解説

ペネトレーションテスト（侵入テスト）の定義を問う問題です。ペネトレーションテスト（Penetration Test）は、ホワイトハッカーと呼ばれるセキュリティ専門家が、実際の攻撃者と同様の手法を用いてシステムへの侵入を試みることで脆弱性を発見するテスト手法です。特徴：①実際に侵入を試みる（受動的監視ではなく能動的攻撃シミュレーション）。②事前に許可を得た専門家が実施。③発見された脆弱性を報告し、対策立案につなげる。テストの段階：情報収集→脆弱性スキャン→脆弱性の悪用試行→結果報告。ブラックボックス（内部情報なし）、グレーボックス（一部情報あり）、ホワイトボックス（全情報あり）の3種類があります。選択肢Cの「公開Webサーバや組織のネットワークの脆弱性を探索し、実際に侵入できるか確認する」がペネトレーションテストの説明です。

なぜ他の選択肢は違うのか

選択肢 ア

設計書・ソースコードに着目してセキュリティ問題を確認することは「セキュリティコードレビュー」や「静的解析」と呼ばれます。実際にシステムへの侵入を試みるペネトレーションテストとは根本的に異なります。ペネトレーションテストは実稼働システムへの攻撃シミュレーションです。

選択肢 イ

ファイルのハッシュ値を管理して定期的に照合することは「ファイル整合性監視（File Integrity Monitoring：FIM）」です。改ざん検知のための監視手法であり、積極的な脆弱性探索を行うペネトレーションテストとは性質が異なります。

選択肢 エ

IPFIX情報（フロー情報）を基に通信の異常振る舞いを検出することは「ネットワーク行動分析（NBA）」や「SIEM（Security Information and Event Management）」による監視です。ペネトレーションテストではなく、日常的な監視・検知の活動です。

解くときのポイント

ペネトレーションテスト＝「実際に侵入を試みる」能動的なセキュリティテスト。キーワードは「侵入テスト」「ホワイトハッカー」「実際の攻撃を試行」。コードレビュー（静的）、ログ監視（受動的）との対比で覚える。