セキュリティ技術評価と脆弱性検査

要点と定義

セキュリティ技術評価は、情報資産の不正コピーや改ざんなどを防ぐ製品・システムについて、セキュリティ水準や対策の有効性を把握するために行う。ファジングは、対象ソフトウェアに多様な入力データを与え、その挙動を観察して脆弱性や異常を見つける検査手法である。ペネトレーションテストは、攻撃者の視点からシステムへの侵入を試み、アクセス制御を含むセキュリティ対策の有効性を確認する。CVSSは、脆弱性の深刻度を評価するための共通の仕組みである。出題時の評価基準の説明では、基本・現状・環境の三つの基準群を用いる。

適用条件と例

ソフトウェアの入力処理に潜む問題を探す場合は、正常値だけでなく、想定外の値や形式を含む多様なデータを与え、異常終了や不正な挙動がないかを観察する。これはファジングの適用例である。システムへの侵入を試みてアクセス制御などの対策が有効に機能するかを確かめる場合は、ペネトレーションテストを用いる。脆弱性の深刻度を評価する場面ではCVSSが関係する。

ファジングでは、想定外の入力を含む多様なデータを対象ソフトウェアに与え、その反応を観察して脆弱性を検出する。既知の脆弱性に対する版や修正状況の確認、セキュリティ情報に基づく検査、ソースコードの構文確認とは、検査の着眼点が異なる。

ペネトレーションテストは、システムへの侵入を試みることで、アクセス制御を含むセキュリティ対策が有効に機能するかを確認する。したがって、ネットワークへのアクセス制御の有効性は、このテストで確認する対象となる。

ファジングは、ソフトウェアに問題を起こしそうな多様なデータを入力し、挙動を監視して脆弱性を探す手法である。通信パケットを攻撃パターンと照合する検知や、ログからファイル改ざんを調べる方法とは目的と観察対象が異なる。

ファジングでは、ソフトウェアに多様な入力データを与え、異常な挙動や脆弱性がないかを調べる。サービスを探すための通信応答の観察、ログや履歴を用いた改ざん確認、通信内容と攻撃パターンの照合は、ファジングの原理ではない。

出題時に示されたCVSSの評価基準群は、基本評価基準、現状評価基準、環境評価基準であり、脆弱性の深刻度を評価する。これは脆弱性の深刻度評価に関する説明で、組織の情報セキュリティ管理や特定分野のセキュリティ基準を指すものではない。

ファジングは、問題を起こしそうなさまざまな入力をソフトウェアに与え、動作状態を監視して脆弱性を発見する。大量のリクエストによる処理量の計測、パスワード候補を用いたログイン試行、入力文字列の置換による無害化は、それぞれ別の目的の処理である。