セキュリティの用語
全314語。
知識・所持・生体のうち、種類の異なる2つを組み合わせて本人を確かめる認証。
⚠ 2段階認証は手順が2回あるだけで、パスワード＋秘密の質問のように同じ種類どうしなら2要素にはならない。
利用者認証の要素と生体認証
現在の標準となっている共通鍵暗号方式。DBのデータ暗号化やIPsecの通信暗号化に使われる。
⚠ RSAは公開鍵暗号。「AESは公開鍵」という選択肢は誤り。
共通鍵暗号と公開鍵暗号のしくみ
米国標準の共通鍵暗号方式で、鍵長は128・192・256ビットから選べる。
⚠ AES-256 の256は鍵長（ビット）。試行回数は256回ではなく 2^256 回。
パスワードの管理と総当たり系の攻撃
IPsecの一部で、パケットの改ざん検知と送信元の認証を行う（暗号化はしない）。
⚠ ESP：暗号化をするのはESPのほう。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
POP3でメールを受信するときに、パスワードをそのまま流さずハッシュ化して認証する方式。
⚠ 受信時の認証。送信時の認証はSMTP-AUTH。
電子メールのセキュリティ
明確な目的をもって特定の組織を狙い、複数の手口を組み合わせて気付かれないよう長期間続ける攻撃、またはその攻撃者。
⚠ DDoSの反復、不特定多数へのばらまき、興味本位の攻撃はAPTではない。
マルウェアの種類と攻撃者の拠点
バイナリデータを、メールで送れる英数字などの文字に変換する符号化方式。
⚠ 誰でも元に戻せるので暗号化ではない。暗号化ならS/MIME。
電子メールのセキュリティ
災害や障害が起きても重要な業務を継続または早期に再開するための計画。
⚠ ディザスタリカバリはその中のシステム復旧の部分。
リスクアセスメントと事業継続
PC本体の起動時に入力を求めるパスワード。
⚠ ディスクを抜き取って別のPCにつながれると回避される。HDDパスワードとの違いに注意。
端末・媒体・クラウドからの情報漏えい対策
従業員が私物のスマートフォンやPCを業務に使うこと。
⚠ MDMと混同させる。BYODは利用形態、MDMは管理の仕組み。
端末・媒体・クラウドからの情報漏えい対策
ボットネット内のボットに外部から命令を出し、応答や収集した情報を受け取る司令塔のサーバ。
⚠ キャッシュサーバ（コンテンツの代理配信）や認証サーバの説明と混ぜられる。
マルウェアの種類と攻撃者の拠点
ゆがめた文字画像を読ませるなどして、操作しているのが人間かプログラムかを見分ける仕組み。
⚠ パケットキャプチャ（通信の中身を取り込んで解析すること）やQRコードとは無関係。
利用者認証の要素と生体認証
認証局が証明書をどのような方針で発行・運用するかを定めた文書。
⚠ CP を読んでも、侵害された認証局が出した不正な証明書は見分けられない。
認証局（PKI）とディジタル証明書
有効期間内なのに失効したディジタル証明書のシリアル番号を、認証局がまとめて公開するリスト。
⚠ スパム送信元のブラックリストや、アクセス権限のリスト（ACL）とは別物。
認証局（PKI）とディジタル証明書
電子政府推奨暗号の安全性を評価・監視し、暗号の適切な実装・運用法を検討するプロジェクト。
⚠ 「暗号」が出たら CRYPTREC。インシデント対応や情報共有はしない。
インシデント対応の組織と情報共有
組織内に置かれ、セキュリティインシデントの報告を受けて調査し、対応する組織の総称。
⚠ PSIRT は自社製品の脆弱性、SOC は監視・検知が担当。CSIRT は「発生したインシデントへの対応」。
インシデント対応の組織と情報共有
組織内 CSIRT の構築と運用を支援するため、JPCERT/CC が作成した資料。
⚠ ISMSユーザーズガイド（JIPDEC）、証拠保全ガイドライン（デジタル・フォレンジック研究会）、内部不正防止ガイドライン（IPA）とは作成元も内容も違う。
インシデント対応の組織と情報共有
