ペネトレーションテスト（監査における位置づけ）とは？

ペネトレーションテスト（監査における位置づけ）の意味

システム監査において、実際に外部・内部から侵入を試みる手法で、セキュリティ対策の実効性を検証するチェックポイントとして用いられる技法。設定の妥当性を書面で確認するだけでなく、実際に攻撃を模擬して防御が機能するかを確認する点が特徴。

ペネトレーションテスト（監査における位置づけ）の具体例

ファイアウォールやアクセス制御の設定が適切かどうかを、実際に外部から侵入を試みることで検証し、書面上の確認だけでは見抜けない設定漏れや脆弱性を発見する。

ペネトレーションテスト（監査における位置づけ）は試験でどう引っ掛けられる？

脆弱性診断と目的が違う。脆弱性診断は既知の弱点を網羅的に洗い出すのに対し、ペネトレーションテストは特定の目標に対して実際に侵入できるかを試すもので網羅性は目的ではない。「実施すれば脆弱性を漏れなく検出できる」は誤り。実施には対象システムの管理者の事前承認が要る点も問われる。

ペネトレーションテスト（監査における位置づけ）と関連する用語

• 監査技法（ウォークスルー法・突合・インタビュー法・チェックリスト法）

ペネトレーションテスト（監査における位置づけ）が出た過去問

• コンピュータやネットワークのセキュリティ上の脆弱性を発見するために、システムを実際に攻撃して侵入を試みる手法はどれか。

  正解：ペネトレーションテスト

  要点：ペネトレーションテストは実際に侵入を試みて脆弱性を確かめる

  ペネトレーションテストは、実際に攻撃者と同じ手口でシステムへの侵入を試み、防御が突破できるかを確かめる検査手法である。机上のチェックでは見つからない設定不備や脆弱性の組合せを実証的に洗い出せる。実施にあたっては対象システムの所有者から事前に承認を得る必要がある。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問45（IPA）

• ペネトレーションテストに該当するものはどれか。

  正解：公開Webサーバや組織のネットワークの脆弱性を探索し、サーバに実際に侵入できるかどうかを確認する。

  要点：ペネトレーションテストは実際に侵入できるかを試す

  ペネトレーションテストは、実際に攻撃者と同じ手口で対象システムへの侵入を試み、防御を突破できるかを確認する検査である。脆弱性の有無を調べるだけでなく、実際に侵入可能かという観点まで踏み込む点が特徴になる。ソースコード検査や改ざん検知、通信の振る舞い監視とは目的が異なる。

  出典：令和6年度 （公開問題） 基本情報技術者試験 kamokuA 問9（IPA）