「ハッカー」と聞くと、どうしてもネガティブなイメージが先行するかもしれません。ニュースで報道されるサイバー攻撃、個人情報の流出、ランサムウェアの被害。しかし、同じ「ハッキング」のスキルを企業や社会の安全のために使う人たちがいます。それが「ホワイトハッカー」や「ペンテスター」と呼ばれる、倫理的ハッキングの専門家です。
ペネトレーションテスト（略してペンテスト）は、企業のシステムやネットワークに対して、攻撃者と同じ手法を用いて模擬的な侵入を試み、セキュリティの弱点を明らかにする作業です。建物のセキュリティを確認するために、プロの泥棒に侵入を試みてもらうような発想です。脆弱性診断がシステムの弱点を網羅的に「見つける」作業であるのに対し、ペネトレーションテストは実際に弱点を「突いて」みて、どこまで侵入できるかを検証するところに違いがあります。
この記事では、ペネトレーションテストの基礎知識から、ペンテスターになるための学習方法、必要な資格、キャリアパスまでを解説します。セキュリティの中でも特にエキサイティングなこの分野に興味がある方にとって、最初の道しるべになれば幸いです。
ペネトレーションテストの基本を理解する
ペネトレーションテストは、事前にクライアントと合意した範囲内で、実際の攻撃者が使うのと同等の技術と手法を用いてシステムへの侵入を試みる、合法的かつ組織的なセキュリティテストです。ここで「合法的」という点を強調しておきたいのは、許可なくシステムに侵入する行為は、たとえセキュリティの改善目的であっても不正アクセス禁止法に抵触するからです。
ペネトレーションテストには、大きく分けてブラックボックステスト、ホワイトボックステスト、グレーボックステストの3種類があります。ブラックボックステストは、テスト実施者に事前情報をほとんど与えず、外部の攻撃者と同じ条件で侵入を試みる方法です。ホワイトボックステストは、ソースコードやネットワーク構成図などの内部情報を事前に提供した上でテストを行います。グレーボックステストはその中間で、限られた内部情報を元にテストを実施します。
実は、ペネトレーションテストの需要は近年急速に高まっています。サイバー攻撃の件数が増加し、攻撃手法も巧妙化する中で、「自社のシステムが本当に安全なのか」を実践的に検証したいという企業が増えているのです。特に金融機関、医療機関、重要インフラ事業者などでは、定期的なペネトレーションテストの実施が事実上の義務になりつつあります。
ペネトレーションテストの流れ
一般的なペネトレーションテストは、情報収集（Reconnaissance）、スキャニング（Scanning）、アクセス獲得（Gaining Access）、アクセス維持（Maintaining Access）、痕跡消去（Covering Tracks）、報告（Reporting）という段階を経て進められます。PTES（Penetration Testing Execution Standard）という業界標準のフレームワークが定義されており、プロのペンテスターはこれに沿ってテストを実施します。
情報収集のフェーズでは、対象に関する公開情報をできる限り集めます。OSINT（Open Source Intelligence）と呼ばれる手法で、企業のWebサイト、DNS情報、SNSの投稿、求人情報に記載された技術スタック、GitHubの公開リポジトリなど、あらゆる公開情報から有用な手がかりを見つけ出します。この段階で得られる情報が、後の攻撃シナリオの精度を大きく左右します。
スキャニングのフェーズでは、Nmapなどのツールを使ってネットワークの構成を調査し、開いているポートや動作しているサービスを特定します。その後、発見した脆弱性を実際に悪用してシステムへの侵入を試みます。侵入に成功した場合は、さらに内部のネットワークを探索し、より機密性の高い情報へのアクセスを試みます。この一連のプロセスを通じて、攻撃者がどの程度の被害を与え得るかを現実的に評価するのです。
脆弱性診断との違い
ペネトレーションテストと脆弱性診断は混同されがちですが、目的もアプローチも異なります。脆弱性診断は「どんな弱点があるか」を網羅的にリストアップすることが目的です。一方、ペネトレーションテストは「その弱点を使って実際にどこまで侵入できるか」を検証することが目的です。
