Penetration Test / Ransomware

Webアプリケーション脆弱性診断 / ペネトレーションテスト / ランサムウェア対策

『ITDIRECT セキュリティ診断サービス』

サイバーセキュリティ対策の最も効果的なアプローチは、攻撃者・ハッカーの立場で考えるだと考えます。

多くの脆弱性を発見するよりも攻撃のリスク評価を重視し、サイバーセキュリティ対策の優先順位を設定します。

特徴

FEATURE

  • 主に開発およびテスト環境で実施するWebアプリケーションの脆弱性診断テストおよび改善対策のサポートと本番環境等を用いた攻撃シュミレーション型のリスク検証を目的としたペネトレーションテストの2つをご提供します。

    • メニュー

    MENU

      Webアプリケーション脆弱性診断

    • 主としてOWASP ZAPを使用して脆弱性診断テストを行います。昨今では認証が複雑になっているため診断対象に漏れがないように、手動でも診断対象を確認してテストします

      • ペネトレーションテスト

    • 業務での本番環境のシステムやデータを破壊してしまわないように、攻撃を自動シュミレーションしてリスクを評価します。Web サイトやアプリケーションの他、ランサムウェア等の社内環境への攻撃もテストできます。
    • ペネトレーションテストは、主に業務環境や本番環境でのセキュリティ診断テストとなりますので、データの破壊等が生じないように、慎重にテストを行います。

    活用例

    USE CASE

    • 金融サービスの侵入テスト
    • 製造業の侵入テスト
    • 病院/介護/ヘルスケアの侵入テスト
    • 教育/転職サービスの侵入テスト

    Webアプリケーション脆弱性診断テスト

    開発時およびリリース前のWebアプリケーション脆弱性診断テストを行います。ツールは主にOWASP ZAPを使用します。

    Webアプリケーション脆弱性診断テスト
    OWASP ZAP

    OWASP ZAP

    特徴

    FEATURE

    当社が得意とするダイレクトチャネルを活用したWebアプリケーションについて、脆弱性診断テストを行います。

    主に開発環境やテスト環境を用いて、本番リリース前のWebアプリケーションの脆弱性を診断し、ご要望に応じてアプリケーションの改修サポートをご提案いたします。

    活用例

    USE CASE

    • 金融機関Webサービスの脆弱性診断テスト
    • ECサイトの脆弱性診断テスト
    • Web予約システムの脆弱性診断テスト
    • その他Webサイト全般

    ペネトレーションテスト
    『ITDIRECT PenTest』

    社内ネットワークへの侵入テスト、マルウェアなどの標的型攻撃を防止するためのペネトレーションテストを自動化し、貴社のシステムを守ります。

    AI自動ペネトレーションテストツール
    Ridge Security/RidgeBot

    Ridge Security/RidgeBot


    RidgeBot®は、世界的に有名なテクノロジーコンサルティングおよび調査企業であるGartnerにおいても、Penetration Testing Tools Reviews(2024)におけるレビュープラットフォームにおいても高い評価を得ています。

    レビュープラットフォーム『Gartner』

    gartner | Review

    特徴

    FEATURE

    『ITDIRECT PenTest』は、限られた時間/コストで貴社の重要な情報資産が晒されている脅威を明らかにするため、脆弱性を網羅的に点検することに加えて、RidgeSecurity社のRidgeBot®（AI駆動/自動ペネトレーションテスト）を活用します。

    AIロボットを活用したハッカー視点の自動ペネトレーションテストツール（RidgeSecurity社のRidgeBot）によって、検出される多数の脆弱性について攻撃をシュミレーションし、実際に侵入・侵害を許すリスクの高い脆弱性を洗い出して、対策の優先順位を明らかにします。

  • 脆弱性診断の探索方式に加えて、AIエンジンと専門知識データベースによるハッカー視点からの攻撃シュミレーションによるペネトレーションテストがリスクを見える化
  • CISOのサイバーセキュリティリスクの把握と認識、サイバーセキュリティ対策の優先順位を明らかにすることをサポート
  • 自動化、AI化によって、ペイロード生成などの技術者不足の問題を回避するとともに、1年に1度などの脆弱性診断テストの実施など、形式的な従来のサイバーセキュリティ対策から実行頻度を上げた実質的かつ継続的なサイバーセキュリティ対策の実現

    • メニュー

    MENU

      1） Attack Surface Identification （攻撃表面検知）

    • アセットプロファイリングをローンチし、対象のマシンの OS タイプ、オープンポート、アクティブなサービスや Web サイトのドメイン名/サブドメイン名、暗号化キーの情報、Web フレームワークおよび外部 URL/URI 露呈などを検出します。
    • スキャンタイプ：ホスト

