診断の許可と範囲
診断と攻撃を分けるのは、管理の権限を持つ者の書面の許可と、そこに書いた範囲だけ。範囲の外へ送った通信は、診断ではない。
要点
- 承諾を出せるのは、対象の機械の動作を管理するアクセス管理者。発注した部署や開発会社の了承では足りないことがある。
- 書面には、対象と除外、期間と時間帯、許す手法と禁じる手法、送信元IP、連絡の経路、止める条件、データの扱い、署名を書く。
- 範囲は、解釈の余地が無い形で書く。迷ったら止めて、窓口と確かめてから進める。
- クラウドでは基盤の事業者にも決まりがある。顧客の承諾があっても、基盤の決まりで禁じる行為はできない。
誰が承諾するか
不正アクセス禁止法は、承諾を出せる者をアクセス管理者とする。「特定電子計算機の動作を管理する者」と定義され、契約上の発注者と一致するとは限らない[3]。2号と3号の行為を外せるのはアクセス管理者の承諾だけ。詳しくは 不正アクセス禁止法 のページにある。
- NIST SP 800-115 は、組織が網の一部か全部を管理していない場合、その網の所有者も書面で同意する必要があるとし、仮想化で複数の組織が共有する機械も同様とする[1]。
- 署名の頁には、少なくとも診断の班の長と、組織の上級の管理者である CSO、CISO、CIO などが署名する[1]。
- 外部の公開アドレスを対象にするときは、開始前に、全てのアドレスが組織の管理下にあることを WHOIS などで確かめる[1]。
書面に書くこと
NIST SP 800-115 は、診断ごとに評価の計画を作り、侵入を伴う試験では Rules of Engagement を作るとする。付録Bにその雛形がある[1]。
| 項目 | 書くこと | NIST SP 800-115 |
|---|---|---|
| 目的 | 診断する組織、受ける組織、試験の目的 | 付録B 1.1 |
| 対象 | 許可するIPアドレスとホスト名、アプリケーション。触れてはならない機械の除外リスト | 6.5、付録B 4 |
| 期間と時間帯 | 日程と、試験をする時間。業務の山を避けた夜間などの指定 | 付録B 2.2 |
| 手法 | 許す行為と禁じる行為。ファイルの作成、変更、実行を許すか、終了後どうするか | 6.5、付録B 5.2 |
| 送信元 | 試験に使う機械のIPアドレス。管理者が本物の攻撃と見分けるため | 6.5、付録B 2.4 |
| 連絡の経路 | 双方の主と副の窓口、インシデント対応の連絡網 | 6.5、付録B 2.1、3.2 |
| 止める条件 | 試験を止める基準、障害や本物の侵入に出会ったときの動き、再開の手順と権限者 | 6.5、付録B 3.2 |
| データの扱い | 集めたデータの保管、送信、終了後の削除 | 6.5、付録B 5.3 |
| 報告 | 報告の頻度と、最低限載せる内容 | 付録B 6 |
| 署名 | 責任を負う者が、範囲と境界を理解したことの署名 | 付録B 7 |
- 禁じる行為は、解釈の余地が残らない形で明記する。範囲や権限に疑問が出たら、診断する側と組織の窓口が協議する[1]。
- IPA の脆弱性診断内製化ガイドは、診断の対象から外すものや制限するものを、外す理由と診断しない部分に残るリスクと合わせて、事前に合意し文書で管理するよう求める。検証環境で診断したときは、その旨と前提を報告書に書く[2]。
- 同じガイドは、診断の前に、開発、運用、資産の所有者へ想定するリスクを説明し、ツールの負荷やネットワークへの影響も含めて合意を取る流れを示す[2]。
止める条件と連絡の経路
- 評価の計画には、インシデントの定義と判断の手引き、診断する側と組織の主と副の窓口を書く。侵入者や侵入の痕跡を見つけたら止めるか、いつ、誰の権限で再開するかを、はっきり指示しておく[1]。
- 予告しない試験では、組織の監視の担当や CSIRT が検知したときの扱いと上げる経路を決める。外部の機関へ侵害として届け出られないようにするため[1]。
- 送信元のIPを書いておけば、管理者は試験の通信を本物の攻撃と見分けられる。必要なら監視の装置でその送信元を除外できる[1]。
データの扱い
試験の結果は、敵が悪用できる弱点の一覧になる。機密として扱う[1]。
