stanford-oval/wikipedia huggingface dataset:
藤井日菜子
過去の出演番組

謎の処方箋 コントS錠（関西テレビ）
ごきげん☆ちゃんぷる～（高槻CATV）
ロケしましょ（ケーブルテレビ神戸）
名水百選ぶらり旅（スカイ・A）
走る男女子部（KBS京都）
コンビニTV TKOのおきて（KBS京都）
らくらぶ。（KBS京都）
ハッピーシニアライフ（KBS京都）
玉井公造のハッピー大人塾（KBS京都）
北村謙のハッピー大人塾（KBS京都）
京都ふらりー（KBS京都）
ゆうドキッ!（奈良テレビ）月末・木曜日
ざっくばらん（奈良テレビ）
いつもどこかで（奈良テレビ）
まちかどヒルズ（奈良テレビ）
科学実験教室　サイエンスラボ（奈良テレビ）
ほんまもん!原田年晴です（ラジオ大阪。現在でも中継レポーターとして不定期で出演中。）
日菜子のピットインスマイル（ラジオ大阪）
ときめき滋賀'S（びわ湖放送）原田伸郎
原田伸郎の旅しま選科（サンテレビ・KBS京都）提供:JTB旅物語
ほし☆おび（MBS）
熟メン!野村啓司です（ラジオ大阪、2016年3月1日） - インフルエンザでダウンした事務所の同僚・小川恵理子の代役として出演。
その他多数
サイバーセキュリティ

サイバーセキュリティ（英: cyber security）は、サイバー領域に関するセキュリティを指す。
概要

サイバーセキュリティはサイバー領域のセキュリティを指し、その定義は論者によって異なるものの(後述)、この言葉は2010年ころから情報セキュリティに変わるバズワード的な語として用いられるようになった。この言葉が登場した2010年頃はセキュリティにとってのターニングポイントになっており、2010年のスタックスネットの事案や2011の三菱重工の事案からもわかるように、ターニングポイント以降、以下の問題が顕在化した。
攻撃対象が産業システムにも広がった
攻撃方法も高度化して特定組織を狙った標的型攻撃が行われるようになった
攻撃目的も国家によるサイバー攻撃、犯罪者による金銭目的、ハクティビストによる主義主張の目的などに多様化した
こうした背景のもと、サイバー領域は2011年以降、米国の安全保障において陸・海・空・宇宙に次ぐ第五の領域とみなされており、日本においても2013年の「国家安全保障戦略」でサイバー空間への防護が国家戦略に盛り込まれるなど、サイバーセキュリティは国際政治・安全保障の問題として扱われるようになっている。このためサイバー空間の問題は、「単に技術的観点のみならず国際政治、市場権益（国際公共財）、知的財産、安全保障、軍事作戦、国の危機管理体制などの各分野に跨る問題の側面を合わせ持っている」。
一方、企業などの組織体にとってサイバーセキュリティ対策や情報セキュリティ対策は、企業などの組織の事業における（情報）セキュリティリスクを低減する事を主な目的とする。組織は災害リスク、事業環境リスク、戦略リスク、財務リスク、事故・故障リスク、情報セキュリティリスク、犯罪リスク、労務リスク、事業運営上のリスクといった様々なビジネスリスクを抱えており、情報セキュリティリスクはそれらビジネスリスクの一つに過ぎない。よって組織のセキュリティを担保するには、組織の経営への影響を加味した上で、ビジネス全体のリスク項目に基づき、網羅性と合理性を検討する必要がある。したがって経営という観点から見た場合、企業戦略として、サイバーセキュリティリスクを加味してどの程度のセキュリティ投資を行うかは経営判断になる。またサイバーセキュリティに関するガイドラインを策定するときは、リスク管理規程、危機管理規程、事業継続計画、IT-BCPといった既存のガイドラインと整合を取る必要がある。
企業はサイバーセキュリティ対策のため、SOC、CSIRTなどのセキュリティ対応組織をおく事があり、こうした組織の主な仕事は以下の２点に集約される：
インシデント発生の抑制
インシデント発生時の被害最小化
ここでインシデントとは直訳すれば「事件」であるが、サイバーセキュリティの文脈では、サイバー領域において組織を脅かす不正な行為全般を指す用語である(より厳密な定義はインシデントの項目参照)。
サイバーセキュリティでも情報セキュリティのCIA、すなわち下記の３つは重視される
機密性 (Confidentiality): 情報へのアクセスを認められた者だけが、その情報にアクセスできる状態を確保すること
完全性 (Integrity): 情報が破壊、改ざん又は消去されていない状態を確保すること
可用性 (Availability): 情報へのアクセスを認められた者が、必要時に中断することなく、情報及び関連資産にアクセスできる状態を確保すること
しかし制御システムのセキュリティでは重要度がC、I、Aの順番ではなく、A、I、Cの順番である。また以下のHSEの３つも重視される
健康（Health）
安全（Safe）
環境への影響（Environment）
定義

2018年現在、サイバーセキュリティの定義は論者により異なる。両極端の見解としては
情報セキュリティの一部とみなし、サイバー空間において機密性、完全性、可用性の確保を目指すもの
デジタル社会のリスクへの対応を指すとするもの
がある。
定義 > ISO/IEC 27032:2012の定義

サイバーセキュリティに関する情報セキュリティマネジメントシステムを規定したISO/IEC 27032:2012では、
とサイバーセキュリティを狭義に定義し、サイバー空間については
と定義している。
この標準を規定したISO/IEC JTC 1/SC 27委員会はこの定義の改定を試みており、2017年に行われた会合では事前に9通りの定義案が提出された上でその定義が議論されたが、多様な理解が存在する実態を踏まえ、定義の決定を見送っている。
定義 > サイバーセキュリティ基本法の定義

サイバーセキュリティ基本法第二条では以下のように定義される：
攻撃者

→「ハッカーグループ」も参照
攻撃者 > 種類・攻撃の目的

攻撃者の種類と攻撃の目的は以下のように分類可能である：
|  | 自己満足・信念 | 経済的利益 | 経済的利益 | 信仰・国防 |
| --- | --- | --- | --- | --- |
| 国家 |  |  |  | 国家危機管理 |
| 国家 |  |  | サイバーインテリジェンス | サイバーインテリジェンス |
| 組織 |  | サイバー犯罪 | サイバーインテリジェンス | サイバーインテリジェンス |
| 組織 |  | サイバー犯罪 |  | サイバーテロ |
| 集団 | ハクティビズム ネット被害 | サイバー犯罪 |  | サイバーテロ |
| 個人 | ハクティビズム ネット被害 | サイバー犯罪 |  | サイバーテロ |
| 個人 | 興味本位 | サイバー犯罪 |  |  |
経済的利益に関するものは被害が顕在化しやすいのに対し、信仰・国防に関するものは被害が顕在化しにくいという特徴がある。
攻撃者 > サイバー犯罪の産業化

