情報セキュリティマネジメント試験 過去問解説
メモリリークとは？情報セキュリティマネジメント試験 平成29年度秋期 午前 問30を解説
情報セキュリティマネジメント試験 平成29年度秋期 午前 問30は、メモリリークに関する理解を問う問題です。検索から入っても、問題文、選択肢、正解、解説、各選択肢がなぜ違うかをこのページだけで確認できます。
問題文
ファジングの説明はどれか。
この問題の出題ポイント
- メモリリークの定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
選択肢
- ア社内ネットワークへの接続を要求する PC に対して，マルウェア感染の有無を検査し，セキュリティ要件を満たす PC だけに接続を許可する。
- イソースコードの構文を機械的にチェックし，特定のパターンとマッチングさせることによって，ソフトウェアの脆弱性を自動的に検出する。
- ウソースコードを閲読しながら，チェックリストに従いソフトウェアの脆弱性を検出する。
- エ問題を引き起こしそうな多様なデータを自動生成し，ソフトウェアに入力したときのソフトウェアの応答や挙動から脆弱性を検出する。正解
正解
エ: 問題を引き起こしそうな多様なデータを自動生成し，ソフトウェアに入力したときのソフトウェアの応答や挙動から脆弱性を検出する。
解説
ファジング(fuzzing)は、極端な値や想定外の形式を含む多様な検査データ(ファズ)を大量に自動生成してソフトウェアに入力し、その応答や異常な挙動(クラッシュ、メモリリーク等)を観測することで脆弱性を発見するブラックボックス型のテスト手法である。実際に動作させて挙動から脆弱性を検出すると述べた「エ」が正しい。
なぜ他の選択肢が違うのか
ア
接続要求する PC のセキュリティ状態を検査して接続可否を判断するのは検疫ネットワーク(検疫システム)の説明であり、ファジングではない。
イ
ソースコードを実行せずにパターンマッチで脆弱性を検出するのは静的解析(ソースコード解析)の説明である。
ウ
ソースコードを目視しチェックリストで確認するのはコードレビュー(ソースコードレビュー)であり、ファジングではない。
エ（正解）
正しい。問題を起こしそうな多様なデータを自動生成して入力し、応答や挙動の異常から脆弱性を検出するのがファジングである。
解き方の整理
メモリリークの問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。
関連問題
前後の問題
復習を続ける
間違えた問題、苦手タグ、模試履歴を保存して復習する導線を用意しています。広告なしPro、弱点分析、復習リマインダーは段階的に提供予定です。