こんな会社に
こんな会社におすすめです
- 脆弱性診断は受けているが、会社全体として本当に守れているか確かめたい
- セキュリティ製品を入れたが、攻撃をきちんと止めたり気づいたりできるかわからない
- CSIRTやSOCなど、攻撃に対応するチームの力を実際の場面で試したい
- 社員へのなりすましメールなど、「人」を狙う攻撃への備えを確かめたい
- 経営層や取引先に、自社の守りの強さを具体的に説明したい
診断との違い
脆弱性診断との違い
脆弱性診断は、システムの弱点を「漏れなく見つける」ためのものです。レッドチームは、見つけた弱点を実際に使い、「どこまで入り込めて、どんな被害が出るか」を確かめるためのものです。目的が違うので、両方を組み合わせるのがおすすめです。
| 項目 | 脆弱性診断 | レッドチーム |
|---|---|---|
| 目的 | 弱点を漏れなく見つける | 守りが実際に通用するかを確かめる |
| 調べ方 | 決まった項目に沿って一つずつ調べる | 攻撃者の目線で、弱点を組み合わせて攻める |
| 対象 | Webアプリ、ネットワークなど、決めたシステム | システム・ネットワーク・人・運用など、会社全体 |
| わかること | どこに、どんな弱点があるか | どこまで入り込めるか、どんな被害が出るか、攻撃に気づけるか |
| 向いている時期 | リリース前、定期的な点検 | 対策をひととおり整えたあと |
まだ診断を受けたことがない場合は、まず診断から始めることをおすすめします。セキュリティ診断の一覧
特徴
SecureHattersの
レッドチームの特徴
-
01
高い技術を持つエンジニアが担当
侵入テストは、善意で行うハッキングです。決まった手順をなぞるだけでは見つからない弱点を探すには、高い技術と発想力が必要です。国内外のCTF（セキュリティ技術を競う大会）で入賞した経験を持つエンジニアを中心に、チームを組んで担当します。
-
02
システムだけでなく「人」のリスクも評価
ご要望に応じて、インターネット上に公開されている情報の調査や、なりすましメールなど人を狙う手口（ソーシャルエンジニアリング）も組み合わせます。実際の攻撃は、システムの弱点と人の油断を組み合わせてくるためです。
-
03
想定する攻撃者を変えられる
攻撃者の目的や背景、技術のレベルは、ご要望にあわせて決められます。「社員が社内から情報を持ち出す」「取引先を経由して入り込む」「いたずら目的で荒らされる」など、心配している場面にあわせた評価ができます。
-
04
守る側のチームのレベルアップにつなげる
レッドチームの最終的なゴールは、攻撃に対応するチーム（ブルーチーム）の力を高めることです。終わったあとのレビュー会で、攻撃の流れと、どこで気づけたか・気づけなかったかを一緒に振り返り、次の対策につなげます。
攻撃シナリオの例
攻撃シナリオの例
レッドチームの攻撃は、お客様ごとに組み立てます。以下は、実際に行う攻撃の一例です。
-
Webアプリケーションへの攻撃
Webアプリケーションやミドルウェアの弱点を使って、Webサーバに入り込みます。
-
人を狙う攻撃（ソーシャルエンジニアリング）
なりすましメールや、だましの手口を使って、マルウェアを入れさせたり、アカウントを乗っ取ったりします。
-
ネットワークへの攻撃
設定の不備を使って社内のネットワークに入り込み、通信を盗み見て認証情報を手に入れたり、権限を広げたりします。
-
情報収集による攻撃
インターネット上の検索で、公開されてしまっている機密情報を探します。継続的に様子を見ながら、マルウェアを入れる機会をうかがいます。
どこまでを対象にするかは、事前にお客様と決めてから行います。
安全に進めるために
安全に進めるために
本物の攻撃と同じ手口を使うからこそ、事前の取り決めを大切にしています。
-
範囲とルールを先に決めます
攻撃してよい対象、期間、やってはいけないことを、始める前にお客様と文書で決めます。
-
業務を止めないよう配慮します
サービスや業務に大きな影響が出る攻撃は、事前に相談して内容を調整します。
-
危険な弱点はすぐにお伝えします
大きな被害につながる弱点が見つかったときは、報告書の完成を待たずにすぐにお知らせします。
報告書とレビュー会
報告書とレビュー会
「どんな弱点があったか」だけでなく、「攻撃がどう進んだか」「どこで止められたか」がわかる形でご報告します。
報告書でわかること
- 攻撃の流れどこから入り、どの順番で、どこまで進めたか
- 守りの評価どの攻撃を止められたか、気づけたか、記録が残っていたか
- 見つかった弱点内容、再現の手順、国際的な基準（CVSS）による危険度
- 対策優先順位をつけた、具体的な直し方
レビュー会
報告書をもとに、攻撃の流れと結果をご説明します。守る側のチームの方にも参加していただき、「どこで気づけたか」「次はどう動くか」を一緒に話し合います。
進め方
進め方
- 01ご相談目的や心配していること、守りの体制をお伺いします。
- 02計画づくり想定する攻撃者、対象の範囲、期間、やってはいけないことを決めます。
- 03情報収集攻撃者と同じように、公開されている情報などから攻め方を考えます。
- 04攻撃の実施決めたルールの中で、疑似的な攻撃を行います。危険な弱点はすぐにお知らせします。
- 05ご報告報告書をお渡しし、結果をご説明します。
- 06レビュー会守る側のチームと一緒に振り返り、次の対策を決めます。
結果を活かす
見つけたあとの対策まで、
一緒に進めます
レッドチームでわかった課題を、そのままにしません。対策の計画づくりや、社内の方の育成まで、同じチームでご支援できます。
よくあるご質問
よくあるご質問
脆弱性診断とどちらを受ければいいですか？
診断を受けたことがない場合は、まず診断で弱点を見つけて直すことをおすすめします。対策をひととおり整えたあとに、それが実際に通用するかをレッドチームで確かめるのが効果的です。迷ったらご相談ください。
社員には知らせずに行うのですか？
守る側のチームの力を確かめる場合は、一部の方だけが知っている状態で行うことが多いです。誰に知らせるかは、事前にお客様と決めます。
業務やサービスが止まることはありませんか？
影響が出る攻撃は、事前に相談して内容を調整します。
どのくらいの期間がかかりますか？
対象の範囲やシナリオによって変わります。
費用はどれくらいかかりますか？
内容にあわせて個別にお見積もりします。まずはお話を伺い、目的にあったプランをご提案します。
準備しておくことはありますか？
攻撃してよい対象の一覧や、守りの体制（使っているセキュリティ製品、ログの取り方など）を事前にお伺いします。詳しくは計画づくりの中でご案内します。