平成28年度 秋期 応用情報技術者 問45

正解 イ

ファジングは、問題を起こしそうなデータ（ファズ）を大量に多様なパターンで入力し、挙動を観察して脆弱性を見つける検査です。

ファジングは、ソフトウェアに予測しにくい不正なデータや異常なデータを大量に与え、異常終了や想定外の動作が起きるかを観察する手法です。内部構造を見ずに入出力に注目するので、ブラックボックス型の検査です。問題文の「データの入出力に注目」と「大量に多様なパターンで入力」が決め手です。

ア：ソフトウェアのバージョンやパッチの適用状況を調べるのは、既知の脆弱性の有無を確認する検査です。データを入力して挙動を見るファジングではありません。

ウ：ソースコードを機械的にチェックするのは、静的解析（ソースコード検査）です。プログラムを動かさずに行うホワイトボックス検査です。

エ：セキュリティアドバイザリなどの最新情報をもとに検査するのは、公開された既知の脆弱性への対応確認です。未知の脆弱性を入力で探すファジングとは異なります。

出典：平成28年度 秋期 応用情報技術者試験 問45