情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 令和元年度秋期 午前 問30: Webサーバの検査におけるポートスキャナの利用目的はどれか。

問題本文

Webサーバの検査におけるポートスキャナの利用目的はどれか。

選択肢

• ア.Webサーバで稼働しているサービスを列挙して，不要なサービスが稼働していないことを確認する。
• イ.Webサーバの利用者IDの管理状況を運用者に確認して，情報セキュリティポリシからの逸脱がないことを調べる。
• ウ.Webサーバへのアクセスの履歴を解析して，不正利用を検出する。
• エ.正規の利用者IDでログインし，Webサーバのコンテンツを直接確認して，コンテンツの脆弱性を検出する。

正解

ア. Webサーバで稼働しているサービスを列挙して，不要なサービスが稼働していないことを確認する。

解説

ポートスキャナは、対象機器の各ポートに接続を試みて開いているポート（=稼働中のサービス）を調べるツールである。これにより不要なサービスが動いていないかを確認でき、攻撃の入口となる開放ポートを洗い出せる。アがこの「稼働サービスの列挙と不要サービスの確認」に該当するため、正解はアである。

選択肢ごとの解説

• ア.ポートの開閉状態を調べて稼働サービスを列挙し、不要なサービスの有無を確認するのはポートスキャナ本来の用途なので正しい。
• イ.利用者ID管理状況を運用者に確認するのは運用面のヒアリング監査であり、ポートを調べるポートスキャナの目的ではないため誤り。
• ウ.アクセス履歴（ログ）を解析して不正利用を検出するのはログ解析やIDSの役割であり、ポートスキャナの機能ではないため誤り。
• エ.ログインしてコンテンツの脆弱性を検出するのはWebアプリケーション脆弱性診断ツールの用途であり、ポートスキャナではないため誤り。