導入

セキュリティ対策というとネットワークやアプリケーションに目が向きがち
しかし実際の攻撃はもっとシンプルで、人や物理環境を突くケースも多い

特に「内部に入られる」前提を無視すると、防御は簡単に崩れる

この記事では勉強会の内容をもとに、物理ペネトレーションテストの実態を整理する

この記事では次のことをまとめます

物理ペネトレーションテストの全体像
実際の侵入プロセス
開発者が考えるべきセキュリティ設計

勉強会概要

イベント名
PenTestSecJP2

テーマ
Physical and Social Engineering Penetration Testing

内容まとめ

物理ペネトレーションテストとは

建物や人を含めたセキュリティテスト
ITインフラ単体ではなく「環境全体」を対象にする

主な目的

イニシャルアクセスの獲得
特定エリアへの侵入
内部ネットワークへの到達

攻撃事例

代表的なケース

STUXNET
- USB経由でマルウェア感染
DarkVishnya
LightBasin
- Raspberry Piを内部ネットワークに設置

共通点

物理侵入または内部協力者の存在
技術よりも「侵入できるか」がボトルネック

侵入プロセス

物理ペネトレーションは段階的に進む

① OSINT

事前の情報収集フェーズ

収集対象

社員証のデザインや種類
ネックストラップ
服装や文化
フロア構造
拠点情報

ポイント

公開情報だけでは足りない
「社員らしさ」を再現する情報が重要

ソーシャルエンジニアリング

勉強会やカジュアル面談で情報収集
直接聞かず自然に引き出す
親切な人ほど情報が出やすい

具体例

面談で業務フローを聞き出す
雑談からセキュリティ運用を把握

② 現地偵察

現地でしか得られない情報を収集

監視カメラの位置
死角の有無
入退室導線
喫煙所などの動線
社員証の実物

重要ポイント

OSINTの情報は不完全
現地で精度が一気に上がる

③ 従業員との接触

人を経由した突破

社員証のスキミング
NFCカードの利用
- Felica
- Mifare

特徴

社員はカードのリスクを理解していない
スキミング機器は比較的簡単に用意可能

④ 建物への侵入

実際の侵入フェーズ

主な手法

スキミングしたカードの利用
フラッパーゲートの共連れ
カード発行フローの悪用

具体例

ゲストを装う
別拠点の社員を装う
一時カード発行を狙う

⑤ イニシャルアクセス獲得

侵入後の最重要フェーズ

目的

ネットワークへの接続
永続的な侵入経路の確保

手法

EDR回避
ペイロード設置
デバイス持ち込み

具体例

ディスプレイをハブとして利用
小型デバイスを設置（Dropbox的な機器）
プリンタ配下のLANを利用

補足

有線LANは減少傾向
Wi-Fi侵入できれば物理侵入は不要になる

実行上の課題

現場でのリアルな壁

文化的な壁

日本では他人との距離感がある
共連れが成立しづらい

倫理・法的な壁

不法侵入
人を騙す行為

運用的な壁

トレーニングが難しい
機材コストが高い
IT部門単体で完結しない
警備・総務との連携が必要

技術者視点の考察

本質的なリスク

多くのシステムはこの前提に依存している

内部ネットワークは安全

しかし現実は逆

物理侵入で内部に到達可能
人を突破されると防御は崩壊

設計への影響

開発者が考えるべきこと

内部不信前提の設計
ゼロトラストの採用
物理侵入を含めた脅威モデリング

具体的な対策

デバイス接続時の認証強化
USB利用制御
EDR前提の設計
ネットワーク分離
不審デバイスの検知

よくある誤解

内部は安全
→ 物理侵入で崩れる
社員は信頼できる
→ ソーシャルエンジニアリングで突破される
セキュリティはIT部門の仕事
→ 実際は全社課題

学び

今回のポイント

物理侵入は現実的な攻撃手段
OSINTと人間観察が成功の鍵
技術だけではセキュリティは成立しない
内部前提の設計は危険
組織横断での対策が必要

まとめ

物理ペネトレーションテストの本質はシンプル

人
物理
技術

この3つの弱点を突く攻撃
エンジニアとして重要なのは
内部に入られる前提で設計すること
ここを外すとどれだけ高度なシステムでも崩れる