バグバウンティ vs ペネトレーションテスト：どちらがより効果的なセキュリティ対策か？

2018年3月22日、Netflixは脆弱性を報告したハッカーに報奨金を支払う「バグバウンティ」プログラムを開始しました。同社は過去5年間、限定的な形でこの取り組みを実施してきましたが、今回一般に公開したことで、多数のハッカーがサービスを徹底的に調査することになります。

一見すると少し混沌としているように思えるこの手法ですが、「見知らぬ人に自社サイトへのハッキングを依頼して報酬を払うことは、潜在的な脅威からサイトを守る最も効果的な方法のひとつだ」と主張する専門家は少なくありません。しかし、本当にバグバウンティプログラムは社内のペネトレーションテスト（侵入テスト）チームよりも効果的なのでしょうか。

ペネトレーションテストの仕組み

ペネトレーションテストは開発サイクルにおける標準的な工程であり、通常は製品が一般公開される前に行われます。外部委託または社内のテスターからなるチームが、企業がリリースしようとするソフトウェアやシステムへの「ハッキング」を実際に試みます。その後、プラットフォーム上で発見されたすべての脆弱性を報告し、開発者が問題が深刻化する前に修正できるようにします。

テスト中、チームは通常、決められた手順に沿ってあらゆる脆弱性を洗い出します。これには、ハッカーがシステムやソフトウェアに侵入する際に実際に使う手法の再現も含まれます。その結果として得られるのは、ほとんどの攻撃者が突破しうるソフトウェア内の重要な箇所を網羅した包括的なリストです。

バグバウンティの魅力とは？

バグバウンティプログラムを立ち上げると、基本的には「重大な脆弱性を報告できた人には一定額の報酬を支払う」という方針を世間に向けて発表することになります。プログラムを成功させるためには、いくつかの基本ルールを設定し、参加者にどのような行為が許容されないのかを事前に明示しておく必要があります。

このような制度は一見すると常識外れに聞こえますが、バグバウンティには従来のペネトレーションテストにはない多くの利点があります。

• バウンティの参加者は脆弱性を発見してはじめて報酬を受け取るため、ソフトウェア全体を徹底的に調査する強いインセンティブが生まれます。一方、ペネトレーションテストでは、チームメンバーは成果の質に関わらず報酬が支払われるため、同じような動機付けは期待できません。
• バウンティは何千人もの熟練ハッカーに腕試しの場を提供し、驚くほど多様な視点をもたらします。ペネトレーションテストチームはどうしても人数が限られ、どれほど優秀でも視点の幅には限界があります。
• 多くのバグバウンティ参加者は、複数のハントに同時並行で参加するフルタイムのプロフェッショナルです。
• 「攻撃対象領域」（侵害されやすい部分が広大なソフトウェア）を抱える大規模な企業では、自社チームが見逃していたバグを発見できる可能性が高まります。

それでもペネトレーションテストが重要である理由

バグバウンティは確かに魅力的ですが、巨大なコミュニティを持たない企業には必ずしも機能しません。だからこそ、ペネトレーションテストは今なお重要な選択肢であり続けています。例えば医療機器向けソフトウェアを開発する企業の場合、数万人規模のファンコミュニティを持つゲームスタジオほど多くの参加者を集めるのは難しいでしょう。

さらに、ペネトレーションテストには、バグバウンティの導入を思いとどまらせるほどの実用的な利点もあります。

• 脆弱性が修正される前に外部へ露出するリスクを最小限に抑えられます。バグバウンティで情報公開を禁じるルールを設けても、参加者が誤解してしまうケースは避けられません。
• 外部委託のペネトレーションテスト会社は、顧客にとって重要な意味を持つ第三者認証を提供できる場合があります。
• 報告書の品質は、ペネトレーションテストの方が総じて高い傾向があります。
• 決済処理や銀行口座・デビットカード・クレジットカードデータを扱う業務など、厳しく規制された市場では特に有効です。

Netflixのバグバウンティプログラムのおかげで、同社のサービスをより安全だと感じますか？それとも、ペネトレーションテストチームとの協業の方が賢明な選択だったと思いますか？ぜひコメント欄であなたの意見を聞かせてください！