ファズ)とは、Google製のオープンソースソフトウェア向け継続的ファズテストツールです。複数ツールを組み合わせて「ファジング手法+分散実行」によりソフトウェア脆弱性を検出します。ファズ)とは、Google製のオープンソースソフトウェア向け継続的ファズテストツールです。複数ツールを組み合わせて「ファジング手法+分散実行」によりソフトウェア脆弱性を検出します。「ファジング(ファズテスト)」とは「ファジング(ファズテスト)」とは、ソフトウェアの不具合(脆弱性)を発見するためのテスト手法の1つです。検査対象のソフトウェアに予測不可能な入力データ(ファズ:fuzz)を入力し、意図的に例外を発生させ、その応答/挙動を監視することで脆弱性を検出する検査手法です。基本説明OSS-Fuzzは、ファジングを機械的に実行するためのファズテストツールです。「最新ファジングテクニック」と「スケーラブル分散実行」を組み合わせることで、オープンソースソフトウェアを安全/安定にすることを目指しています。OSS-Fuzzにより、オープンソースソフトウェアに対する大規模脆弱性テストを行うことができるようになり、安定した高品質なソフトウェア開発に寄与するツールとして期待されています。Initiative」で開発が行われています。Initiative」は、インターネット基盤ソフトウェア(OpenSSL/OpenSSH/NTPDなど)の開発支援を行う協業プロジェクトです。2016年12月、GoogleはOSS-Fuzzのオープンソース発表を行いました。拡張性のあるファジング分散実行環境OSS-Fuzzは、さまざまな「ファジングエンジン」「サニタイザ」などを組み合わせて、セキュリティ脆弱性/論理的バグなどを検出しようとしています。OSS-Fuzzには、汎用ファジングエンジン「AFL」「libFuzzer」や、サニタイザ「AddressSanitize」などが実装されています。これらは、GoogleがChromeブラウザのコンポーネント脆弱性テストに使用しています。分散型ファジングインフラ「ClusterFuzz」を利用して、拡張性のある分散実行環境を実現しています。検出できるバグ種類には次のようなものがあります。・論理上のバグ(場合によっては)バグ検出オペレーションOSS-Fuzzに参加するオープンソースプロジェクトでバグが発見された場合のオペレーションです。しているプログラミング言語は、C/C++です。同様な機能を提供する製品として、次のようなものがあります。Proxy(ZAP)」など。導入事例OSS-Fuzzは「OpenSSL」「JSON」「Node.js」「PostgreSQL」「SQLite3」「ffmpeg」などのプロジェクトで利用されており、「1週間に最大4兆回のテストケースを回している」としています。このライセンスに従うことを条件として、ソースコードの改変と公開が許可されています。ダウンロードダウンロードページ※定期的にメンテナンスを実施しておりますが、一部情報が古い場合がございます。11:03)Googleのバグ検出ロボット「OSS-Fuzz」により、この数カ月で1000件以上のバグが見つかっている。reserved.このページに掲載されている記事・写真・図表などの無断転載を禁じます。著作権は情報提供者に帰属します。掲載している情報は、記事執筆時点のものです。