ペネトレーションテストとは？

ペネトレーションテストとは、実際に攻撃者と同じ手法で侵入を試み、脆弱性が現実に悪用可能か、どこまで到達できるかを確かめるテスト。目的は「侵入経路の実証」であり、網羅的な脆弱性の洗い出しではない。

情報処理安全確保支援士試験の過去問では1回出題されています。

ぺねとれーしょんてすと

情報処理安全確保支援士試験の頻出用語／午前II

ペネトレーションテストの意味

実際に攻撃者と同じ手法で侵入を試み、脆弱性が現実に悪用可能か、どこまで到達できるかを確かめるテスト。目的は「侵入経路の実証」であり、網羅的な脆弱性の洗い出しではない。

会員サイトの公開前診断で、外部から到達できるVPN装置の既知の脆弱性を突いて管理者権限を取得し、そこから業務LANの人事サーバまで3ホップで到達できることを実証した。脆弱性を何件数えたかではなく「どこまで入られるか」を示せたため、経営層はVPNの分離を最優先の対策と決めた。

脆弱性診断（ツールで既知の脆弱性を網羅的に洗い出す）とは目的が異なる。実施前に範囲・期間・禁止事項・緊急連絡体制を書面で合意することが必須。

IoT機器のペネトレーションテスト(Penetration Test)の説明として,適切なものはどれか。
正解：ネットワーク,バス,デバッグインタフェースなどの脆弱性を利用して,IoT機器への攻撃と侵入を試みるテストを行う。
要点：ペネトレーションテストは実際に侵入を試み悪用可能性を確かめる
ペネトレーションテストは、実際の攻撃者と同じ手口で侵入を試み、脆弱性が現実に悪用可能かを検証するテストである。IoT機器では通信ネットワークに加え、内部バスやJTAGなどのデバッグインタフェースも攻撃面になるため、これらを突いて侵入を試みるエが該当する。仕様どおりかを確かめる機能テストや環境試験とは目的が異なる。
出典：令和5年度春期情報処理安全確保支援士試験 am2 問22（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。