基本情報技術者試験対策 ～情報セキュリティ用語①脅威編～

# 基本情報技術者試験とは...
IPAが開催する試験で、今となっては**ITエンジニアの登竜門**的な位置づけになっている資格です。
ITパスポートの上位にあたる資格になっています。

# 情報セキュリティ分野
基本情報技術者試験の中で出題頻度が高い分野で、科目Aだけでなく科目Bにも頻出のジャンルとなっています。
今回はその中でも情報セキュリティの脅威に関する用語をまとめてみました。


:::note warn
最近の試験で比較的出題率が高いものを並べますが、すべてをカバーするものではありませんので、そこはご容赦ください。
:::
***
## 人的脅威に関するもの
<dl>
<dt>1. ソーシャルエンジニアリング</dt>
<dd>人間の<strong>心理的な隙</strong>を利用して機密情報を手に入れようとすること。<br>本来は「社会工学」という意味の言葉ではあるが、セキュリティに対する人的脅威として皮肉を込めて真逆の意味で使用されているようです。</dd>
<br>
<dt>2. 不正のトライアングル</dt>
<dd>人的脅威に関する理論で、人が不正を働くのは<strong>「機会」「動機」「正当化」</strong>の３つの要素が揃ったときである、としています。<br>この理論を不正のトライアングルと表現しているようです。</dd>
<br>
<h2>技術的脅威に関するもの</h2>
<dt>3. ポートスキャン</dt>
<dd>サーバ上で動いているアプリケーションソフトウェアを調査するための技術で、サーバが持つ<strong>ポート番号</strong>に順番にアクセスして攻撃可能なサービスがあるかを事前調査する目的で行われます。<br>正当な管理目的で利用するものでもあり、攻撃にも使えるものでもあります。</dd>
<br>
<dt>4. セキュリティホール</dt>
<dd>システムの脆弱性。穴（ホール）という意味です。</dd>
<br>
<dt>5. ブルートフォース攻撃</dt>
<dd>「総当たり攻撃」とも呼ばれます。<br>パスワードとして考えられる文字列の組み合わせを全て実行してパスワードを割り出そうとする攻撃です。</dd>
<br>
<dt>6. 辞書攻撃</dt>
<dd>辞書に載っている単語を使ってパスワードを割り出す攻撃。<br>辞書に載っている単語をパスワードに設定している人が多いことを利用しています。</dd>
<br>
<dt>7. パスワードリスト攻撃</dt>
<dd>ほかのサービスから入手したIDとパスワードの組み合わせを使ってユーザ認証をしようとすることです。<br>パスワードを忘れないために複数のサービスで<strong>同じパスワード</strong>を設定している人が多いことを利用しています。<br>「顧客情報の流出」といった不祥事がダイレクトに影響する攻撃です。</dd>
<br>
<dt>8. マルウェア</dt>
<dd>悪意のあるソフトウェアの総称で、「ボット」「スパイウェア」「バックドア」「コンピュータウイルス」などのことです。<br>簡単に複製できるため広範囲に攻撃することもできる、非常に厄介なものです。</dd>
<br>
<dt>10. ボット（bot）</dt>
<dd>攻撃者が<strong>遠隔で指令を出して動作させる</strong>プログラムです。<br>ボットに感染されたPCは攻撃者から遠隔で操作されてしまうこともあります。<br>「ボット」というキーワードはX（旧Twitter）などのSNSでも頻繁に見かけたりしますよね。</dd>
<br>
<dt>11. スパイウェア</dt>
<dd>ユーザに気付かれないように個人情報などを収集するプログラムです。スパイの働きをするソフトウェア、という意味です。</dd>
<br>
<dt>12. ランサムウェア</dt>
<dd>PCやファイル、データを勝手に<strong>暗号化して使用不能にする</strong>マルウェアです。<br>この暗号化を解くために金銭を要求してきます。</dd>
<br>
<dt>13. キーロガー</dt>
