基本情報技術者試験 - 令和6年公開問題 - 問9

ペネトレーションテストに該当するものはどれか。

ア	検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。
イ	公開Webサーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。
ウ	公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。
エ	内部ネットワークのサーバやネットワーク機器のIPFIX情報から，各PCの通信に異常な振る舞いがないかどうかを確認する。

◀ 問8　|　▲ 令和6年公開問題問題一覧　|　問10 ▶

答え：ウ
分野：テクノロジ系 › 技術要素 › セキュリティ › セキュリティ技術評価
解説：
ペネトレーションテストに該当するものを選ぶ問題です。「ペネトレーションテスト」とは，公開されているWebサーバや組織のネットワークに対して，実際に攻撃者と同じ手法で脆弱性を突く試みを行い，本当にサーバへ侵入できてしまうかどうかを検証するテストのことです。正解は選択肢「ウ」です。

「ア」は設計書やソースコードを確認してセキュリティ上の問題がないかを調べる手法であり，これはソースコードレビューやセキュリティ診断に該当し，実際に侵入を試みるものではありません。

「イ」はWebサーバのファイルのハッシュ値を管理し，改ざんの有無を確認する仕組みであり，これは改ざん検知の手法であってペネトレーションテストとは異なります。

「エ」はネットワーク機器の通信情報から異常な振る舞いを検知する仕組みであり，これは異常検知システムの説明にあたります。

ペネトレーションテストの特徴は「実際に侵入を試みて安全性を検証する」という点にあることを押さえておきましょう。