基本情報技術者 2015年 春期 午前（科目A） 問46
問題文
コンピュータやネットワークのセキュリティ上の脆弱性を発見するために、システムを実際に攻撃して侵入を試みる手法はどれか。
選択肢
ア：ウォークスルー
イ：ソフトウェアインスペクション
ウ：ペネトレーションテスト（正解）
エ：リグレッションテスト
🔒 解説は解答すると表示されます
ペネトレーションテスト【午前解説】
正解の理由
正解は ウ：ペネトレーションテストです。
ペネトレーションテストは実際に攻撃手法を用いてシステムへ侵入を試みる「侵入試験」であり、脆弱性が実際に悪用可能か（実害が発生するか）を確認します。設問の「実際に攻撃して侵入を試みる」という文言はまさにペネトレーションテストの定義そのものです。
ペネトレーションテストは実際に攻撃手法を用いてシステムへ侵入を試みる「侵入試験」であり、脆弱性が実際に悪用可能か（実害が発生するか）を確認します。設問の「実際に攻撃して侵入を試みる」という文言はまさにペネトレーションテストの定義そのものです。
解法ステップ
- 問題文中のキーワードを拾う：「実際に攻撃して侵入を試みる」。
- 各選択肢の定義を照合する：ウォークスルー＝手順確認、インスペクション＝静的レビュー、ペネトレーションテスト＝侵入試験、リグレッション＝回帰テスト。
- 最も合致する選択肢を選ぶ：攻撃して侵入を試みるのはペネトレーションテスト。
選択肢別の誤答解説
- ア: ウォークスルー
手順や設計を関係者で確認する手法であり、実際に攻撃して侵入を試みる行為ではありません。 - イ: ソフトウェアインスペクション
ソフトウェアや設計を静的に人がレビューして欠陥を発見する方法で、侵入試験とは性質が違います。 - ウ: ペネトレーションテスト
正解。実際に攻撃を模倣してシステムに侵入を試み、脆弱性の悪用可能性と影響（実害）を確認します。 - エ: リグレッションテスト
変更後に既存機能が壊れていないかを確認するテストで、セキュリティ侵入の試行ではありません。
よくある誤解
- 脆弱性スキャン（自動ツール）と同義と考える誤解：スキャンは検出に留まり、実際の侵入を試みる点が異なります。
- コードレビューやインスペクションが侵入試験と同じと考える誤解：これらは静的／人的検査であり、攻撃の実行は伴いません。
- リグレッションテストと混同する誤解：回帰テストは機能改修後の不具合検出が目的であり、セキュリティ侵入とは目的が違います。
補足コラム
ペネトレーションテストにはブラックボックス（外部攻撃者視点）、ホワイトボックス（ソースや設計情報あり）、グレーボックス（部分情報あり）があります。実施前に必ず範囲（スコープ）、許可（法的同意）、影響範囲を定義し、実行後は実害検証の証跡（PoC）と改善策を含む報告書を作成します。一般的なツールにはNmap、Metasploit、Burp Suiteなどがあり、レッドチーム演習はより包括的な攻撃シナリオで組織全体の耐性を評価します。
FAQ
Q1: 脆弱性診断とペネトレーションテストは同じですか？
A1: 異なります。脆弱性診断は自動スキャン中心で検出が目的、ペネトレーションテストは攻撃を模擬して実害を確認する点が違います。
A1: 異なります。脆弱性診断は自動スキャン中心で検出が目的、ペネトレーションテストは攻撃を模擬して実害を確認する点が違います。
Q2: ペネトレーションテストは安全ですか？
A2: 計画と許可、バックアウト手順が重要です。適切なスコープ管理と承認がなければ実施してはいけません。
A2: 計画と許可、バックアウト手順が重要です。適切なスコープ管理と承認がなければ実施してはいけません。
Q3: どの頻度で行うべきですか？
A3: 新システム導入、大規模改修、重要な脆弱性発見後、または年1回以上を目安に実施するのが一般的です。
A3: 新システム導入、大規模改修、重要な脆弱性発見後、または年1回以上を目安に実施するのが一般的です。
関連キーワード: ペネトレーションテスト、侵入試験、脆弱性診断、脆弱性評価、ブラックボックステスト、ホワイトボックステスト、レッドチーム、セキュリティテスト、PoC、脆弱性管理
\ せっかくなら /
基本情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！