<dd>キーボード入力を記憶するプログラム。<br>本来キーロガーはソフトウェアの動作確認に使われるものですが、攻撃者が悪用することがあります。<br>キーボードでユーザが入力した操作を記録してパスワードを収集したりします。</dd>
<br>
<dt>14. バックドア</dt>
<dd>システムに不正アクセスするための<strong>「裏口」</strong>のことです。<br>ユーザ認証が必要なWebサイトに不正に侵入するために設置するURLのことを言います。</dd>
<br>
<dt>15. フィッシング</dt>
<dd>Webサイトの利用者を<strong>偽物のサイトに誘導</strong>して個人情報を入力させて取得しようとする不正な攻撃です。<br>偽物のサイトのURLを記載したメールを送り付けてアクセスさせたりします。<br>クレジットカード番号と暗証番号を入力させて不正利用に繋げるようなことも多く発生しています。</dd>
<br>
<dt>16. ドライブバイダウンロード</dt>
<dd>ユーザが悪意のあるWebサイトにアクセスしただけでマルウェアがダウンロードされてしまう攻撃です。</dd>
<br>
<dt>17. SEOポイズニング</dt>
<dd>検索エンジンの上位に悪意のあるWebサイトを表示させるようにすることです。<br>「SEO」というのは検索エンジンの検索結果の上位にサイトが表示されるように行う工夫や設定のことで、「ポイズニング」は毒を盛るという意味です。<br>当然のことですが検索エンジンの検索結果の上位にあるページはアクセスされやすくなるため、ユーザが悪意のあるサイトに誘導されやすくなってしまいます。</dd>
<br>
<dt>18. DNSキャッシュポイズニング</dt>
<dd>DNSとはドメイン名とそれに対応するIPアドレスを相互に変換する仕組みです。<br>この攻撃はDNSサーバにキャッシュされているドメインとIPアドレスの対応を書き換えて偽物のサイトにユーザを誘導することを目的としています。</dd>
<br>
<dt>19. SQLインジェクション攻撃</dt>
<dd>Webアプリケーション上で<strong>不正なSQL文</strong>を実行することでデータベースを改ざんしたり、データを盗んだりする攻撃です。<br>プレースホルダを利用したりエスケープ処理をしたり、WAFを導入したりといった対策をする必要があります。</dd>
<br>
<dt>20. クロスサイトスクリプティング</dt>
<dd>Webページにユーザの入力データをそのまま表示するフォームがあった場合、そこに悪意のあるスクリプトを埋め込んでcookie等のデータを盗もうとする攻撃の事です。</dd>
<br>
<dt>21. スパム</dt>
<dd>受信者の承諾なしに<strong>無差別に送付される電子メール</strong>の事をスパムと言います。<br>迷惑メールもスパムに含まれます。</dd>
<br>
<dt>22. Dos攻撃</dt>
<dd>Webサーバに大量のリクエストを送り付けたり、大量の電子メールを送り付けることでネットサービスをダウンさせようとする攻撃です。</dd>
<br>
<dt>23. ディレクトリトラバーサル攻撃</dt>
<dd>Webサイトのパス名を使ってファイルを指定し、公開していないファイルを不正に閲覧する攻撃です。<br>例えばユーザのパスワードを記載しているファイルが公開されていないディレクトリに置いてあった場合に、この攻撃で不正に閲覧されてしまう危険があります。</dd>
<br>
<h2>物理的脅威とよばれるもの</h2>
<dt>24. 物理的脅威</dt>
<dd>人的脅威や技術的な脅威とは違い、直接的な手段で引き起こされる脅威のことを物理的脅威とよびます。<br>侵入されて端末を盗難されたり破壊されたりといったもの以外にも、水害、落雷、家事、地震などの自然災害も物理的脅威にあたります。</dd>
<br>
</dl>

***
以上となります。
ここに挙げられなかった脅威もまだまだあります。
たくさんあって混乱してしまいがちですが、これらの用語の意味と背景を把握して「試験対策の暗記」としてではなく「業務にも活かせる知識」として身に着けたいですね。

是非学習の参考にしてください！