ウェブアプリケーションとAPI
合意した範囲には、ログイン、セッション、アクセス制御、テナント分離、業務ロジック、入力処理を含められます。APIでは関連するオブジェクト、機能、業務フローを検査します。テスト用アカウントと期待される権限は事前に定めます。
検査領域
検査の深さと根拠が分かるペネトレーションテスト
Level 2では、脆弱性が悪用できるか、どの条件で成立するかを調べます。お客様のシステムと目的に合わせて検査領域を選び、攻撃経路、影響、具体的な対応策を明らかにします。
アプリケーションとアクセス権誰がどのデータや機能を利用できるかを検査します。詳細を見る
インフラとクラウド許可されたシステム、ID、信頼関係を調べます。詳細を見る
インフラとクラウド
許可されたシステムについて、合意したサービス、設定、ID、信頼関係を検査します。対象、環境、権限、検査の深さを案件ごとに定めます。クラウド設定の確認と、インフラへの能動的なペネトレーションテストは、それぞれ明確な範囲を設けます。
悪用可能性管理された条件下で、脆弱性の兆候を検証します。詳細を見る
脆弱性評価と悪用可能性の検証
脆弱性の兆候について、対象への該当性と成立条件を確認し、管理された条件下で悪用可能性を検証します。報告書では、確認済みの脆弱性、未確認の観測結果、結論が出ていない検査を明確に区別します。
攻撃経路と防御策合意した防御策がテストにどう反応するかを確認します。詳細を見る
攻撃エミュレーションと攻撃経路
選択した攻撃手順を、合意したシナリオとして構成します。攻撃経路上の前提条件、権限、各段階の移行を検査します。攻撃者の振る舞いを模倣する際は、技法、順序、MITRE ATT&CKとの対応に加え、実行した手順とその証拠も記録します。
BASとセキュリティ対策の検証
Breach and Attack Simulation（BAS）と防御策の検証では、合意した対策が定義済みのテストにどう反応するかを調べます。実行、遮断、ログ記録、アラートの受信を別々に評価します。必要なログやその他の証拠は事前に合意します。
成果物
合意した検査について、証拠付きの検出事項、未解決の点、優先順位付きの対応策をまとめた明確な報告書。調査した攻撃経路と防御策の反応には、裏付けとなる証拠を添えます。
検査範囲と進め方
書面で合意したシステムとシナリオを検査します。修正は別途ご依頼いただけます。
リスクと優先順位
技術的な影響、到達可能性、業務上の重要度を踏まえて優先順位を付けます。該当するCVEの評価には、CVSS、EPSS、CISA KEVを活用します。テナント分離の不備などCVEのない問題も、お客様のシステムの状況に照らして評価します。
報告と再検証
経営層向けの概要、技術的な証拠、検査範囲、未解決の点、優先順位付きの対応策をまとめた、ドイツ語または英語の報告書をお届けします。合意した再検証では、当初の目的に照らして修正を確認します。変更作業はCyberkern Fixとして別途ご依頼いただけます。
目的に合った検査範囲
お問い合わせフォームにプロジェクトの概要をお知らせください。検査領域、システム、権限、対象外の項目、実施時間帯、中止条件を書面で合意します。対象は選択した検査です。包括的なレッドチーミング、秘匿した長期活動、無制限の攻撃は含みません。
どのシステムを検査したいですか？
対象システム、検査範囲、日程を書面で合意します。