平成30年度春期 システム監査技術者 午前Ⅰ 問14

安全性検証手法を見分ける視点

手法名や印象だけで判断せず、各選択肢が検証のどの段階で、何を対象にし、どのような根拠を得ようとしているかを整理し、説明全体の対応関係と目的のつながりを比べます。

この問題で問われていること

確認する観点を「検証の対象と、そこから得られる根拠の関係」に一つに絞り、実施時期や入力、評価結果が何を示す記述なのかを、問題文の流れに沿って丁寧に読み取ってください。

視点

検証対象と、得られる根拠の対応関係を整理し、用語の印象ではなく説明の目的に注目する。

確認ポイント

• 検証対象は何か
• 得られる根拠は何を支えるか
• 説明全体の対応関係は自然か

正解

ウ

解説

ファジングは、ソフトウェアに多様なデータや想定外の入力を与え、その処理中の異常終了や予期しない挙動を監視して、潜在的な脆弱性を発見するテスト手法です。

理由

ファジングでは、ソフトウェアに問題を引き起こす可能性がある多様なデータを入力し、クラッシュや異常な応答などの挙動を監視します。これにより、通常のテストでは見つけにくい脆弱性を発見します。

比較

FINパケットによるサービス探索はポートスキャンなどに当たり、ログ解析による改ざん検知や、攻撃パターンとの照合による不正アクセス検知も、入力を変化させて脆弱性を探すファジングとは異なります。

選択肢ア

これは不正解だよ。FINパケットを送信して応答を観測し、稼働しているサービスを調べる行為は、ネットワーク上のサービス探索やポートスキャンに関する説明です。ソフトウェアへ多様なデータを入力して異常な挙動や脆弱性を探すファジングの特徴には該当しません。

選択肢イ

これは不正解だよ。OSやアプリケーションのログ、コマンド履歴などを解析してファイルの改ざんを検知するのは、記録情報を用いた監査や完全性確認の説明です。ソフトウェアに多様な入力を与え、挙動を監視するファジングとは調査対象と目的が異なります。

選択肢ウ（正解）

これは正解だよ。ソフトウェアに問題を引き起こしそうな多様なデータを入力し、その挙動を監視して脆弱性を見つけ出す方法はファジングです。想定外の入力による異常終了や不正な処理などを手掛かりに、潜在的な問題を発見します。

選択肢エ

これは不正解だよ。ネットワーク上のパケットを収集し、ヘッダやデータを登録済みの攻撃パターンと照合するのは、侵入検知や不正アクセス検知の説明です。入力を意図的に変化させてソフトウェアの脆弱性を調べるファジングとは異なります。

学習のポイント

ファジングは入力生成と挙動監視による脆弱性検査として整理しましょう。