基本情報技術者 2012年秋期午前（科目A）問44

問題文

コンピュータやネットワークのセキュリティ上の脆弱性を発見するために、システムを実際に攻撃して侵入を試みる手法はどれか。

選択肢

ア：ウォークスルー

イ：ソフトウェアインスペクション

ウ：ペネトレーションテスト（正解）

エ：リグレッションテスト

コンピュータやネットワークのセキュリティ上の脆弱性を発見するために、システムを実際に攻撃して侵入を試みる手法はどれか。【午前2 解説】

要点まとめ

結論→実際に攻撃を行って侵入を試みる手法はペネトレーションテスト（PenTest）で、正解はウです。
根拠→ペネトレーションテストは能動的に攻撃を仕掛けて脆弱性の有無と影響度を実証する手法であるため該当します。
差がつくポイント→ウォークスルーやインスペクションは静的・非侵入的検査、リグレッションは機能回帰確認で目的が明確に異なります。

正解の理由

ペネトレーションテストは実際に攻撃（侵入試行）を行い、システムの脆弱性を発見してその影響を実証する実践的なセキュリティ評価手法です。攻撃者と同様の手法で侵入可能性を確かめるため、「システムを実際に攻撃して侵入を試みる」という設問の条件に一致します。よって正解はウです。

よくある誤解

「脆弱性診断＝ペネトレーションテスト」と混同する点：脆弱性スキャンは検査結果を列挙する受動的手法で、必ずしも実際に侵入を試みません。
「ウォークスルーやインスペクションも攻撃的だ」と誤認する点：これらは設計・ソースレビューや手順確認であり、システムを攻撃して侵入する行為ではありません。
「ペネトレーションテストはただのツール実行」と考える点：Pentestは調査、攻撃シナリオ作成、侵入試行、報告まで含む手法で、スキャンだけでは不十分です。

解法ステップ

問題文のキーワード「実際に攻撃して侵入を試みる」を抽出する。
各選択肢の定義を頭の中で照合する（ウォークスルー＝手順確認、インスペクション＝レビュー、ペネトレーション＝侵入試行、リグレッション＝回帰テスト）。
「侵入を試みる」に該当するのはペネトレーションテストであると結論付ける。
正解はウであると選ぶ。

選択肢別の誤答解説

ア: ウォークスルー
- 定義：設計書や手順を関係者で読み合わせ、問題点を発見するレビュー手法。実際に攻撃や侵入を行うものではありません。
イ: ソフトウェアインスペクション
- 定義：形式的・体系的にソースコードや設計をレビューして欠陥を検出する手法。静的解析や人的レビューに該当し、侵入を伴いません。
ウ: ペネトレーションテスト
- ペネトレーションテストは実際に攻撃を仕掛けて脆弱性を検証・実証する手法で、設問の条件に合致します。正解です。
エ: リグレッションテスト
- 定義：改修や機能追加後に既存機能が壊れていないか確認する回帰テスト。セキュリティ侵入試行とは無関係です。

補足コラム

ペネトレーションテストには主にブラックボックス、ホワイトボックス、グレイボックスの3種類があります。ブラックボックスは対象の情報がほとんど与えられない状態で外部攻撃者視点から攻撃を行い、ホワイトボックスはソースコードや内部情報を元に詳細にテストします。実施にあたっては必ず範囲（スコープ）と許可を明確化し、法的・倫理的な合意（モラルハザード防止）を得ることが必須です。

FAQ

Q. ペネトレーションテストと脆弱性スキャンの違いは何ですか？
A. 脆弱性スキャンはツールで既知パターンを検出する自動化チェック、ペネトレーションテストは人がシナリオを作り実際に侵入を試みて脆弱性の有無と実被害を確認します。

Q. ペネトレーションテストは必ず実運用で行う必要がありますか？
A. いいえ。模擬環境で行うことも多く、実運用で行う場合は影響範囲の確認と事前合意が必要です。

Q. 主なツールや手法を教えてください。
A. nmap、Metasploit、Burp Suite、sqlmap などが代表的で、スキャニング・エクスプロイト・ポストエクスプロイトの工程で使われます。

関連キーワード: ペネトレーションテスト、侵入テスト、脆弱性診断、ホワイトボックステスト、ブラックボックステスト、脆弱性スキャン、セキュリティテスト、OWASP

← 前の問題へ次の問題へ →

\ せっかくなら /

基本情報技術者を
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！