脆弱性診断とペネトレーションテストの違いとは

脆弱性診断とペネトレーションテストの違いは、侵入を実際に試みるかどうかです。脆弱性診断は、ツールや担当者が既知の脆弱性を網羅的に検出する作業です。ペネトレーションテストは、見つけた脆弱性を実際に悪用し、侵入できるかどうかを実証する作業です。

自社のシステムを検査するときは、目的によって選ぶほうが変わります。弱点の一覧が欲しいのか、本当に不正アクセスされるかを確かめたいのかです。診断対象やかかる費用で区別するのではありません。

脆弱性診断は、システムが抱える脆弱性（セキュリティホール）を、網羅的に検出する作業です。脆弱性の種類と直し方は脆弱性の記事にあります。

アメリカの国立標準技術研究所（NIST）は、手引きSP 800-115で脆弱性スキャンという技術を説明しています。この技術は、対象のホストで動くOSやソフトウェアを識別します。その情報を、脆弱性データベースに登録された既知の脆弱性と照合します。古いソフトウェアの版、適用されていないパッチ、設定ミスを見つけられます。

このスキャンは、見つかった脆弱性を実際に悪用しません。結果として得られるのは、脆弱性の一覧です。

ペネトレーションテストは、担当者が実際の攻撃者のように振る舞い、システムへの侵入を試みるテストです。NISTのSP 800-115によると、攻撃者が使う道具や手口で、実在するシステムやデータに実際の攻撃を仕掛けます。

NISTは、ペネトレーションテストの段階の分け方の一例として、計画・探索・攻撃・報告の4段階を示しています。探索の段階は、情報収集と脆弱性分析の2つに分かれます。脆弱性分析では、スキャン結果を脆弱性データベースや担当者自身の知識と照合します。

攻撃の段階では、見つけた脆弱性を実際に悪用し、侵入できるかどうかを確かめます。1つの脆弱性だけでなく、複数の脆弱性を組み合わせて、より深く侵入できないかを試すこともあります。この攻撃の段階が、脆弱性診断には無い部分です。

次の図は、同じ対象を調べるときの2つの手順の流れです。脆弱性診断は、既知の脆弱性と照合して一覧を報告する段階で終わります。ペネトレーションテストは、その先の攻撃の段階に進みます。

脆弱性診断は、広く浅く確認するのに向いています。ペネトレーションテストは、見つかった脆弱性が実際にどこまで悪用できるかを確かめるのに向いています。

CVSSとは、脆弱性の深刻度を一定の基準で数値化する仕組みです。正式な名前はCommon Vulnerability Scoring System（共通脆弱性評価システム）です。脆弱性診断やペネトレーションテストで見つかった脆弱性のうち、どれから対応するかを決める材料になります。

CVSSの仕様を定める団体FIRSTは、CVSS v3.1で評価を3つの指標群に分けています。基本評価基準（Base）は、時間が経っても環境が変わっても変化しない、脆弱性そのものの特性です。現状評価基準（Temporal）は、攻撃コードの出現状況など時間で変わる要素です。環境評価基準（Environmental）は、利用する組織の環境による要素です。

基本評価基準は、さらに2種類の指標に分かれます。攻略容易性（Exploitability）と、影響（Impact）です。スコアは0.0から10.0の範囲で出ます。

FIRSTの仕様は、このスコアを5段階の深刻度にも対応させています。次の表のとおり、スコアの範囲ごとにNoneからCriticalまでの名前が付いています。

2023年に公開されたCVSS v4.0では、指標群が基本・脅威・環境・補足の4つに変わりました。深刻度の5段階の区分は、v3.1と同じです。各指標からスコアを求める計算式は、ここでは省きます。

ISO/IEC 15408（コモンクライテリア）とは、情報システムのセキュリティレベルを評価するための国際規格です。日本には、この規格に基づくJISEC（ITセキュリティ評価及び認証制度）があります。IT製品のセキュリティ機能を評価・認証する制度です。

経済産業省は「IT製品の調達におけるセキュリティ要件リスト」を公開しています。このリストは、セキュリティ要件を満たすことを確認する手段として、国際基準に基づく第三者認証の活用を勧めています。コモンクライテリアの認証（CC認証）は、その例です。

暗号モジュールを対象にする認証制度には、JCMVP（暗号モジュール試験及び認証制度）があります。対象がIT製品全般かモジュール単体かで、JISECとJCMVPは分かれます。

• NIST SP 800-115 Technical Guide to Information Security Testing and Assessment（脆弱性スキャンとペネトレーションテストの定義、4段階の手順）
• FIRST CVSS v3.1 Specification Document（3つの指標群と深刻度の5段階）
• IPA 評価認証制度（JISEC）について（ISO/IEC 15408に基づく評価・認証制度の説明）