情報セキュリティマネジメント試験過去問 - 分野別(科目A) - セキュリティ技術評価

令和8年公開問題問5

情報セキュリティでの脆弱性の検出に用いられるホワイトボックステストに該当するものはどれか。

ア	検査対象のソフトウェア製品に対して，外部仕様を基に，問題を引き起こしそうなデータを大量に送り込み，その応答や挙動を監視することによって脆弱性を検出する。
イ	検査対象のネットワークに対して，ネットワークの構成図や機器名などの情報を得ずに，TCP/IPに係る既知の脆弱性を攻撃し，実際に侵入できるかどうかを確認することによって脆弱性を検出する。
ウ	検査対象のプログラムの内部構造及び内部仕様を基に，脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。
エ	検査対象のプログラムの内部仕様を参照せずに，変数領域のあふれを見つけ出すツールを利用して，バッファオーバフローの脆弱性を検出する。

答え：ウ
分野：重点分野 › 技術要素 › セキュリティ › セキュリティ技術評価 › セキュリティ評価
解説：
ソフトウェアテストには，内部の仕組みを見て行う「ホワイトボックステスト」と，内部を見ずに外から入力と出力だけで調べる「ブラックボックステスト」があります。

ホワイトボックステストは，プログラムの中身（ソースコードや内部仕様）を確認しながら，問題がありそうな箇所を狙って調べる方法です。したがって，内部構造や内部仕様を基に入力値を変えて実行する「ウ」が正解です。

「ア」は，外部仕様を基に不正な可能性のあるデータを大量に送り込んで反応を見る方法で，「ファジング」と呼ばれるブラックボックステストです。

「イ」は，ネットワークの構成情報を得ないまま実際に侵入できるか試す方法で，「ペネトレーションテスト」（侵入テスト）に当たり，これも内部情報を使わない点でブラックボックス型です。

「エ」は，内部仕様を参照せずにツールでバッファオーバフローを見つける方法で，「参照せずに」とあるのでブラックボックス型です。

令和7年公開問題問6

CVSSv3について，基本評価基準，現状評価基準，環境評価基準のうち，現状評価基準の特徴はどれか。

ア	攻撃コードの出現の有無，利用可能な対策のレベルなどに応じ，評価結果は時間の経過で変化する。
イ	脆弱性及び想定される脅威に応じ，製品利用者ごとに評価結果は異なる。
ウ	製品利用者が脆弱性への対応を決めるための評価に用いる基準であり，評価結果は時間の経過で変化しない。
エ	評価結果は利用環境によらず同じで，かつ，時間の経過でも変化しない。

答え：ア
分野：重点分野 › 技術要素 › セキュリティ › セキュリティ技術評価 › セキュリティ評価
解説：
「CVSS」（共通脆弱性評価システム）とは，脆弱性の深刻さを数値で表す世界共通の基準です。基本評価基準，現状評価基準，環境評価基準の三つの観点があります。基本評価基準は脆弱性そのものの特性を表し，いつ誰が評価しても同じ結果になります。現状評価基準は，現時点での状況を表します。環境評価基準は，利用者の環境ごとの影響を表します。

「ア」は，攻撃コードの出現の有無や，対策の利用可能性に応じて，時間とともに評価が変わる，という内容で，現状評価基準の特徴です。これが正解です。たとえば，攻撃コードが公開されると危険度が上がり，修正プログラムが出ると下がります。

「イ」は，製品の利用者ごとに結果が異なる，という内容で，環境評価基準の特徴です。

「ウ」は，利用者が対応を決めるための基準でありながら時間で変化しない，という内容ですが，現状評価基準は時間で変化するので誤りです。

「エ」は，環境にも時間にも左右されない，という内容で，基本評価基準の特徴です。

平成31年春期問18

ペネトレーションテストに該当するものはどれか。

ア	検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。
イ	公開Webサーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。
ウ	公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。
エ	内部ネットワークのサーバやネットワーク機器のIPFIX情報から，各PCの通信に異常な振る舞いがないかどうかを確認する。

答え：ウ
分野：重点分野 › 技術要素 › セキュリティ › セキュリティ技術評価 › セキュリティ評価
解説：
「ペネトレーションテスト」（侵入テスト）とは，公開サーバやネットワークに対して，攻撃者と同じ手法で実際に侵入を試み，脆弱性があるかを確かめるテストです。防犯のために，実際に泥棒の手口で家に侵入できるかを専門家に試してもらうイメージです。正解は「ウ」です。

「ア」は，設計書やソースコードを調べる「ソースコードレビュー」などの手法で，実際に侵入するわけではありません。

「イ」は，ファイルのハッシュ値を管理して改ざんを検知する方法です。

「エ」は，「IPFIX」という通信の記録（フロー情報）から異常な通信を探す方法で，ネットワーク監視の手法です。

平成30年秋期問28

共通脆弱性評価システム（CVSS）の特徴として，適切なものはどれか。

ア	CVSS v2とCVSS v3は，脆弱性の深刻度の算出方法が同じであり，どちらのバージョンで算出しても同じ値になる。
イ	情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する。
ウ	脆弱性の深刻度を0から100の数値で表す。
エ	脆弱性を評価する基準は，現状評価基準と環境評価基準の二つである。

答え：イ
分野：重点分野 › 技術要素 › セキュリティ › セキュリティ技術評価 › セキュリティ評価
解説：
「CVSS」（共通脆弱性評価システム）は，脆弱性の深刻度を評価するための，オープンで汎用的な評価手法です。特定のベンダに依存せず，共通の基準で評価できます。したがって「イ」が正解です。

「ア」は，v2とv3では算出方法が異なるため，同じ脆弱性でも値が違うことがあります。

「ウ」について，深刻度は0から10の数値で表します。

「エ」について，評価基準は，基本評価基準，現状評価基準，環境評価基準の三つです。基本評価基準は脆弱性そのものの特性を評価し，現状評価基準は攻撃コードの出現状況など時間で変わる要素を，環境評価基準は利用環境ごとの影響を評価します。