情報セキュリティマネジメント試験 過去問解説
ペネトレーションテストとは？情報セキュリティマネジメント試験 平成31年度春期 午前 問18を解説
情報セキュリティマネジメント試験 平成31年度春期 午前 問18は、ペネトレーションテストに関する理解を問う問題です。検索から入っても、問題文、選択肢、正解、解説、各選択肢がなぜ違うかをこのページだけで確認できます。
問題文
ペネトレーションテストに該当するものはどれか。
この問題の出題ポイント
- ペネトレーションテストの定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
選択肢
- ア検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。
- イ公開Webサーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。
- ウ公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。正解
- エ内部ネットワークのサーバやネットワーク機器のIPFIX情報から，各PCの通信に異常な振る舞いがないかどうかを確認する。
正解
ウ: 公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。
解説
ペネトレーションテスト（侵入テスト）は、攻撃者の視点で対象システムやネットワークの脆弱性を探索し、実際に擬似攻撃を仕掛けて侵入できるかどうかを確認するセキュリティ検査である。よって、脆弱性を探索し実際に侵入できるか確認するとしたウが正解である。
なぜ他の選択肢が違うのか
ア
設計書やソースコードを確認し開発工程の問題を探すのはソースコードレビュー（静的解析）であり、侵入テストではない。
イ
ファイルのハッシュ値を定期照合して改ざんを検知するのは完全性監視（改ざん検知）であり、侵入テストではない。
ウ（正解）
脆弱性を探索し実際にサーバへ侵入できるかを検証する記述で、ペネトレーションテストそのものであり正しい。
エ
IPFIXのフロー情報から通信の異常な振る舞いを確認するのはトラフィック監視・異常検知であり、侵入テストではない。
解き方の整理
ペネトレーションテストの問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。
関連問題
前後の問題
平成31年度春期 午前 の関連する問題
復習を続ける
間違えた問題、苦手タグ、模試履歴を保存して復習する導線を用意しています。広告なしPro、弱点分析、復習リマインダーは段階的に提供予定です。