令和2年度 10月 午前Ⅱ 問25

✓ これが正解イソフトウェアの，データの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。

解説

問題を起こしそうなデータを大量に入力して脆弱性を探すのがファジングです。

ファジングは、ソフトウェアに問題を引き起こしそうなデータを大量に、多様なパターンで入力し、そのときの挙動を観察して脆弱性を見つける検査手法です。見分ける軸は、何に注目して脆弱性を探すかです。ファジングは、データの入出力に注目し、想定していない長さや形式のデータを次々に与えます。異常な終了や応答の乱れが起きた箇所を手掛かりに、まだ知られていない脆弱性も見つけられる点が特徴です。ソースコードを読まずに外から試す形で行えるため、内部の構造が分からないソフトウェアにも使えます。異常なデータを大量に浴びせて反応を見る手法と覚えておくと、ほかの脆弱性検査の手法と区別できます。

ほかの選択肢はなぜ違うのか

• ア既知の脆弱性に対するシステムの対応状況に…：導入されているソフトウェアのバージョンやパッチの適用状況を調べるのは、既知の脆弱性への対応が済んでいるかを確かめる検査です。データを大量に入力して挙動を観察する手法ではありません。
• ウベンダや情報セキュリティ関連機関が提供す…：ベンダや情報セキュリティ関連機関が出すセキュリティアドバイザリなどの最新情報を基に検査するのは、公表された情報を手掛かりにする方法です。入力データを工夫して脆弱性を探す手法とは違います。
• エホワイトボックス検査の一つであり，ソフト…：ソースコードの構文をチェックして脆弱性を見つけるのは、ソースコードの静的な検査です。ファジングはプログラムを動かしてデータを入力する動的な検査であり、内部構造を読む手法ではありません。