Penetration Testing

ペネトレーションテスト（侵入テスト）は、攻撃者の振る舞いをシミュレートしてシステムに対する認可付き攻撃テストを実施し、悪用可能な脆弱性を発見して実際のリスクを評価する。

目的

防御の有効性を攻撃者の視点から検証し、自動スキャンでは見逃されるロジック脆弱性や連鎖脆弱性を発見する。

メカニズム

フェーズ：偵察（情報収集）→ スキャン（ポート、サービス、脆弱性）→ 列挙 → 悪用 → 悪用後 → 報告。種類：ブラックボックス（内部情報なし）、ホワイトボックス（全情報）、グレーボックス。範囲と認可を明確にする必要がある。ツール：Metasploit、Burp Suite、nmap。

ユースケース

コンプライアンス要件（PCI DSS）
ローンチ前のセキュリティ検証
レッドチーム演習
脆弱性検証（ベリフィケーション）

例

入力

Authorized scope + target system

Output

Vulnerability report + remediation advice

Simulated attack

よくあるエラー

Testing without written authorization: Explicit written authorization is mandatory; otherwise it is illegal

関連用語

CVE（Common Vulnerabilities and Exposures）は、公開されたセキュリティ脆弱性に一意の識別子（CVE-YYYY-NNNN）を付与する仕組みで、MITRE が管理する。

CVSS（Common Vulnerability Scoring System）は脆弱性の深刻度を評価する標準化されたスコアリングシステムで、0〜10 のスコアを出力し、FIRST が管理する。

OWASP（Open Web Application Security Project）は、Web脆弱性トップ10リストやセキュリティ実践ガイドを公開する非営利団体である。Webセキュリティの権威として知られる。

ゼロトラストは「決して信頼せず、常に検証する」というセキュリティモデルである。ネットワーク内部にいるというだけで信頼せず、すべてのアクセスでIDと権限を検証する。

References