平成26年度 秋期 システムアーキテクト試験 午前Ⅱ 問25
テクノロジ／セキュリティ脆弱性検査手法の一つであるファジングはどれか。
出典：平成26年度 秋期 システムアーキテクト試験 午前Ⅱ 問25
- ア既知の脆弱性に対するシステムの対応状況に注目し，システムに導入されているソフトウェアのバージョン及びパッチの適用状況の検査を行う。
- イソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
- ウソフトウェアの内部構造に注目し，ソースコードの構文を機械的にチェックするホワイトボックス検査を行うことによって脆弱性を見つける。
- エベンダや情報セキュリティ関連機関が提供するセキュリティアドバイザリなどの最新のセキュリティ情報に注目し，ソフトウェアの脆弱性の検査を行う。
正解：イ
解説
ファジングは，検査対象のソフトウェアに対して，問題を引き起こす可能性がある大量かつ多様なパターンのデータ（ファズ）を入力し，そのときの応答や挙動（クラッシュ，異常終了など）を観察することによって，未知の脆弱性を検出する検査手法です。ソースコードを直接解析するのではなく，ソフトウェアの外部からデータを入力してその挙動を観察する，ブラックボックス的なアプローチである点が特徴です。
選択肢ごとの解説
- ア誤り。既知の脆弱性に対する対応状況（バージョンやパッチの適用状況）を確認する手法は，脆弱性スキャン（既知脆弱性検査）の説明であり，ファジングの説明ではありません。
- イ正しい。問題を引き起こしそうなデータを大量かつ多様なパターンで入力し，挙動を観察して脆弱性を見つける手法が，ファジングです。
- ウ誤り。ソースコードの構文を機械的にチェックするホワイトボックス検査は，静的解析（ソースコード解析）の説明であり，ファジングの説明ではありません。
- エ誤り。ベンダや関連機関が提供する最新のセキュリティ情報に注目して検査を行う手法は，脆弱性情報に基づく確認作業であり，ファジング（動的なデータ入力による検査）の説明ではありません。