解説

ペネトレーションテスト（penetration test）は，対象のサーバやネットワークに対して実際に疑似攻撃を仕掛け，脆弱性を悪用して本当に侵入できるかどうかを検証するテストです。したがって正解はc『公開Webサーバや組織内ネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する』です。脆弱性診断が脆弱性の有無を洗い出すのに対し，ペネトレーションテストは『侵入の可否』という実際の影響まで検証する点が特徴です。選択肢aはソースコードレビュー（静的解析），bはファイルの完全性監視（ハッシュ値の比較），dはIPFIX等のフロー情報による異常通信の検知で，いずれも実際の侵入可否を試すペネトレーションテストとは異なる活動です。

なぜ他の選択肢は違うのか

選択肢 ア

設計書やソースコードを解析して問題を確認するのは，ソースコードレビューや静的解析の説明です。実際に攻撃して侵入可否を検証するペネトレーションテストとは手法が異なります。

選択肢 イ

コンテンツのハッシュ値を管理し改ざんを検知するのは，ファイルの完全性監視（改ざん検知）です。侵入できるかを試すペネトレーションテストとは目的が異なります。

選択肢 エ

IPFIX情報から通信の異常な振る舞いを確認するのは，トラフィック監視・異常検知の説明です。能動的に侵入を試みるペネトレーションテストではありません。

解くときのポイント

ペネトレーションテスト＝実際に疑似攻撃して『侵入できるか』を検証。脆弱性の有無を洗い出す脆弱性診断より一歩踏み込む。静的解析・監視とは別物。