令和4年度 秋期 応用情報技術者試験 午前 問45
テクノロジ／セキュリティファジングに該当するものはどれか。
出典：令和4年度 秋期 応用情報技術者試験 午前 問45
- アWeb サーバに対し，ログイン，閲覧などのリクエストを大量に送り付け，一定時間内の処理量を計測して，DDoS 攻撃に対する耐性を検査する。
- イソフトウェアに対し，問題を起こしそうな様々な種類のデータを入力し，そのソフトウェアの動作状態を監視して脆弱性を発見する。
- ウパスワードとしてよく使われる文字列を数多く列挙したリストを使って，不正にログインを試行する。
- エマークアップ言語で書かれた文字列を処理する前に，その言語にとって特別な意味をもつ文字や記号を別の文字列に置換して，脆弱性が悪用されるのを防止する。
正解：イ
解説
ファジングは，検査対象のソフトウェアに「ファズ」と呼ばれる問題を起こしそうな多様なデータを大量に入力し，例外や異常終了などの動作状態を監視して脆弱性を発見するテスト手法です。
選択肢ごとの解説
- ア誤り。大量のリクエストを送って処理量を計測するのは負荷テスト（DDoS 耐性検査）の説明です。
- イ正しい。問題を起こしそうな様々なデータを入力して動作を監視し，脆弱性を発見するのがファジングです。
- ウ誤り。よく使われるパスワードのリストでログインを試行するのはパスワードリスト攻撃・辞書攻撃の説明です。
- エ誤り。特別な意味をもつ文字を置換して脆弱性の悪用を防ぐのはエスケープ処理（サニタイジング）の説明です。