Downgrade attackSSL/TLS通信に対する攻撃手法SSL/TLS通信時のサーバーとクライアントに、脆弱性のあるSSL/TLSのバージョンや、強度の弱い暗号化アルゴリズムの使用を強制することで、脆弱性を突いた通信傍受などを行う攻撃。 攻撃の種類には、FREAK、Logjam…

Risk Treatmentリスクに関しての情報を入手、分析、評価した後に行う活動。リスク対応は、以下の4つに分類することができる。 １．リスク回避 リスクの要因そのものを取り除くことでリスクをなくしてしまう対策。 ２．リスク移転 リスクを自組織外に移転する…

ハッシュ値に関する指標同じハッシュ値をとるようなメッセージの組を一つでも見つけることは非常に困難という性質。 ハッシュ値とは、元のデータからある計算式 (ハッシュ関数)によって得られる固定長の値のこと。衝突発見困難性が高いハッシュ関数ほど、セ…

Service Oriented Architectureサービス指向アーキテクチャ システムを、利用者側から見たサービスという構成単位で構築する手法。 サービスの内容は、利用者側の視点から見た作業単位に対応して決められる。業務環境の変化に柔軟に対応することができるよう…

IP Spoofing送信元のIPアドレスを偽装(なりすまし)して通信を行う攻撃手法。DoS攻撃において、攻撃元の特定を困難にすることができる。 IPスプーフィングへの対策・外部から入るパケットの送信元が自ネットワークと同じIPアドレスの場合は破棄する。・外部へ…

Web Application Firewallウェブアプリケーションの脆弱性をついた攻撃を検知・遮断するソフトウェア(またはハードウェア)。 一般的なファイアウォールと異なり、データ部分をアプリケーションレベルで解析できるのが特徴。 ウェブアプリケーション自体にセ…

Payment Card Industry Data Security Standardクレジットカード情報および取り引き情報を保護するために策定されたクレジット業界におけるグローバルセキュリティ基準。クレジットカードの国際ブランド大手5社共同(VISA，MasterCard，JCB，American Express…

Virtual Desktop Infrastructure デスクトップ仮想化パソコンのデスクトップ環境をサーバ上に仮想環境として用意・集約してサーバ上で稼働させる技術。 利用者がネットワークを通じてVDIサーバ上の仮想デスクトップ環境に接続し、利用者のPCにはVDIサーバか…

DNS Security ExtensionsDNSにおける応答の正当性を保証するための拡張仕様。ドメイン登録情報にデジタル署名を付加することで、正当な管理者によって生成された応答レコードであることを保証する。サーバとクライアント双方がこの拡張に対応していればDNS応…

Advanced Encryption Standard2000年にアメリカ政府が標準として策定した共通鍵暗号方式。 以前の標準暗号であったDESの時代経過による相対的な強度の低下などにより、次世代暗号方式として規格化された。 暗号化に用いるブロック長は128ビット、使用する鍵…

Common Vulnerabilities and Exposures(共通脆弱性識別子)一般公表されている脆弱性情報を掲載している脆弱性情報のデータベース。米国政府の支援を受けた非営利団体のMITRE社が管理運営している。世界各国の製品開発企業、セキュリティ関連企業、調整機関等…

Sandboxコンピュータ上に設けられた安全なプログラム実行環境。外部から受け取ったプログラムを保護された領域で動作させることにより、システムが不正に操作されるのを防ぎセキュリティを向上させる仕組み。 サンドボックスの例としては、JavaアプレットAdo…

OS command injectionユーザからのデータ入力を受け付けるシステムにおいて、入力値としてOSへの命令文を与えることで、サーバのファイルの不正操作やパスワードの不正取得などを行う攻撃。 コマンドインジェクションを行う攻撃への対処が不十分だと、コンピ…

digital certificate公開鍵証明書(public key certificate)とも言う。 インターネット上で行われる公開鍵暗号化方式において、公開鍵が所有者本人のものであることを確認するためのデータセットのこと。 デジタル証明書は、認証局(CA)と呼ばれる第三者機関に…

