Vex Certification Associate
試験ガイド
1. はじめに
UBsecure Certification – Vex Certification Associate 試験は、脆弱性診断業務を行ううえで必要となる技術的な要素を学ぶために最適な試験です。Vex を用いた脆弱性診断業務に従事している方、ツールオペレータ―からペンテスターへのステップアップを目指す方を対象とします。
本試験で証明する能力は以下の通りです。
⚫

EC サイトや SPA などの複雑な機能のサイトに対する脆弱性診断ができる⚫

Vex のスキャン結果を的確に判別できる⚫

脆弱性が存在するサイトに対する攻撃シナリオを考察できる

受験者は UBsecure PICT,Inc(架空の会社)のセキュリティ担当者として、開発部門から依頼された Web アプリケーションのセキュリティテストを実施し、セキュリティテストの結果レポートを作成します。また、検出された脆弱性の影響度合いを調査・検証するため、脆弱性によって得られた情報を駆使し、Web サーバ内の情報奪取を試みます。
実施に当たり以下の資料が提供されます。
⚫

ヒアリングシート診断実施時の制限事項や接続方法などが記載されます。

⚫

診断対象一覧
サイトに存在する画面のリストです。診断対象の画面が記載されます。

バージョン 20210219_1

1

2. 試験内容① 試験方式
本試験は Vex を使用した実技形式および、CBT(Computer Based Testing)方式の試験となります。Vex を利用したセキュリティテストにより得られた結果を、CBT で回答します。Vex を利用する実技環境は受験者毎の専用環境がクラウド上に用意されます。受験者毎に用意される専用の試験環境の詳細は、「試験環境」の項目に記載しています。
試験はリモート（インターネット経由）で実施し、受験者は Web カメラによる監視の下受験します。
② 回答方式
本試験は 3 種類の方式で回答します。
➢択一選択式
選択肢の中に 1 つのみ正答があります。

➢複数選択式
選択肢の中に 1 つ以上の正答があります。

➢記述式
適切な文字列を記述します。

③ 試験環境
本試験の環境は解答を得るための実施環境と出題及び解答を行うための試験システムから構成されます。

図 1 試験環境

バージョン 20210219_1

2

試験環境の構成システムは以下の通りです。
⚫

受験者端末
受験者が試験を受験する際に利用する端末です。試験システムから出題される問題を実施環境上で得た情報をもとに解答します。実施環境へはクライアントソフトもしくは、Web ブラウザを介してアクセスを行います。

⚫

実施環境
受験者毎に用意される Vex Certification Associate の実施環境です。
AWS 上に構築されており、受験者は Amazon WorkSpaces を利用し実施環境へアクセスを行います。

⚫

作業端末
受験者はこの端末を操作し脆弱性診断を実施します。
Windows10 で動作し、Vex を含む診断に必要なソフトウェアがインストールされています。

⚫

診断対象サイト
脆弱性診断を行う対象のサイトです。試験中攻撃が許可されるのは本サイトのみです。

⚫

試験システム
出題及び回答を行うシステムです。
株式会社イー・コミュニケーションズ社の MASTER CBT Plus(+) を利用しています。

⚫

Microsoft Teams
試験監視および、受験者と主催者間の QA に使用します。
監視は Web カメラの映像のみとなり、音声は監視対象に含まれません。
また、Web カメラの映像は試験中の監視のみに使用し、記録および、保管は行いません。
受験者は Web カメラの用意が必要となります。Microsoft Teams が使用可能なスマートフォンでも代用可能です。

バージョン 20210219_1

3

④ 出題ドメイン
本試験は 3 つのドメインで構成されます。
I.

