ペネトレーションテストとは？侵入できるかを実際に確認する検査【SG試験】

まず結論

ペネトレーションテストとは、ネットワークや情報システムに対して、攻撃者の視点で実際に侵入を試み、脆弱性を悪用された場合の影響を確認する検査です。

SG試験では、「実際に侵入を試みるテストか」、それとも 「仕様やソースコードを確認するレビューか」 を切り分けることが大切です。

選択肢で、

と書かれていたら、ペネトレーションテストを疑います。

ペネトレーションテストは、建物でいうと 「本当に侵入できてしまうかを試す防犯チェック」 に近いです。

鍵の一覧表を見るだけでは、実際に入れるかどうかは分かりません。そこで、許可された範囲で、入口・窓・裏口などを確認し、実際に侵入できる経路がないかを調べます。

情報システムでも同じです。

ファイアウォール、サーバ、Webアプリケーション、認証設定などに弱点があると、攻撃者に悪用される可能性があります。ペネトレーションテストでは、その弱点が 実際の侵入につながるか を確認します。

ペネトレーションテストは、対象システムに対して、許可された範囲で疑似的な攻撃を行うセキュリティテストです。

基本的な流れは、次のように考えると分かりやすいです。

IPAの情報セキュリティサービス基準適合サービスリストでも、ペネトレーションテストは「侵入試験」として扱われ、脆弱性診断サービスの関連サービスとして整理されています。
IPA：情報セキュリティサービス基準適合サービスリスト

ここで大切なのは、ペネトレーションテストは 攻撃そのものを目的にするものではない という点です。

目的は、攻撃を成功させることではなく、組織が把握していないリスクを見つけ、対策につなげることです。

ペネトレーションテストは、次のような場面で使われます。

SG試験では、特に 「リスク対応として何を確認したいのか」 が問われます。

たとえば、単に「仕様どおりに作られているか」を確認したいなら、レビューやインスペクションが適切です。

一方で、

を確認したいなら、ペネトレーションテストが適切です。

ただし、実施には注意が必要です。

本番環境に対して無計画に行うと、サービス停止やデータ破損につながるおそれがあります。そのため、対象範囲、実施時間、禁止事項、緊急連絡先などを事前に決めておく必要があります。

ペネトレーションテストは、ほかのテストやレビュー手法と混同されやすいです。

特に、添付の例題のように、選択肢に 「ネットワークに接続された情報システムに対して、実際に侵入を試みる」 という内容があれば、ペネトレーションテストを選びます。

誤解1：脆弱性診断と同じものだと思う

脆弱性診断は、弱点を見つけることが中心です。
ペネトレーションテストは、その弱点が実際に侵入につながるかを検証します。

誤解2：プログラムを人の目で確認することだと思う

人の目で仕様書やプログラムを確認するのは、ソフトウェアインスペクションです。
実際にシステムへ侵入を試みるなら、ペネトレーションテストです。

誤解3：変更後の不具合確認だと思う

変更後に、以前正常だった機能が壊れていないか確認するのは、リグレッションテストです。
侵入の可否を確認するものではありません。

試験では、「実際に侵入を試みる」ならペネトレーションテスト と判断すると、選択肢を切りやすくなります。