情報セキュリティマネジメント 平成29年度 秋期 午前 問30

✓ これが正解エ 問題を引き起こしそうな多様なデータを自動生成し，ソフトウェアに入力したときのソフトウェアの応答や挙動から脆弱性を検出する。

解説

問題を起こしそうなデータを大量に入力し脆弱性を探す手法です。

ファジングは、問題を引き起こしそうなデータを自動で大量に作り出し、それを検査したいソフトウェアに実際に入力して、返ってくる応答や動きの様子から脆弱性を見つける手法です。想定より極端に長い文字列や、範囲から外れた値などを次々に送り込み、異常終了や思いがけない動作が起きないかを観察します。ソースコードを読まずに、動いている状態のソフトウェアの外側から試せるところが特徴で、作り手が想定していなかった入力への弱さをあぶり出せます。だから、多様なデータを自動生成して入力し、その応答や挙動から脆弱性を検出するという記述が当てはまります。

ほかの選択肢の解説

• ア 社内ネットワークへの接続を要求するPCに対して，マルウェア感染の有無を検査し，セキュリティ要件を満たすPCだけに接続を許可する。：社内ネットワークにつなごうとする端末を先に調べ、条件を満たすものだけ接続させるのは、検疫ネットワークと呼ばれる入口での対策です。ソフトウェアの弱点を探す検査ではありません。
• イ ソースコードの構文を機械的にチェックし，特定のパターンとマッチングさせることによって，ソフトウェアの脆弱性を自動的に検出する。：ソースコードを機械的に調べ、危険な書き方の型と一致するかどうかで弱点を洗い出すやり方は、プログラムを動かさずに中身を解析する側の検査に当たります。入力を与えて反応を見る方法とは別ものです。
• ウ ソースコードを閲読しながら，チェックリストに従いソフトウェアの脆弱性を検出する。：人がソースコードを読み進め、チェックリストに沿って弱点を探していくのは、目で確かめるレビューの作業です。データを機械が作って与えるという手順を含んでいません。