CSIRTやSQLインジェクションなど応用セキュリティ用語の詳細説明-3
このページに含まれる単語は以下の通り。
APT，CSIRT，DNSキャッシュポイズニング，Elliptic Curve Cryptography，IDS，IPS，ISMS，PFS，PKI，RSA暗号，S/MIME，SQLインジェクション，SYNフラッド攻撃，TLS，X.509証明書，エクスプロイト，オープンリダイレクト，キーロガー，クリックジャッキング，クロスサイトスクリプティング
これらの用語について20語ずつ分かりやすい詳しい説明を掲載しています。
| APT |
| 高度な持続的脅威。長期間にわたる標的型攻撃 |
| 高度持続的脅威（Advanced Persistent Threat）の略で、特定の組織や個人をターゲットに、長期間にわたって攻撃を続ける手法です。APTは主に政府機関や大企業が狙われ、情報収集やシステム破壊が目的とされます。多層的なセキュリティ対策と監視が、APTの防御に有効とされています。 |
| CSIRT |
| セキュリティインシデント対応チーム |
| コンピュータセキュリティインシデント対応チーム（Computer Security Incident Response Team）の略で、サイバー攻撃やセキュリティインシデントの発生時に迅速に対応する専門チームです。インシデントの調査、対策の実施、再発防止策の策定が役割で、企業のセキュリティ対策において不可欠な存在です。 |
| DNSキャッシュポイズニング |
| DNSのキャッシュ情報を改ざんする攻撃 |
| DNSサーバのキャッシュを改ざんし、ユーザーを偽のウェブサイトに誘導する攻撃手法です。ユーザーは無意識のうちにフィッシングサイトなどにアクセスし、情報が盗まれるリスクがあります。対策としてDNSSECの導入やDNSサーバのセキュリティ強化が推奨されます。 |
| Elliptic Curve Cryptography |
| 楕円曲線を用いた公開鍵暗号（ECC） |
| 楕円曲線暗号のことで、楕円曲線の数学的特性を利用した暗号化手法です。RSAに比べて同じセキュリティレベルで短い鍵長が使用可能なため、軽量で高速です。IoTやモバイル端末など、リソースが限られるデバイスでの暗号化に適しており、セキュリティと効率性を兼ね備えています。 |
| IDS |
| 侵入検知システム |
| 侵入検知システム（Intrusion Detection System）の略で、不正アクセスや攻撃を検知し、警告を出すシステムです。ネットワークやホストのトラフィックを監視し、異常な活動を発見する役割があります。IDSはシステムの安全性を保つための補助的な役割を果たし、企業のセキュリティ監視に多用されています。 |
| IPS |
| 不正アクセスを防止するシステム |
| 侵入防止システム（Intrusion Prevention System）の略で、不正アクセスを検知し、攻撃を自動的に遮断するシステムです。IDSと異なり、リアルタイムでの対策が可能で、ネットワーク上の脅威に対して迅速に反応します。企業ネットワークの保護において、IPSは重要な役割を担っています。 |
| ISMS |
| 情報セキュリティマネジメントシステム |
| 情報セキュリティマネジメントシステム（Information Security Management System）の略で、組織全体の情報セキュリティを管理し、リスクを最小化するための仕組みです。ISMSには国際規格のISO 27001があり、企業の信頼性向上に寄与します。ISMSを導入することで、セキュリティの計画的な管理が可能となります。 |
| PFS |
| セッションキーの安全性を高める方式 |
| 完全前方秘匿（Perfect Forward Secrecy）の略で、過去の通信内容が解読されないようにする暗号技術です。セッションごとに新しい鍵を生成し、万一の鍵漏洩にも備えます。特にTLS接続で使用され、通信の安全性を高めるために重要視されています。 |
| PKI |
| 公開鍵基盤。公開鍵暗号の運用基盤 |
| 公開鍵基盤（Public Key Infrastructure）の略で、公開鍵と秘密鍵の管理を通じて、データの安全なやり取りを実現するシステムです。PKIはデジタル証明書の発行、失効、管理を行い、電子取引や認証において信頼性を提供します。安全な通信と認証のために欠かせない基盤です。 |
