平成30年度 秋期 応用情報技術者試験 午前 問43

• ア: 既知の脆弱性に対するシステムの対応状況に注目し，システムに導入されているソフトウェアのバージョン及びパッチの適用状況の検査を行う。
  誤り。ソフトウェアのバージョンやパッチの適用状況を確認する検査は，脆弱性診断（パッチ適用状況の検査）であり，ファジングではありません。

• イ: ソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
  正しい。ファジングは，検査対象のソフトウェアに，問題を引き起こしそうなデータ（ファズ）を大量に多様なパターンで入力し，異常終了や想定外の動作などの挙動を観察して脆弱性を見つける手法です。内部構造を見ないブラックボックス型の検査です。

• ウ: ベンダや情報セキュリティ関連機関が提供するセキュリティアドバイザリなどの最新のセキュリティ情報に注目し，ソフトウェアの脆弱性の検査を行う。
  誤り。セキュリティアドバイザリなどの最新情報を基に検査するのは，既知の脆弱性に対する情報収集・確認の活動であり，ファジングではありません。

• エ: ホワイトボックス検査の一つであり，ソフトウェアの内部構造に注目し，ソースコードの構文をチェックすることによって脆弱性を見つける。
  誤り。ソースコードの構文をチェックして脆弱性を見つけるのは，ソースコード診断（静的解析）です。ファジングはソースコードを見ずに入力と挙動に注目する手法です。

答え

イ: ソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。