問9

基本情報技術者試験過去問令和6年度（2024年）科目A問9

ペネトレーションテストに該当するものはどれか。

選択肢

正解：ウ

あなたの回答：未回答

ペネトレーションテストは、攻撃者と同じ手順を用いて、公開Webサーバや組織のネットワークに対して侵入を試み、脆弱性が実際に悪用できるかを確認するテストです。脆弱性を探索し、サーバに実際に侵入できるかどうかを確認する「ウ」が該当します。

ア：不正解: 設計書やソースコードをツールや目視で確認するのは、ソースコードレビューやセキュリティレビューに該当します。実際に侵入を試みる行為ではないため、ペネトレーションテストではありません。よって誤りです。

イ：不正解: コンテンツファイルのハッシュ値を管理し、定期的に一致するか確認するのは改ざん検知です。ファイルの変更有無を確認する手法であり、侵入できるかを試すテストではありません。よって誤りです。

ウ：正解: 公開Webサーバや組織ネットワークの脆（ぜい）弱性を探索し、実際に侵入できるかを確認するのはペネトレーションテストです。したがって正解です。

エ：不正解: IPFIX情報から各PCの通信の異常な振る舞いを確認するのは、ネットワーク監視やフロー分析に該当します。侵入を試みて安全性を検証するテストではありません。よって誤りです。

この問題は、ペネトレーションテストが「脆弱性を探すだけ」ではなく、「侵入できるかどうかまで確認するテスト」である点を理解しているかを確認することがねらいです。あわせて、ソースコードレビュー、改ざん検知、ネットワーク監視（フロー分析）などの手法と区別できることが求められます。

この問題を解くには、ペネトレーションテストの目的と、他の代表的なセキュリティ手法の違いを理解している必要があります。

用語名	意味
ペネトレーションテスト	対象システムに対して攻撃を模して脆弱性を探索し、必要に応じて実際に侵入できるかどうかまで確認するテストです。
脆（ぜい）弱性	OS、ミドルウェア、ソフトウェア設定などに存在する、攻撃に利用され得る弱点です。

用語	意味	代表的な確認対象
ソースコードレビュー	設計書やソースコードを人やツールで確認し、問題点を見つける	実装ミス、入力チェック不足など
ハッシュ値	データから生成する固定長の値で、データが変わると値も変わる性質を利用する	ファイルの同一性確認
改ざん検知	ハッシュ値などを用いて、ファイルやデータの変更を検出する	Webコンテンツの変更有無
IPFIX	通信フロー情報を収集、出力するための標準	送受信の量、通信先、時間帯など

ペネトレーションテストは、脆弱性の有無を調べるだけでなく、実際に攻撃手法を用いて侵入可能かを確認します。

選択肢	問題文の行為	該当する手法	ペネトレーションテストか
ア	設計書、ソースコードをツールや目視で確認する	ソースコードレビュー、セキュリティレビュー	×
イ	コンテンツファイルのハッシュ値を比較する	改ざん検知	×
ウ	脆弱性を探索し、実際に侵入できるか確認する	ペネトレーションテスト	〇
エ	IPFIX情報から通信の異常を確認する	ネットワーク監視、フロー分析	×

ア：不正解: 設計書やソースコードをツールや目視で確認するのは、ソースコードレビューやセキュリティレビューに該当します。実際に侵入を試みる行為ではないため、ペネトレーションテストではありません。よって誤りです。

イ：不正解: コンテンツファイルのハッシュ値を管理し、定期的に一致するか確認するのは改ざん検知です。ファイルの変更有無を確認する手法であり、侵入できるかを試すテストではありません。よって誤りです。

ウ：正解: 公開Webサーバや組織ネットワークの脆（ぜい）弱性を探索し、実際に侵入できるかを確認するのはペネトレーションテストです。したがって正解です。

エ：不正解: IPFIX情報から各PCの通信の異常な振る舞いを確認するのは、ネットワーク監視やフロー分析に該当します。侵入を試みて安全性を検証するテストではありません。よって誤りです。

復習する覚えた

※本解説は生成AIによる学習支援用の参考情報です。内容の正確性や最新性は保証されません。最終的な判断は、試験実施団体の公式資料をご確認ください。

順次、単語を追加予定です。もうしばらくお待ちください。