平成28年度 秋期 応用情報技術者試験 午前 問45
テクノロジ／セキュリティ脆弱性検査手法の一つであるファジングはどれか。
出典：平成28年度 秋期 応用情報技術者試験 午前 問45
- ア既知の脆弱性に対するシステムの対応状況に注目し，システムに導入されているソフトウェアのバージョン及びパッチの適用状況の検査を行う。
- イソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
- ウソフトウェアの内部構造に注目し，ソースコードの構文を機械的にチェックするホワイトボックス検査を行うことによって脆弱性を見つける。
- エベンダや情報セキュリティ関連機関が提供するセキュリティアドバイザリなどの最新のセキュリティ情報に注目し，ソフトウェアの脆弱性の検査を行う。
正解：イ
解説
ファジングは，ソフトウェアに対して問題を引き起こしそうな多様なデータ（不正な値や境界値など）を大量に入力し，その挙動（クラッシュや異常動作など）を観察することで脆弱性を検出する検査手法です。
選択肢ごとの解説
- ア誤り。既知の脆弱性への対応状況やパッチ適用状況を検査する手法はセキュリティパッチ管理・脆弱性診断（バージョンチェック）の説明です。
- イ正しい。問題を引き起こしそうなデータを大量かつ多様なパターンで入力し，挙動を観察して脆弱性を見つける手法がファジングです。
- ウ誤り。ソースコードを機械的にチェックするホワイトボックス検査は静的解析（ソースコード診断）の説明です。
- エ誤り。最新のセキュリティ情報に基づいて脆弱性を検査する手法は，脆弱性情報のパッチ適用状況確認などの説明であり，ファジングとは異なります。