令和2年度 10月 プロジェクトマネージャ試験 午前Ⅱ 問25
テクノロジ／セキュリティ脆弱性検査手法の一つであるファジングはどれか。
出典：令和2年度 10月 プロジェクトマネージャ試験 午前Ⅱ 問25
- ア既知の脆弱性に対するシステムの対応状況に注目し，システムに導入されているソフトウェアのバージョン及びパッチの適用状況の検査を行う。
- イソフトウェアの，データの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
- ウベンダや情報セキュリティ関連機関が提供するセキュリティアドバイザリなどの最新のセキュリティ情報に注目し，ソフトウェアの脆弱性の検査を行う。
- エホワイトボックス検査の一つであり，ソフトウェアの内部構造に注目し，ソースコードの構文をチェックすることによって脆弱性を見つける。
正解：イ
解説
ファジングは，ソフトウェアのデータの入出力に注目し，問題を引き起こしそうな不正なデータや異常な値を大量かつ多様なパターンで入力（ファズデータの投入）し，その挙動（クラッシュや異常終了など）を観察することで脆弱性を発見するテスト手法です。既知の脆弱性情報のみに依存する検査や，ソースコードを直接解析するホワイトボックス検査とは異なるアプローチです。
選択肢ごとの解説
- ア誤り。既知の脆弱性に対するソフトウェアのバージョンやパッチの適用状況を検査するのは，脆弱性スキャナなどによるパッチ管理状況の検査であり，ファジングの説明ではありません。
- イ正しい。データの入出力に注目し，問題を引き起こしそうなデータを大量かつ多様なパターンで入力して挙動を観察し，脆弱性を見つけるのが，ファジングの説明です。
- ウ誤り。ベンダやセキュリティ関連機関が提供する最新のセキュリティ情報に注目して検査を行うのは，脆弱性情報データベースを用いた検査であり，ファジングの説明ではありません。
- エ誤り。ソースコードの構文をチェックして脆弱性を見つけるホワイトボックス検査は，ソースコード静的解析の説明であり，データの入出力に着目するファジング（ブラックボックス的手法）とは異なります。