ペネトレーションテスト とは？

そうだよ！でも「許可を得た上で」というのが大前提。事前に「ここまでの範囲を攻撃していいです」という契約と許可を得てから、本物の攻撃者と同じ手法を使って侵入を試みるんだ。

脆弱性スキャンはツールが自動で「この脆弱性がある可能性がある」と列挙するもの。ペネトレーションテストは人間が実際に脆弱性を組み合わせて利用し「本当に侵入できるか」を試みるんだ。スキャンは「弱点リスト」で、ペネトレーションテストは「実際の被害リスク評価」に近いよ。

攻撃者にどれだけ情報を与えるかの違いだよ。ブラックボックスは「公開情報のみ」で外部の攻撃者視点、ホワイトボックスは「ソースコードや設計図まで全部渡す」で最も深い検査ができる、グレーボックスはその中間で「一般ユーザーと同じ権限」などを与えた状態で始めるんだ。

だから事前の契約・スコープ定義・バックアップが必須なんだよ。本番環境への予期せぬ影響を防ぐため、テスト環境や時間帯を慎重に選ぶことが多い。万が一の場合の免責事項も契約に盛り込まれる。「許可書（Get Out of Jail Free Card）」を持った上でやる合法的な侵入行為だよ。

似てるけど深さと範囲が違うよ。ペネトレーションテストは特定のシステムの技術的な脆弱性を探すことが中心だけど、レッドチーム演習は「本物の攻撃者グループを模倣して組織全体を攻撃する」もので、技術的攻撃だけでなくソーシャルエンジニアリング・物理的侵入まで含むことがある。防御側（ブルーチーム）と攻撃側（レッドチーム）の対抗演習として行われ、組織全体のセキュリティ対応力を評価するのが目的なんだよ。