ペネトレーションテスト
攻撃者と同じような手法で実際に攻撃を試み、システムのセキュリティの仕組みを回避できるかを確かめる試験です（英語では penetration testing。侵入テスト、侵入試験とも呼び、ペンテストと略すこともある）。CISSP では
CISSPドメイン6 セキュリティの評価と試験で扱います。自動の
脆弱性スキャンより踏み込んで、見つかった弱点が実際に悪用できるかを確かめます。
定義
NIST SP 800-115（技術的なセキュリティの試験と評価の手引き、2008年9月）は、ペネトレーションテストを「評価者が現実の攻撃をまねて、アプリケーション・システム・ネットワークのセキュリティの機能を回避する方法を見つける、セキュリティの試験」としています。現実のシステムとデータに対して、攻撃者がよく使う道具と手法で、実際に攻撃を行うことが多いとも書いています。また、多くのペネトレーションテストは、1つの脆弱性だけでは得られない、より大きなアクセスを得るための、脆弱性の組み合わせを探すとしています。NIST SP 800-53 Rev. 5 の用語集は、ペネトレーションテストを、評価者が、通常は特定の制約の下で、システムのセキュリティの機能を回避したり無効にしたりしようとする試験の方法としています。
SP 800-115 は、ペネトレーションテストが次のことを確かめるのにも役立つとしています。
- 現実の攻撃のパターンに、システムがどこまで耐えるか
- 攻撃者に、どの程度の技量が必要か
- 脅威を減らすために、ほかにどんな対策がありうるか
- 守る側が攻撃を検知し、適切に対応できるか
進め方
SP 800-115 は、一つの例として、ペネトレーションテストを4つの段階に分けています（分け方はほかにもありうるとしています）。
| 段階 |
内容 |
| 計画 |
規則を決め、経営層の承認を得て文書にし、試験の目標を決める。この段階では試験をしない |
| 発見 |
情報を集め、調べて、対象と、ありうる脆弱性を洗い出す |
| 攻撃 |
洗い出した脆弱性が、実際に悪用できるかを試して確かめる。成功すれば、脆弱性があることが確かめられ、それを減らす対策を決める |
| 報告 |
ほかの3つの段階と並行して進める。最後に、見つかった脆弱性、リスクの評価、対策の手引きを報告書にまとめる |
試験の立場
SP 800-115 は、試験を2つの軸で分けています。
- 外部と内部：外部からの試験は、組織の境界の外から、外部の攻撃者が悪用しうる脆弱性を探す。内部からの試験は、組織のネットワークの内側から行う
- 公然と秘密：公然の試験は、組織の IT の担当が知り、同意したうえで行う。担当が影響を抑える手助けをでき、担当の学びの機会にもなる。秘密の試験は、IT の担当には知らせず、上級の経営層が十分に知り許可したうえで行う。目的は、攻撃者が与えうる損害や影響を調べることで、すべての脆弱性を見つけることではない
SP 800-115 は、公然の試験を「ホワイトハット」、秘密の試験を「ブラックハット」の試験とも呼んでいます。ここでの「ブラックハット」は、一般に言う悪意のある攻撃者のことではありません。また、評価者が対象の情報をどれだけ持つかで分ける「ブラックボックス／ホワイトボックス」とは別の軸です（筆者の注記）。
違い・誤解しやすい点
- [[脆弱性スキャン]]との違い：脆弱性スキャンは、既知の脆弱性の情報と照らし合わせて、脆弱性がありそうな所を自動で洗い出します。ペネトレーションテストは、それが実際に悪用できるかを確かめます。NIST SP 800-53 Rev. 5（セキュリティとプライバシーの管理策の一覧。どれを求めるかは組織がシステムの重要度に応じて選ぶ）の管理策 CA-8 の解説も、ペネトレーションテストは自動の脆弱性スキャンを超えるもので、技量と経験を示せる担当が行うとしています
- レッドチーム演習との違い：SP 800-53 の CA-8(2)（「(2)」は管理策 CA-8 の2番目の拡張を表す）の解説は、レッドチーム演習を、ペネトレーションテストの目的を広げ、組織のセキュリティの状態と、防御を実行する能力を調べるものとしています。ソーシャルエンジニアリングを含むこともあり、主に試験環境で行うこともあるペネトレーションテストに比べ、現実の条件を反映した評価になるとしています。SP 800-115 は、現実のシステムとデータに攻撃を行うことが多いとしつつ、本番の複製での試験も影響を減らす手段に挙げています
