令和5年度 秋期 午前Ⅱ 問25

✓ これが正解イソフトウェアの，データの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。

解説

問題を起こしそうなデータを大量に入力し、挙動から脆弱性を探す手法です。

ファジングは、検査対象のソフトウェアに、異常な値や想定外の形式を含むデータを大量に、様々なパターンで入力し、異常終了や想定外の応答といった挙動を観察して脆弱性を見つける検査手法です。ソースコードを読まなくても、入力に対する振る舞いだけで検査できる点が特徴で、入力の扱いに関わる弱点を見つけるのに向いています。見分ける軸は、検査が何に注目しているかです。データの入出力に注目して大量のデータを送り込むのがファジングで、ソースコード、導入済みのバージョン、外部のセキュリティ情報に注目するのは別の手法です。大量の想定外の入力と挙動の観察、の二つをそろえて覚えておくと選べます。

ほかの選択肢はなぜ違うのか

• ア既知の脆弱性に対するシステムの対応状況に…：導入済みのソフトウェアのバージョンやパッチの適用状況を調べるのは、既知の脆弱性への対応が済んでいるかを確かめる検査です。データを入力して挙動を観察するものではないので、ファジングではありません。
• ウソフトウェアの内部構造に注目し，ソースコ…：ソースコードの構文を調べて脆弱性を見つけるのは、プログラムを動かさずに行う静的解析の手法です。ファジングはプログラムを実際に動かし、入力に対する挙動を観察する点で異なります。
• エベンダーや情報セキュリティ関連機関が提供…：ベンダーや関連機関が出すセキュリティアドバイザリなどをもとに脆弱性を調べるのは、公開された情報を頼りにする検査です。未知の弱点を探るためにデータを大量に入力するファジングとは手法が違います。