開発者必須のツールとなるか

Googleがファジングを自動実行する脆弱性検知ツール「OSS-Fuzz」を公開

Googleがファジングテストを行うツールを発表。GitHubでβ版が公開されている。ファジングテストとは何か。OSS-Fuzzを利用することで何が得られるのか。

　Googleは2016年12月、ある施策によって開発者コミュニティーの話題となった。オープンソースコードの脆弱（ぜいじゃく）性を検出するソフトウェアファジングツールを発表したのだ。

ファジング（テスト）とは何か

　ファジングテスト、または単に「ファジング」といわれるものは、ソフトウェアテスト技法の1つだ。ソフトウェア、OS、ネットワークなどでコーディングの誤りやセキュリティの抜け穴を検出するもので、大量のランダムなデータ（これを「ファズ」という）をシステムに入力し、意図的にクラッシュを試みる。脆弱性が検出されると、ファズテスター（またはファザー）と呼ばれるツールが、その原因として考えられるものを表示する。

　Googleが今回発表した「OSS-Fuzz」は現在βテストの段階にあるが、その目標はスケーラブルな分散実行環境で最新のファジング技法を用いて、一般的に利用されているソフトウェアインフラのセキュリティを強化し、より強固にすることだ。

　Googleによると、基幹業務に導入しているオープンソースソフトウェア（OSS）にバッファーオーバーフローや「Use After Free」などのエラー（脆弱性）が含まれていると、重大な被害が広範囲に及ぶことが事例から確認されているという。これらのエラーは深刻な影響があるだけでなく、型通りのコードの監査ではたとえ経験豊富な開発者でも検出が困難なことでもよく知られている。

　そこでファジングテストが効果を発揮する。指定したプログラムにランダムな入力を生成すると、ファジングが起動してエラーを迅速かつ綿密に検査する。

この記事の著者

関連記事

• 

  Appleが方針転換を迫られた、iOSアプリの残念な現状

• 

  フラッシュ専用プロトコル「NVMe」（Non-Volatile Memory Express）の可能性

新着ホワイトペーパー PR

• 製品資料
  [株式会社うるる] 「入札市場」攻略ガイド：効率的に落札するためのポイントを徹底解説
• 製品資料
  [株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは？
• 市場調査・トレンド
  [株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」
• 製品資料
  [日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合／分離」を成功に導く秘訣
• 製品資料
  [rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用