サイバー犯罪は組織化・分業化が行われ、サイバー犯罪市場では、マルウェアなどの作成者や、マルウェアを遠隔操作するためのプラットフォームの提供業者、マネーロンダリングなどを担当する犯罪組織などによりビジネス化されている。Ransomware as a Serviceなどのようにサイバー攻撃のプラットフォームも作られ、アフィリエイトモデルのような攻撃者のヒエラルキーもできている。
こうした犯罪ツールや犯罪サービスはダークウェブ上にあるダークネット・マーケットなどで取引されており、仮想通貨などを利用して決済されている。提供されているものとしては例えば金融機関と銀行へのサイバー犯罪とハッキングサービス、インターネット規模のDNSを使用したDRDoS攻撃 などがある。
なお、この活動を監視しようとする試みが様々な政府や民間団体を通じて行われており、使用されるツールの調査は『Procedia Computer Science journal』で見つけることができる。
攻撃者 > 国家が関与する攻撃

APT（後述）のような高度な攻撃は、国家の関与が疑われるものも多い。Mandiant社（買収後は買収元であるFireEye）は同一組織によると思われるAPTに対してAPT1、APT2、…と番号をつけており、攻撃組織に関与している事が疑われる国家を推定している。
中国：APT1、APT3、APT10、APT12、APT16、APT17、APT18、APT19、APT30
ロシア：APT28、APT29
イラン：APT33、APT34
ベトナム：APT32
北朝鮮：APT37
欧米でも国家が関与したハッキング行為が行われている：
米国：2010年のスタックスネットの事案におけるマルウェアはアメリカ国家安全保障局(NSA)がイスラエルと共同開発したと報じられ、2017年のWannaCryの事案で用いられたエクスプロイトのEternalBlueもNSAが作成したとされる。
イギリス：イギリスの政府通信本部(GCHQ)はLinkedInのプロフィールページにマルウェアを仕込み、ベルギーの通信企業のネットワークをハッキングしたと2013年に報じられている。またGCHQは2015年には自身がハッキング行為をしていることを初めて認めたと報じられた
標的型攻撃・APT攻撃

→詳細は「標的型攻撃」および「APT攻撃」を参照
標的型攻撃は、2010年ころからサイバーセキュリティにおいてトレンドとなった攻撃手法で、それ以前の不特定多数を狙った攻撃と違い、特定の組織、人、これらの持つ重要情報等を標的とした攻撃である。したがって攻撃の標的となる組織固有の情報（組織構成、事業内容、システム構成等）を事前に入手し、これを利用して攻撃を仕掛ける事も多い。
APTは標的型攻撃の一種に分類される事が多い攻撃形態の一分類であり、「先進的で（Advanced）」「執拗な（Persistent）」「脅威（Threat）」を指す 。その特徴は「特定の相手に狙いを定め、その相手に適合した方法・手段を適宜用いて侵入・潜伏し、数か月から数年にわたって継続する」ことである。想定される攻撃者としては国家スパイ、産業スパイ、犯罪組織、競合他社、ハクティビスト、国家が後押しする団体などがある。
またAPTでは明確な長期目標に基づく作戦行動のような活動が見られ、このような作戦活動を攻撃キャンペーンという。また攻撃キャンペーンは複数個の「一連の攻撃行動（オペレーション）」に分割できる。
標的型攻撃・APT攻撃 > サイバーキルチェーン

サイバーキルチェーンは、攻撃者がAPT攻撃をはじめとしたサイバー攻撃を行う上でのステージを明確化したものであり、ロッキード・マーティンの研究者が2011年に発表した。
サイバーキルチェーンでは攻撃には以下のステージがあるとする：
| ステージ （日本語） | ステージ （英語） | 説明 |
| --- | --- | --- |
| 偵察 | Reconnaissance | ターゲットを選定し、選定されたターゲット調査する。 |
| 武器化 | Weaponization | エクスプロイトとバックドアを組み合わせて配送可能なペイロードを作成 |
| 配送 | Delivery | eメール、ウェブサイト、USB等を利用してターゲットにマルウェアを配送 |
| 攻撃 | Exploitation | ターゲットのシステムで脆弱性を悪用したコードを実行 |
| インストール | Installation | ターゲットの資産にマルウェアをインストール |
| 遠隔操作 | Command and Control | コマンド&コントロール（C&C）サーバへのチャネルを確立 |
| 目的実行 | Actions on Objective | 重要情報を持ち出すなど、目的を遂げる。 |
なお、「攻撃」と「インストール」をセットにし、最後に潜伏維持(Maintenance)を付け加えるバージョンもある。
標的型攻撃・APT攻撃 > サイバーキルチェーン > 類似のモデル

サイバーキルチェーンと同様、攻撃者の行動をモデル化したものとして以下がある：
| 提案者・名称 | ステージ |
| --- | --- |
Mandiant社の「M-Trend」モデル: Reconnaissance(偵察)、Initial Intrusion into the network(侵入)、Establish a Backdoor into the network(遠隔制御)、Obtain user Credentials(権限取得)、Install Various utilities(インストール)、Privilege escalation/Lateral Movement/Data Exfiltration(実行)、Maintain Persistence(潜伏)
IPAのモデル: 計画立案、攻撃準備、初期潜入、基盤構築、内部調査、目的遂行、再潜入
JPCERT/CCのモデル: 準備、潜入、横断的侵害、活動
トレンドマイクロのモデル: 偵察、スキャン、アクセス権の獲得、アクセス権の維持／引き上げ、窃盗、証拠隠滅
トレンドマイクロのモデル: 事前調査、初期潜入、C&C通信、情報探索、情報集約、情報送出
以下、サイバーキルチェーンに従って攻撃のステージを説明する。ただし必要に応じて前節で述べた他のモデルも参照したので、「準備ステージ」のようにサイバーキルチェーンにはないステージも書かれている。またサイバーキルチェーンと内容が重複する部分に関しては、上述のモデルを適時サイバーキルチェーンに読み替え、該当箇所の解説に加えた。
標的型攻撃・APT攻撃 > 準備ステージ