たとえるなら、脆弱性診断は家の鍵がちゃんとかかっているか、窓に隙間がないか、防犯カメラが正常に動作しているかを一つ一つチェックする作業です。ペネトレーションテストは、実際に侵入者になりきって家に入れるかどうかを試す作業です。鍵が一つ壊れていても、その鍵の先にある部屋にたどり着けるかどうかは試してみないと分かりません。
ところで、両者は対立する概念ではなく、補完的な関係にあります。まず脆弱性診断で弱点の全体像を把握し、その中で特にリスクの高い部分に対してペネトレーションテストを実施するという組み合わせが、最も効果的なセキュリティ評価のアプローチとされています。
ペンテスターに必要なスキルと知識
ペンテスターは、セキュリティエンジニアの中でも特に幅広い技術知識が求められる職種です。攻撃者と同じ視点でシステムを見る必要があるため、ネットワーク、OS、Webアプリケーション、データベース、クラウドなど、IT全般にわたる深い理解が不可欠です。
ネットワークの知識は言うまでもなく必須です。TCP/IPの各レイヤーの動作原理、ルーティング、ファイアウォールの仕組み、VPNやプロキシの構成など、ネットワークの基盤技術を理解していないと、ネットワーク侵入のテストはできません。同様に、WindowsとLinuxの両方のOSについて深い知識が求められます。特に、Active Directoryの構造と攻撃手法は、企業ネットワークへのペネトレーションテストにおいて中核的な知識領域です。
プログラミングスキルも重要です。Python、Bash、PowerShellが三大必須言語と言っても過言ではありません。Pythonはエクスプロイト（攻撃コード）のカスタマイズやツールの開発に使われ、Bashはlinux環境でのスクリプティングに、PowerShellはWindows環境での操作に不可欠です。また、Webアプリケーションのペンテストでは、JavaScript、PHP、SQLの知識もあると効果的です。
合法的な学習環境
ペネトレーションテストのスキルを身につけるには、実際に手を動かして練習することが最も効果的です。しかし、他者のシステムに無断で侵入テストを行うことは犯罪です。ここでは、合法的にスキルを磨ける環境を紹介します。
Hack The Boxは、世界中のペンテスターが利用するオンラインプラットフォームです。さまざまな難易度の仮想マシンが用意されており、それらに対して侵入テストの練習ができます。無料プランでもアクティブなマシンに挑戦でき、サブスクリプションプランではリタイアされた過去のマシンや追加のコンテンツにもアクセスできます。初心者向けのStarting Pointというカテゴリもあるため、まったくの初心者からでも段階的に学習を進められます。
TryHackMeも人気の高い学習プラットフォームです。Hack The Boxよりもガイド付きの学習コンテンツが充実しており、各ステップで解説を読みながら実践できるため、独学でも挫折しにくい設計になっています。「Pre Security」「Complete Beginner」「Jr Penetration Tester」といった学習パスが用意されており、自分のレベルに合った道筋で学習を進められます。
自宅にラボ環境を構築する方法もあります。VirtualBoxやVMwareを使って仮想マシンを立て、攻撃用のKali LinuxとターゲットのMetasploitable（意図的に脆弱性を含んだLinux）を用意すれば、自分だけのペンテスト練習環境が完成します。自分で環境を構築するプロセス自体が、IT基盤の理解を深める良い学習になります。
必要な資格とキャリアパス
ペンテスターとしてのキャリアを目指す上で、資格は重要なマイルストーンになります。特に未経験からこの分野に入る場合、資格はスキルの証明として大きな武器です。
入門から中級までの資格
CompTIA PenTest+は、ペネトレーションテストの入門的な資格として位置づけられています。テストの計画、情報収集、攻撃手法、報告書作成まで、ペンテストの全プロセスをカバーしており、基礎的な知識を体系的に習得できます。実務経験がなくても受験可能なため、ペンテスターを目指す最初の目標として適しています。
CEH（Certified Ethical Hacker）は、EC-Councilが認定する倫理的ハッキングの国際資格です。ペネトレーションテストだけでなく、セキュリティ全般にわたる広範な知識が問われます。日本でも認知度が高く、セキュリティ企業への転職時にアピール材料として活用されることが多い資格です。
