SC2027システムライフサイクルプロセス · 統合・テスト

ボトムアップテスト

Bottom-Up Testing

ぼとむあっぷてすと

下位モジュールから上位モジュールへ順にテストを統合していく手法。テスト対象の上位モジュールはドライバで代替する。個々のモジュールの動作を確実に検証でき、並行してテストを進められる利点がある。

共有:

他の資格での定義

下位モジュールから上位モジュールへ順に統合・テストする手法。上位モジュールの代わりにドライバを使用する。基盤部分の品質を先に確保でき、並行開発・テストがしやすい利点がある。

下位モジュールから上位モジュールへ順に結合してテストする手法。上位モジュールの代わりにドライバを使用する。基盤的な機能から確実に検証でき、再利用可能なテスト環境を構築しやすい。

下位のモジュールから上位のモジュールへ順に結合しながら行う統合テスト。未完成の上位モジュールの代わりにドライバを使う。下位の基本機能を早く十分にテストできるが、システム全体の動きは最後まで確認できない。

Past Exams

過去問で 5 回出題（基本情報技術者試験 2・情報処理安全確保支援士試験 2・エンベデッドシステムスペシャリスト試験 1）。うち 1 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

システムやアプリケーションに存在する既知の脆弱性を検出するテスト。ネットワーク脆弱性診断とWebアプリケーション脆弱性診断に大別され、ツール（スキャナー）による自動診断と、専門家による手動診断がある。定期的な実施が推奨される。

攻撃者の視点でシステムに対して実際に攻撃を試み、セキュリティ上の弱点を発見するテスト手法。ネットワーク、Webアプリケーション、IoT機器などを対象に、脆弱性の悪用可能性や侵入の影響範囲を検証する。脆弱性診断より実践的な評価が得られる。

プログラムの入力に大量の予期しないデータ（ファズ）を自動的に生成・投入し、異常動作やクラッシュを引き起こすことで未知の脆弱性を発見するテスト手法。バッファオーバーフローやフォーマットストリング脆弱性などの検出に有効。

ソースコードやバイナリを実行せずに解析し、セキュリティ上の脆弱性を検出するテスト手法。開発の早い段階で脆弱性を発見でき、CI/CDパイプラインに組み込んで自動実行される。SQLインジェクションやバッファオーバーフローなどのコーディング上の問題を検出する。

実行中のアプリケーションに対して外部から疑似的な攻撃リクエストを送信し、脆弱性を検出するテスト手法。ソースコードを必要とせず、ブラックボックス的に検査する。XSS、SQLインジェクション、認証の不備などを実際の動作環境で発見できる。

アプリケーション内部にエージェントを組み込み、実行時の入出力データや内部処理の流れを監視して脆弱性を検出するテスト手法。SASTとDASTの利点を組み合わせ、誤検知を低減しつつ、脆弱性の発生箇所をソースコードレベルで特定できる。