情報セキュリティマネジメント 2019年 春期 午前（科目A） 問18

ペネトレーションテスト【情報セキュリティマネジメント解説】

正解の理由

• 脆弱性（vulnerability）：攻撃されると不正アクセスや情報漏えいなどの被害につながる欠陥や設定ミスのこと。
• ハッシュ値：ファイルが改ざんされていないかを確かめるために生成する短い数字列。内容が変わると値も変わる。
• IPFIX（IP Flow Information Export）：ネットワーク上の通信の流れ（誰が誰に何を送ったか）を記録・出力する仕組み。異常検知に使う。

解法ステップ

1. 問題文の選択肢で「能動的に攻撃を試みる」「侵入できるか確認する」といった語句を探す。
2. それがあればペネトレーションテストの定義に合致するため正解候補となる。
3. 他の選択肢は「ソースコードを調べる（静的解析）」「ファイルの整合性確認（改ざん検知）」「通信ログやフロー解析（監視）」であり、いずれも能動的な侵入試験ではないと区別する。
4. 能動的侵入＝ペネトレーションテスト、診断/監視＝別の手法、と結論づける。

選択肢別の誤答解説

• ア：設計書やソースコードに着目してツールや目視で確認する
  → これは静的解析やコードレビューに該当します。ペネトレーションテストのように実際にシステムに攻撃を仕掛けて侵入可否を確認する行為ではありません。
• イ：公開Webサーバのファイルのハッシュ値を定期的に照合する
  → これはファイル整合性チェック（改ざん検知）の説明です。改ざんがあったかどうかを検出する監視的な運用で、侵入試験そのものではありません。
• ウ：公開Webサーバや組織のネットワークの脆弱性を探索し、サーバに実際に侵入できるかどうかを確認する
  → これがペネトレーションテストです。脆弱性を探して実際に攻撃を試み、実害に繋がるかを検証します。したがって正解です。
• エ：内部ネットワークのIPFIX情報から通信の異常を確認する
  → これはフロー情報を用いた監視・異常検知です。侵入が発生したかどうかや脆弱性の存在を直接試す行為ではありません。

よくある誤解

1. ペネトレーションテスト＝単なる自動スキャンと同じ
   • 自動スキャン（脆弱性スキャン）は発見の補助に有効ですが、実際に侵入を試みるかどうか、深刻度の判断、連鎖的な攻撃手順の確認は人間の手による検証が必要です。
2. ペネトレーションテストはいつでも自由にやってよい
   • 実際には業務影響や法的問題があるため、事前の承認（ルールオブエンゲージメント：実施範囲や時間、停止条件などの合意）が必須です。

補足コラム

• 外部テスト：公開インターネット側からの侵入を想定。Web公開サーバや外部公開サービスが対象。
• 内部テスト：社内ネットワークに侵入した場合を想定。内部の横移動や特権昇格を確認。
• ブラックボックス：テスターに内部情報を与えず、外部の攻撃者と同様の条件で実施。
• ホワイトボックス：ソースコードや設計情報を提供して深掘りする方式（より効率的に脆弱性を見つけられる）。
  現場での運用イメージ：総務や情シスが事前に試験計画を承認し、業務時間外に実施、結果はリスク評価と修正計画に反映します。外部専門業者に依頼することが一般的で、安全のためバックアップや緊急停止手順の準備も行います。

FAQ