情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和4年度春期 午前Ⅰ 問15: ファジングに該当するものはどれか。

正解

ウ. ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。

正答率 66.7%（3人中 2人が正解）

問題の解説

ファジングは、想定外・異常値を含む多様なデータをソフトウェアへ大量に入力し、クラッシュや例外などの挙動を監視して未知の脆弱性を洗い出す動的テスト手法。よってウが正解。アはポートスキャン、イは改ざん検知、エはシグネチャ型IDS/IPSの説明。開発段階での品質・セキュリティ確保に有効で、自動化ツールが広く使われる。

選択肢ごとの解説

• アFINパケットで稼働サービスを探るのはポートスキャンの説明であり、ファジングではないため誤り。
• イログ解析でファイル改ざんを検知するのは改ざん検知の説明で、脆弱性発見手法のファジングとは異なる。
• ウ問題を起こしそうな多様な入力を与え挙動を監視して脆弱性を見つけるのがファジング。説明に合致し正しい。
• エ登録済み攻撃パターンと照合して検出するのはシグネチャ型IDS/IPSの説明であり、ファジングではない。