ぺねとれーしょんてすと
組織の許可を得て、専門家が実際の攻撃者と同じような方法で対象のシステムに侵入を試み、脆弱性を組み合わせて、どこまで到達できるかを確かめる評価。ツールで既知の脆弱性を広く洗い出す脆弱性スキャン(脆弱性診断)と違い、実際に悪用できるかと、その影響を確かめる。さらに、目標を決めて攻撃者の手口をまね、組織の検知と対応の力まで評価するものは、レッドチーム演習と呼ばれる。
「ペネトレーションテスト」は、1分野の1問の練習問題に出てきます(サイバー攻撃と防御の実務など)。
この用語の分野: サイバー攻撃と防御の実務
正解：B. スキャンは既知の脆弱性を自動で広く探し、ペネトレーションテストは実際に侵入を試み、レッドチーム演習は検知と対応の力まで評価する
脆弱性スキャンは、ツールで多くの機器やソフトウェアを調べ、既知の脆弱性や設定の不備を広く洗い出すもので、定期的に繰り返し行います。ペネトレーションテストは、決めた範囲の対象に対して、専門家が脆弱性を組み合わせて実際に侵入できるか、どこまで到達できるかを確かめます。レッドチーム演習は、「顧客の情報を持ち出す」といった目標を決めて、実際の攻撃者の手口(ATT&CKのテクニックなど)をまね、防御の側(ブルーチーム)が気づいて対応できるかまで評価します。いずれも、事前に範囲と方法について組織の許可を得て行います。
ペネトレーションテストは、決めた範囲の対象に対して、専門家が脆弱性を組み合わせて実際に侵入できるか、どこまで到達できるかを確かめます。
組織の防御を確かめる方法のうち、脆弱性スキャン、ペネトレーションテスト、レッドチーム演習の違いの説明として、正しいもの…Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。
MITRE ATT&CK IoC(侵害の痕跡) EDR(Endpoint Detection and Response) インシデントレスポンス SBOM(ソフトウェア部品表) サイバーキルチェーン サプライチェーン攻撃 SIEM(セキュリティ情報イベント管理) 侵入検知システム(IDS) セキュリティオペレーションセンター