平成30年度秋期 情報処理安全確保支援士 午前Ⅰ 問15

午前I 問15：ファジングって何をするテスト？

ファジングは、アプリに「ちょっと変な入力」や「ギリギリの値」を何度も投げ込んで、落ちたり変な動きをしたりしないかを探すテストだよ。たとえるなら、自動販売機に普通のお金だけでなく、折れた紙幣や大量の小銭を入れてみて、壊れずに対応できるか確認する感じだね。

この問題で問われていること

ポイントは、ファジングを「修正パッチが当たっているか確認する作業」や「ソースコードを読んで問題を探す静的解析」と混同しないことだよ。実際にいろいろな入力データを流し込んで、不具合や脆弱性につながる動きを見つけるのがファジングだと押さえよう。

Fuzzing

fuzzing feeds many diverse、 potentially problematic inputs and observes behavior

many input patterns\nobserve behavior\nfind vulnerabilities

確認ポイント

• セキュリティアドバイザリ確認ではありません。
• ホワイトボックスの構文チェックとも違う。
• 多様入力と挙動観察が鍵です。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。やっていることは、家の鍵や窓に「古い型で危ないものが残っていないか」「修理済みか」を台帳で確認するような検査だね。バージョンやパッチ適用状況を見る方法であって、問題データを大量に入れて動きを見るファジングの説明ではないよ。

選択肢イ（正解）

これは正解だよ。ファジングは、窓口に普通の書類だけでなく、ぐちゃぐちゃな書類や極端に長い文字列などを大量に出してみて、窓口係が混乱したり落ちたりしないかを見るような方法だよ。ソフトウェアにいろいろな入力を投げて挙動を観察し、脆弱性を見つける説明になっているよ。

選択肢ウ

これは不正解だよ。これは、メーカーや警察のお知らせを見て「この鍵は危ないらしい」「この窓は修理が必要らしい」と最新情報を集めて確認するイメージだね。セキュリティ情報を基に調べる方法で、実際に大量の入力を試すファジングそのものではないよ。

選択肢エ

これは不正解だよ。これは家の外から変な荷物を投げ込むのではなく、設計図や配線図を見て「ここ危なそう」と探すやり方に近いよ。ソースコードの内部構造を確認するホワイトボックス検査の説明で、入力を大量に試して挙動を見るファジングとは違うよ。