罠のページを見た利用者に、ログイン中の別のWebサイトで本人が意図しない操作をさせる攻撃。
⚠ XSSと名前が似ている。「意図しない操作を行わせる」とあればCSRF。
Webアプリケーションへの攻撃と対策
脆弱性の深刻度を共通の基準で点数化する評価手法。
⚠ JVN の説明問題で「汎用的な評価手法」として誤答に使われる。
インシデント対応の組織と情報共有
ソフトウェアの脆弱性をタイプ別に識別するための分類基準。
⚠ JVN の説明問題で「脆弱性のタイプを識別する基準」として誤答に使われる。
インシデント対応の組織と情報共有
多数の機器から一斉に大量の通信を送り付け、標的のサービスを停止させる攻撃。
DNSを狙う攻撃とDoS攻撃
多数のコンピュータから一斉に大量の通信を送り、サーバを使えない状態にする攻撃。
⚠ フィッシングの被害を選ぶ問題で「サーバが一時使用不能」の選択肢として出る。
人をだまして誘導する攻撃
離散対数問題の難しさを利用して、通信相手と安全に共通鍵を共有するための鍵交換方式。
⚠ 素因数分解が根拠のRSAと取り違えやすい。
共通鍵暗号と公開鍵暗号のしくみ
送信側がメールにディジタル署名を付け、受信側がDNSの公開鍵で検証して、送信元ドメインの詐称や改ざんを検知する仕組み。
⚠ SPFはIPアドレスで照合する。「署名」「ハッシュ」が出たらDKIM。
電子メールのセキュリティ
社内ネットワークとインターネットの間に置く緩衝区域で、外部に公開するサーバなどを設置する場所。
端末・媒体・クラウドからの情報漏えい対策
インターネットと内部ネットワークの間に設ける、公開用サーバを置くための区画。
⚠ 重要データを持つDBサーバはDMZではなく内部セグメントに置く。
ファイアウォールとDMZ
ドメイン名とIPアドレスを対応付け、名前からIPアドレスを調べられるようにする仕組み。
DNSを狙う攻撃とDoS攻撃
迷惑メールを送るIPアドレスのブラックリストを、DNSの仕組みで照会できるようにしたもの。
⚠ SPFは「正規のサーバか」を照合し、DNSBLは「悪いサーバか」を照会する。
電子メールのセキュリティ
DNSの応答に電子署名を付け、受け取った側が改ざんされていないことを検証できるようにする拡張仕様。
DNSを狙う攻撃とDoS攻撃
ランダムなサブドメイン名の問合せを大量に送り、キャッシュを素通りさせて権威DNSサーバを過負荷にする攻撃。
⚠ DNSリフレクタ攻撃。問題文に「ランダムなサブドメイン」があればウォータートーチャー攻撃で、標的は権威DNSサーバ。
DNSを狙う攻撃とDoS攻撃
利用者の代わりに名前解決を行い、その結果を一定時間キャッシュしておくDNSサーバ。
⚠ 権威DNSサーバ。キャッシュサーバは調べて覚える受付係、権威DNSサーバは正しい情報を持つ本家。
DNSを狙う攻撃とDoS攻撃
DNSキャッシュサーバに偽の対応情報を記憶させ、そのサーバの利用者を偽サーバへ誘導する攻撃。
⚠ ドメイン名ハイジャック。ポイズニングはキャッシュサーバの一時的なメモの汚染で、ハイジャックは権威DNSやレジストラの登録情報そのものの書換え。
DNSを狙う攻撃とDoS攻撃
DNSサーバのキャッシュに偽の対応情報を覚えさせ、利用者を偽サイトへ誘導する攻撃。
⚠ SEOポイズニングと名前が似ている。検索結果の話ならSEOポイズニング。
人をだまして誘導する攻撃
送信元を標的のIPに偽装したDNS問合せを送り、増幅された応答を標的に集中させる、UDPを悪用したDDoS攻撃。
⚠ DNSウォータートーチャー攻撃。リフレクタの標的は送信元を詐称された相手、ウォータートーチャーの標的は権威DNSサーバ。
DNSを狙う攻撃とDoS攻撃
大量のリクエストなどでサーバを過負荷にし、サービスを使えなくする攻撃。
⚠ データを盗んだり書き換えたりする攻撃ではないので、脅かすのは可用性。
情報セキュリティの3要素と基本の考え方
大量の通信や処理要求を送りつけて、サービスを使えない状態にする攻撃。