      • 2） Website Penetration (Web サイトペネトレーション)

    • サイバー攻撃を対象の Web サイト、Web アプリケーションおよび全ての関係する攻撃表面に実行します。攻撃対象には社内開発ある いは CMS ベースの Web サイトが含まれます。
    • スキャンタイプ：Web サイトおよび Web アプリケーション

      • 3） Host Penetration (ホストペネトレーション)

    • ポートスキャンを利用して対象の攻撃表面のどこが晒されているかのプロファイリングをし、また様々なネットワーク攻撃テクニックを使 って脆弱性の検知とその対象のリスクに侵害します。
    • スキャンタイプ：ホスト

      • 4） Intranet Penetration(イントラネットペネトレーション)（IP＋デフォルトのクロウリング）

    • ポートスキャニングをおよびデフォルトの Web クロウリングを使って対象の攻撃表面のどこが晒されているか、プロファイリングし、また 様々なネットワーク攻撃テクニックを使って脆弱性の検知とその対象のリスクに侵害します。もし顧客が Web クロウリングをカストマイズしたい、あるいはクロウリングとプロキシーモードを合わせて Web サイトログインを回避したい場合は、そのタスク向けには Web 関連のシ ナリオを選択してください。
    • スキャンタイプ： ホストおよびホスト管理インターフェースのみ

      • 5） Weak Credential Exploit （脆弱クレデンシャル侵害）

    • 脆弱なクレデンシャルや許可ないアクセス侵害によって収集された重要なデ情報に対してサイバー攻撃を仕掛けます。攻撃の対象は様々なアプリケーションログイン、Web ログイン、Redis、Elasticsearch、ActiveMQ, データベースなどを含みます。
    • スキャンタイプ： ホスト

      • 6） 3rd Party Framework Penetration Testing （サードベンダーフレームワークペネトレーションテスト）

    • Struts2、Spring、Fastjson、ThinkPHP その他多くの一般的に利用されるサードベンダーフレームワークに対してサイバー攻撃を仕掛けます。
    • スキャンタイプ： Web アプリケーション

      • 7） Ransomware Penetration （ランサムウェアペネトレーション）

    • サーバリモートコマンド実行（RCE）攻撃、Windows リモートデスクトッププロトコール（RDP）、ブルートフォース攻撃など、APT グループがラ ンサムウェア攻撃を実行する際に頻繁に使われる様々なテクニックを利用します。
    • スキャンタイプ： ホストおよび Web アプリケーション

      • 8） Intranet Ransomware Penetration （イントラネットランサムウェアペネトレーション）

    • サーバリモートコマンド実行（RCE）攻撃、Windows リモートデスクトッププロトコール（RDP）、Windows リモートコマンド実行（RCE）攻撃、脆 弱パスワード
    • ブルートフォース攻撃など APT グループがランサムウェア攻撃を実行する際に頻繁に使われる様々なテクニックを利用します。
    • スキャンタイプ： ホストおよびホスト管理のインターフェース

      • 9） 3rd Party Scanning Result Validation （サードベンダスキャニング結果評価）

    • サードベンダの脆弱性テストレポートをアップロードし、その結果の確認のためにペネトレーションテストタスクを実行する許可を与えます。
    • スキャンタイプ： ホストおよび Web アプリケーション

      • 10）Endpoint Security （エンドポイントセキュリティ）Coomin Soon

    • RidgeBot Botlet が悪意あるソフトウェアを疑似して、あるいはマルウェアのシグニチャをダウンロードして対象のエンドポイントのセ キュリティ制御が有効かを確認します。テスト結果で防御率が高い方がその対象エンドポイントが安全であることを示します。

      • 11）Data Exfiltration （データ持ち出し）Coomin Soon

    • RidgeBot Botlet がサーバからの無許可のデータの持ち出しを疑似します。テスト結果で防御率が高い方がそのデータ搾取に対する攻撃の手法が検知され防衛できることを示します。

      • 12）Active Directory Information Recon （AD 情報リコン） Coomin Soon

    • RidgeBot Botlet が攻撃者が Windows Active Directory 内の有用な情報を集めて権限昇格、内在、情報略奪などをすることを疑 似します。テスト結果で防御率が高い方が Windows AD サーバの保護の状態が良いことを示します。

    活用例

    USE CASE

    • 金融サービスの侵入テスト
    • 製造業の侵入テスト
    • 病院/介護/ヘルスケアの侵入テスト
    • 教育/転職サービスの侵入テスト
    専用サイトへ

    お問い合わせ

    CONTACT

    アイティーディレクト株式会社

    JavaScriptを有効にしてください。 このサイトではJavaScriptを利用しています。無効の場合、正しく動作いたしませんのでご注意ください。