令和4年度 秋期 午前 問45

✓ これが正解イソフトウェアに対し，問題を起こしそうな様々な種類のデータを入力し，そのソフトウェアの動作状態を監視して脆弱性を発見する。

解説

壊れそうな入力を浴びせて弱点を探します。

設問は、ファジングに該当するものを選ばせています。軸は、書かれている行いが弱点を見つけるための検査なのか、弱点を突く攻撃なのか、それとも突かれないようにする備えなのかという仕分けです。ファジングは検査の側に属します。極端に長い並び、境目の値、制御のための文字、想定していない型といった、作り手が思いつきにくいデータを機械で大量に作り、対象へ次々と食わせます。そして異常終了や応答なしといった振る舞いが出た入力を記録し、弱点のありかを絞り込みます。仕様書を読まなくても、落ちたという事実から手掛かりが得られるところが持ち味です。正解は、ソフトウェアに対し、問題を起こしそうな様々な種類のデータを入力し、そのソフトウェアの動作状態を監視して脆弱性を発見するという記述です。

ほかの選択肢はなぜ違うのか

• アWeb サーバに対し，ログイン，閲覧など…：大量の要求を送り付け、一定時間にさばけた量を計測するという記述です。見ているのはどれだけ処理できるかという能力であって、想定外の振る舞いが起きた入力を突き止めることではありません。
• ウパスワードとしてよく使われる文字列を数多…：よく使われる文字列を並べた一覧を頼りに、他人になりすまして入り込もうと試みる行いです。これは仕掛ける側の手口であり、作った物の弱点を洗い出すために自ら行う検査ではありません。
• エマークアップ言語で書かれた文字列を処理す…：記号として解釈されてしまう文字を、処理の前に別の表現へ置き換えておく手当てです。突かれないように守る側の処置なので、どこが弱いかを見つけ出す行いとは役割が逆を向いています。