侵入テスト

侵入テスト（通称ペンテスト）は、コンピュータシステムに対する認可された模擬サイバー攻撃であり、システムのセキュリティを評価するために実行されます。 ^[1]これは脆弱性評価と混同しないでください。^[2]このテストは、権限のない者がシステムの機能やデータにアクセスする可能性を含む弱点（脆弱性）を特定するために実行されます。 ^[3]^[4]また、強みも特定し、^[5]完全なリスク評価を完了できるようにします。

このプロセスでは通常、対象システムと特定の目標を特定し、利用可能な情報を確認し、その目標を達成するためにさまざまな手段を講じます。侵入テストの対象は、ホワイトボックス（背景情報とシステム情報がテスト担当者に事前に提供される）またはブラックボックス（会社名以外の基本情報のみが提供される）です。グレーボックス侵入テストは、この 2 つを組み合わせたものです（対象に関する限定的な知識が監査担当者と共有されます）。^[6]侵入テストは、攻撃に対するシステムの脆弱性を特定し、その脆弱性を推定するのに役立ちます。^[7]^[5]

侵入テストで発見されたセキュリティ上の問題は、システム所有者に報告する必要があります。^[8]侵入テストレポートでは、組織への潜在的な影響を評価し、リスクを軽減するための対策を提案することもできます。^[8]

英国国立サイバーセキュリティセンターは、侵入テストを次のように説明しています。「敵対者が使用するのと同じツールと技術を使用して、ITシステムのセキュリティの一部またはすべてを侵害しようとすることで、ITシステムのセキュリティの保証を得る方法。」^[9]

侵入テストの目的は、特定の取り組みで承認された活動の種類によって異なりますが、主な目的は、悪意のある行為者が悪用する可能性のある脆弱性を見つけ、それらの脆弱性と推奨される緩和戦略をクライアントに通知することに重点を置いています。^[10]

侵入テストは、完全なセキュリティ監査の構成要素です。たとえば、ペイメントカード業界のデータセキュリティ標準では、定期的なスケジュールとシステム変更後に侵入テストを実行することが義務付けられています。^[11]侵入テストは、NISTリスク管理フレームワークSP 800-53に概説されているリスク評価をサポートすることもできます。^[12]

侵入テストを実施するための標準的なフレームワークと方法論はいくつか存在します。これには、オープンソースセキュリティテスト方法論マニュアル (OSSTMM)、侵入テスト実行標準 (PTES)、NIST特別出版物 800-115、情報システムセキュリティ評価フレームワーク (ISSAF)、OWASPテストガイドが含まれます。技術サイバーセキュリティ業界の非営利専門団体である CREST は、侵入テストを実行する際の商業的に合理的な保証活動のガイダンスを業界に提供する CREST 防御可能な侵入テスト標準を提供しています。^[13]

欠陥仮説手法は、システムの仕様とドキュメントの分析を通じてソフトウェアシステム内の仮説上の欠陥のリストを作成するシステム分析および侵入予測手法です。仮説上の欠陥のリストは、欠陥が実際に存在すると推定される確率と、制御または侵害の範囲でその欠陥を悪用する容易さに基づいて優先順位が付けられます。優先順位付けされたリストは、システムの実際のテストを指示するために使用されます。

侵入テストには、組織の目標に応じて、ネットワーク (外部および内部)、ワイヤレス、Web アプリケーション、ソーシャルエンジニアリング、修復検証など、さまざまな種類があります。

歴史

1960年代半ばまでに、通信回線を介してリソースにアクセスできるようにするタイムシェアリングコンピュータシステムの普及が進み、新たなセキュリティ上の懸念が生じました。学者のデボラ・ラッセルとGTガンジェミ・シニアは、「1960年代はコンピュータセキュリティ時代の真の始まりでした」と説明しています。^[14]^：27

