情報セキュリティの原理と攻撃

考え方を理解する

1.機密性は許可のない開示を防ぐ性質、完全性は不正な変更を防ぐ性質、可用性は必要なとき使える性質です。真正性は相手や情報が本物であること、責任追跡性は行為の主体を追えること、否認防止は後から行為を否定しにくくすることです。

2.脅威は損害を起こす要因、脆弱性は悪用される弱点です。自然災害や故障、誤設定・紛失などの過失も対象です。内部不正は機会・動機・正当化の三面から分析し、権限分離と監視を組み合わせます。攻撃者の属性だけで安全性を決めません。

3.ワームは自己増殖して拡散し、トロイの木馬は有用なものに見せかけます。ボットはC&Cの指令で動作し、RATは遠隔操作、キーロガーは入力の記録、ルートキットは存在の隠蔽、バックドアは通常経路を迂回する入口です。ファイルレス攻撃は正規機能やメモリを悪用します。

4.総当たりは候補を広く試す方法、辞書攻撃は辞書の候補、パスワードリスト攻撃は漏えいしたID・パスワードの組を使います。リバースブルートフォースは少数のパスワードを多数のIDへ試します。ロックだけに頼らずMFA・検知・使い回し防止を組み合わせます。

5.XSSはブラウザで不正なスクリプトを動かし、CSRFはログイン中の利用者に意図しない要求を送らせます。SQL・OSコマンドインジェクションは入力が命令として解釈される問題。トラバーサルはパスを悪用し、バッファオーバーフローは境界を越える書込みです。

6.中間者攻撃は通信の間への介入、MITBはブラウザ内の改変、DNSキャッシュポイズニングは名前解決の汚染、リプレイは過去の正当な通信の再使用です。セッションハイジャック、フィッシング、オープンリレー、IP偽装も入口や信頼の仕組みを悪用します。

7.DoSはサービスを利用できなくする攻撃、DDoSは多数の発信源を使います。APTや水飲み場型攻撃、SEOポイズニングは標的が接する経路を狙います。ゼロデイは修正が間に合わない脆弱性の悪用、ラテラルムーブメントは侵入後の横展開です。

8.RaaSはランサムウェアをサービス化する形態、二重脅迫は暗号化に加えて情報公開を脅しに使います。ディープフェイクは声・映像を偽装し、敵対的サンプルはモデルの判断を誤らせ、プロンプトインジェクションは参照情報の指示でAIの処理を誘導します。

9.設計段階から必要な保護を組み込むセキュリティバイデザインと、取得する個人情報を最小化するプライバシーバイデザインを考えます。攻撃の準備から実行・目的達成を追うサイバーキルチェーンは、途中で止める防御点を考えるために使えます。

仕事の場面で考える

社内サービスにログイン失敗が広く発生しました。特定IDへの大量試行だけでなく、同じパスワード候補が多くのIDへ試されていないかを確認し、アカウント停止による業務影響も考えます。

混同しやすい点

攻撃名を暗記するだけでなく「どこで、何を、どう悪用するか」を区別します。

独自に編集した学習教材です。公式試験の問題を転載・再現したものではありません。更新：2026年10月14日。個別案件は所属先の規程と責任者・専門家の指示を確認してください。