ペネトレーションテスターは見た！第2回「誰が困る？脆弱性出すぎ問題」

脆弱性が出すぎるという事がいったいどういう事か、恐らく本誌の読者の皆さんなら想像は容易いだろう。

特集コラム

2017.5.24 Wed 8:15

前回のテーマ「脆弱性が見つからないのは○○だから？」はいかがだっただろうか。顧客側の期待とは対象的なペンテスターの苦悩について感じて頂けたと思う。映画やドラマでありがちな、キーボードをガシャガシャ叩いて「侵入成功！」のようなハッキングシーン（註1）は実際はあんまりなく、脆弱性が見つからなくて困るということだって現実のペンテストではよくあるのである。

（註1）ダイハード4の衛星をハックするシーンでハッカーが「脆弱性なさすぎ！さすが衛星の守りは固いわｗ」とかなったら、ブルースウィリスも涙目になること間違いない。でもストーリーの進行上、華麗にハックしなきゃならない。それが映画。

さて、連載2回目となる今回のテーマは前回と真逆の「誰が困る？脆弱性が出過ぎ問題」だ。

脆弱性が出すぎるという事がいったいどういう事か、恐らく本誌の読者の皆さんなら想像は容易いだろう。簡単に言うと、Webアプリやネットワークから情報が漏洩したり改ざんされてしまう可能性が非常に高いということ事だが、既にサービスインしているものだとするともしかしたら実際に何らかの被害に遭っているケースも想定しなければならない。できればそんな状態であって欲しくないと願いつつペンテストや脆弱性診断を受けるわけだが...。

今回はペンテストで脆弱性が出すぎて困ってしまったケースを取り巻く複数の当事者の目線で見ていきたいと思う。これは筆者が体験した、とあるWebアプリ診断で起きた話である。100画面を超える画面で脆弱性の検出とアプリのエラーが多発し、ユーザ企業では開発遅延、予算超過などあらゆる方面での再調整を余儀なくされてしまったケースだ。ペンテスター、ユーザ企業、さらには開発会社も参加するペンテストの報告会はどのような結末を迎えるのか。

ペネトレーションテスターは見た！第2回「誰が困る？脆弱性出すぎ問題」

関連記事

ペネトレーションテスターは見た！第1回「ペンテスターの苦悩～脆弱性が見つからないのは○○だから？」

IPAなどの注意喚起情報では間に合わない～脆弱性を狙う攻撃とその対策（EGセキュアソリューションズ、ジェイピー・セキュア）

NSAの兵器から生まれたランサムウェアが世界で蔓延、MSが緊急パッチ配布～対策方法まとめ：ポート番号からサンプルまで（The Register）

WordPress 4.6 においてPHPMailer の脆弱性により遠隔から任意のコードが実行されてしまう脆弱性（Scan Tech Report）

この記事の写真

関連リンク

特集

アクセスランキング

CrowdStrike Blog：FANCY BEAR（ APT28 ）とは何者か？

学術論文「人間よりも賢く機能するボット：Google の画像ベースの reCAPTCHA v2 を無効化するオンラインシステム」サマリー（The Register）

「ベビータウン」「プレママタウン」にパスワードリスト型攻撃、ポイント交換も判明（ユニ・チャーム）

リコー製プリンタや複合機に任意コード実行などの脆弱性（JVN）

「JTAS Store」に不正アクセス、最大228件のカード情報が流出（日本関税協会）

「Naturas Psychos Product」が偽の決済画面へ誘導される改ざん被害、カード情報が流出（ハーバルインデックス）

ハニーポットへの攻撃数は前年同時期の約12倍--上半期レポート（エフセキュア）

高額なコンサル不要 !? ～ ISOG-J 公開三つの無料ドキュメント活用方法

個人情報記載書類を委託事業者が紛失、今後は書類ではなく暗号化したデータでの報告に切り替え（大阪市）

架空請求の封筒の実物写真のマスキング処理が不適切、特定のソフトで容易に外せる状態に（神奈川県）