サイバーキルチェーンにはないがJPCERT/CCのモデルには記載されているステージ。
攻撃者は実際の所在地や目的を把握されないよう、グローバル規模の分散型インフラをハッキング等により構築する。このインフラには情報収集システム、電子メールシステム、ツールやマルウェアの保存用レポジトリ、C&Cサーバ、情報の引き出しに使うサーバ、外部クラウドサーバなどが含まれる。場合によっては攻撃者が自分で攻撃用にドメインを取得する事もあるので、ドメイン名はAPTの重要なインディケータ（APT関連のデータや情報を選り分けるため指標）になる。
攻撃者はその攻撃元が特定されないよう、頻繁に攻撃拠点を変える。また分散型のインフラにする事で攻撃の全容をつかみにくくする。攻撃者は犯罪用に匿名化された防弾ホスティングサーバなどの身元が割れにくいサービスを利用する事もある。
このインフラ網を構築するにあたり、攻撃者は法令を逆手に取る事があり、例えば米国や欧州では国家が国民の個人情報やトラフィック情報を収集するのが禁止されている事を逆手に取り、米国や欧州の国民のマシンを拠点にしたり、そうしたマシンからデータを送信したりする。
攻撃者はこうしたインフラ等、攻撃に必要な構成要素の動作を確認するため、テストラン（検証のための試験的な攻撃）を実施する場合があるので、その際のIPアドレスやドメイン名を特定できればこれらをインディケータとして使う事ができる。
標的型攻撃・APT攻撃 > 偵察ステージ

攻撃者は偵察ステージで従業員の情報やe-メールアドレスを収集したり、プレスリリース、契約発注などから企業情報を収集したり、企業がインターネットに公開しているサーバを特定したりする。攻撃者は標的組織に侵入する前に、まず標的組織の関連組織に攻撃を行ってメールアドレスなどの情報収集を行う事もある。
さらに攻撃者は標的型メール（後述）等に利用可能なpdfやdocファイル等を収集する。攻撃者は攻撃用のサイトでIEのresプロトコルを使ったリンクをユーザにクリックさせる事で、ユーザが利用しているソフトウェアに関する情報を取得し、これを攻撃に利用できる。
資金力が十分ある攻撃者であれば、標的組織の防御体制、組織内で標的にすべき人物、ネットワーク構成、セキュリティ上欠陥等も把握する。
このステージに対する対策を講じるのは非常に困難だが、自社のウェブサイトを詳細に調べるユーザをログ解析や既存のアクセス解析であぶり出したりする事はできる。
標的型攻撃・APT攻撃 > 武器化ステージ

エクスプロイトとバックドアを組み合わせて配送可能なペイロードを攻撃者が作成するステージで、ペイロードの作成には何らかの自動化ツールが使われる事が多い。ペイロードは次の配送ステージで組織に侵入する際に使用される為、侵入検知システム等に検知されないよう、標的組織に特化した攻撃手法を用いる傾向にあり、APTではゼロデイの脆弱性を利用される事も多い。この場合マルウェア検知ソフトを利用したりパッチを当てたりといった対策で対抗するのは難しい。
対策側が攻撃者の武器化を検知するのは不可能だが、攻撃が実行された後、マルウェアの検体やアーティファクトを解析し、どんなツールキットが使われたのか、いつごろ行われたどのAPTの作戦活動に連動しているのかといった事を調査し、以後のAPT攻撃への対策に利用する事ができる。
標的型攻撃・APT攻撃 > 配送ステージ、攻撃ステージ、インストールステージ

これら３つのステージでは以下が行われる：
配送ステージ：ペイロードを標的に送りつける
攻撃ステージ：従業員が標的型メールを開くなどするか、あるいは攻撃者自身がサーバの脆弱性をつくことでエクスプロイトが実行される。
インストールステージ：エクスプロイトがクライアントマシンにバックドアを仕込んだり、ウェブサーバにウェブシェル(バックドアの一種)を仕込んだりし、攻撃拠点を築く為、悪意のあるサービスが自動実行されるようにする。
JPCERT/CCのモデルでは攻撃者が直接潜入する事も想定し、これら３つをまとめて潜入ステージと呼んでいる。
標的型攻撃・APT攻撃 > 配送ステージ、攻撃ステージ、インストールステージ > マルウェア配送手法

代表的なマルウェア配送手法として以下のものがある。なお、下記に書いたものはマルバタイジングのように、標的型攻撃以外の攻撃で一般的なものも含まれる。
| 手法 | 概要 |
| --- | --- |
標的型メール: 標的型メールとは、標的となる組織・ユーザに特化した文面を作り込むなどする事で、受信者が不審を抱かずに添付ファイル（pdf、Wordファイル等）を開いたり、リンクを開いたり（スピアフィッシング）してしまうよう工夫されたメールの事である。標的型メールは、添付ファイルやリンク先に仕込まれたペイロードを利用して組織内に侵入拡大する事を目的とする。
水飲み場型攻撃: 標的組織のユーザがアクセスする可能性の高いウェブサイトを攻撃者が改ざんし、そのサイトを閲覧したユーザがドライブバイダウンロード（ブラウザやそのプラグインの脆弱性を悪用してブラウザの権限を奪取し、マルウェアをインストールさせる手法）などによりマルウェア感染するようにする攻撃である。標的組織のIPアドレスからアクセスされた場合のみ攻撃を行う事でサイトの改ざんを発覚しにくくする場合もある。なお「水飲み場型攻撃」という名称は改ざんサイトを水飲み場に見立て、ライオンが水飲み場で獲物を待ち伏せるがごとく、攻撃者が改ざんサイトでユーザを待ち伏せすることからついたものである。
USBにマルウェアを仕込む: マルウェアが仕込まれたUSBを標的組織のユーザが端末に挿入する事で感染。Windowsのオートラン機能を悪用する。インターネットと接続していない(エアギャップ)クローズ系の機器であっても、アップデート等でUSBを挿入する事があるので、こうした機器にも感染を広げる事ができる。別の機器でマルウェアに感染したUSBをユーザが端末に挿入するのを待つ方法と、攻撃者がマルウェアを仕込んだUSBを標的組織に落としておいて、それを拾ったユーザが端末に挿入するのを待つ方法がある。
リモートエクスプロイト: 遠隔ホストから標的ホストの脆弱性をついてマルウェアをインストールする。
アップデートハイジャック: 標的組織が使っているソフトのアップデート配信元に侵入し、アップデート時にマルウェアを送り込む攻撃
ドメインハイジャック: 標的組織が利用するウェブサイトのドメインを乗っ取る事で、攻撃者サイトに誘導する攻撃
トロイの木馬: スマートフォンアプリやP2Pファイル、ウェブサイト上の有用そうなファイル等にみせかけてトロイの木馬をインストールさせる。
マルバタイジング: マルウェアの拡散や悪性サイトへのリダイレクト等を目的とした悪質なオンライン広告配信の事。典型的にはオンライン広告に悪意のあるスクリプトが仕込まれ、これをクリックするとマルウェアに感染するなどする。広告を表示しただけで感染するケースもある。多数のユーザが集まるサイトに広告を配信する事で、そのサイトを改ざんする事なくマルウェア配信等が可能な事が攻撃者にとっての利点である。またウェブ広告では広告データは複数のサーバを経由する上、秒単位の入札で表示される広告が決まる仕組みなので、後から不正広告を追跡するのが難しい事も攻撃者にとって利点である。典型的には広告会社に攻撃を仕掛ける事でマルバタイジングを行う。
タイポスワッティング: 「URLハイジャッキング」とも呼ばれ、インターネットユーザーがWebブラウザにURLを入力する際に犯す打ち間違いを利用した攻撃である。例えば攻撃者が「https://ja.wijipedia.org」というドメインを取得していると、ユーザがウィキペディア日本語版にアクセスするつもりで誤って「https://ja.wijipedia.org」と入力した場合に攻撃者サイトにアクセスしてしまう。
なお、特にスマートフォンアプリでは、正規のアプリをマルウェアとセットにしてリパッケージしたアプリを配布する事で、マルウェア感染させる手法がある。
大量の本物の業務メールに紛れて、業務メールに見せかけた標的型メールが送られてくるなどするので、配送ステージに対して完全な対策を打つのは難しく、次以降のステージに攻撃が移行する事が多い。
標的型攻撃・APT攻撃 > 配送ステージ、攻撃ステージ、インストールステージ > 標的型メール

