Amazon Web Services（AWS）上で自社のWebサービスやAPI、インフラを運用していると、セキュリティ強化や取引先・監査からの要請で「AWSに対してペネトレーションテスト（侵入テスト）を実施したい」という場面が出てきます。このとき多くの担当者が最初に迷うのが、「AWSに事前承認（申請）は必要なのか」という点です。
かつてAWSでペネトレーションテストを行うには事前の申請が必要というイメージが強く、ここでつまずいて実施そのものが止まってしまうケースがありました。現在は「許可されたサービス」であれば通常のペネトレーションテストに事前承認は不要になっていますが、一部のテストは今も申請が必要で、両者を取り違えると規約違反につながりかねません。
本記事では、事前承認の要否と「許可されたサービス」の一覧・禁止される行為・申請が必要なテストを整理します。そのうえで、AWSネイティブの自動ペネトレーションテストと外部専門ベンダーによる手動テストの使い分け、依頼先の選び方・費用・進め方までを解説し、自社の進め方を判断できる状態を目指します。
目次
一括ダウンロードする
AWSのペネトレーションテストに事前承認は必要？
結論から説明すると、AWSが定める「許可されたサービス」に対しては、事前承認（申請）なしでペネトレーションテストや脆弱性診断を実施できます。AWS公式のカスタマーサポートポリシーは、許可されたサービスについて「事前の承認なしに」セキュリティ評価またはペネトレーションテストを実行できると明記しています。
AWS のお客様は、[Permitted Services] (許可されたサービス) の下の次のセクションに記載されているサービスについて、事前の承認なしに AWS インフラストラクチャのセキュリティ評価またはペネトレーションテストを実行できます。
出典：ペネトレーションテスト（AWS カスタマーサポートポリシー）｜Amazon Web Services
AWSのナレッジセンター（re:Post）も、「AWS アカウントのリソースに対してペネトレーションテストを実行したり、AWS アカウントのリソースから侵入テストを実行したりするには、AWS の承認は必要ありません」と同じ内容を示しています。対象は自社アカウント内のリソースで、AWSインフラストラクチャやAWSサービス自体の評価は許可されていません。
ただし、「完全に承認不要」ではない点に注意が必要です。同じポリシーは「Command and Control (C2) を含むすべてのセキュリティテストには、事前の承認が必要です」とも定めています。
指揮統制（C2）を伴うテストや、後述するネットワークストレステスト・DDoSシミュレーション、レッドチーム演習やフィッシングの模擬攻撃などは、許可されたサービスが対象でも申請が必要です。通常のペネトレーションテストは申請不要、こうした特別なテストは申請が必要、という線引きを押さえておきましょう。
出典・参考資料（2件）
ペネトレーションテストが許可されたAWSサービスと禁止行為・要申請イベント
ここからは、事前承認なしで実施できる「許可されたサービス」と、禁止される行為、申請が必要なテストを、AWS公式ポリシーの区分どおりに整理します。どれが申請不要で、何が禁止され、何が申請を要するのかを取り違えないことが重要です。
事前承認なしで実施できる「許可されたサービス」一覧
AWS公式ポリシーに記載されている「許可されたサービス」は、掲載時点（2026年11月時点）で以下のとおりです。このリストは随時更新されるため、実施前には必ず最新のポリシーページで確認してください。
- Amazon EC2 インスタンス、WAF、NAT ゲートウェイ、Elastic Load Balancer
- Amazon RDS
- Amazon CloudFront
- Amazon Aurora
- Amazon API Gateway
- AWS AppSync
- AWS Lambda 関数および Lambda Edge 関数
- Amazon Lightsail リソース
- Amazon Elastic Beanstalk 環境
- Amazon Elastic Container Service
- AWS Fargate
- Amazon OpenSearch Service
- Amazon FSx
- Amazon Transit Gateway
- Amazon Bedrock AgentCore
