平成30年度 秋期 応用情報技術者試験 午前 問43
テクノロジ／セキュリティ脆弱性検査手法の一つであるファジングはどれか。
出典：平成30年度 秋期 応用情報技術者試験 午前 問43
- ア既知の脆弱性に対するシステムの対応状況に注目し，システムに導入されているソフトウェアのバージョン及びパッチの適用状況の検査を行う。
- イソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
- ウベンダや情報セキュリティ関連機関が提供するセキュリティアドバイザリなどの最新のセキュリティ情報に注目し，ソフトウェアの脆弱性の検査を行う。
- エホワイトボックス検査の一つであり，ソフトウェアの内部構造に注目し，ソースコードの構文をチェックすることによって脆弱性を見つける。
正解：イ
解説
ファジングは，ソフトウェアの入力データに対して問題を引き起こしそうな異常データや境界値データを大量かつ多様なパターンで与え，異常終了やクラッシュなどの挙動を観察することで脆弱性を発見するブラックボックス的な検査手法です。
選択肢ごとの解説
- ア誤り。既知の脆弱性への対応状況やパッチ適用状況を確認するのは脆弱性診断（バージョンチェック）の説明です。
- イ正しい。多様な異常データを大量に入力して挙動を観察し，脆弱性を見つける手法がファジングです。
- ウ誤り。最新のセキュリティ情報に注目して検査するのは，脆弱性情報データベースを用いた診断の説明です。
- エ誤り。ソースコードの構文をチェックするホワイトボックス検査は，静的解析（ソースコード解析）の説明であり，ファジングとは異なります。