令和4年度 春期 午前Ⅰ 問題【共通】 問15
テクノロジセキュリティ技術システム開発技術脆弱性管理・セキュリティ監視テスト・レビュー
ファジングに該当するものはどれか。
解答・解説
正解: ウ. ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。
正解は ウ です。
ファジング（Fuzzing）は、ソフトウェアの脆弱性を検出するためのテスト手法の一つです。検査対象のソフトウェアに対して、問題を引き起こしそうな多様なデータ（極端に長い文字列、不正なフォーマットのデータ、ランダムな値など）を意図的に入力し、その際の挙動（クラッシュや予期しない動作など）を監視することで、未知の脆弱性やバグを見つけ出します。
各選択肢の解説
- ア：サーバに FIN パケットを送信し、応答を観測して稼働しているサービスを見つけ出す手法は、ポートスキャン（FINスキャン）などの説明に該当します。
- イ：サーバの OS やアプリケーションが生成したログを解析してファイルの改ざんを検知する仕組みは、ホスト型IDS（HIDS）やログ監視・改ざん検知システムの説明です。
- ウ：正解です。これがファジングの説明です。
- エ：ネットワーク上のパケットを収集・解析し、あらかじめ登録された攻撃パターン（シグネチャ）と一致するものを検出する仕組みは、ネットワーク型IDS（NIDS）などのシグネチャベースの侵入検知システムの説明です。