ファジングとは？ペネトレーションテストとの違いやツールの比較ポイント

ペネトレーションテストとの違い

ファジングと似た検査に、ペネトレーションテストがあります。よく混同されがちなテストですが、検査対象や内容・目的・得られる結果に明確な違いがあります。

ペネトレーションテストは、企業などですでに実装されているネットワークが検査対象です。攻撃者の視点でシナリオを作成し組織のネットワークシステムへの侵入をテストします。ネットワークシステムのセキュリティ対策・情報の管理体制で脆弱な部分を把握し、企業などのネットワーク体制を強化するためのデータ収集が目的です。

ファジングとペネトレーションテストの目的の違いは、以下のとおりです。

ペネトレーションテスト（侵入テスト）の詳細については下記もご参考ください。

【関連記事】ペネトレーションテスト（侵入テスト）とは｜脆弱性診断との違いや種類・やり方

脆弱性を発見できる

ファジングでは、ソフトウェアの脆弱性を発見できます。ファジングでわかる脆弱性とは、思いもよらぬ挙動につながるソフトウェア設計上の欠陥のことです。

ファジングではソフトウェア内部の情報は無視して、専用ツールを用いての入力データの生成を自動化し、さまざまな入力データを送り込む方法が一般的です。ツールで自動化するため、ソフトウェア担当者などの偏見なども関与せず、開発した段階では予想していなかった入力データでテストできます。

予期せぬ挙動から脆弱性を発見することで、ウイルス感染や不正アクセスなど外部から攻撃される経路を少なくできるのです。

バグを発見できる

ファジングでは脆弱性の発見と同時に、ソフトウェアのバグ（不具合）を発見できます。バグがあると、ソフトウェアプログラムが正しく作動しない場合や、想定していた動きと異なる挙動につながりかねません。

ファジングツールを使用すれば、人知では予測できない大量の入力データを自動で送り込めます。そのため、開発段階では予測もつかないような不具合を発見しやくなります。結果としてプログラムを修正でき、ソフトウェア運用時の思いがけないトラブルなどを回避できる可能性が高まります。

自動で試験できる

ファジングはツールを利用することで、ファズの生成からソフトウェアへの送り込み・挙動の監視までを自動で行えます。検査の自動化によって、人力で時間をかけてテストする必要がありません。従業員の時間だけでなく人件費の削減にもつながり、結果的に業務効率アップにもつながります。

また、自動化することによって人間が予測しきれないファズを作り出せるため、より多角的な視点から検査ができるのは大きなメリットです。

検出できないパターンがある

ツールを使用してファジングを自動化できるメリットの一方で、同じツールからは事前に決められたパターンのファズしか入力できません。自動化により多くのファズを送り込めますが、使用しているツールのパターンから外れた問題の検出はできないことになります。

このことから、ファジングでテストしたソフトウェアに対して、脆弱な部分やバグが「完全になくなった」とは言い切れません。パターン外の“検出できない問題”がソフトウェアに残ると、運用中のトラブルになる可能性が拭いきれないでしょう。

対応策としては、ファジング対象になるソフトウェアに適したファジングツールを使用することが挙げられます。ファジングツールとひと口に言ってもさまざまなツールがあるため、専門家に相談し最適なツールを使用するようにしましょう。

原因分析には専門知識が要る

ファジングはあくまで、脆弱性や不具合を見つけるテストです。バグなどを発見したあとの詳細な原因分析まではできません。「ファジングでバグを発見して修正し、ソフトウェアの不具合を少なくする」ところがファジングを行うゴールのため、専門知識のある人材が必要です。

テストでは脆弱性や不具合の発見までを行えると理解し、原因分析は専門知識のある人材を雇用する、あるいは分析も外部の専門家に任せるなどの対応が求められます。