ペネトレーションテスターは見た！ 第3回「ペンテスターだって負ける日もある。だって人間だもの。」
実は、筆者の10年以上の長いペネトレーションテスターキャリアにおいて、これが初めての負け試合だった。そして、まだこの時点ではさらに半年後にまさか2つ目が待っていようとは筆者自身知る由もなかったのである。
特集
コラム
「海から上がったら昆布絡まった画像」を見てもらえれば思い出してもらえると思うが、この 1 年余りの間に弊社（といっても私しかいない （註 1 ） が）におきた出来事をお話したいと思う。タイトルで察して頂けたかもしれないが、今回はペネトレーションテスターとしての敗北、つまり「侵入できなかった」話だ。
（註 1 ）正確には私しかいなかった。今年の 4 月に従業員の採用をしたので現在は社員 3 名！
■敗北の日は突然に
丁度前回の記事が公開された翌月のことである。とある企業からセキュリティ診断（ペンテスト）の相談を頂いたのでお打合せに伺った。今回の相談は、スマートフォンアプリの API に対する診断だ。API の診断なら Web アプリの診断と（ほぼ）同様の工程 （註 2 ） で作業もできるし、検出される脆弱性も似たようなもの （註 3 ） で、ただちょっと作業そのものの効率化ができるかどうか微妙 （註 4 ） だった。
（註 2 ）通常の Web アプリの診断と違ってアプリでの検証の場合 SSL/TLS の通信のインターセプトができるかどうか微妙なケースがある。
（註 3 ）とはいえ、サーバからのレスポンスをアプリが受け取った際の挙動が仕様通りかどうかの判断が難しいケースがある。API 診断の場合は事前の調整で API の仕様などを公開してもらうケースが多い。今回も公開してもらえるように調整を行った。
（註 4 ）API そのものに認証トークンや改ざん検知の signature などが付いている場合、繰り返し送信する事が難しくなるので手間が通常よりもかかることがある。
打合わせをしてみると、いつも通り診断ができそうだと分かったため、依頼企業から検証用アプリをもらって自社の検証用 iPhone にインストール ＆ 疎通の確認まであっさりと完了した。
ソース・関連リンク
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
国際天然ガス圧縮施設がランサムウェアで２日間停止、感染拡大一部始終と不幸中の幸い（The Register）
アメリカ国土安全保障省が先日公開したこの事件は、とある天然ガスプラントで最近起きたランサムウェアへの感染に関するものだ。
-
米南部文化「ミミズ集め競争」を応用、マルウェア視点の研究成果
もし、どこかに「マルウェアを集める名人」がいるとしたら、セキュリティにおいて重宝な存在ではないだろうか。
-
厳格化するサイバー規制とダークウェブ活動、そこに相関は？
犯罪防止や安全保障を名目にインターネット規制を敷く国が増加している。そして、その動向に呼応する形でこれらの国ではサーフェスウェブやダークウェブの活用に変化が見られるという。
-
Pandora FMS 7.0 NG のトラフィック管理機能の設定画面における OS コマンドインジェクションの脆弱性（Scan Tech Report）
2019 年 12 月に、ネットワーク監視ソフトウェアである Pandora FMS 7.0 NG に遠隔から任意の OS コマンドが実行可能となる脆弱性が公開されています。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
リコー製プリンタおよびドライバに複数の脆弱性（JVN）
「ZyXEL NAS」に任意のコマンドを実行される脆弱性（JVN）
「Apache Tomcat」に複数の脆弱性、CVE-2020-1938には注意喚起も（JVN）
2019年Q4フィッシング「緊急あおるパスワード変更依頼」最多（KnowBe4 Japan）
「TMVP」にDLL Side-Loadingに関する脆弱性（トレンドマイクロ）
複数の製品にDLLハイジャックの脆弱性（トレンドマイクロ）
インシデント・事故 記事一覧へ
カード会員向けWebサイトへ不正ログイン、アクセス元の通信は遮断済（トヨタファイナンス）
ネットストアへ不正アクセス、2018年12月から半年分の決済情報流出（恋する豚研究所）
「世界のワイン葡萄屋」に不正アクセス、658名分のカード情報が流出（フィオーロ）
不正アクセスで12月からサービス停止「ハッピー・ホテル」、一部機能のみ先行し再開（アルメックス）
USBメモリ紛失も公表日の夜に無事発見（セントラル警備保障）
大学入試受験者へ面接案内誤送信、200名のアドレス流出（琉球大学）
調査・レポート・白書 記事一覧へ
アクセス観測状況、2020年1月期はDoS攻撃被害検知が12％増加（警察庁）
2019年後半、消費税増税に伴うシステム障害29件を含む89件発生（IPA）
6割が過去に入手した認証情報で侵入、OTへの攻撃は前年の20倍に（日本IBM）
Webサイトで検知されるスキミング用ファイルが急増（カスペルスキー）
Telnetへの攻撃がわずかに増加、引き続きIoT機器を狙う攻撃が顕著（NICT）
不正アクセス原因「設定不備」と並び「不明」もトップ、究明の難しさ反映（IPA）
研修・セミナー・カンファレンス 記事一覧へ
Interop Tokyo 2020 開催中止、新型コロナウイルスの影響（ナノオプト・メディア）
米南部文化「ミミズ集め競争」を応用、マルウェア視点の研究成果
安心・安全なインターネット利用に関する2つの講座を無料提供（ドコモgacco）
厳格化するサイバー規制とダークウェブ活動、そこに相関は？
自販機のキャッシュレス決済の未来、専門セミナーに瀬田氏登壇（ｆｊコンサルティング）
![[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ 画像](/imgs/std_m/28068.jpg)
![[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行 画像](/imgs/std_m/27120.jpg)
