ペネトレーションテストとは？

ペネトレーションテストの意味

実際に侵入を試みることで、アクセス制御や防御の仕組みが突破されないかを実証的に確かめるテスト。既知の脆弱性を機械的に洗い出す脆弱性診断より、実害に至る経路の有無に焦点を当てる。

ペネトレーションテストの具体例

外部から公開Webサーバに擬似攻撃を行い、内部ネットワークへ到達できるかを確かめる。

ペネトレーションテストは試験でどう引っ掛けられる？

脆弱性診断は「弱点の一覧化」、ペネトレーションテストは「突破の可否の実証」。目的が異なる。

ペネトレーションテストと関連する用語

• 脆弱性診断
• アクセス管理

ペネトレーションテストが出た過去問

• ペネトレーションテストに該当するものはどれか。

  正解：ファイアウォールや公開サーバに侵入できないかどうかを確認する。

  要点：ペネトレーションテストは実際に侵入を試み防御突破の可否を確認する

  ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、防御機構を突破できるかどうかを確かめる検査である。ファイアウォールや公開サーバに対して既知の攻撃手法を適用し、脆弱性が実際に悪用可能かを実証的に確認する点に特徴がある。仕様との一致確認や処理性能の測定は別種のテストである。

  出典：平成29年度 春期 システム監査技術者試験 am2 問21（IPA）

• システム監査において、ペネトレーションテストが最も適合するチェックポイントはどれか。

  正解：ネットワークへのアクセスコントロールが有効に機能しているか。

  要点：ペネトレーションテストは擬似攻撃でアクセス制御の有効性を実証する

  ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、防御機構が有効に働くかを実証的に確かめる技法である。したがってネットワークのアクセスコントロールが機能しているかというチェックポイントに最も適合する。物理的な入退室管理や入力データの正確性、性能記録の分析は、視察や突合、記録の閲覧など別の技法で確かめるのが自然である。

  出典：令和2年度 10月 システム監査技術者試験 am2 問4（IPA）