対象試験と出題頻度
ペネトレーションテスト（侵入テスト）は、情報セキュリティマネジメント・ITパスポート・基本情報技術者・応用情報技術者試験で出題される重要キーワードです。
「脆弱性診断」との違いがよく問われるので、両者の違いを明確に理解しておきましょう。
詳細をクリックして確認
情報セキュリティマネジメント
ITパスポート
基本情報技術者
応用情報技術者
★★★★☆
ランクA（重要）必ず覚えておくべき
用語の定義
ペネトレーションテスト（Penetration Test：侵入テスト）とは、一言で言うと「実際に攻撃者の視点でシステムへの侵入を試み、セキュリティ上の脆弱性や問題点を検証するテスト手法」のことです。「Penetration」は「侵入」を意味します。
イメージとしては、「泥棒役を雇って自宅のセキュリティを検証する」ようなものです。プロの泥棒（ホワイトハッカー）に「うちに侵入できるか試してみて」と依頼し、実際に鍵を開けようとしたり、窓から侵入を試みたりしてもらう。そして「ここの鍵は5分で開けられました」「この窓は無施錠でした」といったレポートをもらい、セキュリティを強化する。これがペネトレーションテストの考え方です。
情報処理試験を勉強していると、「脆弱性診断とペネトレーションテストって何が違うの？」と混乱しがちです。結論から言えば、脆弱性診断は「弱点を洗い出す」、ペネトレーションテストは「その弱点を使って実際に侵入できるか試す」。この違いを押さえれば、試験問題は確実に解けます。
📊 脆弱性診断とペネトレーションテストの違い
| 項目 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 目的 | 脆弱性を網羅的に洗い出す | 実際に侵入できるか検証する |
| アプローチ | ツールによる自動スキャンが中心 | 専門家による手動テストが中心 |
| 範囲 | 広く浅く（網羅性重視） | 狭く深く（侵入の実現性重視） |
| 成果物 | 脆弱性一覧と重要度評価 | 侵入経路と影響範囲のレポート |
| 例え | 家の全ての窓と鍵をチェック | 実際に侵入を試みる |
解説
ペネトレーションテストは、システムやネットワークのセキュリティを「攻撃者目線」で評価する実践的なテスト手法です。机上の評価ではなく、実際に攻撃を行うことで、本当に侵入されるリスクがあるのかを確認できます。
ペネトレーションテストの流れ
ペネトレーションテストは、一般的に以下の流れで実施されます。
①事前準備・スコープ定義では、テストの目的、対象範囲、禁止事項などを明確にします。「本番環境を対象にするか」「どこまで深く侵入を試みるか」などを事前に合意します。
②情報収集（偵察）では、対象システムに関する情報を収集します。公開情報（OSINT）、ポートスキャン、サービスの特定などを行います。
③脆弱性の特定では、収集した情報をもとに、悪用可能な脆弱性を特定します。
④侵入の試行では、特定した脆弱性を実際に悪用して、システムへの侵入を試みます。成功した場合は、さらに権限昇格や横移動（ラテラルムーブメント）を試みることもあります。
⑤報告書の作成では、発見した脆弱性、侵入経路、影響範囲、推奨対策などをまとめたレポートを作成します。
💡 ペネトレーションテストで検証する主な項目
① 外部からの侵入：インターネット経由で社内システムに侵入できるか
② 内部からの侵入：社内ネットワークに接続できた前提で、重要システムにアクセスできるか
③ Webアプリケーション：SQLインジェクションやXSSなどを悪用して侵入できるか
④ 無線LAN：Wi-Fiネットワークに不正接続できるか
⑤ ソーシャルエンジニアリング：人的な脆弱性（フィッシング等）を突けるか
ペネトレーションテストの種類
ペネトレーションテストは、テスト実施者に与えられる情報量によって分類されます。
ブラックボックステストは、対象システムに関する情報を一切与えずに実施するテストです。実際の攻撃者に最も近い状況を再現できますが、時間とコストがかかります。
ホワイトボックステストは、システム構成、ソースコード、ネットワーク図などの詳細情報を与えて実施するテストです。効率的に深い検証ができますが、現実の攻撃シナリオとは異なる場合があります。
グレーボックステストは、一部の情報（例：ユーザーアカウント情報）のみを与えて実施するテストです。ブラックボックスとホワイトボックスの中間的なアプローチです。
📊 テスト種類の比較
| 種類 | 与える情報 | 特徴 |
|---|---|---|
| ブラックボックス | なし（外部攻撃者視点） | 現実に近いが時間がかかる |
| ホワイトボックス | すべて（内部情報開示） | 効率的だが現実と異なる |
