情報セキュリティマネジメント 平成31年度 春期 午前 問18

✓ これが正解ウ 公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。

解説

脆弱性を探して実際に侵入できるかを試す検査です。

ペネトレーションテストは、公開Webサーバや組織のネットワークに対して、攻撃者と同じやり方で脆弱性を探索し、実際に侵入できるかどうかを試すことで、防御の実力を確かめる検査です。設定の不備や既知の脆弱性が残っていたとき、それが本当に侵入につながるのかを、本物の攻撃に近い手順で確認できるところに意味があります。実施には、対象システムの管理者の承認と、影響範囲や実施時間の取り決めが前提になります。

ほかの選択肢の解説

• ア 検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。：設計書やソースコードに着目して開発工程ごとに問題を確認するのは、開発時のセキュリティレビューやコード検査の説明です。実際に侵入を試みる検査ではありません。
• イ 公開Webサーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。：コンテンツファイルのハッシュ値を定期的に照合するのは、Webページの改ざんを検知する仕組みの説明です。侵入の可否を試すものではありません。
• エ 内部ネットワークのサーバやネットワーク機器のIPFIX情報から，各PCの通信に異常な振る舞いがないかどうかを確認する。：通信の情報から各PCの振る舞いの異常を探すのは、ネットワーク監視による異常検知の説明です。疑似的な攻撃で防御を検査する手法とは手段が異なります。