はじめに – なぜこのドメインが重要なのか？
CISSP学習者の皆さん、こんにちは！
これまでのドメインで、セキュリティの原則を学び、セキュアなシステムやネットワークを設計・構築する方法を見てきました。しかし、セキュリティは「作って終わり」ではありません。
構築したセキュリティ対策が本当に効果的に機能しているのか、新たな脆弱性は存在しないかを定期的に確認することが非常に重要です。CISSPドメイン6「セキュリティ評価とテスト」は、まさにこの「確認プロセス」に焦点を当てたドメインです。
このドメインでは、システムやネットワークに潜む弱点（脆弱性）を見つけ出す方法や、実際の攻撃をシミュレーションしてセキュリティ対策の有効性を検証する方法、さらには組織のセキュリティポリシーや標準への準拠状況を確認する監査といった様々な手法を学びます。
「テスト」と聞くと少し専門的に感じるかもしれませんが、安全なシステム運用には欠かせない視点です。この記事では、ドメイン6の主要な概念や手法を、分かりやすく解説していきます。一緒に「本当に安全か」を確認するための方法を学んでいきましょう！
ドメイン6の主要なテーマを深掘り
ドメイン6は、セキュリティの「検証」に関する様々な活動を含んでいます。
1. セキュリティ評価とテストの基本
システムやネットワークのセキュリティ状態を把握し、改善するために行われる活動全般を指します。
評価とテストの目的と計画
- 目的：
- システムやネットワークに存在する脆弱性を特定する。
- 導入したセキュリティコントロールが期待通りに機能しているかを検証する。
- 組織のセキュリティポリシーや標準、規制への準拠状況を確認する。
- 潜在的なリスクを評価し、改善の優先順位を決定する。
- 計画：評価やテストを行う前には、目的、範囲（スコープ）、期間、担当者、使用ツール、報告方法などを明確に定めた計画を策定することが不可欠です。特に、影響を最小限に抑えるための配慮が重要です。
セキュリティ評価の種類（脆弱性評価、ペネトレーションテストなど）
ドメイン6で扱う主な手法には、以下のようなものがあります。
- 脆弱性評価（Vulnerability Assessment）：システムやネットワークに存在する既知の脆弱性を特定するプロセスです。通常、自動化されたツールを使用して行われます。
- ペネトレーションテスト（Penetration Testing）：システムやネットワークに対して、実際の攻撃者が行うような手法を用いて侵入を試み、セキュリティ対策を回避できるか、脆弱性を悪用できるかを検証するテストです。「侵入テスト」とも呼ばれます。
- セキュリティ監査（Security Audits）：組織のセキュリティポリシー、手順、標準などが適切に定義・実施されているか、そしてそれらが規制や業界標準（例：ISO 27001）に準拠しているかを確認する体系的なプロセスです。
脆弱性評価は「どこに穴があるか」を見つけることに重点を置き、ペネトレーションテストは「その穴を実際に悪用できるか」を試す点に違いがあります。
2. 脆弱性評価（Vulnerability Assessment）
システムやアプリケーションのセキュリティ上の弱点を発見するプロセスです。
脆弱性スキャンツールとその利用
- 自動化された脆弱性スキャンツール（例：Nessus, OpenVASなど）は、既知の脆弱性のデータベースと照合し、対象システムに存在する可能性のある脆弱性をリストアップします。
- ネットワークデバイス、サーバーOS、ミドルウェア、アプリケーションなど、様々な種類のシステムに対してスキャンが可能です。
- ツールの設定（スキャンの深さ、対象ポートなど）によって結果が異なります。
脆弱性の特定、分析、優先順位付け
- スキャン結果には誤検知（False Positive）が含まれることがあるため、ツールが出力した脆弱性リストを人間の専門家が分析し、誤検知を除外し、実際の脅威となるものを特定します。
- 特定された脆弱性に対して、その悪用された場合の影響度と、悪用される可能性を評価し、リスクレベルを算出します。
- リスクレベルに基づいて、対処すべき脆弱性の優先順位を決定します。リスクの高いものから優先的に修正します。
3. ペネトレーションテスト（Penetration Testing）
実際の攻撃をシミュレーションして、セキュリティ対策の有効性を検証する実践的なテストです。
ペネトレーションテストの種類（ブラックボックス、ホワイトボックスなど）
テスト実施者が持つ情報量によって分類されます。
- ブラックボックステスト（Black-box Testing）：テスト対象システムに関する事前の情報をほとんど持たずに実施します。外部の攻撃者が、ゼロ知識からどこまで侵入できるかをシミュレーションするのに適しています。