- レッドチームとブルーチーム：ISC2 の試験アウトライン（2024年4月15日発効）は、ペネトレーションテストの例として、レッド・ブルー・パープルのチームの演習を挙げています（2027年4月15日発効の版では、この例示は外れます）。NIST の用語集は、CNSSI 4009-2022（米国の国家安全保障システム委員会の用語集）から、レッドチームを「企業のセキュリティの状態に対して、攻撃者になりうる者の攻撃や悪用の能力をまねるよう、許可され組織された集団」、ブルーチームを「攻撃役（レッドチーム）に対して、企業の情報システムのセキュリティの状態を保って守る責任を持つ集団」と定義しています
- 「問題が見つからなければ安全」：上の用語集の定義のとおり、ペネトレーションテストは通常、特定の制約の下で行います。CA-8 の解説も、決めた制約（時間・資源・技量）の範囲の攻撃者に、システムがどこまで耐えるかを確かめられるとしています。見つからなかったことは、脆弱性が無いことの証明にはなりません（筆者の整理）
- 「試験だから止まらない」：SP 800-115 は、ペネトレーションテストの最中にシステムが損なわれたり、動かなくなったりすることがあり、そのリスクは経験のある担当でも無くしきることはできないとしています。慎重な検討、関係者への通知、計画の後にだけ行うよう求めています
安全に行うために
SP 800-115 と SP 800-53 から、依頼する側が押さえることを並べた筆者の整理です。
| 項目 |
内容 |
| 承認と範囲 |
計画の段階で、経営層の承認を得て文書にし、目標を決める（SP 800-115）。試験を始める前に、すべての関係者が実施の規則（Rules of Engagement）に合意する（CA-8 の解説） |
| 対象の確認 |
対象として渡された公開の IP アドレスが、すべて依頼した組織の管理の範囲にあるかを、試験の前に確かめる（SP 800-115） |
| 試験中の事故の扱い |
評価者がインシデントを起こしたり見つけたりしたときの扱いと、主と予備の連絡先を、計画に書いておく（SP 800-115） |
| 止める境界 |
秘密の試験では、決めた水準のアクセスを得た時点などで止める境界を決めておく。本物の対応が始まらないよう、信頼できる第三者に仲介させる組織もある（SP 800-115） |
| 影響を減らす |
技量のある評価者、詳しい計画、評価者の活動の記録、業務時間外の実施、本番の複製（開発のシステムなど）での試験などで、影響を減らす（SP 800-115）。物理的な試験では、警備の担当が評価者の正当性を確かめる方法（連絡先や書類）を知っておく（SP 800-115） |
| 法務の確認 |
侵入を伴う試験では、法務の担当が関わることを勧めている。外部に依頼するときは、責任の範囲や秘密保持の取り決めを契約で決め、プライバシーの懸念も事前に扱う（SP 800-115） |
| 情報の扱いと後片付け |
評価者が、法令で守られた情報に触れることがある。その扱いを、実施の規則や契約で伝える（CA-8 の解説）。評価が終わったときのシステムからのデータの削除なども、計画で扱う（SP 800-115） |
| 独立性 |
開発・運用・管理と利害関係の無い担当や組織に試験させる（CA-8(1)） |
| 直す |
報告された脆弱性を、リスクに応じて直す（脆弱性管理） |
日本で働くなら
2026年10月時点の内容に基づきます。
| 考え方 |
日本で対応するもの |
| 許可のない試験は違法になりうる |
不正アクセス禁止法第2条第4項は、不正アクセス行為から、そのアクセス制御機能を付加したアクセス管理者がするものと、そのアクセス管理者の承諾を得てするものを除いている。脆弱性を突く型（第2号・第3号）は、利用権者の承諾だけでは除かれない。試験の前に、対象のシステムの利用を制限しているアクセス制御機能を付加したアクセス管理者（第3号の型では、そのアクセス制御機能を持つ別のコンピュータのアクセス管理者）の承諾を得て、範囲を書面で決める。依頼者がアクセス管理者でない場合（委託先や、クラウド・データセンターで動くシステムなど）は、承諾の権限を持つ者を確かめる（この2文は筆者の整理） |
| 試験を依頼する先を探す |
IPA（情報処理推進機構）は、経済産業省の「情報セキュリティサービス基準」に適合すると審査登録機関に認められたサービスを、「情報セキュリティサービス基準適合サービスリスト」として、脆弱性診断サービス（オプションのペネトレーションテスト（侵入試験）サービスを含む）などの区分で公開している。IPA は、掲載は IPA がその事業者やサービスについて何かを請け合うものではないとしている |
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:18
