プロジェクトマネージャ 2017年 午前2 問25
問題文
ペネトレーションテストに該当するものはどれか。
選択肢
ア：暗号化で使用している暗号方式と鍵長が、設計仕様と一致することを確認する。
イ：対象プログラムの入力に対する出力結果が、出力仕様と一致することを確認する。
ウ：ファイアウォールが単位時間当たりに処理できるセッション数を確認する。
エ：ファイアウォールや公開サーバに侵入できないかどうかを確認する。（正解）
🔒 解説は解答すると表示されます
ペネトレーションテスト【午前2解説】
正解の理由
ペネトレーションテストは、攻撃者の視点からシステムへの侵入を試み、脆弱性や侵入可能性を確認するテストです。
ファイアウォールや公開サーバに実際に侵入できないかを確かめるエが該当します。実施時には、対象範囲や方法について許可を得たうえで行います。
解法ステップ
- ペネトレーションテストの目的を確認します。攻撃者の手法を模して、侵入できるかを調べることです。
- 選択肢の作業内容を見て、侵入の試行に当たるものを探します。
- ファイアウォールや公開サーバへの侵入可能性を調べるエを選びます。
選択肢別の誤答解説
- ア：暗号方式や鍵長が設計仕様どおりかを確認する作業です。設定や設計の適合性を確かめるもので、侵入を試みるテストではありません。
- イ：プログラムの入力に対する出力が仕様どおりかを確認する作業です。機能テストに該当します。
- ウ：ファイアウォールが処理できるセッション数を測定する作業です。性能テストに該当します。
- エ：ファイアウォールや公開サーバへの侵入を試みるため、ペネトレーションテストに該当します。
よくある誤解
- セキュリティに関係する確認なら、すべてペネトレーションテストだと思う
暗号設定の確認や脆弱性の検査など、セキュリティ関連の作業は幅広くあります。侵入を試みるかどうかが見分けるポイントです。 - ファイアウォールが出てくれば、性能テストだと思う
対象機器ではなく、何を確認する作業なのかに注目します。処理能力の測定なら性能テスト、侵入の試行ならペネトレーションテストです。 - ペネトレーションテストは実際の攻撃と同じだと思う
攻撃手法を模しますが、許可された範囲と手順に従って実施します。
補足コラム
脆弱性診断とペネトレーションテストは、どちらもシステムの弱点を調べますが、目的に違いがあります。脆弱性診断は既知の脆弱性を広く検出することが中心です。一方、ペネトレーションテストは攻撃シナリオに沿って侵入を試み、目的を達成できるかを確認します。
FAQ
Q. ペネトレーションテストは、実際にシステムへ侵入するのですか？
A. 許可を得た範囲で、攻撃者の手法を模して侵入を試みます。無許可で実施するものではありません。
A. 許可を得た範囲で、攻撃者の手法を模して侵入を試みます。無許可で実施するものではありません。
Q. ファイアウォールの処理能力を測るテストも、ペネトレーションテストですか？
A. いいえ。処理能力の測定は性能テストです。侵入可能性を確認するテストとは目的が異なります。
A. いいえ。処理能力の測定は性能テストです。侵入可能性を確認するテストとは目的が異なります。
関連キーワード: ペネトレーションテスト、脆弱性診断、侵入試験、機能テスト、性能テスト
\ せっかくなら /
プロジェクトマネージャを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！