製造業における「ファジング」の重要性――ITと製品のセキュリティで何が違うのか：武田一城の「製品セキュリティ」進化論（8）（1/2 ページ）

近年「製品セキュリティ」と呼ばれ始めたセキュリティの新分野に関する事象を紹介し考察する本連載。今回は、製造業のセキュリティ対策で重要性を増す「ファジング」について整理した後、ITセキュリティと製品セキュリティの違いを解説する。

[武田一城，MONOist]

　ファジングは、2010年前後にIPA（情報処理推進機構）などを通じて国内でも注目されたテスト手法である。しかし、当時のITセキュリティの主戦場はWebアプリケーションであり、ファジングは一時的なブームの後、一般的なセキュリティ対策の中心からはやや外れていった。

　ところが2020年代に入り、自動車、産業機器、医療機器、家電、ロボットなど、さまざまな製品がネットワークやセンサーと接続されるようになったことで、その重要性は再び高まっている。

　特に製造業においては、ファジングを単なるサイバー攻撃対策の一手法として見るべきではなく、製品の品質、安全性、信頼性を確保するための実践的なテスト手法として捉える必要がある。

　今回は、まずファジングとは何かを整理した上で、Web全盛期のITセキュリティと、組み込み製品を中心とした製品セキュリティの違いについて述べる。

ファジングとは「データ入力に対する耐久試験」である

　ファジングとは、ソフトウェアや機器に対して大量のデータを入力し、異常終了、誤動作、処理停止、メモリ破壊などが起きないかを確認するテスト手法だ。

　入力されるデータは、必ずしも正常なデータだけでない。壊れたデータ、長過ぎるデータ、形式が崩れたデータ、境界値に近いデータなどを投入し、ソフトウェアがどこまで安全に処理できるかを確認する。

　製造業の感覚で言えば、ファジングは「データ入力に対する耐久試験」である。例えば、温度試験や振動試験では、製品が厳しい環境条件に耐えられるかを確認する。これと同じように、ファジングでは製品やソフトウェアが異常なデータ入力に耐えられるかを確認するのだ。

　今から約15年前、2010年前後において、ファジングは日本国内で一時的に注目された。しかし、当時のITセキュリティの中心は、主にWebアプリケーションであった。Webアプリケーションでは、利用者からの入力の多くがHTTPやHTTPSという決まった通信経路を通じて送られる。入力内容も、フォーム、URL、Cookie、JSON、ファイルアップロードなど、ある程度整理された形で扱われることが多かった。

　もちろん、Webアプリケーションにも多くの脆弱（ぜいじゃく）性が存在する。それらの主要な問題はSQLインジェクション、クロスサイトスクリプティング、認証不備、権限管理のミス、セッション管理の不備、設定ミスなどだ。しかしながら、このような脆弱性はファジングで発見できる性質のものではない。

　むしろ、セキュア開発としての設計、ソースコード診断、Web脆弱性診断、プラットフォームの脆弱性診断、ペネトレーションテスト、WAF、ライブラリ管理などの対策が効果を発揮しやすい領域であった。そのため、それらに対しては、ファジングという手法はほとんどの場合で機能しなかったといえる。

Webセキュリティでは主役になりにくかったファジング

　ファジングがWebアプリケーションの世界でまったく不要だったというわけではない。HTTPリクエスト、API、ファイルアップロード、画像処理、認証処理など、ファジングが有効な場面は少なからず存在する。

　しかし、Webアプリケーション全体を見れば、ファジングはどうしても主役級にはなりにくかった。その理由の一つは、先述のようにWebアプリケーションの入力経路が比較的整理されていることである。

　多くの場合、入力はWebブラウザやアプリケーションを通じてHTTPまたはHTTPSで送信される。さらにWebサーバ、アプリケーションフレームワーク、APIゲートウェイなどが入力を受け止める。一定の形式に整えた上でアプリケーションに渡すことが通常のシステム構成で、こうなるとデータ入力は安定しやすい。

　もう一つの理由は、Webサービス自体が比較的修正しやすい性質を持っていることである。何か問題が見つかれば、サーバ側のプログラムを修正し、再デプロイが可能となる。そうなれば、ごく短期間に多くの利用者へ修正した最新版を反映できる。

　もちろん、Webサービスであっても大規模な障害や重大な脆弱性が発生すれば、影響は大きい。しかし、製品として市場に出荷されたハードウェアのように、その製品を回収したり、公共の場や工場、家庭などの現場で動いている機器を停止させたりする場合と比べれば、修正の自由度ははるかに高い。

　そのため、ファジングそれ自体は有効な手法でありながらも、Webアプリケーションの現場では、先述したセキュア開発としての設計や脆弱性診断、認証／認可の確認、設定管理、ライブラリ管理といった対策の陰に隠れがちであった。

　結果として、2010年前後に一度注目されたものの、ファジングという手法は、少なくとも一般的なITセキュリティの文脈では、徐々に話題に上がりにくくなっていったのである。