平成29年度春期 システム監査技術者 午前Ⅱ 問21

名称より「何を確かめるか」に注目

セキュリティの評価・検査手法は名前が似ていて混同しやすい分野です。名称の響きや語感で判断せず、その手法が最終的に何を確かめるために行われるのかという一点に着目し、提示された内容と照らし合わせて整理しましょう。

この問題で問われていること

この問題で問われているのは、手法の名称とその内容との対応関係です。各名称について、自分の言葉で「何を確かめるための手法か」を一言で言えるかを試し、それを提示された内容の記述と突き合わせる姿勢が大切です。

視点

評価・検査に関する用語は、名称に含まれる単語だけでは中身を判断しにくいことがあります。そこで、手順や道具といった細部より先に、その手法を行うと最終的に何が分かるのかという目的に立ち返ると、用語どうしの境界が見えやすくなります。学習の際は、覚えている用語ごとに目的を短い一文で書き出し、似た用語と並べて目的が重なっていないかを確かめる練習が有効です。

確認ポイント

• 登場する名称のそれぞれについて、何を確かめるための手法かを自分の言葉で一文にできるか
• 名称に含まれる単語の印象だけで対応を決めていないか
• 自分で言い表した目的と、提示された内容が述べている目的とが本当に一致しているか

正解

エ

解説

ペネトレーションテストは、攻撃者の立場からシステムやサーバへの侵入を試み、セキュリティ上の弱点や防御状況を確認するテストです。

理由

ペネトレーションテストは、実際の攻撃を模擬して、対象システムへ侵入できる可能性や防御上の問題を確認する。ファイアウォールや公開サーバを対象に侵入を試みる内容が該当する。

比較

暗号方式や鍵長の確認は設計仕様の検証、入力と出力の確認は機能テスト、処理可能なセッション数の確認は性能測定です。いずれも侵入可能性を攻撃者の視点で調べるテストとは目的が異なる。

選択肢ア

これは不正解だよ。暗号方式と鍵長が設計仕様に一致するかを確認する内容であり、暗号設定や設計の妥当性を検証する作業に当たる。攻撃者の立場から対象へ侵入を試み、脆弱性を確認するペネトレーションテストの説明ではない。

選択肢イ

これは不正解だよ。対象プログラムへの入力に対して、出力結果が出力仕様と一致するかを確認しているため、プログラムの機能や仕様を検証するテストである。侵入可能性や防御機能を攻撃によって確認する内容ではない。

選択肢ウ

これは不正解だよ。ファイアウォールが単位時間当たりに処理できるセッション数を確認する内容は、処理能力や限界性能を測定する性能テストに当たる。侵入を試みてセキュリティ上の弱点を調べる確認とは目的が異なる。

選択肢エ（正解）

これは正解だよ。ファイアウォールや公開サーバに対して、実際に侵入できるかどうかを確認する内容は、攻撃者の手法を模擬して防御状況や脆弱性を調べるペネトレーションテストに該当する。

学習のポイント

仕様確認、機能テスト、性能テスト、侵入テストの目的を区別する。