- 診断中、診断する側の機械に置く組織のデータの物理的な守り、パスワード、暗号化。
- 終了後の保管。長期の保管や、弱点の追跡に要るもの。
- 内外の網を通す送信。
- 終了後の機械からの削除。特に外部の業者が診断するとき。
範囲の外は診断ではない
承諾は、書面に書いた対象、期間、手法の範囲でだけ効く。範囲の外では承諾が無いのと同じになる。
| はみ出し方 | 問われ得る罪 |
|---|---|
| 許可の無いホストや期間外に、認証を回避する入力をする | 不正アクセス行為。不正アクセス禁止法第3条、第11条[3] |
| 許可の無い機械で、使用者の知らないうちに検証のコードを動かす | 不正指令電磁的記録供用罪。刑法第168条の2第2項。不正指令電磁的記録に関する罪 を参照[4] |
| 負荷で業務を止める | 電子計算機損壊等業務妨害罪。刑法第234条の2[4] |
はみ出しやすい所
名前を引いた先が他社の CDN や SaaS のアドレスだった。認証を外部の IdP に任せていた。共用のサーバーに他の利用者が同居していた。リダイレクトで別のドメインへ移った。どれも顧客の承諾では足りず、書面の対象の一覧に無い限り送信しない。
クラウドの基盤事業者の決まり
| 事業者 | 事前の連絡 | 主な禁止と条件 |
|---|---|---|
| AWS[5] | 一覧のサービスは事前の承認なしで診断してよい。一覧に無いサービスはサポートか担当者と相談 | Route 53 を通じた DNS zone walking、hijacking、pharming、DoS と DDoS、ポートやプロトコルやリクエストの flooding、S3 バケットとサブドメインの乗っ取りを禁じる。DoS と DDoS の模擬は別の DDoS Simulation Testing の決まりに従う。隠密の敵対的な模擬と C2 の設置は、開始の2週間前までに模擬イベントの申請を出し、審査を受ける。AWS の基盤とサービスそのものの評価はできない |
| Microsoft[6] | 決まりの中で、自分のテナントか、明示の許可を得た資産で行う | DoS の試験を禁じ、DDoS はどんな場合も禁じる。初めの概念実証を超えて弱点を使うことを禁じる。権限の無いデータに触れたら直ちに止め、MSRC へ知らせ、データを消し、報告に書く |
| Google Cloud[7] | 自分の環境を侵入試験で評価するときは、連絡は要らない | 利用規定 Acceptable Use Policy と利用規約に従う |
- AWS は、試験で AWS や他の顧客に与えた損害は顧客の責任とし、委託した診断業者にも DoS をさせないよう顧客に求める[5]。
- 決まりは改められる。診断の前に、その時点の版を確かめ、書面に版と日付を書く。
発注する側の備え
アクセス管理者の名で書面を出す。外部のサービスと基盤を範囲に含めるかを、事業者ごとに決める。送信元のIPを監視の担当へ渡し、止める条件に当たったときに連絡を受ける人を、診断の時間帯に確保する。
参照
- SP 800-115 Technical Guide to Information Security Testing and Assessment NIST。2008年9月。6.5 Assessment Plan Development、付録B Rules of Engagement Template
- 脆弱性診断内製化ガイド IPA 産業サイバーセキュリティセンター 中核人材育成プログラム 8期生。2025年7月31日初版、8月29日改訂。5.2.5 診断業務フロー
- 不正アクセス行為の禁止等に関する法律 e-Gov法令検索。第2条、第3条、第11条
- 刑法 e-Gov法令検索。第168条の2、第234条の2
- Penetration Testing Amazon Web Services
- Microsoft Security Testing Rules of Engagement Microsoft Security Response Center
- Cloud Security FAQ Google Cloud