ネットワークセキュリティにおけるフットプリンティングとは？CEH・ペネトレーションテストの基礻知識を解説

ネットワークセキュリティにおける「フットプリンティング」とは？

フットプリンティング（Footprinting）とは、攻撃対象となるシステムやネットワークについて、できる限り多くの情報を事前に収集する手法のことです。侵入経路やセキュリティ上の弱点を見つけ出すための最初の段階として位置づけられており、倫理的ハッキング（ペネトレーションテスト）においても極めて重要なプロセスです。

CEHにおけるフットプリンティングとは？

CEH（Certified Ethical Hacker：認定倫理ハッカー）の文脈では、フットプリンティングは「ターゲットとなるシステムに関する情報を可能な限り集め、どこから突破できるかを把握する」活動を指します。攻撃シミュレーションの土台となる情報収集フェーズです。

ペネトレーションテストにおけるフットプリンティング

ペネトレーションテスト（Pentest）では、特定のシステムやネットワークの設計図（ブループリント）、およびそれに接続されている機器類の情報を収集します。これは、Webアプリケーションのセキュリティを包括的に評価するための初期工程にあたります。

フットプリントとデジタル偵察（レコネサンス）の違い

コンピュータシステムや特定の組織に対して「足跡をつける」こと、すなわち偵察（Reconnaissance）は、対象に関する情報を収集する行為全般を指します。サイバー犯罪者は多様なツールや技術を駆使してこの情報を入手します。システム全体を攻略しようとするハッカーにとって、こうした情報は非常に有益な手がかりとなります。

なぜフットプリンティングが必要なのか

フットプリントとは、特定のネットワーク環境を識別する一連のデータであり、通常はネットワークへのアクセス経路を発見するために用いられます。防御側が自組織の脆弱性を特定するために活用できる一方で、攻撃者にとっては弱点を悪用しやすくなるという两面性を持つ技術です。

フットプリンティングの主な目的

• セキュリティ体制（Security Posture）の把握と分析
• 脆弱性の発見
• 攻撃計画の策定
• 各種ツールや技術を用いた重点調査領域の絞り込み

フットプリンティングで収集される情報の例

フットプリンティングでは、IPアドレス、Whoisレコード、DNS情報、OSの種類、従業員のメールアドレス、電話番号など、多岐にわたる情報が収集されます。たとえば、SNSを通じて従業員の業務習慣やパスワードの手がかりを探るのも典型的な例の一つです。

コンピューティングにおけるフットプリンティングの定義

コンピュータセキュリティ分野でのフットプリンティングとは、システムへのアクセス手段を能動的・受動的に調査する技術です。企業のコンピュータシステムに関する情報は、こうした追跡手法によって比較的容易に収集できてしまうため、防御側もこの手法を十分に理解しておく必要があります。具体的には、システムのリモートアクセス機能、開放されているポートとサービス、導入済みのセキュリティ対策などを把握することを目標とします。

参考：DNAフットプリンティングとの違い

「フットプリンティング」という用語はバイオ分野でも使われます。DNAフットプリンティングは、タンパク質に結合している核酸配列を特定する解析手法です。一方、ネットワークセキュリティの文脈では、前述の通りネットワーク環境を識別するデータ群を指します。

CEH試験とキャリアについて

CEH試験は難しいのか？

CEH試験は125問を4時間で解答する形式です。適切に準備していれば合格はそれほど困難ではなく、多くの受験者が時間内にすべての問題を解答できています。ただし、各問題を注意深く読み、正確に回答することが求められます。

CEHホルダーの給与水準（インドの場合）

インドにおける認定倫理ハッカー（CEH）の給与は経験年数によって大きく異なります。新卒の場合は年収約30万ルピーからスタートし、調査によると月収はおおむね2万9千〜4万1千ルピー程度の範囲とされています。

ペネトレーションテストの費用・合法性・難易度

ペネトレーションテストにはいくらかかる？

ペネトレーションテストの費用は、テストの深度によって4,000ドルから10万ドル程度まで幅があります。米国ペネトレーションテスト協会によれば、高品質でプロフェッショナルなテストの相場は1万〜3万ドル程度です。費用を左右する主な要因は以下の通りです。

• 企業規模：小規模でシンプルな組織の方が、大企業よりも低コストになります
• テスト範囲の深さ：網羅的な検査ほど費用が増加します
• 対象システムの複雑さ：連携システムが多いほど工数が膨らみます

ペネトレーションテストは合法？

ペネトレーションテストは、依頼者（顧客）とテスト提供者の双方の合意のもとで実施されます。ただし、一部の地域では法令上「ハッキング」とみなされる場合があります。共通して言えるのは、コンピュータシステムの違法または不正使用に関わる法律に抵触する行為は違法である、という点です。

ペネトレーションテスターになるのは難しい？

ペネトレーションテスターには一定の経験が求められますが、倫理的ハッキングやペネトレーションテスト関連の資格・学位は大きな助けになるものの、それ以外の厳格な要件は特に定められていません。唯一不可欠なのは、保護されたコンピュータへ侵入する際にハッカーが用いる高度な技術とツールに関する専門知識です。

まとめ

フットプリンティングは、サイバー攻撃の出発点となる情報収集活動であり、同時に防御側が自社のセキュリティ体制を点検するうえでも欠かせない手法です。攻撃者の視点を理解することで、脆弱性の早期発見と効果的な対策につながります。CEH取得やペネトレーションテストの導入を検討している方は、まずフットプリンティングの基礎から押さえておきましょう。