令和4年度秋期 応用情報技術者試験 午前 問45
ファジングに該当するものはどれか。
- ア Web サーバに対し，ログイン，閲覧などのリクエストを大量に送り付け，一定時間内の処理量を計測して，DDoS 攻撃に対する耐性を検査する。
- イ ソフトウェアに対し，問題を起こしそうな様々な種類のデータを入力し，そのソフトウェアの動作状態を監視して脆弱性を発見する。
- ウ パスワードとしてよく使われる文字列を数多く列挙したリストを使って，不正にログインを試行する。
- エ マークアップ言語で書かれた文字列を処理する前に，その言語にとって特別な意味をもつ文字や記号を別の文字列に置換して，脆弱性が悪用されるのを防止する。
解答・解説を見る
正解：イ
AI解説
ファジングとは、ソフトウェアに対して問題を起こしそうな不正・異常・予期しないデータ(ファズ)を大量に入力し、その際のソフトウェアの動作(クラッシュや異常応答など)を監視することで、未知の脆弱性を発見するテスト手法である。 ア: 大量のリクエストを送りDDoS攻撃への耐性を検査する手法は負荷テスト(耐性テスト)の説明であり、ファジングとは異なる。 イ: 問題を起こしそうな様々なデータをソフトウェアに入力し、動作状態を監視して脆弱性を発見する手法がファジングそのものであり、これが正解である。 ウ: よく使われるパスワード文字列のリストを用いて不正ログインを試みる手口は辞書攻撃の説明であり、ファジングとは異なる。 エ: 特別な意味を持つ文字を別の文字列に置換して脆弱性の悪用を防止する手法はエスケープ処理(サニタイジング)の説明であり、ファジングとは異なる防御側の対策である。 💡 ファジングは「大量のランダム・異常データを送り込んで壊れ方を観察する」攻めのテスト手法である点を、辞書攻撃や負荷テストと区別して覚えるとよい。
出典：令和4年度 秋期 応用情報技術者試験 午前 問45 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。