令和元年度秋期 情報処理安全確保支援士 午前Ⅰ 問14

午前I 問14：ファジングって何をするテスト？

ファジングは、アプリやシステムに「変な文字列」「予想外のデータ」「ランダムな入力」を大量に投げ込んでみて、クラッシュしたり変な応答を返したりしないかを探すテストだよ。たとえるなら、自動販売機に普通のお金だけじゃなく、曲がったコインっぽいものや変な順番の操作を試して、壊れないか確認するイメージだね。そこから不具合や脆弱性を見つけるんだ。

この問題で問われていること

この問題では、ファジングをほかのセキュリティ手法と区別できるかがポイントだよ。ポートスキャンは「開いている入口を探す」、ログ解析は「記録を見て異常を探す」、シグネチャ型IDSは「既知の攻撃パターンと照合する」もの。ファジングは「大量の想定外入力を実際に与えて壊れ方を見る」もの、と押さえよう。

Fuzzing

feed many malformed or unexpected inputs and watch for abnormal behavior

diverse inputs\nobserve behavior\nfind vulnerabilities

確認ポイント

• FIN スキャンではありません。
• ログ監査でもない。
• 多様な入力を与える点が核心です。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。FINパケットを送って応答を見るのは、建物のドアを軽くノックして『ここは開いている窓口かな？』と探るようなポートスキャンの一種だよ。稼働中のサービスを探す話であって、ソフトウェアに変なデータを入れて弱点を探すファジングとは違うよ。

選択肢イ

これは不正解だよ。ログやコマンド履歴を調べてファイルの改ざんを見つけるのは、あとから防犯カメラや入退室記録を確認して『誰かが金庫を触ったか』を調べるようなもの。ファジングのように、ソフトウェアへ変な入力を投げて反応を見る方法ではないよ。

選択肢ウ（正解）

これは正解だよ。ファジングは、ソフトウェアにわざと変なデータや想定外のデータをたくさん入れて、壊れ方やおかしな動きを見る方法なんだ。たとえるなら、自動販売機に普通のお金だけでなく曲がった硬貨っぽいものや変な操作を試して、故障や抜け道がないか確認する感じだよ。

選択肢エ

これは不正解だよ。ネットワークのパケットを見張って、登録済みの攻撃パターンと一致したら不正アクセスと判断するのは、警備員が通行人の動きを監視して『泥棒の典型パターンだ』と見つける感じだよ。これはIDSなどの侵入検知の説明で、ファジングではないよ。