ペネトレーションテストのメーカー14社比較【2026年】

侵入の段階ごとに、脅威・リスク・侵入可否・危険度を評価して報告します。外から入れるかだけでなく、侵入後に広がるかまで段階を分けて見られます。内部の担当者による不正もシナリオに入れられます。

CRESTの認定を受けたペネトレーションテストです。OA端末のマルウェア感染を起点に社外へ持ち出すシナリオのほか、端末の攻略だけに絞った形も選べます。OSの更新や端末の入れ替えのあとに端末の強さを確かめられます。

マルウェアの研究実績を生かして、ランサムウェアにつながるリスクと感染後の広がりを検証します。報告は事業影響と改善の優先度まで整理します。直したあとは必要に応じて再テストで確かめます。

IPAの情報セキュリティサービス基準適合サービスリストに載っています。診断エンジニアはCEHの資格を持ち、攻撃者と同じ手法でシナリオを試します。脆弱性の調査でプラットフォーム診断も行うので、軽微な弱点も把握できます。

エンジニアがすべて手作業で進め、侵入できたホストを踏み台にして次のホストへ広げます。ゲスト用の無線や監視カメラのセグメントなど、特殊な経路からも試せます。脆弱性が見つかれば速報が届きます。

脆弱性診断の工程で糸口を見つけてから、そこを起点に侵入を試します。シナリオは実際の運用環境に合わせて調整します。診断と侵入を切り分けず、続けて確かめたいときに合います。

マルウェアに感染した端末から、どこまで侵入されるかを試します。シナリオ例の期間は5営業日からで、EDRの回避も試す例は10営業日からです。ゴールとシナリオは個別に作ります。

価格を200万円からと公開しています。期間は1週間から数ヶ月で、ゴールと予算で変わります。システムの脆弱性だけでなく、機密情報の管理体制のミスも攻撃に使います。

シナリオ策定からレポートまで、工程ごとの期間を公式に出しています。テストは1〜3週間、レポート作成は2〜3週間です。侵入は外部もしくは内部から試します。

NIST SP800-115に準拠して実施すると公式に書いています。報告書はテスト完了から10〜15営業日後に届き、サンプルも取り寄せられます。希望すれば再テストも頼めます。

決めた期間の中で、シナリオに沿って侵入を試します。物理侵入のテストを含めることもできます。サービスが止まるおそれのある攻撃は、希望がなければ行いません。

侵入できるかだけでなく、管理者権限の取得や他の対象への広がりまで試します。テストの実績は年間1,000IP以上です。実証した攻撃コードを独自ツールに組み込んで使います。

価格例を3つ公開していて、指定シナリオだけの外部テストは2,000,000円（税込2,200,000円）で⁠す⁠。数百の脅威シナリオから環境に合うものを選ぶので、事前調整の時間とコストを減らせます。防御チームに知らせず無予告で試すこともできます。

社員への標的型メールなど、実際の侵入手段を模して多層防御を確かめます。特定の外部公開システムだけに絞ることもできます。報告書の納品から1ヶ月間は問い合わせに答えます。

攻撃の流れを手順化して、対象のPCとサーバをまとめて調べます。手順はMITRE ATT&CKの攻撃手法から環境に合うものを組み合わせます。インターネットにつながらないネットワークでも調査できます。

実環境で疑似攻撃を行い、SOCとCSIRTにインシデントの発生から収束までを体験してもらいます。工程ごとの期間を公開していて、疑似攻撃は2週間です。対策製品が攻撃を検知できるかも確かめられます。

端末にマルウェアが入った想定で攻撃して、対策製品の防御・検知・記録を確かめます。評価するのはウイルス対策ソフトなどの技術的な対策です。課題に応じた改善策まで提言します。

情報の窃取や制御システムの不正操作など、事業への影響を決めて攻撃します。評価するのはSOCやCSIRTの対処能力と組織全体のセキュリティレベルです。シナリオは打ち合わせで決めます。

業者や社員になりすましてオフィスに入るなど、手段を限定しません。実施を知るのはごく一部の関係者と経営層だけです。防御側がふだんどおりに検知して対応できるかが分かります。

事前に脅威を調べて分析し、その結果に基づいてRed Teamがテストします。一般のペネトレーションテストが汎用の脅威を想定するのとは、ここが違います。初めての組織向けに簡易TLPTのプランも用意しています。