ペネトレーションテストサービスに戻る
事例 2
ネットワークペネトレーションテスト
PCI DSS 準拠：決済ゲートウェイ
電子決済ゲートウェイの Payment Card Industry Data Security Standard（PCI DSS）環境を対象に、カード会員データ環境（CDE）内の 100 個のパブリック IP を網羅した外部ネットワークのペネトレーションテストを実施しました。
100
テストしたパブリック IP
1
深刻度：高
100%
是正済み
プロジェクト概要
業種
決済ゲートウェイ
テストの種類
外部ブラックボックスのネットワークテスト
期間
2 週間
課題と目的
課題
PCI DSS に基づき CDE を厳格に分離・保護する必要がある一方、ファイアウォールやネットワーク機器の設定ミスによって機密性の高いカード会員データが露出するおそれがありました。
目的
- 年次の PCI DSS 準拠（要件 11.3）のためのエビデンスを提供する
- 外部公開サービスとネットワーク境界を保護する
- ネットワークの設定ミスや脆弱なプロトコルを特定する
手法
01
外部ブラックボックステスト
ネットワーク境界に対する実際の外部攻撃を再現
02
ポートスキャンと列挙
100 個の IP にわたるサービスの列挙と設定の分析
03
脆弱性診断
設定ミスとセキュリティ上の弱点を特定
04
PCI DSS への整合
PCI DSS 要件 11.3 に沿ってテストを実施
主な指摘事項（脆弱性 1 件）
高
認証なしの ADB（ポート 5555）
CDE 内のサーバーで ADB が認証なしで公開されていました。リモートからのファイルアクセスやコマンド実行が可能になるおそれがありました。
影響：リモートコード実行とデータ侵害
推奨対策
ネットワーク上で ADB を無効化し、ACL またはファイアウォールルールを追加して、信頼できない送信元からのポート 5555 へのアクセスを遮断する。
提供した価値
PCI DSS 準拠
文書化されたペネトレーションテストのエビデンスにより準拠を達成
CDE の保護
重大な設定ミスを速やかに是正し、カード会員データを保護
ネットワークの強化
デバッグ用サービスの運用・管理を改善