ペネトレーションテストとは？脆弱性診断との違い・種類・流れを解説

ペネトレーションテストとは、攻撃者と同じ視点・手法でシステムへ疑似攻撃を行い、実際に侵入できるか、侵入後にどこまで被害が広がるかを検証するセキュリティテストです。「侵入テスト」や「ペンテスト」とも呼ばれます。

脆弱性診断が弱点を幅広く発見するのに対し、ペネトレーションテストは重要なシステムや情報資産を狙う攻撃シナリオを設定し、現在の防御策が現実の攻撃に耐えられるかを確かめます。

ペネトレーションテストとは

ペネトレーションテストは、専門技術者が許可された範囲内で疑似攻撃を実施し、システムへの侵入経路やセキュリティ対策の有効性を検証する手法です。

単に脆弱性の有無を確認するだけではありません。複数の弱点や設定不備を組み合わせたときに、攻撃者が認証を突破できるか、権限を昇格できるか、重要情報へ到達できるかを確かめます。

ペネトレーションテストで分かること

• インターネットから社内システムへ侵入できる経路
• 一般ユーザーの権限から管理者権限へ昇格できる可能性
• 侵入後に他のサーバーやクラウド環境へ移動できる範囲
• 個人情報や機密情報へ到達できる可能性
• WAF、EDR、監視・検知など既存対策の有効性
• インシデント発生時の連絡・対応体制の課題

ペネトレーションテストの目的は「攻撃に成功すること」ではなく、重大な被害が起きる前に現実的な侵入経路を把握し、優先して直すべき課題を明確にすることです。

ペネトレーションテストと脆弱性診断の違い

両者の違いは、弱点を「見つける」ことを重視するか、弱点を悪用した場合の「影響を確かめる」ことを重視するかにあります。

どちらか一方が常に優れているわけではありません。まず脆弱性診断で弱点を洗い出し、重要なシステムに対してペネトレーションテストで悪用可能性を検証するなど、目的に合わせた使い分けが重要です。

ペネトレーションテストのサービス内容を見る

ペネトレーションテストの種類

ペネトレーションテストは、情報の開示範囲、攻撃の起点、テストの進め方という3つの軸で分類すると理解しやすくなります。

情報の開示範囲による分類

ブラックボックスは現実の外部攻撃に近い一方、限られた期間では確認できない範囲が残る可能性があります。ホワイトボックスは効率よく深く検証できますが、攻撃者が持っていない情報を使う点を理解して選ぶ必要があります。

攻撃の起点による分類

外部ペネトレーションテスト

インターネット上に公開されたWebアプリケーション、VPN、メールサーバー、クラウド環境などを対象に、社外の攻撃者による侵入を想定します。公開サービスから内部環境へ侵入できないか、認証情報を悪用できないかを確認します。

内部ペネトレーションテスト

社内ネットワークへ侵入された後や、内部不正、端末の盗難・マルウェア感染などを想定します。一般端末から重要サーバーへ移動できないか、権限昇格や認証情報の取得が可能かを確認します。

テストの進め方による分類

シナリオ型ペネトレーションテスト

「顧客情報を保管するデータベースへ到達する」「クラウド管理権限を取得する」など、守るべき資産と攻撃者の目的を設定して検証します。事業への影響が大きいリスクを優先して確認したい場合に適しています。

調査型ペネトレーションテスト

特定の到達目標だけに限定せず、許可された範囲内で侵入経路を広く調査します。想定していなかった攻撃経路を見つけたい場合に有効です。

TLPT・レッドチーム演習

実際の脅威情報や攻撃者像を踏まえ、組織全体の検知・防御・対応能力を評価する高度な取り組みです。一般的なペネトレーションテストより対象が広く、必要に応じて人的・物理的な攻撃経路を含むことがあります。

どの種類が適しているかは、対象システム、守るべき情報、想定する攻撃者、予算、実施期間によって変わります。

ペネトレーションテストの実施手順

一般的なペネトレーションテストは、次の8ステップで進めます。

1. 目的と守るべき資産を決める

顧客情報、決済情報、設計データ、クラウド管理権限など、攻撃から守りたい資産を明確にします。「何を確認できればテスト成功とするか」も事前に合意します。

2. 対象範囲と停止条件を決める

対象のIPアドレス、ドメイン、アプリケーション、アカウント、実施時間帯を決定します。本番環境へ影響が出た場合の停止条件と緊急連絡先も定めます。

3. 攻撃シナリオを設計する

想定する攻撃者、侵入口、到達目標を決めます。例えば、公開Webアプリケーションから侵入し、顧客データへ到達するシナリオなどがあります。

4. 情報収集と脆弱性の確認を行う

公開情報、システム構成、使用技術などを調査し、攻撃に利用できる脆弱性や設定不備を確認します。自動スキャンの結果は、誤検出を避けるために専門家が精査します。

5. 許可された範囲で疑似攻撃を行う

確認した弱点を組み合わせ、認証突破、権限昇格、内部への移動などを試みます。取得するデータや実施する操作は、事前に合意した範囲に限定します。

6. 侵入後の影響範囲を確認する

重要情報へ到達できるか、他のシステムへ移動できるか、監視・検知が機能するかを確認します。不要なデータ取得やシステム変更は避け、証跡を安全に記録します。

7. 結果を報告し、改善策を決める

報告書には、侵入経路、悪用した弱点、到達できた範囲、事業への影響、推奨対策、対応優先度を記載します。経営層向けの概要と技術担当者向けの詳細が分かれていると、改善を進めやすくなります。

