平成30年度春期 応用情報技術者試験 午前 問42
ファジングに該当するものはどれか。
- ア サーバにFINパケットを送信し，サーバからの応答を観測して，稼働しているサービスを見つけ出す。
- イ サーバのOSやアプリケーションソフトが生成したログやコマンド履歴などを解析して，ファイルサーバに保存されているファイルの改ざんを検知する。
- ウ ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。
- エ ネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやデータを解析して，あらかじめ登録された攻撃パターンと一致した場合は不正アクセスと判断する。
解答・解説を見る
正解：ウ
AI解説
ファジング(fuzzing)は，検査対象のソフトウェアに「ファズ(fuzz)」と呼ばれる問題を引き起こしそうな多様なデータ(極端に長い文字列，異常な形式のデータなど)を大量に入力し，その挙動(クラッシュや異常動作)を監視して脆弱性を発見するテスト手法である。「多様な異常データを入力して挙動を監視」が判断基準となる。 ア: 誤り。FINパケットを送って応答から稼働サービスを見つけるのはポートスキャン(FINスキャン)の説明である。 イ: 誤り。ログやコマンド履歴を解析してファイルの改ざんを検知するのはログ分析・改ざん検知の説明である。 ウ: 正解。問題を起こしそうな多様なデータを入力し挙動を監視して脆弱性を見つけるのがファジングである。 エ: 誤り。パケットを収集し攻撃パターンと照合して不正アクセスを判断するのはシグネチャ型IDS(侵入検知システム)の説明である。 💡 ファジングは開発段階の脆弱性検査(特にIoT機器や組込みソフトの検査)で活用され，IPAも普及を推進している。「ファズ=でたらめなデータ」を送り込む能動的なテストであり，通信を受動的に監視するIDSとは方向が逆と覚える。
出典：平成30年度 春期 応用情報技術者試験 午前 問42 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。