問73
頻出度★★★
インターネット経由で行うペネトレーションテストで見つけられる脆弱性の例として, 適切なものはどれか。
平成28年度 秋期 ITパスポート試験 問73
この問題の解説と、これまでの解答の記録です。
解説
問 73
- ア
正解 ペネトレーションテストは、実際に攻撃者の手口で侵入を試みてシステムの脆弱性を洗い出す検査手法。本問は「インターネット経由で行う」と条件が付くので、外部ネットワーク側から到達できる箇所だけが検査対象になる。アの「外部ネットワークから公開サーバへの不正侵入口」は、まさに外部から公開サーバへ攻撃を仕掛けて侵入できる穴が無いかを調べるもので、インターネット経由のペネトレーションテストで検出できる脆弱性の代表例。したがってアが正しい。
不正解イ
記録媒体（USB メモリなど）による機密情報の持出しは、内部関係者が物理的な媒体を使って情報を外へ持ち出す行為で、運用・物理的な管理の問題。ネットワーク越しの侵入試験では検出できないため誤り。
不正解ウ
社内のネットワークに接続しようとする PC のウイルス感染は、組織内部の端末の問題であり、インターネット（外部）側からの侵入試験の範囲外。内部のマルウェア対策やエンドポイント管理で扱う事柄なので誤り。
不正解エ
セキュリティで保護された部屋への不正な入室経路は、入退室管理という物理的セキュリティの脆弱性。ネットワーク経由の技術的な侵入試験では見つけられないため誤り。
ここがポイント
- ペネトレーションテスト（侵入テスト）は、攻撃者の視点で実際に侵入を試み、システムに悪用可能な脆弱性が無いかを確認する検査手法。
- 「インターネット経由」で行う場合、検出できるのは外部ネットワークから到達可能な脆弱性に限られ、内部端末・記録媒体・入退室などの物理／内部の問題は対象外。
用語