IT資格用語解説情報処理安全確保支援士試験・脆弱性評価の指標
ペネトレーションテスト（侵入テスト）
更新日:
用語解説
ペネトレーションテストは、許可された範囲で実際の攻撃技法を用い、複数の弱点を悪用して定めた目標へ到達できるかを検証し、システム全体の防御・検知・対応の実効性を評価する試験です。
■ 試験で押さえるポイント
対象、攻撃目標、期間、禁止行為、利用データ、緊急停止、連絡・証拠保全をRules of Engagementとして合意します。
侵入経路、権限昇格、横展開、データ到達などを必要最小限で実証し、業務停止や実データ流出を避けます。
結果は攻撃経路、到達範囲、検知状況、業務影響、改善策として報告し、作成アカウントや試験データを安全に除去します。
限られた時間・範囲で侵入できなかったことは無欠陥の証明ではなく、広範な脆弱性診断や継続監視を置き換えません。
■ 過去問での着眼点
攻撃シナリオによる到達可能性の実証という目的と、広く弱点を列挙する脆弱性診断との違いを押さえます。
例: 公開Webの欠陥から試験用アカウントを奪い、内部の模擬機密ファイルへ到達できることとSOCの検知状況を確認します。