令和5年度秋期 プロジェクトマネージャ 午前Ⅱ 問25

検査手法を観点で見分ける

脆弱性検査の手法名を暗記で照合するのではなく、それぞれの手法が何を手がかりにして弱点を見つけようとしているのかという一つの観点に絞って整理し、提示された内容と対応づけて判断する練習をしましょう。

この問題で問われていること

問われているのは手法ごとの違いを区別できるかどうかです。各手法について、検査の際に何を材料として扱い、何を観察して弱点の有無を判断するのかを自分の言葉で説明できるかを確かめながら検討してください。

視点

検査手法を区別するときは、名称の印象ではなく「検査の手がかりとなる材料」に注目すると整理しやすくなります。脆弱性を探すという目的が同じでも、手法によって扱う材料や観察する対象が異なり、その違いが特徴の差として表れます。提示された内容がどの材料を前提にしているかを考えると、手法との対応を落ち着いて検討できます。

確認ポイント

• 各手法が検査の手がかりとして何を材料に扱うのかを、自分の言葉で説明できるか確認する
• 提示された内容が、どのような材料を前提としているかを読み取れているか確認する
• 手法名の響きや印象だけで判断せず、材料と観察対象の対応を根拠にできているか確認する

正解

イ

解説

ファジングは、ソフトウェアの入出力に着目し、問題を引き起こしそうなデータを大量かつ多様なパターンで入力して挙動を観察し、脆弱性を発見する検査手法です。

理由

ファジングでは、ソフトウェアのデータ入出力に注目する。問題を引き起こしそうなデータを大量に、さまざまなパターンで入力し、その結果として異常な挙動や脆弱性が現れないかを観察する。

比較

アは導入済みソフトウェアのバージョンやパッチ適用状況、ウはソースコードの構文、エは最新のセキュリティ情報に着目する検査であり、入力データを変化させて挙動を観察するファジングとは異なる。

選択肢ア

これは不正解だよ。既知の脆弱性に対する対応状況を調べ、導入ソフトウェアのバージョンやパッチ適用状況を検査する内容である。入力データを大量かつ多様なパターンで与え、実行時の挙動を観察するファジングの説明ではない。

選択肢イ（正解）

これは正解だよ。ソフトウェアのデータ入出力に注目し、問題を引き起こしそうなデータを大量に多様なパターンで入力する。そのときの挙動を観察して脆弱性を見つける方法がファジングである。

選択肢ウ

これは不正解だよ。ソフトウェアの内部構造に注目し、ソースコードの構文をチェックして脆弱性を見つける説明である。実行時に多様なデータを入力して挙動を観察するファジングとは、検査の対象と方法が異なる。

選択肢エ

これは不正解だよ。ベンダーや情報セキュリティ関連機関が提供する最新のセキュリティ情報に注目し、ソフトウェアの脆弱性を検査する内容である。多様な入力に対する挙動を観察するファジングの説明ではない。

学習のポイント

検査手法は、何を調べ、どのようなデータを使い、何を観察するかで識別する。