- AWS Global Accelerator
リストにないサービスをテストしたい場合は、AWSサポートまたはアカウント担当者に直接連絡する必要があります。
出典・参考資料（1件）
禁止される行為
許可されたサービスが対象でも、次の行為は禁止されています。これらはテストの可否以前の禁止事項なので、計画段階で必ず除外しておく必要があります。
- Amazon Route 53 ホストゾーン経由のDNSゾーンウォーキング
- Route 53 経由のDNSハイジャック／DNSファーミング
- サービス拒否（DoS）、分散型サービス拒否（DDoS）そのもの（実際にサービスを停止させる攻撃）
- ポートフラッディング、プロトコルフラッディング、リクエストフラッディング（ログインリクエスト・APIリクエストのフラッディング）
- S3バケット乗っ取り、サブドメイン乗っ取り
また、Amazon API GatewayとAmazon Bedrock AgentCoreは、アウトバウンド（外向き）のペネトレーションテストが禁止されています。ただし、DoS／DDoSそのものは禁止ですが、負荷をかけて耐性を測るネットワークストレステストやDDoSシミュレーションは「禁止」ではなく、次に述べる「申請が必要なテスト」に分類されます。この区分は混同しやすいので注意してください。
出典・参考資料（1件）
事前申請が必要な「他のシミュレートされたイベント」
通常のペネトレーションテストとは別に、次のような「シミュレートされたイベント」はAWSへの事前申請（Simulated Eventsフォームの提出と審査）が必要です。
- Red／Blue／Purple Teamテスト：秘密裏の敵対的シミュレーションや、指揮統制（C2）のホスティングを伴うテスト
- ボリュメトリックテスト：ネットワークストレステスト・負荷テスト（ストレステストポリシー）、DDoSシミュレーション（DDoSシミュレーションテストポリシー）、iPerfテスト
- シミュレートされたフィッシング：模擬フィッシングキャンペーン
- マルウェアテスト：マルウェアを用いたテスト
これらの申請では、日付・関係するアカウントID・対象アセット・連絡先・テスト内容の詳細を記載します。AWSからは最初の連絡から2営業日以内に受領の返信があります。これらのシミュレートイベントの申請の期限は、AWSのナレッジセンター（re:Post）が「予定されているテストの少なくとも14営業日前」に送るよう案内しています。余裕を持って準備しましょう。
出典・参考資料（2件）
AWSペネトレーションテストとは（脆弱性診断との違い・責任共有モデル）
事前承認の要否を押さえたところで、ここからは「何を・どこまでテストするのか」という基礎を整理します。脆弱性診断との違いや、AWSの責任共有モデルを理解しておくと、自社に必要なテストの範囲を正しく切れるようになります。
脆弱性診断とペネトレーションテストの違い
脆弱性診断は、システムに存在する弱点を網羅的に洗い出すことを目的とします。一方、ペネトレーションテスト（侵入テスト）は、現実的な攻撃シナリオにもとづいて実際に侵入を試み、「どこまで侵入でき、どんな影響が生じるか」を確認します。弱点の一覧がほしいのか、攻撃された場合の実害を知りたいのかで、選ぶべき手法が変わります。
まず自社システムの弱点を広く把握したい段階では脆弱性診断が向きます。重要な資産や決済・個人情報を扱うシステムで「実際に突破されるか」を検証したい段階では、ペネトレーションテストが有効です。両方を組み合わせて使うケースも少なくありません。
目的だけでなく手法・費用・期間・実施頻度まで含めた両者の違いと、どちらを選ぶべきかの判断軸は、次の記事で詳しく整理しています。
責任共有モデルで利用者が守る範囲
AWSのセキュリティは「責任共有モデル」で整理されています。AWSはクラウドを動かす基盤（ハードウェア・ネットワーク・施設など）の保護に責任を持ち、利用者はクラウド上に構築した自社システムの設定やアプリケーションの保護に責任を持ちます。
AWS の責任「クラウドのセキュリティ」 — AWS には、AWS クラウドで提供されるすべてのサービスを実行するインフラストラクチャを保護する責任があります。／ お客様の責任「クラウドにおけるセキュリティ」 — お客様の責任は、選択した AWS クラウドのサービスに応じて異なります。
出典：責任共有モデル｜Amazon Web Services
