ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問9 ペネトレーションテストの説明

基本情報​技術者試験 令和6年度 公開問題 科目A、全20問のうちの問9。

出典：令和6年度 基本情報技術者試験 公開問題 科目A 問9（原本の振り仮名は省いた）

ペネトレーションテストに該当するものはどれか。

  1. ア検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。
  2. イ公開 Web サーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。
  3. ウ公開 Web サーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。
  4. エ内部ネットワークのサーバやネットワーク機器の IPFIX 情報から，各 PC の通信に異常な振る舞いがないかどうかを確認する。
答えと解説を開く

正解はウです。

ペネトレーションは「侵入」のことです。ペネトレーションテストでは、検査する側が攻撃者の立場になり、外から見える Web サーバやネットワークの弱点 (脆弱性) を探し、それを使って本当に中へ入れるかどうかを試します。設計書を読むだけでは分からない、設定の誤りや組合せの弱さを見つけられます。正解はウです。

ほかの選択肢が違う理由

  • ア設計書やソースコードを見て、開発の各工程の問題を確かめるのは、ソースコードのレビューや静的解析のような検査です。実際に侵入を試してはいません。
  • イファイルのハッシュ値を比べて、中身が書き換えられていないかを確かめるのは、改ざんを見つけるための検知の仕組みです。
  • エIPFIX は、機器を流れる通信の記録 (フロー情報) を集める仕組みです。その記録から異常な通信を探すのは、侵入などの兆しを見つける監視です。

仕組み

ペネトレーションテストは、事前に許可を得て行う「正当な攻撃」です。許可なく他人のシステムに同じことをすると、不正アクセスになります。

脆弱性診断が弱点の一覧を作る検査であるのに対し、ペネトレーションテストは、その弱点を使って実際にどこまで入れるかまで確かめる点が違います。