通信事業者とプロバイダのためのオフェンシブセキュリティ。
通信事業者は特別な責任を負っています。その基盤が止まれば、誰もが使う連絡手段そのものが止まるからです。私たちは加入者ポータルからコア網まで、そしてお客様の自宅にある機器まで含めて検証します。
通信事業者が高い価値を持つ標的である理由
通信事業者を侵害しても、手に入るのは一社分のアクセスではありません。加入者全体の通信、身元、位置に対する特権的な立ち位置です。だからこそこの分野には、利用料金の不正から、長期の作戦を支える資金と忍耐を備えた戦略的な相手まで、あらゆる攻撃者が集まります。
- 網内の足場は、加入者全体の通信内容とメタデータへの潜在的なアクセスを意味します。
- SIM の入れ替えや番号の乗っ取りは、通信事業者を銀行不正の経路に変えます。
- 設置済みの宅内機器は数が多く、種類もばらばらで、更新を保つのが困難です。
- 他事業者との相互接続は、自社が管理していない網との間に信頼を生みます。
通信事業者で検証する範囲
加入者の道筋とパケットの道筋を歩き、統制が効かなくなる地点を探します。
会員ページ、アプリ、コールセンターの手続き。オブジェクト単位の権限確認、名義変更、再発行の申請、そして SIM 入れ替えに至るすべての導線。
開通、課金、契約管理。ある役割が権限の外で料金プラン、残高、サービスを変更できないかを確かめます。
network 要素の露出、制御系と利用者系の分離、そして周縁の足がかりからコア網へどこまで届くか。
ルーター、回線終端装置、セットトップボックス。初期設定の認証情報、露出した管理画面、ファームウェア更新、遠隔での設定投入経路。
ピアリング、コンテンツ事業者との連携、代理店。網どうしの既成の信頼であり、最も検証されにくい部分です。
業務網とサービス網の分離、そして管理権限から加入者に触れるシステムへ至る経路。
規制上の義務に応える証跡
この分野は継続性、通信の秘密、個人データ保護に説明責任を負います。報告書はその一式に応える形で書かれます。
- 通信の秘密
- 通信の内容とメタデータは法的な保護を受けます。これらの記録へ不正に到達しうる経路は、いずれも最高の深刻度として扱います。
- 個人データ保護
- 加入者情報、接続記録、位置情報は個人データであり、一部は機微に当たります。本人の露出と、開示に至る技術的経路を記録します。
- 継続性と重要事業者の義務
- 公衆電気通信の提供者は、リスク管理と事故対応の義務の対象になります。指摘はその義務に照らして整理します。
- 記録の完全性
- 完全性を保って保存すべき記録については、本来その権限を持たない者が改変や削除をできないかを検証します。
加入者に影響を与えない進め方
環境の切り分け
実際の加入者トラフィックを扱うものと、検証用のものを明確に分けます。コア網の能動的な検証は、複製環境か個別の承認がある場合に限ります。
宅内機器の抜き取り検証
お客様宅の機器ではなく、設置済みの機種を代表する検体を実験台で検証し、大規模に悪用されうるものは何かを測ります。
不正の想定
検証用アカウントを使い、SIM の入れ替えや契約情報の変更をたどる不正の道筋を再現し、手続きが実際にどこで持ちこたえるかを測ります。
是正と再テスト
加入者全体に最も早く及ぶものから優先し、是正に伴走して、最終版の前に再検証します。
お渡しするもの
- リスクの言葉で書いた経営向け報告書
- 再現できる技術報告書
- 宅内機器の露出に関する分析
- 根拠を添えた CVSS 評価
- 検証した契約不正の想定シナリオ
- 加入者への波及範囲に基づく優先順位
- 是正済み項目の再テスト
- 監査向けの完了報告書
この業種でよくある質問
検証で加入者に通信断が起きませんか？
+
起きません。そうならないように案件を組み立てます。コア網の要素や実トラフィックを扱うシステムは、複製環境か、書面の承認のもとで定めた時間帯に限って能動的に検証します。期間中は連絡経路を開いたままにするため、どの作業も数秒で止められます。
お客様の機器に触れずに宅内機器をどう検証するのですか？
+
実験台で行います。御社にご用意いただいた、設置済み機種を代表する検体を用いて、初期設定の認証情報、管理画面、ファームウェア、設定投入の経路を評価します。重要なのは大規模に悪用されうるかどうかで、それは実験室で示せます。
SIM 入れ替えによる不正も検証しますか？
+
します。最も多くのことが分かる範囲のひとつです。検証用アカウントで不正行為者の一連の道筋を再現します。サポート窓口へのソーシャルエンジニアリング、セルフサービスの手続き、契約情報の変更など。狙いは、システムが検証しているかどうかではなく、手続きが現実にどこで持ちこたえるかを測ることです。
報告書は規制当局の監査要件を満たしますか？
+
そのために書いています。リスクと継続性の言葉で書いた経営向けの層と、手順を追える技術の層で構成します。案件についての完了報告書も発行します。監査部門や相互接続の相手方に受け入れられるのは、通常この書類です。