応用情報技術者試験 応用情報技術者試験 令和4年度秋期 午前 問45: ファジングに該当するものはどれか。

正解

イ. ソフトウェアに対し，問題を起こしそうな様々な種類のデータを入力し，そのソフトウェアの動作状態を監視して脆弱性を発見する。

正答率 57.2%（1,314人中 752人が正解）

問題の解説

脆弱性検査手法である“ファジング”の内容を問う問題。ファジングとは、検査対象のソフトウェアに、極端な値や想定外の形式など問題を起こしそうな多様なデータ（ファズ）を大量に与え、異常終了などの動作を監視することで未知の脆弱性を発見する手法である。この説明に一致するイが正解となる。

選択肢ごとの解説

• ア大量のリクエストで処理量を計測しDDoS耐性を見るのは負荷試験の説明であり、想定外データで脆弱性を探すファジングとは異なるため誤り。
• イ問題を起こしそうな様々なデータを入力して動作を監視し脆弱性を見つける、というファジングの定義そのものなので正しい。
• ウよく使われるパスワード文字列のリストでログインを試すのは辞書攻撃（パスワードリスト攻撃）であり、ファジングではないため誤り。
• エ特別な意味をもつ文字を別文字列へ置換するのはエスケープ処理（サニタイジング）であり、攻撃や検査ではなく防御策なので誤り。