ペネトレーションテストの対象になるのは、原則として利用者側の責任範囲、つまり自社で構築・設定したリソースやアプリケーションです。AWS基盤そのものはテスト対象外である点を踏まえ、テスト範囲を設計しましょう。
出典・参考資料（1件）
設定不備が侵入経路になる仕組み
クラウドで侵入のきっかけになりやすいのが、利用者側の設定不備です。たとえば、公開中のWebアプリにサーバサイドリクエストフォージェリ（SSRF：サーバに意図しない通信をさせる攻撃）の弱点があるとします。この弱点から、クラウドの内部メタデータにアクセスされ、IAM（権限管理）の認証情報を抜き取られる、といった手口が一般に知られています。
一つひとつは軽微に見える弱点でも、連鎖すると大きな被害につながります。ペネトレーションテストは、こうした「弱点の連鎖」を攻撃者の視点でたどり、実際にどこまで到達されるかを可視化します。
AWSサービスごとに見るべき診断ポイント
AWSは多数のサービスを組み合わせて構成するため、診断すべきポイントもサービスごとに異なります。代表的な観点は次のとおりです。
- EC2・コンテナ（ECS／Fargate）：OS・ミドルウェアの既知の脆弱性、不要なポートの開放、過剰な権限
- IAM：過剰な権限付与、認証情報の管理、最小権限の原則が守られているか
- S3などのストレージ：公開設定の誤り、アクセス制御の不備
- Webアプリ・API（CloudFront／API Gateway経由）：SSRF・SQLインジェクション・認証認可の不備などのアプリ層の弱点
自社の構成に合わせて、設定（クラウドの構成不備）とアプリケーション（コードの弱点）の両面から診断範囲を決めることが大切です。
このうち「クラウドの設定そのもの」を診る設定診断（CSPM）と、クラウド上に構築したシステムを診る従来型の脆弱性診断は、対象も費用も依頼先も異なります。両者の切り分けは次の記事で詳しく解説しています。
AWSペネトレーションテストの実施方法｜自動と外部ベンダー手動の使い分け
ここからは、実際にどう実施するかを整理します。許可されたサービスであれば自社の手で実施することもできますが、その場合も前述の許可サービス・申請要否の確認が前提です。
実施手段としては、大きく「AWSネイティブの自動ペネトレーションテスト」「外部専門ベンダーによる手動テスト」があり、何を検出したいかで使い分けます。
AWSネイティブの自動ペネトレーションテスト（AWS Security Agent→AWS Continuum）
AWSは、AIエージェントが実行中のアプリケーションの悪用可能な脆弱性を検出・確認する、オンデマンドの自動ペネトレーションテストを提供しています。このサービスは「AWS Security Agent」として提供が始まり、現在は「AWS Continuum for penetration testing（旧称 AWS Security Agent）」へと名称が変わっています。
利用はコンソールからオンデマンドで開始でき、テストの論理的な境界となるエージェントスペースの作成やドメイン所有権の確認などの初期設定を行います。
一般提供（GA）は2026年3月31日に開始されました。料金は1タスク時間あたり50 USDの従量課金で、タスク時間はテストを実際に実行している時間を指します。
AWSによると、平均的なアプリケーションのテストには約24タスク時間を要し、ペネトレーションテストから修復までの標準的なコストは約1,200 USDが目安とされています（固定価格ではなく、実行時間に応じて変動します）。対応リージョンにはアジアパシフィック（東京）が含まれます（いずれも2026年3月時点の公式情報）。
料金は 1 タスク時間あたり 50 USD で、秒単位の従量課金です。… 現在の実績に基づくと、平均的なアプリケーションテストには約 24 タスク時間を要し、ペネトレーションテストから修復までの標準的なコストは約 1,200 USD です。
出典：AWS Security Agent のオンデマンドペネトレーションテストの一般提供を開始｜AWS公式ブログ
出典・参考資料（2件）
外部専門ベンダーによる手動テスト
もう一つの選択肢が、セキュリティ専門企業による手動のペネトレーションテストです。経験豊富な診断員が攻撃者の視点で、業務ロジックの悪用や複数の弱点を組み合わせた侵入など、ツールだけでは見つけにくい問題を検証します。報告書の作成や改善方針の提示まで任せられる点も特徴です。