| RSA暗号 |
| 大きな整数の素因数分解の難しさを利用した公開鍵暗号方式の一種 |
| 公開鍵暗号方式の一つで、2つの異なる鍵（公開鍵と秘密鍵）を使用します。RSAはセキュリティが高く、インターネット上の通信や電子署名で使用されています。特に、重要な情報を安全にやり取りする際に適しており、現在も広く採用されています。 |
| S/MIME |
| 電子メールの暗号化とデジタル署名のための規格 |
| 電子メールの暗号化とデジタル署名を行うための技術で、メッセージの機密性と完全性を保証します。S/MIMEにより、送信者が偽装されていないか確認でき、メールが改ざんされていないことも保証されます。ビジネスの電子メールでの安全性を確保するため、広く利用されています。 |
| SQLインジェクション |
| データベースに不正なSQLを実行させる攻撃 |
| データベースと接続するウェブアプリケーションに対して、不正なSQLクエリを挿入し、情報を盗む攻撃手法です。SQLインジェクションを防ぐためには、入力値のバリデーションやパラメータ化クエリの使用が必要です。データベースの安全を守るため、アプリケーションの適切なコーディングが求められます。 |
| SYNフラッド攻撃 |
| TCPの接続要求を悪用したDoS攻撃 |
| ネットワーク上でサーバに対して大量のSYNパケットを送信し、サービスを妨害する攻撃です。サーバのリソースを消費させ、正常なリクエストを処理できなくします。対策にはファイアウォールやアクセス制御リストが有効で、ネットワークの可用性維持に重要な手法です。 |
| TLS |
| 通信の暗号化と認証を提供するプロトコル |
| Transport Layer Securityの略で、インターネット上でのデータを暗号化し、安全な通信を提供するプロトコルです。TLSはSSLの後継として信頼性が向上し、データの盗聴や改ざんを防ぎます。銀行やショッピングサイトなどで多く採用され、ユーザーの個人情報保護に役立っています。 |
| X.509証明書 |
| 公開鍵証明書の標準形式 |
| デジタル証明書の標準規格で、公開鍵や所有者情報を含み、インターネット上での信頼性を保証します。X.509証明書はHTTPS接続や電子署名に使われ、通信の暗号化や認証に重要です。信頼できる認証局によって発行され、通信の安全性を高めます。 |
| エクスプロイト |
| 脆弱性を利用するためのコードや手法 |
| 脆弱性を悪用するために作成されたコードやツールで、攻撃者がシステムやネットワークを不正に操作するために利用します。エクスプロイトが悪用されると、情報漏えいやデータ破壊が発生するため、脆弱性対策が不可欠です。エクスプロイトの検知と防御がセキュリティ対策の要となります。 |
| オープンリダイレクト |
| 不正なサイトへ誘導する脆弱性 |
| 信頼されたウェブサイトから別のサイトへ自動的にリダイレクトされる仕組みで、悪用されるとフィッシングに利用される可能性があります。ユーザーが信頼しているサイトからのリンクを通じて不正なページに誘導され、情報が盗まれるリスクがあります。リダイレクト先を事前に確認する対策が重要です。 |
| キーロガー |
| キーボード入力を記録するマルウェア |
| ユーザーが入力したキーの履歴を記録するソフトウェアまたはハードウェアで、パスワードや個人情報を盗むために悪用されることがあります。特に、オンラインバンキングや重要な認証でのキーロガーの被害は深刻です。アンチウイルスソフトや多要素認証での防御が推奨されます。 |
| クリックジャッキング |
| ユーザーのクリックを不正に誘導する攻撃 |
| ユーザーに見せかけたリンクやボタンをクリックさせ、不正な操作を実行させる攻撃です。透明なレイヤー上に偽のボタンを配置し、無意識のうちに重要な操作をさせることが目的です。対策には、X-Frame-Optionsヘッダの使用やユーザーへの警告が有効です。 |
| クロスサイトスクリプティング |
| Webアプリの脆弱性攻撃の一種で悪意のあるスクリプトを埋め込む攻撃 |
| 悪意あるスクリプトがウェブサイトに埋め込まれ、訪問者のブラウザで実行される攻撃です。クロスサイトスクリプティングは、ユーザーのクッキーや認証情報を盗むことが可能で、ウェブアプリケーションの脆弱性を悪用します。適切な入力値検証やエンコードで防御が必要です。 |