たとえば、1965 年 6 月、米国を代表するコンピュータセキュリティの専門家数名が、政府請負業者であるシステム開発会社(SDC) の主催で、システムセキュリティに関する最初の主要な会議の 1 つを開催しました。会議中、SDC の従業員の 1 人が、SDC のAN/FSQ-32タイムシェアリングコンピュータシステムに追加されたさまざまなシステムセーフガードを簡単に破ることができたと指摘する人がいました。システムセキュリティのさらなる研究が役立つことを期待して、参加者は「タイムシェアリングシステムのセキュリティ保護を破るなどの分野で研究を行う」ことを要求しました。言い換えれば、会議参加者は、コンピュータ侵入をシステムセキュリティの研究ツールとして使用するという最初の正式な要求の 1 つを開始しました。^[15]^{: 7–8}

1967 年春の合同コンピュータ会議では、多くの主要なコンピュータ専門家が再び集まり、システムセキュリティの懸念について議論しました。この会議中、コンピュータセキュリティの専門家であるRAND コーポレーションのウィリスウェア、ハロルドピーターセン、ラインターン、および国家安全保障局(NSA)のバーナードピーターズは、いずれもコンピュータシステムへの攻撃を説明するのに「侵入」というフレーズを使用しました。ウェアは論文の中で、軍のリモートアクセス可能なタイムシェアリングシステムに言及し、「このようなコンピュータシステムへの意図的な侵入の試みを予期する必要がある」と警告しました。同僚のピーターセンとターンも同じ懸念を共有し、オンライン通信システムは「意図的な侵入」を含む「プライバシーへの脅威に対して脆弱である」と指摘しました。NSA のバーナードピーターズも同じ点を指摘し、「コンピュータの入出力は侵入プログラムに大量の情報を提供する可能性がある」と主張しました。この会議中に、コンピュータ侵入はオンラインコンピュータシステムに対する主要な脅威として正式に認識されるようになりました。^[15]^{: 8}

コンピュータ侵入がもたらす脅威は、1967 年後半に米国国防総省(DoD) がまとめた主要な報告書で次に概説されました。基本的に、DoD の職員は、NSA、 CIA、DoD、学界、および業界の専門家からなるタスクフォースを率いるウィリスウェアに依頼し、タイムシェアリングコンピュータシステムのセキュリティを正式に評価しました。タスクフォースは、1967 年春の合同コンピュータ会議で発表された多数の論文を参考にして、コンピュータ侵入がシステムセキュリティにもたらす脅威をほぼ確認しました。ウェアのレポートは当初機密扱いでしたが、米国の主要なコンピュータ専門家の多くが、この研究をコンピュータセキュリティに関する決定的な文書であるとすぐに認識しました。^[15]チャールズバベッジ研究所のジェフリー R. ヨストは、最近、ウェアのレポートを「...当時の安全なコンピューティングシステムに関する技術および運用上の問題に関する、これまでで最も重要で徹底した研究」と評しました。^[16]事実上、ウェアのレポートは、新しいオンラインタイムシェアリングコンピュータシステムに対するコンピュータ侵入の大きな脅威を再確認しました。

システムの弱点をより深く理解するため、連邦政府とその請負業者はすぐに、コンピュータ侵入を使用してシステムのセキュリティをテストする侵入者チーム（タイガーチーム）を編成し始めました。デボララッセルと GT ガンジェミシニアは、1970 年代に「...「タイガーチーム」がコンピュータシーンに初めて登場しました。タイガーチームとは、政府と業界が後援するクラッカーのチームで、セキュリティホールを発見し、最終的にはパッチを当てるためにコンピュータシステムの防御を破ろうとしました。」と述べています。^[14]^{: 29}

コンピュータセキュリティの歴史に関する著名な学者であるドナルドマッケンジーも同様に、「RAND は政府に代わって、初期のタイムシェアリングシステムの侵入調査 (コンピュータセキュリティ制御を回避する実験) を行っていた」と指摘しています。^[17]^[18]チャールズバベッジ研究所のジェフリー R. ヨストも、コンピュータセキュリティの歴史に関する自身の研究の中で、RAND コーポレーションと SDC の両社が「タイムシェアリングシステムに侵入してその脆弱性をテストする、いわゆる「侵入調査」の最初のいくつかに取り組んでいた」ことを認めています。^[16]事実上、これらの初期の調査のすべてにおいて、タイガーチームは、国のタイムシェアリングシステムの防御が貧弱であったため、ターゲットとなったすべてのコンピュータシステムに侵入することに成功しました。

