令和4年度 秋期 応用情報技術者試験 午前 問45
テクノロジセキュリティ技術システム開発技術脆弱性管理・セキュリティ監視テスト・レビュー
ファジングに該当するものはどれか。
解答・解説
正解: イ. ソフトウェアに対し，問題を起こしそうな様々な種類のデータを入力し，そのソフトウェアの動作状態を監視して脆弱性を発見する。
ファジング（Fuzzing）とは、ソフトウェアの脆弱性を検出するためのテスト手法の一つです。ソフトウェアに対して、「ファズ（Fuzz）」と呼ばれる問題を引き起こしそうな予測不可能なデータや無効なデータを意図的に入力し、ソフトウェアの動作状態やクラッシュの有無を監視します。この結果から、開発者が予期していなかった脆弱性を発見することができます。
したがって、正解は イ です。
各選択肢の解説
- ア：Webサーバに対し、リクエストを大量に送り付けて処理量を計測し耐性を検査する手法は、負荷テストやDDoS攻撃をシミュレートするテストに関する記述です。
- イ：正解です。ファジングの目的と手法を正しく説明しています。
- ウ：よく使われるパスワードのリストを使って不正にログインを試行する手法は、辞書攻撃に関する記述です。
- エ：特別な意味をもつ文字を別の文字列に置換する処理は、サニタイジング（エスケープ処理）に関する記述であり、クロスサイトスクリプティング（XSS）やSQLインジェクションなどの脆弱性対策として行われます。