脆弱性検査手法の一つであるファジングはどれか。

選択肢

• ア既知の脆弱性に対するシステムの対応状況に注目し，システムに導入されているソフトウェアのバージョン及びパッチの適用状況の検査を行う。
• イソフトウェアの，データの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
• ウソフトウェアの内部構造に注目し，ソースコードの構文をチェックすることによって脆弱性を見つける。
• エベンダーや情報セキュリティ関連機関が提供するセキュリティアドバイザリなどの最新のセキュリティ情報に注目し，ソフトウェアの脆弱性の検査を行う。

正解と解説

正解：イ ソフトウェアの，データの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。

ファジングは、ソフトウェアの入出力に着目し、想定外の値や極端な値を含む大量のデータを機械的に送り込んで、異常終了や予期しない挙動が起きないかを観察する動的な検査手法である。ソースコードを見ずに実行時の反応から未知の脆弱性を発見できる点が特徴となる。

選択肢ごとの解説

• ア既知の脆弱性への対応状況を照合する検査で、ファジングとは別の手法。
• イ正しい。多様なデータを大量に入力して挙動から脆弱性を見つける手法。
• ウソースコードを解析する静的解析の説明。ファジングは実行時に検査する。
• エセキュリティ情報の収集に基づく確認であり、動的な入力検査ではない。

同じ分野の他の問題

• 脆弱性検査手法の一つであるファジングはどれか。2020年度 10月試験 午前II 問25
• ペネトレーションテストに該当するものはどれか。2017年度 春期 午前II 問25
• 外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象としてデジタルフォレンジックスを行うことになった…2025年度 秋期 午前II 問25
• 多要素認証疲労攻撃の例はどれか。2025年度 秋期 午前II 問23
• 公開された実証コード（PoC：Proof of Concept）を使って、インターネットからWebサーバを狙う攻撃がある…2024年度 秋期 午前II 問25