防御・対策

ペネトレーションテスト

Penetration Testing

定義

ペネトレーションテスト（ペンテスト）とは組織のオーナーから書面で明示的な許可を得た上で、実際の攻撃者の視点・手法でシステムへの侵入を試みて悪用可能な脆弱性を発見するセキュリティ評価です。事前情報なしのブラックボックス・一部情報を共有したグレーボックス・設計・コード・認証情報すべて開示したホワイトボックスの3種類があります。評価フェーズは「偵察→スキャン→エクスプロイト→権限昇格→ラテラルムーブメント→報告書作成」の流れで、連鎖的な攻撃・ビジネスロジックの欠陥・人的要因まで評価できる点で自動脆弱性スキャナーとは一線を画します。報告書には発見した脆弱性・実証（PoC）・リスク評価・修正推奨が含まれ、修正確認のための再テスト（Retest）もセットで実施します。OSCP・CEH・PNPTなどの認定資格を持つ専門家が実施し、許可なく第三者のシステムに対して行うことは不正アクセス禁止法違反です。