GMO Flatt Securityは、AI主導のペネトレーションテストサービス「不正アクセス抜き打ちテスト byGMO」を提供開始した。
同サービスは、会社全体を対象に、攻撃者と同じ立場から不正アクセスされうるかを検証するもの。公開資産を探索し、見つかった資産をすべて対象とするため、顧客側が把握できていない資産も含めて広範囲を検証できるとのことだ。また、AIが様々な攻撃手法を駆使して侵入を試みるため、多角的かつ高精度にリスクを検証できるとしている。
2026年12月31日までの申し込みに限り、対象の規模にかかわらず一律98万円（税抜）で提供するという。
「不正アクセス抜き打ちテスト byGMO」の特徴
GMO Flatt SecurityのセキュリティエンジニアがAIエージェント群を指揮し、「個人情報・顧客の保有する情報の奪取、あるいはシステムの掌握」をゴールに、外部から事前知識のない状態で攻撃を試みるとのことだ。
1. ドメインを起点に資産探索から実施し、会社全体を対象に
顧客側で用意しておくのは、必ず対象に含めたいドメインの一覧のみ。GMO Flatt Securityがそのドメインを起点に、攻撃者と同じ方法でインターネット上の公開資産を洗い出し（ASM：アタックサーフェスマネジメントの手法を活用）、顧客が承認した資産すべてを攻撃の対象とする。顧客側が把握していなかった資産も、攻撃経路として検証されるという。
2. 30日の期間内で、予告なく「抜き打ち」で実施
実際の攻撃者は、攻撃の日時を予告しないため、同サービスも、30日の実施期間内で、事前の知らせなくテストを行うとのことだ。
3. 既知の脆弱性から、組織固有の脆弱性まで多角的に攻撃
ネットワークレイヤーからアプリケーションレイヤーまでを対象に、ソフトウェアの既知の脆弱性の悪用と、新たな脆弱性の発見・悪用の両面から攻撃を試みるとしている。
4. 重大なリスクは、期間の終了を待たずに速報
重大な不正アクセスが可能な状態を見つけた時点で、期間の終了を待たずに速報で通知。速報・最終報告書のいずれも、発見資産、目的（侵入・情報取得）の達成可否、初期侵入から目的達成までのキルチェーン（侵入プロセスの連鎖）、攻撃経路を示したシステム構成図、実際に取得できた情報を報告するという。
【関連記事】
・IPA、「不正アクセス特別相談窓口」を10月16日に開設 情報漏えいの初動対応を支援
・国家サイバー統括室、直近の不正アクセス・データ窃取を受けて対策強化を要請 注力すべき対策について発表
・【JPCERT/CC】不正アクセス・情報漏洩ラッシュについて、不審なアクセス元と推奨対策を公開
この記事は参考になりましたか？
- 関連リンク
- この記事の著者
-
EnterpriseZine編集部（エンタープライズジン ヘンシュウブ）
「EnterpriseZine」（エンタープライズジン）は、翔泳社が運営する企業のIT活用とビジネス成長を支援するITリーダー向け専門メディアです。データテクノロジー/情報セキュリティの最新動向を中心に、企業ITに関する多様な情報をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
