株式会社ラック（本社：東京都千代田区、代表取締役社長 西本 逸郎、以下ラック）は、疑似サイバー攻撃でシステムの安全性検証する自動ペネトレーションテスト（侵入テスト）サービス「ペネトレーションテスト エクスプレス」の提供を2022年3月24日より開始しました。
脆弱性診断やセキュリティソリューションの導入などのセキュリティ対策に取り組んできた企業であっても、マルウェア感染やシステムへの侵入、機密情報の窃取の被害にあい、事業に深刻な影響が出てしまうサイバーセキュリティ事故が後を絶ちません。その中で注目を集めているのが、攻撃者目線での疑似攻撃による侵入と、侵入後の重要情報の窃取を試し、システムの実際のサイバー攻撃への耐性をチェックするペネトレーションテストです。
しかし、ペネトレーションテスト実施にあたっては、調査対象組織ごとに攻撃シナリオを作成し、侵入された場合の被害発生や、どこまで影響が広がるかを検証する必要があり、セキュリティエンジニアの経験や技術力が求められます。攻撃者の人間的な思考や推測が必要なものや、対象システム固有の問題点、対象組織の文化を悪用するような攻撃への耐性を確認するのには有効ですが、テストの準備や手動での疑似攻撃に多くの時間を要し費用もかさみます。さらに企業の担当者にも、自社のシステムやその運用状況、セキュリティ対策内容への理解も求められます。
■ ペネトレーションテスト エクスプレスの特徴
本サービスは、そのような課題に対応するため、自動化ペネトレーションテスト・プラットフォーム「Pentera（ペンテラ）」を採用し、これまでセキュリティエンジニアに頼っていた作業を自動化し、調査期間の短縮とコスト削減を実現します。
自動化ツールが一定基準で検証することで、調査対象のPCやサーバなどの端末の台数が多くとも網羅的にカバーし、調査期間の短縮とコスト削減が可能になります。どこが重要かわからない、コストをかけられない、想定する明確な攻撃シナリオが無くても、侵入された場合の脅威を短期間に効率よく確認したい、その様な課題を持つ組織に最適です。
・ 国際的なフレームワーク「MITRE ATT＆CK（R）」準拠の調査内容
世界中で実際に発生しているサイバー攻撃で使用された膨大な攻撃手法や戦術に関する情報を集約した国際的なフレームワーク「MITRE ATT&CK（R）（マイター・アタック）※」を採用。定義された攻撃手法の一つ一つを自動化すること、それらの攻撃手法の中から適するものを調査対象のシステムの状況に応じて取捨選択し、自律的に組み合わせて実行します。
※MITRE：米国の連邦政府が資金を提供し、国の安全性、安定性、福祉に関する事項に取り組む非営利組織
・ 短期間・低コストの実現
対象となるPCやサーバを1台ずつ手動で調査していた作業を、疑似攻撃の自動化ツールで網羅的に調査します。これにより、調査期間ならびに準備期間を削減し、コストの低減を実現します。
・ ラックが積み重ねてきたペネトレーションテストのノウハウの活用
ペネトレーションテストによって発見された弱点については、改善策の検討や実施が必要となります。本サービスでは、これまでにラックが数多く実施してきたセキュリティサービスの知見に基づき、結果の分析や現在のセキュリティ対策の評価および改善策の検討支援を行います。
脆弱性診断やセキュリティソリューションの導入などのセキュリティ対策に取り組んできた企業であっても、マルウェア感染やシステムへの侵入、機密情報の窃取の被害にあい、事業に深刻な影響が出てしまうサイバーセキュリティ事故が後を絶ちません。その中で注目を集めているのが、攻撃者目線での疑似攻撃による侵入と、侵入後の重要情報の窃取を試し、システムの実際のサイバー攻撃への耐性をチェックするペネトレーションテストです。
しかし、ペネトレーションテスト実施にあたっては、調査対象組織ごとに攻撃シナリオを作成し、侵入された場合の被害発生や、どこまで影響が広がるかを検証する必要があり、セキュリティエンジニアの経験や技術力が求められます。攻撃者の人間的な思考や推測が必要なものや、対象システム固有の問題点、対象組織の文化を悪用するような攻撃への耐性を確認するのには有効ですが、テストの準備や手動での疑似攻撃に多くの時間を要し費用もかさみます。さらに企業の担当者にも、自社のシステムやその運用状況、セキュリティ対策内容への理解も求められます。
■ ペネトレーションテスト エクスプレスの特徴
