平成29年度春期 プロジェクトマネージャ 午前Ⅱ 問25

検査手法の名称と行為を結び付ける

セキュリティ検査手法は名称が似ていても、実際に何を対象にどんな行為を行うかが異なります。名称の印象だけで判断せず、各手法の中心となる行為を自分の言葉で言い直してから、名称の意味と照らし合わせる姿勢で検討しましょう。

この問題で問われていること

この問題で確認したい観点は一つ、検査手法ごとの「中心となる行為」です。対象をどう扱い、何を観察して弱点を見つけようとしているのかという行為の核を捉え、名称が表す意味と矛盾なく結び付くかを確かめてください。

視点

検査手法の名称には、その手法が何をするのかを示す語が含まれていることが多くあります。ただし語感の似た名称同士では、印象に頼ると取り違えやすくなります。まず名称を構成する語の意味を分解し、その語が示す行為と、問われている実施内容の行為が一致するかを一つずつ照合する習慣を身につけると、混同を防ぎやすくなります。

確認ポイント

• 名称を構成する語が、どのような行為を表しているかを分解して考えたか
• 実施内容の中心となる行為を、名称を見ずに自分の言葉で言い換えられるか
• 名称の語が示す行為と、実施内容の中心となる行為に食い違いがないか確かめたか

正解

エ

解説

ペネトレーションテストは、攻撃者の立場からシステムやネットワークへの侵入を試み、セキュリティ上の弱点や侵入可能性を確認する検査です。したがって、ファイアウォールや公開サーバへの侵入可否を調べる行為が該当する。

理由

ペネトレーションテストでは、攻撃者が行う手順を想定して、対象システムへ実際に侵入できるか、または防御を突破できる可能性があるかを確認する。単なる仕様適合性や処理性能の確認とは目的が異なる。

比較

暗号方式や鍵長の確認は設計仕様の検査、入力に対する出力の確認は機能テスト、処理可能なセッション数の確認は性能テストに当たる。これらは侵入可能性を攻撃者の視点で調べる検査ではありません。

選択肢ア

これは不正解だよ。暗号化で使用している暗号方式と鍵長が設計仕様と一致するかを確認する行為は、設計仕様への適合性を調べる検査である。攻撃を想定して対象へ侵入できるか、脆弱性を利用できるかを確認するペネトレーションテストには該当しない。

選択肢イ

これは不正解だよ。対象プログラムへの入力に対する出力結果が出力仕様と一致するかを確認する行為は、プログラムの機能や仕様を検証するテストである。侵入者の立場からシステムの防御を突破できるかを調べる検査ではない。

選択肢ウ

これは不正解だよ。ファイアウォールが単位時間当たりに処理できるセッション数を確認する行為は、機器の処理性能や容量を測定する性能テストである。攻撃を想定して侵入可能性やセキュリティ上の弱点を調べる内容ではない。

選択肢エ（正解）

これは正解だよ。ファイアウォールや公開サーバに対して、実際に侵入できないかどうかを確認する行為は、攻撃者の手法を想定して防御の有効性や侵入可能性を調べるものである。これはペネトレーションテストの定義に該当する。

学習のポイント

仕様確認・機能テスト・性能テストとの違いを理解する。