デバイスペネトレーションテスト🔗

サービス概要🔗

デバイスペネトレーションテストの目的は、デバイスのハードウェアおよび/またはソフトウェアの脆弱性が、どのように、またはどの程度侵害に利用され得るかを実証することです。テストには、脆弱性の悪用、ユーザー名とパスワードの発見、通信の弱点、ハードウェア設計上の欠陥の調査が含まれます。目標は、「鎖は最も弱い部分と同じ強さしかない」という概念を証明し、脆弱性評価では特定されなかったセキュリティ上の欠陥を発見することです。

サービス手法🔗

Secureworksは、業界のベストプラクティスと豊富な経験に基づき、社内で開発した手法を用いた多段階アプローチでデバイスペネトレーションテストを実施します。お客様と協力し、対象範囲および対象外のターゲットを決定します。

オープンネットワークサービスの列挙と悪用🔗

Secureworksは、利用可能なネットワークサービスを調査し、侵害につながる可能性のあるお客様ネットワークに関する追加情報を特定します。収集した情報は、ターゲットデバイスの侵害を試みる際に活用されます。使用される技術の例は以下の通りですが、これらに限定されません。

ウェブサーバー：デフォルトのユーザー名とパスワード、ファイルアップロードの脆弱性
パスワード保護されたネットワークサービスのブルートフォース攻撃
脆弱なネットワークサービスの認証バイパス
公開されているエクスプロイトを用いた、古いまたは脆弱なサービスの悪用
ネットワークバックドアの特定と悪用

ネットワークおよびワイヤレス通信🔗

Secureworksは、デバイス通信の監視および操作を通じて、データ漏洩や侵害経路を特定しようとします。通信チャネルには、有線イーサネット、802.11ワイヤレス、Zigbee/ZWave、CANバス、シリアルなどが含まれます。技術例は以下の通りですが、これらに限定されません。

パッシブモニタリング
中間者攻撃によるパケットスニッフィング
暗号化ダウングレード攻撃
認証情報の取得

物理/ハードウェア🔗

Secureworksは、物理設計およびデバイスのハードウェアに存在する脆弱性を特定し、デバイスの侵害を試みます。技術例は以下の通りですが、これらに限定されません。

改ざん検知のバイパス
PCIe、Thunderbolt、USB3などを利用したダイレクトメモリアクセス
デバッグおよびプログラミングの悪用：JTAG、UART、SPI、ICSPなど
直接ストレージ攻撃

ファームウェア🔗

テスト中にSecureworksがファームウェアへアクセスできた場合、ファームウェアをリバースエンジニアリングし、追加攻撃の参考とします。

リモートリテスト🔗

Secureworksは、最終レポートに記載された重大度「高」および「重大」の発見事項に対してのみ、1回の是正措置検証（"RV"）を実施します。主テスト完了後、お客様は90日以内に問題を是正し、RVのスケジューリングおよびSecureworksによるRVの実施を行う必要があります。お客様は、最終レポートの納品から30日以内に、評価担当のSecureworks連絡先へメールでRVリクエストを提出しなければなりません。これを過ぎるとRVの権利は失効します。

注意: Secureworksは、評価がオンサイトで実施された場合でも、RVはリモートでのみ実施します。

スコーピング情報🔗

スコープ	説明
デバイスペネトレーションテスト - 小規模	1台のデバイスに対してテストを実施します。

スケジューリングおよび予約情報🔗

本サービスのスケジューリングに関する情報は、サービススケジューリングをご参照ください。