「IBM X-Force Red」は、企業がコンピューター・ネットワーク、ハードウェア、ソフトウェア・アプリケーションの脆弱性を、サイバー犯罪者よりも迅速に発見できるよう支援したり、ハードウェアやIoTが有する脆弱性、さらには日常のプロセスや手順に潜むヒューマン・セキュリティーの脆弱性などについて検査する。
企業に対する悪意のある攻撃は増加傾向にあり、セキュリティー対策を向上させるための重要な方法の1つとして、侵入を試みることでシステムに脆弱性がないかどうかを確認するペネトレーション・テストへの関心が高まっている。最先端の技術を持つセキュリティー・テスト専門家によって機敏かつ積極的なテストを行うことにより、犯罪者が実行する前に脆弱性を明らかにし、あらゆるシステムを攻撃から守ることが求められているとしている。
「IBM X-Force Red」は、世界中の数十カ所を拠点とする数百人のセキュリティー専門家によるネットワークを持つグローバル組織で、リーダーはペネトレーション・テストの専門家として世界的に有名なIBMのチャールズ・ヘンダーソン氏だ。
ヘンダーソン氏をはじめとするこのチームのセキュリティー・テストの専門家は、医療、金融サービス、小売、製造、公共分野など、複数の業界にわたる専門知識を持ち、企業や政府機関に対し、ペネトレーション・テスト、エシカル・ハッキング、ソーシャル・エンジニアリング、物理的なセキュリティー・テストなどのセキュリティー・テストを実施してきた経験がある。
「IBM X-Force Red」は、次の4つの分野にわたるセキュリティー・テストを行う。
・アプリケーション：手動ペネトレーション・テスト、ソース・コード・レビュー、Web、モバイル、サーバー、端末、メインフレーム、ミドルウェアの脆弱性診断を行う。
・ネットワーク：手動ペネトレーション・テスト、内部、外部、無線、SCADA（監視制御システム）の脆弱性診断を行う。
・ハードウェア／組み込み機器：IoT、ウェアラブル・デバイス、POS、ATM、自動車やビデオなどのシステムを対象としてセキュリティー・テストを行う。
・ヒューマン：フィッシング・キャンペーン、ソーシャル・エンジニアリング、物理的なセキュリティー違反のシミュレーションを実施し、人間の行動によるリスクを判断する。
「IBM X-Force Red」はプロジェクトタイプ、サブスクリプションタイプ、マネージドタイプの3つのモデルを提供する。
・プロジェクトタイプ：期間やスコープを限定し、1回だけ実施したい場合に適切。
・サブスクリプションタイプ：12～36か月以上の期間にわたるテストが必要な場合に適切。自社内で検査要員を保有し実施する場合に比べて管理オーバーヘッドを最小化でき、オンデマンドのセキュリティー・テストも可能にする。最初にテスト・ターゲットまたはテスト・タイプを定義せずに、必要に応じてのテストが可能。
・マネージドタイプ：「IBM X-Force Red」の専門家メンバーが包括的に対応し、テスト・ターゲットの特定、テストの優先順位付け、適切なテスト・レベルの選択を含め、テスト・タスク全体を専門家が支援する。
