平成29年度 秋期 情報セキュリティマネジメント試験 午前 問30
テクノロジ／セキュリティファジングの説明はどれか。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問30
- ア社内ネットワークへの接続を要求するPCに対して，マルウェア感染の有無を検査し，セキュリティ要件を満たすPCだけに接続を許可する。
- イソースコードの構文を機械的にチェックし，特定のパターンとマッチングさせることによって，ソフトウェアの脆弱性を自動的に検出する。
- ウソースコードを閲読しながら，チェックリストに従いソフトウェアの脆弱性を検出する。
- エ問題を引き起こしそうな多様なデータを自動生成し，ソフトウェアに入力したときのソフトウェアの応答や挙動から脆弱性を検出する。
正解：エ
解説
ファジングとは、問題を引き起こしそうな多様なデータ（ファズ）を自動生成してソフトウェアに入力し、そのときの応答や挙動を観察することでソフトウェアの脆弱性を検出する手法です。
選択肢ごとの解説
- ア誤り。PCのマルウェア感染有無を検査し接続を許可する仕組みは、検疫ネットワーク（検疫システム）の説明です。
- イ誤り。ソースコードの構文を機械的にチェックし脆弱性を検出する手法は、静的解析（ソースコード診断ツール）の説明です。
- ウ誤り。チェックリストに従いソースコードを閲読して脆弱性を検出する手法は、コードレビュー（机上診断）の説明です。
- エ正しい。多様なデータを自動生成し入力したときの挙動から脆弱性を検出するのがファジングです。