ペネトレーションテスターは、サイバー攻撃をする側の視点でシステムに侵入を試み、弱点を見つける専門職です。「ホワイトハッカー」とも呼ばれ、セキュリティの仕事の中でも特に専門性が高い職種として知られています。
攻撃の手口は、ネットワークやサーバー、クラウドの設定の弱点を突くものが多くあります。そのため、インフラの知識と経験は、ペネトレーションテスターを目指すうえで大きな強みになります。
ここでは、ペネトレーションテスターの仕事内容と脆弱性診断との違い、必要なスキルと資格、年収の目安、インフラエンジニアから目指すステップを解説します。
この記事で分かること
- ペネトレーションテスターの役割と、脆弱性診断との違い
- 診断の種類と仕事の流れ、必要なスキル・資格
- 年収の目安と、インフラエンジニアの経験を活かして目指すステップ
ペネトレーションテスターとは？
攻撃者の視点で、システムの弱点を見つける専門職
ペネトレーションテスターは、企業から依頼を受け、実際の攻撃者と同じような手法でシステムへの侵入を試みる専門職です。「ペネトレーション（penetration）」は「侵入」を意味します。
目的は、本物の攻撃者に狙われる前に弱点を見つけて、対策につなげることです。侵入できた経路や、その先でどこまで被害が広がるおそれがあるかを確かめ、企業に報告します。
ホワイトハッカーとの関係
ホワイトハッカーとは、高度な技術を、組織や社会を守るために使う技術者の総称です。ペネトレーションテスターは、ホワイトハッカーの代表的な職種の1つといえます。
一方、他人のシステムに無断で侵入し、悪用する攻撃者は「ブラックハッカー（クラッカー）」と呼ばれます。両者の違いは技術ではなく、依頼と契約にもとづいて、決められた範囲でだけ行うかどうかにあります。
脆弱性診断との違い
よく似た仕事に「脆弱性診断」があります。目的と進め方に違いがあります。
| 項目 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 目的 | 弱点を、できるだけ幅広く洗い出す | 実際に侵入できるか、どこまで被害が広がるかを確かめる |
| 進め方 | ツールと手作業で、決まった項目を網羅的に調べる | 攻撃のシナリオを立て、弱点を組み合わせて侵入を試みる |
| 必要な技術 | 診断の手順とツールの知識 | 攻撃の手法、システムの深い理解、応用力 |
脆弱性診断の経験を積んでから、ペネトレーションテスターに進む人も多くいます。
ペネトレーションテスターの仕事内容
診断の種類
ペネトレーションテストは、対象によっていくつかの種類に分かれます。
| 種類 | 対象 | 主に必要な知識 |
|---|---|---|
| ネットワーク・プラットフォームの診断 | サーバー、ネットワーク機器、OS | ネットワーク、Linux・Windows、サーバーの設定 |
| クラウドの診断 | AWSやAzureなどの設定、権限 | クラウドの仕組みと権限の設計 |
| Webアプリケーションの診断 | Webサイトやアプリのプログラム | Webの技術、プログラミング |
| レッドチームの演習 | 組織全体（人や物理的な侵入も含む） | 幅広い攻撃の手法、組織の運用への理解 |
インフラエンジニアの経験を活かしやすいもの
- ネットワーク・プラットフォームの診断
- クラウドの診断
仕事の流れ
顧客と、診断の対象・範囲・期間・禁止事項を決め、契約を結ぶ。
対象のシステムの構成や、外から見える情報を調べる。
どこから、どの弱点を組み合わせて侵入を試みるかを計画する。
決められた範囲の中で、実際に侵入を試みる。
見つかった弱点、侵入できた経路、危険度、対策の方法を報告書にまとめ、顧客に説明する。
診断の作業と同じくらい、報告と説明が大切です。弱点を見つけるだけでなく、顧客が対策できる形で伝えることが、ペネトレーションテスターの価値になります。
必要なスキル・資格と年収
必要なスキル
- インフラの知識
TCP/IP、ルーティング、Linux・Windowsの仕組み、クラウドの設定と権限。攻撃の多くは、ここを突いてきます。 - 攻撃と防御の知識
代表的な攻撃の手口と、それを防ぐ仕組みの理解。 - プログラミング・スクリプト
PythonやShellで、調査を自動化したり、状況に合わせて道具を作ったりする力。 - 報告と説明の力
技術的な内容を、経営層や開発者にも分かるように説明する力。 - 倫理観
