正解：イ
各選択肢の解説
ア仕様書どおりに各機能が動作するかを、画面ごとに確かめる。
誤り。これは機能テストの目的です。どちらも「検査・テスト」と呼ばれるため 混同しがちですが、機能テストは正しく動くかを、脆弱性検査は悪用されないかを 見ます。仕様どおりに動くシステムにも弱点は残り得ます。
イ攻撃に悪用され得る弱点が残っていないかを、攻撃者の視点で調べる。
正解。脆弱性検査は、設定の不備やプログラムの欠陥など、攻撃の入口になる 弱点を攻撃される前に見つけ出すための検査です。見つかった弱点は、その後の 修正で塞ぎます。
ウ外部からの不審な通信を常時監視し、侵入の兆候を管理者に知らせる。
誤り。これはIDS（侵入検知システム）の役割です。どちらも攻撃に備える 対策ですが、IDSは運用中の通信をずっと見張り続けるもので、脆弱性検査は ある時点でシステムの弱点を洗い出すものです。
エ開発元が公開した修正プログラムを、各サーバに漏れなく適用する。
誤り。これはセキュリティパッチの適用で、脆弱性管理のうち弱点を「塞ぐ」 作業です。脆弱性検査は弱点を「見つける」作業で、検査の結果を受けて 修正や適用を行う、という前後の関係にあります。
理解を深めるために
泥棒より先に、自分で戸締まりを試す
家の防犯診断では、専門家が実際に窓やドアを外から確かめ、「この窓の鍵は外から 開けられる」といった弱点を指摘します。脆弱性検査はこれをシステムに対して行う ものです。攻撃者に見つけられる前に、自分たちで弱点を見つけておくことが目的です。
何を調べるのか
- ソフトウェアの既知の脆弱性が、修正されないまま残っていないか
- 不要なサービスやポートが開いたままになっていないか
- Webアプリケーションに、不正な入力で情報を抜き出せるような欠陥がないか
実際に攻撃者と同じ手法で侵入を試みる「ペネトレーションテスト」も、脆弱性検査の 一つの形です。システムの公開前だけでなく、改修後や定期的にも行います。 見つかった弱点は、修正プログラムの適用や設定の変更で塞ぎます。
混同しやすいものとの違い
| 用語 | 何をするか |
|---|---|
| 脆弱性検査 | 攻撃に悪用され得る弱点を、ある時点で洗い出す |
| 機能テスト | 仕様どおりに動作するかを確かめる |
| IDS（侵入検知システム） | 運用中の通信を常時監視し、侵入の兆候を知らせる |
| セキュリティパッチの適用 | 公開された修正を当て、既知の弱点を塞ぐ |
試験では「弱点を見つける」のか「塞ぐ」のか「見張る」のかで切り分けます。