セキュアハッターズ

対象の潰滅を目的とする仮想敵 (レッドチーム) として、セキュリティ上の意味を含む事象（脆弱性）を精緻に探索・徹底的に利用して実際に攻撃を行なうことで、対象の全体的なセキュリティリスクを評価します。

把握した個々の脆弱性は全て詳細に解析した上で国際基準 (CVSS 3) によるリスク評価を行ない、分かりやすい再現例および対策を立案した上でご報告いたします。

また、リスクが高いと考えられる脆弱性については報告書の完成を待たずに一早くお伝えいたします。

レッドチームによる侵入テストでは脆弱性を精緻に探索するだけでなく、発見した脆弱性を最新の知見に基づき創造的かつ徹底的に利用することで対象のリスクを評価します。脆弱性診断と比較すると網羅性は若干欠けますが、想定被害を含めた実戦的で正確なリスク評価が行なえます。

侵入テストは善意のハッキングであり、実行するにはハッカークラスの高いスキルと創造性が要求されます。Secure Hattersでは、国内外CTFで入賞実績を持つハッカークラスのエンジニアを中心にチーミングを行います。

レッドチームによる侵入テストにあたっては国内外のセキュリティ研究者による最新の知見はもちろん、ご要望によりGoogle hackingなどの諜報技術やソーシャルエンジニアリング攻撃なども併用します。

想定脅威の目的・背景・技術レベルなどはご要望に応じてカスタマイズできます。これにより従業員による社内への攻撃・情報収集を目的としたサプライチェーン汚染・スクリプトキディによる荒らし行為など、お客様が想定する具体的な脅威のシナリオに対して効果的な対策が行なえます。

レッドチームによる診断の最終ゴールは、CSIRTなどブルーチームによるお客様組織におけるサイバー攻撃対応能力の向上です。事後のレビュー会にて診断結果のフィードバックとディスカッションを丁寧に行うことにより、事後のレベルアップにつなげていただきます。

レッドチームによる診断は創造的に行われます。以下は実際に行われる攻撃シナリオの一例です。

診断項目	診断内容
Webアプリケーション攻撃	ミドルウェアあるいはWebアプリケーションの脆弱性を利用しWebサーバへ侵入など
ソーシャルエンジニアリング攻撃	フィッシングキャンペーンや詐欺的手法によるマルウェア導入、詐欺的手法によるアカウント奪取、組織内への超小型カメラ・マイク・キーロガー・Wi-Fiアクセスポイント設置による機密情報奪取など
ネットワーク攻撃	設定の問題を使用した内部ネットワークへの侵入、通信傍受による認証情報奪取あるいは権限昇格、通信汚染によるマルウェア導入、疑似攻撃による分析攪乱など
諜報攻撃	検索による機密情報奪取、継続的監視によるマルウェア導入など

レッドチーム