平成26年度 秋期 午前Ⅱ 問25

✓ これが正解イソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。

解説

問題を起こしそうなデータを大量に入力し、挙動から脆弱性を探します。

ファジングは、ソフトウェアに、問題を引き起こしそうな異常なデータや予期しないデータを、大量に、しかも多様なパターンで入力し、異常終了や想定外の動作が起きないかを観察して脆弱性を見つける検査手法です。入力するデータはツールで自動的に生成して送り込むのが一般的です。ソースコードを見なくても実施でき、開発者が想定していなかった入力に対する弱点を見つけやすい点が特徴です。見分ける軸は、検査が入力と挙動の観察によるものかどうかです。大量の想定外の入力で揺さぶる、と覚えておくと選べます。

ほかの選択肢はなぜ違うのか

• ア既知の脆弱性に対するシステムの対応状況に…：導入されているソフトウェアのバージョンやパッチの適用状況を調べるのは、既知の脆弱性への対応状況を確認する検査です。異常なデータを入力して未知の弱点を探すファジングとは、手法が異なります。
• ウソフトウェアの内部構造に注目し，ソースコ…：ソースコードの構文を機械的にチェックするのは、プログラムを動かさずに内部を調べるホワイトボックス型の検査です。プログラムを実際に動かし、入力に対する挙動を観察するファジングとは逆の立場です。
• エベンダや情報セキュリティ関連機関が提供す…：ベンダや関連機関が出すセキュリティアドバイザリを基に検査するのは、公表された既知の情報を当てはめる方法です。データを大量に入力して挙動から弱点を探るファジングとは、手がかりの取り方が違います。