応用情報技術者試験 応用情報技術者試験 平成30年度秋期 午前 問43: 脆弱性検査手法の一つであるファジングはどれか。

正解

イ. ソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。

正答率 63.6%（707人中 450人が正解）

問題の解説

ファジングは、ソフトウェアに、問題を起こしそうな不正な形式のデータや想定外のデータを大量かつ多様に入力し、異常終了などの挙動を観察して脆弱性を見つける検査手法である。ソースコードを読まなくても実施でき、未知の脆弱性の発見にも向く。

選択肢ごとの解説

• ア導入済みのソフトウェアのバージョンやパッチの適用状況を確認するのは、既知の脆弱性を対象とした検査であり、ファジングではない。
• イ正しい。データの入出力に注目し、問題を起こしそうな入力を大量に与えて挙動を観察する手法がファジングである。
• ウセキュリティアドバイザリなどの最新情報に基づく検査は、既知の脆弱性情報を手掛かりにする方法で、入力を与えて挙動を見るファジングとは異なる。
• エソースコードの構文をチェックして脆弱性を見つけるのは、ホワイトボックス検査（静的な解析）である。ファジングはデータを与えて実行するブラックボックス型の検査である。