基本情報 2022 サンプル問題 問34：テクノロジ系に関する問題

答えは c です。

ファジング（fuzzing）は、ソフトに わざとデタラメなデータを大量に投げつけて、「変な動きしない？落ちない？」をチェックするテスト手法。

たとえば自販機のボタンに変な力で押したり、コインの代わりに紙幣を突っ込んだりして、壊れないか試すイメージ。普通の動作確認では見つからない“スキマの不具合（脆弱性）”をあぶり出します。

👉 覚え方：fuzz（あいまいな・モヤモヤ）＋ -ing ＝ デタラメ攻撃テスト

ほかの選択肢：a ポートスキャン（どのサービスが動いてるか調べる）／b ログ解析でファイル改ざん検知／d パケット監視で攻撃パターン検出（IDS／IPS）。全部別の手法。

なぜこれが正解か

正解は c。ファジング（Fuzzing）は、検査対象のソフトウェアに想定外・異常・境界値・ランダムなデータを大量自動入力し、クラッシュ・例外・メモリリーク等の挙動異常を観測することで未知の脆弱性を発見する動的テスト手法。バッファオーバフロー、入力検証不備、パース処理のバグなどに有効。

各選択肢の解説

• a：FINパケット送信＝ポートスキャン（FINスキャン）の説明。
• b：ログ解析による改ざん検知＝SIEM／ファイル整合性監視（FIM）の説明。
• c：異常入力で挙動監視＝ファジングの定義。正解。
• d：シグネチャ照合でのパケット検査＝シグネチャ型IDS／IPSの説明。

覚え方・ひっかけ注意

「ファジー（曖昧）なデータをぶつける → 脆弱性発見」と覚える。a/b/d はそれぞれ別の頻出技術なので、ファジングと混同しないこと。製品出荷前のセキュリティ品質確保（IPA推奨）でも紹介される。

理論的背景

ファジングは生成方式で分類される。(1) ランダム（Dumb）ファジング：完全ランダムバイト列を生成。実装は簡単だがカバレッジが浅い。(2) ミューテーション型：正常入力をビット反転・追加・削除等で変異させる（AFL等）。(3) ジェネレーション型：プロトコル仕様やgrammarに基づき構造的に有効/無効な入力を生成（Peach、boofuzz）。(4) カバレッジガイド型：実行パスのカバレッジ情報をフィードバックし、新規パスへ到達する入力を進化的に選択（AFL、libFuzzer、Honggfuzz）。コンパイラ計装（SanitizerCoverage）と組み合わせ、Google OSS-Fuzzが多数のOSSで連続実行。

検出すべき異常は ASAN（AddressSanitizer）/MSAN/UBSAN等のサニタイザでメモリ破壊・未定義動作として顕在化させる。

実務での使われ方・関連規格

ISO/SAE 21434（自動車サイバーセキュリティ）、IEC 62443（産業制御）でファジングがセキュリティ検証手法として明示。脆弱性ハンドリング（CVD：Coordinated Vulnerability Disclosure）でメーカーが出荷前検証として組み込み、Microsoft SDL、OWASP SAMMの検証フェーズに位置づけ。クラウド時代はCI/CDパイプラインに組み込む「Continuous Fuzzing」が標準化。

試験での位置づけ

基本情報では「動的解析手法」「脆弱性検出技術」でペネトレーションテスト・静的解析（SAST）・動的解析（DAST）・SCA（OSS成分分析）と並列出題。応用情報・支援士ではAFLのカバレッジ進化戦略やシード入力設計まで踏み込む。

選択肢の発展補足

d のシグネチャ型IDSは既知攻撃検出に強い反面、未知攻撃（ゼロデイ）に弱い。対策としてアノマリ型IDS、機械学習ベースのNDR、ファジングで事前に脆弱性を潰すアプローチが補完関係にある。