⚠ 正規のポートを使うので、パケットフィルタリングでは本来必要な通信と区別できない。
ファイアウォールとDMZ
サーバやネットワークに過剰な負荷をかけ、サービスを使えない状態にする攻撃。
⚠ DDoS攻撃。DoSは攻撃元が1か所、DDoSは多数の機器から分散して行う。
DNSを狙う攻撃とDoS攻撃
大量の通信などで相手のサービスを使えない状態にする攻撃。
⚠ 踏み台プログラムが設置された時点で侵入（Intrusion）。DoSは妨害を受けた事象に使う。
脆弱性の検査と攻撃・インシデントの分析
離散対数問題の難しさを利用したデジタル署名の方式。
⚠ 名前に署名と入っている。素因数分解が根拠のRSAとは別。
共通鍵暗号と公開鍵暗号のしくみ
従量課金のクラウドでリソースを大量に消費させ、利用者に経済的な損失を与える攻撃。
⚠ 通常のDoS攻撃。DoSはサービス停止が目的、EDoSは請求額を膨らませて経済的に事業を続けられなくするのが目的。
DNSを狙う攻撃とDoS攻撃
PCやサーバのプロセスや通信を監視し、不審な挙動を検知して管理者に通知し、対応を支援する仕組み。
⚠ SIEMは複数の機器のログを一元管理して相関分析するもの。EDRは端末そのものを監視する。
マルウェアの検出・解析と端末の対策
IPsecの一部で、パケットのデータ部分を暗号化する。
⚠ AH：認証だけで暗号化しない。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
www.example.co.jp のようにホスト名まで含めた完全なドメイン名で、サーバ証明書に書き込まれる。
認証局（PKI）とディジタル証明書
ホスト名からトップレベルドメインまでを省略せずに書いた完全なドメイン名（例：www.example.co.jp）。
⚠ URLと混同しやすい。URLは https:// やパスを含む住所全体で、FQDNはその中のサーバ名の部分。
DNSを狙う攻撃とDoS攻撃
ファイル転送のプロトコルで、制御に21番、データに20番を使う。
ファイアウォールとDMZ
ハードディスク自体に設定するパスワードで、別のPCにつないでもパスワードなしでは読めない。
⚠ BIOSパスワードは元のPC本体にかかる鍵なので、ディスクを抜かれると無効になる。鍵がディスクと一緒に持ち去られるかで見分ける。
端末・媒体・クラウドからの情報漏えい対策
個々のサーバに導入し、そのサーバのログやファイルの変化から侵入を検知するIDS。
⚠ NIDSはネットワーク上のパケットを見る。
WAF・IDS・IPS・SIEMによる検知と遮断
ドメイン名とIPアドレスの対応を端末内に記述したファイルで、初期状態は「127.0.0.1 localhost」のみ。
⚠ OSやセキュリティベンダのドメインを127.0.0.1に向けた行は改ざんの跡。
マルウェアの種類と攻撃者の拠点
Webページを閲覧するためのプロトコルで、サーバは80番で待ち受ける。
⚠ HTTPSは暗号化版で443番。
ファイアウォールとDMZ
HTTPの通信をTLSで包み、通信の暗号化とサーバ証明書によるサーバ認証を行う方式。
⚠ HTTP：cookie・ID/パスワード認証・キャッシュはHTTPでもできる。HTTPSだけの特徴は「暗号化」と「サーバ証明書でサーバ確認」。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
サーバやネットワークを監視し、侵入や侵害を検知したら管理者に通知する仕組み。
⚠ IPSは検知した通信を遮断する。IDSは通知までで、止めない。
WAF・IDS・IPS・SIEMによる検知と遮断
情報処理技術者試験の実施や、J-CSIP・J-CRAT などのセキュリティ施策を行う独立行政法人。
⚠ JPCERT/CC とは別組織（JVN は両者の共同運営）。
インシデント対応の組織と情報共有
通信を監視して、不正な侵入と判断したものを遮断する仕組み。