標的型メールの文面は、準備ステージで窃取した本物のメールを流用されている場合もあり、受信者が標的型メールである事を見抜くのは難しい。標的型メールで感染するペイロードは既存のマルウェアの亜種を使ったり、ゼロデイの脆弱性を使ったりする事で検知を逃れる工夫がなされている事もある。また、アイコンや拡張子を偽装する事でexeファイルでないように見せかけたファイルをユーザにクリックさせたり、正規のアプリケーションに見せかけたトロイの木馬をユーザ自身にインストールさせたりする事で、脆弱性を利用しないでマルウェアに感染させる場合もある。
添付した実行ファイルの拡張子の偽装方法としては下記のものがある：
| 手法 | 概要 |
| --- | --- |
二重拡張子: 「hoge.doc.exe」のように二重に拡張子をつける。拡張子を表示しない設定になっていると、「hoge.doc」と表示されるのでdocファイルに偽装できる。
RLO（Right-to-Left Override）による偽装: 「hogecod.exe」のようなファイル名の下線部にRLOを用いると、「hogeexe.doc」と表示されるので、docファイルに偽装できる。
長い空白の利用: 「hoge.doc(長い空白).exe」のようなファイル名にするとファイル名の後半の表示が省略されて「hoge.doc」と表示されるのでdocファイルに偽装できる。
標的型メールの一形態として、「一般の問い合わせ等を装った無害な「偵察」メールの後、ウイルス付きのメールが送る」ものをやり取り型という。また、不特定多数を対象にした攻撃用メールを用いた攻撃をばらまき型のメールという。ばらまき型メールを標的型メールに含めるか否かは論者によって異なり、IPAのJ-CSIPなど標的型メールに含めない論者がいる一方で、ばらまき型メールであっても特定企業の全社員や特定銀行の全ユーザなどを対象にしている事が多いことから標的型メールに含める論者もいる。
標的型攻撃・APT攻撃 > 配送ステージ、攻撃ステージ、インストールステージ > マルウェア配布ネットワーク

ドライブバイダウンロード型の攻撃では、攻撃のスケーラビリティ向上や運用コスト削減、対策耐性の向上といった理由により、複数の悪性サイト間をリダイレクトさせた上でマルウェアを配布する事が多い。こうした目的のために攻撃者により構築させる悪性サイトのネットワークをマルウェア配布ネットワークという。マルウェア配布ネットワークには以下の４種類のサイトが含まれる事が多い：
| 名称 | 概要 |
| --- | --- |
入口サイト: 標的となるユーザが最初にアクセスするサイトで、多数のユーザをマルウェア感染させるため、改竄された一般サイトなどが利用される。入口サイトは踏み台サイトへとリダイレクトされている。
踏み台サイト: 入口サイトに攻撃サイトのURLを残さないために設置され、攻撃サイトにリダイレクトされている。
攻撃サイト: ユーザにマルウェアをダウンロードさせるためのシェルコードを仕込んだサイト
マルウェア配布サイト: ユーザは攻撃サイトのシェルコードにより、マルウェア配布サイトのマルウェアをダウンロードする
マルウェア配布ネットワークは多数の入口サイトを少数の攻撃サイトへと導くための仕組みである。このような構成を取る事により、攻撃者には以下の利点がある：
複数のサイトを改ざんして入口サイトにし、攻撃サイトに誘導する事でスケーラビリティの高い攻撃を行う事ができる。
攻撃コードを改良する場合は少数の攻撃サイトやマルウェア配布サイトを書き換えれば、多数の入口サイトはそのままでよいので運用コストが下げられる。
踏み台サイトを経由する事で攻撃サイトのURLを入口サイトの管理者から隠しているので、対策耐性が高い。
リダイレクトには、HTTPリダイレクト、HTMLのiframeタグや「meta http-equiv="refresh"」を使ったリダイレクト、JavaScriptなどのスクリプトのリダイレクトの３種類があり、これらが攻撃に利用される。このうちHTMLのiframeを使ったリダイレクトは、widthとheightを0にする事でフレームサイズを0にし、さらにstyle属性を"visibility:none"や"visibility:hidden"にする事で非表示化できるので、標的ユーザに気づかれる事なくリダイレクトできる。同様にstyle属性を"position:absolute"にし、フレームの位置のtopとleftとしてマイナスの値を指定することでも非表示化できる。
またスクリプトを使ったリダイレクトの場合、リダイレクトが閲覧時に初めて生成されるようにできるので、リダイレクトされている事がウェブ管理者に気づかにくい。
標的型攻撃・APT攻撃 > 配送ステージ、攻撃ステージ、インストールステージ > バナーチェック・ブラウザフィンガープリンティング

サイトにアクセスしてきたユーザのマシンにインストールされているブラウザや各種ツール（Java、Adobe Reader、Adobe Flash、Silverlightなど）のインストール状況やバージョン番号などのプロファイルを取得する手法の事。踏み台サイトや攻撃サイトでブラウザフィンガープリンティングを行う事で、ユーザの環境に最適な攻撃（たとえばユーザ環境の脆弱性つけるエクスプロイトを選ぶ等）を実行できるようになる。
ブラウザフィンガープリンティングには攻撃者のサーバサイドで行う方法とユーザのクライアントサイドで行う方法がある。サーバサイドのものでは、ユーザのIPアドレスやHTTPユーザーエージェントからユーザ環境の情報が得られる。クライアントサイドで行うものはクライアント環境でJavaScriptやVBScriptなどを実行する事でさらに詳細なユーザ環境情報を取る事ができ、例えばブラウザに追加されているプラグインの種類やバージョンを知る事ができる。
標的型攻撃・APT攻撃 > 配送ステージ、攻撃ステージ、インストールステージ > エクスプロイトキット