8. 修正後に再検査する

対策後に同じ経路で侵入できないことを確認します。個別の脆弱性だけでなく、複数の弱点を組み合わせた攻撃経路が解消されているかを確認することが重要です。

ペネトレーションテストが必要な企業・タイミング

次のいずれかに当てはまる場合は、ペネトレーションテストを検討する価値があります。

特に、被害が発生した場合の損失が大きいシステムでは、脆弱性の件数だけでなく、重要資産へ至る攻撃経路を確認する必要があります。

ペネトレーションテストのメリット

現在の防御力を実証できる

設定や製品の導入状況だけではなく、実際の攻撃手法に対して防御・検知できるかを確認できます。

重大なリスクを優先できる

脆弱性の深刻度だけでなく、侵入後に到達できる情報や業務への影響を確認できるため、改修の優先順位を決めやすくなります。

経営層へ説明しやすくなる

「どの経路から、どの情報まで到達できたか」を示すことで、技術的な問題を事業リスクとして共有しやすくなります。

インシデント対応も検証できる

監視アラートや社内連絡が適切に機能したかを振り返ることで、技術対策だけでなく運用体制の改善にもつながります。

実施前に確認すること

問い合わせや見積もりの前に、次の情報を整理しておくと、対象範囲と費用を決めやすくなります。

• 守りたい情報資産と想定する被害
• 対象システムの種類と数
• IPアドレス、ドメイン、クラウド環境などの候補範囲
• 本番環境または検証環境のどちらで行うか
• 希望時期と実施できない時間帯
• 利用中の監視・防御製品
• 過去の脆弱性診断結果やインシデント情報
• 報告書を提出する相手と必要な内容

対象範囲がまだ決まっていない場合でも、守るべき資産と心配している攻撃を伝えることで、適切なシナリオを検討できます。

期間と費用の考え方

実施期間と費用は、対象の数だけでなく、攻撃シナリオ、テストの深さ、環境の複雑さ、報告内容によって変わります。

シースリーレーヴでは、対象と目的を絞ったスマートスキャンを60万円から、より深い検証を行うディープスキャンを120万円から提供しています。正確な見積もりには対象範囲の確認が必要です。

• 料金プランを確認する
• 会社選び・比較のポイントを確認する
• サービスの対象範囲を確認する

ペネトレーションテストの注意点

• テスト範囲外のシステムまで安全と証明するものではありません
• 本番環境では負荷やデータへの影響を抑える計画が必要です
• 一度の実施で将来にわたる安全を保証するものではありません
• 脆弱性診断の完全な代替ではなく、目的に応じた使い分けが必要です
• 必ず対象システムの所有者・管理者から書面で許可を得て実施します

対象範囲、停止条件、緊急連絡先、データの取り扱いを契約・実施計画で明確にすることが、安全なテストの前提です。

まとめ

ペネトレーションテストとは、疑似攻撃によってシステムへの侵入可能性と被害範囲を確かめるテストです。脆弱性診断で弱点を広く見つけ、ペネトレーションテストで重要資産へ至る攻撃経路を検証することで、現実的なリスクに基づいて対策を進められます。

実施方法を選ぶ際は、ブラックボックスかホワイトボックスかだけでなく、外部・内部のどちらから検証するか、どの情報資産を守るかを明確にすることが重要です。

よくある質問

Q. ペネトレーションテストと脆弱性診断の違いは何ですか？
A. 脆弱性診断は弱点を幅広く発見すること、ペネトレーションテストは疑似攻撃によって侵入可能性や被害範囲を確認することを主な目的とします。目的に応じて両方を組み合わせることもあります。

Q. ペネトレーションテストはどのような企業に必要ですか？
A. 顧客情報や決済情報など重要データを扱う企業、WebサービスやAPIを公開する企業、クラウドや社内ネットワークの侵入耐性を確認したい企業に適しています。

Q. 本番環境でもペネトレーションテストを実施できますか？
A. 実施できますが、対象範囲、実施時間、負荷、停止条件、緊急連絡先を事前に決める必要があります。影響を避けたい場合は検証環境の利用も検討します。

Q. ペネトレーションテストの実施期間はどのくらいですか？
A. 対象範囲とシナリオによって異なります。小規模で対象を絞ったテストは数日、複数環境を横断するテストは数週間かかる場合があります。

Q. ブラックボックスとホワイトボックスの違いは何ですか？
A. ブラックボックスは内部情報を原則として与えず外部攻撃者に近い条件で行い、ホワイトボックスは構成情報や認証情報を使って対象を深く効率的に検証します。

Q. ペネトレーションテストはどのくらいの頻度で行うべきですか？
A. 重要システムは定期的に実施し、大規模な機能追加、クラウド移行、ネットワーク変更、重大な脆弱性の発見後にも再実施を検討します。適切な頻度はシステムの重要度と変更頻度によって異なります。

ペネトレーションテストならシースリーレーヴ

シースリーレーヴでは、WebアプリやAPI、モバイルアプリ、クラウド、社内・外部ネットワークなど、対象環境に応じたペネトレーションテストを提供しています。攻撃シナリオと対象範囲の設計から、疑似攻撃、影響範囲の確認、報告、改善方法の説明まで支援します。

主なペネトレーションテストの料金・期間・確認内容は次のとおりです。

料金と期間は対象範囲や攻撃シナリオによって変わります。何を対象にすべきか決まっていない場合も、守りたい情報や懸念している攻撃を伺い、必要なテスト内容を無料で提案します。詳しい比較は料金プラン一覧をご確認ください。

関連ページ

• ペネトレーションテストサービス — 対象範囲や実施内容を確認できます
• ペネトレーションテストの料金 — プランと費用の目安を確認できます
• ペネトレーションテスト会社の比較 — 依頼先の選び方と比較ポイントを解説します
• Webアプリケーションのペネトレーションテスト — Webサービスを対象とする診断内容を紹介します
• ネットワークペネトレーションテスト — 社内・外部ネットワークの侵入リスクを検証します