金融・決済など高いセキュリティ水準が求められるシステムや、第三者による客観的な評価が必要な場面では、専門ベンダーの手動テストが選ばれます。後述する依頼先の選び方で、判断軸を詳しく解説します。
自動の限界と手動が必要な場面
自動ペネトレーションテストは、速く・安く・繰り返し実行できる点が強みです。一方で、万能ではありません。ツールによる自動テストには、次のような限界があります。
- 業務ロジックに踏み込んだ悪用（たとえば権限昇格や不正な取引操作）は、仕様の理解が必要で自動化が難しい
- 単発では軽微な弱点を組み合わせる「連鎖攻撃」の検証には、攻撃者視点の判断が要る
- 自動テストは実行のたびに結果が変動しうるため、結果の解釈には注意が必要
実務では、日常的なチェックや変更のたびの確認は自動ペネトレーションテストで回し、重要システムや本番前の最終確認は専門ベンダーの手動テストで固める、といった使い分けが現実的です。「速さ・頻度」を自動で、「深さ・判断」を手動で補完する組み合わせが、多くのケースで有効です。
AWS対応のペネトレーションテスト・脆弱性診断の依頼先の選び方と費用・進め方
外部ベンダーに依頼する場合、どこに何を基準に頼むかで得られる成果が変わります。ここでは、依頼先を選ぶ判断軸と費用の考え方、依頼の流れを解説します。
依頼先を選ぶ判断軸
AWS環境のペネトレーションテスト・脆弱性診断を依頼するときは、次の観点で比較すると自社に合う依頼先を絞り込めます。
- AWS・クラウドへの対応：クラウドの設定診断（CSPM）やAWS構成に対応しているか。責任共有モデルを踏まえた設定面の診断ができるか
- 診断手法：自動（ツール・SaaS）中心か、専門家の手動中心か、両者のハイブリッドか。検証したい深さに合うか
- 対応範囲：Webアプリ・API・ネットワーク・クラウド設定・ソースコードなど、自社が診断したい対象をカバーしているか
- 報告品質とアフターサポート：報告書が改善につながる具体性を持つか、再診断や質問対応があるか
費用の考え方
費用は診断手法と対象範囲で大きく変わります。ツール型・SaaSの自動診断は比較的低コストで継続的に回せる一方、専門家による手動のペネトレーションテストは対象やシナリオに応じた個別見積りで、規模が大きいほど高額になります。
まずは自動診断やWebアプリ単位の脆弱性診断で弱点を把握し、重要システムに絞って手動のペネトレーションテストを実施する、といった段階的な進め方が、費用対効果の面でも現実的です。各サービスの具体的な費用は、後述の比較表と個別紹介で確認できます。
手動のペネトレーションテストについて、対象別・規模別の料金レンジや見積りの取り方の目安を先に押さえておきたい場合は、次の記事で出典付きに整理しています。
依頼の流れ（進め方）
外部に依頼する場合の一般的な流れは次のとおりです。
- 目的と対象の明確化：何を・なぜ検証するか、対象システムと範囲を決める
- 依頼先の選定・見積り：判断軸に沿って候補を比較し、範囲と費用を見積もる
- 事前準備：テスト範囲の合意、AWSの許可されたサービス・申請要否の確認、申請が必要なテストは期限に余裕を持って手続き
- 診断・テストの実施：合意した範囲でテストを実施
- 報告と改善：検出された問題と影響度、改善策の報告を受け、優先度をつけて対応する
AWS対応の依頼先を比べるなら、各サービスの資料をまとめて請求して、対応範囲や費用を見比べられます。
一括ダウンロードする
【比較表】AWS対応のペネトレーションテスト・脆弱性診断サービス
ここからは、AWS対応のペネトレーションテスト・脆弱性診断を提供するサービスを、診断手法・対応範囲・費用の目安で横並びに整理します。自動（ツール型）と手動（専門家）のどちらに強みがあるかにも注目して、自社の進め方に合うものを探してみてください。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | NRIセキュア | セキュリティ診断・TLPT（ラック） | GMOサイバーセキュリティ byイエラエ | SQAT |
|---|---|---|---|---|---|---|
| 診断手法 | 自動（SaaSツール型） | ハイブリッド（AI自動＋専門家） | ハイブリッド（手動主体） | ハイブリッド（手動主体） | ハイブリッド（手動＋ツールASM） | ハイブリッド（手動＋独自自動診断） |