攻撃サイトなどに、エクスプロイトキットと呼ばれる攻撃ツールが仕込まれている場合がある。エクスプロイトキットはブラウザフィンガープリンティングを行い、保有している複数のエクスプロイトの中からユーザ環境で実行可能な物を選び、マルウェアを実行する。
エクスプロイトキットの中にはサイバー犯罪者向けにサービスとして運営されているものもあり、EaaS（Exploit Pack as a ServiceもしくはExploits as a Service）と呼ばれている。
標的型攻撃・APT攻撃 > 配送ステージ、攻撃ステージ、インストールステージ > クローキング

悪性サイトにアクセスしてきたクライアントに応じて応答するウェブコンテンツを変化させる手法の事。例えば検索エンジンのクローラーがアクセスしてきたときは無害なコンテンツを表示し、標的ユーザがアクセスしてきたときのみ攻撃用のコンテンツを表示する。これにより攻撃用コンテンツをクローラーに発見される事なく、クローラー向けコンテンツに検索エンジン最適化を施す事で検索順位を上げる、といった事が可能になる。クローキングで表示するコンテンツを変えるための指標として、IPアドレス、ユーザエージェント、リファラの情報が利用される。
標的型攻撃・APT攻撃 > 配送ステージ、攻撃ステージ、インストールステージ > リモートエクスプロイトの実行

これまで標的型メールやウェブアクセスを利用して標的システム上でローカルエクスプロイトを実行する手段を解説してきたが、攻撃者がセキュリティ上の欠陥をついて標的組織に潜入して遠隔地からリモートエクスプロイトを実行する場合もある。そうした方法としては例えば下記のものがある：
防御されていないゲートウェイから侵入
何らかの不正な手段で正当な認証情報を取得して侵入
DMZからの侵入
周辺システムと標的組織の間のトラストチェーンを利用して侵入
制御システムだとSCADAに共有モデムが利用されている事が多いので、ここから侵入される場合もある。
標的型攻撃・APT攻撃 > 遠隔操作ステージ

攻撃対象の組織からC&Cサーバ（コマンドアンドコントロールサーバ。C2サーバとも。攻撃者が攻撃対象の組織に不正なコマンドを遠隔で頻繁に送信する為に利用されるサーバの事）への通信(コネクトバック通信)の経路を確保する。なおC&Cサーバ自身も攻撃者に乗っ取られた外部組織のサーバであることもある。
コネクトバック通信にはhttpやhttpsを使うことが多いので、通信の特徴だけからコネクトバック通信を検知するのは困難である。なお、監視の目が行き届いたhttpやhttpsを使う代わりに、e-メール、DNSなどのプロトコルが使われる事もある。
ファイヤーウォールのフィルタリングルールが形骸化していたり、攻撃によく使われるCONNECTメソッドをプロキシで防ぐことを怠っていたりすると、コネクトバック通信の確立が容易になってしまう
標的型攻撃・APT攻撃 > 遠隔操作ステージ > 永続化

攻撃者は感染状態を維持しておくため、RAT やダウンローダーなどの攻撃ツールをOS 起動時に自動的に起動するようPC の設定を変更する(永続化)。Windowsの場合、永続化のため主に下記の箇所を設定変更する：
自動起動レジストリ
スタートアップ起動プログラム
サービス起動プログラム
スタートアップフォルダ
ログオンスクリプト
タスクスケジューラ
標的型攻撃・APT攻撃 > 遠隔操作ステージ > その他の特徴

マルウェアが作るフォルダ名、ファイル名、サービス名等を発見しにくい名称に偽装する。具体的には正規のアプリケーションと同一もしくはよく似た名前を利用したり、マルウェア起動時に正規アプリケーションの一部のプログラムを利用する。
マルウェアは一般利用者権限もしくはログインユーザー権限のみで多くの権限が得られるフォルダで環境変数でアクセスしやすい箇所に配置されやすい。具体的には%TEMP%、%PROGRAMDATA%、%ALLUSERSPROFILE%、%APPDATA%、%LOCALAPPDATA%、%PUBLIC%、およびC:直下である。典型的には、ファイルを開いたとき%TEMP%にマルウェアが一旦生成され、それを%PROGRAMDATA%以下の偽装したフォルダにコピーし、そのファイルを永続化する
攻撃者が仕込んだRATはC&C サーバと定期通信（ビーコンという）を行う事が多い。ビーコンは標的組織に発見される危険があるので、一時的にFQDN に対するA レコードを「0.0.0.0」や「127.0.0.1」としてC&C サーバとの通信を停止させるRATもある。逆に言えば、標的組織はこれらのA レコードがこれらのIPアドレスになっているものをRATの候補として抽出可能である。
標的型攻撃・APT攻撃 > 横断的侵害ステージ

JPCERT/CCのモデルには記載されているステージで、サイバーキルチェーンでは目的実行ステージの一部とみなされている。
このステージで攻撃者は、最初に侵害したシステムを足がかりにして同じ組織内の脆弱なシステムを横断的に侵害する。具体的には最初に侵害したシステムを足がかりにして、インストールしたプログラムを使いながら、攻撃者は試行錯誤してネットワークの構造を把握し、認証情報を窃取し、ラテラルムーブメント（＝他の端末やサーバへの侵入）や権限昇格等を行う。このステージでも攻撃者はバックドアを設置する。
このステージで攻撃者がWindowsコマンドとしては以下のものがある：
| 目的 | コマンド |
| --- | --- |
初期調査: tasklist、ver、ipconfig、net time、systeminfo、netstat、whoami、nbtstat、net start、set
探索活動: dir、ping、net view、type、net use、echo、net user、net group、net localgroup、dsquery、Active Directoryのdsqueryとcsvde
感染拡大: at、move、schtasks、copy、ren、reg、wmic、powershell、md、runas
痕跡削除: del、taskkill、klist、wevtutil、rd、wevtutil
攻撃者はこうした行為を行う為にIPアドレスやサービスポートをスキャンするが、攻撃が発覚しづらいようスキャンするポートを限定して行われる。
標的型攻撃・APT攻撃 > 横断的侵害ステージ > ラテラルムーブメントの手法

