応用情報技術者 2022年 春期 午前2 問45
問題文
ファジングに該当するものはどれか。
選択肢
ア：サーバに FIN パケットを送信し、サーバからの応答を観測して、稼働しているサービスを見つけ出す。
イ：サーバのOSやアプリケーションソフトウェアが生成したログやコマンド履歴などを解析して、ファイルサーバに保存されているファイルの改ざんを検知する。
ウ：ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。（正解）
エ：ネットワーク上を流れるパケットを収集し、そのプロトコルヘッダやペイロードを解析して、あらかじめ登録された攻撃パターンと一致するものを検出する。
ファジングに該当するものはどれか【午前2 解説】
要点まとめ
- 結論：ファジングとは、多様な異常データをソフトウェアに入力し挙動を監視して脆弱性を発見する手法です。
- 根拠：選択肢ウは「問題を引き起こしそうな多様なデータを入力し、挙動を監視」と記述されており、ファジングの定義に合致します。
- 差がつくポイント：ファジングは単なる通信解析やログ解析ではなく、意図的に異常データを大量に投入してソフトウェアの弱点を探す点が特徴です。
正解の理由
選択肢ウは「ソフトウェアに問題を引き起こしそうな多様なデータを入力し、挙動を監視して脆弱性を見つけ出す」とあり、これはファジングの典型的な説明です。ファジングは自動化されたテスト技法で、未知のバグや脆弱性を発見するためにランダムまたは準ランダムなデータを大量に投入し、ソフトウェアの異常動作を検出します。
よくある誤解
ファジングは単なるネットワークスキャンやログ解析ではありません。異常データを使った動的テストであり、攻撃パターン検出とも異なります。
解法ステップ
- 問題文の「ファジング」の意味を正確に理解する。
- 各選択肢の内容をファジングの定義と照らし合わせる。
- 「多様なデータを入力し挙動を監視」という表現がある選択肢を探す。
- それが選択肢ウであることを確認する。
- 他の選択肢はファジングの定義に合致しないことを確認する。
選択肢別の誤答解説
- ア：FINパケット送信はポートスキャンの一種であり、ファジングではありません。
- イ：ログやコマンド履歴の解析はフォレンジックや監査に近く、ファジングとは異なります。
- ウ：正解。多様なデータを入力し挙動を監視するファジングの説明です。
- エ：攻撃パターンと一致するかを検出するのはIDS（侵入検知システム）であり、ファジングではありません。
補足コラム
ファジングはセキュリティテストの重要な手法で、ソフトウェアの堅牢性を評価するために使われます。近年はAIを活用したスマートファジングも登場し、効率的に脆弱性を発見できるようになっています。
FAQ
Q: ファジングはどの段階で行うテストですか？
A: 主にソフトウェア開発のテスト段階やセキュリティ評価時に実施されます。
A: 主にソフトウェア開発のテスト段階やセキュリティ評価時に実施されます。
Q: ファジングとペネトレーションテストの違いは？
A: ファジングは自動的に異常データを投入して脆弱性を探す技術で、ペネトレーションテストは手動やツールを使い総合的に攻撃を試みる手法です。
A: ファジングは自動的に異常データを投入して脆弱性を探す技術で、ペネトレーションテストは手動やツールを使い総合的に攻撃を試みる手法です。
関連キーワード: ファジング、脆弱性検査、セキュリティテスト、ポートスキャン、IDS, 侵入検知
\ せっかくなら /
応用情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！