令和2年度10月 プロジェクトマネージャ 午前Ⅱ 問25

検査手法を一つの軸で整理する

脆弱性を見つける手法は複数あり、名称だけで覚えると混同しやすくなります。それぞれの手法が何を対象として調べるものかという一つの軸に絞り、問われている内容との対応を確かめることが大切です。

この問題で問われていること

問われている内容が手法の名称・説明・適用場面のどれを起点にしているかを把握したうえで、各手法が検査の対象として何を扱うのかという観点だけで整合性を確認していくことが求められています。

視点

手法を区別するときは、特徴を多く並べるよりも一つの軸を決め、各手法をその軸の上に置いてみると整理しやすくなります。ここでは『その手法が何を検査対象として扱うか』を軸にします。まず自分の知識で各手法の対象を言葉にし、それから問われている内容と照らし合わせます。名称の印象や一部の語句の一致だけで判断しないことが重要です。

確認ポイント

• 各手法について、何を検査対象として扱うかを自分の言葉で説明できるか
• 問われている内容のうち、検査対象に関わる部分がどこかを特定できているか
• 語句の一部の一致だけで対応づけず、対象の観点で矛盾がないか確かめたか

正解

イ

解説

ファジングは、ソフトウェアの入出力に注目し、問題を引き起こしそうなデータを大量かつ多様なパターンで入力して、実行時の挙動を観察する脆弱性検査手法です。

理由

ファジングでは、ソフトウェアの内部構造を直接調べるのではなく、外部からさまざまなデータを入力し、異常終了や想定外の挙動などを観察して脆弱性を発見する。したがって、入出力と実行時の挙動を説明している選択肢が該当する。

比較

アは導入ソフトウェアのバージョンやパッチ適用状況の検査、ウはセキュリティアドバイザリなどの最新情報に基づく検査です。エは内部構造やソースコードの構文を確認するホワイトボックス検査であり、いずれも多様な入力を与えて挙動を観察するファジングとは異なる。

選択肢ア

これは不正解だよ。既知の脆弱性に対応できているかを、導入ソフトウェアのバージョンやパッチ適用状況から確認する内容である。これは構成や更新状態を調べる検査であり、多様なデータを入力して実行時の挙動を観察するファジングの説明ではない。

選択肢イ（正解）

これは正解だよ。ソフトウェアのデータ入出力に注目し、問題を引き起こしそうなデータを大量に、さまざまなパターンで入力して挙動を観察する内容である。このように異常な入力への反応から脆弱性を見つける手法がファジングである。

選択肢ウ

これは不正解だよ。ベンダや情報セキュリティ関連機関が提供するセキュリティアドバイザリなど、最新のセキュリティ情報を調べて検査する内容である。情報収集を基に脆弱性を確認する方法であり、データを多様に入力して挙動を観察するファジングとは異なる。

選択肢エ

これは不正解だよ。ソフトウェアの内部構造に注目し、ソースコードの構文をチェックして脆弱性を見つけるホワイトボックス検査の説明である。内部のプログラムを分析する方法であり、外部から多様なデータを入力して実行時の挙動を調べるファジングではない。

学習のポイント

ファジングと、バージョン確認・情報収集・ソースコード検査の違いを整理する。