組織の防御を確かめる方法のうち、脆弱性スキャン、ペネトレーションテスト、レッドチーム演習の違いの説明として、正しいものはどれか。

正解：B. スキャンは既知の脆弱性を自動で広く探し、ペネトレーションテストは実際に侵入を試み、レッドチーム演習は検知と対応の力まで評価する

脆弱性スキャンは、ツールで多くの機器やソフトウェアを調べ、既知の脆弱性や設定の不備を広く洗い出すもので、定期的に繰り返し行います。ペネトレーションテストは、決めた範囲の対象に対して、専門家が脆弱性を組み合わせて実際に侵入できるか、どこまで到達できるかを確かめます。レッドチーム演習は、「顧客の情報を持ち出す」といった目標を決めて、実際の攻撃者の手口(ATT&CKのテクニックなど)をまね、防御の側(ブルーチーム)が気づいて対応できるかまで評価します。いずれも、事前に範囲と方法について組織の許可を得て行います。

• A. 目的も方法も違います。ツールで既知の脆弱性を洗い出すのは、脆弱性スキャンです。
• B. 正しい。広く洗い出すスキャン、侵入できるかを確かめるテスト、検知と対応まで試す演習の順に、目的が広がります。
• C. レッドチーム演習は、攻撃者をまねて組織の検知と対応まで評価するもので、自動のスキャンとは違います。