平成30年度 高度共通 午前I（PM試験） 問14
ファジングに該当するものはどれか。
- ア サーバにFINパケットを送信し，サーバからの応答を観測して，稼働しているサービスを見つけ出す。
- イ サーバのOSやアプリケーションソフトが生成したログやコマンド履歴などを解析して，ファイルサーバに保存されているファイルの改ざんを検知する。
- ウ ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。
- エ ネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやデータを解析して，あらかじめ登録された攻撃パターンと一致した場合は不正アクセスと判断する。
解答・解説を見る
正解：ウ
AI解説
ファジング(fuzzing)は、検査対象のソフトウェアに対して問題を引き起こしそうな多様なデータ(ファズ)を大量に入力し、その挙動(クラッシュや異常応答)を監視して脆弱性を見つけ出すテスト手法である。「異常データの自動入力+挙動監視+脆弱性発見」の組合せで判断する。 ア: FINパケットを送って応答から稼働サービスを調べるのはポートスキャン(FINスキャン)の説明である。 イ: ログやコマンド履歴を解析してファイル改ざんを検知するのは、ログ監査や改ざん検知(整合性チェック)の説明である。 ウ: 正解。多様な異常データを入力して挙動を監視し脆弱性を発見するファジングの説明である。 エ: パケットを収集し攻撃パターンと照合して不正アクセスを判断するのは、シグネチャ型のネットワーク侵入検知システム(NIDS)の説明である。 💡 ファジングは開発・検証段階の脆弱性検査手法であり、IoT機器の出荷前検査でも推奨される。「ファズ=無効・予期しないデータ」という語源を押さえると定義を思い出しやすい。
出典：平成30年度 秋期 プロジェクトマネージャ試験 午前I 問14 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。