Secure Sockets Layer / Transport Layer Security インターネット上で通信データを暗号化する技術。通信データを暗号化することで、データの盗聴や改ざんなどを防ぐことができる。 HTTP，SMTP，POP，FTPなどの通信を平文で行うプロトコルに利用されて、アプ…

tamper resistance機器やソフトのセキュリティレベルを表す指標。 機器やソフトウェアなどの内部構造や記録されたデータなどが、外部から解析、読み取り、改ざんされにくいようになっているという性質。 タンパーは「改ざんする」という意味。機密情報や暗号…

Economic Denial of Serviceサービス停止を目的とするのではなく、標的に経済的な損失を与えることを目的とするDoS攻撃のこと。 クラウドサービスの料金体系は、使用したリソース(トラフィックやストレージ容量)に応じた従量課金制であることが多い。攻撃者…

Trivial File Transfer ProtocolFTPの簡略化版UDPを用いてファイル転送をするためのプロトコル。 FTPとの違いは、・ユーザ名とパスワードによる認証機能がない・通信ポートは69/UDPを使用する・ディレクトリ一覧取得などの機能がない・コネクション処理のオ…

日本国内で特許をとるには、以下の要件を満たす必要がある。１．産業上利用することができる２．新規性がある３．容易に考え出すことができない進歩性がある４．先に出願されていない５．公序良俗を害するおそれがない 特許出願より前に公開された発明は、原…

Time Stamp正確な時刻を電子文書に付与することで、その時刻にその電子文書が存在していたことを証明する技術。信頼できる第三者機関である時刻認証局(Time Stamping Authority)が発行する電子データ。 電子文書のタイムスタンプが証明すること・ある時刻に…

dark web GoogleやYahoo等の検索エンジンの検索結果にヒットせず、GoogleChromeやIEなどの一般的なWebブラウザーでは閲覧できないWebサイト群。ダークウェブでは違法性の高い情報などが多く扱われている。 ダークウェブというワードに対して、通常の検索エン…

darknet インターネット上で到達可能だが、使用されていないIPアドレス群 マルウェアの活動傾向などを把握するために利用される。 特定のホストに割り当てられていない未使用のIPアドレス宛にパケットが送信されることは稀なはずだが、ダークネットを観測す…

Security Assertion Markup Language シングルサインオンやＩＤ連携の機能を実現するためのXMLをベースにした標準規格。標準化団体OASISによって策定された。認証情報の交換方法はSAMLプロトコルとしてまとめられていて、SAMLを用いて異なるドメイン間で認証…

ソフトウェアの構想から開発、運用、保守、廃棄に至るまでのライフサイクルを通じて必要な作業項目、役割等を包括的に規定した共通の枠組み。プロセスごとに作業の主体者(役割)を定義して責任の所在を明らかにしている。 目的は、日本において、ソフトウェア…

Mashup 公開されているWebサービスのAPIを組み合わせて一つの新しいWebサービスのように機能させること。 既存のWebサービスを利用して加工し、短期間でWebサービスの開発ができることから、新しい開発技法として注目されている。 マッシュアップの語源は、2…

erlang 電話の分野で用いられる単位時間当たりのトラフィック量(呼量)を表す単位。 1アーランは1つの資源を継続的に利用している状況を意味している。単位時間(例えば1時間)に1本の回線を100%利用したときのトラフィック量が1アーラン。 デンマークの電話技…

hidden node problemネットワーク通信の分野において、ALOHAや、CSMA/CA、IEEE 802.11などのプロトコルで発生する問題。無線LAN通信においては、アクセス制御方式としてCSMA/CAが採用されている。互いに相手の通信を検知できない関係にある複数の機器が、同…

Outbound Port 25 Blockingインターネットサービスプロバイダ(ISP)の顧客が自前のメールサーバから迷惑メールを送信したり、ウイルスに感染したPCからウイルスメールが送信されることを防止するために、ISP側で許可した特定のサーバ以外のSMTP(TCP25番ポート…

fool proof人の間違いの発生頻度を下げることに対応した設計方法。入力データのチェックやエラーメッセージの表示などの機能を加えることで、人為的ミスによるシステムの誤動作を防ぐようにする。 製品事故に学ぶフールプルーフ設計 作者:内崎 巌 発売日: 20…

避雷器電力機器や電力の供給を受ける通信機器を、雷などにより生じる異常高電圧（雷サージ）から保護するサージ防護機器。電源回路とアースの間に設置されたアレスタは、回路に侵入した雷サージを自身に引き込んで大地に放流すると同時に、電気機器に流れる…