AIが会社全体へ侵入を試みる「不正アクセス抜き打ちテスト byGMO」　一律98万円

GMOインターネットグループで、サイバーセキュリティ関連事業を展開するGMO Flatt Securityは、10月21日からAI主導のペネトレーションテストサービス「不正アクセス抜き打ちテスト byGMO」を開始する。価格は12月31日までの申し込みで一律98万円(税別)。 「不正アクセス抜き打ちテスト byGMO」は、会社全体を対象に、攻撃者と同じ立場から不正アクセスされうるかを検証するサービス。 公開資産を探索し、見つかった資産をすべて対象とするため、自社で把握していない資産も含めて広範囲を検証。また、AIがさまざまな攻撃手法を駆使して侵入を試みるため、多角的かつ高精度にリスクを検証できるとしている。 日本国内では、10月に入ってから不正アクセス事案が急増している。既知の脆弱性や設定不備を狙う攻撃だけでなく、公開されているスマートフォンアプリを解析してAPIの情報を割り出し、不正な操作を行なうなど新たな攻撃が報告されている。加えて、BIツールや従業員向け管理システムなど、社内システムが侵害される場合もある。 今回の「不正アクセス抜き打ちテスト byGMO」は、一般的な脆弱性診断によるアプリ単体のテストや事前のシナリオに沿ったテストではなく、攻撃者と同様に、対象範囲を絞らず会社全体に不正アクセスを試みる。 GMO Flatt SecurityのセキュリティエンジニアがAIエージェント群を指揮し、「個人情報や企業が保有する情報の奪取、システムの掌握」をゴールに、外部から事前知識のない状態で攻撃を行なう。 そのため、利用者が用意するのは、必ず対象に含めたいドメインの一覧のみ。GMO Flatt Securityがそのドメインを起点に、攻撃者と同じ方法でインターネット上の公開資産を洗い出し(ASM/Attack Surface Managementの手法を活用)、利用者が承認した資産すべてを攻撃の対象とする。さらに30日の期間内で「抜き打ち」で実施する。ネットワークレイヤからアプリケーションレイヤまでを対象に、ソフトウェアの既知の脆弱性の悪用と、新たな脆弱性の発見・悪用の両面から攻撃を試みるとしている。 なお、重大な不正アクセスが可能な状態を見つけた時点で、期間の終了を待たずに速報で通知。速報・最終報告書のいずれも、発見資産、目的(侵入・情報取得)の達成可否、初期侵入から目的達成までのキルチェーン(侵入プロセスの連鎖)、攻撃経路を示したシステム構成図、実際に取得できた情報を報告する。

GMOインターネットグループで、サイバーセキュリティ関連事業を展開するGMO Flatt Securityは、10月21日からAI主導のペネトレーションテストサービス「不正アクセス抜き打ちテスト byGMO」を開始する。価格は12月31日までの申し込みで一律98万円(税別)。 「不正アクセス抜き打ちテスト byGMO」は、会社全体を対象に、攻撃者と同じ立場から不正アクセスされうるかを検証するサービス。 公開資産を探索し、見つかった資産をすべて対象とするため、自社で把握していない資産も含めて広範囲を検証。また、AIがさまざまな攻撃手法を駆使して侵入を試みるため、多角的かつ高精度にリスクを検証できるとしている。 日本国内では、10月に入ってから不正アクセス事案が急増している。既知の脆弱性や設定不備を狙う攻撃だけでなく、公開されているスマートフォンアプリを解析してAPIの情報を割り出し、不正な操作を行なうなど新たな攻撃が報告されている。加えて、BIツールや従業員向け管理システムなど、社内システムが侵害される場合もある。 今回の「不正アクセス抜き打ちテスト byGMO」は、一般的な脆弱性診断によるアプリ単体のテストや事前のシナリオに沿ったテストではなく、攻撃者と同様に、対象範囲を絞らず会社全体に不正アクセスを試みる。 GMO Flatt SecurityのセキュリティエンジニアがAIエージェント群を指揮し、「個人情報や企業が保有する情報の奪取、システムの掌握」をゴールに、外部から事前知識のない状態で攻撃を行なう。 そのため、利用者が用意するのは、必ず対象に含めたいドメインの一覧のみ。GMO Flatt Securityがそのドメインを起点に、攻撃者と同じ方法でインターネット上の公開資産を洗い出し(ASM/Attack Surface Managementの手法を活用)、利用者が承認した資産すべてを攻撃の対象とする。さらに30日の期間内で「抜き打ち」で実施する。ネットワークレイヤからアプリケーションレイヤまでを対象に、ソフトウェアの既知の脆弱性の悪用と、新たな脆弱性の発見・悪用の両面から攻撃を試みるとしている。 なお、重大な不正アクセスが可能な状態を見つけた時点で、期間の終了を待たずに速報で通知。速報・最終報告書のいずれも、発見資産、目的(侵入・情報取得)の達成可否、初期侵入から目的達成までのキルチェーン(侵入プロセスの連鎖)、攻撃経路を示したシステム構成図、実際に取得できた情報を報告する。