初期のタイガーチームの活動のうち、RAND コーポレーションでの取り組みは、システムセキュリティを評価するツールとしての侵入の有用性を実証しました。当時、RAND のアナリストの 1 人は、テストによって「実装されたデータセキュリティ保護策の有効性と妥当性を評価するツールとしてのシステム侵入の実用性が実証された」と指摘しました。さらに、RAND のアナリストの多くは、侵入テストの演習はすべて、その継続使用を正当化するいくつかの利点を提供すると主張しました。ある論文で彼らが指摘したように、「侵入者は、オペレーティングシステムの弱点と不完全性を探す際に、悪魔的な考え方を発達させるようであり、これを真似することは困難です。」これらの理由とその他の理由から、RAND の多くのアナリストは、システムセキュリティを評価する上での侵入技術の有用性について、継続して研究することを推奨しました。^[15]^{: 9}

おそらく、この形成期におけるコンピュータ侵入の第一人者は、NSA、RAND、その他の政府機関と連携してシステムセキュリティを研究していた James P. Anderson 氏でしょう。1971 年初頭、米国空軍は Anderson 氏の民間企業と契約し、国防総省のタイムシェアリングシステムのセキュリティを調査しました。この調査で、Anderson 氏はコンピュータ侵入に関係するいくつかの主要な要因を概説しました。Anderson 氏は、一般的な攻撃シーケンスを段階的に説明しました。

悪用可能な脆弱性を見つけます。
それを中心に攻撃を設計します。
攻撃をテストします。
使用中の回線を占有します。
攻撃に入ります。
エントリを利用して情報を回復します。

アンダーソンによる一般的なコンピュータ侵入手順の説明は、時が経つにつれて、タイムシェアリングコンピュータシステムのセキュリティを評価するためにこの手法に頼る多くの他のセキュリティ専門家の指針となりました。^[15]^{: 9}

その後数年間、セキュリティ評価ツールとしてのコンピュータ侵入は、より洗練され、高度化しました。1980 年代初頭、ジャーナリストのウィリアムブロードは、システムセキュリティを評価するためのタイガーチームの継続的な取り組みについて簡単にまとめました。ブロードが報告したように、国防総省が後援したウィリスウェアのレポートは、「スパイがコンピュータに積極的に侵入し、電子ファイルを盗んだりコピーしたり、通常は最高機密情報を保護するデバイスを破壊したりする方法を示しました。この研究は、政府で働くエリートコンピュータサイエンティストグループによる 10 年以上にわたる静かな活動のきっかけとなり、彼らは機密コンピュータへの侵入を試みました。彼らはすべての試みに成功しました。」^[19]

これらのさまざまな研究は、米国におけるコンピュータセキュリティが依然として大きな問題であることを示唆しているが、学者のエドワードハントは最近、セキュリティツールとしてのコンピュータ侵入に関する広範な研究について、より広い観点から論じている。ハントは侵入テストの歴史に関する最近の論文で、防衛当局が最終的に「現代のサイバー戦争で使用されているツールの多くを作成した」と示唆している。これは、コンピュータ侵入者が標的のシステムに侵入するさまざまな方法を慎重に定義し、研究したためである。^[15]^{: 5}

ツール

侵入テストを支援するために、無料、フリーソフトウェア、商用ソフトウェアなど、さまざまなセキュリティ評価ツールが利用可能です。

特殊なOSディストリビューション

いくつかのオペレーティングシステムディストリビューションは、侵入テスト向けに作られています。^[20]このようなディストリビューションには通常、事前にパッケージ化され、構成済みのツールセットが含まれています。侵入テスト担当者は、コンパイルエラー、依存関係の問題、構成エラーなどの問題が発生するリスクを高める可能性のある個々のツールを探す必要はありません。また、追加のツールを入手することは、テスト担当者の状況では現実的ではない可能性があります。

注目すべき侵入テスト OS の例は次のとおりです。

Arch LinuxベースのBlackArch
UbuntuベースのBackBox
Kali Linux ( 2012年12月にBackTrackを置き換え) Debianベース
DebianベースのParrot Security OS
GentooベースのPentoo
SlackwareベースのWHAX

