令和4年度春期 応用情報技術者試験 午前 問45
ファジングに該当するものはどれか。
- ア サーバに FIN パケットを送信し，サーバからの応答を観測して，稼働しているサービスを見つけ出す。
- イ サーバの OS やアプリケーションソフトウェアが生成したログやコマンド履歴などを解析して，ファイルサーバに保存されているファイルの改ざんを検知する。
- ウ ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。
- エ ネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやペイロードを解析して，あらかじめ登録された攻撃パターンと一致するものを検出する。
解答・解説を見る
正解：ウ
AI解説
ファジングとは、ソフトウェアに対して問題を引き起こしそうな多様な(想定外・異常な)データを大量に入力し、その挙動(クラッシュや異常応答など)を観察することで、未知の脆弱性やバグを発見するテスト手法である。 ア: FINパケットを送りサーバの応答を観測して稼働サービスを見つけ出す手法はポートスキャン(FINスキャンなど)の説明であり、ファジングとは異なる。 イ: ログやコマンド履歴を解析してファイル改ざんを検知する手法はログ解析による改ざん検知の説明であり、ファジングとは異なる手法である。 ウ: 正しい。問題を引き起こしそうな多様なデータをソフトウェアに入力し挙動を監視して脆弱性を見つけ出す手法がファジングの定義である。 エ: パケットを収集しあらかじめ登録された攻撃パターンと照合する手法はシグネチャ型の侵入検知(IDS)の説明であり、ファジングとは異なる。 💡 ファジングは「多様な異常データを入力→挙動観察→脆弱性発見」というブラックボックス的なテスト手法である点を、ポートスキャンやIDSのようなパターン照合型の手法と区別して覚える。
出典：令和4年度 春期 応用情報技術者試験 午前 問45 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。