CompTIA PenTest+

CompTIA PenTest +は、ネットワーク上の脆弱性を特定、報告、管理するための実践的なペネトレーションテストを行うサイバーセキュリティプロフェッショナル向けの認定資格です。

• CompTIA Store
• 認定資格概要
• 試験情報/出題範囲
• 更新/リニューアル
• 開発プロセス
• トレーニング
• 類似問題
• 導入活用事例

CompTIA PenTest+認定資格概要

CompTIA PenTest+は、システムの脆弱性を特定し、リスクを軽減し、これらを報告するスキルを評価します。クラウド、Webアプリ、API、IoTといった攻撃対象領域におけるペネトレーションテストの全段階を網羅し、脆弱性管理やラテラルムーブメントといった実践的なスキルを重視しています。CompTIA PenTest+は、ペネトレーションテスターやセキュリティコンサルタントとしてのキャリアアップに必要な専門知識を習得するのに役立ちます。

改訂CompTIA PenTest+を取得することで、下記のようなスキルと知識を習得していることを証明します。

• 法的および倫理的な要件に準拠しながら、ペネトレーションテストの計画と範囲を策定し、是正措置の提案を含む詳細な報告書を作成して、プロジェクト管理を支援します。アクティブおよびパッシブな偵察を実施し、情報を収集し、システムを列挙して脆弱性を効果的に特定します。
• 脆弱性スキャンを実施し結果を分析、発見を検証してセキュリティ上の弱点を特定し、対応する。
• 適切なツールと技術を使用して、ネットワーク、ホストベース、ウェブアプリケーション、クラウドベースの攻撃を実行し、システム防御をテストする。
• 持続性を維持し、ラテラルムーブメントを実施し、発見を文書化して、ポストエクスプロイト活動中の是正措置を支援する。

CompTIA PenTest+は、世界的に認知される品質規格に準拠しているとして、2011年12月31日に、国際標準化機構(ISO)および米国規格協会(ANSI)より認定を受けています。また、米国国防総省によってDoDM8140.03要件を満たすことが承認されています。

CompTIA PenTest+で修得できるスキル
	エンゲージメント管理		偵察と列挙
エンゲージメントのルール、テスト期間、ターゲットの選択の定義。承認書、義務的報告、規制の遵守。ピアレビュー、エスカレーション パス、リスクの明確化を通じた関係者との連携。概要、調査結果、修復推奨事項を含むレポートの作成。		オープンソース インテリジェンス (OSINT)、ネットワーク スニッフィング、プロトコル スキャンを使用した情報の収集。DNS 列挙、サービス検出、およびディレクトリ列挙の実行。Nmap、Wireshark、Shodan などのツールを使用した情報の収集。偵察と列挙のための Python、PowerShell、および Bash スクリプトのカスタマイズ。
	脆弱性の検出と分析		攻撃とエクスプロイト
静的アプリケーション セキュリティ テスト (SAST)、および動的アプリケーション セキュリティ テスト (DAST) の実施。結果の検証、構成のトラブルシューティング、誤検知の特定。脆弱性の検出に Nessus、Nikto、OpenVAS などのツールの使用。		各種攻撃手法の実行：VLAN ホッピング、オンパス攻撃、サービス悪用、ブルートフォース攻撃、パスザハッシュ、クレデンシャルスタッフィング、権限昇格、プロセス インジェクション、資格情報のダンプ、SQL インジェクション、クロスサイト スクリプティング (XSS)、ディレクトリ トラバーサル。コンテナ エスケープ、メタデータ サービス攻撃、および ID およびアクセス管理 (IAM) の誤った構成の悪用。AIに対するプロンプトインジェクションとモデル操作についての説明。
	エクスプロイト後の活動とラテラルムーブメント
永続性の確立、横方向の移動の実行、アーティファクトのクリーンアップ。攻撃の説明を作成し、修復の推奨事項を提供する。

CompTIA PenTest+導入事例

Security Case Study on web

CompTIA Security Case Studyに掲載されている以外の導入事例については、こちらからご覧ください。

CompTIA PenTest+出題範囲

CompTIA PenTest+試験情報

CompTIA PenTest+は3〜4年間の ペネトレーションテスト、脆弱性評価、 および脆弱性管理の実践経験で得られる知識やスキルを目安に設計されています。サイバーセキュリティのキャリアパスにおいて、CompTIA CySA+と共に中級のスキルに位置されます。

CompTIA CySA+が、インシデントの検出と対応による「防御」に重点を置いているのに比べ、CompTIA PenTest+は、ペネトレーションテストと脆弱性診断による「攻撃」に重点を置いています。これら2つの認定資格は、一見反するスキルのように見えますが、依存関係にあると言えます。サイバーセキュリティにおいて高いスキルを有するためには、これら2つの「防御」と「攻撃」の両方のスキルを備えている必要があります。

CompTIA PenTest+更新/リニューアル

CompTIA PenTest+は、資格取得から3年間の有効期限が設定されいます。（2019年1月現在）

以下のいずれかの方法で、有効期限内の認定資格の更新が可能です。
CompTIA PenTest+を更新することで、CompTIA A+、CompTIA Network+、CompTIA Security+、CompTIA CySA+が同時に更新されます。（2019年1月現在）

CEUの申請とCEプログラム費用が免除されるもの
・CompTIA PenTest+改訂試験の合格
・CompTIA PenTest+の上位試験にあたるCompTIA認定資格の取得

更新に必要な「60」CEUの申請/承認とCEプログラム費用が発生するもの
・CompTIA以外の承認されたIT認定資格の取得
・その他、CEUに対象となるアクティビティの実施

認定資格更新の詳細については、「CompTIA認定資格リニューアル/更新方法」をご確認ください。

CompTIA PenTest+開発プロセス

CompTIA認定資格は、試験作成委員会が中心となり、ニーズ調査・職務分析・リサーチを経て、SMEと呼ばれる現場関係者により開発が進められます。
CompTIA PenTest+は、以下のIT業界からのSMEのサポートにより開発されました。

■米国SME（米国本部/一部抜粋）

■日本語試験SME（50音順/社名は参加時の社名を記載）

日本語試験は、以下のIT業界からのSMEのサポートにより開発されました。