ファジングとは？

詳細解説

ファジング（Fuzzing）は、ソフトウェアに、不正な形式や極端に長いデータ、でたらめなデータ（ファズ）を大量に自動で入力し、異常終了や予期しない動作が起きないかを調べる脆弱性の検査手法です。プログラムを実際に動かして調べる動的検査の一種で、開発者が想定していなかった入力の取扱いの不備を見つけやすいのが利点です。ソースコードを実行せずに調べる静的検査（ソースコード静的検査）とは、調べ方が異なり、両者は補完関係にあります。見つかった異常は、バッファオーバーフローなどの脆弱性につながる可能性があるため、リリース前に修正するのが重要です。ネットワークプロトコルや、ファイルを読み込む機能の検査にもよく使われます。シラバスでは、脆弱性検査技術の用語例として、ソースコード静的検査、プログラムの動的検査と並んでファジングが挙げられており、ソフトウェア検証テストの用語例にも含まれています。

FE試験での出題ポイント

• 1ファジングが動的検査であることと、静的検査との違いを区別できるようにする
• 2想定外の入力を与えて異常を見つけるという仕組みを説明できるようにする
• 3発見の対象が脆弱性・不具合であることを理解する