情報セキュリティ
基本情報技術者試験｜B社では開発中のWebアプリについて、まだ動作する環境を構築していない段階で、ソースコードに潜む脆弱性をできるだ…
B社では開発中のWebアプリについて、まだ動作する環境を構築していない段階で、ソースコードに潜む脆弱性をできるだけ早期に洗い出したい。この目的に適した診断手法はどれか。
ア稼働中のアプリへ外部から擬似攻撃を送り、その応答から脆弱性を検出する。
イプログラムを動かさずにコードの構造を解析し、危険な実装箇所を割り出す。
ウ運用後の通信ログを長期間収集し、不審なアクセス傾向を統計的に分析する。
エ利用者から寄せられた不具合報告を集計し、再現性の高いものから調査する。
正解
イ．プログラムを動かさずにコードの構造を解析し、危険な実装箇所を割り出す。
アプリを動かせない開発初期段階でコードの脆弱性を早期発見するには、プログラムを実行せずソースコードを解析するSAST（静的アプリケーションセキュリティテスト）が適する。コーディング中から適用でき、修正コストの低い早期に問題を指摘できる。
?選択肢ごとの解説
ア ×稼働中のアプリへ擬似攻撃を行うDAST（動的解析）は実行環境が前提であり、まだ環境がない本件の段階では実施できない。
イ ○アプリを動かせない開発初期段階でコードの脆弱性を早期発見するには、プログラムを実行せずソースコードを解析するSAST（静的アプリケーションセキュリティテスト）が適する。コーディング中から適用でき、修正コストの低い早期に問題を指摘できる。
ウ ×運用後の通信ログ分析は本番稼働を前提とする事後の監視手法で、開発初期のコード脆弱性の早期洗い出しには使えない。
エ ×利用者の不具合報告の集計はリリース後の対応であり、開発段階で先回りして脆弱性を検出する目的に合致しない。
情報セキュリティの他の問題
J社では、機能テストでアプリを実際に動かしている間に、その内部の処理経路まで把握して脆弱性を高精度に検出したい。静的解析だけ…C社の脆弱性管理担当者は、診断ツールが報告した多数の脆弱性に対し、限られた人員で修正対応する順序を決めたい。対応の優先度を客…D社の製品は多数のオープンソースライブラリを組み込んでいるが、どのバージョンの何を使っているかを正確に把握できておらず、新た…E社の基幹システムに、重要なセキュリティ修正プログラムの提供が始まった。過去に修正プログラムを本番へ即時適用した際、既存機能…F社は脆弱性診断ツールによる網羅的な検査は定期実施しているが、検出された個々の弱点が実際に組み合わさって重要システムへの侵入…G社のWebアプリでは、内部で例外が発生すると、データベースのテーブル名やSQL文、サーバの内部パスを含む詳細なエラーメッセ…H社では、これまでシステム開発の最終工程で脆弱性診断を行い、見つかった問題を都度修正してきた。しかし手戻りが大きく、根本的な…I社が導入した管理用ソフトウェアには、出荷時から共通の管理者IDと初期パスワードが設定されており、管理画面が外部ネットワーク…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0110