ペネトレーションテストとは？脆弱性診断との違いや種類、手法、やり方をわかりやすく解説

1-1. 脆弱性診断（セキュリティ診断）との違い

システムセキュリティ対策がどこまで有効かを確認する方法として、「脆弱性診断」があります。一見ペネトレーションテストと似ていますが、目的が異なります。

ペネトレーションテストの目的は、システムのセキュリティ機能を回避するような攻撃が成功するかを検証することです。対して、脆弱性診断はシステム全体を対象に既存の脆弱性や設定ミスなどのセキュリティ上の問題点を洗い出すことが目的です。幅広く検証しますが、見つかった問題を「実際に悪用してどこまで侵入できるか」までは検証しない点が大きな違いです。

このように、ペネトレーションテストは「攻撃成功の可能性を実践的に確認するテスト」、脆弱性診断は「問題点を洗い出す調査」であり、それぞれ役割が異なります。組織のセキュリティ状況や目的にあわせて適切に使い分けることが大切です。

2-1. 外部ペネトレーションテスト

外部ペネトレーションテストとは、攻撃者の視点で外部から組織のネットワークやシステムへのアクセスを目的に擬似的な攻撃を行う手法です。外部からの攻撃に対する防御力や情報漏洩リスクを評価することを目的としています。

外部ペネトレーションテストの対象は、Webサイトやアプリ、クラウドサービス、ネットワーク機器などです。攻撃者が外部からどこまで侵入できるのかを検証することが目的で、実際の攻撃を模した複数の手法を駆使して防御策の堅牢性を評価します。

2-2. 内部ペネトレーションテスト

外部からの攻撃だけではなく、組織内部からの脅威も存在します。内部ペネトレーションテストは、外部からアクセスできない内部システムに対して、従業員や管理者など内部関係者による不正アクセスや、境界防御を突破されて内部に侵入されてしまった状況を想定した検証を行う手法です。

以下のようなリスクを想定してシナリオを作成します。

内部ペネトレーションテストの対象は、組織内LAN（ローカルエリアネットワーク）や内部で使用しているアプリ、データベース、従業員のデスクトップPCやラップトップ端末です。

従業員やシステムの管理者による不正行為のリスクがないか、攻撃者が内部に侵入してしまった場合にどれだけ耐えられるのかを評価します。内部ペネトレーションテストを行うことで、情報漏洩や不正アクセスのリスクを事前に発見し、対策を講じることが可能です。

3-1. ブラックボックス型

ブラックボックス型は、対象システムの内部情報を一切知らない状態で行うペネトレーションテストです。外部の攻撃者と同じ条件でアクセスを試みる状況を再現できるため、リアルな攻撃シナリオでセキュリティ耐性を評価できます。

ブラックボックス型の特徴は以下のとおりです。

• テスト対象のIPアドレスやドメイン名など最小限の情報を共有する
• 実際の攻撃者と同じ条件でセキュリティ耐性を評価できる

ブラックボックス型では、攻撃者がどこまで侵入可能か、情報収集から脆弱性の悪用、権限奪取までの一連のプロセスを客観的に観察できます。これにより、発見された脆弱性がどの程度深刻なもので、実際に悪用可能かといった現実的なリスクの把握に役立ちます。

ただし、あくまで攻撃者視点に限定されるため、システム全体の脆弱性を包括的に把握するには不向きです。費用対効果については、目的やシステム環境によって異なるため、比較検討の際は自社の状況にあわせて適切な手法を選択することが重要です。

ブラックボックス型は実際のサイバー攻撃に近い条件で被害範囲や影響を可視化できるという利点があり、実効的なセキュリティ改善策の検討に大きく貢献します。

3-2. ホワイトボックス型

ホワイトボックス型は、システム内部の詳細な情報を共有したうえで実施するペネトレーションテストです。開発段階での設計資料やコード構造、設定ファイル、ネットワーク構成などを事前に把握したうえで、開発者・管理者の視点からセキュリティ上の問題を深く掘り下げて評価します。

ホワイトボックス型の特徴は以下のとおりです。

• 詳細な情報をもとにテストを実施する
• ブラックボックス型では特定しにくい隠れたリスクの発見に効果的
• 相対的に多くの脆弱性を発見し、その中で対策の優先順位を判断できる

