2017年02月03日 08時00分 UPDATE
特集/連載

開発者必須のツールとなるかGoogleがファジングを自動実行する脆弱性検知ツール「OSS-Fuzz」を公開

Googleがファジングテストを行うツールを発表。GitHubでβ版が公開されている。ファジングテストとは何か。OSS-Fuzzを利用することで何が得られるのか。

[Adrian Bridgwater,Computer Weekly]
Computer Weekly

 Googleは2016年12月、ある施策によって開発者コミュニティーの話題となった。オープンソースコードの脆弱(ぜいじゃく)性を検出するソフトウェアファジングツールを発表したのだ。

Computer Weekly日本語版 1月25日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版 1月25日号」(PDF)掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

なお、同コンテンツのEPUB版およびKindle(MOBI)版も提供しています。

ボタンボタン

ファジング(テスト)とは何か

 ファジングテスト、または単に「ファジング」といわれるものは、ソフトウェアテスト技法の1つだ。ソフトウェア、OS、ネットワークなどでコーディングの誤りやセキュリティの抜け穴を検出するもので、大量のランダムなデータ(これを「ファズ」という)をシステムに入力し、意図的にクラッシュを試みる。脆弱性が検出されると、ファズテスター(またはファザー)と呼ばれるツールが、その原因として考えられるものを表示する。

 Googleが今回発表した「OSS-Fuzz」は現在βテストの段階にあるが、その目標はスケーラブルな分散実行環境で最新のファジング技法を用いて、一般的に利用されているソフトウェアインフラのセキュリティを強化し、より強固にすることだ。

 Googleによると、基幹業務に導入しているオープンソースソフトウェア(OSS)にバッファーオーバーフローや「Use After Free」などのエラー(脆弱性)が含まれていると、重大な被害が広範囲に及ぶことが事例から確認されているという。これらのエラーは深刻な影響があるだけでなく、型通りのコードの監査ではたとえ経験豊富な開発者でも検出が困難なことでもよく知られている。

 そこでファジングテストが効果を発揮する。指定したプログラムにランダムな入力を生成すると、ファジングが起動してエラーを迅速かつ綿密に検査する。

この記事が気に入ったらTechTargetジャパンに「いいね!」しよう

この記事を読んだ人にお薦めのホワイトペーパー

この記事を読んだ人にお薦めの関連記事

Loading

注目テーマ

ITmedia マーケティング新着記事

news014.jpg

SNSあれば憂いなし、今何に備えるべきかを調査で知ろう
地震、雷、火事、ネット炎上。不測の事態への対策から学力向上、働き方改革まで、私たち...

news010.jpg

海の家でトライアル、O2Oアプリ×IoTで店舗のスマホ施策はどう変わる?
江ノ島にある海の家でO2OアプリとIoT販促ツールを組み合わせた実証実験が行われている。...

news023.jpg

LINEと博報堂DYデジタル、「LINE」上での広告効果測定の精緻化を図る共同プロジェクトを開始
LINEは、同社の広告サービスにおいて、効果測定の精緻化を図るプロジェクトを博報堂DYと...