問5 中を見て行う脆弱性の検査

情報セキュリティマネジメント試験令和8年度公開問題、全15問のうちの問5。

出典：令和8年度情報セキュリティマネジメント試験科目A・B 公開問題問5（原本の振り仮名は省いた）

情報セキュリティでの脆弱性の検出に用いられるホワイトボックステストに該当するものはどれか。

ア検査対象のソフトウェア製品に対して，外部仕様を基に，問題を引き起こしそうなデータを大量に送り込み，その応答や挙動を監視することによって脆弱性を検出する。
イ検査対象のネットワークに対して，ネットワークの構成図や機器名などの情報を得ずに，TCP/IP に係る既知の脆弱性を攻撃し，実際に侵入できるかどうかを確認することによって脆弱性を検出する。
ウ検査対象のプログラムの内部構造及び内部仕様を基に，脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。
エ検査対象のプログラムの内部仕様を参照せずに，変数領域のあふれを見つけ出すツールを利用して，バッファオーバフローの脆弱性を検出する。

答えと解説を開く

正解はウです。

テストは、中身を見るかどうかで 2 つに分かれます。ホワイトボックステストは、ソースコードなどの内部構造を知ったうえで、どの処理がどう動くかを確かめるテストです。ブラックボックステストは、中身を見ずに、入力と出力 (外部仕様) だけで確かめるテストです。ウは内部構造と内部仕様を基に、怪しい箇所の入力値を変えて実行しているので、ホワイトボックステストです。正解はウです。

ほかの選択肢が違う理由

ア外部仕様を基に、おかしなデータを大量に送り込んで挙動を見る方法はファジングです。中身を見ていないので、ブラックボックステストの側です。
イ構成図などの情報を得ずに、外から実際に攻撃して侵入できるかを試すのは、ブラックボックスでのペネトレーションテスト (侵入テスト) です。
エ内部仕様を参照せずに、ツールで変数領域のあふれを探しています。中身を見ないので、ブラックボックステストです。

仕組み

白い箱は中が透けて見え、黒い箱は中が見えない、という見立てです。問題文に「内部構造」「内部仕様を基に」とあればホワイトボックス、「外部仕様」「情報を得ずに」「参照せずに」とあればブラックボックス、と読み分けます。

どちらが優れているわけではありません。中身を見ると漏れなく調べやすく、外から試すと攻撃者と同じ目線で確かめられるので、両方を組み合わせて使います。

この問に出る言葉

ソフトウェアテスト