応用情報技術者試験 応用情報技術者試験 平成28年度秋期 午前 問45: 脆弱性検査手法の一つであるファジングはどれか。

正解

イ. ソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。

正答率 58.0%（1,167人中 677人が正解）

問題の解説

ファジングは、ソフトウェアに対して、問題を引き起こしそうな不正な形式のデータや想定外のデータを大量に入力し、異常終了や誤動作などの挙動を観察して脆弱性を見つける検査手法である。ソースコードを読まずに外から調べる方法にあたる。他の選択肢は、パッチ適用状況の確認、ソースコードの静的な検査、セキュリティ情報に基づく検査である。

選択肢ごとの解説

• ア導入済みのソフトウェアのバージョンやパッチの適用状況を調べるのは、既知の脆弱性への対応状況の検査である。データを入力して挙動を見るファジングとは違う。
• イ正しい。データの入出力に注目し、問題を起こしそうなデータを大量に多様なパターンで入力して挙動を観察し、脆弱性を見つける。
• ウソースコードの構文を機械的にチェックするのは、静的解析 (ホワイトボックス検査) である。ファジングはプログラムを実行して調べる方法である。
• エセキュリティアドバイザリなどの最新情報に基づいて検査するのは、既知の脆弱性の情報を使った検査である。未知の脆弱性を探すファジングとは異なる。