ペネトレーションテスターは見た! 第2回「誰が困る? 脆弱性出すぎ問題」 | ScanNetSecurity
2024.04.16(火)

ペネトレーションテスターは見た! 第2回「誰が困る? 脆弱性出すぎ問題」

脆弱性が出すぎるという事がいったいどういう事か、恐らく本誌の読者の皆さんなら想像は容易いだろう。

特集 コラム
ペネトレーションテスター on サンセットビーチ(筆者近影)
ペネトレーションテスター on サンセットビーチ(筆者近影) 全 1 枚 拡大写真
前回のテーマ「脆弱性が見つからないのは○○だから?」はいかがだっただろうか。顧客側の期待とは対象的なペンテスターの苦悩について感じて頂けたと思う。映画やドラマでありがちな、キーボードをガシャガシャ叩いて「侵入成功!」のようなハッキングシーン(註1)は実際はあんまりなく、脆弱性が見つからなくて困るということだって現実のペンテストではよくあるのである。

(註1)ダイハード4の衛星をハックするシーンでハッカーが「脆弱性なさすぎ!さすが衛星の守りは固いわw」とかなったら、ブルースウィリスも涙目になること間違いない。でもストーリーの進行上、華麗にハックしなきゃならない。それが映画。

さて、連載2回目となる今回のテーマは前回と真逆の「誰が困る?脆弱性が出過ぎ問題」だ。

脆弱性が出すぎるという事がいったいどういう事か、恐らく本誌の読者の皆さんなら想像は容易いだろう。簡単に言うと、Webアプリやネットワークから情報が漏洩したり改ざんされてしまう可能性が非常に高いということ事だが、既にサービスインしているものだとするともしかしたら実際に何らかの被害に遭っているケースも想定しなければならない。できればそんな状態であって欲しくないと願いつつペンテストや脆弱性診断を受けるわけだが...。

今回はペンテストで脆弱性が出すぎて困ってしまったケースを取り巻く複数の当事者の目線で見ていきたいと思う。これは筆者が体験した、とあるWebアプリ診断で起きた話である。100画面を超える画面で脆弱性の検出とアプリのエラーが多発し、ユーザ企業では開発遅延、予算超過などあらゆる方面での再調整を余儀なくされてしまったケースだ。ペンテスター、ユーザ企業、さらには開発会社も参加するペンテストの報告会はどのような結末を迎えるのか。

《株式会社キーコネクト 代表取締役 利根川義英》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 東芝テックが利用するクラウドサービスに不正アクセス、取引先や従業員の個人情報が閲覧された可能性

    東芝テックが利用するクラウドサービスに不正アクセス、取引先や従業員の個人情報が閲覧された可能性

  2. マリンネットサイトに SQL インジェクション攻撃、メールアドレス流出

    マリンネットサイトに SQL インジェクション攻撃、メールアドレス流出

  3. 「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント ~ JPAAWG 6th General Meeting レポート

    「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント ~ JPAAWG 6th General Meeting レポート

  4. 山田製作所にランサムウェア攻撃、「LockBit」が展開され複数のサーバのデータが暗号化

    山田製作所にランサムウェア攻撃、「LockBit」が展開され複数のサーバのデータが暗号化

  5. プルーフポイント、マルウェア配布する YouTube チャンネル特定

    プルーフポイント、マルウェア配布する YouTube チャンネル特定

  6. 警察庁、サイバー事案通報の統一窓口を設置

    警察庁、サイバー事案通報の統一窓口を設置

  7. 委託事業者が回収処理した国民健康保険証、拾得物として警察署に届く

    委託事業者が回収処理した国民健康保険証、拾得物として警察署に届く

  8. チラシ記載の QR コードを誤って管理者用 URL から作成、申込者の個人情報が閲覧可能に

    チラシ記載の QR コードを誤って管理者用 URL から作成、申込者の個人情報が閲覧可能に

  9. マイクロソフトが 4 月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性が 1 件

    マイクロソフトが 4 月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性が 1 件

  10. 日水コン コーポレートサイトに不正アクセス、個人情報一部流出の可能性

    日水コン コーポレートサイトに不正アクセス、個人情報一部流出の可能性

ランキングをもっと見る