平成27年度秋期 ネットワークスペシャリスト 午前Ⅰ 問15

目的を整理するための着眼点

この種の設問では、用語の印象や実施手段に引きずられず、活動が何を明らかにし、どの判断や改善につなげるためのものかという目的の関係を、文脈に沿って丁寧に整理します。

この問題で問われていること

確認の中心を、対象への働きかけそのものではなく、その活動で得た結果を誰がどのような意思決定や改善に利用する想定なのか、という目的と利用先のつながりに一つだけ置いて考えます。

視点

目的を考えるときは、実施方法、対象、得られる情報、その情報を使う場面を混同せず、設問中で示される目的と利用の結び付きを落ち着いて確認します。

確認ポイント

• 活動の直接的な作業と最終的に目指す状態を分けて読む
• 得られる情報がどの判断や改善に結び付く想定かを確認する
• 目的・手段・結果の説明が同じ役割を指しているかを見直す

正解

エ

解説

ペネトレーションテストは、攻撃者の立場から対象へ侵入を試み、ファイアウォールや公開サーバなどの防御が有効に機能するかを確認するために行う。

理由

ペネトレーションテストは、実際に侵入を試みることで、ファイアウォールや公開サーバに存在する脆弱性が悪用されないか、防御機能が有効かを確認する。したがって、侵入できないかどうかを確かめることが目的です。

比較

暗号方式や鍵長の確認は設計仕様との適合性、入力と出力の確認はプログラムの機能、セッション数の確認は処理性能を評価する。これらは侵入可能性を調べるテストとは評価対象が異なる。

選択肢ア

これは不正解だよ。暗号化で使用している暗号方式と鍵長が設計仕様に一致するかを確認するのは、暗号設定や実装が仕様どおりかを点検する作業である。侵入を試みて防御の有効性を確かめる目的とは異なる。

選択肢イ

これは不正解だよ。対象プログラムへの入力に対する出力結果が出力仕様と一致するかを確認するのは、プログラムの機能や動作の正しさを検証するテストである。外部からの侵入可能性を評価する目的ではない。

選択肢ウ

これは不正解だよ。ファイアウォールが単位時間当たりに処理できるセッション数を確認するのは、どれだけの通信量を処理できるかという性能評価である。防御を突破して侵入できるかを調べる目的とは評価内容が異なる。

選択肢エ（正解）

これは正解だよ。ファイアウォールや公開サーバを対象に侵入を試み、攻撃者が内部へ到達できないか、防御機能が有効に働くかを確認するのがペネトレーションテストの目的である。

学習のポイント

仕様適合性・機能テスト・性能テストと、侵入可能性を調べる安全性評価の違いを整理する。