令和4年度 春期 応用情報技術者試験 午前 問45
テクノロジ／セキュリティファジングに該当するものはどれか。
出典：令和4年度 春期 応用情報技術者試験 午前 問45
- アサーバに FIN パケットを送信し，サーバからの応答を観測して，稼働しているサービスを見つけ出す。
- イサーバの OS やアプリケーションソフトウェアが生成したログやコマンド履歴などを解析して，ファイルサーバに保存されているファイルの改ざんを検知する。
- ウソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。
- エネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやペイロードを解析して，あらかじめ登録された攻撃パターンと一致するものを検出する。
正解：ウ
解説
ファジングは，検査対象のソフトウェアに問題を引き起こしそうな多様なデータ（ファズ）を大量に入力し，その挙動を監視して脆弱性を見つけ出すテスト手法です。開発段階での脆弱性検出に有効です。
選択肢ごとの解説
- ア誤り。FIN パケットへの応答から稼働サービスを見つけるのはポートスキャン（FIN スキャン）の説明です。
- イ誤り。ログやコマンド履歴の解析による改ざん検知はログ監査や改ざん検知システムの説明です。
- ウ正しい。問題を引き起こしそうな多様なデータを入力して挙動を監視し，脆弱性を見つけるのがファジングです。
- エ誤り。パケットを解析して攻撃パターンと照合するのは NIDS（ネットワーク型侵入検知システム）の説明です。