ファジングで分かることと修正できること
基本情報技術者試験 平成31年度春期 午前 問45 ／ セキュリティ › セキュリティ技術評価
過去問にチャレンジ
ファジングで得られるセキュリティ上の効果はどれか。
- ア
ソフトウェアの脆弱性を自動的に修正できる。
- イ
ソフトウェアの脆弱性を検出できる。
- ウ
複数のログデータを相関分析し，不正アクセスを検知できる。
- エ
利用者IDを統合的に管理し，統一したパスワードポリシを適用できる。
会話形式の解説
講師ファジングでは、何を対象に、何をするかに注目します。
受験者ソフトウェアにいろいろな入力を与えて、動作を調べる試験でしょうか。
講師その通りです。異常な動作を調べることで脆弱性を発見できるため、「脆弱性を検出できる」が正解です。
受験者異常を見つけたら、自動的に修正するところまでできると思いました。
講師発見と修正は別の作業です。異常が見つかっても、原因を調べて修正する必要があります。
受験者複数のログを調べて不正アクセスを見つける説明も、異常を探す点では似ていませんか。
講師調べる対象が違います。ログの相関分析は、複数のログを関連付けて調べるSIEMの役割です。ファジングはソフトウェアに入力を与えて動作を調べます。
受験者利用者IDとパスワードポリシをまとめて管理する説明も、試験ではなく管理の話ですね。
講師はい。それはID管理システムの役割です。ソフトウェアの動作を調べるファジングとは目的が異なります。
受験者ファジングで選ぶのは脆弱性の検出です。修正、ログ分析、ID管理はそれぞれ別の作業だと分かりました。
講師似た説明で迷ったら、何を対象に何を行うかを確かめると区別しやすくなります。
まとめ
ファジングは、ソフトウェアに多様な入力を与えて動作を調べる試験手法です。異常な動作を調べることで、脆弱性を検出できます。見つけた問題の原因調査と修正は別に必要です。ログの相関分析はSIEM、利用者IDやパスワードポリシの統一はID管理システムの役割です。
解答・解説
正解はイです
この問題のテーマ
ファジングによって得られるセキュリティ上の効果を問う問題です。
解き方の考え方
ファジングでは、ソフトウェアに多様な入力を与え、そのときの動作を調べます。異常な動作が見つかれば、脆弱性を発見する手掛かりになります。この試験手法でできることと、修正や運用中の監視で行うことを区別します。
選択肢ごとの解説
- ×ア ソフトウェアの脆弱性を自動的に修正できる。脆弱性を自動的に修正できるという説明は誤りです。ファジングで異常を見つけても、その原因を調べて修正する作業は別に必要です。
- ○イ ソフトウェアの脆弱性を検出できる。脆弱性を検出できるという説明が正解です。さまざまな入力に対する異常な動作を調べることで、ソフトウェアの問題を発見できます。
- ×ウ 複数のログデータを相関分析し，不正アクセスを検知できる。複数のログを相関分析して不正アクセスを検知する説明です。これはログを分析するSIEMの役割であり、入力を与えてソフトウェアを試験するファジングの効果ではありません。
- ×エ 利用者IDを統合的に管理し，統一したパスワードポリシを適用できる。利用者IDをまとめて管理し、パスワードポリシを統一する説明です。これはID管理システムの役割であり、ソフトウェアの動作を調べる試験とは目的が異なります。
POINT
- 試験手法を問われたら、何を対象に何を行うかで見分けます。
- 異常を発見することと、その原因を修正することは別の作業です。
- ログの分析と利用者IDの管理は、それぞれ異なる仕組みの役割です。