ペネトレーションテスト・脆弱性診断とは？ぺねとれーしょんてすとぜいじゃくせいしんだん
ペネトレーションテスト・脆弱性診断とは、安全性を実地に確かめる2つの手段で、答える問いが違う。脆弱性診断は「既知の弱点がいくつ残っているか」を網羅的に数え、ペネトレーションテストは「それを繋いでどこまで到達できるか」を攻撃者の手順で実証する。網羅性と悪用可能性は片方では買えない。
最終更新：2026-10-06
システムアーキテクトを最短で暗記・合格する →背景
設計上は多層防御になっていても、その段が実際に繋がっているかは机上では確かめられない。個々の弱点を数える点検と、それらを繋いで目的へ到達できるかを試す実証は、目的そのものが違う。前者は自動化できて安価だが悪用可能性を言えず、後者は実証できるが網羅を保証しない。この非対称を理解しないまま片方だけ買うと、判断の根拠にならない報告書が残る。
具体例
会員サイトの公開前に、まずOWASP ZAPのような自動ツールで全画面の脆弱性診断を回し既知の欠陥を潰す。そのうえで外部の専門会社へ、公開サーバから内部の顧客データベースまで到達できるかの侵入テストを依頼し、多層防御の実効性を確かめる。
試験での引っ掛け
診断が返すのは弱点の一覧、侵入テストが返すのは悪用可能かの実証で、後者は網羅性を保証しない。どちらも対象事業者の許可が必須で、無断で行えば不正アクセス禁止法に触れる。クラウド上では事業者側の実施規約にも従う必要がある。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。