平成28年度 秋期 応用情報技術者試験 午前 問45

• ア: ソフトウェアのバージョン及びパッチの適用状況の検査を行う
  誤り。既知の脆弱性への対応状況を確認する検査で，ファジングではありません。

• イ: 問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察する
  正しい。ファジングは，検査対象のソフトウェアに問題を引き起こしそうなデータ（ファズ）を大量に入力し，異常終了などの挙動を観察して未知の脆弱性を見つける検査手法です。

• ウ: ソースコードの構文を機械的にチェックするホワイトボックス検査を行う
  誤り。ソースコードの静的解析（静的コード解析）の説明です。ファジングは内部構造を見ないブラックボックス的な検査です。

• エ: 最新のセキュリティ情報に注目してソフトウェアの脆弱性の検査を行う
  誤り。セキュリティ情報に基づく既知の脆弱性の確認であり，ファジングではありません。

答え

イ: 問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察する