ファジングとは？ふぁじんぐ
ファジングとは、想定していない入力を機械的に大量生成してプログラムへ送り込み、異常終了や応答停止が起きないかを外から観察する検査手法。極端に長い文字列、想定外の型、不正な制御文字などを試すことで、仕様書に現れない実装上の欠陥、特に境界の確認漏れによるメモリ破壊を見つけるのに向く。
最終更新：2026-10-06
この語が出る過去問を解く →背景
テストケースは仕様から作る以上、仕様に書かれていない入力は最初から試されない。ところが攻撃者が狙うのはまさにその範囲であり、開発側が想定していない値を人手で列挙するのは現実的でない。ならば機械に大量に作らせて片端から投げればよい、という発想の検査である。組込み機器や通信プロトコルの実装のように、入力の形式が決まっていて自動生成しやすい対象と相性が良い。
具体例
実装の検証では、長さフィールドと実データが食い違うパケットを数十万通り生成して送り、再起動や応答停止を起こした入力を記録して再現・修正するという回し方をする。近年は実行された経路の網羅率を測りながら入力を変異させる方式が主流で、主要なOSSを常時検査し続ける公開の基盤も運用されている。
試験での引っ掛け
ファジングが見つけられるのは「落ちること」であり、権限昇格や情報漏えいのように動作としては正常な範囲に見える論理的な欠陥は基本的に検出できない。またクラッシュしたからといって直ちに悪用可能とは限らず、影響度の評価は別途必要になる。異常が出なかったことは、脆弱性が無いことの証明にもならない。
関連用語
出た過去問
出典：平成28年度 秋期 応用情報技術者試験 午前 問45（IPA）
脆弱性検査手法の一つであるファジングはどれか。
正解：ソフトウェアのデータの入出力に注目し、問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し、脆弱性を見つける。
要点：ファジングは異常な入力を大量に与えて挙動から探る
ファジングは、想定外の値や極端に長い値、不正な形式のデータなどを大量かつ多様に入力し、対象ソフトウェアが異常終了したり予期しない動作をしないかを観察して脆弱性を見つける手法です。ソースコードを見ずに外部からの入出力に着目するブラックボックス的な検査であり、開発者が想定していなかった入力の組合せを機械的に洗い出せる点が特徴です。
出典：平成30年度 秋期 応用情報技術者試験 午前 問43（IPA）
脆弱性検査手法の一つであるファジングはどれか。
正解：ソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。
要点：ファジングは問題を起こしそうなデータを大量入力し挙動を観察する。
ファジングは、想定外の値や極端に長い値など問題を起こしそうなデータを大量かつ多様に自動生成して入力し、異常終了や例外的な挙動が起きないかを観察して脆弱性を見つける手法である。ソースコードを見ずに外部からの入出力に着目するブラックボックス的な検査であり、未知の脆弱性の発見にも有効とされる。
出典：平成30年度 春期 応用情報技術者試験 午前 問42（IPA）
ファジングに該当するものはどれか。
正解：ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。
要点：ファジングは異常データを大量入力して脆弱性を見つける
ファジングは、極端な値や想定外の形式を含む大量のデータをソフトウェアへ入力し、異常終了や予期しない挙動が起きないかを観察して脆弱性を洗い出す手法である。設計書やソースコードを見なくても実施でき、開発者が想定していない入力に起因する不具合を発見しやすい。
出典：令和元年度 秋期 応用情報技術者試験 午前 問44（IPA）
ファジングに該当するものはどれか。
正解：ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。
要点：ファジングは想定外データを大量入力して未知の脆弱性を炙り出す
ファジングは、極端に長い文字列や想定外の値など問題を起こしそうなデータを大量に自動生成してソフトウェアに入力し、異常終了やハングなどの挙動から未知の脆弱性を洗い出すテスト手法です。ソースコードがなくても実施でき、実装上の想定漏れを見つけるのに向いています。
出典：令和4年度 秋期 応用情報技術者試験 午前 問45（IPA）
ファジングに該当するものはどれか。
正解：ソフトウェアに対し、問題を起こしそうな様々な種類のデータを入力し、そのソフトウェアの動作状態を監視して脆弱性を発見する。
要点：ファジングは異常データを入力して脆弱性を検出する手法
ファジングは、極端に長い文字列や想定外の値など問題を起こしそうなデータを大量に自動生成してソフトウェアに入力し、異常終了や想定外の挙動を観測して脆弱性を見つける手法です。ソースコードがなくても実施できる動的なテストである点が特徴です。
出典・参考
公式シラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (6) アプリケーションセキュリティに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。