手動診断でしか見つからない脆弱性の話 - エムティーアイ エンジニアリングブログ

皆さんは、コンピューターの「弱点」を見つける専門家がいることをご存知でしょうか？彼らは「Red Team」と呼ばれ、まるで悪いハッカーのふりをして、組織のシステムに潜む危険な穴（脆弱性）を探し出す、いわば「お墨付きの攻撃者」のような存在です。エムティーアイのエンジニアブログでは、このRed Teamの仕事の面白さ、特に「手動診断」の重要性について語られています。

最近のセキュリティ対策では、コンピューターに自動でシステムをチェックさせる「自動スキャン」が主流になっています。これは、たくさんのコンピューターを一度に、しかも素早くチェックできるので、効率的で便利です。例えるなら、たくさんの部屋を自動ドアで開けて、照明がちゃんとつくか一斉に確認するようなイメージです。

しかし、この自動スキャンだけでは見つけられない「弱点」がどうしても存在します。それは、とても複雑だったり、自動ツールが想定していないような、ちょっと変わった方法でしか見つけられない「弱点」です。

そこで登場するのが、Red Teamの「手動診断」です。これは、人間がまるで本物の悪いハッカーのように、色々な手口を試しながら、システムをじっくりと、時には大胆に攻めていく方法です。自動スキャンが「決まったルートをチェックする」のに対し、手動診断は「どこから攻められるか分からない、あらゆる可能性を探る」イメージ。まるで、熟練の探偵が、自動監視カメラだけでは見逃してしまうような、微細な証拠や犯人の心理を読み解いていくのに似ています。

この手動診断の強みは、自動ツールでは見つけられない、より巧妙で、より現実的な脅威を発見できる点にあります。悪いハッカーは、常に新しい手口を考えてシステムを狙ってきます。それに対抗するためには、自動化されたチェックだけでなく、人間の専門家が、その「悪意」を理解し、先回りして弱点を見つけ出すことが不可欠なのです。Red Teamの仕事は、単に穴を見つけるだけでなく、組織が本当に守られるための「実践的な防御策」を見つけるための、非常に重要な役割を担っていると言えるでしょう。