技術的対策
脆弱性診断とペネトレーションテストの違いに関する記述として、最も適切なものはどれか。
- ✓脆弱性診断は既知の脆弱性の有無を網羅的に洗い出すことを目的とするのに対し、ペネトレーションテストは実際の攻撃者の視点で侵入可能かどうかを検証することを目的とする
- B脆弱性診断は実際にシステムへの侵入を試みる手法であり、ペネトレーションテストは既知の脆弱性リストと照合するだけの手法である
- C両者はいずれも同じ目的・手法で実施されるものであり、名称が異なるだけで内容に違いはない
- D脆弱性診断は攻撃者の視点で侵入を試みるものであり、ペネトレーションテストは既知の脆弱性を機械的に検出するものである
解説
脆弱性診断は既知の脆弱性を網羅的に洗い出す網羅性重視の検査であるのに対し、ペネトレーションテストは実際の侵入可否を検証する攻撃シナリオ重視の検査であり、目的と手法が異なる。
根拠情報セキュリティマネジメント試験シラバス：技術的セキュリティ対策（脆弱性診断、セキュリティテスト）