下記のものがある：
| 手法 | 概要 |
| --- | --- |
Pass the hash攻撃の悪用: パスワード自身でなくそのハッシュ値を使ってログインできるPass the hash攻撃を使う方法。侵入した端末Aから他のマシンBにパスワードを使ってリモートログインした事がある場合、Aのメモリ上にそのパスワードのハッシュ値がキャッシュされているので、これを不正に入手し、Pass the hash攻撃によりマシンBにログインできる。PCキッティング作業時の共通アカウントが残っている場合や、Domain Adminを使用したリモートメンテナンスを行っている場合にラテラルムーブメントが可能である。
管理共有の悪用: ユーザ端末でファイルの管理共有サービスが開放されている場合、これを利用してその端末に攻撃ツールをコピーしてラテラルムーブメントする事が可能である。
Pass the Ticket攻撃: 追加の認証なしでアクセスを許可する不正なチケットを発行して認証に利用する攻撃。
対策面から見た場合、横断的侵害は最初の侵入に比べ検知しにくいという問題がある。その原因は、LANの入口は監視していても、LANの内部やLANの出口はさほど監視されていないことにある。
標的型攻撃・APT攻撃 > 目的実行ステージ

攻撃者が目的となる行為を実行するステージ。このステージにおける攻撃者の行動は、攻撃者が何を目的とするかで異なるが、主な目標は重要情報の窃取である。窃取した情報は分割され、複数の端末から外部に送信されるので、窃取したファイルの特定は極めて困難である。
また最終目標を達成する前段階として、今後のオペレーションのために標的組織の状況を窃取したり、他の組織とのトラストチェーンを把握したり、標的組織に対して優位に立つため破壊行為を行ったりする。
標的型攻撃・APT攻撃 > 再侵入ステージ

サイバーキルチェーンにはないが、IPAのモデルには記載されているステージ。攻撃者は過去の侵入時に構築したコネクトバック通信路を利用し、再侵入してシステム内探索を継続する。このため一度標的になった組織は、一見攻撃が終了したように見えても、コネクトバック通信路が設置されていない事を継続的に監視する事が重要である。標的組織内にコネクトバック通信路が一つでも残っていると再侵入が可能になるので、APTの場合は「対処率99％でも残存リスクは100％のまま」という事になる。
それ以外の攻撃 > 主に金銭を目的とした攻撃 > フィッシング関連

フィッシング(phishing)は口座番号、アカウント情報、カード番号といった、主に金銭に関わる個人情報を奪取するための攻撃。金融機関を装ったりしたフィッシングメールを送りつけ、個人情報を盗むために設置されたフィッシングサイトに誘導する。メールやウェブサイトを利用する点では標的型攻撃と共通するが、目的が個人情報であるため必ずしも企業システムに潜入する必要はなく、ユーザのブラウザ上にある金融機関のcookie等に書かれたID/パスワードを奪取するなどの手口を用いる。SMSメールを利用したフィッシングを特にスミッシングという。
ファーミング（Pharming）はURLとIPアドレスの対応表を攻撃者が不正に書き換えることで、正規サイトのURLにアクセスしたユーザを偽サイトに誘導する攻撃の事である。URLとIPアドレスの対応表を書き換える手段としてはDNSを攻撃する方法(DNSキャッシュポイズニング)と、ユーザがローカルに持っているhostsファイルを書き換えたりする方法がある。
無線LANフィッシングはWiフィッシング（ワイフィッシング）とも呼ばれ、攻撃者が偽の無線LANアクセスポイント(Evil Twinと呼ばれる)を立てる事で、そのアクセスポイントを利用したユーザのID/パスワードを窃取んだり、偽サイトに誘導したりする攻撃である。
QRishingはQRコードフィッシングとも呼ばれ、攻撃者が作成したQRコードを（正規サイトのものと偽って）ユーザに読ませる事により、偽サイトに誘導する攻撃である。本物のQRコードの上に偽のQRコードのシールを貼ってQRishingした事案が知られている。なお短縮URLでも同様の手口を行う事ができる。
それ以外の攻撃 > 主に金銭を目的とした攻撃 > ビジネスメール詐欺

ビジネスメール詐欺(BEC、Business Email Compromise)とは、自社の経営層や取引相手になりすました偽のEメールで経費などの送金を指示する事で金銭をだまし取る詐欺。その巧妙な騙しの手口は標的型攻撃に通じるところがある。ビジネスメール詐欺には以下の５つの類型がある：
取引先との請求書の偽装（偽の請求書詐欺、サプライヤー詐欺、請求書偽装の手口などと呼ばれる）
経営者等へのなりすまし(CEO詐欺、企業幹部詐欺などと呼ばれる)
窃取メールアカウントの悪用（従業員のメールアカウントを窃取して、そのアカウントから取引先にメールを出す手法）
社外の権威ある第三者へのなりすまし（弁護士などになりすまし、緊急の事態だから振り込むように命令する等）
詐欺の準備行為と思われる情報の詐取（人事担当などになりすましてメールし、他の従業員の個人情報などを窃取し、次なる攻撃に利用する）
手口としては
企業のメールアドレスの＠以下とよく似た詐称用ドメインを取得してそこからメールする（例：xxx@wikipedia.com→xxx@wikiqedia.com）
企業のメールアドレスに似たフリーメールアドレスを使う（例：xxx@wikipedia.com→xxx.wikipedia@freemail.com）
メールを送る際、多人数にCcしてそこに詐欺用のアドレスを紛れ込ませる事で発覚を遅らせたり本物と錯覚させたりする
といったものがある。なお詐称用ドメインを利用する手法では詐称用ドメインのDNSにSPFを設定してSPFのチェックを通過する攻撃も確認されている。
それ以外の攻撃 > 主に金銭を目的とした攻撃 > ワンクリック詐欺

ワンクリック詐欺はウェブページ上の特定のアダルトサイトや出会い系サイト、勝手に送られた電子メールに記載されているURLなどをクリックすると、「ご入会ありがとうございました。」等の文字やウェブページが契約したことにされて多額の料金の支払を求める詐欺のことをいう。同様の手口でツークリック以上のものやノークリック（＝全くクリックしない）ものも存在する。
ワンクリック詐欺のサイトでは、サイトに訪れたユーザのブラウザから環境変数を取得して表示するなどして、あたかもサイト側がユーザ個人を特定できているかのように装い、ユーザを脅迫することがある。（たとえばユーザがスマートフォンからアクセスした場合にユーザの位置情報を表示するなど）。
また詐欺サイトがユーザ端末にワンクリックウェアをインストールし、振込みを行うよう要求する画面を頻繁に表示させるという手口もある。
それ以外の攻撃 > 主に金銭を目的とした攻撃 > 不正送金ウィルス

