令和元年度秋期 ITサービスマネージャ 午前Ⅰ 問14

ソフトウェアテストを整理する視点

テスト手法を区別するときは、名称や印象だけで判断せず、何を確かめるための観点として説明されているかを問題文と照らして整理しましょう。対象・目的・実施のタイミングなど、設問内で示された軸を一つずつ確認すると、判断の根拠を組み立てられます。

この問題で問われていること

この問題では、各説明を読んだ際に、テストがどの観点を中心に語られているかを一つに絞って丁寧に確認し、その観点と設問の表現が同じ軸に立っているかを比較しましょう。

視点

手法の区別では、説明文に含まれる目的、対象、実施条件、評価の切り口を同じ基準で読み取り、用語の連想ではなく、記述がどの軸に重心を置いているかを整理することが大切です。

確認ポイント

• 説明文で最も中心に置かれている確認対象を一語で要約する
• その要約が、説明全体の主眼から外れていないかを見直す
• 選択肢の用語ではなく、説明全体の主眼と一致するかだけを確認する

正解

ウ

解説

ファジングは、ソフトウェアへ問題を引き起こす可能性のある多様なデータを入力し、異常な挙動や脆弱性の有無を調べるテスト手法です。したがって、該当するのはウです。

理由

ウは、ソフトウェアに問題を引き起こしそうな多様なデータを入力し、挙動を監視して脆弱性を発見すると述べている。この一連の方法がファジングの定義に一致する。

比較

他の選択肢は、稼働サービスの探索、ファイル改ざんの検知、通信内容と攻撃パターンの照合を説明しており、ファジングのような多様な入力によるソフトウェア検査ではありません。

選択肢ア

これは不正解だよ。FINパケットを送信してサーバの応答を観測し、稼働しているサービスを見つける内容は、ネットワークサービスの探索に当たる。ソフトウェアへ多様なデータを入力して脆弱性を調べるファジングとは目的と方法が異なる。

選択肢イ

これは不正解だよ。OSやアプリケーションが生成したログ、コマンド履歴などを解析してファイルの改ざんを検知する内容は、保存後の記録や状態を確認する監視・検知である。多様な入力でソフトウェアの挙動を調べるファジングではない。

選択肢ウ（正解）

これは正解だよ。ソフトウェアに問題を引き起こしそうな多様なデータを入力し、その挙動を監視して脆弱性を見つけ出すという記述は、ファジングの特徴をそのまま説明している。入力の多様化と挙動の観測が要点である。

選択肢エ

これは不正解だよ。ネットワーク上のパケットを収集し、ヘッダやペイロードを登録済みの攻撃パターンと照合して不正アクセスを判断する内容は、通信の監視・侵入検知に当たる。ソフトウェアへ試験データを入力するファジングとは異なる。

学習のポイント

ファジングの入力方法、観測対象、脆弱性発見という目的を他のセキュリティ手法と区別する。