情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和元年度秋期 午前Ⅰ 問14: ファジングに該当するものはどれか。

問題本文

ファジングに該当するものはどれか。

選択肢

• ア.サーバに FIN パケットを送信し，サーバからの応答を観測して，稼働しているサービスを見つけ出す。
• イ.サーバの OS やアプリケーションソフトウェアが生成したログやコマンド履歴などを解析して，ファイルサーバに保存されているファイルの改ざんを検知する。
• ウ.ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。
• エ.ネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやペイロードを解析して，あらかじめ登録された攻撃パターンと一致した場合は不正アクセスと判断する。

正解

ウ. ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。

解説

ファジングは、ソフトウェアに想定外・異常を含む多様なデータ(ファズ)を大量に入力し、クラッシュや例外などの挙動を観測して未知の脆弱性を発見する動的テスト手法。よってウが正解。アはポートスキャン、イは改ざん検知、エはシグネチャ型IDSの説明。開発工程に組み込めば未知の入力起因バグを早期に洗い出せ、堅牢性向上に有効である。

選択肢ごとの解説

• ア.FINパケットで稼働サービスを探るのはポートスキャンであり、ファジングではなく誤り。
• イ.ログ解析でファイル改ざんを検知する手法で、入力を与えて脆弱性を探すファジングとは異なり誤り。
• ウ.問題を起こしそうな多様なデータを入力し挙動を監視して脆弱性を見つける点がファジングで正しい。
• エ.登録済み攻撃パターンとの照合はシグネチャ型IDSの動作であり、ファジングではなく誤り。