ペネトレーションテスト／ファジングとは？

ペネトレーションテスト／ファジングの意味

ペネトレーションテストは、実際に攻撃者の手口で侵入を試み、システムに侵入可能な脆弱性が存在するかを実証的に検証する手法。ファジングは、極端な値や想定外のデータを大量に自動生成して入力し、異常終了や例外を観測することで未知の脆弱性を発見する手法。

ペネトレーションテスト／ファジングの具体例

ペネトレーションテストでは、公開サーバから内部ネットワークへ到達できるかを実際に試行する。ファジングでは、境界値や不正な形式のデータをプロトコルに投入してクラッシュを探す。

ペネトレーションテスト／ファジングは試験でどう引っ掛けられる？

既知の脆弱性の有無をツールで一覧化するのは脆弱性診断（スキャン）。侵入の実証まで行うのがペネトレーションテスト。

ペネトレーションテスト／ファジングと関連する用語

• CVSS

ペネトレーションテスト／ファジングが出た過去問

• コンピュータやネットワークのセキュリティ上の脆弱性を発見するために、システムを実際に攻撃して侵入を試みる手法はどれか。

  正解：ペネトレーションテスト

  要点：ペネトレーションテストは実際に侵入を試みて脆弱性を確かめる

  ペネトレーションテストは、実際に攻撃者と同じ手口でシステムへの侵入を試み、防御が突破できるかを確かめる検査手法である。机上のチェックでは見つからない設定不備や脆弱性の組合せを実証的に洗い出せる。実施にあたっては対象システムの所有者から事前に承認を得る必要がある。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問45（IPA）

• ファジングで得られるセキュリティ上の効果はどれか。

  正解：ソフトウェアの脆弱性を検出できる。

  要点：ファジングは想定外データの大量入力で脆弱性を検出する

  ファジングは、極端に長い文字列や想定外の値など多様なデータをソフトウェアへ大量に入力し、異常終了や例外の発生を観測することで欠陥を見つける手法である。設計書やソースコードが無くても実施でき、開発者が想定しなかった入力に起因する脆弱性の発見に効果がある。ただし発見までが役割で、修正は行わない。

  出典：令和1年度 春期 基本情報技術者試験 午前 問45（IPA）

• ファジングに該当するものはどれか。

  正解：ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。

  要点：ファジングは想定外データを大量入力して脆弱性を探す

  ファジングは、極端に長い文字列や境界を超える数値など、問題を起こしそうな多様なデータをソフトウェアへ大量に入力し、異常終了や予期しない挙動が起きないかを観測して脆弱性を探す手法である。ソースコードが手元になくても実施でき、開発者が想定しなかった入力に起因する欠陥の発見に有効である。

  出典：令和4年度 s 基本情報技術者試験 kamokuA 問34（IPA）

• ペネトレーションテストに該当するものはどれか。

  正解：公開Webサーバや組織のネットワークの脆弱性を探索し、サーバに実際に侵入できるかどうかを確認する。

  要点：ペネトレーションテストは実際に侵入できるかを試す

  ペネトレーションテストは、実際に攻撃者と同じ手口で対象システムへの侵入を試み、防御を突破できるかを確認する検査である。脆弱性の有無を調べるだけでなく、実際に侵入可能かという観点まで踏み込む点が特徴になる。ソースコード検査や改ざん検知、通信の振る舞い監視とは目的が異なる。

  出典：令和6年度 （公開問題） 基本情報技術者試験 kamokuA 問9（IPA）