情報セキュリティマネジメント 令和8年度 科目A 問5

✓ これが正解ウ 検査対象のプログラムの内部構造及び内部仕様を基に，脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。

解説

内部構造を見て入力値を変えながら試す検査です。

検査の分け方は、中身を見て行うかどうかです。ホワイトボックステストは、プログラムの内部構造や内部仕様を踏まえて、危なそうな箇所を狙って調べる方法です。どこに脆弱性が潜みそうかが分かった状態で、その処理に渡る入力値を変えながら実行して確かめます。だから、内部構造および内部仕様を基に入力値を変化させて実行するという記述が該当します。ほかの三つは、外部仕様を基にする、ネットワークの構成図や機器名を得ない、内部仕様を参照しないと、いずれも中身を見ない立場で行うことが選択肢の文に書かれています。

ほかの選択肢の解説

• ア 検査対象のソフトウェア製品に対して，外部仕様を基に，問題を引き起こしそうなデータを大量に送り込み，その応答や挙動を監視することによって脆弱性を検出する。：外部仕様を基に問題を起こしそうなデータを大量に送り込み応答を見る検査は、中身を見ずに外から揺さぶる方法です。内部構造を踏まえるホワイトボックステストには当たりません。
• イ 検査対象のネットワークに対して，ネットワークの構成図や機器名などの情報を得ずに，TCP/IPに係る既知の脆弱性を攻撃し，実際に侵入できるかどうかを確認することによって脆弱性を検出する。：構成図や機器名の情報を得ずに既知の脆弱性を攻撃して侵入できるか確かめるのは、内部の情報を持たない状態で外から試す検査です。内部構造を基にする方法ではありません。
• エ …仕様を参照せずに，変数領域のあふれを見つけ出すツールを利用して，バッファオーバフローの脆弱性を検出する。：内部仕様を参照せずにツールで変数領域のあふれを見つけるやり方は、この選択肢自身が内部仕様を見ないと述べています。だからホワイトボックステストには当たりません。