他の多くの特殊なオペレーティングシステムも侵入テストを容易にします。それぞれが、多かれ少なかれ侵入テストの特定の分野に特化しています。

多くの Linux ディストリビューションには既知の OS およびアプリケーションの脆弱性が含まれており、練習用のターゲットとして展開できます。このようなシステムは、新しいセキュリティ専門家がラボ環境で最新のセキュリティツールを試すのに役立ちます。例としては、Damn Vulnerable Linux (DVL)、OWASP Web Testing Environment (WTW)、Metasploitable などがあります。

ソフトウェアフレームワーク

侵入テストのフェーズ

侵入テストのプロセスは、次の 5 つのフェーズに簡略化できます。

偵察: ターゲットシステムに関する重要な情報を収集する行為。この情報は、ターゲットをより効果的に攻撃するために使用できます。たとえば、オープンソースの検索エンジンを使用して、ソーシャルエンジニアリング攻撃に使用できるデータを見つけることができます。
スキャン: 技術的なツールを使用して、攻撃者がシステムについてさらに詳しく知ること。たとえば、Nmap を使用して開いているポートをスキャンできます。
アクセスの取得: 偵察およびスキャン段階で収集されたデータを使用して、攻撃者はペイロードを使用して標的のシステムを悪用できます。たとえば、Metasploit を使用すると、既知の脆弱性に対する攻撃を自動化できます。
アクセスの維持: アクセスを維持するには、できるだけ多くのデータを収集するために、ターゲット環境内に永続的に存在できるようにするための手順を実行する必要があります。
痕跡を隠す：攻撃者は匿名性を保つために、被害者のシステムを侵害した痕跡、収集したあらゆる種類のデータ、ログイベントをすべて消去する必要があります。^[21]

攻撃者が 1 つの脆弱性を悪用すると、他のマシンにもアクセスできるようになるため、プロセスが繰り返されます。つまり、攻撃者は新しい脆弱性を探し、それを悪用しようとします。このプロセスはピボットと呼ばれます。

脆弱性

テスターが不正な操作を実行できる正当な操作には、エスケープされていない SQL コマンド、ソースが見えるプロジェクト内の変更されていないハッシュパスワード、人間関係、古いハッシュ関数または暗号化関数などがあります。重大なエクスプロイトを可能にするには、1 つの欠陥だけでは不十分な場合があります。複数の既知の欠陥を活用し、有効な操作のように見えるようにペイロードを形成することが、ほとんどの場合必要です。Metasploit は、一般的なタスク用の Ruby ライブラリを提供し、既知のエクスプロイトのデータベースを維持します。

予算と時間の制約がある中で作業する場合、脆弱性を発見する一般的な手法はファジングです。これは、ランダムな入力によって未処理のエラーを取得することを目的としています。テスターはランダムな入力を使用して、あまり使用されていないコードパスにアクセスします。よく踏まれたコードパスには通常、エラーはありません。エラーは、完全な情報トレースバックによる HTTP サーバーのクラッシュなど、より多くの情報を公開するか、バッファオーバーフローなど、直接使用できるため、役立ちます。

ある Web サイトに 100 個のテキスト入力ボックスがあるとします。そのうちのいくつかは、特定の文字列に対するSQL インジェクションに対して脆弱です。しばらくの間、それらのボックスにランダムな文字列を送信すると、バグのあるコードパスにヒットするでしょう。エラーは、SQL エラーが原因でレンダリングが半分しか行われない壊れた HTML ページとして表示されます。この場合、テキストボックスのみが入力ストリームとして扱われます。ただし、ソフトウェアシステムには、Cookie やセッションデータ、アップロードされたファイルストリーム、RPC チャネル、メモリなど、多くの入力ストリームが考えられます。エラーは、これらの入力ストリームのいずれかで発生する可能性があります。テストの目標は、まず未処理のエラーを取得し、次に失敗したテストケースに基づいて欠陥を理解することです。テスターは、欠陥を正しく理解するまで、欠陥の理解をテストする自動化ツールを作成します。その後、ターゲットシステムが実行をトリガーするようにペイロードをパッケージ化する方法を明らかにすることができます。これが実行できない場合は、ファジングツールによって生成された別のエラーがより多くの成果をもたらすことを期待できます。ファジングツールを使用すると、エクスプロイトの可能性が低い適切なコードパスをチェックしないため、時間が節約されます。

