脆弱性診断
更新日:
用語解説
システム、ネットワーク、Webアプリケーション、クラウド設定などを調べ、既知の脆弱性や不安全な設定を体系的に発見・評価し、修正へつなげる活動です。
■ 試験で押さえるポイント
対象、期間、許可する試験、除外、停止条件、連絡先を事前合意し、無断検査や本番障害を防ぎます。
自動スキャンで広く検出し、専門家の手動確認で業務ロジック、認可、誤検知・見逃しを補います。
発見事項は再現条件、影響、証拠、深刻度、修正案とともに報告し、修正後に再診断します。
弱点を網羅的に洗い出す診断に対し、ペネトレーションテストは特定の攻撃目標へ到達できるかを連鎖的に実証します。
■ 過去問での着眼点
脆弱性の発見・一覧化が中心である点、ツールだけでは不十分な点、ペネトレーションテストとの目的差を判断します。
例: Webアプリの入力、認証、権限、設定、既知ライブラリを検査し、SQLインジェクションの再現条件と修正方法を報告します。