ペネトレーションテスト

実際の攻撃手法を用いてシステムの脆弱性を検証するテスト。攻撃者の視点から侵入を試み、セキュリティ対策の有効性を評価する。侵入テストとも呼ばれる。

攻撃者の視点でシステムに擬似的な攻撃を行い、セキュリティの弱点を検証するテスト。脆弱性診断で見つかった脆弱性が実際に悪用可能かどうかを確認し、攻撃による影響範囲を評価する。侵入テストとも呼ばれる。

対象システムに対して実際に攻撃を試み、セキュリティ上の脆弱性や侵入経路を検証するテスト。専門のテスターが攻撃者の視点で疑似攻撃を行い、防御策の有効性を評価する。

攻撃者と同じ手口で実際に侵入を試み、システムの防御が突破できるかを検証するテスト。脆弱性を網羅的に列挙する脆弱性診断と異なり、侵入経路をつないで目的の資産に到達できるかという実効性を確かめる点に主眼がある。

攻撃者の視点からシステムへの侵入を試みることで、セキュリティ上の脆弱性を検出するテスト手法。外部からの侵入テストと内部からの侵入テストがあり、実際の攻撃手法を模倣して実施する。

実際の攻撃者と同じ手法で、対象のシステムやネットワークへの侵入を試み、目的とする情報の取得や操作ができてしまうかを確かめる検査。侵入テストとも呼ぶ。脆弱性を網羅的に洗い出す脆弱性診断と異なり、攻撃の筋道を想定して、対策が実際の攻撃に耐えられるかを評価する。

攻撃者と同じ手法で実際にシステムへの侵入を試み、セキュリティ対策が有効に機能しているかを検証するテスト。「機密情報を持ち出せるか」のような目的を定めて実施し、複数の脆弱性を組み合わせた攻撃のシナリオでどこまで到達できるかを確かめる。網羅的に脆弱性を洗い出す脆弱性診断に対し、実際の被害につながるかを評価する点が異なる。

Lockheed Martin社が提唱したサイバー攻撃の段階モデル。偵察、武器化、配送、攻撃、インストール、遠隔操作（C&C）、目的達成の7段階で攻撃を分析し、各段階での防御策を検討する。

MITRE社が開発・公開している、サイバー攻撃の戦術（Tactics）と技法（Techniques）を体系的に分類したナレッジベース。攻撃者の行動パターンを理解し、防御策の検討やセキュリティ製品の評価に活用される。過去問でも出題されている。

政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価・登録することによって、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度。ISMAP-LIUはリスクの小さいSaaSサービスを対象とした制度。

攻撃者がシステムに対して攻撃を仕掛ける可能性のある全てのポイント（入口）の総称。ネットワークポート、API、Webフォーム、ユーザーインターフェースなどが含まれ、アタックサーフェスの最小化がセキュリティ設計の基本原則となる。

IT製品やシステムのセキュリティ機能を評価するための国際標準規格（ISO/IEC 15408）。EAL（Evaluation Assurance Level）1〜7の保証レベルで評価し、ST（セキュリティターゲット）やPP（プロテクションプロファイル）を用いてセキュリティ要件を定義する。

米国NISTが策定した暗号モジュールのセキュリティ要求事項に関する規格。暗号アルゴリズムの実装、鍵管理、物理的セキュリティなどを規定し、レベル1〜4の4段階でセキュリティ強度を評価する。IT製品の暗号機能の信頼性を保証するために使用される。現行版はFIPS 140-3。