基本情報技術者 2024年 科目A 問09

ペネトレーションテスト【午前解説】

正解の理由

解法ステップ

1. 「能動的に侵入を試みる／実際に侵入できるかを確認する」という文言があるか確認する。あればペネトレーションテストの特徴に一致する。
2. 他の選択肢が示す活動（コードレビュー、ハッシュ整合性の確認、通信フロー解析）がそれぞれどの分類か（静的解析、整合性監視、トラフィック監視）を判別する。
3. 「探索して侵入を確認する」という目的語がある選択肢を選ぶ。これがペネトレーションテストに該当する。

選択肢別の誤答解説

• ア: 検査対象の実行プログラムの設計書やソースコードに着目してツールや目視で確認する行為は「セキュアコードレビュー」や「静的解析」に該当します。開発工程の確認であり、実際に外部から侵入を試行するペネトレーションテストとは目的・手法が異なります。
• イ: 公開Webサーバのファイルのハッシュ値を管理し一致を確認するのは「ファイル整合性監視（FIM）」です。改ざん検知やインテグリティチェックが目的で、脆弱性を悪用して侵入を試みる行為ではありません。
• ウ: 公開Webサーバやネットワークの脆弱性を探索し、サーバに実際に侵入できるかどうかを確認するという記述は、ペネトレーションテストの定義そのものです（能動的かつ実証的な攻撃テスト）。
• エ: 内部ネットワークのIPFIX情報から通信の異常を確認するのは「ネットワークフロー解析」や「侵入検知／異常検知」に該当します。攻撃の痕跡や異常通信を検出する受動的監視であり、侵入を試みるペネトレーションテストとは異なります。

よくある誤解

• 「脆弱性診断＝ペネトレーションテスト」と考える誤解：脆弱性診断は脆弱性の有無を検出することが主で、必ずしも実際に侵入を試みるとは限りません。ペネトレーションテストは実際の攻撃手法による侵入検証を行うことが特徴です。
• ログやフロー解析などの「監視系」作業を能動的テストだと勘違いする：監視や検知は受動的な評価で、攻撃を実行して侵入可能性を試す行為と区別する必要があります。
• コードレビューや静的解析がペネトレと同じ成果を出すと思う誤解：コードレビューは設計や実装の問題発見に有効ですが、実運用環境での侵入経路や構成ミス等は実地テストでないと見落とす場合があります。

補足コラム

• ペネトレーションテストの種類：ブラックボックス（内部情報なし）、ホワイトボックス（ソースや設計書あり）、グレイボックス（部分的情報あり）。目的に応じて使い分けられます。
• 倫理と手順：ペネトレーションテストは実際に侵入を試みるため、必ず事前の合意（スコープ、時間帯、実施手法、影響範囲、バックアウト手順）と法的な同意が必要です。無許可の攻撃は違法行為になります。
• よく使われるツール例：探索・列挙は nmap、脆弱性利用は Metasploit、Webアプリは Burp Suite、スキャニングは Nessus や OpenVAS など。ただしツールは目的に応じて使い分けます（スキャナは診断、手動検証で侵入可否を確認）。

FAQ