⚠ URLフィルタは内部から外部の不正サイトへの接続を止めるもので、対象が違う。
ファイアウォールとDMZ
サーバやネットワークへの不正な通信を検知し、その場で遮断する装置。
⚠ IDSは通知だけで止めない。SSLアクセラレータ（暗号処理の専用装置）やペネトレーションテスト（疑似攻撃）の説明と混ぜられやすい。
WAF・IDS・IPS・SIEMによる検知と遮断
IPの通信を暗号化するなどして保護する技術で、VPNに使われる。
⚠ 通信データの暗号化にAESを使う場合、使う鍵は共有した共通鍵。
共通鍵暗号と公開鍵暗号のしくみ
ネットワーク層でIPパケットを暗号化・認証するプロトコル群で、AHとESPを含み、IPv6でも使える。
⚠ SSH・TLS（ネットワーク層より上）、L2TP（データリンク層）、S/MIME（メール）。「AHとESP」とあればIPsec。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
組織が情報セキュリティを方針・計画・実行・見直しのサイクルで管理し続けるための仕組み。
⚠ ISMS は組織の管理の仕組み。IT製品のセキュリティ評価（ISO/IEC 15408）とは対象が違う。
ISMS・ガバナンスと各種基準・ガイドライン
組織が作った ISMS が JIS Q 27001 に適合しているかを第三者が評価・認証する制度。
⚠ プライバシーマーク制度（JIS Q 15001・個人情報保護の体制を認定）と混同しやすい。規格番号 27001 か 15001 かで見分ける。
ISMS・ガバナンスと各種基準・ガイドライン
IT製品やシステムのセキュリティ機能が適切で確実かを評価するための国際規格。
⚠ 評価対象は製品。組織の仕組みを見る ISMS とは違う。
ISMS・ガバナンスと各種基準・ガイドライン
経営陣が組織の IT の利用を方向付け、監視する仕組み。
⚠ 情報セキュリティガバナンスと範囲が一部重なる。
ISMS・ガバナンスと各種基準・ガイドライン
IPA が標的型サイバー攻撃による被害の低減と拡大防止を目的に、被害組織を支援する活動。
⚠ J-CSIP は情報共有の取組み。「標的型」「相談窓口」「支援」なら J-CRAT。
インシデント対応の組織と情報共有
IPA が情報ハブとなり、参加組織間で標的型サイバー攻撃などの情報を共有する取組み。
⚠ J-CRAT は被害組織の支援。J-CSIP は「情報の共有」。
インシデント対応の組織と情報共有
ISMS で使う用語（トップマネジメントなど）の意味を定めた規格。
⚠ 要求事項の JIS Q 27001 と取り違えやすい。用語集なら 27000。
ISMS・ガバナンスと各種基準・ガイドライン
ISMS を作って運用するための要求事項を定めた規格で、ISMS認証の基準になる。
⚠ JIS Q 27000 は用語の定義、JIS Q 27002 は管理策の手引、JIS Q 27014 はガバナンス。
ISMS・ガバナンスと各種基準・ガイドライン
情報セキュリティマネジメントシステム（ISMS）の日本産業規格で、27001 は要求事項、27000 は用語の定義を定めている。
情報セキュリティの3要素と基本の考え方
情報セキュリティガバナンスの考え方を定めた規格。
⚠ ISMS 認証の基準である JIS Q 27001 とは別。
ISMS・ガバナンスと各種基準・ガイドライン
IT製品のセキュリティ機能を国際基準で評価し、認証する制度（IPA運営）。
⚠ J-CSIP の問題で誤答に使われる。「認証制度」なら JISEC。
インシデント対応の組織と情報共有
特定の政府機関や企業から独立し、国内インシデントの報告受付・対応支援・手口の分析・再発防止の助言を行う組織。
⚠ NISC は内閣官房に置かれた国の司令塔。「独立」「報告受付・調整」なら JPCERT/CC。
インシデント対応の組織と情報共有
JPCERT/CC と IPA が共同運営する、ソフトウェアの脆弱性関連情報とその対策情報を提供するポータルサイト。