| グレーボックス | 一部（限定的な情報） | バランス型 |
ペネトレーションテストを実施する理由
ペネトレーションテストは、以下のような目的で実施されます。
実際のリスクの把握として、脆弱性診断で「高リスク」と評価された脆弱性が、本当に侵入に悪用できるのかを確認します。「脆弱性はあるが、侵入は困難」という結果になることもあります。
防御策の有効性検証として、導入しているファイアウォール、IPS、WAFなどのセキュリティ対策が、実際の攻撃に対して機能するかを検証します。
コンプライアンス対応として、PCI DSS（クレジットカード業界のセキュリティ基準）など、一部の規制ではペネトレーションテストの定期実施が求められます。
インシデント対応力の向上として、テスト中に検知・対応できるかを確認し、SOCやCSIRTの対応力を評価することもあります。
⚠️ ペネトレーションテストの注意点
① 許可なく実施すると犯罪：自社システムであっても、関係者の許可なく実施すると不正アクセス禁止法に抵触する可能性
② 本番環境への影響：テスト中にシステムがダウンしたり、データが破損したりするリスクがある
③ 専門知識が必要：効果的なテストには高度なスキルを持つ専門家が必要
④ 一時点の評価：テスト時点でのセキュリティ状態を評価するものであり、継続的な監視の代わりにはならない
ペネトレーションテストは、必ず経営層の承認を得て、契約書を交わしてから実施します。
試験ではこう出る！
ペネトレーションテストは、情報セキュリティマネジメント・ITパスポート・基本情報・応用情報技術者試験で頻出のキーワードです。「脆弱性診断との違い」は定番の出題パターンなので、確実に区別できるようにしておきましょう。
【試験で狙われるポイント】
- ペネトレーションテスト = 実際に侵入を試みて脆弱性を検証
- 脆弱性診断 = 脆弱性を網羅的に洗い出す（侵入はしない）
- 攻撃者の視点でシステムのセキュリティを評価
- ブラックボックス、ホワイトボックス、グレーボックスの3種類
- 許可を得て実施する「合法的なハッキング」
試験問題で「実際にシステムへの侵入を試み、脆弱性が悪用可能かを検証する」という記述があれば、それは「ペネトレーションテスト」に関する記述です。「脆弱性を一覧化する」「網羅的に調査する」なら「脆弱性診断」です。
試験ではここまで押さえておけばOKです。ペネトレーションテストの具体的なツール（Metasploitなど）や詳細な手法までは問われないので、「実際に侵入を試みる」という点を確実に理解しておきましょう。
📊 セキュリティ評価手法の整理（試験対策）
| 手法 | 特徴 |
|---|---|
| 脆弱性診断 | 脆弱性を網羅的に洗い出す（侵入はしない） |
| ペネトレーションテスト | 実際に侵入を試みて脆弱性を検証 |
| レッドチーム演習 | より実践的・包括的な攻撃シミュレーション |
| セキュリティ監査 | ポリシーや規程への準拠状況を確認 |
📝 IPA試験での出題ポイント
ペネトレーションテストは「Penetration（侵入）」という名前がキーポイントです。「実際に侵入を試みる」点が脆弱性診断との最大の違いです。「泥棒役を雇って自宅のセキュリティを検証する」というイメージで覚えましょう。
また、ホワイトハッカー、倫理的ハッキングといった関連用語も出題されることがあります。
【確認テスト】理解度チェック
ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。
Q. ペネトレーションテスト（侵入テスト）に関する説明として、最も適切なものはどれでしょうか？
- A. ツールを使用してシステムの脆弱性を網羅的にスキャンし、一覧として報告する手法
- B. プログラムやファイルを隔離された環境で実行し、マルウェアかどうかを判定する手法
- C. 実際に攻撃者の視点でシステムへの侵入を試み、脆弱性が悪用可能かを検証する手法
正解と解説を見る
正解：C
解説：
ペネトレーションテスト（Penetration Test：侵入テスト）は、実際に攻撃者の視点でシステムへの侵入を試み、セキュリティ上の脆弱性が本当に悪用可能かを検証するテスト手法です。「Penetration」は「侵入」を意味し、机上の評価ではなく、実際に攻撃を行うことで、本当のリスクを把握できます。専門家（ホワイトハッカー）が許可を得て実施する「合法的なハッキング」です。
選択肢Aは「脆弱性診断」の説明です。脆弱性診断は脆弱性を洗い出しますが、実際に侵入を試みるわけではありません。選択肢Bは「サンドボックス」の説明であり、いずれもペネトレーションテストとは異なります。
