、自動スキャナーでは見逃してしまう、実際の攻撃者が悪用しうる脆弱性を特定するために設計されています。Brocentの認定エシカルハッカーが外部・内部・Webアプリケーション・ソーシャルエンジニアリングのテストを実施し、CVSSスコア付きの脆弱性と、段階的な是正手順を含む詳細な調査結果レポートを提供します。
なぜBrocentか
- CREST/OSCP認定のエシカルハッカー
- 外部・内部・Webアプリ・ソーシャルエンジニアリングをカバー
- 証跡と是正手順付きのCVSSスコア評価
- クローズドボックス／オープンボックスの選択が可能
- 割引価格での年次再テストパッケージも利用可能
サービス内容
外部ネットワークペネトレーションテスト
ファイアウォール、VPN、メールゲートウェイ、DNS、外部向けWebサーバー、リモートアクセスポータルなど、インターネットに面した境界に対する模擬攻撃を実施。インターネット上の任意の攻撃者からアクセス可能な脆弱性を特定します。
内部ネットワークペネトレーションテスト
内部への侵入を前提とし（従業員や委託先アカウントの侵害を想定）、テスターが内部ネットワークで水平展開と権限昇格を試み、攻撃者がどこまで到達しうるかを明らかにします。
Webアプリケーションテスト（OWASP Top 10以上）
OWASP Top 10の脆弱性 — インジェクションの欠陥、認証の不備、安全でない直接オブジェクト参照、セキュリティ設定ミス、アクセス制御の弱点など — を、手動・自動の両方でWeb・モバイルアプリケーションについてテストします。
ソーシャルエンジニアリング＆フィッシング模擬訓練
標的型フィッシングキャンペーンやプリテキスティング（口実を用いた電話）により、従業員の耐性を評価。どの部署・個人が最も高い人的リスク要因であるかを明らかにし、意識向上トレーニングの優先順位付けに活用します。
クローズドボックス／オープンボックステストの選択
クローズドボックス（ブラックボックス）テストは事前情報を持たない外部攻撃者を想定。オープンボックス（ホワイトボックス）テストはアーキテクチャ情報をテスターに提供し、限られた期間内での深度とカバレッジを最大化します。
CVSSスコア付き調査結果レポートと是正ガイダンス
発見されたすべての脆弱性について、CVSSリスクスコア、概念実証（PoC）の証跡、事業への影響、段階的な是正ガイダンスを文書化します — CVEの一覧に留まらない、実践的な修正ガイドです。
ペネトレーションテストと脆弱性スキャンの違いは何ですか？
脆弱性スキャンは自動化ツールを用いて既知の弱点を特定します。ペネトレーションテストはさらに一歩踏み込み、認定エシカルハッカーが実際にその弱点の悪用を試み、複数の脆弱性を連鎖させ、攻撃が成功した場合の実際の事業影響を実証します。
ペネトレーションテストにはどれくらいの期間がかかりますか？
期間はスコープによって異なります。限定的な外部ネットワークテストであれば通常3〜5日程度、外部＋内部＋Webアプリケーションを含む包括的なテストでは通常2〜3週間程度です。Brocentは提案段階で期間とスコープの見積もりを提示します。
ペネトレーションテストは業務に支障をきたしますか？
標準的なペネトレーションテストは業務に支障が出ないよう設計されています。必要に応じて業務時間外にテストウィンドウを設定することも可能です。Brocentは予期しない障害を避けるため、テスト期間中を通じて貴社ITチームと連携します。
是正後の再テストは含まれますか？
はい。Brocentの年次テストパッケージには、初回の発見事項が是正された後の再テストが含まれており、脆弱性が解消され新たな問題が生じていないことを確認します。