令和元年度 秋期 応用情報技術者試験 午前 問42

• ア: JPEGデータを読み込んで表示する機能をもつ製品に対して、セキュリティ上の問題を発生させる可能性のある値を含んだJPEGデータを読み込ませることによって、脆弱性がないかをテストするツール
  誤り。これは「ファジング」や「脆弱性診断ツール」の説明です。ファジングは、製品やソフトウェアに対して不正なデータや異常値を入力し、予期しない挙動や脆弱性を検出する手法ですが、エクスプロイトキットとは異なります。エクスプロイトキットは攻撃目的で脆弱性を悪用するツールです。

• イ: JVNなどに掲載された脆弱性情報の中に、利用者自身がPC又はサーバにインストールした製品に関する情報が含まれているかどうかを確認するツール
  誤り。これは「脆弱性管理ツール」や「セキュリティアドバイザリ」の説明です。JVN（Japan Vulnerability Notes）は脆弱性情報を提供するデータベースであり、エクスプロイトキットのように攻撃に直接関与するツールではありません。

• ウ: OSやアプリケーションソフトウェアの脆弱性を悪用して攻撃するツール
  正しい。エクスプロイトキットは、OSやアプリケーションの既知の脆弱性を悪用し、システムへの侵入やマルウェアの展開を自動的に行うツールです。攻撃者はエクスプロイトキットを利用して、ユーザーが気付かないうちに脆弱性を突き、マルウェアを送り込むことができます。

• エ: Webサイトのアクセスログから、Webサイトの脆弱性を悪用した攻撃を検出するツール
  誤り。これは「IDS（Intrusion Detection System）」や「WAF（Web Application Firewall）」の説明です。攻撃の検出や防止を目的としたツールであり、エクスプロイトキットのように脆弱性を攻撃する側のツールではありません。

答え

ウ: OSやアプリケーションソフトウェアの脆弱性を悪用して攻撃するツール