令和4年度 春期 応用情報技術者試験 午前 問45

• ア: サーバにFINパケットを送信し、サーバからの応答を観測して、稼働しているサービスを見つけ出す。
  誤り。これはポートスキャンの手法の一つであり、ファジングではありません。

• イ: サーバのOSやアプリケーションソフトウェアが生成したログやコマンド履歴などを解析して、ファイルサーバに保存されているファイルの改ざんを検知する。
  誤り。これはフォレンジック調査や改ざん検知の手法であり、ファジングではありません。

• ウ: ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。
  正しい。ファジングとは、様々な異常データをソフトウェアに入力し、クラッシュやバグを引き起こして脆弱性を発見する手法です。

• エ: ネットワーク上を流れるパケットを収集し、そのプロトコルヘッダーやペイロードを解析して、あらかじめ登録された攻撃パターンと一致するものを検出する。
  誤り。これはパケット解析やIDS（侵入検知システム）の手法です。

答え

ウ: ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。