ASM・脆弱性診断・ペネトレーションテストの違い
目次
見積もりを取ると、ASM、脆弱性診断、ペネトレーションテストが同じ「セキュリティ診断」として並ぶことがあります。課金の形も金額の幅も違い、返ってくる報告書の形も違います。3つは競合しているわけではなく、確かめようとしているものがそれぞれ別です。
違いは対象の広さだけではありません。続けて見るのか一度きりか、どこまで踏み込むか、そして「危ないかもしれない」で止めるか「実際に通った」まで示すか。この3点で分かれます。
ASM・脆弱性診断・ペネトレーションテストの比較
表1：ASM・脆弱性診断・ペネトレーションテストの比較
| 観点 | ASM | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|---|
| 対象の決め方 | 起点を渡し、その先は自動で広げる | 依頼側が決めて渡す | 渡された範囲、または到達目標 |
| よくある形 | 継続して見る（日次など） | 期間を区切って実施 | 期間を区切って実施 |
| 深さ | 外から見える範囲 | 決めた観点で範囲内を体系的に | 実際に悪用できるかまで踏み込む |
| 成果 | 資産の一覧と変化 | 確認した範囲と見つかった欠陥 | 悪用できた事実と、辿った経路 |
| 網羅性 | 資産については広い | 合意した観点の範囲で高い | 網羅を目的にしない |
| よくある課金 | 月額 | 1回あたり | 1回あたり |
並べたのはよくある形で、定義ではありません。診断を定期実行の形で契約することも、ペネトレーションテストを継続的な枠で頼むこともあります。
ここから、それぞれが何をしているのかを順に見ます。
ASM：広く、継続的に見つける
アタックサーフェスマネジメント（ASM）は、外部に公開されている資産を自分で探し出して、継続的に見張る作業です。ドメイン、サブドメイン、IPアドレス、開いているポート、使われている技術、クラウドのストレージなど、攻撃者が外から辿れるものを対象にします。
他の2つと違うのは、対象の一覧を作るところから始める点です。脆弱性診断もペネトレーションテストも「ここを見てください」と渡すところから始まりますが、ASM は起点となるドメインだけを登録して、そこから外に見える関係を辿って自動で広げます。部署が勝手に立てたサブドメイン、検証用のまま公開されているサーバー、買収した会社から引き継いだドメイン。台帳に載っていないものほど、この工程の対象になります。
ただし起点そのものは渡す必要があり、外から関係が見えない別のドメインは自動では見つからないので、手で足すことになります。
1つの対象を掘る深さよりも、外部に公開されている面を広く継続して捉えることを優先します。ログインの手前まで、壊さない範囲で見るのが基本で、代わりに毎日見ます。入口の数と状態は毎日変わるので、変化を捉えることに向いています。
詳しくはアタックサーフェスマネジメント（ASM）とはで書いています。
脆弱性診断：決めた対象を深く確認する
脆弱性診断は、範囲を決めて、合意した観点に沿って、脆弱性や設定不備、権限上の欠陥を体系的に洗い出す作業です。Webアプリケーションなら画面や機能を一通り、プラットフォームならOSやミドルウェアの設定を一通り見ます。
価値は体系性にあり、「この範囲を、この観点で確認した」と示せること自体が成果物になります。取引先から提出を求められたときや、監査に出すときに効くのはここです。
期間を区切った作業なので、「脆弱性が無いことの証明」にはなりません。合意した観点と範囲の中で確認した結果であり、報告書には確認した範囲・見つかったもの・確かめきれなかった条件が併記されます。
深さは頼み方で変わります。ログインしない範囲だけか、テスト用のアカウントを発行して認証後まで見るか。人が手を動かして業務ごとの規則まで確かめるか、ツールの結果を整理するところまでか。同じ「診断」という名前で金額が10倍違うのは、ここが揃っていないためです（脆弱性診断の費用相場）。
ペネトレーションテスト：実際に悪用できるかを試す
ペネトレーションテストは、取り決めた条件のもとで実際に悪用を試み、どこまで通るかを確かめる作業です。渡された範囲を対象にすることもあれば、「顧客情報のデータベースに到達できるか」のように守りたいものを先に決める形もあります。
診断との違いは、洗い出しで止めずに悪用まで踏み込むところです。いくつかの弱点を繋ぐと目標まで行けてしまうか、という見方をするので、ひとつずつ見れば大したことのない設定が、組み合わせると通ってしまうことを示せます。
報告書の形も違います。診断が確認した範囲と欠陥の一覧を返すのに対して、ペネトレーションテストは悪用できた事実と、そこへ辿った経路を返します。どこから入って、どこを経由して、何に届いたか。最後まで到達しなかった場合も、試した内容とどこまで進めたかが報告されます。
網羅を目的にしていないので、「侵入できなかった」は「欠陥が無い」を意味しません。その期間・その条件では目標に届く経路が見つからなかった、という結果になります。
レッドチーム演習と TLPT
同じ「攻撃を試す」でも、レッドチーム演習は性格が違います。脅威情報にもとづいて実際の攻撃者の筋書きを組み、気づかれないように動き、人や手順も含めた組織全体を対象にして、守る側の検知と対応まで動かします。
脅威ベースのペネトレーションテスト（TLPT）は、このレッドチーム型にあたります。欧州の TIBER-EU のように、脅威情報を起点として防御・検知・対応の能力まで試す形を定めた枠組みがあり、規制の厳しい業種から広まって、いまは業種を問わず使われています。範囲を区切った通常のペネトレーションテストとは、脅威情報を使うか、隠密性を求めるか、人と手順まで含めるか、防御側を動かすかで分かれます。
どれを選ぶかではなく、どう組み合わせるか
3つは互いの代わりにならないので、どれかを選ぶより、順番で考えるほうが実務に合います。
対象がはっきりしているなら、そのまま診断やペネトレーションテストを頼めばよく、ASM が要るのは外部に公開しているもの全体を対象にしたいのに、その一覧が無いときです。
一覧ができて、どこが重要かの見当が付いてから、深く見るべき箇所に診断を当てます。範囲の決め方が金額をどう動かすかは脆弱性診断の費用相場に書きました。
そのうえで、守りたいものがはっきりしていて「本当に届いてしまうのか」を確かめたい場面で、ペネトレーションテストを使います。取引先への説明や、投資の判断に材料が要るときに効くやり方です。
PentaTrail が担うのはどこか
PentaTrail が担っているのは ASM と CTEM の工程で、登録された起点から外部の資産を広げて発見し、日次で監視して、変化と脆弱性の候補を出します。CTEM プランでは、候補のうち条件に合うものについて、遠隔から非破壊の範囲で悪用できるかを再現します。
この再現にも境界があり、「再現できなかった」は「安全」を意味しません。認証の先や、データを書き換える手順が要るもの、複数の操作をまたぐものは、この方式では確かめられないためです。
一方で、ログインの先には入りませんし、データを書き換える経路も踏みません。仕様を預かっていないので、その業務でだけ許されない操作も判定できません。認証後の作り込みを確かめたいなら診断が、目標への到達を実証したいならペネトレーションテストが、それぞれ別に必要です。
