情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成31年度春期 午前 問18: ペネトレーションテストに該当するものはどれか。

正解

ウ. 公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。

正答率 68.9%（106人中 73人が正解）

問題の解説

ペネトレーションテスト（侵入テスト）は、攻撃者の視点で対象システムやネットワークの脆弱性を探索し、実際に擬似攻撃を仕掛けて侵入できるかどうかを確認するセキュリティ検査である。よって、脆弱性を探索し実際に侵入できるか確認するとしたウが正解である。

選択肢ごとの解説

• ア設計書やソースコードを確認し開発工程の問題を探すのはソースコードレビュー（静的解析）であり、侵入テストではない。
• イファイルのハッシュ値を定期照合して改ざんを検知するのは完全性監視（改ざん検知）であり、侵入テストではない。
• ウ脆弱性を探索し実際にサーバへ侵入できるかを検証する記述で、ペネトレーションテストそのものであり正しい。
• エIPFIXのフロー情報から通信の異常な振る舞いを確認するのはトラフィック監視・異常検知であり、侵入テストではない。