セキュリティ技術評価

要点と定義

セキュリティ技術評価の目的は、情報資産の不正コピーや改ざんなどを防ぐ製品について、セキュリティ水準を知ることです。評価では、製品が備えるセキュリティ機能と、その機能が適切に設計・実装されていることをどのように確認するかを扱います。評価方法、セキュリティ機能要件、セキュリティ保証要件、保証レベルなどは、この評価を考えるときの用語です。

過去の出題で扱った補足として、ファジングはソフトウェアに多様な入力を与え、実行時の挙動を観察して脆弱性や不具合を探す手法です。入力を変化させ、その反応を見るという判断が必要です。設問ではこの手法を直接問うており、ファジングの説明を選ぶ根拠になります。

CVEは、公開された脆弱性を個別に識別するための識別子です。脆弱性情報を参照するとき、製品の種類や設定項目ではなく、脆弱性そのものを指す識別子だと判断する知識が必要です。これは過去の出題で扱った補足です。

過去の出題で扱った補足として、電子政府推奨暗号リストは、利用を推奨する暗号技術を示すリストとして説明されています。リスト名と説明の対応を把握することが、出題の正答判断に必要でした。現行の細目にこの定義が明記されているとは断定しません。

適用条件と例

たとえば、ある製品の調達に際してセキュリティ水準を知りたい場合、必要なセキュリティ機能を定め、その機能の設計・実装をどのように評価するかを検討します。機能があるという説明だけで、評価の範囲や保証の程度まで確認できたことにはなりません。評価目的と、確認する機能・保証の内容を対応させます。

脆弱性診断の一例として、検証用のソフトウェアに通常と異なる形式や値の入力を与え、異常終了や予期しない結果がないか観察する方法があります。これは過去の出題で扱ったファジングの考え方に沿う例です。試した入力の範囲で異常を見つけられなかったとしても、未試験の条件に問題がないとは結論できません。

脆弱性情報を調査するときは、識別子の対象を確認します。CVEを手掛かりにする場合は、対象となる脆弱性を個別に識別するための情報として扱います。

誤りやすい点

ファジングは、対象ソフトウェアに入力を与えて実行時の挙動を見る手法です。ソースコードの確認、ソフトウェアのバージョンやパッチの調査、ネットワーク通信の観察とは、何を調べるかが異なります。入力と実行時の反応の両方に注目すると、手法を取り違えにくくなります。これらの区別は過去の出題で扱われた補足です。