何らかの方法でインターネットバンキングのアカウント情報などを盗んで攻撃者の口座に不正送金を行うウイルスの事。例えば以下の手法がある：
それ以外の攻撃 > DoS攻撃

→詳細は「DoS攻撃」を参照
DoS攻撃（ドスこうげき）（英：Denial of Service attack）は、情報セキュリティにおける可用性を侵害する攻撃手法のひとつ。 ウェブサービスを稼働しているサーバやネットワーク[要曖昧さ回避]などのリソース（資源）に意図的に過剰な負荷をかけたり脆弱性をついたりする事でサービスを妨害する。
DoS攻撃には２種類の類型があり、第一の類型はウェブサービスに大量のリクエストや巨大なデータを送りつけるなどしてサービスを利用不能にするフラッド攻撃（Flood＝「洪水」）であり、第二の類型はサービスの脆弱性を利用する事でサービスに例外処理をさせるなどしてサービスを利用不能にする攻撃である。
DoS攻撃の主な目的はサービスの可用性を侵害する事にあり、具体的な被害としては、トラフィックの増大によるネットワークの遅延、サーバやサイトへのアクセス不能といったものがあげられる。しかしDoS攻撃は被害者に経済的ダメージを負わせる事を目的として行われる場合もあり、EDoS攻撃(Economic DoS Attack)と呼ばれる。たとえばクラウド上で従量課金されているサービスにDoS攻撃をしかければサービスの運営者に高額な課金を発生させることができる。
また、「DoSをやめてほしければ金を払え」と脅す目的でDDoS攻撃（後述）が行われることもあり、ランサムDDoSと呼ばれる。
それ以外の攻撃 > DoS攻撃 > DDoS攻撃

フラッド型のDoS攻撃には、大量のマシンから1つのサービスに、一斉にDoS攻撃を仕掛けるDDoS攻撃（ディードスこうげき、分散型サービス妨害攻撃、英: Distributed Denial of Service attack）という類型がある。
DDoS攻撃の類型は2つあり、第一のものは攻撃者が大量のマシン(踏み台)を不正に乗っ取った上で、それらのマシンから一斉にDoS攻撃をしかける協調分散型DoS攻撃である。
第二の類型は、DRDoS攻撃（Distributed Reflective Denial of Service attack。DoSリフレクション攻撃、分散反射型DoS攻撃）と呼ばれる。DRDoS攻撃では、攻撃者が攻撃対象のマシンになりすまして大量のマシンに何らかのリクエストを一斉に送信する。するとリクエストを受け取ったマシン達は攻撃対象のマシンに向かって一斉に返答を返すことになるので、攻撃対象のマシンには大量の返答が集中し、高負荷がかかることになる。DRDoS攻撃は協調分散型DDoS攻撃と異なりマルウェアなどで踏み台を乗っ取らなくても実行可能なため攻撃C&Cサーバが発覚しづらい。
それ以外の攻撃 > ボットネット

ボットネットとはC&Cサーバのコントロール下にあるマシン（ボット）のネットワークで、攻撃者はC&Cサーバから命令を出す事で、ボットネットを様々なサイバー攻撃に利用する。ボットによる攻撃にあった被害者は、裏にいるC&Cサーバの情報を直接得る事ができないので、攻撃者を特定するのは困難になる。
攻撃者は１台のC&Cサーバから命令を出すことで多数のボットから同時多発的に攻撃をしかける事ができるので、低い運用コストでDDoS、スキャン、二次感染といった様々なサイバー攻撃の実行が可能になる。
C&Cサーバとボットとの通信には、IRC、HTTP、各種P2P接続などが利用される。特にHTTPはセキュリティに配慮した企業などであっても業務の関係上通信を遮断できないので、攻撃者は企業内のマシンをボット化できる。
ボットネットのネットワーク構造として最も単純なものは、１つのC&Cサーバに全てのボットがぶら下がっているスター型のネットワーク・トポロジーであるが、これだとその１台のC&Cサーバがダウンしたり当局に取り締まられたりするとボットネットが完全に停止してしまう。そこで様々な国に複数のC&Cサーバを立てて多重化する事で各国の取り締りにそなえたり、ボットの下にさらにボットをぶら下げる階層型の構造にしてボットネットの全体像を把握されにくくしたり、P2P通信によるランダムなトポロジーにする事でネットワーク耐性を上げたりする。
それ以外の攻撃 > ボットネット > Fast Flux手法

ボットネットのC&Cサーバ等の悪性サイトは、サイトのFQDNに対応するIPアドレスを数分程度で次々と変えていくFast Flux手法(IP Flux手法とも呼ばれる)を用いる事で、捜査機関等が悪性サイトをテイクダウン（停止）させるのを難しくしている。攻撃者は自身のコントロール下にあるボットのIPアドレスを悪性サイトのFQDNに次々に割り振っていく為、FQDNに割り振られるIPアドレスは数百から数万に及ぶ。C&Cサーバやドライブバイダウンロード攻撃用サイトはFast Flux手法で運営される事が特に多い。
Fast Flux手法はBlind Proxy Redirectionという手法と併用される事が多い。この手法ではFast Fluxで運営されるサイトのは単なるリダイレクトサイト（フロントエンドノードという）であり、リダイレクト先にあるマザーシップノードが真の悪性サイトである。このような構成を取る事により、マザーシップノードのアドレス情報を捜査機関から隠したり、捜査の手が及んだフロントエンドノードを切り捨てたりする事ができる。また悪性サイトのコンテンツを変えたい場合はマザーシップノードだけを変えればよいので運用も容易である。
Fast Flux手法はsingle flux手法とdouble flux手法に分かれる。single flux手法では攻撃者は何らかの方法を用いて自身の権威DNSサーバを立て、その権威DNSサーバ上で悪性サイトのIPアドレスを(TTLを小さな値にする事で)次々に変えていく手法である。この手法の（攻撃者にとっての）欠点は、攻撃者が立てた権威DNSサーバが単一障害点になっているため、この権威DNSサーバが捜査機関にテイクダウンされると、悪性サイトを運営できなくなってしまう事である。
double flux手法は権威DNSサーバもFast Flux手法で運営する事で対策耐性をあげたものである。double flux手法ではボットネット上に権威DNSサーバXを立て、さらにXより上位レベルの権威DNSサーバYを自身で立てる。single flux手法のときと同じく悪性サイトのIPアドレスをX上で次々と変えるのみならず、XのIPアドレスをY上で次々と変える事でXがテイクダウンされる事を防ぐ。なお、double flux手法においてYは単一障害点であるが、捜査機関が調査のため悪性サイトにアクセスしてきても、悪性サイトの名前解決はXで行われるので、捜査機関に直接Yが見える事はなく、Yを特定してテイクダウンするのは難しくなる。
それ以外の攻撃 > ボットネット > Domain Flux手法

