ASM・脆弱性診断・ペネトレーションテストの違い
目次
見積もりを取ると、ASM、脆弱性診断、ペネトレーションテストが同じ「セキュリティ診断」として並ぶことがあります。課金の形も金額の幅も、返ってくる報告書の形も違います。
3つは競合しているわけではなく、確かめようとしているものがそれぞれ別です。何を頼むのかを揃えておくと、見積もりの数字を比べられるようになります。
3つは、どこまで踏み込むかと、続けて見るかで分かれる
よくある提供の形で並べると、ASM は外から見える範囲を継続的に監視し、脆弱性診断は決めた範囲を期間を区切って体系的に確認し、ペネトレーションテストは悪用が通るところまで踏み込みます。同じ言葉で並んでいても、止まる場所が違います。
図1：よくある提供の形で比べた、踏み込む深さと周期
ASM だけが、対象の一覧を作るところから始まる
脆弱性診断もペネトレーションテストも「ここを見てください」と渡すところから始まりますが、ASM は起点のドメインを登録して、そこから外に見える関係を辿って自動で広げます。台帳に載っていないサブドメインや、買収で引き継いだドメインほど、この工程で拾う対象になります。
図2：範囲の決め方の違い（渡された範囲を見る／起点から辿って一覧を作る）
深掘り：ASM が見ない場所
起点そのものは渡す必要があり、外から関係が見えない別のドメインは自動では見つからないので、手で足すことになります。
1つの対象を掘る深さよりも、外部に公開されている面を広く継続して捉えることを優先します。ログインの手前まで、壊さない範囲で見るのが基本で、代わりに毎日見ます。入口の数と状態は毎日変わるので、変化を捉えることに向いています。
詳しくはアタックサーフェスマネジメント（ASM）とはで書いています。
ペネトレーションテストは、弱点をつないだ経路を示す
ひとつずつ見れば大したことのない設定が、組み合わせると目標まで通ってしまいます。その事実と、辿った経路を返すのがペネトレーションテストです。
図3：単体では小さい弱点が、つながって目標に届く
深掘り：「侵入できなかった」が意味しないこと
網羅を目的にしていないので、その期間・その条件では目標に届く経路が見つからなかった、という結果になります。欠陥が無いことにはなりません。
最後まで到達しなかった場合も、試した内容とどこまで進めたかが報告されます。診断が確認した範囲と欠陥の一覧を返すのに対して、ペネトレーションテストはどこから入って、どこを経由して、何に届いたかを返します。
3つは選ぶものではなく、順番に使うもの
対象がはっきりしているなら診断やペネトレーションテストをそのまま頼めばよく、ASM が要るのは外部に公開しているもの全体を対象にしたいのに、その一覧が無いときです。一覧ができて重要な面が見えてから、深く見るべき箇所に診断を当て、本当に届いてしまうのかを確かめたい場面でペネトレーションテストを使います。
図4：一覧の有無で入口が変わり、その先は同じ順番でつながる
PentaTrail が担うのは、発見と非破壊で届く範囲の再現まで
登録された起点から外部の資産を広げて発見し、日次で監視して、変化と脆弱性の候補を出します。CTEM プランでは条件に合うものを遠隔から非破壊の範囲で再現しますが、再現できなかったことは安全を意味しません。
図5：PentaTrail が届く線と、その先を担うもの
ログインの先には入りませんし、データを書き換える経路も踏みません。仕様を預かっていないので、その業務でだけ許されない操作も判定できません。認証後の作り込みを確かめたいなら診断が、目標への到達を実証したいならペネトレーションテストが、それぞれ別に必要です。
付録：6観点の比較と、レッドチーム演習
表2：ASM・脆弱性診断・ペネトレーションテストの比較
| 観点 | ASM | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|---|
| 対象の決め方 | 起点を渡し、その先は自動で広げる | 依頼側が決めて渡す | 渡された範囲、または到達目標 |
| よくある形 | 継続して見る（日次など） | 期間を区切って実施 | 期間を区切って実施 |
| 深さ | 外から見える範囲 | 決めた観点で範囲内を体系的に | 実際に悪用できるかまで踏み込む |
| 成果 | 資産の一覧と変化 | 確認した範囲と見つかった欠陥 | 悪用できた事実と、辿った経路 |
| 網羅性 | 資産については広い | 合意した観点の範囲で高い | 網羅を目的にしない |
| よくある課金 | 月額 | 1回あたり | 1回あたり |
並べたのはよくある形で、定義ではありません。診断を定期実行の形で契約することも、ペネトレーションテストを継続的な枠で頼むこともあります。
レッドチーム演習と TLPT
同じ「攻撃を試す」でも、レッドチーム演習は性格が違います。脅威情報にもとづいて実際の攻撃者の筋書きを組み、気づかれないように動き、人や手順も含めた組織全体を対象にして、守る側の検知と対応まで動かします。
脅威ベースのペネトレーションテスト（TLPT）は、このレッドチーム型にあたります。欧州の TIBER-EU のように、脅威情報を起点として防御・検知・対応の能力まで試す形を定めた枠組みがあり、規制の厳しい業種から広まって、いまは業種を問わず使われています。範囲を区切った通常のペネトレーションテストとは、脅威情報を使うか、隠密性を求めるか、人と手順まで含めるか、防御側を動かすかで分かれます。
