pentest-engagement-methodology

ペネトレーションテストの実施方法

許可を得たペネトレーションテストで、構造化された再現可能な方法に沿って作業します。

使用する場面

• 書面による許可を得たうえで、ペネトレーションテストを計画または実施するとき
• エンゲージメント全体で網羅性と一貫性を確保する必要があるとき
• クライアントまたは社内の関係者に提出する成果物を準備するとき

厳守事項

1. 書面による許可なしにテストを実施しないでください。 対象に触れる前に、スコープ文書、エンゲージメントルール（RoE）、緊急連絡先を確認してください。
2. スコープ内にとどまってください。 テスト前に、すべての IP、ドメイン、URL をスコープ文書と照合してください。不明な場合は、推測せずに確認してください。
3. 明示的に許可されていない限り、破壊的な操作は禁止です。 DoS、データの破壊、本番環境での総当たり攻撃によるアカウントロックアウトは行わないでください。

フェーズ

1. スコーピングと計画

• スコープ内のアセット、スコープ外のアセット、テスト期間、エスカレーション経路を記録します
• エンゲージメントの種類（ブラックボックス／グレーボックス／ホワイトボックス）を特定します
• 証拠の取り扱いとデータ破棄の要件について合意します
• テスト計画を準備し、承認を得ます

2. 偵察

• まずパッシブに実施します：証明書の透明性情報、DNS レコード、公開コード、求人情報
• 次にアクティブに実施します：ポートスキャン、サービスのフィンガープリンティング、サブドメインの列挙
• アセットの一覧を作成し、所有者に関するメモと確認されたテクノロジーを記録します

3. 脆弱性分析

• 攻撃対象領域を、テクノロジーごとに想定される脆弱性の種類に対応付けます
• すべての検出結果を手動で検証します。スキャナーはノイズを生みますが、証拠を提示するのはあなたです
• 悪用可能性とビジネスへの影響に基づいて、候補となる検出結果をランク付けします

4. 悪用

• 検出結果を証明できる、最も侵襲性の低い方法を使用します（ペイロードより POC）
• すべての悪用の試行について、リクエスト、レスポンス、ツール、バージョン、タイムスタンプを記録します
• 重要なシステム境界に達した場合は停止し、クライアントにエスカレーションします

5. 侵入後

• 足掛かりによってどのようなデータやアクセスが得られるかを示し、影響を実証します
• 権限昇格とラテラルムーブメントは、RoE の範囲内でのみ試みます
• クリーンアップします：シェル、スクリプト、痕跡を削除し、どこに何を作成したか記録します

6. 報告

• エグゼクティブサマリー：ビジネス上のリスクを平易な言葉で説明します
• 検出結果：タイトル、重大度（CVSS）、影響を受けるアセット、再現手順、証拠、修正方法の提案
• 再テストの基準と、肯定的な所見

出力形式

以下を提出します：テスト計画、アセット一覧、証拠を含む検出結果レポート、クリーンアップログ、デブリーフィングの議題。