| AWS・クラウド対応 | ●クラウド設定診断（CSPM）がAWS対応 | △Web・API等が中心（設定診断は明記なし） | ●クラウド設定評価（CSPM）に対応 | ●クラウド設定診断に対応 | ●クラウド診断（AWS等）に対応 | ●クラウド設定診断に対応 |
| 主な対応範囲 | ソースコード／クラウド設定／Webアプリ（DAST） | ソースコード／Web・API／ペネトレーションテスト | Web・API／ネットワーク／クラウド設定／ソースコード／ペネトレーション ほか | Web／ネットワーク／クラウド設定／ソースコード／ペネトレーション／TLPT | Web／ネットワーク／クラウド／IoT／ペネトレーション／レッドチーム演習 ほか | Web／ネットワーク／スマホアプリ／IoT／クラウド設定／ソースコード／ペネトレーション ほか |
| 費用の目安 | 月額5万円台〜 無料プランあり | ソースコード診断15万円〜 ペネトレーションテスト60万円〜 | 個別見積り ペネトレーションテストは800万円〜（税別） | ペネトレーションテスト700万〜1,000万円（税抜） TLPT 1,000万円程度〜 | 手動診断は個別見積り ネットde診断ASMは月額4万円〜 | 要問い合わせ（個別見積り） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
AWS対応のペネトレーションテスト・脆弱性診断サービス
比較表で挙げたサービスについて、特徴と対応範囲を個別に紹介します。自動診断を継続的に回したいのか、専門家の手動テストで深く検証したいのか、自社のニーズに照らして読み進めてください。
1. Aikido Security（Aikido Security BV／株式会社AndGo）
Aikido Security（アイキドセキュリティ）は、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリを1つの管理画面でまとめて検査できる、オールインワンの脆弱性診断SaaSです。人が診断して報告書を納品する受託型ではなく、ツールによる自動スキャンを継続的に利用する形態で、日本語での窓口と請求書払いは株式会社AndGoが提供しています。
クラウド設定診断（CSPM）は公式にAWS・Azure・GCPへの対応を明記しており、AWS構成のチェックに向きます。動的診断（DAST）やソースコード診断（SAST・SCA）も扱い、アラートの自動トリアージで誤検知を抑える設計です。
無料のDeveloperプランがあり、導入前に試せます。有償プランは利用規模に応じた月額課金です。人手によるペネトレーションテストを求める場合は、AndGoが別サービスとして案内しています。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内セキュリティ専門家による最終確認を組み合わせたサービスです。AI診断から人手の侵入テストまでを段階的に選べるメニュー構成になっています。
公式メニューはソースコードAI診断、動的脆弱性診断（Web／API診断）、実践攻撃シミュレーション診断（ペネトレーションテスト）の3つで、AI診断から人手の侵入テストまで必要に応じて選べます。実践攻撃シミュレーション診断（ペネトレーションテスト）は、Webで60万円〜、ネットワークで100万円〜です。
料金プランは、ソースコードAI診断が150,000円、ソースコード＋動的診断のLiteが500,000円、Standardが1,000,000円、Professionalが1,500,000円です（2026年10月時点の公開情報）。プレスリリースでは最短3営業日での報告書納品が示されています。
AIによる自動解析と人による確認をどう両立させているのかについて、同社はカタログのインタビューで次のように説明しています。
精度については、ハルシネーションが心配だというお声もいただきますが、ハルシネーションを完全に防ぐとAIの強みが損なわれてしまいますので、そこは防ぎきることはしていません。その代わり、ハルシネーションが起きた可能性がある箇所については明確に示すようにしていて、最終的に人の目で見て正しいかどうかを承認するフローを取っています。
3. セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NRIセキュア（NRIセキュアテクノロジーズ株式会社）
NRIセキュアテクノロジーズは、野村総合研究所グループのセキュリティ専業会社で、専門家による手動主体の診断・ペネトレーションテストを提供します。SANSの専門トレーニング修了者やCISSP・OSCPなどの国際資格保有者が診断を担う点が訴求の中核です。
