令和5年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問25
テクノロジ／セキュリティ脆弱性検査手法の一つであるファジングはどれか。
出典：令和5年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問25
- ア既知の脆弱性に対するシステムの対応状況に注目し，システムに導入されているソフトウェアのバージョン及びパッチの適用状況の検査を行う。
- イソフトウェアの，データの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
- ウソフトウェアの内部構造に注目し，ソースコードの構文をチェックすることによって脆弱性を見つける。
- エベンダーや情報セキュリティ関連機関が提供するセキュリティアドバイザリなどの最新のセキュリティ情報に注目し，ソフトウェアの脆弱性の検査を行う。
正解：イ
解説
ファジング（fuzzing）は，検査対象のソフトウェアに，極端に長い文字列や想定外の値などの問題を引き起こしそうなデータ（ファズ）を大量かつ多様なパターンで入力し，異常終了や例外などの挙動を観察することで未知の脆弱性を発見する動的なブラックボックス検査手法です。ソースコードがなくても実施でき，バッファオーバフローなどの発見に有効です。
選択肢ごとの解説
- ア誤り。既知の脆弱性への対応状況やバージョン，パッチの適用状況を調べるのは，脆弱性スキャン（バージョンチェック型の診断）の説明です。
- イ正しい。問題を引き起こしそうなデータを大量に多様なパターンで入力し，挙動を観察して脆弱性を見つけるのがファジングです。
- ウ誤り。ソースコードの構文をチェックして脆弱性を見つけるのは，静的解析（ソースコード検査）の説明です。
- エ誤り。セキュリティアドバイザリなどの情報に注目して検査するのは，公開情報に基づく脆弱性情報の収集・確認作業の説明です。