本サービスは、そのような課題に対応するため、自動化ペネトレーションテスト・プラットフォーム「Pentera（ペンテラ）」を採用し、これまでセキュリティエンジニアに頼っていた作業を自動化し、調査期間の短縮とコスト削減を実現します。
自動化ツールが一定基準で検証することで、調査対象のPCやサーバなどの端末の台数が多くとも網羅的にカバーし、調査期間の短縮とコスト削減が可能になります。どこが重要かわからない、コストをかけられない、想定する明確な攻撃シナリオが無くても、侵入された場合の脅威を短期間に効率よく確認したい、その様な課題を持つ組織に最適です。
・ 国際的なフレームワーク「MITRE ATT＆CK（R）」準拠の調査内容
世界中で実際に発生しているサイバー攻撃で使用された膨大な攻撃手法や戦術に関する情報を集約した国際的なフレームワーク「MITRE ATT&CK（R）（マイター・アタック）※」を採用。定義された攻撃手法の一つ一つを自動化すること、それらの攻撃手法の中から適するものを調査対象のシステムの状況に応じて取捨選択し、自律的に組み合わせて実行します。
※MITRE：米国の連邦政府が資金を提供し、国の安全性、安定性、福祉に関する事項に取り組む非営利組織
・ 短期間・低コストの実現
対象となるPCやサーバを1台ずつ手動で調査していた作業を、疑似攻撃の自動化ツールで網羅的に調査します。これにより、調査期間ならびに準備期間を削減し、コストの低減を実現します。
・ ラックが積み重ねてきたペネトレーションテストのノウハウの活用
ペネトレーションテストによって発見された弱点については、改善策の検討や実施が必要となります。本サービスでは、これまでにラックが数多く実施してきたセキュリティサービスの知見に基づき、結果の分析や現在のセキュリティ対策の評価および改善策の検討支援を行います。
本サービスは、ペネトレーションテストの実施が、時間やコスト、難易度などの理由で行えなかった企業の利用を想定しており、大規模組織の支店や拠点、中堅企業を対象に、初年度50組織2億円の売り上げを目指します。
ラックは、新たなペネトレーションテストサービスの提供を通じ、企業のサイバー攻撃への備えをより高めるための支援を提供してまいります。
■株式会社ラックについて （https://www.lac.co.jp/）
ラックは、システムインテグレーションとサイバーセキュリティの豊富な経験と最新技術で、社会や事業の様々な課題を解決するサービスを提供しています。創業当初から金融系や製造業など日本の社会を支える基盤システムの開発に携わり、近年ではAIやクラウド、テレワークなどDX時代に適した最新のITサービスも手掛けています。また、日本初の情報セキュリティサービス開始から25有余年にわたり、国内最大級のセキュリティ監視センターJSOC、サイバー救急センター、脆弱性診断、ペネトレーションテストやIoTセキュリティなど常に最新のサイバー攻撃対策や事故対応の最前線に立ち、情報セキュリティ分野のリーディング企業としても成長を続けています。
＊ ラック、LAC、JSOCは、株式会社ラックの国内およびその他の国における登録商標または商標です。
＊ その他、記載されている会社名・団体名、製品名などは、各社の登録商標または商標です。
＊ 記載されている情報は、発表時点のものです。その後予告なしに変更となる場合があります。
ラックは、新たなペネトレーションテストサービスの提供を通じ、企業のサイバー攻撃への備えをより高めるための支援を提供してまいります。
■株式会社ラックについて （https://www.lac.co.jp/）
ラックは、システムインテグレーションとサイバーセキュリティの豊富な経験と最新技術で、社会や事業の様々な課題を解決するサービスを提供しています。創業当初から金融系や製造業など日本の社会を支える基盤システムの開発に携わり、近年ではAIやクラウド、テレワークなどDX時代に適した最新のITサービスも手掛けています。また、日本初の情報セキュリティサービス開始から25有余年にわたり、国内最大級のセキュリティ監視センターJSOC、サイバー救急センター、脆弱性診断、ペネトレーションテストやIoTセキュリティなど常に最新のサイバー攻撃対策や事故対応の最前線に立ち、情報セキュリティ分野のリーディング企業としても成長を続けています。
＊ ラック、LAC、JSOCは、株式会社ラックの国内およびその他の国における登録商標または商標です。
＊ その他、記載されている会社名・団体名、製品名などは、各社の登録商標または商標です。
＊ 記載されている情報は、発表時点のものです。その後予告なしに変更となる場合があります。
