令和5年度 プロジェクトマネージャ試験 午前II 問25

正解：イ

AI解説

ファジングとは、検査対象のソフトウェアに「ファズ」と呼ばれる問題を引き起こしそうなデータを大量かつ多様なパターンで入力し、クラッシュや異常応答などの挙動を観察して脆弱性を発見する動的検査手法である。ソースコードを見ずに入出力に着目するブラックボックス型である点が判断基準となる。 ア: ソフトウェアのバージョンやパッチ適用状況を調べるのは、既知の脆弱性への対応状況の検査(脆弱性スキャン・構成検査)であり、ファジングではない。 イ: 正しい。データの入出力に注目し、問題を起こしそうなデータを大量・多様に入力して挙動を観察し脆弱性を見つけるファジングの説明である。 ウ: ソースコードの構文をチェックして脆弱性を見つけるのは、静的解析(ホワイトボックス検査)であり、実行時の挙動を観察するファジングとは異なる。 エ: セキュリティアドバイザリなど最新のセキュリティ情報に基づいて検査するのは、既知の脆弱性情報を用いた検査であり、ファジングではない。 💡 ファジングは未知の脆弱性の発見に有効で、IoT機器や組込みソフトの検査でも活用される。「大量・多様な入力+挙動観察」がキーワードで、静的解析やパッチ確認の記述はすべて別手法である。