ペネトレーションテスト／ファジングとは？
ペネトレーションテスト／ファジングとは、ペネトレーションテストは、実際に攻撃者の手口で侵入を試み、システムに侵入可能な脆弱性が存在するかを実証的に検証する手法。ファジングは、極端な値や想定外のデータを大量に自動生成して入力し、異常終了や例外を観測することで未知の脆弱性を発見する手法。
プロジェクトマネージャ試験の過去問では3回出題されています（2017年度〜2023年度）。
ぺねとれーしょんてすと・ふぁじんぐ
ペネトレーションテスト／ファジングの意味
ペネトレーションテストは、実際に攻撃者の手口で侵入を試み、システムに侵入可能な脆弱性が存在するかを実証的に検証する手法。ファジングは、極端な値や想定外のデータを大量に自動生成して入力し、異常終了や例外を観測することで未知の脆弱性を発見する手法。
ペネトレーションテスト／ファジングの具体例
ペネトレーションテストでは、公開サーバから内部ネットワークへ到達できるかを実際に試行する。ファジングでは、境界値や不正な形式のデータをプロトコルに投入してクラッシュを探す。
ペネトレーションテスト／ファジングは試験でどう引っ掛けられる？
既知の脆弱性の有無をツールで一覧化するのは脆弱性診断（スキャン）。侵入の実証まで行うのがペネトレーションテスト。
ペネトレーションテスト／ファジングと関連する用語
ペネトレーションテスト／ファジングが出た過去問
ペネトレーションテストに該当するものはどれか。
正解：ファイアウォールや公開サーバに侵入できないかどうかを確認する。
要点：ペネトレーションテストは実際に侵入を試みて防御を検証する
ペネトレーションテストは、実際の攻撃手法を用いてシステムへの侵入を試み、防御が突破されないかを確認するテストである。ファイアウォールや公開サーバに対して侵入可能な経路がないかを実地で検証する行為がこれにあたる。設計どおりかを確かめる仕様確認や性能測定とは目的が異なる。
出典：平成29年度 春期 プロジェクトマネージャ試験 am2 問25（IPA）脆弱性検査手法の一つであるファジングはどれか。
正解：ソフトウェアの、データの入出力に注目し、問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し、脆弱性を見つける。
要点：ファジングは異常な入力を大量に与え挙動から脆弱性を探す
ファジングは、想定外の値や極端に長い値などを含む大量かつ多様なデータをソフトウェアに入力し、異常終了や予期しない挙動が起きないかを観察して未知の脆弱性を見つける検査手法である。ソースコードを見ずに外部からの入出力に着目するブラックボックス的な手法であり、既知の脆弱性の適用状況を確認する検査とは目的が異なる。
出典：令和2年度 10月 プロジェクトマネージャ試験 am2 問25（IPA）脆弱性検査手法の一つであるファジングはどれか。
正解：ソフトウェアの，データの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
要点：ファジングは大量の異常データ入力で挙動を観察する
ファジングは、ソフトウェアの入出力に着目し、想定外の値や極端な値を含む大量のデータを機械的に送り込んで、異常終了や予期しない挙動が起きないかを観察する動的な検査手法である。ソースコードを見ずに実行時の反応から未知の脆弱性を発見できる点が特徴となる。
出典：令和5年度 秋期 プロジェクトマネージャ試験 am2 問25（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。