シナリオドメイン
Vex でスキャンを実施する上で必要となる設定を正確に行うスキルを測定します。
検査対象の画面に対し、Vex の機能を駆使してテストシナリオを作成します。作成した画面に対しスキャンを実施すると、テストシナリオの有効性が検証されます。正しいテストシナリオを作成した場合のみ、Vex 上に解答が出力されます。選択肢から該当する値を選択し解答します。

図 2 シナリオドメイン解答イメージ
II. トリアージドメイン
対象画面のスキャン結果分析し、検出した脆弱性を判別するスキルを測定します。
シナリオドメインでスキャンした結果から過剰検知を排除し、脆弱性の有無を判別します。各画面のレポートが穴抜きの状態で出題され、Vex の結果をもとに解答します。選択肢から該当する値を選択し解答します。

バージョン 20210219_1

4

図 3 トリアージドメイン解答イメージ
III. アタックドメイン
Vex でスキャンした結果の総合的に分析力及び、脆弱性の根本理解度を測定します。
シナリオドメイン及び、トリアージ度面の結果を分析し、診断対象サイトに侵入します。サーバ内部のデータベースやファイルから解答を取得し、解答を取得します。選択肢から該当する値を選択または、記述式で解答します。
⑤ 試験時間
5 時間です。
試験中の休憩、早期終了は自由です。
ただし、試験は第三者の立ち合いおよび試験内容の開示は禁止です。
⑥ 試験結果
本試験は合格、不合格のいずれかの結果となります。
出題する全問題の得点率で採点し、ドメイン毎の得点率は試験結果に影響を与えることはありません。
全体得点率の 74%を取得すると合格となります。

バージョン 20210219_1

5

3. 学習コンテンツ
本試験の学習を始める前に、Web アプリケーションに関する基本的な知識、および脆弱性に関する知識を身に付けておくことを推奨します。
また、試験前に以下の資料を閲覧しておくことで、スムーズに試験を開始できます。
⚫

ヒアリングシート⚫

試験ガイド（本資料）

本試験を受験するにあたり、推奨する学習コンテンツは以下の通りです。
⚫

Vex ハンズオントレーニング
講師が対面で行うトレーニングです。
4 つのコースが用意されており、本試験は各コースの内容を総合的に出題します。
➢基本マスターコース➢

検査マスターコース Handler 編➢

検査マスターコース シナリオ編➢

検査マスターコース シグネチャ編

対面の QA を通じて、疑問点を解消することができるため、じっくり学びたい方におすすめです。
⚫

Vex e-ラーニング
Vex ハンズオントレーニングを e-ラーニングで受講可能です。
動画で配信される解説を参照しながら、クラウド上に用意された環境で Vex を操作します。まとまった時間がとれない方や、自分のペースで学習を進めたい方におすすめです。

⚫

VCA 認定対策講義
VCA(Vex Certification Associate)の認定取得に向けた講義と試験チケットがセットになったトレーニングコースです。本講座には 4 つのメニューがパッケージされています。
➢

Vex e-ラーニング➢模擬試験 1 回➢

対策講座 2 日間（1 日 8 時間×2）➢

検本試験 1 回

いずれもオンライン形式での受講となります。Web アプリケーションセキュリ
ティの基礎知識を有する方が対象となります。

バージョン 20210219_1

6

4. 申込から受験までの手順⚫

1.

申込をする前に、受験者は以下を使用可能か確認してください。
➢Amazon WorkSpaces クライアントアプリケーションおよび Web アクセス➢

Microsoft Teams➢

Web カメラおよび Microsoft Teams が動作するスマートフォン

試験を申し込む
HP から VCA 試験を申し込みます。
申込時に指定した受験希望日のスケジュールが完了次第、UBsecureCertification
事務局から受験日の確定と、受験費用お支払方法の案内がメールで送信されます。

2.

弊社指定口座へ入金する
受験費用を指定口座へ入金してください。法人の受験者など、注文書などが必要な場合は、申込時にお伝えください。

3.

受験準備
HP の「ヒアリングシート」を事前に確認してください。診断対象となるサイトの情報が記載されています。
また、必要に応じて学習コンテンツを使用することを推奨します。
事務局から試験に必要な情報が記載されたメールが試験前日までに送信されます。宛先は申込時に入力頂いたメールアドレスとなります。

4.

