令和4年度 春期 応用情報技術者試験 午前 問題 問45
テクノロジセキュリティ技術システム開発技術脆弱性管理・セキュリティ監視テスト・レビュー
ファジングに該当するものはどれか。
解答・解説
正解: ウ. ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆弱性を見つけ出す。
ファジング（Fuzzing）は、ソフトウェアの脆弱性を検出するためのテスト手法です。対象のソフトウェアに対して、問題を引き起こしそうな無効なデータや予期しない多様なデータ（ファズ）をランダムかつ大量に入力し、その結果として発生するクラッシュや例外などの異常な挙動を監視・分析することで、バグや未知の脆弱性を発見します。
したがって、正解はウとなります。
各選択肢の解説
- ア: サーバにFINパケットを送信し、応答を観測して稼働中のサービスを見つけ出す手法は、ポートスキャン（FINスキャンなど）の説明です。
- イ: サーバのOSやアプリケーションが生成したログなどを解析してファイルの改ざんを検知する仕組みは、改ざん検知システムやホスト型IDS（侵入検知システム）などの説明です。
- ウ: 正解です。ファジングの説明です。
- エ: ネットワーク上を流れるパケットを収集し、ヘッダやペイロードを解析して既知の攻撃パターンと一致するものを検出する仕組みは、シグネチャベースのネットワーク型IDS（NIDS）の説明です。