⚠ CVSS は深刻度の評価手法、CWE は脆弱性タイプの分類基準。JVN は「情報の提供」。
インシデント対応の組織と情報共有
日本で開発された高速な共通鍵暗号方式。
⚠ 公開鍵暗号の選択肢に混ぜられる。共通鍵の仲間。
共通鍵暗号と公開鍵暗号のしくみ
データリンク層のフレームをトンネルで運ぶVPN用のプロトコルで、暗号化はIPsecと組み合わせて行う。
⚠ IPsec：層の位置は、L2TP（第2層）がIPsec（第3層）の下。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
メッセージと共通鍵から作る符号で、メッセージの改ざんを検知するもの。
⚠ ディジタル署名は公開鍵暗号を使い、第三者にも送信者を証明できる。MACは共通鍵なので当事者間に限られる。どちらも秘匿はしない。
ハッシュ関数・MAC・ハイブリッド暗号
ディスクの先頭にある、起動やディスクの区切り方の情報を記録した小さな領域。
⚠ MBRを消しても、ファイルの中身は消えない。廃棄対策としては不十分。
端末・媒体・クラウドからの情報漏えい対策
組織が貸与するスマートフォンなどに、設定やアプリ配信を一括で行い、利用状況を管理する仕組み。
⚠ BYODは私物端末を業務に使うことで、管理の仕組みではない。
端末・媒体・クラウドからの情報漏えい対策
ブラウザに感染したマルウェアが、利用者の入力した取引内容を裏で書き換える攻撃。
⚠ 中間者攻撃（MITM、通信経路の途中で割り込む）とは違い、ブラウザの中で起きるため、通信の暗号化や証明書では防げない。
ディジタル署名と改ざん・存在の証明
故障が直ってから次に故障するまでの時間の平均。
⚠ MTTRは修理時間、MTBFは故障の間隔。どちらもBCPの目標ではない。
リスクアセスメントと事業継続
故障してから修理が完了するまでにかかった時間の平均。
⚠ 実績の平均値で、BCPの目標値であるRTOとは別物。
リスクアセスメントと事業継続
ネットワークを流れるパケットを監視し、不正侵入の試みを検知して管理者に通知するIDS。
⚠ HIDSはサーバ1台ごとに入れて、そのサーバ上の挙動やファイル改ざんを見る。
WAF・IDS・IPS・SIEMによる検知と遮断
内閣官房に置かれ、国のサイバーセキュリティの司令塔を担う組織（2025年7月に国家サイバー統括室へ改組。過去問は旧名称の NISC で出題）。
⚠ JPCERT/CC は政府から独立した調整役。「内閣官房」「司令塔」なら NISC。
インシデント対応の組織と情報共有
プロバイダが、自網の利用者から外部のメールサーバ（25番ポート）への直接の通信を遮断する、迷惑メール対策。
⚠ 誤送信対策ではない。送信者に宛先を確認させるのは誤送信対策。
電子メールのセキュリティ
電子メールやファイルの暗号化と署名のための規格で、ハイブリッド暗号方式を使う。
ハッシュ関数・MAC・ハイブリッド暗号
Webアプリ経由でOSの命令（コマンド）を実行させ、ファイルの操作などを不正に行う攻撃。
⚠ 対策は「Webアプリからシェルを起動できないようにする」。セッションハイジャック対策として並んだら誤り。
Webアプリケーションへの攻撃と対策
クレジットカード会員データを守るための技術面と運用面の要件を定めた業界基準。
⚠ 個人情報全般の Pマーク、組織の仕組みの ISMS とは対象が違う。「カード会員データ」なら PCI DSS。
ISMS・ガバナンスと各種基準・ガイドライン
ICカードなどとセットで使う、本人だけが知る暗証番号。
利用者認証の要素と生体認証
認証局がデジタル証明書を発行して、公開鍵が本人のものだと保証するしくみ全体。
⚠ 暗号アルゴリズムではなく基盤。暗号方式の選択肢に混ぜられる。
共通鍵暗号と公開鍵暗号のしくみ
認証局とディジタル証明書を使い、公開鍵が本当に本人のものかを保証する仕組み全体。
認証局（PKI）とディジタル証明書
