平成31年度春期 情報処理安全確保支援士 午前Ⅱ 問22

ファジングは“変な入力を大量に投げて壊れ方を見る”テストだよ

ファジングは、アプリやシステムに普通ではない入力や不正っぽい入力を大量に自動で投げ込んで、反応がおかしくならないかを調べる手法だよ。たとえば、自動販売機にありえない硬貨や大量のボタン連打を試して、変な動きをしないか見るイメージだね。限界値分析は境界の値を見るテスト、実験計画法は組合せを効率よく試す考え方、ロードテストは大量アクセスに耐えられるかを見る性能テスト。異常入力への耐性から脆弱性や不具合を探すなら、答えはファジングだよ。

この問題で問われていること

この問題では、テストが見ているポイントを切り分けよう。性能を見たいのか、入力値の境界を見たいのか、組合せを設計したいのか、それとも“変な入力を入れても壊れないか”を見たいのかが大事だよ。異常系・不正系の入力を大量に試して弱点を探すなら、ファジングだと判断しよう。

Recognizing Fuzzing by Test Style

fuzzing sends large amounts of potentially problematic input and watches for crashes、 abnormal responses、 or unexpected behavior

feed many problematic inputs\nobserve crashes or strange behavior\nfind robustness issues\nnot a load or design-of-experiments test

確認ポイント

• 異常入力耐性を見る手法だと押さえる。
• 性能試験と混同しない。
• 大量投入と挙動観察をセットで捉える。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

限界値分析は不正解だよ。これは「18歳以上OK」なら17歳・18歳・19歳あたりを重点的に見るように、条件の境目でミスが起きないかを調べる方法なんだ。泥棒が入れる抜け穴を探すというより、受付ルールの境目を確認する感じだね。

選択肢イ

実験計画法は不正解だよ。これは料理の味を調べるときに、温度・時間・材料の組合せを効率よく試すような考え方で、複数の条件をうまく組み合わせて少ない回数で検証する方法なんだ。変な入力を大量に投げて脆弱性を探すファジングとは別物だよ。

選択肢ウ（正解）

ファジングが正解だよ。これは、合鍵っぽいものや曲がった鍵、変な形の鍵を大量に差し込んで、ドアが壊れたり開いたりしないかを見るようなテストなんだ。ソフトウェアに問題を起こしそうなデータをたくさん入れて、異常動作や脆弱性を見つける方法だよ。

選択肢エ

ロードテストは不正解だよ。これはお店の窓口にお客さんが一気に来てもさばけるかを見るようなテストで、サーバやシステムにたくさん負荷をかけて耐えられるかを確認するものなんだ。今回のように、変なデータを入れて弱点を探す話とは目的が違うよ。