応用情報技術者試験 応用情報技術者試験 平成28年度秋期 午前 問45: 脆弱性検査手法の一つであるファジングはどれか。

正解

イ. ソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。

正答率 58.0%（1,166人中 676人が正解）

問題の解説

ファジング(fuzzing)は、想定外の値や極端な値、不正な形式のデータ(ファズ)を大量かつ多様なパターンで入力し、ソフトウェアが異常終了するなどの挙動を観察して未知の脆弱性を見つける検査手法である。データの入出力に注目し問題を起こしそうなデータを大量に入力して挙動を見ると述べた選択肢イが、この定義に一致する。

選択肢ごとの解説

• アソフトウェアのバージョンやパッチ適用状況を調べるのは既知の脆弱性に対する対応状況の確認であり、未知の不具合を入力データで炙り出すファジングとは異なる。
• イ正しい。問題を引き起こしそうなデータを多様なパターンで大量に入力し、その挙動の観察から脆弱性を発見する手法がファジングである。
• ウソースコードの構文を機械的に検査するのは静的解析(ホワイトボックス検査)であり、データを入力して動作を観察する動的手法であるファジングとは異なる。
• エセキュリティアドバイザリなど外部の最新情報を基に検査するのは情報収集型の確認であり、自らデータを入力して挙動を試すファジングとは異なる。