情報セキュリティマネジメント 2026年 科目A 問05

ホワイトボックステスト【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 設問のキーワードを探す：「内部構造」「内部仕様」「処理で使われる入力値を変化させて実行」など内部情報を使う表現を探す。
2. 内部情報の有無で分類する：内部情報を使う→ホワイトボックス、内部情報を使わない→ブラックボックス（またはグレイボックス）と判断する。
3. 各選択肢を照合：内部情報を明示しているものがホワイトボックスに該当するので、その選択肢を選ぶ。

選択肢別の誤答解説

• ア：外部仕様を基に大量のデータを送り挙動を監視する方法です。これは一般にファジング（fuzzing：大量・変則入力を与えて不具合を探す手法）やブラックボックス的な入力検査に当たります。内部構造を前提にしていないためホワイトボックスではありません。
• イ：ネットワークの構成図など情報を得ずに既知の脆弱性を攻撃して侵入を試みるのは、外部からの侵入テスト（ブラックボックスのペネトレーションテスト）です。TCP/IP（Transmission Control Protocol/Internet Protocol：インターネット通信の基本規格）に係る既知脆弱性への攻撃はネットワーク側の試験で、ホワイトボックスの説明とは一致しません。
• ウ：内部構造・内部仕様を基に入力を変えて実行する、つまり処理の中身を知った上で脆弱性を狙う点がホワイトボックステストの定義に合致します。したがって本問の正解になります。
• エ：内部仕様を参照せずにツールを使ってバッファオーバーフローを検出する、という記述は「内部情報を使わない」ためホワイトボックスには当たりません。補足すると、ツールの種類によってはソースコードを解析する「静的解析（SAST：Static Application Security Testing）」でホワイトボックス的に使えるものもありますが、本選択肢は「参照せずに」と明言しているため不適です。

よくある誤解

• 誤解1：ファジングはホワイトボックスだと思い込む。
  → 多くのファジングは外部からランダムや準ランダム入力を与えるブラックボックス的手法です（ただし、内部情報を使うインストゥルメンテーション付きファジングはグレイ／ホワイト寄りになります）。
• 誤解2：ホワイトボックス＝必ずソースコードの確認が必要と思う。
  → ソースコードが最も分かりやすいが、内部仕様書やフローチャートなど設計資料でもホワイトボックス的なテストは可能です。
• 誤解3：自動ツールで検出すればそれはホワイトボックスだと思う。
  → ツールの使い方次第です。ツールが内部情報を使って解析するならホワイトボックスになりますが、外部からのスキャンツールであればブラックボックスです。

補足コラム

• 主なホワイトボックス手法：静的解析（SAST：ソースコードを実行せずに解析）、コードレビュー、単体テストでの境界値テスト、シンボリック実行（符号解析で実行パスを検証）など。
• 実務での運用イメージ：開発チームがソースコードや設計書をセキュリティ担当に提供し、静的解析をCI（継続的インテグレーション）に組み込んで自動検出→開発側で修正、という流れが一般的です。外部委託する場合はソースコードの取り扱い（秘密保持）や検査範囲を契約で明確にします。
• 長所と短所：内部の論理的欠陥や境界条件ミスを見つけやすい一方、実行環境依存の問題（設定ミスやネットワーク構成による脆弱性）は見落としやすい点に注意してください。

FAQ