令和6年試験問題 [科目A]問9
問9解説へ
ペネトレーションテストに該当するものはどれか。
- 検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各程にセキュリティ上の問題がないかどうかをツールや目視で確認する。
- 公開Webサーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。
- 公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。
- 内部ネットワークのサーバやネットワーク機器のIPFIX情報から，各PCの通信に異常な振る舞いがないかどうかを確認する。
正解 ウ問題へ
広告
解説
ペネトレーションテストは、システムやネットワークのセキュリティを評価するために、セキュリティの専門家が、攻撃者の立場で実際のシステムに攻撃を試みることで、脆弱性の有無を検証するテストです。システムの弱点を発見し、それが悪用される前に修正することを目的とします。
したがって「ウ」が適切です。
ペネトレーションテストは、OSやサーバソフトウェアに対して実施されるものと、Webアプリケーションに対して実施されるものに大別され、それぞれ以下の項目が代表的な検査対象となります。
したがって「ウ」が適切です。
ペネトレーションテストは、OSやサーバソフトウェアに対して実施されるものと、Webアプリケーションに対して実施されるものに大別され、それぞれ以下の項目が代表的な検査対象となります。
- セキュリティレビューに該当します。
- ファイルの同一性チェックによる不正アクセスや改ざんの有無の検査です。
- 正しい。ペネトレーションテストに該当します。
- IPトラフィック情報を収集するNetFlowを使用したネットワーク検査に該当します。
広告