脆弱性

脆弱性（ぜいじゃくせい、）とは、情報セキュリティ・サイバーセキュリティの用語で、コンピュータに存在する情報セキュリティ上の欠陥をいう。セキュリティホールとも呼ばれる。

 ISO 27000における定義 
ISO 27000およびそれと同等なJIS Q 27000（ISMSの用語を規定）では脆弱性を一つ以上の脅威によって付け込まれる可能性のある資産または管理策の弱点JIS Q 27000:2014 箇条 2.89。とより厳密に定義している。

ここで

 脅威（threat）とは「システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」JIS Q 13335-1 箇条 2.25、JIS Q 27000:2014 箇条 2.83。
 （情報セキュリティ）インシデントとは「望まない単独若しくは一連の情報セキュリティ事象，又は予期しない単独若しくは一連の情報セキュリティ事象であって，事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの」JIS Q 27000:2014 箇条 2.36
 管理策(control)とは「リスクを修正する対策」JIS Q 27000:2014 箇条 2.16。
 リスクとは「目的に対する不確かさの影響」JIS Q 31000:2010 箇条 2.1、JIS Q 27000:2014 箇条 2.68。

 CAPECにおける脆弱性の分類 
Mitre社のCAPECでは攻撃パターンによって脆弱性をツリー状に分類しており、その最上位の分類は以下のものである：
+分類分類（邦訳）概要Engage in Deceptive Interactions欺いたやりとりに従事する「標的を欺き、他の主体ととやりとりしているように見せかける為、標的と不正なやりとりを行う」攻撃パターンAbuse Existing Functionality既存の機能を悪用する「悪事を達成する為、もしくは標的となる機能が影響を受けるほどにリソースを枯渇させる為、アプリケーションの１つ以上の機能を使ったり操ったり」する攻撃パターンManipulate Data Structuresデータ構造を操る「システムのデータ構造の本来意図された使用方法や防御機構に違反するために、そのデータ構造の特徴を操ったり悪用したりする」攻撃パターンManipulate System Resourcesシステムリソースを操る「攻撃者が望む結果を得るために、１つ以上のリソースを操る」攻撃パターンInject Unexpected Items予想外のものを挿入する「入力インターフェースから細工されたデータを挿入するか、あるいはターゲットのシステムに悪意のあるコードをインストールして実行するかして、標的の行動をコントロールするか邪魔するかする」攻撃パターンEmploy Probabilistic Techniques確率的手法を採用する「標的を欺き、他の主体ととやりとりしているように見せかける為、標的と不正なやりとりを行う」攻撃パターンManipulate Timing and Stateタイミングや状態を操作する「標的のコードやプロセスの実行フローの防御を回避した行動を取るために、関数の状態や呼び出しタイミングの弱点を利用する」攻撃パターンCollect and Analyze Information情報を収集し、分析する「情報の収集と窃取に関する」攻撃パターンSubvert Access Controlアクセスコントロールの破壊「識別、認証、およびリソースへのアクセスや機能認可の管理に用いているメカニズムの弱点、制限、ないし仮定を能動的に悪用する」攻撃パターン

 脚注 

 出典 

 関連項目 
 脆弱性情報データベース
 セキュリティホール

 外部リンク 

 ISMS関連のISO/IECとJIS
  JIS本文を閲覧可能
 JIS Q 27000:2014 情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−用語
 JIS Q 27001:2014 情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−要求事項
 JIS Q 27002:2014 情報技術−セキュリティ技術−情報セキュリティ管理策の実践のための規範

Category:エクスプロイト
Category:危機管理
Category:セキュリティ技術
Category:ソフトウェアテスティング