ペネトレーションテストとは？メリットや実施方法などを徹底解説！

ペネトレーションテストとは

ペネトレーションテストの概要と、脆弱性診断との違いをそれぞれ解説します。

コンピュータの安全性を把握するために行うテスト

ペネトレーションテストとは、インターネットといった外部ネットワークを通じ、コンピュータシステムの安全性を調べる方法を指します。「疑似アタックテスト」「ペンテスト」とも呼ばれます。既知のサイバー攻撃を疑似的に行うことで、システムの脆弱性や不備の有無を発見可能です。

ペネトレーションテストでは、システムの種類によってさまざまな疑似攻撃を試みます。DoS攻撃を行ってサーバ負荷の程度を調べたり、外部からのアクセスでシステムの乗っ取りを試みたりします。

脆弱性診断との違い：目的や調査方法

ペネトレーションテストは、特定のシステムがサイバー攻撃を受けた際のリスクを知るため実施します。

調査は指定されたシステムやWebアプリケーションなど、対象を絞って行われます。したがって、調査方法は対象ごとに異なるケースがほとんどです。基本的にはシステムの構成に応じて想定される攻撃シナリオを作成し、それに沿って攻撃したり、攻撃者が実際に使用しているツールを用いたりします。

一方、脆弱性診断の目的はシステムの脆弱性や不備を網羅的に把握することです。対象はWebアプリケーションやサーバ、ルーターなど、広範囲に及びます。調査方法はツールやガイドラインに従った定型的な方法で行うケースが一般的です。

ペネトレーションテストを行うメリット

ペネトレーションテストでは、調査対象に応じてさまざまな攻撃を行います。あるシステムでは攻撃を防御できたが、あるWebアプリケーションでは簡単に突破された、というセキュリティホールを可視化できるのです。この方法だとシステムの脆弱性や不備を特定しやすいため、具体的なセキュリティ対策を講じられます。

こうしてセキュリティを強化していけば、全体的に攻撃されるリスクの低いシステム環境が完成するでしょう。さらに、テストとして実施するため、実際にシステムに被害が及ぶこともなく安全です。

ペネトレーションテストの流れ・方法

ペネトレーションテストは、提供サービスやツールよってテスト価格が異なります。しかし、中には無料で使えるフリーツールもあります。自社で実施するテスト項目に応じて最適なツールを選ぶと良いでしょう。ここからは、一般的なペネトレーションテストの流れやその種類を解説します。

流れ：準備・テスト・報告書の３ステップで行う

ペネトレーションテストの基本的な流れは以下のとおりです。

１．準備

テストに必要な情報収集を行うため、システム・ネットワーク環境構成のヒアリングを実施します。ログの取得・機密情報の保管状況を考慮してテストの範囲を決定し、それを基に攻撃シナリオを作成します。

２．テスト

疑似攻撃を実施します。発見した脆弱性のうち、システムへの侵入といった、リスクの高いものの洗い出しを行います。複数の攻撃を駆使し、目的を達成できるか判断するケースもあるようです。

３．報告書

テストの結果を基に、脆弱性や不備の分析を行い、その詳細や攻撃経路などを報告書にまとめます。

報告書の納品から期間を定めてサポートを提供したり、問題の見つかったシステムの再検査を有償で行ったりするベンダーもあります。

方法：４種類のテストが存在する

ペネトレーションテストにおける攻撃・侵入方法は以下のとおりです。

内部ペネトレーションテスト

攻撃者がすでに内部へ侵入していることを想定したテスト

外部ペネトレーションテスト

攻撃者が外部から侵入することを想定したテスト

ホワイトボックステスト

システムの設計書やソースコードなどを把握した上で、脆弱性を見つけるテスト

ブラックボックステスト

システムに関する情報を検査者に教えず調査するテスト

攻撃のシナリオに合わせ、実施するテストを決定します。複数のテストを組み合わせる場合もあります。

ペネトレーションテストの実施でセキュリティ向上を目指そう

ペネトレーションテストはサイバー攻撃を疑似的に行い、システムの安全性を調査します。攻撃された際のリスク把握が目的で、セキュリティ強度を評価できます。テストは準備→テスト→報告の流れで行われ、その種類は以下のとおりです。

• ■内部ペネトレーションテスト
• ■外部ペネトレーションテスト
• ■ホワイトボックステスト
• ■ブラックボックステスト

自社に最適なペネトレーションテストを実施し、セキュリティの向上に努めましょう。