平成30年度 秋期 午前 問43

✓ これが正解イソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。

解説

予想外のデータを大量に与えて挙動を見る検査です。

ファジングという脆弱性検査の手法がどれかを選ぶ問いです。名前の由来から素性が引けます。fuzz は毛羽立ちや曖昧なものを指し、ここでは機械が作り出した、でたらめで極端な入力データを意味します。異常に長い文字列、区間の境目の値、制御文字、想定していない型、壊れたファイルなどを大量に多様な形で与え、異常終了や応答の停止、思わぬ動きが出ないかを外から観察します。選択肢のうち、データの入出力に注目し、問題を起こしそうな値を浴びせて挙動を見ると書いているものが、この手法そのものです。見分けの軸は二つあります。何を手掛かりに欠陥を探すかということと、内部を読むのか外から与えるのかということです。公表済みの欠陥の一覧に照らす調べ方は、その一覧に載っていないものを表に出せません。外部から届く知らせを集める行いは、検査そのものではなく材料を得る段にあたります。内部の記述を読む調べ方は、動かさないまま書かれた文を静かに調べます。この手法は動いているものに外から入力を与えるだけなので、内部の記述が手元になくても実施できる側に立ちます。得意なのは知られていないあふれや異常終了、入力処理の取りこぼしで、落ちないまま残る権限の設計の誤りなどは観察に掛かりません。

ほかの選択肢はなぜ違うのか

• ア既知の脆弱性に対するシステムの対応状況に…：導入済みの版と修正の当て具合を、公表済みの欠陥の一覧に突き合わせる調べ方です。台帳に載っていない欠陥はこの当て方では一件も表に出てこないので、知られていないものを引き当てにいく検査とは別の枠にあります。
• ウベンダや情報セキュリティ関連機関が提供す…：提供元や関係機関が出す最新の知らせを追いかける行いで、材料を集める段にあたります。集めた知らせをもとに手当てするかどうかを決めるだけで、実際に動かして試すという手続きがどこにも含まれていません。
• エホワイトボックス検査の一つであり，ソフト…：ホワイトボックス検査と書かれているとおり、内部の構造を読み、書かれた文を静かに調べる側の方法です。欠陥を見つける目的は重なりますが、見る場所が内と外で逆で、記述が手元にない相手には当てられません。