Webアプリケーション・プラットフォーム・スマホアプリ・API・ソースコードに加え、クラウド設定を評価するクラウド設定評価サービス（CSPM）まで幅広くカバーし、攻撃者視点のペネトレーションテストやレッドチームオペレーションも手がけます。費用は、ペネトレーションテストサービスが800万円〜（税別、内容により変動）、多くのメニューは個別見積りです（2026年10月時点の公式記載）。
4. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
株式会社ラックは、1995年から診断サービスを提供してきたセキュリティ企業です。公式ページでは、弱点を網羅的に洗い出す脆弱性診断と、現実的な攻撃シナリオで影響を確認するペネトレーションテストを区別して説明しています。
診断対象はWebアプリ・サーバ／ネットワーク機器・スマホアプリ・クラウド／SaaS設定・無線LANなど幅広く、クラウドセキュリティ設定診断も用意されています。
費用は、情報システムペネトレーションテストが標準シナリオで700万〜1,000万円（税抜）、TLPT（脅威ベースのペネトレーションテスト）が1,000万円程度〜などで、範囲により変動します（2026年10月時点の公式記載）。短納期のエクスプレス版からメニューがあり、監視を担うJSOCやインシデント対応を同じベンダーで組み合わせられる点も強みです。
5. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
GMOサイバーセキュリティ byイエラエは、多数のホワイトハッカーを擁し、手動主体の脆弱性診断・ペネトレーションテストを中核とするサイバーセキュリティ専門企業です。公式では、脆弱性診断・ペネトレーションテストを13種のメニューで提供し、Web・スマホ・クラウド・ネットワークなど幅広い対象をカバーすると記載しています。
専門家による個別見積りの手動診断に加えて、攻撃面を継続的に監視する「GMOサイバー攻撃ネットde診断 ASM」という月額課金のツール型サービスも併せ持ち、手動と自動の両方を状況に応じて選べます。累計診断件数16,000件超、ホワイトハッカー在籍200名以上といった実績を公式に掲げています（集計時点は公式に明記なし）。
6. SQAT（株式会社ブロードバンドセキュリティ）
SQAT®（エスキュート）は、2000年創業のセキュリティ専業企業・株式会社ブロードバンドセキュリティ（BBSec）が提供する脆弱性診断サービスの総称です。公式の診断ページでは、精度の高い手動診断と独自開発の自動診断を組み合わせるハイブリッド方式を掲げています。
ソースコード診断とWebアプリケーション診断を組み合わせる「SQAT GlassBox」や、報告書提出まで最短7営業日の短納期メニュー「SQAT with Swift Delivery」など、目的に応じたメニューを用意しています。診断対象はWeb・ネットワーク・スマホ・IoT・クラウド・ソースコードまで広く、費用は対象規模に応じた個別見積りです（2026年10月時点の公式記載）。
まとめ
AWSのペネトレーションテストは、「許可されたサービス」に対する通常のテストであれば事前承認なしで実施できます。ただし、C2を伴うテストやネットワークストレステスト・DDoSシミュレーション、レッドチーム演習・フィッシングの模擬攻撃などは申請が必要で、DoS／DDoSそのものやS3バケット乗っ取りなどは禁止されています。この線引きを、実施前に必ず最新の公式ポリシーで確認しましょう。
実施にあたっては、速さと頻度を活かせるAWSネイティブの自動ペネトレーションテストと、業務ロジックや連鎖攻撃まで検証できる専門ベンダーの手動テストを、目的に応じて使い分けるのが現実的です。依頼先はAWS・クラウドへの対応、診断手法、対応範囲、報告品質で比較し、自社の重要度に合わせて選びましょう。各サービスの資料をまとめて取り寄せ、比較検討を進めてみてください。
AWS対応に限らず、脆弱性診断サービス全体を診断方法・費用相場・選び方の観点で見渡して比較したい場合は、以下のまとめ記事もあわせてご覧ください。
一括ダウンロードする
よくある質問（FAQ）
Q. AWSペネトレーションテストとは何ですか？