- ホワイトボックステスト（White-box Testing）：テスト対象システムのアーキテクチャ、ネットワーク構成図、ソースコードなどの詳細な情報をすべて共有された状態で実施します。内部不正や、特定のターゲットに対する高度な攻撃をシミュレーションするのに適しています。システム内部の脆弱性を徹底的に洗い出せます。
- グレーボックステスト（Gray-box Testing）：ブラックボックスとホワイトボックスの中間に位置し、テスト対象に関する限定的な情報（例：ユーザーアカウント情報、URLリストなど）を共有された状態で実施します。内部ユーザーが持つ権限からのアクセスや、特定のグループを狙った攻撃をシミュレーションするのに適しています。
テストのフェーズ（計画、偵察、攻撃、報告）
ペネトレーションテストは、一般的に以下のフェーズで進行します。
- 計画および偵察（Planning and Reconnaissance）：テストの目的、範囲、ルールを定義し、テスト対象に関する情報を収集します（公開情報、OSINTなど）。
- スキャンと脆弱性分析（Scanning and Vulnerability Analysis）：収集した情報に基づき、ポートスキャンや脆弱性スキャンなどを行い、潜在的な侵入経路や脆弱性を特定します。
- 侵入と攻撃（Gaining Access and Attack）：特定した脆弱性を実際に悪用してシステムに侵入し、目的達成（例：機密情報の窃取、権限昇格）を目指します。
- アクセス維持と足跡除去（Maintaining Access and Covering Tracks）：侵入後もアクセスを維持する方法を模索し、同時に自身が行った活動の痕跡を可能な限り消去します（実際の攻撃者の行動を模倣）。
- 分析と報告（Analysis and Reporting）：テスト中に発見した脆弱性、侵入経路、悪用方法などを詳細にまとめ、リスク評価を行い、推奨される対策と併せて報告書を作成します。
重要な考慮事項（ルール・オブ・エンゲージメント、合法性）
ペネトレーションテストを実施する上で、最も重要なのは合法性と事前の同意です。
- ルール・オブ・エンゲージメント（Rules of Engagement: RoE）：テストを実施する側とされる側の間で、テストの範囲、期間、実施方法、連絡体制、緊急停止手順などを詳細に合意した正式な文書です。テスト対象に損害を与えないための制約なども含みます。RoEなしにペネトレーションテストを行うことは、不正アクセス行為となり得ます。
- テストは、必ず書面による明確な許可を得た上で実施する必要があります。
- テスト担当者は、倫理規定を遵守し、合意された範囲外の活動は行いません。
4. セキュリティ監査（Security Audits）
組織のセキュリティ対策が、設定されたポリシーや外部の標準に準拠しているかを確認します。
監査の目的と種類（内部監査、外部監査）
- 目的：組織が定めたセキュリティポリシーや手順が守られているか、業界標準や規制（ISO 27001、PCI DSSなど）への準拠を満たしているかなどを確認し、セキュリティ管理プロセスの有効性を評価することです。
- 内部監査：組織内の監査担当者が実施します。自己評価や継続的な改善を目的とします。
- 外部監査：独立した第三者機関が実施します。認証取得（例：ISO 27001認証）や、顧客/規制当局への報告（例：SOC 2レポート）などを目的とします。より客観的で信頼性が高いとされます。
監査プロセスと標準（例：ISO 27001監査）
- 監査計画 -> 現場での証拠収集（文書レビュー、インタビュー、観察、ログ分析など） -> 監査結果の分析 -> 報告書の作成 -> 改善勧告とフォローアップ、といったプロセスで進行します。
- ISO 27001のような情報セキュリティマネジメントシステム（ISMS）の標準は、監査のフレームワークや基準を提供します。
5. セキュリティコントロールのテスト
ドメイン3で学んだ様々な種類のセキュリティコントロール（管理、技術、物理）が、意図した通りに機能しているかをテストします。
- 管理的コントロールのテスト：セキュリティポリシーや手順書が最新か、従業員が教育を受けているか、アクセス権限管理の手順が守られているかなどを、文書レビューやインタビュー、観察を通じて確認します。
- 技術的コントロールのテスト：ファイアウォールルールの有効性、IDS/IPSの検知能力、認証システムの機能、暗号化が正しく適用されているかなどを、設定レビュー、脆弱性スキャン、ペネトレーションテストを通じて確認します。
- 物理的コントロールのテスト：入退室管理システムのログチェック、監視カメラの機能確認、警備員の配置状況確認、物理的な侵入の試み（合法的な範囲で）などを通じて確認します。
6. コードレビューと分析
アプリケーションのソースコードや実行ファイルを分析し、セキュリティ上の欠陥を発見する手法です。
静的解析（Static Analysis）
- ソースコードやバイナリコードを、実行せずにツールや人間の目で分析します。
