不正アクセスの単語整理
セキュリティはAPでは午後必須科目ですから、
絶対に覚えたいところですね、17個もありますけど。
ちなみに、その17個は下記参考書に則って選択しています。
「平成29・30年版 ニュースペックテキスト応用情報技術者」TAC出版
ソーシャルエンジニアリング
「ソーシャル」と聞くとどうしても「社会的な」と翻訳してしまいますが、
元々"social"という英語は「人のあつまりの」という意味がありますから*1、
ここから「人を介した（不正アクセス）技術」という意味でこの言葉が使われています。
総務省のHPによれば、
- 電話でパスワードを聞き出す
- 肩越しにキー入力を見る（ショルダハッキング）
- ごみ箱を漁る（トラッシング）
が具体例として挙げられていますが、他にも手口は色々はあります。
キーロガー
キー入力の記録（ログ）を取ることで、パスワードなどの機密情報を盗み出す手法です。
バックドア
"back door"は「裏口」という意味です。
バックドアという不正アクセスは、
- まず攻撃対象のパソコン・サーバに裏口を作るソフトを忍ばせ
- そのソフトが実行されることで実際に裏口が作られ
- その裏口から攻撃を受ける（データの盗み出しなど）
という手口です。
フットプリンティング
直訳すれば「足跡をつけること」であり、そこから、攻撃対象への事前調査を意味します。
whois情報等を調べて、攻撃対象のセキュリティシステムを推測したり、
CGIなどのWebサービスに悪意のある入力を与えた時の反応を見て、
ソフトウェアの弱点を推測したりする手口です。
ブルートフォース攻撃
"brute-force"に「強引な」という意味があります。
このうち"brute"は「獣の」という意味を持っていますが、ややマイナスな印象を持っており、
「野蛮な」「知性の低い」というニュアンスがあります。
総当たり攻撃などが分類されます。
パスワードリスト攻撃
名前の通り、攻撃者が別途入手したパスワードのリストを元に、
パスワードをこじ開けようとする手口です。
パスワードの流用を避ける理由は、パスワードリスト攻撃を回避するためです。
SQLインジェクション
"injection"は「挿入」という意味です。
次の項目のコマンドインジェクションもそうですが、
検索単語が入力されることが期待されているところに、SQLの命令文を混ぜて入力することで、
SQLが想定しない出力をさせて、不正に情報を得る手口のこと。
IPAのHPにも同様の事例が紹介されています。
コマンドインジェクション
上記のSQLインジェクションのOSコマンド版です。
具体的には、直接OSコマンドを実行できるシェルスクリプトに対して、
キーワード等が入力されることを期待差異れているところに、OSコマンドを混ぜて入力することで、
シェルスクリプトが想定しないOSコマンドを実行し、
不正に情報得たり、データ破壊を行ったりすることです。
IPAのHPでは、コマンドインジェクションで乗っ取ったサーバを経由して、
第三者のサーバを攻撃する事例が紹介されています。
クロスサイトスクリプティング
手口としては、上述のSQLインジェクションやコマンドインジェクションと似ています。
「クロスサイト」とは「２つのサイトを跨いで」という意味であり、ここでは、
の２つが登場します。そして、ユーザが2.の方のサイトでリンクをクリックしてしまうと、
ユーザが意図せず、問題のあるWebサイトに不正なスクリプトを送ってしまい、
その結果として、ユーザが偽のWebサイトに誘導され、個人情報等をだまし取られてしまう、
というのが代表的な手口です。
IPAのHPで図付きで解説されていますが、私は余りピンときませんでした。
クロスサイトリクエストフォージェリ
"forgery"は「偽造」という意味で、「リクエストフォージェリ」で
「サーバへのリクエストを偽造する」ということを指しています。
登場するのは、上述のクロスサイトスクリプティングと似ていて、
の２つです。Webサイトサーバへのリクエストは、
本来ユーザが正規の方法で（Webサイト上の操作で）送信しますが、
これを、不正なリクエストを含むURLのリンクをユーザが踏むことで、
ユーザが意図せず、Webサイトサーバにリクエストを送信してしまい、
それを偽造されたリクエストと見抜けないWebサイトサーバが、
ユーザからの意図したリクエストと判断し、それに従った処理をしてしまう、
というのが、クロスサイトリクエストフォージェリの流れです。
これも、IPAのHPに事例が載っています。
ゼロデイ攻撃
ソフトウェアはリリース後に脆弱性が明らかになることがあります。
通常は、脆弱性が発見されるとすぐにその箇所を修正するソフトが配布され、
その配布日をワンデイと呼びます。
ゼロデイ攻撃は、ワンデイより前にその脆弱箇所を突いた攻撃のことです。
ディレクトリトラバーサル攻撃
「ディレクトリ」は「フォルダ」とも呼ばれる、
ファイルを（仮想的に）分類・格納するシステムです（と今更説明するまでもないですが）。
"traversal"は「横断する」という意味で、「ディレクトリトラバーサル」とはつまり、
本来は横断されないはずのディレクトリへ不正に横断され、
外部からのアクセスが想定されていないデータへアクセスされてしまう攻撃です。
日経のHPが分かりやすいと思います。
DoS攻撃
"DoS"とは"Denial of Service"の略語で、「サービス妨害」という意味です。
昔からあるサーバ攻撃手法で、大量のリクエストをサーバに送り付ける等の方法で、
サーバ処理負荷を上昇させ、処理を遅くしたり、サーバをダウンさせたりする手口です。
情報を盗み出すというよりも、サービスの妨害やシステムの破壊を目的とした不正アクセスです。
フィッシング
元々は「釣り」を意味する"fishing"から来た言葉ですが、
「偽のWebサイトへ誘導して、個人情報等を盗み取る」という意味から
"phishing"（発音は同じ）と綴られることが多いです。
IPスプーフィング
"spoof"は「だます、ひっかける」という意味ですが、インターネットセキュリティの分野では
「なりすます」という意味を帯びます。
IPスプーフィングとは、IPアドレスをなりすますことで、攻撃をしやすくする手口です。
具体的には、あるサーバに対して、あたかも内部からのアクセスかのようにIPを偽造して
アクセスすることで、相手の防御システムをかいくぐる方法です。
セッションハイジャック
ユーザとサーバとの通信のやり取りを「セッション」と言います。
セッションハイジャックとは、このやり取りに紛れて、サーバに不正な操作を行う攻撃です。
DNSキャッシュポイズニング
DNSはURLをIPアドレスに変換する（名前解決する）サーバです。
DNSはこの変換を行うために、URLとIPアドレスの対応リストを持っていますが、
このリストにないURLを変換する時や、定期的なリスト更新のために、
別のDNSに対してIPアドレスを問い合わせることをします。
この機能を悪用して、
- 攻撃者がDNSに対して、DNSが持っていないだろうURLの名前解決をリクエストする
- DNSが他のDNSに対して、同様のリクエストをする
- その回答が送られてくる前に、攻撃者が偽のIPアドレスの回答を送り付ける
- それを正規の回答と勘違いし、自分のリストに追加してしまう
というのが、DNSキャッシュポイズニングです。
"poisoning"は「毒を盛る」という意味です。
この攻撃を受けたDNSを使うと、該当するURLに対して偽のIPアドレスを回答してしまうので、
ユーザは正しいURLを入力したにも関わらず、偽のWebサイトに誘導されてしまうのです。
*1:そして、元々は「村の祭り」という意味でしかなかった「社会」という漢語を、"society"の訳語として日本人が当てたのです。
