応用情報技術者試験 応用情報技術者試験 令和元年度秋期 午前 問44: ファジングに該当するものはどれか。

正解

ウ. ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。

正答率 77.5%（618人中 479人が正解）

問題の解説

ファジング（fuzzing）とは，極端に長い文字列や想定外の値など“問題を引き起こしそうな多様なデータ（ファズ）”をソフトウェアに大量に入力し，異常終了や予期しない挙動が起きないかを監視して脆弱性を発見する検査手法である。したがって，問題を引き起こしそうな多様なデータを入力し挙動を監視すると述べたウが正解である。

選択肢ごとの解説

• アFINパケットへの応答から稼働サービスを調べるのはポートスキャン（FINスキャン）の説明であり，ファジングではない。
• イログやコマンド履歴を解析して改ざんを検知するのはファイル改ざん検知（ホスト監視）の説明であり，入力を与えて脆弱性を探すファジングとは異なる。
• ウ正しい。多様な異常データを入力して挙動を観測し脆弱性を見つけ出すのがファジングである。
• エパケットを収集し登録済みの攻撃パターンと照合して不正と判断するのはシグネチャ型IDSの説明であり，ファジングではない。