セキュリティ
令和6年度 基本情報技術者試験 科目A 公開問題 問9
ペネトレーションテストに該当するものはどれか。
- ア 検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。
- イ 公開 Web サーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。
- ウ 公開 Web サーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。
- エ 内部ネットワークのサーバやネットワーク機器の IPFIX 情報から，各 PC の通信に異常な振る舞いがないかどうかを確認する。
出典：令和6年度 基本情報技術者試験 科目A 公開問題 問9
答えと解説を見る
正解：ウ
覚える知識
ペネトレーションテストの定義
ペネトレーションテストは、攻撃者の手法で実際に侵入を試みて防御の有効性を検証する。
この問題で必要なこと
ペネトレーションテストは、公開サーバやネットワークに対して実際に侵入を試み、脆弱性を悪用できるかを確認する検査である。
ひっかけ
アはソースコード検査（静的解析）、イは改ざん検知、エは通信の異常検知で、いずれも侵入を試みない別の手法である。
この知識の出題：本試験系 4 回・免除試験 3 回（公開問題での観測値）