用語集・脆弱性と診断
ペネトレーションテスト
Penetration Testing
ペネトレーションテスト（Penetration Testing）は、取り決めた条件の下で実際の攻撃者の手口をまね、守りの仕組みを突破できるかを確かめる試験である。
別の呼び方 ペネトレ、侵入試験、侵入テスト、ペンテスト
要点
- 意味 ペネトレーションテスト（Penetration Testing）は、取り決めた条件の下で実際の攻撃者の手口をまね、守りの仕組みを突破できるかを確かめる試験です。
- 中小企業にとって 個々の弱点は小さくても、組み合わせると社内の奥まで入られることがあり、それは実際に攻めてみないと見えにくい。
- このサイトでは 攻撃手法 2 種、事例 2 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
個々の弱点は小さくても、組み合わせると社内の奥まで入られることがあり、それは実際に攻めてみないと見えにくい。
本物の攻撃と同じ道具を使うことが多いため、範囲や時間、止めてはいけないシステムを事前に決めずに行うと業務に影響しうる。
まず脆弱性診断で基本の弱点を直し、そのうえで外部接続の入口から社内への広がりを確かめたいときに検討するのが順番である。
よくある誤解
- 誤解ペネトレーションテストで見つからなければ、侵入される心配はない
- 実際ペネトレーションテストは決められた範囲と条件の中で行う試験であり、範囲外や試験後に生まれた弱点までは確かめていない。
- 誤解模擬の試験なので、本番のシステムには影響しない
- 実際NISTは、ペネトレーションテストが実際の攻撃者と同じ道具や手口で本物のシステムとデータに攻撃をかけることが多いとしている。事前の範囲と条件の取り決めが欠かせない。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法横展開
最初の足がかりから社内で広がる手口であり、ペネトレーションテストは入口から奥へ進めるかを確かめる試験に当たる。
- 攻撃手法VPN・エッジ機器の脆弱性悪用
VPN機器などの入口の弱点を突く手口であり、外部接続の入口から侵入できるかはペネトレーションテストで確かめる対象になる。
- 事例岡山県精神科医療センター
記録は管理者のIDとパスワードの使い回しが侵入後の資格情報窃取と水平展開を容易にしたとしており、弱点の組み合わせで被害が広がった例である。
- 事例アサヒ
記録はネットワーク機器経由で侵入され、パスワードの脆弱性を突かれて管理者権限を奪われたとしており、入口から管理者権限までの経路が問われた例である。
出典
- penetration testing - Glossary | CSRC NIST
- SP 800-115 Technical Guide to Information Security Testing and Assessment NIST・2008-09
- 情報セキュリティサービス基準適合サービスリスト IPA・2026-10-09
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）