セキュリティテスト

セキュリティテストは、情報システムのセキュリティメカニズムの欠陥を検出し、データを保護し、意図したとおりに機能を維持できるようにするためのプロセスです。 ^[1]セキュリティテストの論理的な制限により、セキュリティテストプロセスに合格しても、欠陥が存在しない、またはシステムがセキュリティ要件を適切に満たしていることを示すものではありません。

一般的なセキュリティ要件には、機密性、整合性、認証、可用性、承認、否認防止などの特定の要素が含まれます。^[2]実際にテストされるセキュリティ要件は、システムによって実装されるセキュリティ要件によって異なります。用語としてのセキュリティテストにはさまざまな意味があり、さまざまな方法で実行できます。そのため、セキュリティ分類法は、作業のベースレベルを提供することで、これらのさまざまなアプローチと意味を理解するのに役立ちます。

• 意図した受信者以外の者への情報漏洩を防ぐセキュリティ対策は、セキュリティを確保する唯一の方法ではありません。

情報の完全性とは、情報が権限のない第三者によって改ざんされることを防ぐことを指します。

• システムによって提供された情報が正しいことを受信者が判断できるようにするための手段。
• 整合性スキームでは、機密性スキームと同じ基盤技術がいくつか使用されることがよくありますが、通常は、通信全体をエンコードするのではなく、通信に情報を追加してアルゴリズム チェックの基礎を形成します。
• あるアプリケーションから別のアプリケーションに正しい情報が転送されているかどうかを確認します。

これには、人物の身元を確認したり、遺物の起源を追跡したり、製品がパッケージやラベルに記載されているとおりのものであることを確認したり、コンピュータ プログラムが信頼できるものであることを確認したりすることが含まれる場合があります。

• 要求者がサービスを受けるか、または操作を実行することが許可されているかどうかを判断するプロセス。
• アクセス制御は承認の一例です。

• 情報通信サービスが予定通りに利用可能であることを保証します。
• 情報は、許可された人が必要に応じて利用できるようにしておく必要があります。

• デジタル セキュリティに関して、否認防止とは、転送されたメッセージが、そのメッセージを送受信したと主張する当事者によって送信され、受信されたことを保証することを意味します。否認防止は、メッセージの送信者が後でメッセージを送信したことを否定できず、受信者がメッセージを受信したことを否定できないことを保証する方法です。
• 送信者 ID は通常、メッセージとともに送信されるヘッダーであり、メッセージの送信元を認識します。

セキュリティ テストの実施に使用される一般的な用語:

• 検出- この段階の目的は、範囲内のシステムと使用中のサービスを識別することです。脆弱性を発見することが目的ではありませんが、バージョン検出によってソフトウェア/ファームウェアの非推奨バージョンが強調表示され、潜在的な脆弱性が示される場合があります。
• 脆弱性スキャン- 検出段階に続いて、自動化ツールを使用して既知の脆弱性と条件を一致させることにより、既知のセキュリティ問題を探します。報告されるリスク レベルは、テスト ベンダーによる手動検証や解釈なしで、ツールによって自動的に設定されます。これは、提供された資格情報を使用してサービス (ローカル Windows アカウントなど) で認証することにより、一般的な誤検知の一部を除去する資格情報ベースのスキャンで補完できます。
• 脆弱性評価- 検出と脆弱性スキャンを使用してセキュリティの脆弱性を特定し、その結果をテスト中の環境のコンテキストに配置します。例としては、レポートから一般的な誤検知を削除し、各レポートの検出結果に適用するリスク レベルを決定して、ビジネスの理解とコンテキストを向上させることが挙げられます。
• セキュリティ評価- 脆弱性評価を基に、露出を確認するための手動検証を追加しますが、さらなるアクセスを得るために脆弱性を悪用することは含まれません。検証は、システム設定を確認するためのシステムへの承認済みアクセスの形で行われ、ログ、システム応答、エラー メッセージ、コードなどの検査が含まれます。セキュリティ評価では、テスト対象のシステムを広範囲にカバーすることを目指しますが、特定の脆弱性がもたらす可能性のある露出の深さは考慮しません。
• 侵入テスト-侵入テストは、悪意のある者による攻撃をシミュレートします。前の段階に基づいて、発見された脆弱性を悪用してさらにアクセスします。このアプローチを使用すると、攻撃者が機密情報にアクセスし、データの整合性やサービスの可用性に影響を与える能力と、それぞれの影響を理解できます。各テストは、一貫した完全な方法論を使用してアプローチされ、テスターは問題解決能力、さまざまなツールの出力、ネットワークとシステムに関する独自の知識を使用して、自動化ツールでは特定できない脆弱性を見つけることができます。このアプローチは、より広い範囲を対象とするセキュリティ評価アプローチと比較して、攻撃の深さを調べます。
• セキュリティ監査- 監査およびリスク機能が主導し、特定の制御またはコンプライアンスの問題を調査します。範囲が狭いのが特徴のこのタイプのエンゲージメントでは、これまでに説明したアプローチ (脆弱性評価、セキュリティ評価、侵入テスト) のいずれかを利用できます。
• セキュリティ レビュー- 業界または社内のセキュリティ標準がシステム コンポーネントまたは製品に適用されているかどうかの検証。これは通常、ギャップ分析を通じて行われ、ビルドおよびコード レビューを利用するか、設計ドキュメントとアーキテクチャ図をレビューすることによって行われます。このアクティビティでは、以前のアプローチ (脆弱性評価、セキュリティ評価、侵入テスト、セキュリティ監査) は利用されません。

• コンテナとインフラストラクチャのセキュリティ分析^{[3] [4]}
• SAST - 静的アプリケーション セキュリティ テスト
• DAST - 動的アプリケーション セキュリティ テスト
• IAST - インタラクティブアプリケーションセキュリティテスト^[5]
• DLP - データ損失防止
• IDS、IPS - 侵入検知システム、侵入防止システム
• OSS スキャン - オープンソース ソフトウェア スキャン (オープンソース ソフトウェア セキュリティを参照)
• RASP - ランタイムアプリケーション自己保護
• SCA -ソフトウェア構成分析^[6]
• WAF - ウェブ アプリケーション ファイアウォール

• 国家情報保証用語集