平成30年度 秋期 応用情報技術者 問43

正解 イ

ファジングは、問題を起こしそうなデータ（ファズ）を大量かつ多様なパターンで入力し、挙動を観察して脆弱性を見つける手法です。

ファジングは、検査対象のソフトウェアに予期しないデータや異常なデータを大量に送り込みます。そのときの異常終了や応答の乱れなどの挙動を観察して、未知の脆弱性を見つけます。入力するデータをファズといい、ファズを作って送るツールをファザーといいます。内部構造を見ずに入出力だけに注目するので、ブラックボックス検査に分類されます。決め手は「データの入出力に注目」「大量に多様なパターンで入力」という言葉です。

ア：ソフトウェアのバージョンやパッチの適用状況を調べる検査です。既知の脆弱性への対応を確認するもので、異常なデータを入力するファジングではありません。

ウ：セキュリティアドバイザリなどの公開情報をもとに、既知の脆弱性を確認する方法です。データを入力して挙動を観察する手法ではありません。

エ：ソースコードを解析して脆弱性を見つけるのは静的解析（ソースコード診断）です。ファジングは内部構造を見ないブラックボックス検査です。

出典：平成30年度 秋期 応用情報技術者試験 問43