インターネットに接続されたITシステムは、常に外部からの脅威にさらされています。こうした環境の中で、企業のセキュリティ対策として注目されているのが「脆弱性診断」と「ペネトレーションテスト」です。いずれもシステムの持つ弱点を見つけるために有効な手法ですが、目的や進め方には違いがあります。
本記事では、ペネトレーションテストとは何か、脆弱性診断との違い、どう使い分けるべきか、そしてセキュリティ診断をどのように進めるとよいかをわかりやすく解説します。
ペネトレーションテストとは
ペネトレーションテストとは、攻撃者と同じ視点で攻撃を行い、実際に攻撃が成功するかをリスクベースで確認する検査です。後述の脆弱性診断とは異なり、現実的に想定される攻撃シナリオに沿って目的を達成できるかを確認します。
そのため、攻撃者にとって狙い目となるセキュリティ上の欠陥がないかを評価できるだけでなく、その攻撃シナリオによってどの程度の被害が生じるかも確認することができます。つまり、ペネトレーションテストは「弱点があるか」を調べるだけでなく、「その弱点が実際の被害につながる可能性があるか」を深く検証するための手法です。
脆弱性診断との違い
脆弱性診断は、Webアプリケーションやプラットフォームなどのシステムにある脆弱性を発見するために行う検査です。対象のシステム全体に対して網羅的に検査を行い、攻撃のきっかけとなりうる脆弱性を見つけることを目的としています。
また、情報セキュリティの企画や基準と照らして評価を行うため、直ちに攻撃につながらない場合でも、セキュリティ上望ましくない点を含めて脆弱性を洗い出すことができます。
一方でペネトレーションテストは、現実的に想定される攻撃シナリオに沿って、実際に目的を達成できるかを確認する点に特徴があります。つまり、脆弱性診断は「広く洗い出す」検査、ペネトレーションテストは「深く確かめる」検査と整理できます。
用途が似ているため混同されがちですが、この2つはどちらが優れているというものではなく、目的に応じて使い分けることが重要です。システム全体の課題を広く把握したいのか、実際の侵入可能性や被害の大きさまで確認したいのかによって、適した手法は変わります。
脆弱性診断とペネトレーションテストはどう使い分ける？
ここまで見てきた違いを踏まえると、脆弱性診断が向いているのは、システム全体の弱点を幅広く把握したい場合です。たとえば、Webアプリケーションやプラットフォームの公開前チェック、定期的なセキュリティ確認などでは、網羅的に課題を洗い出せる脆弱性診断が有効です。直ちに攻撃につながらない場合であっても、セキュリティ上望ましくない点を含めて把握できるため、全体像を捉えるのに適しています。
一方でペネトレーションテストが向いているのは、実際の攻撃リスクをより現実的に把握したい場合です。現実的に想定される攻撃シナリオに沿って目的を達成できるかを確認するため、重要なシステムに対して、どこまで侵入できるのか、どの程度の被害が生じうるのかを具体的に検証したいケースに適しています。
また、脆弱性診断やペネトレーションテストを行うことで、WebアプリケーションのSQLインジェクションの脆弱性や、セッションハイジャックの脆弱性の有無などを診断することができます。これにより、設置したサーバのセキュリティ強度を確認でき、さらに強化すべきポイントを明確にすることができます。
| 項目 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 主な目的 | システムの脆弱性を洗い出す | 実際に攻撃が成功するかを確認する |
| 進め方 | 対象全体を網羅的に確認する | 攻撃シナリオに沿って検証する |
| 確認できること | 攻撃のきっかけとなる脆弱性や、セキュリティ上望ましくない点 | 攻撃者に狙われやすい欠陥や、被害の大きさ |
| 向いている場面 | システム全体の弱点を広く把握したいとき | 侵入可能性や影響範囲を具体的に確認したいとき |
セキュリティ診断を確実に進めるには
このように、脆弱性診断やペネトレーションテストにはいくつかの方法がありますが、もっとも確実な方法は情報セキュリティ専門家による診断サービスを依頼することです。
診断の精度や実効性を高め、システムの弱点を的確に把握するためには、専門家の知見を活用することが有効です。自社のシステムにどのような弱点があるのかを正しく把握し、適切な対策につなげていくことが、セキュリティ事故を未然に防ぐ第一歩となります。
まとめ
脆弱性診断は、システム全体の弱点を幅広く洗い出したい場合に適した手法です。一方、ペネトレーションテストは、実際の攻撃シナリオに沿って侵入可能性や被害の大きさを確認したい場合に適しています。自社の目的に合わせて適切な方法を選び、必要に応じて専門家による診断サービスを活用することが、効果的なセキュリティ対策につながります。
脆弱性診断なら弊社にお任せ
弊社では、高い技術レベルの専門家によるセキュリティ診断サービスをご提供しています。Webアプリケーション、プラットフォーム、スマートフォンアプリ、データベース、各種システムに対して、擬似攻撃を含む多角的な手法で診断を実施し、脆弱性やセキュリティ上の課題を可視化します。
最新の攻撃手法を踏まえてリスクを洗い出し、セキュリティ上の弱点を把握・改善することで、侵入、不正アクセス、改ざん、情報漏えいなどのインシデント発生リスクの低減につなげることが可能です。
参考文献：脆弱性診断・ペネトレーションテスト実施 | 国民のためのサイバーセキュリティサイト
本件のお問い合わせ
本件につきましては、お問い合わせフォームまたは下記までお問い合わせください。
TEL：03-6380-8261
Email:sales_team@tohmatsu.co.jp