ペイロード

不正な操作（Metasploit の用語ではペイロード）には、キーストロークの記録、スクリーンショットの撮影、アドウェアのインストール、資格情報の盗難、シェルコードを使用したバックドアの作成、データの変更などの機能が含まれる場合があります。一部の企業は、既知のエクスプロイトの大規模なデータベースを維持し、ターゲットシステムの脆弱性を自動的にテストする製品を提供しています。

標準化された政府侵入テストサービス

米国一般調達局（GSA）は、潜在的な脆弱性に迅速に対処し、米国連邦政府、州政府、地方政府に影響を及ぼす前に敵を阻止するために、「侵入テスト」サービスを事前審査済みのサポートサービスとして標準化しました。これらのサービスは一般に高度適応型サイバーセキュリティサービス（HACS）と呼ばれ、米国GSAアドバンテージのWebサイトに掲載されています。^[22]

この取り組みにより、これらの高度な侵入サービスを提供するために技術的に審査され、精査された主要なサービスプロバイダーが特定されました。この GSA サービスは、これらのサービスの迅速な発注と展開を改善し、米国政府の契約の重複を減らし、よりタイムリーかつ効率的な方法で米国のインフラストラクチャを保護およびサポートすることを目的としています。

132-45A 侵入テスト^[23]は、サービス評価者が実際の攻撃を模倣して、アプリケーション、システム、またはネットワークのセキュリティ機能を回避する方法を特定するセキュリティテストです。 HACS 侵入テストサービスは通常、資産とデータを保護するために採用されている組織の予防的および検出的セキュリティ対策の有効性を戦略的にテストします。このサービスの一環として、認定された倫理的ハッカーは通常、セキュリティの弱点を探して、システム、システム、アプリケーション、または環境内の別のターゲットに対して模擬攻撃を実行します。テスト後、通常、脆弱性を文書化し、どの防御が有効で、どの防御が破られたり悪用される可能性があるかを概説します。^{[引用が必要]}

英国では、侵入テストサービスは国立サイバーセキュリティセンターと連携して活動する専門機関によって標準化されています。^[要出典]

侵入テストの結果は、使用される標準と方法論によって異なります。侵入テストの標準には、オープンソースセキュリティテスト方法論マニュアル^[24] (OSSTMM)、オープンウェブアプリケーションセキュリティプロジェクト(OWASP)、米国国立標準技術研究所(NIST00)、情報システムセキュリティ評価フレームワーク (ISSAF)、侵入テスト方法論と標準 (PTES) の 5 つがあります。^{[引用が必要]}

参照

一般的な参考文献

侵入テストの決定版ガイド^[25]