受験
メール記載の手順に従い、試験を開始します。
スケジュールされた試験時間の 15 分前から Microsoft Teams にて、試験準備を実施します。
試験時間中は Web カメラの映像を試験官が監視します。
なお、試験開始後 30 分が経過し、Microsoft Teams へ参加が確認できない場合は試験終了となります。
その場合は、試験の結果が不合格となります。
試験を再スケジュールしたい場合は、3 営業日前までにご連絡ください。

5.

試験終了
試験のスコアおよび合否は試験終了時に表示されます。
ただし、表示された結果は暫定的な結果であり、合格基準を満たした場合の最終的な結果は 4 週間以内に合格証の送付をもって確定となります。

バージョン 20210219_1

7

5. よくある質問◼

申込⚫

どこから申し込みを行いますか？
➢HP フォームからお申し込みください
https://www.ubsecure.jp/training/ubsecure-certification/vex-certificationassociate⚫

◼

受験費用の支払いはどの支払方法を選択可能ですか？
➢

申し込みフォームからの支払は口座振り込みのみです。

➢

請求書払ご希望の場合は、問い合わせフォームよりご連絡ください。

受験準備⚫

案内のメールが届きません。 / 誤って削除してしまいました。
➢

お手数ですが、以下の宛先に氏名、受験予定日を記載の上お問い合わせください。
UBsecureCertification 事務局
E-mail : ubsecure-certification@ubsecure.jp⚫

受験にあたって必要なものは何ですか？
➢・ 安定して接続可能なインターネット環境
・ 試験に必要なツール（WorkSpaces、Teams）が動作する PC
・ Web カメラ（スマートフォンでも代用可）
・ 顔写真付きの本人確認書類（運転免許証、パスポートなど）◼

受験⚫

試験中はどのように試験官と連絡をとりますか？
➢⚫

休憩を取ることは出来ますか？
➢⚫

可能です。

監視対象は何ですか？
➢⚫

可能です。その際にはチャットでメッセージを送ってください。

受験中の飲食は可能ですか？
➢⚫

Microsoft Teams のチャットでメッセージを送ってください。

Web カメラの映像のみです。音声は監視対象に含まれません。

試験中に Vex のマニュアルを確認したいです。
➢

書籍やインターネット検索が可能です。ただし、第三者へ相談、情報を開示することは禁止します。

バージョン 20210219_1

8

6. 参考情報⚫

Amazon WorkSpaces
WorkSpaces クライアントアプリケーションもしくは、Web ブラウザを用いてアクセスを行います。
Web ブラウザは Google Chrome、Mozilla Firefox のみ対応しています。
➢IP アドレスとポートの要件
https://docs.aws.amazon.com/ja_jp/workspaces/latest/adminguide/workspac
es-port-requirements.html➢ネットワークの要件
https://docs.aws.amazon.com/ja_jp/workspaces/latest/adminguide/workspac
es-network-requirements.html➢

接続テストの方法
https://clients.amazonworkspaces.com/Health.html
上記リンクの「Asia Pacific(Tokyo)」欄にエラーが表示されなければ使用可能です。

⚫

MASTER CBT Plus(+) の接続要件➢⚫

http://www.e-coms.co.jp/service/master-cbt/system.html

Microsoft Teams➢

ハードウェア要件
https://docs.microsoft.com/ja-jp/microsoftteams/hardware-requirements-forthe-teams-app➢

接続テストの方法
https://docs.microsoft.com/ja-jp/microsoftteams/use-network-testingcompanion

AWS は Amazon Web Services, Inc. およびその関連会社の登録商標です。
MASTER CBT Plus(+)は株式会社イー・コミュニケーションズの商標または登録商標です。
Microsoft Teams は Microsoft Corporation の商標または登録商標です。

バージョン 20210219_1

9