- 既知の脆弱性パターン（例：バッファオーバーフロー、SQLインジェクションの可能性のあるコード）や、コーディング規約からの逸脱などを自動的に検出できます。
- 開発の早期段階で脆弱性を発見できるメリットがあります。
動的解析（Dynamic Analysis）
- アプリケーションを実際に実行して、その挙動を監視・分析します。
- ファジング（入力データにランダムなデータを大量に与えてクラッシュなどを誘発するテスト）や、Webアプリケーションスキャナーによる実行時テストなどがあります。
- 実際の実行環境での脆弱性（実行時のエラー、リソースリークなど）や、静的解析では見つけにくい脆弱性（例：認証不備、セッション管理の不備）を発見できます。
7. セキュリティ評価結果の分析と報告
テストや監査で得られた結果を適切に評価し、関係者に分かりやすく伝えることは、改善活動を進める上で非常に重要です。
結果の解釈とリスク評価
- 検出された脆弱性や課題が、システムや組織全体にどのようなリスクをもたらすかを評価します。
- 脆弱性の技術的な深刻度だけでなく、ビジネスへの影響度や悪用されやすさなども考慮して、総合的なリスクレベルを判断します。
- 発見された問題点の根本原因を特定することも重要です。
関係者への効果的な報告
- 報告書の構成や内容は、対象となる関係者（経営層、技術チーム、監査担当者など）に合わせて調整します。
- 経営層向けには、ビジネスへの影響やリスクの要約、推奨される対策の概要を分かりやすく伝えます。
- 技術チーム向けには、脆弱性の詳細、再現手順、影響範囲、具体的な修正方法などを明確に記述します。
- 発見された問題点に対して、具体的な改善策と優先順位を提示することが報告の重要な目的です。
まとめ
CISSPドメイン6「セキュリティ評価とテスト」は、「セキュリティ対策が本当に効果があるのか？」という問いに答えるための実践的な手法が集まったドメインです。
脆弱性評価でシステムの弱点を見つけ、ペネトレーションテストで攻撃をシミュレーションし、監査でプロセスや準拠状況を確認する。これらの活動は、単に問題点を発見するだけでなく、組織のセキュリティレベルを継続的に向上させていくためのPDCAサイクルを回す上で不可欠です。
特に、ペネトレーションテストにおける「ルール・オブ・エンゲージメント」の重要性や、脆弱性評価とペネトレーションテストの違いなどは、CISSP試験でもよく問われるポイントです。それぞれの評価手法の目的、メリット、デメリットをしっかり理解しましょう。
このドメインの学習のポイント
- 脆弱性評価（VA）とペネトレーションテスト（PT）の目的、手法、違いを明確に理解する。
- ペネトレーションテストの種類（ブラックボックス、ホワイトボックス、グレーボックス）と、それぞれのシナリオへの適用方法を把握する。
- ペネトレーションテストの各フェーズ（計画、偵察、攻撃、報告など）の内容を説明できるようになる。
- ペネトレーションテストにおける「ルール・オブ・エンゲージメント（RoE）」の重要性と、合法性の必要性を理解する。
- セキュリティ監査の目的、種類（内部、外部）、そして一般的なプロセスを理解する。
- 管理的、技術的、物理的コントロールがどのようにテストされるかを理解する。
- 静的解析と動的解析の違い、そしてそれぞれがどのような脆弱性発見に適しているかを理解する。
- セキュリティ評価の結果を、リスクの観点から分析し、効果的に報告する重要性を理解する。
これらのポイントを意識して学習を進めることで、ドメイン6の内容がより深く理解できるはずです。
演習問題に挑戦！
それでは、ドメイン6の理解度を確認するための演習問題に挑戦してみましょう。解説を参考に、知識を定着させてください。
問題
Q1: システムやネットワークに対して、既知のセキュリティ上の弱点を自動的にスキャンし、リストアップするプロセスは主に何と呼ばれますか？
1. ペネトレーションテスト
2. 脆弱性評価
3. セキュリティ監査
4. コードレビュー
Q2: ペネトレーションテストの種類のうち、テスト実施者がターゲットシステムに関する事前の情報をほとんど持たずに、外部の攻撃者を模倣して実施するテストはどれですか？
1. ホワイトボックステスト
2. グレーボックステスト
3. ブラックボックステスト
4. 内部テスト
Q3: ペネトレーションテストを開始する前に、テストの範囲、方法、期間、緊急連絡先などをテスト依頼者とテスト実施者の間で正式に合意した文書は何と呼ばれますか？
1. 契約書（Contract）
2. 秘密保持契約（NDA）
3. セキュリティポリシー（Security Policy）
4. ルール・オブ・エンゲージメント（RoE）
Q4: ペネトレーションテストの初期フェーズで、テスト対象に関する公開情報（Webサイト、DNS情報など）やその他の情報を収集する活動は、どのフェーズに該当しますか？