1つのドメイン名に対して複数のIPアドレスを用意して多重化するFast Flux手法とは逆に、ドメイン名を複数用意して多重化する手法をDomain Flux手法と呼ぶ。この手法を用いる事で、一部のドメイン名が悪性サイトとして対策側にブラックリスト化されても、悪性サイトに別のドメイン名を用いる事でブラックリストをすり抜ける事ができる。
Domain Fluxを行う方法の一つは攻撃者自身が管理するドメイン（仮にexample.comとする）に○○.example.comというFQDNを生成し、○○の部分を短時間で変える、というものである（ドメインワイルドカード）。
Domain Fluxでは疑似乱数を使ってドメイン名を生成する。このためのアルゴリズムをDGA(Domain Generation Algorithm)という。擬似乱数を利用するのは、C&Cサーバとそのコントロール下にあるマシンでドメイン名を同期するためである。C&Cサーバとそのコントロール下にあるマシンで事前に擬似乱数の種を共有しておき、種と時刻情報を利用してドメイン名を生成するようにすれば、両者とも同一時刻には同一のドメイン名を取得できる。
攻撃・ペネトレーションテストで使われる手法やツール

本節では攻撃やペネトレーションテスト（システムに実際に攻撃をしかけてみる診断。詳細後述）で使われる手法やツールについて述べる。
攻撃・ペネトレーションテストで使われる手法やツール > ペネトレーションテスト用OS

ペネトレーションテスト用のLinuxディストリビューションとして、Kali Linux、Parrot Security OS、BackBoxなどがあり、前者２つはDebianベース、最後のものはUbuntuベースである。これらのディストリビューションにはペネトレーションテスト用の各種ツールがプレインストールされている。
攻撃・ペネトレーションテストで使われる手法やツール > 意図的に脆弱に作られたツール

ペネトレーションテストの練習用として、意図的に脆弱に作られたツールが公開されている：
Metasploitable：意図的に脆弱性が残されたLinuxディストリビューションのバーチャルマシン。
OWASP BWA (Broken Web Applications)：意図的に脆弱性が残されたウェブアプリケーションを詰め込んだバーチャルマシン
OWASP Mutillidae：BWAに梱包されている脆弱なウェブアプリケーションの一つ
他にもBadstore、BodgeIt Store、amn Vulnerable Web Application (DVWA)、OWASP Bricks、WASP WebGoatb、WAPP、moth、Gruyere
Magical Code Injection Rainbow (MCIR）などがある。
攻撃・ペネトレーションテストで使われる手法やツール > 攻撃対象の情報収集 > スキャナ

攻撃者は標的組織を偵察する際や、侵入後に横断的侵害を行う際、スキャンを行うことで、標的組織のネットワークの情報を得る。スキャンはホストスキャンとポートスキャンに大別でき、前者はネットワーク上にあるホストのIPアドレス等を行うために行われ、後者はホスト上で空いているポート番号を知るために行われる。ホストスキャンにはICMPプロトコルを利用したツールであるpingやtracerouteが用いられ、ポートスキャンには例えばnmapのようなツールが用いられる。
nmapは単にホスト上の空いているポート番号を特定するのみならず、ホストに送ったパケットに対する返答のフォーマット等の情報から、ホストで動いているOS、サービス、およびそれらのバージョン番号などを特定する機能も備えており、これらは攻撃者にとって有益な情報となる。この手法で動作しているアプリケーションを特定する事をバナーチェック、OSの種類やバージョンを特定することをTCP/IP スタックフィンガープリンティングという。
他にも下記のようなツールがある：
SING（Send ICMP Nasty Garbage) 、ICMPScan：nmapのようにICMPをプロービングするツール
Amap：アプリケーションのフットプリンティングを行うツール。通常とは違う場所で動作しているアプリケーションをも特定可能である。
httprint：Webサーバのフィンガープリンティングツール
xprobe2：OSフィンガープリンティングツール
攻撃・ペネトレーションテストで使われる手法やツール > 攻撃対象の情報収集 > スニッファ

スニッファとはネットワーク上を流れるパケットを監視したり記録したりするツールの事でパケット・スニッファとも呼ばれる。攻撃目的ではなくセキュリティ目的で用いられる同種のツールをパケットアナライザ等と呼ぶが、広義にはパケットアナライザもスニッファに含める。フリーなものではWireshark、tcpdumpなどがある。
攻撃・ペネトレーションテストで使われる手法やツール > 攻撃対象の情報収集 > ソーシャル・エンジニアリング

ソーシャル・エンジニアリングとは人間の心理的な隙や行動のミスなど「人」をターゲットにして機密情報を窃取する攻撃全般を指す。手法としては例えば下記のものがある：
システム管理者や警察などになりすましてメールないし電話する事で個人情報等を聞き出す
ショルダーハッキング（Shoulder surfing）：PCを操作しているユーザの肩越しにパスワード等を盗み見る
トラッシング：ゴミ箱に捨てられた紙媒体や記憶媒体から機密情報を得る。スカベンジング、スカビンジングとも
攻撃・ペネトレーションテストで使われる手法やツール > パスワードクラッキング

パスワードクラッキングとは、総当たり攻撃や辞書攻撃等の何らかの方法でパスワードを割り出す攻撃方法であり、推定したユーザID/パスワードでログイン試行を行うオンライン攻撃と何らかの方法で入手したパスワードハッシュ（パスワードのハッシュ値）などからローカルにパスワードを推測するオフライン攻撃とに大別される。オフライン攻撃の対象となるパスワードハッシュはWindowsのSAMファイル、Linuxの/etc/shadowファイルなどにあるものを利用する。またパスワードで保護されたOfficeファイル等も攻撃対象となる。
著名なオンライン攻撃ツールとしては、Bruter（Windows環境）、ncrack(マルチプラットフォーム)、TCP-hydraがある。著名なオフライン攻撃ツールにはJohn the Ripper、RainbowCrack（レインボーテーブルを用いてハッシュを解析する）、ophcrackがある。
またWindowsのSAMファイルからパスワードハッシュを取得するツールとしてPwDumpがある。
攻撃・ペネトレーションテストで使われる手法やツール > Metasploit

→詳細は「Metasploit」を参照
Metasploit Framework、あるいは単にMetasploitとは、エクスプロイトコードの作成、実行を行うためのフレームワークソフトウエアである。Metasploitには様々なエクスプロイトコードが収録されており、アップデートを実行する事で新たなエクスプロイトコードを手に入れたり、Exploit Databaseのようなエクスプロイト配信サイトからエクスプロイト（とそのエクスプロイトを適用できる脆弱なソフト）をダウンロードして用いたりできる。