応用情報技術者 2018年 春期 午前2 問42
問題文
ファジングに該当するものはどれか。
選択肢
ア：サーバに FIN パケットを送信し、サーバからの応答を観測して、稼働しているサービスを見つけ出す。
イ：サーバのOS やアプリケーションソフトが生成したログやコマンド履歴などを解析して、ファイルサーバに保存されているファイルの改ざんを検知する。
ウ：ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。（正解）
エ：ネットワーク上を流れるパケットを収集し、そのプロトコルヘッダやデータを解析して、あらかじめ登録された攻撃パターンと一致した場合は不正アクセスと判断する。
ファジングに該当するものはどれか【午前2 解説】
要点まとめ
- 結論：ファジングとは、多様な異常データをソフトウェアに入力し挙動を監視して脆弱性を発見する手法です。
- 根拠：選択肢ウは「問題を引き起こしそうな多様なデータを入力し、挙動を監視して脆弱性を見つけ出す」とあり、ファジングの定義に合致します。
- 差がつくポイント：ファジングは単なる通信観測やログ解析ではなく、意図的に異常データを大量に投入してソフトウェアの弱点を探す点が特徴です。
正解の理由
選択肢ウは、ソフトウェアに対して多様な異常データを自動的に入力し、その挙動を監視して脆弱性を検出するというファジングの本質を正確に表現しています。ファジングはセキュリティテストの一種であり、未知のバグや脆弱性を発見するために用いられます。
よくある誤解
ファジングは単なる通信パケットの送受信やログ解析ではありません。異常データを意図的に大量投入してソフトウェアの挙動を監視する点が重要です。
解法ステップ
- 問題文の「ファジング」の意味を正確に理解する。
- 各選択肢の内容をファジングの定義と照らし合わせる。
- 「多様なデータを入力し挙動を監視する」内容がある選択肢を探す。
- それが選択肢ウであることを確認する。
- 他の選択肢はファジングの定義に合致しないことを確認する。
選択肢別の誤答解説
- ア：FINパケット送信によるサービス検出はポートスキャンやネットワーク調査であり、ファジングではありません。
- イ：ログやコマンド履歴の解析はフォレンジックや監査に該当し、ファジングとは異なります。
- ウ：正解。多様なデータを入力し挙動を監視して脆弱性を見つけるファジングの説明です。
- エ：パケット解析と攻撃パターン照合はIDS（侵入検知システム）の機能であり、ファジングではありません。
補足コラム
ファジングは自動化されたテスト技法で、バッファオーバーフローや例外処理の不備など、未知の脆弱性を発見するのに有効です。近年はAIを活用した高度なファジングツールも登場しています。
FAQ
Q: ファジングはどのような脆弱性を見つけやすいですか？
A: バッファオーバーフローやメモリ破壊、例外処理の不備など、異常入力に対するソフトウェアの耐性が弱い部分を発見しやすいです。
A: バッファオーバーフローやメモリ破壊、例外処理の不備など、異常入力に対するソフトウェアの耐性が弱い部分を発見しやすいです。
Q: ファジングとペネトレーションテストの違いは？
A: ファジングは主に異常データの大量投入による自動テストで、ペネトレーションテストは手動やツールを使った総合的な侵入テストです。
A: ファジングは主に異常データの大量投入による自動テストで、ペネトレーションテストは手動やツールを使った総合的な侵入テストです。
関連キーワード: ファジング、脆弱性検査、セキュリティテスト、バッファオーバーフロー、IDS, ペネトレーションテスト
\ せっかくなら /
応用情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！