A. AWSペネトレーションテストとは、AWS上に構築した自社のWebアプリケーションやインフラに対し、攻撃者の視点で実際に侵入を試み、どこまで侵入でき何が起きるかを検証するセキュリティテストです。弱点を網羅的に洗い出す脆弱性診断とは異なり、現実的な攻撃シナリオにもとづいて侵入の深さと実害を確かめる点が特徴です。
対象になるのは責任共有モデル上の利用者側の責任範囲（自社で構築・設定したリソースやアプリケーション）で、AWS基盤そのものはテスト対象外です。
Q. AWSのペネトレーションテストに事前承認は必要ですか？
A. AWSのペネトレーションテストは、AWSが定める「許可されたサービス」に対する通常のテストであれば、事前承認（申請）なしで実施できます。AWS公式のカスタマーサポートポリシーが、許可されたサービスについて事前の承認なしにセキュリティ評価やペネトレーションテストを実行できると明記しています。
ただし、指揮統制（C2）を伴うテストや、ネットワークストレステスト・DDoSシミュレーション、レッドチーム演習、模擬フィッシングなどは、許可されたサービスが対象でも事前申請が必要です。
Q. 事前承認なしでペネトレーションテストできるAWSサービスはどれですか？
A. 事前承認なしでテストできるのは、Amazon EC2・WAF・RDS・CloudFront・Aurora・API Gateway・AWS Lambda・ECS・Fargate・Amazon OpenSearch Serviceなど、AWS公式ポリシーが「許可されたサービス」として挙げているサービスです。
このリストは随時更新されるため、掲載時点（2026年11月時点）の内容を参考にしつつ、実施前には必ず最新の公式ポリシーページで確認してください。リストにないサービスをテストしたい場合は、AWSサポートまたはアカウント担当者に直接連絡する必要があります。
Q. AWSの自動ペネトレーションテスト（AWS Security Agent／AWS Continuum）の費用はいくらですか？
A. AWSネイティブの自動ペネトレーションテストの料金は、1タスク時間あたり50 USDの従量課金で、ペネトレーションテストから修復までの標準的なコストは約1,200 USDが目安です（2026年3月時点の公式情報）。タスク時間はテストを実際に実行している時間を指し、平均的なアプリケーションのテストには約24タスク時間を要するとされています。
このサービスは「AWS Security Agent」として提供が始まり、現在は「AWS Continuum for penetration testing（旧称 AWS Security Agent）」へ名称が変わっています（一般提供は2026年3月31日開始、東京リージョン対応）。
Q. AWSの自動ペネトレーションテストと外部ベンダーの手動テストはどちらを選べばよいですか？
A. どちらを選ぶかは検出したい内容で決まり、日常的なチェックや変更ごとの確認は自動ペネトレーションテストで回し、業務ロジックや連鎖攻撃まで踏み込む深い検証は外部ベンダーの手動テストで固めるのが現実的です。
自動ペネトレーションテストは速く・安く・繰り返し実行できる一方、業務ロジックの悪用や複数の弱点を組み合わせた連鎖攻撃の検証、実行ごとに変動しうる結果の解釈には人の手が要ります。金融・決済など高いセキュリティ水準が求められるシステムや、本番前の最終確認、第三者による客観的な評価が必要な場面では、専門ベンダーの手動テストが選ばれます。
Q. AWS対応のペネトレーションテストを外部に依頼する流れは？
A. 外部に依頼する場合の一般的な流れは、「目的と対象の明確化 → 依頼先の選定・見積り → 事前準備（許可サービス・申請要否の確認）→ 診断・テストの実施 → 報告と改善」の5ステップです。
事前準備の段階で、AWSの許可されたサービスと申請の要否を確認し、申請が必要なテストは期限に余裕を持って手続きします。申請は、AWSのナレッジセンター（re:Post）が予定されているテストの少なくとも14営業日前に送るよう案内しているため、スケジュールには余裕を見込んでおきましょう。
AWS対応のペネトレーションテスト・脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、AWS対応のペネトレーションテスト・脆弱性診断サービスの最新資料を無料で一括請求できます。診断手法や対応範囲、費用をまとめて比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
