平成30年度春期 情報処理安全確保支援士 午前Ⅰ 問14

午前I 問14

これは、怪しいパターンを照合したりログをじっくり読む話ではなく、変な入力を大量に投げ込んで、ソフトがクラッシュしたりおかしな動きをしないか探す手法だよ。たとえるなら、ドアや窓を普通に確認するのではなく、いろいろな押し方や引き方を試して、壊れやすい場所がないか調べる感じだね。

この問題で問われていること

ポートスキャンは開いている入口探し、IDSは怪しい通信の見張り、改ざん検知はファイルなどが勝手に変えられていないかの確認だよ。この問題では、それらと違って『異常な入力をたくさん与えて不具合や脆弱性を見つける』ものを選べるかがポイントだよ。

Fuzzing

fuzzing feeds diverse problematic inputs and observes software behavior to find vulnerabilities

many test inputs\nobserve behavior\nfind vulnerabilities

確認ポイント

• FIN パケット送信はスキャンです。
• ログ解析による改ざん検知でもない。
• 多様入力と挙動観察を押さえる。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。FINパケットを送って反応を見るのは、家のドアを少しだけ押して「ここ開いてるかな？」と調べるようなポートスキャンの説明だよ。サービスが動いているかを探す方法であって、問題データを入れて弱点を探すファジングの説明ではないよ。

選択肢イ

これは不正解だよ。サーバのログや操作履歴を見るのは、防犯カメラや入退室記録を確認して「誰かファイルをいじったかな？」と調べるイメージだよ。改ざん検知やホスト型の監視に近い話で、ソフトに変なデータを入れて弱点を探す方法ではないよ。

選択肢ウ（正解）

これは正解だよ。ソフトに普通の値だけでなく、長すぎる文字列や変な記号などをどんどん入れて反応を見るのは、窓口にいろいろな変わった申請書を出して「処理が止まらないかな？」と試すようなものだよ。こうして脆弱性を見つける手法をファジングというよ。

選択肢エ

これは不正解だよ。ネットワークを流れる通信を見張って、泥棒の手口リストと似ていたら警報を鳴らすような仕組みで、侵入検知システム、特にネットワーク型IDSの説明だよ。ソフトにいろいろな入力を試して壊れ方を見る話ではないよ。