メールサーバに届いたメールを、受信者のPCへ取り出すためのプロトコル。
⚠ 送信はSMTP。
電子メールのセキュリティ
メールサーバから自分宛てのメールを取り出す受信用プロトコルで、110番を使う。
⚠ 送信用のSMTP（25番）と取り違えやすい。
ファイアウォールとDMZ
POP3の通信全体をTLSで暗号化して、受信を保護する方式。
⚠ 守るのは受信の通信路だけ。メール本文そのものの暗号化・署名はS/MIME。
電子メールのセキュリティ
自社が顧客に提供する製品やサービスの脆弱性に起因するリスクに対応する組織。
⚠ CSIRT は組織で起きたインシデント全般に対応。「自社製品」が出たら PSIRT。
インシデント対応の組織と情報共有
侵入後にバックドアを作ったり侵入の痕跡を隠したりする不正なツールのパッケージ。
⚠ 「痕跡の隠蔽」があればrootkit、「認証を経ない入口」だけならバックドア。
マルウェアの種類と攻撃者の拠点
復旧したときに、障害発生前のどの時点の状態までデータを戻すかの目標。
⚠ 「再稼働までの時間」はRTO。RPOは許せるデータ損失の範囲を表す。
リスクアセスメントと事業継続
大きな数の素因数分解が難しいことを安全性の根拠とする公開鍵暗号方式。
⚠ DH・DSAは離散対数問題が根拠。「素因数分解」と書いてあればRSA。
共通鍵暗号と公開鍵暗号のしくみ
インシデント発生後、事業や資源を再開・復旧させるまでにかける時間の目標。
⚠ RPOは「どの時点のデータまで戻すか」。RTOは時間（Time）、RPOは時点（Point）。
リスクアセスメントと事業継続
電子メールの暗号化と署名のための規格で、ハイブリッド暗号方式を使う。
ハッシュ関数・MAC・ハイブリッド暗号
MIMEを拡張して、電子メールの暗号化とディジタル署名を行う標準。
⚠ PGP：同じメール暗号でも、こちらはソフト。SSH：メールではなくリモートログイン。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
公開鍵証明書を使い、メールの暗号化とディジタル署名を行う方式。
⚠ BASE64は符号化で暗号化ではない。SMTP-AUTHは送信者の認証で、本文は守らない。
電子メールのセキュリティ
事業者が用意したアプリケーションを、インターネット経由のサービスとして使う形態。
⚠ 利用企業が不要になるのは構築・開発だけ。アクセス管理・運用手順・セキュリティ規程は利用企業に残る。
端末・媒体・クラウドからの情報漏えい対策
検索エンジンの順位付けを悪用して、悪意のあるWebサイトを検索結果の上位に表示させる攻撃。
⚠ DNSキャッシュポイズニングはDNSの対応表を書き換える攻撃。毒を混ぜる場所が検索結果かDNSかで見分ける。
人をだまして誘導する攻撃
データから元に戻せない256ビットの要約値（ハッシュ値）を作るハッシュ関数。
⚠ 暗号化方式ではないので、暗号方式を選ぶ問題では外す。
共通鍵暗号と公開鍵暗号のしくみ
256ビットのハッシュ値を出力する、代表的な暗号学的ハッシュ関数。
⚠ 暗号化方式（AESなど）ではない。データを隠すことはできない。
ハッシュ関数・MAC・ハイブリッド暗号
ファイアウォールやIDSなど多様な機器のログを一元管理し、相関分析して攻撃を検知する仕組み。
⚠ EDRは端末の挙動を監視する。サンドボックスの選択肢では誤答として出る。
マルウェアの検出・解析と端末の対策
さまざまな機器のログを集約して相関分析し、単体では見つけにくい不審な事象の検知と、管理者の対応を支援する仕組み。
⚠ 通信を直接遮断するのはIPSやWAF。SIEMのキーワードは、ログ・一元管理・相関分析。
WAF・IDS・IPS・SIEMによる検知と遮断
メールを送信したり、メールサーバ間で転送したりするためのプロトコル。
⚠ POP3・IMAPは受信（取り出し）用。
電子メールのセキュリティ
メールの送信やサーバ間の転送に使うプロトコルで、25番を使う。
