インシデント対応・フォレンジック重要度:★★★出題: AM2・PM1

ペネトレーションテスト / TLPT / 脆弱性診断

ぺねとれーしょんてすと / ぜいじゃくせいしんだん / Penetration Testing / Threat-Led Penetration Testing (Red Team)

システム全体の既知の脆弱性を網羅的に洗い出す「脆弱性診断」と、特定の達成目標（機密データ奪取等）に向けて攻撃者視点で連鎖的に侵入を試みる「ペネトレーションテスト」。

3行速習ポイント

脆弱性診断：対象システムに脆弱性が存在するかどうかを網羅的（広く浅く）に検査し、一覧化して修正を促すテスト
ペネトレーションテスト：発見した複数の弱点や設定不備を連鎖的に組み合わせて、「実際に重要情報に到達できるか」「SOC/CSIRTが検知・対処できるか」を深く実証
TLPT（脅威ベースのペネトレーションテスト / レッドチーム演習）：実在の攻撃者グループの脅威インテリジェンスに基づき、守備側（ブルーチーム）に事前通告なしで本番環境への模擬攻撃を実施

図脆弱性診断とペネトレーションテスト / TLPT（レッドチーム演習）の比較

脆弱性診断（網羅的な弱点の洗い出し）網羅性重視

対象システム全体の既知脆弱性・設定不備を「広く浅く」検査

Webアプリやプラットフォームに対し、SQLiやパッチ未適用などの脆弱性が存在するかを網羅的にリストアップし、修正によるリスク低減を目的とする

ペネトレーションテスト / TLPT（侵入実証・対応力検証）実効性・連鎖検証

特定のゴールに向け複数の弱点を連鎖させ「深く」侵入を試行

「実際に機密情報奪取まで到達できるか」を攻撃者視点で実証。TLPTでは脅威インテリジェンスに基づきブルーチーム（SOC/CSIRT）の検知・初動対応能力まで検証

💡 ソフトウェアに大量の異常データ（ファズ）を送り込んで未知のクラッシュ・バグを見つけるブラックボックステスト手法は「ファジング（Fuzzing）」

個々のサーバの脆弱性診断だけでは、「Aサーバの軽微な設定ミスからクレデンシャルを拾い、Bサーバを経由してCデータベースを乗っ取る」といった複合的な攻撃シナリオや、監視体制（SOC）の実効性までは検証できません。目的に応じて脆弱性診断とペネトレーションテストを使い分けます。

ブラックボックステストとホワイトボックステスト：事前情報なしで外部攻撃者と同条件で行うか、設計書・ソースコード・アカウント情報を提供して効率的に深部まで検証するか
ファジング（Fuzzing）：ソフトウェアやプロトコル実装に対して大量の異常データ・境界値データ（ファズ）を自動生成して送り込み、クラッシュや未知のメモリ破壊脆弱性を発見するブラックボックステスト手法
バグバウンティ（脆弱性報奨金制度）とCVD（協調的脆弱性開示）：外部のセキュリティ研究者から脆弱性報告を受け付け、修正完了後に公表する仕組み（security.txtの設置等）