ペネトレーションテスト

実際の攻撃手法を用いてシステムの脆弱性を検証するテスト。攻撃者の視点から侵入を試み、セキュリティ対策の有効性を評価する。侵入テストとも呼ばれる。

攻撃者の視点でシステムに擬似的な攻撃を行い、セキュリティの弱点を検証するテスト。脆弱性診断で見つかった脆弱性が実際に悪用可能かどうかを確認し、攻撃による影響範囲を評価する。侵入テストとも呼ばれる。

対象システムに対して実際に攻撃を試み、セキュリティ上の脆弱性や侵入経路を検証するテスト。専門のテスターが攻撃者の視点で疑似攻撃を行い、防御策の有効性を評価する。

攻撃者と同じ手口で実際に侵入を試み、システムの防御が突破できるかを検証するテスト。脆弱性を網羅的に列挙する脆弱性診断と異なり、侵入経路をつないで目的の資産に到達できるかという実効性を確かめる点に主眼がある。

攻撃者の視点からシステムへの侵入を試みることで、セキュリティ上の脆弱性を検出するテスト手法。外部からの侵入テストと内部からの侵入テストがあり、実際の攻撃手法を模倣して実施する。

攻撃者の視点でシステムに対して実際に攻撃を試み、セキュリティ上の弱点を発見するテスト手法。ネットワーク、Webアプリケーション、IoT機器などを対象に、脆弱性の悪用可能性や侵入の影響範囲を検証する。脆弱性診断より実践的な評価が得られる。

攻撃者と同じ手法で実際にシステムへの侵入を試み、セキュリティ対策が有効に機能しているかを検証するテスト。「機密情報を持ち出せるか」のような目的を定めて実施し、複数の脆弱性を組み合わせた攻撃のシナリオでどこまで到達できるかを確かめる。網羅的に脆弱性を洗い出す脆弱性診断に対し、実際の被害につながるかを評価する点が異なる。

システムがセキュリティの要件を満たし、脆弱性がないかを確かめるテスト。認証やアクセス制御などの機能の確認に加え、脆弱性診断やペネトレーションテストで、実際の攻撃の手法で侵入や情報の漏えいが起きないかを確かめる。

組織の許可を得たうえで、攻撃者と同じ技術を使ってシステムの脆弱性を調べ、対策のために報告するセキュリティの専門家。ホワイトハッカーともいう。ペネトレーションテストや脆弱性診断、脆弱性を報告して報奨金を受け取るバグバウンティなどで活動する。

情報セキュリティ監査、脆弱性診断、デジタルフォレンジック、セキュリティ監視・運用、機器検証の各サービスについて、一定の品質を保つために満たすべき技術要件と品質管理要件を定めた経済産業省の基準。審査を経て基準を満たすとされたサービスはIPAの「情報セキュリティサービス基準適合サービスリスト」に掲載され、利用者がサービスを選ぶ目安となる。