ペネトレーションテスト／ファジングとは？ぺねとれーしょんてすと・ふぁじんぐ
ペネトレーションテスト／ファジングとは、どちらもシステムの脆弱性を実地に確かめる検査手法。ペネトレーションテストは攻撃者と同じ手口で実際に侵入を試み、どこまで到達できるかを実証する。ファジングは極端な値や想定外の形式のデータを大量に自動生成して入力し、異常終了や例外の発生から未知の脆弱性を見つける。PM試験では、これらをテスト計画のどの段階で誰に実施させるかという判断として現れる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
設計レビューと既知の脆弱性のスキャンだけでは、部品ごとには問題が無くても組み合わせると侵入できてしまう穴や、まだ誰も知らない実装バグは見つからない。攻撃する側の視点で実際に試す、あるいは異常な入力を総当たりで投げるという、設計書からは出てこないやり方が必要になった。PMの立場では、外部の専門業者への委託費用と期間、実施環境と実施時間帯の合意を計画へ織り込むことが論点になる。
具体例
GoogleはOSS-Fuzzという基盤で主要なオープンソースソフトウェアへ継続的にファジングを掛け、見つかった問題を開発元へ報告している。ペネトレーションテストでは、公開Webサーバから内部ネットワークへ到達できるかを実際の手順で試し、到達経路と対策を報告書にまとめる。
試験での引っ掛け
既知の脆弱性の有無をツールで一覧化するのは脆弱性診断（スキャン）で、侵入の可否まで実証するのがペネトレーションテスト。ファジングは既知の欠陥の確認ではなく未知の欠陥を掘り出す手法で、入力を作る側が正解を知らない点が違う。
関連用語
出た過去問
出典：平成29年度 春期 プロジェクトマネージャ試験 午前Ⅱ 問25（IPA）
ペネトレーションテストに該当するものはどれか。
正解：ファイアウォールや公開サーバに侵入できないかどうかを確認する。
要点：ペネトレーションテストは実際に侵入を試みて防御を検証する
ペネトレーションテストは、実際の攻撃手法を用いてシステムへの侵入を試み、防御が突破されないかを確認するテストである。ファイアウォールや公開サーバに対して侵入可能な経路がないかを実地で検証する行為がこれにあたる。設計どおりかを確かめる仕様確認や性能測定とは目的が異なる。
出典：令和2年度 10月試験 プロジェクトマネージャ試験 午前Ⅱ 問25（IPA）
脆弱性検査手法の一つであるファジングはどれか。
正解：ソフトウェアの、データの入出力に注目し、問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し、脆弱性を見つける。
要点：ファジングは異常な入力を大量に与え挙動から脆弱性を探す
ファジングは、想定外の値や極端に長い値などを含む大量かつ多様なデータをソフトウェアに入力し、異常終了や予期しない挙動が起きないかを観察して未知の脆弱性を見つける検査手法である。ソースコードを見ずに外部からの入出力に着目するブラックボックス的な手法であり、既知の脆弱性の適用状況を確認する検査とは目的が異なる。
出典：令和5年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問25（IPA）
脆弱性検査手法の一つであるファジングはどれか。
正解：ソフトウェアの，データの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
要点：ファジングは大量の異常データ入力で挙動を観察する
ファジングは、ソフトウェアの入出力に着目し、想定外の値や極端な値を含む大量のデータを機械的に送り込んで、異常終了や予期しない挙動が起きないかを観察する動的な検査手法である。ソースコードを見ずに実行時の反応から未知の脆弱性を発見できる点が特徴となる。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (1) セキュリティ評価基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。