ペネトレーションテストとは【図解でわかりやすく】

最終更新日：2026年7月16日

30秒でわかる結論

ペネトレーションテスト（侵入テスト）は、正式な許可のもとで専門家が実際の攻撃者と同じ手法でシステムへの疑似攻撃を行い、脆弱性が実際に悪用可能かを確認するテストです。「脆弱性が存在するか」を洗い出す脆弱性診断（健康診断）と、「その脆弱性から実際に侵入できるか」を実戦で確かめるペネトレーションテスト（訓練試合）の違いが試験で問われます。許可の有無が「テスター」と「攻撃者」を分ける絶対条件です。

許可を得た専門家が疑似攻撃を行い、脆弱性が実際に悪用可能かを検証するテスト。実戦形式の防御点検。

「うちのセキュリティは大丈夫」——本当に？それを確かめる最も確実な方法は、実際に攻めてみることです。

図解

解説

ペネトレーションテスト（侵入テスト、通称ペンテスト）は、正式な許可のもとで、セキュリティの専門家が実際の攻撃者と同じ手法でシステムへの疑似攻撃を行い、脆弱性が現実に悪用可能かを検証するテストです。

似た活動に「脆弱性診断」がありますが、役割が異なります。脆弱性診断が「穴が存在するか」を網羅的に洗い出す健康診断だとすれば、ペネトレーションテストは「その穴から実際に侵入できるか、侵入されたらどこまで到達されるか」を実戦形式で確かめる訓練試合です。複数の小さな脆弱性を組み合わせた侵入経路など、机上の点検では見えない実際の攻撃耐性が明らかになります。

絶対に外せない前提が「許可」です。同じ侵入行為でも、システム所有者の正式な許可があれば正当なテスト、なければ不正アクセス禁止法違反の犯罪になります。行為ではなく許可の有無が、テスターと攻撃者を分けます。

試験では、脆弱性診断との違い、許可の必要性、実施目的（対策の実効性確認）が問われます。

具体例

①Webアプリのペンテスト：SQLインジェクションで実際にDBに侵入できるか、管理者権限が奪えるかを確認。②社内ネットワークのペンテスト：フィッシングメールで従業員を騙し、内部ネットワークへの侵入経路を特定。③レッドチーム演習：ペンテスト専門チームが長期間にわたり多様な手法で侵入を試みる高度なシミュレーション。

間違えやすい類似用語

ペネトレーションテスト vs 脆弱性診断：脆弱性診断＝穴の存在を網羅的に洗い出す（健康診断）。ペネトレーションテスト＝その穴から実際に侵入できるかを実戦で確かめる（訓練試合）。目的・深さ・コストが異なる。通常は診断→テストの順で実施。
ペネトレーションテスト vs ポートスキャン：ポートスキャンは「どの入口が開いているか」を機械的に確認する偵察行為。ペネトレーションテストはその情報をもとに実際に侵入を試みる包括的テスト。許可なきポートスキャンは犯罪行為になりうる。