ペネトレーションテスト

ペネトレーションテストとは何か

**ペネトレーションテスト（侵入テスト、ペンテスト）**は、許可を得た上で攻撃者と同じ視点でシステムへの侵入を実際に試み、どの弱点が本当に悪用できるのか、悪用されたらどこまで被害が及ぶのかを確かめる診断です。

肝は「実際にやってみる」ことです。机上で「ここが危なそう」と指摘するだけでなく、本物の攻撃者と同じように穴を突いて、どこまで侵入できるかを体当たりで検証します。これにより、「理屈の上では危険だが実際には悪用できない問題」と、「実際に突破口になる致命的な問題」を区別できます。

目的は破壊ではなく、攻撃される前に自分たちで弱点を見つけて塞ぐことです。守る側が、攻撃側の発想で自分のシステムを点検する――いわば予行演習にあたります。

脆弱性スキャンとの違い

ペンテストと混同されやすいのが**脆弱性スキャン（脆弱性診断）**です。両者は補い合う関係ですが、やっていることは別物です。ここを取り違えると、必要な深さの点検ができません。

観点	脆弱性スキャン	ペネトレーションテスト
主体	ツールによる自動診断が中心	人（テスター）の判断と手作業が中心
やること	既知の弱点の候補を機械的に列挙	実際に突いて、悪用できるかを検証
深さ	浅く広く（網羅性重視）	深く（突破口を追って横展開）
成果	検出項目の一覧	侵入経路・影響・再現手順・修正提案
頻度	高頻度で繰り返せる	都度の計画が必要で頻度は低い

スキャンは「穴の候補を網羅的にリストアップ」するのが得意で、安価に何度でも回せます。ただし、検出されたものが本当に悪用できるかまでは踏み込みません（誤検知も含まれます）。

ペンテストは逆に、人が実際に突いて「どこまで行けるか」を確かめます。複数の小さな弱点を組み合わせて深部に到達する、といった攻撃者ならではの発想は、機械的なスキャンでは再現しにくい領域です。実務では「まずスキャンで広く拾い、重要なシステムはペンテストで深く検証する」と使い分けます。

進め方（典型的な流れ）

ペンテストは行き当たりばったりではなく、おおむね決まった段階を踏みます。たとえば偵察で見つけた入口を、侵入段階で実際に突く、といった具合に前段の成果を次段へつなげていきます。

# 偵察：開いているポートやサービスを洗い出す（イメージ）
80/tcp   open   http
443/tcp  open   https
# → 見つかったエンドポイントに対し、侵入段階で実際に弱点を突いていく
POST /login HTTP/1.1   ← 認証回りの弱点を検証、など

各段階の役割は次のとおりです。

段階	内容
計画・スコープ	対象範囲・手法・期間・許可を取り決める
偵察（情報収集）	公開情報やスキャンで攻撃面を洗い出す
侵入（攻撃）	見つけた弱点を実際に突いて足がかりを得る
深掘り（横展開・権限昇格）	内部を移動し、より高い権限・重要資産を狙う
報告	経路・影響・再現手順・修正案をまとめる

• 計画・スコープ：何を対象とし（どこは触らないか）、どの手法を許すかを合意します。最も重要な準備です。
• 偵察：公開情報や 脆弱性スキャン で、入口になり得る箇所を洗い出します。
• 侵入：弱点を実際に突いて足がかりを得ます。SQL インジェクション や XSS など、見つけた穴を悪用します。
• 深掘り：一点を破ったら終わりではなく、内部を横移動（lateral movement）し、権限昇格 を狙って「最悪どこまで到達できるか」を確かめます。
• 報告：経路・影響・再現手順・修正提案を文書化します。これが最終成果物です。

スコープと種類

事前に決める**スコープ（範囲）**と、テスターにどこまで情報を渡すかで、ペンテストの性格が変わります。

種類	テスターが持つ情報	想定する攻撃者
ブラックボックス	ほぼ無し（外部の攻撃者と同じ）	外部の見知らぬ攻撃者
グレーボックス	一部（一般ユーザー権限など）	一般利用者・内部の足がかりを得た攻撃者
ホワイトボックス	設計・ソースコードまで開示	内部事情に通じた攻撃者・徹底検証

ブラックボックスは実戦に近い反面、限られた時間で表面しか見られないこともあります。ホワイトボックスは情報を全開示して網羅的に深く検証でき、効率は高い一方で「未知の攻撃者の視点」とは離れます。目的に応じて選びます。

まとめ

ペネトレーションテストは、許可を得た上で攻撃者の視点から実際に侵入を試み、弱点が本当に悪用できるか、その影響はどこまで及ぶかを人の手で検証する診断です。穴の候補を機械的に列挙する 脆弱性スキャン とは深さも目的も異なり、両者は補い合います。

実施にあたっては、スコープと許可の取り決めが技術以前の大前提です。計画→偵察→侵入→深掘り→報告の流れで進め、再現手順と修正提案を成果物として残すことで、見つけた弱点を確実に塞ぐ行動へつなげます。検出される具体的な弱点は SQL インジェクション や XSS、設計上の対策は 最小権限の原則 や OWASP Top 10 と合わせて押さえておくとよいでしょう。