解説

IoT機器のペネトレーションテスト（侵入テスト）は、「ネットワーク・バス・デバッグインタフェースなどの脆弱性を利用してIoT機器への攻撃と侵入を試みるテスト」（d：正解）。IoT機器特有のペネトレーションテスト対象：①ネットワーク層：MQTT・CoAP・Zigbeeなどのプロトコル脆弱性、認証バイパス、②ハードウェアインタフェース：UART・JTAG・SPI等のデバッグポートからのファームウェア抽出・解析、③ファームウェア：バイナリ解析・ハードコードされた認証情報の発見、④Webインタフェース：管理画面のSQLインジェクション・XSSなど。ペネトレーションテストは意図的に攻撃を試みてセキュリティ上の弱点を発見・報告するテスト。他の選択肢はそれぞれ別のテスト種別：a（システムテスト）・b（ホワイトボックステスト/コードレビュー）・c（環境試験/信頼性テスト）。

なぜ他の選択肢は違うのか

選択肢 ア

「IoT機器とサーバ・ネットワーク全体の動作が仕様書どおりであることをテスト」はシステムテスト（システム全体の機能確認テスト）の説明であり、セキュリティ上の脆弱性を意図的に突いて侵入を試みるペネトレーションテストとは目的が全く異なる。

選択肢 イ

「回路図・ソースコードなどシステムの内部構造を参照して仕様確認のためのテストを行う」はホワイトボックステスト（内部構造を知った上でのテスト）またはコードレビューの説明。ペネトレーションテストは仕様確認ではなく実際の攻撃によるセキュリティ検証が目的である。

選択肢 ウ

「恒温恒湿器を用いて規定された温湿度条件での動作・耐久性をテスト」は環境試験（Environmental Test）または信頼性試験の説明であり、セキュリティ上の脆弱性を発見するペネトレーションテストとは全く異なる試験種別。

解くときのポイント

IoTペネトレーションテストの対象: ①ネットワーク通信（開放ポート・暗号化不備）②無線通信（BLE・Zigbee等）③ハードウェアインタフェース（JTAG・UART・SPI）④ファームウェア解析（暗号化の有無）。