ペネトレーションテスト・脆弱性診断とは？

ペネトレーションテスト・脆弱性診断の意味

システムの安全性を実地に検証する手法。脆弱性診断は既知の弱点を網羅的に洗い出す点検で、ペネトレーションテストは攻撃者の視点で実際に侵入を試み、どこまで到達できるかを確かめる。目的が違うため、契約時に範囲と手法を明示する必要がある。

ペネトレーションテスト・脆弱性診断の具体例

新しい会員サイトの公開前に、まず自動ツールで全画面の脆弱性診断を行い既知の欠陥を潰す。その後、外部の専門会社に依頼し、公開サーバから社内の顧客データベースまで到達できるかを試すペネトレーションテストを実施して、多層防御の実効性を確認する。

ペネトレーションテスト・脆弱性診断は試験でどう引っ掛けられる？

両者は代替関係ではない。診断は「弱点の一覧」、侵入テストは「悪用可能かの実証」を得る手段で、後者は網羅性を保証しない。また実施には対象事業者の許可が必須で、無断で行えば不正アクセス禁止法に触れる。

ペネトレーションテスト・脆弱性診断と関連する用語

• 脆弱性管理・CVSS
• 情報セキュリティ監査
• セキュリティバイデザイン

ペネトレーションテスト・脆弱性診断が出た過去問

• コンピュータやネットワークのセキュリティ上の脆弱性を発見するために、システムを実際に攻撃して侵入を試みる手法はどれか。

  正解：ペネトレーションテスト

  要点：ペネトレーションテストは実際に侵入を試みて脆弱性を確かめる

  ペネトレーションテストは、実際に攻撃者と同じ手口でシステムへの侵入を試み、防御が突破できるかを確かめる検査手法である。机上のチェックでは見つからない設定不備や脆弱性の組合せを実証的に洗い出せる。実施にあたっては対象システムの所有者から事前に承認を得る必要がある。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問45（IPA）

• ペネトレーションテストに該当するものはどれか。

  正解：公開Webサーバや組織のネットワークの脆弱性を探索し、サーバに実際に侵入できるかどうかを確認する。

  要点：ペネトレーションテストは実際に侵入できるかを試す

  ペネトレーションテストは、実際に攻撃者と同じ手口で対象システムへの侵入を試み、防御を突破できるかを確認する検査である。脆弱性の有無を調べるだけでなく、実際に侵入可能かという観点まで踏み込む点が特徴になる。ソースコード検査や改ざん検知、通信の振る舞い監視とは目的が異なる。

  出典：令和6年度 （公開問題） 基本情報技術者試験 kamokuA 問9（IPA）

• 製造業のA社では、ECサイト（以下、A社のECサイトをAサイトという）を使用し、個人向けの製品販売を行っている。Aサイトは、A社の製品やサービスが検索可能で、ロ…

  正解：項番1: B社, 項番2: C社, 項番3: B社

  要点：PaaSではOS・ミドルは事業者、アプリは利用者側の責任

  責任の分界点は、誰がその層を管理しているかで決まります。PaaSではOSやミドルウェアの管理は事業者側の範囲なので、アプリケーションサーバのOSとDBMSの既知の脆弱性への対処はPaaS提供者であるB社が担います。一方、クロスサイトスクリプティングはWebアプリケーションプログラムの脆弱性であり、委託契約で対策を担うと定めたC社が対処します。

  出典：令和4年度 s 基本情報技術者試験 kamokuB 問17（IPA）