IT資格用語解説情報処理安全確保支援士試験・アプリケーションセキュリティ
脆弱性検査技術（SAST、DAST、IAST、ファジングほか）
更新日:
用語解説
脆弱性検査技術は、ソースコード、実行中アプリ、依存部品、入出力などを異なる観点から調べ、セキュリティ欠陥を開発中又は運用前後に発見する技術群です。
■ 試験で押さえるポイント
SASTは実行せずコードや中間表現を解析し、早期検出に向く一方、実行環境固有の問題や誤検知があります。
DASTは稼働中システムを外部から検査し、IASTは実行時の内部情報も使って入力と脆弱箇所を対応付けます。
ファジングは無効値、境界値、変異データを大量入力し、クラッシュ、ハング、メモリ異常、想定外応答を監視します。
既知部品を調べるSCA、手動レビュー、ペネトレーションテストも目的が異なり、単一技術で完全な網羅性は得られません。
■ 過去問での着眼点
実行有無と観測位置からSAST・DAST・IASTを区別し、異常入力で未知欠陥を探すファジングの特徴を判断します。
例: 通信パーサへ長さ、欠落、重複、ランダム変異を加えた入力を送り、メモリ検査器で境界外アクセスを検出します。