ペネトレーションテスト（侵入テスト）

ペネトレーションテスト（侵入テスト）とは？

ペネトレーションテスト（Penetration Test、通称ペンテスト）は、セキュリティの専門家が実際の攻撃者の手法を使って、許可された範囲内でシステムへの侵入を試みるセキュリティ評価手法です。単なる脆弱性スキャンと異なり、発見した脆弱性を実際に悪用して「どこまで侵入できるか」を実証します。

脆弱性スキャンとの違い

項目	脆弱性スキャン	ペネトレーションテスト
手法	自動ツールによる検出	手動＋ツールの組み合わせ
深さ	浅い（検出のみ）	深い（実際に侵入試行）
費用	低	高
目的	既知の脆弱性の洗い出し	リスクの実証と優先度付け

テストの主な種類

• ブラックボックス: 内部情報なしで実施（外部攻撃者の視点）
• グレーボックス: 一部の情報（ユーザー権限等）を事前に提供
• ホワイトボックス: ソースコード・設計書など全情報を提供

実施フロー

1. スコープ定義: 対象システム・期間・許可範囲を合意
2. 情報収集: OSINT・ポートスキャン等でターゲット調査
3. 脆弱性発見: スキャン・手動テストで弱点を特定
4. 侵入試行: 発見した脆弱性を実際に悪用
5. 報告書作成: 発見事項・リスク評価・対策提案をまとめる

まとめ

ペンテストは年1回以上の定期実施が推奨されます。特に新システム公開前・大規模変更後・コンプライアンス要件がある場合は必須です。