1. 攻撃（Gaining Access）
2. 偵察（Reconnaissance）
3. アクセス維持（Maintaining Access）
4. 報告（Reporting）
Q5: 組織が定めたセキュリティポリシーや手順が守られているか、また規制や業界標準（ISO 27001など）に準拠しているかを体系的に確認するプロセスは主に何と呼ばれますか？
1. 脆弱性評価
2. ペネトレーションテスト
3. セキュリティ監査
4. リスク分析
Q6: アプリケーションのソースコードを、実際に実行することなくツールや人間の目で分析し、脆弱性を見つけ出す手法はどれですか？
1. 動的解析（Dynamic Analysis）
2. 静的解析（Static Analysis）
3. ファジング（Fuzzing）
4. ペネトレーションテスト
Q7: 組織内のユーザーが持つ権限からの視点で、システムのセキュリティ対策を評価したい場合に最も適したペネトレーションテストの種類はどれですか？
1. ブラックボックステスト
2. ホワイトボックステスト
3. グレーボックステスト
4. 外部テスト
Q8: 脆弱性スキャンによって多くの脆弱性が発見された後、最初に行うべき重要な活動は何ですか？
1. 直ちにすべての脆弱性を修正する。
2. 発見された脆弱性が誤検知でないか分析・確認し、リスクに基づいて優先順位を付ける。
3. 脆弱性スキャンツールを別のものに変更して再スキャンする。
4. ペネトレーションテストに直ちに進む。
Q9: 従業員がセキュリティポリシーに記載されたパスワード変更手順を守っているか、定期的にパスワードを変更しているかなどを確認する活動は、セキュリティコントロールのどの種類のテストにあたりますか？
1. 技術的コントロールのテスト
2. 物理的コントロールのテスト
3. 管理的コントロールのテスト
4. 自動化されたテスト
Q10: セキュリティ評価プロセスにおいて、システムやネットワーク機器のログをレビューする主な目的は何ですか？
1. ログストレージの容量を確認するため。
2. 不正アクセスや異常な活動の兆候がないかを確認するため。
3. ログ記録設定の変更履歴を確認するため。
4. ネットワーク帯域幅の使用状況を把握するため。
解答と解説
Q1の解答：2
解説：システムやネットワークに存在する既知の脆弱性を自動的にスキャンし、リストアップするプロセスは「脆弱性評価（Vulnerability Assessment）」です。ペネトレーションテストは脆弱性を悪用して侵入を試みます。セキュリティ監査はポリシー準拠などを確認します。コードレビューはソースコードの欠陥を探します。
Q2の解答：3
解説：事前の情報をほとんど持たずに外部の攻撃者を模倣するテストは「ブラックボックステスト」です。ホワイトボックステストは全情報、グレーボックステストは一部情報を持って実施します。
Q3の解答：4
解説：ペネトレーションテスト実施前にテストの範囲、方法、緊急手順などを明確に合意した正式な文書は「ルール・オブ・エンゲージメント（RoE）」です。これは法的な問題やシステムへの意図しない影響を防ぐために非常に重要です。
Q4の解答：2
解説：ペネトレーションテストの初期フェーズで情報収集を行うのは「偵察（Reconnaissance）」フェーズです。攻撃はその後のフェーズです。
Q5の解答：3
解説：セキュリティポリシーや標準、規制への準拠状況を体系的に確認するプロセスは「セキュリティ監査」です。
Q6の解答：2
解説：ソースコードを実行せずに分析するのは「静的解析（Static Analysis）」です。動的解析は実行しながら分析します。
Q7の解答：3
解説：組織内のユーザー視点を模倣する場合、限定的な情報（ユーザー権限など）を持ってテストする「グレーボックステスト」が最も適しています。ホワイトボックスは全情報、ブラックボックスはほぼ情報なしです。
Q8の解答：2
解説：脆弱性スキャン結果は誤検知や優先順位付けが必要なため、直ちにすべてを修正するのではなく、分析・確認してリスクに基づいて対応の優先順位を決定することが最初の重要な活動です。
Q9の解答：3
解説：パスワードポリシーの遵守確認など、組織の方針や手順に関するテストは「管理的コントロールのテスト」にあたります。技術的コントロールは技術的な仕組み、物理的コントロールは物理的な対策のテストです。
Q10の解答：2
解説：セキュリティ評価においてログをレビューする主な目的は、不正アクセス試行、異常な操作、セキュリティイベントなどの兆候がないかを確認し、潜在的な問題を特定するためです。
ドメイン6の演習問題、いかがでしたか？ 「セキュリティ評価とテスト」は、他のドメインで学んだ対策が機能しているかを検証する実践的な領域です。それぞれのテスト手法の目的と特徴をしっかり理解し、効果的なセキュリティ検証ができるようになりましょう。
CISSP合格に向けて、引き続き頑張ってください！
コメント