• お問い合わせ

PENETRATION TEST

ペネトレーションテスト

侵入の可能性と、
その先の影響を確かめる。

重要な情報にアクセスされる可能性や、
業務システムを不正に操作される可能性を検証。
確認できた攻撃経路と、優先して直すべき点を報告します。

テストについて相談する サービス概要を見る

テスト対象の構成例

侵入の入口から、
重要情報まで。

検証する経路
外部の接続元インターネット

外部公開領域

公開システムWeb・API・接続口
認証・
アクセス制御

内部環境

業務システム機能・権限の確認
重要情報到達範囲の確認

社内の端末・利用者を起点とする検証にも対応内部からのアクセスや、権限が広がる経路も確認します。

  1. 01
    侵入できるか

    公開機能・設定の弱点

  2. 02
    境界を越えられるか

    認証・権限・ネットワーク分離

  3. 03
    どこまで到達するか

    情報・操作・業務への影響

対象の構成に合わせて検証経路を設計し、確認した根拠と改善策を報告します。

01 / OVERVIEW

ペネトレーションテストとは

あらかじめ決めた対象と条件のもとで、システムへの侵入や不正な操作を試みるテストです。
「顧客情報にアクセスできてしまうか」などの確認目標を定め、実際に確かめた結果から改善点を整理します。

01

守りたいものを決める

顧客情報、業務データ、管理機能など、侵害された場合に影響の大きいものを確認目標にします。

重要情報・重要な操作
02

到達できるか試す

想定する侵入の入口と利用者権限を決め、弱点や設定の組み合わせで目標に到達できるかを調べます。

攻撃経路・到達範囲
03

直すべき点を明らかにする

確認した事実と想定される業務への影響を整理し、経路を遮断するための対策を示します。

根拠・対策・優先順位

お客様の許可を受けた環境で、合意した範囲に限定して実施します。テストの目標・実施時間・停止条件を事前に定めます。

02 / SCENARIOS

検証シナリオの例

入口や利用者の立場が変わると、確認すべき経路も変わります。
以下は検証の例です。対象の構成や目的に合わせてシナリオを設計します。

検証例 01

公開システムから、内部の情報に届くか

インターネットから利用できるシステムを入口として、内部システムや重要情報へのアクセスが可能かを確認します。

  1. 起点外部の接続元事前に合意した接続条件
  2. 入口公開サーバ公開機能・設定の弱点
  3. 境界内部システム通信とアクセス権限
  4. 確認目標重要情報への接触到達できる範囲を確認
結果から検討する対策

公開範囲の見直し、ソフトウェアの修正、外部公開領域と内部環境の分離。

図は検証の考え方を示したものです。実際の経路・検証方法・到達目標は個別に定めます。

03 / SCOPE

テストの対象範囲

対象機器の台数だけでなく、守りたい情報とシステム間のつながりを確認します。複数の環境をまたぐ経路も、合意した範囲で検証します。

ネットワーク・サーバ

外部公開サーバ、社内ネットワーク、認証基盤など。接続可能な範囲と権限の境界を確認します。

Webアプリケーション・API

ログイン機能、業務機能、システム連携など。不正な閲覧や操作につながる経路を確認します。

クラウド環境

クラウド上のシステム、公開設定、アクセス権限など。設定と権限の組み合わせによるリスクを確認します。

端末・アプリケーション

業務端末、デスクトップアプリ、モバイルアプリなど。端末内の情報や接続先への影響を確認します。

対象の製品・構成・利用条件を確認したうえで、実施可否と検証範囲をご提案します。

こんなタイミングに

  • 重要なサービスの公開・更改時
  • ネットワークや権限設計の変更後
  • 取引先への対策状況の説明前

04 / FINDINGS

検証結果を、対策の判断材料に。

確認した経路と根拠を示し、何が起こり得るのか、どこから改善するのかを整理します。

01

侵害が及ぶ範囲

アクセスできる情報、実行できる操作、影響を受ける業務を整理します。

02

経路をつくっている弱点

脆弱性、設定不備、過剰な権限など、問題がつながる箇所を示します。

03

優先して取り組む対策

業務への影響と攻撃の成立条件を踏まえ、修正や設定変更の優先順位を示します。

05 / PROCESS

ご相談から報告まで

対象、目標、実施条件を確認してからテストを開始します。日程と費用は、シナリオ数や対象環境に応じてお見積りします。

  1. 01

    目的と対象を整理

    懸念している被害、守りたい情報、システム構成を伺い、確認したいことを絞り込みます。

    ご相談・ヒアリング
  2. 02

    シナリオと実施条件を合意

    入口と到達目標、対象範囲、利用する権限、実施時間帯、連絡方法、停止条件を定めます。

    計画・準備
  3. 03

    テストを実施

    合意した条件に沿って検証し、確認した操作と結果を記録します。重大な問題は報告書を待たずに共有します。

    検証・記録
  4. 04

    結果と改善策をご説明

    到達できた範囲、防御が働いた箇所、未確認の事項を区別し、根拠と対策案を報告します。

    報告書・報告会
  5. 05

    改善後の状態を確認

    ご希望に応じて、修正した箇所や攻撃経路を再確認します。再テストの範囲と費用は別途ご相談ください。

    フォローアップ

06 / DELIVERABLES

報告書でお伝えすること

判断に必要な全体像と、担当者が対策を進めるための詳細を整理します。実施したことと確認できなかったことも記録します。

報告書の構成イメージ

ペネトレーションテスト

結果報告書

  1. 01実施概要・結果の要点
  2. 02攻撃経路と確認した根拠
  3. 03影響・改善策・優先順位
  4. 04実施条件・未確認事項
事実と根拠から、次の対策へ。
実際の構成・記載項目は契約範囲に合わせて調整します。
全体の要点
テストの目的、対象、結果の概要、優先的に対応すべき事項。
検証の詳細と根拠
確認した経路、前提条件、再現に必要な情報、画面やログなどの証跡。
改善に向けた提案
想定される影響、修正・設定変更の方針、対応の優先順位。
実施範囲と記録
実施日時、対象・対象外、未確認事項、検証による変更と復旧状況。

結果は、合意した範囲と実施時点の条件に基づきます。目標に到達できなかった場合も、確認した範囲と制約を報告します。

07 / FAQ

よくあるご質問

相談時に何を準備すればよいですか？

対象システムの概要、構成図、確認したいリスク、希望時期があると具体的に検討できます。資料がそろっていなくても、まずは目的からご相談いただけます。

稼働中のシステムでも実施できますか？

環境と検証方法を確認したうえで判断します。本番環境では、実施時間帯や停止条件を定め、必要に応じて検証環境やテスト用データを使用します。

テスト期間と費用はどのくらいですか？

対象の構成、確認目標、シナリオ数、事前情報の有無によって変わります。準備、テスト、報告までの範囲を確認したうえで、個別にお見積りします。

過去の脆弱性診断の結果は活用できますか？

活用できます。過去の指摘内容や修正状況を確認し、今回の確認目標に関係する経路を検討します。資料をご提供いただく際に、対象や実施時期もお知らせください。

指摘を修正した後の再テストも依頼できますか？

ご相談いただけます。修正箇所と周辺への影響を確認し、再検証する範囲、日程、費用を定めます。

CONTACT

確かめたいリスクから、
テストを組み立てます。

対象範囲が決まっていない段階でもご相談ください。
システムの構成と目的を伺い、実施内容をご提案します。

ご相談・お見積り