実際の攻撃と変わらないペネトレーションテスト
国家、犯罪組織、政治活動家、愉快犯的ハッカーは、今日の組織が直面する脅威のほんの一部でしかありません。動機は異なりますが、これらの脅威には共通した優位点があります。それは時間です。
一般的なペネトレーションテストは制限された時間内に実施されますが、BlackBerry® Cybersecurity Consulting の BlackBerry® Red Teaming では時間をかけてペネトレーションテストを実施します。テスターはターゲットを観察し、悪意のある攻撃者と同様に、攻撃が最も効果的な時間帯を選びます。
テスト方法
BlackBerry Cybersecurity のコンサルタントはサービスを開始する前に顧客と連携し、テスト範囲および侵害と混乱の許容レベルを決定します。時間の規模、演習とターゲットの数も決定します。
シミュレーションする攻撃は複数形式で実施する場合があります。
- 電子
- ソーシャルベクター
- 物理的評価
テストによって組織の防御体制について深く理解し、組織のセキュリティ文化や準備態勢について全体的に考慮できるようになります。
リモートの監視と検出
無料で使用できるオンライン情報を可能な限り多く列挙し、組織のデジタルフットプリントと関連付けます。
個人に関する情報を見つける手法で、フィッシングまたは標的型のソーシャルエンジニアリングに利用されます。
一部の従業員に近づいてその従業員を利用し、組織の機密情報を開示します。
攻撃者の視点から組織のインフラストラクチャを評価し、可能な場合はインフラストラクチャを使用します。
トラフィックの傍受を試みて、VPN に使用されている安全なトンネリング手法の暗号化レベルをテストします。
内外からのクライアントサイド攻撃は、ユーザーがリンクをクリック／ドキュメントを開く／悪質な Web サイトに移動するよう誘導します。
テクニカルサポート機能を利用して機密情報を取得し、攻撃に使用します。
現実的かつ強制的な手法を使用して、オンサイトで使用されている AP のワイヤレスキーの解析を試みます。
オンサイト攻撃とテスト
不正アクセスは、共連れ、アクセスカードの複製、なりすまし、脆弱なセキュリティ手法の悪用によって発生します。
テスターはオンサイトへの侵入に成功した場合、サーバールームへのアクセスやその他の脆弱性の特定を試みます。
テスターは機密情報が開示される可能性のある、物理的に保護されていないドキュメントへのアクセスを試みます。
テスターは内部ネットワークへのアクセスに成功した場合、ネットワークの脆弱性を評価して利用します。
デバイスを取得した場合は、デバイス上のアプリケーションを利用して、機密情報を開示します。
組織によって作成されたアプリケーションのソースコードを取得できた場合、潜在的な攻撃者も同じ情報を取得できることになります。
クレジットカードサイズの PC をタワー PC や備品の後ろに隠すことにより、SSH プロトコル経由で内部ネットワークのデータを傍受して送信することができます。
「タイガー」シナリオでは、実際にセキュリティ脅威に直面した場合に組織がどのように対応するかに基づいて、現実的なフィードバックをリアルタイムで入手できます。