⚠ POP3（110番）は受信用。「送る」ならSMTP=25。
ファイアウォールとDMZ
メールの送信時に、送信側のメールサーバが利用者をIDとパスワードで認証する仕組み。
⚠ APOPとPOP3Sは受信側。「送信時」「送信側サーバで認証」ならSMTP-AUTH。
電子メールのセキュリティ
ルータなどのネットワーク機器の状態を監視・管理するためのプロトコル。
ファイアウォールとDMZ
システム監視やログ分析を行い、インシデントの検知を担うセキュリティ運用組織。
⚠ CSIRT は起きた後の対応。SOC は「監視・ログ分析・検知」。
インシデント対応の組織と情報共有
通信ケーブルや電源と機器の間に入れて、サージを逃がし機器を守る装置。
⚠ UPSや自家発電装置は停電対策、通信線の2系統化は断線対策で、雷の過電圧対策ではない。
アクセス権限と物理的な対策
受信側のメールサーバが、送信元ドメインのDNSに登録されたIPアドレスと、実際の送信元IPアドレスを照合し、ドメインの詐称を検知する仕組み。
⚠ DKIMはディジタル署名で検証する。DNSBLはブラックリストへの照会。
電子メールのセキュリティ
データベースにデータの取得や更新を命令するための言語。
Webアプリケーションへの攻撃と対策
入力欄にデータベースへの命令文を紛れ込ませ、データの不正な読み出しや改ざんを行う攻撃。
⚠ XSSは、閲覧者のブラウザでスクリプトを動かす攻撃。どちらもWAFで防ぐ代表例。
WAF・IDS・IPS・SIEMによる検知と遮断
入力欄に悪意のある文字列を入れてSQL文の意味を書き換え、データベースを不正に操作する攻撃。
⚠ XSSと混同しやすい。被害の場所がデータベースならSQLインジェクション、利用者のブラウザならXSS。
Webアプリケーションへの攻撃と対策
遠隔のコンピュータへのログインやファイルコピーを、暗号化と認証付きで行うプロトコルとそのコマンド。
⚠ S/MIME・PGP（メールの暗号化）、SET（カード決済）、RADIUS（認証サーバ）。「リモートログイン」ならSSH。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
無線LANのアクセスポイントを識別するネットワーク名。
⚠ 暗号鍵（事前共有鍵）ではないので、暗号化・秘匿・長くすることは決定的な対策にならない。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
証明書でサーバを確認し、通信を暗号化するプロトコルで、トランスポート層の上で動き Web 以外にも使える。
⚠ 「ネットワーク層」「Web サーバ専用」と書かれた選択肢は誤り。
認証局（PKI）とディジタル証明書
暗号化と復号の処理を専用ハードウェアで高速に行い、Webサーバの負荷を軽くする装置。
⚠ 攻撃は検知しない。WAFの設置問題では、この装置の後ろ（平文の区間）がWAFの置き場所になる。
WAF・IDS・IPS・SIEMによる検知と遮断
2点間の通信を暗号化し、証明書で相手を認証するプロトコルで、SSLの後継。
⚠ IPsec：TLSはトランスポート層の上、IPsecはネットワーク層。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
室内に最低2人がいる状態を保ち、1人きりで作業させないルール。
⚠ 入退室のカード記録を照合するのがアンチパスバック。TPMORは在室人数のルール。
アクセス権限と物理的な対策
停電や瞬断のとき、内蔵の電池で一定時間電力を供給する装置。
⚠ 雷の過電圧対策を問われたらSPD。停電対策を問われたらUPSや自家発電装置。
アクセス権限と物理的な対策
アクセス先のURLを見て、不正サイトや業務に関係ないサイトへの接続を遮断する仕組み。
⚠ パケットフィルタリングはURLを見られない。
ファイアウォールとDMZ
ファイアウォール、マルウェア対策、侵入検知などの複数のセキュリティ機能を1台にまとめて統合管理する機器。
