ペネトレーションテスト.

ペネトレーションテスト(ペンテスト)は、有資格のテスターが実際の攻撃者と同じツールや手法を用いて組織の防御の突破を試みる、目的指向のセキュリティ評価です。各案件にはスコープ・実施ルール・書面による承認が定められ、ネットワーク、Web・モバイルアプリ、クラウドワークロード、API、物理拠点、ソーシャルエンジニアリングによる従業員などを対象とします。

方法論。 成熟したペンテストは場当たり的ではなく公開標準に従います。PTES(Penetration Testing Execution Standard)は事前折衝から報告までの 7 フェーズを定義し、NIST SP 800-115 は代表的な技術ガイド、OWASP Web Security Testing Guide(WSTG) と OSSTMM は Web および運用面のテストを扱います。テスターは OSCP・GPEN・CREST などの資格を持つことが多いです。

スキャンより深く。 自動スキャンと異なり、ペンテストは複数の弱点を連鎖させてビジネスへの影響を示すことで悪用可能性を実証します。典型的な連鎖では、公開されたエッジ機器——例えば Log4Shell 脆弱性(CVE-2021-44228)や脆弱な VPN/ファイアウォール機器——を起点に初期侵入し、Kerberoasting や認証情報の使い回しで横移動してドメイン管理者へ至ります。Web 側では、IDOR と保存型 XSS の組み合わせが完全な管理者乗っ取りへ発展し得ます。

成果物と限界。 ペンテストはある時点のスナップショットです。報告書は発見事項を深刻度で優先順位付けし、再現手順と是正策を示し、既存統制を検証し、PCI DSS・HIPAA・SOC 2・ISO 27001 のコンプライアンスを支えます。継続的スキャンやレッドチーム演習を補完しますが、置き換えるものではありません。

flowchart TD
  A[スコープ策定と実施ルール] --> B[偵察 / OSINT]
  B --> C[スキャンと列挙]
  C --> D[攻撃:アクセスを実証]
  D --> E[侵入後:権限昇格と横移動]
  E --> F{目的達成?}
  F -->|いいえ| C
  F -->|はい| G[報告と是正ガイド]