ファジングとは？

ファジングの意味

極端に長い文字列、想定外の型、不正な制御文字などを大量に自動生成して入力し、異常終了や想定外の応答が起きないかを観察する検査手法。仕様書に現れない実装上の欠陥、特にメモリ破壊系の不具合を見つけるのに向く。組込み機器や通信プロトコルの検証で使われる。

ファジングの具体例

通信機器の受信処理に対し、長さフィールドと実データの不整合を含むパケットを数十万通り送り、再起動や応答停止が起きた入力を記録して再現・修正する。実行経路の網羅率を測りながら入力を変異させる方式では、検出効率が大きく上がる。

ファジングは試験でどう引っ掛けられる？

ファジングが見つけるのは「落ちること」であって、権限昇格や情報漏えいのような論理的な欠陥は基本的に検出できない。またクラッシュしただけでは悪用可能とは限らず、影響度の評価は別途必要になる。

ファジングと関連する用語

• セキュアコーディングとSAST・DAST
• バッファオーバーフロー攻撃
• ペネトレーションテストと脆弱性診断

ファジングが出た過去問

• 脆弱性検査手法の一つであるファジングはどれか。

  正解：ソフトウェアのデータの入出力に注目し、問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し、脆弱性を見つける。

  要点：ファジングは異常な入力を大量に与えて挙動から探る

  ファジングは、想定外の値や極端に長い値、不正な形式のデータなどを大量かつ多様に入力し、対象ソフトウェアが異常終了したり予期しない動作をしないかを観察して脆弱性を見つける手法です。ソースコードを見ずに外部からの入出力に着目するブラックボックス的な検査であり、開発者が想定していなかった入力の組合せを機械的に洗い出せる点が特徴です。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問45（IPA）

• 脆弱性検査手法の一つであるファジングはどれか。

  正解：ソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つける。

  要点：ファジングは問題を起こしそうなデータを大量入力し挙動を観察する。

  ファジングは、想定外の値や極端に長い値など問題を起こしそうなデータを大量かつ多様に自動生成して入力し、異常終了や例外的な挙動が起きないかを観察して脆弱性を見つける手法である。ソースコードを見ずに外部からの入出力に着目するブラックボックス的な検査であり、未知の脆弱性の発見にも有効とされる。

  出典：平成30年度 秋期 応用情報技術者試験 午前 問43（IPA）

• ファジングに該当するものはどれか。

  正解：ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。

  要点：ファジングは異常データを大量入力して脆弱性を見つける

  ファジングは、極端な値や想定外の形式を含む大量のデータをソフトウェアへ入力し、異常終了や予期しない挙動が起きないかを観察して脆弱性を洗い出す手法である。設計書やソースコードを見なくても実施でき、開発者が想定していない入力に起因する不具合を発見しやすい。

  出典：平成30年度 春期 応用情報技術者試験 午前 問42（IPA）

• ファジングに該当するものはどれか。

  正解：ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。

  要点：ファジングは想定外データを大量入力して未知の脆弱性を炙り出す

  ファジングは、極端に長い文字列や想定外の値など問題を起こしそうなデータを大量に自動生成してソフトウェアに入力し、異常終了やハングなどの挙動から未知の脆弱性を洗い出すテスト手法です。ソースコードがなくても実施でき、実装上の想定漏れを見つけるのに向いています。

  出典：令和1年度 秋期 応用情報技術者試験 午前 問44（IPA）

• ファジングに該当するものはどれか。

  正解：ソフトウェアに対し、問題を起こしそうな様々な種類のデータを入力し、そのソフトウェアの動作状態を監視して脆弱性を発見する。

  要点：ファジングは異常データを入力して脆弱性を検出する手法

  ファジングは、極端に長い文字列や想定外の値など問題を起こしそうなデータを大量に自動生成してソフトウェアに入力し、異常終了や想定外の挙動を観測して脆弱性を見つける手法です。ソースコードがなくても実施できる動的なテストである点が特徴です。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問45（IPA）