ファジング
ソフトウェアの脆弱性を検出する手法のうち，ファジングの説明はどれか。
- ア開発者以外の担当者がソースコードを読み，セキュリティ上問題のあるコーディングが含まれていないかを確認する。
- イ既知の脆弱性の情報を登録したデータベースと照合して，稼働している OS やソフトウェアのバージョンに既知の脆弱性がないかを調べる。
- ウ検査対象のソフトウェアに，問題を引き起こしそうな多様なデータを大量に自動生成して入力し，異常終了や異常な応答の有無を監視する。
- エ攻撃者の視点で，実際のシステムに対して既知の攻撃手法を用いて侵入を試み，侵入が可能かどうかを検証する。
正解と解説を見る
正解 ウ
この問題の基礎知識
- ファジングは，問題を起こしそうなデータ（ファズ）を大量に自動生成して検査対象に入力し，異常終了や異常な応答の有無から脆弱性を検出する手法であり，未知の脆弱性の発見に有効である。
- プログラムを実行せずにソースコードを調べる手法を静的な検査，プログラムを実行してその挙動を調べる手法を動的な検査という。ソースコードレビューは静的，ファジングは動的な検査に当たる。
- 脆弱性スキャンは既知の脆弱性情報との照合で問題を探す手法，ペネトレーションテストは攻撃者の視点で実際に侵入を試みて対策の有効性を検証する手法である。
ア開発者以外の担当者がソースコードを読み，セキュリティ上問題のあるコーディングが含まれていないかを確認する。
ソースコードを人が読んで問題を探すのはソースコードレビューの説明である。プログラムを実行せずに検査する静的な手法であり，異常なデータを入力して実行時の挙動を観察するファジングとは異なる。
イ既知の脆弱性の情報を登録したデータベースと照合して，稼働している OS やソフトウェアのバージョンに既知の脆弱性がないかを調べる。
既知の脆弱性情報との照合で問題を探すのは脆弱性スキャンの説明である。ファジングは既知の情報に頼らず，未知の脆弱性の発見にも用いられる。
ウ検査対象のソフトウェアに，問題を引き起こしそうな多様なデータを大量に自動生成して入力し，異常終了や異常な応答の有無を監視する。正解
ファジングは，ファズと呼ばれる不正な値や想定外の形式のデータを大量に入力し，クラッシュやハングアップなどの異常な挙動から脆弱性を検出する手法である。未知の脆弱性の発見に有効である。
エ攻撃者の視点で，実際のシステムに対して既知の攻撃手法を用いて侵入を試み，侵入が可能かどうかを検証する。
攻撃者と同様の手法で実際に侵入を試み，対策の有効性を検証するのはペネトレーションテストの説明である。ファジングのように大量のデータを自動生成して入力するものではない。
検証用の出典出典照合済み
IPA ファジング活用の手引き ／ IPA ファジング：FAQ照合の根拠（4 件）
- ウ（正解）: 問題を起こしそうなデータを入力して異常動作の有無を検査する
検査対象に問題が起きそうな様々な細工をしたデータを送り、検査対象に異常な動作が起きないかどうかを検査します。
IPA ファジング：FAQ · Q2（新しいタブで開きます） - ウ（正解）: データを大量に自動生成して送り込み，状態を監視する
ツールは、問題が起きそうなデータを大量に自動で作成できます。また、作成データの検査対象への自動送信や、検査対象の状態監視もできます。
IPA ファジング：FAQ · Q4（新しいタブで開きます） - イ（誤り）: 既知の脆弱性に絞って調べるのはスキャナーによる脆弱性検査でファジングとは異なる
既知の脆弱性検査（スキャナー）ツールは、既に問題が見つかっているデータに絞って検査しますので、検査数は数百～数千のデータに限られます。
IPA ファジング：FAQ · Q11（新しいタブで開きます） - エ（誤り）: 実際に侵入できるかを検証するのはペネトレーションテスト
ペネトレーションテストは組織のサーバやネットワークシステムに対して攻撃者が実際に侵入できるかどうかという点に着目して検査を行います。
IPA ファジング：FAQ · Q12（新しいタブで開きます）
ア（ソースコードレビュー）は実行せずにコードを読む手法であり，データを送り込んで挙動を監視するファジング（Q2）の定義から排除できる。