平成30年度秋期 ITストラテジスト 午前Ⅰ 問15

脆弱性検査を考える視点

脆弱性検査手法を比べるときは、名称や印象だけで判断せず、検査が対象へどのように働きかけ、何を根拠に問題を捉えるのかという観点に絞って、説明のつながりを整理します。

この問題で問われていること

各選択肢について、検査の進め方と得られる情報の関係を読み取り、対象への関わり方と結果の示し方が一貫して説明されているか、説明の対応だけを丁寧に確認してください。

視点

手法を検討するときは、対象への働きかけ、観測できる情報、結果の解釈という流れを一つのまとまりとして捉えます。用語の連想より、説明同士の対応関係に注目しましょう。

確認ポイント

• 対象に対して、どの段階で何を観測する説明か
• 観測結果から、どの種類の判断につなげる説明か
• 手法の前提と得られる情報の範囲が矛盾していないか

正解

イ

解説

ファジングは、ソフトウェアに問題を引き起こしそうなデータを大量かつ多様なパターンで入力し、その実行時の挙動を観察して脆弱性を発見する検査手法です。

理由

ファジングでは、通常の利用では想定されない長さや形式、値などの入力をソフトウェアへ与えます。その結果として異常終了、誤動作、予期しない応答などが起きるかを観察し、脆弱性の手掛かりを得ます。

比較

バージョンやパッチの確認、最新のセキュリティ情報の調査、ソースコードの構文確認は、それぞれ別の検査・情報収集の考え方です。入力を大量かつ多様に与えて挙動を調べる点がファジングの特徴です。

選択肢ア

これは不正解だよ。既知の脆弱性に対するシステムの対応状況を確認し、導入ソフトウェアのバージョン及びパッチの適用状況を検査する内容である。これは構成管理や既知脆弱性への対応確認に当たり、入力データを変化させて挙動を観察するファジングの説明ではない。

選択肢イ（正解）

これは正解だよ。ソフトウェアのデータの入出力に注目し、問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察する内容は、ファジングの特徴に一致する。想定外の入力による異常な動作などから脆弱性を発見する検査手法である。

選択肢ウ

これは不正解だよ。ベンダや情報セキュリティ関連機関が提供するセキュリティアドバイザリなどの最新情報を調べ、ソフトウェアの脆弱性を検査する内容である。外部のセキュリティ情報に注目する調査であり、多様な入力を与えて実行時の挙動を観察するファジングではない。

選択肢エ

これは不正解だよ。ソフトウェアの内部構造に注目し、ソースコードの構文をチェックして脆弱性を見つける内容である。ホワイトボックス検査に関する説明であり、実際に多様なデータを入力して実行時の挙動を確認するファジングとは検査対象への着目点が異なる。

学習のポイント

ファジングは入力を変化させて実行時の異常を調べる動的な検査手法です。