システム監査技術者 2017年午前2 問21

問題文

ペネトレーションテストに該当するものはどれか。

🖊️ 解答を隠して解いてみる

ア：暗号化で使用している暗号方式と鍵長が、設計仕様と一致することを確認する。

イ：対象プログラムの入力に対する出力結果が、出力仕様と一致することを確認する。

ウ：ファイアウォールが単位時間当たりに処理できるセッション数を確認する。

エ：ファイアウォールや公開サーバに侵入できないかどうかを確認する。（正解）

🔒 解説は解答すると表示されます

ペネトレーションテストは、攻撃者の視点からシステムへの侵入を試み、セキュリティ上の弱点や侵入可能性を確認するテストです。

エは、ファイアウォールや公開サーバに実際に侵入できるかを確認しています。これは、攻撃を想定して防御の有効性を調べるペネトレーションテストに該当します。実施する際は、対象や方法について許可を得て行います。

セキュリティに関する確認なら、すべてペネトレーションテストだと思う
暗号設定の確認や脆弱性の有無の点検など、セキュリティに関係するテストは複数あります。侵入を試みる点がペネトレーションテストの特徴です。
性能を測るテストと混同する
処理可能なセッション数などを測るのは性能テストです。攻撃を想定して侵入を試すこととは目的が異なります。
許可なしに侵入を試してよいと思う
ペネトレーションテストは、必ず許可を得て対象や実施範囲を定めて行います。

ペネトレーションテストでは、脆弱性を見つけるだけでなく、それを悪用して実際にどこまで侵入できるかを確認します。一方、脆弱性診断は、システムに存在する弱点を広く検出・評価することに重点があります。両者は関連しますが、確認の目的や進め方が異なります。

Q. ペネトレーションテストでは、実際にシステムへ攻撃するのですか？
A. 攻撃者の手法を模擬して侵入を試みます。ただし、事前に許可を得て、対象や実施時間、許容される操作などを定めたうえで行います。

Q. ファイアウォールの処理能力を調べるテストも、セキュリティテストですか？
A. セキュリティ機器に対するテストではありますが、処理性能を調べるものです。侵入可能性を確認するペネトレーションテストとは区別します。

関連キーワード: ペネトレーションテスト、脆弱性診断、侵入テスト、セキュリティテスト

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！