基本情報技術者試験 基本情報技術者試験 令和6年度 科目A 公開問題 午前 問9: ペネトレーションテストに該当するものはどれか。

問題本文

ペネトレーションテストに該当するものはどれか。

選択肢

• ア.検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。
• イ.公開Webサーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。
• ウ.公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。
• エ.内部ネットワークのサーバやネットワーク機器のIPFIX情報から，各PCの通信に異常な振る舞いがないかどうかを確認する。

正解

ウ. 公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。

解説

ペネトレーションテストは、実際の攻撃者と同様の手法で脆弱性を探索し、対象システムに侵入可能か検証する能動的なセキュリティテストです。ウが正解。

選択肢ごとの解説

• ア.設計書・ソースコードのレビューはセキュアコードレビュー／静的解析の説明です。
• イ.ハッシュ値で改ざんを検知するのはファイルインテグリティ監視の説明です。
• ウ.実際に侵入できるかを試すペネトレーションテストの定義そのもので、正解です。
• エ.IPFIX 情報から通信の異常を検知するのはフロー監視・NDR の説明です。