参考文献

^ 「侵入テストとは？」2018年12月18日閲覧。
^ 「脆弱性評価と侵入テストの違いは何ですか？」2020年5月21日閲覧。
^ CISSP® および CAPCM 準備ガイド: プラチナ版。John Wiley & Sons。2006-11-06。ISBN 978-0-470-00792-1侵入テストでは、システムが攻撃にどのように反応するか、システムの防御が破られるかどうか、システムからどのような情報を取得できるかを判断できます。
^ Kevin M. Henry (2012).侵入テスト: ネットワークとシステムの保護。IT Governance Ltd. ISBN 978-1-849-28371-7侵入テストは、システム、ネットワーク、機器、またはその他の施設に対する攻撃をシミュレートし、そのシステムまたは「ターゲット」が実際の攻撃に対してどの程度脆弱であるかを証明することを目的としています。
^ ab Cris Thomas (Space Rogue)、Dan Patterson (2017)。IBMのSpace Rogueを使えばパスワードクラッキングは簡単 (ビデオ) 。CBS Interactive。イベントは4:30-5:30に開催されます。 2017年12月1日閲覧。
^ 「ペンテストの種類の説明」 2017-06-09 . 2018-10-23閲覧。
^ 「侵入テスト: 攻撃者より先に全体的なセキュリティを評価する」(pdf)。SANS Institute。2014年 2 月 27 日時点のオリジナルよりアーカイブ。2014年1 月 16 日閲覧。
^ ab 「侵入テストレポートの作成」。SANS Institute 。 2015年1月12日閲覧。
^ 「侵入テスト」。NCSC。2017年8月。 2018年10月30日閲覧。
^ Patrick Engebretson、ハッキングと侵入テストの基礎、Wayback Machineに 2017-01-04 アーカイブ、Elsevier、2013
^ Alan Calder および Geraint Williams (2014)。PCI DSS: ポケットガイド、第 3 版。IT Governance Limited。ISBN 978-1-84928-554-4少なくとも四半期ごとに、またネットワークに大きな変更があった場合にはネットワーク脆弱性スキャンを実施します。
^ 「NISTリスク管理フレームワーク」。NIST。2020年。2021年5月6日時点のオリジナルよりアーカイブ。
^ 「CRESTが侵入テストに関するガイダンスを発表」IntelligentCISO 2022年。
^ ab ラッセル、デボラ; ガンジェミ、GT (1991)。コンピュータセキュリティの基礎。オライリーメディア社。ISBN 9780937175712。
^ abcdef Hunt, Edward (2012). 「米国政府のコンピュータ侵入プログラムとサイバー戦争への影響」. IEEE Annals of the History of Computing . 34 (3): 4–21. doi :10.1109/MAHC.2011.82. S2CID 16367311.
^ ab Yost、ジェフリー R. (2007)。デ・レーウ、カール。ヤン・バーグストラ編（編）。コンピュータセキュリティ標準の歴史、『情報セキュリティの歴史: 総合ハンドブック』。エルゼビア。pp. 601–602。
^ Mackenzie, Donald; Pottinger, Garrel (1997). 「数学、テクノロジー、信頼: 形式検証、コンピュータセキュリティ、そして米国軍」IEEE Annals of the History of Computing . 19 (3): 41–59. doi :10.1109/85.601735.
^ マッケンジー、ドナルド A. (2004)。証明の機械化: コンピューティング、リスク、信頼。マサチューセッツ工科大学。p. 156。ISBN 978-0-262-13393-7。
^ ブロード、ウィリアム J. (1983 年 9 月 25 日)。「コンピューターセキュリティが軍事専門家を悩ませている」ニューヨークタイムズ
^ フェアクロス、ジェレミー (2011)。「ツールズ・オブ・ザ・トレード」。侵入テスト担当者のオープンソースツールキット。pp. 1–28。doi :10.1016/ B978-1-59749-627-8.10001-7。ISBN 978-1-59749-627-8。^{[確認するには引用が必要です]}
^ 「侵入テストの 5 つのフェーズの概要 - Cybrary」。Cybrary。2015年 5 月 6 日。2019 年 4 月 8 日時点のオリジナルよりアーカイブ。2018年 6 月 25 日閲覧。
^ “GSA HACS SIN 132-45 Services”. 2018年3月1日. 2019年3月23日時点のオリジナルよりアーカイブ。 2018年3月1日閲覧。
^ “Pen Testing Services”. 2018年3月1日. 2018年6月26日時点のオリジナルよりアーカイブ。 2018年3月1日閲覧。
^ Wilhelm, Thomas (2013). 「方法論とフレームワーク」。プロフェッショナル侵入テスト。pp. 75–87。doi : 10.1016 / B978-1-59749-993-4.00004-5。ISBN 978-1-59749-993-4。
^ 「侵入テストの決定版ガイド | Core Sentinel」。Core Sentinel 。 2018年10月23日閲覧。

[1] 「侵入テストとは？」2018年12月18日閲覧。

[2] 「脆弱性評価と侵入テストの違いは何ですか？」2020年5月21日閲覧。

[3] CISSP® および CAPCM 準備ガイド: プラチナ版。John Wiley & Sons。2006-11-06。ISBN 978-0-470-00792-1侵入テストでは、システムが攻撃にどのように反応するか、システムの防御が破られるかどうか、システムからどのような情報を取得できるかを判断できます。

[4] Kevin M. Henry (2012).侵入テスト: ネットワークとシステムの保護。IT Governance Ltd. ISBN 978-1-849-28371-7侵入テストは、システム、ネットワーク、機器、またはその他の施設に対する攻撃をシミュレートし、そのシステムまたは「ターゲット」が実際の攻撃に対してどの程度脆弱であるかを証明することを目的としています。

