ペネトレーションテストの手法について正しいものはどれか。

なぜ ア は間違いか

ブラックボックス以外も正式な手法として広く採用されている。グレーボックスとホワイトボックスはコスト効率と検出率のバランスで実際に多用される。「内部情報の共有禁止」というルールは存在しない。

なぜ イ は間違いか

自動スキャンツール（Nessus・OpenVAS等）は脆弱性スキャンを効率化するが、複雑なビジネスロジックの脆弱性・ゼロデイ・連鎖攻撃は人手のペネトレーションテストが必須。ツールだけでは不完全。

なぜ エ は間違いか

本番環境でのペネトレーションテストはサービス停止リスクがあるため、スコープと影響を慎重に定義するか、ステージング環境で実施することも多い。「必ず本番で実施」は誤り。