セキュリティ脆弱性を調べる手法の見分け方
基本情報技術者試験 平成29年度秋期 午前 問45 ／ セキュリティ › セキュリティ技術評価
過去問にチャレンジ
コンピュータやネットワークのセキュリティ上の脆弱性を発見するために，システムを実際に攻撃して侵入を試みる手法はどれか。
- ア
ウォークスルー
- イ
ソフトウェアインスペクション
- ウ
ペネトレーションテスト
- エ
リグレッションテスト
会話形式の解説
講師この問題は、調査のために何をするかが決め手です。対象と操作を分けて考えてみましょう。
受験者セキュリティ上の弱点を探すなら、作成物を確認する方法も当てはまりそうです。
講師弱点を調べるという目的は近いですが、ここではシステムに対して実際に攻撃し、侵入を試みることが条件です。
受験者ウォークスルーは関係者が作成物を確認するので、操作が違いますね。
講師そのとおりです。ソフトウェアインスペクションも、作成物を動かさずに調べるレビューなので、実際に攻撃する条件には合いません。
受験者では、変更後に行うリグレッションテストはどうでしょうか。試験という点は同じです。
講師リグレッションテストは、変更が既存の機能に影響していないかを調べます。侵入できるかを確かめる試験ではありません。
受験者攻撃を試みて侵入できるか調べるのは、ペネトレーションテストですね。
講師はい。行うことと調べる目的の両方が条件に合うので、ペネトレーションテストが正解です。
受験者名前が似た試験でも、作成物を確認するのか、システムへの侵入を試みるのか、変更後の機能を確かめるのかで区別できますね。
講師その見方で整理できます。特にレビューとシステムに対して行う試験は、対象と操作を確かめると見分けやすくなります。
まとめ
実際に攻撃してシステムへ侵入できるかを調べる手法は、ペネトレーションテストです。ウォークスルーとソフトウェアインスペクションは作成物を確認するレビューであり、侵入を試みません。リグレッションテストは、変更が既存の機能に与える影響を調べます。手法を見分けるには、何を対象に、どのような操作をするかを確認します。
解答・解説
正解はウです
この問題のテーマ
セキュリティ上の弱点を調べる手法のうち、実際に攻撃して侵入を試みるものを問う問題です。
解き方の考え方
手法の名前だけでなく、調査のために何をするかに注目します。問題文の決め手は、システムを実際に攻撃し、侵入を試みる点です。各選択肢をレビューや変更後の試験と区別します。
選択肢ごとの解説
- ×ア ウォークスルーウォークスルーでは、関係者が作成物の内容を確認します。システムへの侵入を試みる手法ではないため、該当しません。
- ×イ ソフトウェアインスペクションソフトウェアインスペクションは、作成物を動かさずに調べるレビューです。実際に攻撃するという問題文の条件に合いません。
- ○ウ ペネトレーションテストペネトレーションテストでは、攻撃を試みて侵入できるかを調べます。問題文が求める行為と目的の両方に合うので、ウが正解です。
- ×エ リグレッションテストリグレッションテストは、変更によって既存の機能に影響が出ていないかを調べます。侵入可能性を確かめる試験ではありません。
POINT
- 手法を見分けるときは、何を対象に、どのような操作をするかを確かめます。
- 作成物を確認するレビューと、システムに対して行う試験は区別します。
- 変更後の既存機能への影響確認は、リグレッションテストの目的です。