ペネトレーションテスト とは？

許可を得た対象に、合意した攻撃手法で侵入を試みるよ。弱点を見つけるだけでなく、実際に悪用できるか、どこまで影響するかを確認する。対象外のシステムや禁止した操作へ勝手に進めてよいわけではないんだ。

スキャンは既知の弱点などを探す手段で、ペネトレーションテストは悪用できるかや影響まで確かめることに重点があるよ。複数の弱点を組み合わせる場合もある。ただし「自動対人間」という区分ではなく、侵入テストでもスキャンなどの自動ツールを使うんだ。

テスターにどれだけ内部情報や権限を与えるかの区分だよ。ブラックボックスは事前の内部情報が少ない状態、ホワイトボックスは設計やコードなどを提供する状態、グレーボックスは一部の情報や利用者アカウントなどを与える状態。具体的に何を渡すかは合意して決め、名前だけで検査の深さや網羅性が決まるわけではないよ。

サービス停止やデータへの影響が起こる可能性はあるよ。対象、禁止する操作、実施時間、連絡先、中止と再開の条件、復旧方法などを事前に決める。テスト環境やバックアップの扱いも検討し、外部サービスが関わる場合はその実施条件も確認する。許可があるだけで、あらゆる操作や事故が免責になるわけではないんだ。

その時点、その範囲、その手法では問題を見つけなかったという結果だよ。全ての弱点がない保証ではない。見つかった問題は修正して再確認し、変更後も必要に応じて評価する。設計の見直しや継続的な脆弱性管理と組み合わせることが大切だね。