ファジング結果の再現
組込み機器のネットワークサービスに対してファジングを実施した。ファジングツールは，テストデータを 100 件送信するごとに機器の死活監視を行う設定とした。48,300 件目の送信後の監視で機器が応答しなくなっていたので，機器を再起動して 48,300 件目のテストデータだけを再送信したが，機器は応答を続けた。次に行う対応として，最も適切なものはどれか。
- ア1 件のテストデータでは再現しなかったので，ファジングツールの誤検出と判断し，検査結果から除外する。
- イファジングツールの不具合の可能性があるので，更新日付が最新のファジングツールに替えて，最初から検査をやり直す。
- ウ機器が応答しなくなったので，任意のコードを実行できる脆弱性があると判断し，製品の開発者に報告する。
- エ48,201 件目から 48,300 件目までのテストデータを，監視の間隔を短くして再送信し，原因となったテストデータを絞り込む。
正解と解説を見る
正解 エ
この問題の基礎知識
- ファジングは，問題を引き起こしそうなデータ（ファズ）を大量に送り込み，対象の異常な動作を観察して脆弱性を見つける検査手法である。
- 死活監視を一定件数ごとに行う場合，異常を検出した監視の直前の監視以降に送ったデータのどれかが原因である可能性が高く，最後に送った 1 件が原因とは限らない。
- 異常は単独のデータで起きる場合と，一定量のデータを受けて初めて起きる場合がある。また，応答停止という現象だけでは，任意のコード実行が可能かどうかは判断できず，詳細な解析が必要である。
ア1 件のテストデータでは再現しなかったので，ファジングツールの誤検出と判断し，検査結果から除外する。
応答停止は直前の 100 件のうち別のデータで起きた可能性や，一定量のデータを受けて初めて起きる可能性がある。IPA の手引きは，範囲の絞込みと一定量のデータの送信でも再現しない場合に誤検出を疑うとしている。
イファジングツールの不具合の可能性があるので，更新日付が最新のファジングツールに替えて，最初から検査をやり直す。
ツールを替えても，今回の応答停止の原因となったデータは特定できない。IPA は，最新のツールだけを使えばよいとは言えず，古いツールでしか検出できない異常動作もあるとしている。
ウ機器が応答しなくなったので，任意のコードを実行できる脆弱性があると判断し，製品の開発者に報告する。
応答停止だけでは任意のコード実行が可能かどうかは分からず，IPA は具体的な攻撃が可能かどうかは技術者が詳細に解析する必要があるとしている。そもそも原因となったデータもまだ特定できていない。
エ48,201 件目から 48,300 件目までのテストデータを，監視の間隔を短くして再送信し，原因となったテストデータを絞り込む。正解
監視は 100 件ごとなので，応答停止を起こしたデータは直前の 100 件のどれかである可能性が高い。範囲内のデータを監視間隔を短くして送り直して絞り込み，それでも再現しなければ前後の一定量のデータで再現するかを確かめる。
検証用の出典出典照合済み
IPA ファジング活用の手引き ／ IPA ファジング：FAQ照合の根拠（5 件）
- エ（正解）: 監視間隔を短くしながら原因のファズを絞り込む
脆弱性と疑わしき問題を検出したファズをもとにして、ファジング時の監視間隔を短くしながらファズを特定していきます。
IPA ファジング活用の手引き · 5.2 ステップ１：ファズを絞り込みながらファジング（新しいタブで開きます） - エ（正解）: 100 件ごとの監視なら原因は直前の 100 件（本問では 48,201〜48,300 件目）にある可能性が高い
まず 100 ファズごとの監視を実施していたため、脆弱性と疑わしき問題を引き起こしたファズは 901 番から 1000 番の中にある可能性高いと言えます。
IPA ファジング活用の手引き · 5.2 ステップ１：ファズを絞り込みながらファジング（新しいタブで開きます） - ア（誤り）: 誤検出を疑うのは絞込みと一定量のファズの 2 つの作業でも再現しない場合で，1 件で再現しないだけでは判断しない
2 つの作業を終えても事象が再現しなかった場合もありますが、そのときはファジングツールによる誤検出の可能性が高いと判断します。
IPA ファジング活用の手引き · 5.2 ファズを特定する流れ（新しいタブで開きます） - イ（誤り）: 最新のツールだけを使えばよいとは言えない
ファジングツールは最新の物だけ使えばいいとは言えません。
IPA ファジング：FAQ · Q8（新しいタブで開きます） - ウ（誤り）: 任意のコード実行が可能かどうかは詳細な解析が必要で，応答停止だけでは判断できない
ただし、任意のコード実行等による具体的な攻撃方法が可能かどうかの分析は技術者がより詳細に解析する必要があります。
IPA ファジング：FAQ · Q15（新しいタブで開きます）
100 件ごとの監視で 48,300 件目の後に応答停止を検知したので，原因は 48,201〜48,300 件目のどれか（または一定量の送信）である。48,300 件目単独で再現しなかったので，手引きのステップ 1（監視間隔を短くして範囲を絞り込む）に進むのが次の対応になる。