ホワイトボックステスト｜情報セキュリティマネジメント 令和8年 公開問題 問5
出典：令和8年度 公開問題 科目A 問5
分野：セキュリティ ／ 情報セキュリティ対策
情報セキュリティでの脆弱性の検出に用いられるホワイトボックステストに該当するものはどれか。
- ア：検査対象のソフトウェア製品に対して，外部仕様を基に，問題を引き起こしそうなデータを大量に送り込み，その応答や挙動を監視することによって脆弱性を検出する。
- イ：検査対象のネットワークに対して，ネットワークの構成図や機器名などの情報を得ずに，TCP/IPに係る既知の脆弱性を攻撃し，実際に侵入できるかどうかを確認することによって脆弱性を検出する。
- ウ：検査対象のプログラムの内部構造及び内部仕様を基に，脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。
- エ：検査対象のプログラムの内部仕様を参照せずに，変数領域のあふれを見つけ出すツールを利用して，バッファオーバフローの脆弱性を検出する。
TSUNAGARU-ADVICE
まず押さえたいこと
ホワイトボックステストは、プログラムの内部構造や内部仕様を把握した上で、処理の流れや条件分岐などを確認するテストです。脆弱性検査では、問題がありそうな処理に対して入力値を変えながら実行し、想定外の動作が起きないかを調べます。
迷ったときの判断軸
「内部構造やソースコードなどを見て検査する」ならホワイトボックス、「内部を見ずに外部から入力と出力を確認する」ならブラックボックスと切り分けましょう。問題文に内部構造・内部仕様を基にという表現があれば、ホワイトボックステストを判断する大きな手掛かりになります。
科目Bにつなげるために
科目Bでは、脆弱性診断やセキュリティテストについて、何を事前情報として与えられているかに注目しましょう。内部情報を利用できる検査なのか、攻撃者のように外部から調査する検査なのかを整理すると、テスト方法の目的や特徴を事例から判断しやすくなります。
ホワイトボックステストは、プログラムの内部構造や処理内容を把握したうえで行うテストです。ソースコードや内部仕様などを参照し、処理の分岐やデータの流れを確認しながら問題のある箇所を調べます。
本問では、「プログラムの内部構造及び内部仕様を基に」という部分が判断のポイントです。内部の仕組みを理解したうえで、脆弱性が疑われる処理への入力値を変化させて検査しているため、ウがホワイトボックステストに該当します。
反対に、内部構造や内部仕様を参照せず、外部から入力を与えて応答や挙動を確認する方法はブラックボックステストに分類されます。「内部を見て検査するか、内部を見ずに外部から検査するか」で区別すると判断しやすくなります。
❌他選択肢が誤りの理由ア：検査対象のソフトウェア製品に対して，外部仕様を基に，問題を引き起こしそうなデータを大量に送り込み，その応答や挙動を監視することによって脆弱性を検出する。
⇒ファジングに関する説明です。大量の異常なデータなどを入力して挙動を確認しますが、内部構造ではなく外部から検査しているため、ホワイトボックステストには該当しません。
イ：検査対象のネットワークに対して，ネットワークの構成図や機器名などの情報を得ずに，TCP/IPに係る既知の脆弱性を攻撃し，実際に侵入できるかどうかを確認することによって脆弱性を検出する。
⇒対象ネットワークの内部情報を与えず、外部の攻撃者に近い立場から侵入可能性を調べるペネトレーションテストに関する説明です。内部構造や内部仕様を利用するホワイトボックステストとは異なります。
エ：検査対象のプログラムの内部仕様を参照せずに，変数領域のあふれを見つけ出すツールを利用して，バッファオーバフローの脆弱性を検出する。
⇒内部仕様を参照せずにツールを使って脆弱性を検出する方法です。「内部仕様を参照せずに」と明記されているため、内部構造や内部仕様を利用するホワイトボックステストには該当しません。