令和2年度 プロジェクトマネージャ試験 午前II 問25

正解：イ

AI解説

ファジングとは、検査対象のソフトウェアに「ファズ」と呼ばれる問題を引き起こしそうなデータを大量かつ多様なパターンで入力し、クラッシュや異常動作などの挙動を観察して脆弱性を発見する動的な検査手法である。ソースコードを見ずに入出力に着目するブラックボックス型である点が判断基準となる。 ア: 導入ソフトウェアのバージョンやパッチ適用状況を調べるのは、既知の脆弱性に対する脆弱性検査(セキュリティ構成の検査)であり、ファジングではない。 イ: 正しい。データの入出力に注目し、異常なデータを大量・多様に入力して挙動を観察するファジングの説明である。 ウ: セキュリティアドバイザリなど最新のセキュリティ情報に基づいて既知の脆弱性を検査する手法であり、ファジングではない。 エ: ソースコードの構文をチェックするのは静的解析(ホワイトボックス検査)であり、実行時の挙動を観察するファジングとは異なる。 💡 「ファズ=でたらめな大量データ」「入力して挙動を観察=動的・ブラックボックス」と覚える。ソースコード解析やパッチ確認という記述が出たら別手法と判断する。