脆弱性対策：ファジング

製品出荷前に未知の脆弱性をみつけよう

このウェブページでは、「脆弱性検出の普及活動」(*1)で公開した「ファジング活用の手引き」等の「ファジング」(*2)に関する手引書などを紹介しています。これらの手引書などをご活用いただき、ソフトウェア製品の開発ライフサイクルへのファジング導入につながり、ソフトウェア製品の脆弱性が減少することを期待します。

ファジングコンテンツ一覧

1. 「ファジング活用の手引き」
2. 別冊「ファジング実践資料」
3. 別冊「ファジング実践資料（UPnP編）」
4. 別冊「ファジング実践資料（テストデータ編）」
5. 別冊「ファジング実践資料（AFL編）」
6. テクニカルウォッチ 製品の品質を確保する「セキュリティテスト」に関するレポート
7. スマートテレビの脆弱性検出に関するレポート
8. JPEGテスト支援ツール「iFuzzMaker」
9. ファジングに関するFAQ

別冊「ファジング実践資料」の内容

ファジング活用の手引き

（2018年7月13日更新）

• ファジング活用の手引き(全49ページ）(PDF:3.5 MB)

「ファジング活用の手引き」は 6 つの章と 1 つの付録で構成しています。

1. 本書の3 つのポイント：効果・実績・活用

• ファジングを活用すると、どんな効果を得られるか。

2. ファジングとは

• ファジングとは何か。

3. 開発ライフサイクルにおけるファジングの活用

• ソフトウェア製品の開発ライフサイクルにおいて、どの工程でファジングを活用できるのか。

4. IPA におけるファジング実績

• IPA がファジングを実践した結果、どんな実績が得られたか。

5. ファジングの実践

• 実際にどのようにファジングを実践するか。
• IPA はどのようにファジングを実践したか。

6. ファジング活用に関わる動向

• 企業ではどのようにファジングを活用しているか。
• 標準化においてファジングはどう位置付けられているか。

付録A ファジングツールの紹介

• どのようなファジングツールがあるのか。

別冊「ファジング実践資料」の内容

ファジング実践資料

（2017年3月3日更新）

• ファジング実践資料 第2版(全49ページ）(PDF:2.1 MB)
• ファジング実践資料 第1版(全49ページ)(PDF:1.1 MB)

「ファジング実践資料」は 3 つの使い方を想定しています。

1. ファジングを試してみたい
2. ファジングで使われるテストパターンがどんなものか知りたい
3. ファジングツールを使わずにファジング結果を再現したい

別冊「ファジング実践資料（UPnP編）」の内容

ファジング実践資料（UPnP編）

（2013年3月18日公開）

• ファジング実践資料（UPnP編）(全75ページ）(PDF:2.1 MB)
• UPnP の探索リクエストに関するPeach 設定ファイル(6 KB)
• UPnP の広告リクエストに関するPeach 設定ファイル(8 KB)

「ファジング実践資料（UPnP編）」は 3 つの使い方を想定しています。

1. UPnP機能に対してファジングを実践したい
2. UPnP機能に対するファジングの考え方を知りたい
3. UPnPの仕組みを知りたい

別冊「ファジング実践資料（テストデータ編）」の内容

ファジング実践資料（テストデータ編）

（2016年3月31日更新）

• ファジング実践資料（テストデータ編）(全47ページ）(PDF:3.0 MB)

「ファジング実践資料（テストデータ編）」は 3 つの使い方を想定しています。

1. ファジングで使われるテストデータの考え方を知りたい
2. ファジングで使われるテストデータの例を具体的に知りたい
3. ファジングのテストデータに関する知識の活用方法を知りたい

別冊「ファジング実践資料（AFL編）」の内容

ファジング実践資料（AFL編）

（2020年3月27日更新）

• ファジング実践資料（AFL編）(全21ページ）(PDF:896 KB)

「ファジング実践資料（AFL編）」は 2 つの使い方を想定しています。

1. ファジングツール「AFL」を試してみたい
2. ファジングで使われるテストパターンがどんなものか知りたい

テクニカルウォッチ 製品の品質を確保する「セキュリティテスト」に関するレポート

（2012年9月20日公開）

• テクニカルウォッチ 製品の品質を確保する「セキュリティテスト」に関するレポート(PDF:1.8 MB)

スマートテレビの脆弱性検出に関するレポート

（2013年3月18日公開）

• スマートテレビの脆弱性検出に関するレポート(全21ページ）(PDF:1.6 MB)

JPEGテスト支援ツール「iFuzzMaker」

（2013年7月30日公開）

• 「iFuzzMaker」のウェブページ

ファジングに関するFAQ

（2014年6月16日公開）

• 「ファジングFAQ」ページ

参考情報

• 「ファジング活用の手引き」を公開 （2012年3月27日公開）
• 「製品の品質を確保する『セキュリティテスト』に関するレポート」を公開 （2012年9月20日公開）
• 「スマートテレビの脆弱性検出に関するレポート」を公開 （2013年3月18日公開）

謝辞

本資料の作成には次の方々にもご協力いただきました。

• 株式会社東陽テクニカ
• 西日本電信電話株式会社
• 日本コーネット・テクノロジー株式会社
• ノックス株式会社
• 株式会社フォティーンフォティ技術研究所
• 株式会社アイユート

脚注

1. (*1)
   ソフトウェア製品における脆弱性の減少を目指す「脆弱性検出の普及活動」を開始
2. (*2)
   ソフトウェア製品などに何万種類もの問題を起こしそうなデータ（例：極端に長い文字列）を送り込み、ソフトウェア製品の動作状態（例：製品が異常終了する）から脆弱性を発見する技術です。