そういえば、ペンテスター界隈で最も評価が高いとされる資格がOSCP（Offensive Security Certified Professional）です。OSCPは24時間の実技試験で、実際に複数のマシンに侵入してフラグ（証拠）を獲得し、その過程を報告書にまとめるという、極めて実践的な試験形式を採用しています。合格率は比較的低いですが、OSCPを持っているペンテスターは業界内で高く評価されます。
キャリアの道筋
未経験からペンテスターになるまでのルートとしては、いくつかのパターンがあります。一つ目は、SOCアナリストや脆弱性診断エンジニアとしてセキュリティの実務経験を積んでから、ペンテスターに転向するパターンです。防御側の経験がある人はテストの際に検知される可能性を考慮した現実的なシナリオを構築できるため、より質の高いテストが可能になります。
二つ目は、インフラエンジニアやネットワークエンジニアからの転向です。システムやネットワークの構築経験がある方は、「どこに弱点が生まれやすいか」を直感的に理解できるため、ペンテスターとしての成長も早い傾向があります。
三つ目は、セキュリティ企業のペネトレーションテストチームに未経験から入社し、OJTで育成されるパターンです。日本国内でもこのような採用を行っている企業は増えており、CTFの実績やOSCPの取得がアピール材料になります。
年収面では、ペンテスターは日本市場で500万円から800万円程度が中央値です。シニアレベルやチームリーダーになると1,000万円を超える方も珍しくなく、フリーランスや独立コンサルタントとして活躍する場合はさらに高い報酬が期待できます。グローバル企業やバグバウンティプログラムへの参加で収入を得る方法もあり、スキル次第でキャリアの幅は非常に広い職種です。
ペネトレーションテストの倫理と法律
ペネトレーションテストに携わる上で、倫理観と法律の理解は技術スキル以上に重要です。高度な技術を持つがゆえに、その使い方を誤ると深刻な問題を引き起こす可能性があるからです。
日本では不正アクセス禁止法により、権限なくシステムにアクセスする行為は犯罪として処罰されます。ペネトレーションテストが合法的な行為として認められるためには、対象システムの所有者から書面による明示的な許可を得ていることが絶対条件です。この許可書（ROE: Rules of Engagement）には、テストの範囲、許可される手法、実施期間、連絡先などが明記されている必要があります。
倫理的ハッキングのプロフェッショナルとして、テスト中に知り得た機密情報の取り扱いにも細心の注意が求められます。クライアントのシステムに侵入する過程で、顧客データや知的財産といった機密情報に接触することがあります。これらの情報を外部に漏らしたり、不正に利用したりすることは、法律的にも倫理的にも許されない行為です。
ところで、バグバウンティプログラムの存在も知っておくとよいでしょう。Google、Microsoft、Appleなどの大手テック企業や、HackerOneやBugcrowdといったプラットフォームを通じて、多くの企業が脆弱性の報告に対して報奨金を支払う制度を設けています。バグバウンティはペンテストのスキルを合法的に活かして収入を得る方法の一つであり、実績づくりにも最適です。ただし、各プログラムのルールを厳守することが前提です。
まとめ
ペネトレーションテストは、セキュリティの世界で最もチャレンジングかつエキサイティングな分野の一つです。攻撃者と同じスキルを、企業と社会を守るために活用する。この「ホワイトハッカー」としての働き方に魅力を感じる方は多いのではないでしょうか。
ペンテスターへの道は決して簡単ではありませんが、Hack The BoxやTryHackMeといった学習プラットフォーム、OSCPのような実践的な資格、そしてCTFコミュニティの存在が、未経験者の学習を強力にサポートしてくれます。重要なのは、技術スキルと同時に、高い倫理観と法律の理解を身につけることです。
この分野に興味があるなら、今日からKali Linuxをインストールして、TryHackMeの無料コースに挑戦してみてください。最初のマシンへの侵入に成功したとき、ペネトレーションテストの奥深さと面白さに気づくはずです。その体験が、ホワイトハッカーへの第一歩になるかもしれません。