ペネトレーションテスト・脆弱性診断とは？ぺねとれーしょんてすとぜいじゃくせいしんだん
脆弱性診断は既知の弱点を網羅的に洗い出す点検、ペネトレーションテストは攻撃者の視点で実際に侵入を試み、どこまで到達できるかを実証する検証。得たいものが「弱点の一覧」か「悪用可能性と到達範囲」かで使い分け、両者は代替関係にない。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →背景
弱点が存在することと、それが実際に悪用できることは別である。一覧だけでは対処の優先順位が付かず、逆に侵入の実証だけでは網羅性がない。防御が多層になるほど、個々の穴より穴をつないだ経路が問題になるため、実際に通してみる検証が必要になる。
具体例
会員サイトの公開前に、まず自動ツールで全画面を脆弱性診断して既知の欠陥を潰し、その後に外部の専門会社へ依頼して、公開サーバから社内の顧客データベースまで到達できるかを試す。後者で初めて多層防御の実効性が分かる。
試験での引っ掛け
「ペネトレーションテストは脆弱性診断の上位互換」は誤り。侵入テストは網羅性を保証せず、到達できなかったことは安全の証明にならない。また実施には対象事業者の明示的な許可が必須で、無断で行えば不正アクセス禁止法違反になる点も問われる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。