令和8年度 問5｜セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）

正解：ウ 検査対象のプログラムの内部構造及び内部仕様を基に，脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。

ポイント

ホワイトボックステストに当たる検査の説明を選ぶ問題です。

考え方と解き方

ホワイトボックスとブラックボックスは、検査する側が内部の情報を使うかどうかで区別します。内部構造や内部仕様を基にするなら、ホワイトボックスです。

1. ウは、プログラムの内部構造と内部仕様を基に、脆弱性の可能性がある箇所の入力値を変えて実行しています。内部の情報を使うので、ホワイトボックステストです。
2. ほかの3つは、内部の情報を使わない検査です。したがって、該当するのは ウ です。

ほかの選択肢

• ア 外部仕様を基に問題を引き起こしそうなデータを大量に送り込む、ファジングの説明です。内部を見ないので、ブラックボックスの検査です。
• イ 構成図などを得ずに、実際に侵入できるかを確認する検査で、ペネトレーションテストに当たります。内部を見ないので、ホワイトボックスではありません。
• エ 内部仕様を参照せずに、ツールであふれを見つける検査です。内部を見ないので、ブラックボックスの検査です。

覚えておくこと

• ホワイトボックステスト：内部構造や仕様を基に検査。内部を見ない検査はブラックボックス（ファジングなど）
• ペネトレーションテスト：攻撃者と同様の手法で、実際に侵入できるかを試験する

（テーマ・覚えること）