ホワイトボックス型は、既存システムの棚卸しやセキュリティ改善計画の基礎資料としても活用できます。セキュリティリスクを構造的に評価できるため、効率面・効果面でブラックボックス型よりも精度の高い診断が可能です。

ただし、外部攻撃者が持たない内部情報を前提として評価するため、実際に攻撃されたときの被害規模や侵入にかかる時間などの再現には向いていないという制約もあります。

3-3. グレーボックス型

グレーボックス型は、ブラックボックス型とホワイトボックス型の中間にあたる手法で、双方のメリットをバランスよく取り入れたアプローチです。

事前に一部のログイン情報やシステムの概要などを共有することで、必要な情報を踏まえた効率的な攻撃シナリオを設計でき、境界防御を突破されたあとの内部侵害も想定したテストが可能です。ホワイトボックス型ほど詳細情報を必要とせず、ブラックボックス型よりも短期間で実施しやすいことから、コストパフォーマンスに優れた現実的な選択肢として位置付けられています。

グレーボックス型の特徴は以下のとおりです。

• 効率的に深い検証が可能
• ホワイトボックス型に比べれば柔軟なテスト設計ができる
• 内部犯行や侵入後の攻撃シナリオに対応可能

こうした効率的なテストができるため、社内ネットワークシステムやWebアプリの評価など、さまざまな企業・業種で広く採用されています。また、システム全体のテスト効率を高めながら、重大なリスクがある箇所を効率的にあぶり出せるメリットもあります。

4-1. テスト前の準備

ペネトレーションテストを成功させるには、事前準備が大切です。まず、スコーピングとして、テストの目的、対象範囲、攻撃の起点と到達すべきゴールを明確に定義します。そのうえで、情報収集として、対象となるシステムや機器のOSの種類、構成、稼働状況などの情報も把握しておきましょう。

ここでは、単なる形式的な設定ではなく、懸念事項や想定されるリスクに沿って、攻撃の起点と到達すべきゴールを定義することが大切です。

目的や対象にあわせて、ブラックボックス型・ホワイトボックス型・グレーボックス型などのテスト手法と、検証で使うペネトレーションテストツールを選びます。こうした綿密な準備により、スムーズにテストを進めることが可能です。

4-2. 調査対象への攻撃を実施

作成した攻撃シナリオをもとに、実際にシステムへの侵入を検証します。
まずは、ポートスキャンツールなどを使って、攻撃に利用できる情報を収集して脆弱性を分析し、発見した脆弱性の詳細を確認・評価します。

つぎに侵入試行として、実際に攻撃手法を適用し、侵入や権限昇格が可能かを検証します。自動化ツールを活用しつつ、必要に応じてエンジニアが手動で攻撃を行うこともあります。

これは実際のサイバー攻撃の流れを再現し、現実的なリスクを明らかにすることを目的としています。一般的な攻撃手順の流れは以下のとおりです。

1. 情報収集
2. 脆弱性スキャン
3. 脆弱性の検証
4. 攻撃実施
5. 権限昇格の試行

わかりやすくいえば、攻撃を仕掛け、一般ユーザーの権限から管理者権限への昇格を試みるというものです。データの窃取や操作権限の奪取が可能かを確認することが目的になります。

テストでは、標的型攻撃や内部不正、未知の脆弱性を想定したシナリオを含め、高度な攻撃手法を取り入れることも可能です。体系化された手順により、テスト結果の信頼性と再現性が担保されます。

4-3. 結果検証・レポート作成・報告

ペネトレーションテスト後には、以下の内容をレポートにまとめます。

1. テストの概要
2. 発見された脆弱性の詳細
3. 脆弱性のリスク評価
4. 攻撃が成功した場合の影響
5. 改善策の提案

このレポートは、エンジニアだけではなく、経営層にも共有されるため、専門的な技術情報をわかりやすい表現でまとめることが重視されます。

実施したテストで発見された脆弱性や、リスクの深刻度を評価します。実際にその脆弱性が攻撃でどのように悪用されるのかを考慮し、与える影響も含めて評価します。結果をもとに、打つべき対策について議論することが重要です。

テストを委託する場合、報告書などに含まれる機密情報については、保存・共有・廃棄に関する責任の所在が、契約段階で明確に定められているか確認しましょう。委託先によっては機密情報の取り扱いルールが異なるケースも少なくないからです。

ここで作成したレポートは、実際に対策を講じるときの資料として活用することをおすすめします。