問62
頻出度★★★
ペネトレーションテストの説明として, 適切なものはどれか。
平成26年度 秋期 ITパスポート試験 問62
この問題の解説と、これまでの解答の記録です。
解説
問 62
- ア
正解 正解は「ア」。ペネトレーションテスト (penetration test、侵入テスト) とは、検査者が攻撃者と同じ手口を使って対象システムへ実際に攻撃・侵入を試み、その結果からセキュリティ上の弱点 (脆弱性や設定不備) を発見・評価するテストである。机上の点検や設定確認と違い、「本当に侵入できてしまうか」を実地で確かめる点が最大の特徴で、ファイアウォールや公開サーバの防御が意図どおり機能しているかを実証的に検証できる。したがって「実際に攻撃して侵入を試みることで、セキュリティ上の弱点を発見する」と述べるアが、この用語の説明として適切である。
不正解イ
通常以上の高い負荷をかけて正常に機能するか確認するのは、負荷テスト (ストレステスト) の説明。性能・耐久性を確かめるテストであり、セキュリティ上の弱点を探すペネトレーションテストとは目的が異なる。
不正解ウ
プログラムを変更したときに、その変更が既存の機能へ想定外の影響を及ぼしていないか確認するのは、回帰テスト (リグレッションテスト) の説明。修正の副作用を検出するテストであり、侵入の可否を試すものではない。
不正解エ
利用者に実際に使ってもらって使いやすさを確認するのは、ユーザビリティテスト (使用性テスト) の説明。評価対象は操作性・分かりやすさであり、セキュリティの脆弱性発見が目的ではない。
ここがポイント
- ペネトレーションテスト＝攻撃者の視点で実際に侵入を試み、システムの脆弱性・設定不備を実証的に洗い出すセキュリティテスト。ファイアウォールや公開サーバの防御が有効かを確かめる目的で実施する。
- テストの種類は「目的」で区別する: 負荷テスト＝性能・耐久性、回帰 (リグレッション) テスト＝変更による副作用の有無、ユーザビリティテスト＝使いやすさ、ペネトレーションテスト＝セキュリティ上の弱点。
用語