平成31年度 春期 情報セキュリティマネジメント試験 午前 問18
テクノロジ／セキュリティペネトレーションテストに該当するものはどれか。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問18
- ア検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。
- イ公開Webサーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。
- ウ公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。
- エ内部ネットワークのサーバやネットワーク機器のIPFIX情報から，各PCの通信に異常な振る舞いがないかどうかを確認する。
正解：ウ
解説
ペネトレーションテストとは，公開Webサーバや組織のネットワークに存在する脆弱性を実際に悪用し，攻撃者と同様の手法でサーバへの侵入や不正操作が可能かどうかを検証するテストです。脆弱性の有無を確認するだけでなく，実際に侵入できるかを確かめる点が特徴です。
選択肢ごとの解説
- ア誤り。設計書やソースコードに着目してセキュリティ上の問題を確認する手法は，セキュアコーディング診断やソースコード診断の説明です。
- イ誤り。コンテンツファイルのハッシュ値を管理し改ざんの有無を確認する手法は，改ざん検知（ファイル完全性監視）の説明です。
- ウ正しい。組織のネットワークやサーバの脆弱性を探索し，実際に侵入できるかどうかを確認することは，ペネトレーションテストの説明です。
- エ誤り。通信のフロー情報から異常な振る舞いを確認する手法は，トラフィック分析による異常検知の説明です。