決められた範囲を絶対に越えない姿勢と、知り得た情報を守る責任感。
役立つ資格
| 資格 | 特徴 |
|---|---|
| 情報処理安全確保支援士 | IPAが実施する国家資格。セキュリティの知識を幅広く証明できる |
| CEH（認定ホワイトハッカー） | 攻撃者の視点での知識を問う、EC-Councilの資格 |
| CompTIA PenTest+ | ペネトレーションテストの計画から報告までを問う資格 |
| OSCP | 実際に侵入を試す実技の試験。ペネトレーションテスターの実力を示す資格として評価が高い |
資格の名前や試験の内容は改定されることがあるので、受験の前に各資格の公式サイトで確認してください。
年収の目安
ペネトレーションテスターは専門性が高く、セキュリティの職種の中でも高い水準になりやすい職種です。
| 経験・役割 | 年収の目安 |
|---|---|
| 脆弱性診断を中心に担当 | 450万〜650万円 |
| ペネトレーションテストを担当 | 600万〜900万円 |
| チームのリーダー・上級のテスター | 900万円以上 |
- 上記は求人情報をもとにした目安です。実際の年収は企業・地域によって異なります。
インフラエンジニアから目指すステップ
ファイアウォールやアクセス権限の設定、ログの監視など、身近なセキュリティの業務を担当する。
情報処理安全確保支援士などで、セキュリティの知識を整理する。
TryHackMeやHack The Boxなど、合法的に攻撃の練習ができる演習の環境で、攻撃と防御を学ぶ。
まずは脆弱性診断の担当として、診断の会社やセキュリティの部門に入る。
診断の経験を積み、OSCPなどの資格で実力を示して、ペネトレーションテストを担当する。
セキュリティの仕事の全体像は、［セキュリティエンジニアとは？］で紹介しています。
ペネトレーションテスターに関するよくある疑問
Q．ペネトレーションテストは違法ではないの？
依頼を受け、契約で決めた範囲で行う限り、違法ではありません。依頼や許可のないシステムへの侵入は、不正アクセス禁止法などの法律で禁じられています。
ペネトレーションテスターは、この線を厳格に守ることが前提の仕事です。練習するときも、自分の環境や、練習のために用意された演習の環境だけを使います。
Q．IT未経験からペネトレーションテスターになれる？
未経験から直接なるのは、難しいのが実情です。インフラや開発の実務経験を積み、脆弱性診断などの仕事を経て目指すのが一般的です。
IT業界が未経験の方は、まずインフラの基礎から身につけるのがおすすめです。［未経験からインフラエンジニアを目指す方法］で紹介しています。
Q．インフラエンジニアから、どれくらいで目指せる？
経験や学び方によって大きく変わります。目安として、インフラの実務経験が数年あれば、セキュリティの学習と演習を重ねて、まずは脆弱性診断の仕事への転身を目指せます。ペネトレーションテスターになるのは、その先の段階です。
Q．プログラミングはどのくらい必要？
調査の作業を自動化したり、状況に合わせて簡単な道具を作ったりするために、PythonやShellを読み書きできる程度の力は必要です。Webアプリケーションの診断を専門にする場合は、Webの開発の知識も求められます。
Q．ホワイトハッカーとペネトレーションテスターは同じ？
ホワイトハッカーは、技術を守るために使う技術者の総称です。ペネトレーションテスターは、その中の具体的な職種の1つです。ホワイトハッカーには、ほかにも次のような職種があります。
- セキュリティの研究者
- インシデントへの対応を担う技術者
まとめ
ペネトレーションテスターは、企業から依頼を受け、攻撃者の視点でシステムへの侵入を試みて弱点を見つける専門職です。弱点を幅広く洗い出す脆弱性診断に対し、ペネトレーションテストは、実際に侵入できるか、どこまで被害が広がるかを確かめる点が違います。
診断の対象には、ネットワーク・プラットフォーム、クラウド、Webアプリケーションなどがあります。中でもネットワークやクラウドの診断では、インフラの知識がそのまま土台になります。専門性が高く、セキュリティの職種の中でも高い年収が期待できる仕事です。
インフラエンジニアは、セキュリティの業務に関わることから始め、資格と演習で知識と技術を積み上げ、脆弱性診断を経てペネトレーションテスターを目指せます。インフラの経験は、攻撃者の視点を持つ専門家になるための確かな土台です。