[Patterson-5] Cris Thomas (Space Rogue)、Dan Patterson (2017)。IBMのSpace Rogueを使えばパスワードクラッキングは簡単 (ビデオ) 。CBS Interactive。イベントは4:30-5:30に開催されます。 2017年12月1日閲覧。

[6] 「ペンテストの種類の説明」 2017-06-09 . 2018-10-23閲覧。

[7] 「侵入テスト: 攻撃者より先に全体的なセキュリティを評価する」(pdf)。SANS Institute。2014年 2 月 27 日時点のオリジナルよりアーカイブ。2014年1 月 16 日閲覧。

[SANS_Institute-8] 「侵入テストレポートの作成」。SANS Institute 。 2015年1月12日閲覧。

[9] 「侵入テスト」。NCSC。2017年8月。 2018年10月30日閲覧。

[10] Patrick Engebretson、ハッキングと侵入テストの基礎、Wayback Machineに 2017-01-04 アーカイブ、Elsevier、2013

[11] Alan Calder および Geraint Williams (2014)。PCI DSS: ポケットガイド、第 3 版。IT Governance Limited。ISBN 978-1-84928-554-4少なくとも四半期ごとに、またネットワークに大きな変更があった場合にはネットワーク脆弱性スキャンを実施します。

[12] 「NISTリスク管理フレームワーク」。NIST。2020年。2021年5月6日時点のオリジナルよりアーカイブ。

[13] 「CRESTが侵入テストに関するガイダンスを発表」IntelligentCISO 2022年。

[Russell-14] ラッセル、デボラ; ガンジェミ、GT (1991)。コンピュータセキュリティの基礎。オライリーメディア社。ISBN 9780937175712。

[Hunt-15] Hunt, Edward (2012). 「米国政府のコンピュータ侵入プログラムとサイバー戦争への影響」. IEEE Annals of the History of Computing . 34 (3): 4–21. doi :10.1109/MAHC.2011.82. S2CID 16367311.

[Yost-16] Yost、ジェフリー R. (2007)。デ・レーウ、カール。ヤン・バーグストラ編（編）。コンピュータセキュリティ標準の歴史、『情報セキュリティの歴史: 総合ハンドブック』。エルゼビア。pp. 601–602。

[Mackenzie1997-17] Mackenzie, Donald; Pottinger, Garrel (1997). 「数学、テクノロジー、信頼: 形式検証、コンピュータセキュリティ、そして米国軍」IEEE Annals of the History of Computing . 19 (3): 41–59. doi :10.1109/85.601735.

[Mackenzie2001-18] マッケンジー、ドナルド A. (2004)。証明の機械化: コンピューティング、リスク、信頼。マサチューセッツ工科大学。p. 156。ISBN 978-0-262-13393-7。

[19] ブロード、ウィリアム J. (1983 年 9 月 25 日)。「コンピューターセキュリティが軍事専門家を悩ませている」ニューヨークタイムズ

[20] フェアクロス、ジェレミー (2011)。「ツールズ・オブ・ザ・トレード」。侵入テスト担当者のオープンソースツールキット。pp. 1–28。doi :10.1016/ B978-1-59749-627-8.10001-7。ISBN 978-1-59749-627-8。^{[確認するには引用が必要です]}

[21] 「侵入テストの 5 つのフェーズの概要 - Cybrary」。Cybrary。2015年 5 月 6 日。2019 年 4 月 8 日時点のオリジナルよりアーカイブ。2018年 6 月 25 日閲覧。

[22] “GSA HACS SIN 132-45 Services”. 2018年3月1日. 2019年3月23日時点のオリジナルよりアーカイブ。 2018年3月1日閲覧。

[23] “Pen Testing Services”. 2018年3月1日. 2018年6月26日時点のオリジナルよりアーカイブ。 2018年3月1日閲覧。

[24] Wilhelm, Thomas (2013). 「方法論とフレームワーク」。プロフェッショナル侵入テスト。pp. 75–87。doi : 10.1016 / B978-1-59749-993-4.00004-5。ISBN 978-1-59749-993-4。

[25] 「侵入テストの決定版ガイド | Core Sentinel」。Core Sentinel 。 2018年10月23日閲覧。