実務で使えるペネトレーションテスト大全

Web・API・モバイル・クラウドを横断して、実務で再現可能なペネトレーションテストを学ぶ

概要

本書は、ペネトレーションテスト（Pentest）を 基礎から実務レベルまで体系的に学ぶための教材である。
ツール操作の手順に留まらず、攻撃モデル・リスク評価・各レイヤの典型的な観点を一貫した流れで扱う。

Pentest は攻撃と同質の行為を扱う。許可された範囲内でのみ実施すること。
詳細は「法的注意点と倫理」を参照すること。

Web / API / モバイル / クラウドを横断して、Pentest のワークフロー（スコーピング→計画→評価→報告→改善）を説明し、再現可能な手順として実行できるようになる。
代表的な攻撃モデルとリスク評価の考え方を踏まえ、優先度・影響範囲・根拠を整理して報告書（証跡付き）を作成できるようになる。
法的・倫理的制約の下での実施範囲管理、関係者との合意形成、成果物管理（ログ/証跡/テンプレート）を含めて「実務としての Pentest」を設計できるようになる。

まず Part 0（概要/違い/法的注意/環境構築）を通読し、実施範囲と手順の前提をそろえる。
次に Part 1（基礎理論）を読み、攻撃モデル（Kill Chain / MITRE ATT&CK / STRIDE）やリスク評価（DREAD）、OWASP ASVS/WSTG などの共通フレームワークを押さえる。
Web を優先する場合は Part 2 → Part 3、API を優先する場合は Part 2 → Part 4 の順で進める。
モバイル/クラウドは環境差が大きいため、Part 0 の環境構築ガイドを参照しながら Part 5/Part 6 を進める。
最後に Part 7（総合演習）で「計画→評価→報告→振り返り」を一気通貫で実施し、付録のテンプレートで成果物の粒度をそろえる。

本書は CC BY-NC-SA 4.0 で公開している。商用利用は別途契約が必要である。