情報セキュリティでの脆弱性の検出に用いられるホワイトボックステストに該当するものはどれか。

選択肢

• ア検査対象のソフトウェア製品に対して、外部仕様を基に、問題を引き起こしそうなデータを大量に送り込み、その応答や挙動を監視することによって脆弱性を検出する。
• イ検査対象のネットワークに対して、ネットワークの構成図や機器名などの情報を得ずに、TCP/IPに係る既知の脆弱性を攻撃し、実際に侵入できるかどうかを確認することによって脆弱性を検出する。
• ウ検査対象のプログラムの内部構造及び内部仕様を基に、脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。
• エ検査対象のプログラムの内部仕様を参照せずに、変数領域のあふれを見つけ出すツールを利用して、バッファオーバフローの脆弱性を検出する。

正解と解説

正解：ウ 検査対象のプログラムの内部構造及び内部仕様を基に、脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。

ホワイトボックステストは、プログラムの内部構造や内部仕様を把握したうえで行う検査です。脆弱性が潜んでいそうな処理を特定し、そこを通る入力値を変えて実行することで問題を洗い出します。内部が見えない状態で外部から試す手法はブラックボックステストに分類されます。

選択肢ごとの解説

• ア外部仕様だけを基に大量のデータを送り込むのはファジングで、ブラックボックス的な手法です。
• イ構成情報を持たずに侵入を試すのはブラックボックス型のペネトレーションテストです。
• ウ正解。内部構造と内部仕様を基に、該当箇所の入力値を変えて検査する手法です。
• エ内部仕様を参照しない検査と明記されており、ホワイトボックステストには当たりません。

同じ分野の他の問題

• CVSS v3について、基本評価基準、現状評価基準、環境評価基準のうち、現状評価基準の特徴はどれか。2025年度 公開問題 科目A・B 問6
• 国内外に複数の子会社をもつA社では、インターネットに公開するWebサイトについて、A社グループの脆弱性診断基準（以下、A…2022年度 公開問題 科目A・B 問58
• A社は、金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え、A社の社長は情…2022年度 公開問題 科目A・B 問51
• Webサーバの検査におけるポートスキャナの利用目的はどれか。2019年度 秋期 午前 問30
• ネットワークカメラなどのIoT機器ではTCP 23番ポートへの攻撃が多い理由はどれか。2019年度 秋期 午前 問6