⚠ SIEMはログを集めて分析する仕組みで、UTMは防御機能そのものを1台にまとめた機器。
WAF・IDS・IPS・SIEMによる検知と遮断
デスクトップ環境をサーバ上で仮想化し、端末には画面の画像だけを送って操作させる仕組み。
⚠ VPNは仮想の専用線（通信路）を作るもので、デスクトップ環境の仮想化ではない。
端末・媒体・クラウドからの情報漏えい対策
インターネットなどの共用の回線上に、特定の人だけが使える仮想の専用線を作る技術。
⚠ VDI（デスクトップの仮想化）と取り違えさせる選択肢として出る。
端末・媒体・クラウドからの情報漏えい対策
Webアプリケーションへの通信の中身（POSTデータなど）を検査して、攻撃を防ぐ仕組み。
⚠ パケットフィルタリング型FWは中身を見ない。
ファイアウォールとDMZ
Webサーバに届くリクエストの中身を検査し、SQLインジェクションやXSSなどの攻撃パターンを検知して遮断する仕組み。
⚠ ファイアウォールはIPアドレスやポート番号だけを見て、中身は見ない。IPSはネットワーク全般の不正通信が対象で、WAFはWebアプリへの攻撃に特化している。
WAF・IDS・IPS・SIEMによる検知と遮断
Webページやメールに小さな画像を埋め込み、利用者のアクセス動向などの情報を収集する仕組み。
⚠ ウイルスやスクリプトによる攻撃の説明と取り違えやすい。小さな画像で情報を集めるならWebビーコン。
人をだまして誘導する攻撃
初期の無線LAN暗号方式で、短時間で解読できるため使ってはいけない。
⚠ WPA2：鍵を長くしてもWEPは安全にならない。無断接続の防止にはWPA2以降を選ぶ。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
事前共有鍵を使う無線LANの方式で、同じSSIDと鍵を設定した端末だけが接続でき、通信が暗号化される。
⚠ SSIDを鍵にする、という説明は誤り。鍵は事前共有鍵で、SSIDはネットワーク名。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
WPA2の後継となる無線LANのセキュリティ規格。
⚠ HTTPやTCP/IPの暗号化規格、証明書の規格ではない。「無線LAN」と書かれた選択肢を選ぶ。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
XML 文書用の署名の規格で、文書の一部への署名（部分署名）や複数人による多重署名ができる。
⚠ TLS（通信の暗号化）や Ajax（非同期通信による画面の書き換え）の説明と混同させる選択肢が出る。
ディジタル署名と改ざん・存在の証明
ログインに一定回数失敗したアカウントを一時的に使えなくして、総当たりを防ぐ仕組み。
⚠ リバースブルートフォースは1つのIDへの失敗が少ないため、アカウントロックが効きにくい。
パスワードの管理と総当たり系の攻撃
インストールしたソフトウェアに含まれ、意図しない広告を表示させるプログラム。
⚠ フィッシングの被害を選ぶ問題で「勝手に広告が表示される」選択肢として出る。
人をだまして誘導する攻撃
入室記録のないIDカードでの退室や、退室記録のないIDカードでの再入室を許可せず、カードの使い回しを防ぐ仕組み。
⚠ 共連れを防ぐのはインターロックゲート。アンチパスバックはカードの入退室記録が対応しているかを見る。
アクセス権限と物理的な対策
情報セキュリティを脅かす事故や事件、またはその兆候。
脆弱性の検査と攻撃・インシデントの分析
情報漏えいや不正アクセス、マルウェア感染など、セキュリティ上の事件や事故。
インシデント対応の組織と情報共有
2つの扉の片方が閉まらないともう片方が開かない構造で、共連れを防ぐ入退室設備。
⚠ アンチパスバックはカードの使い回し対策で、扉の構造で人数を絞るのがインターロックゲート。
アクセス権限と物理的な対策
ファイルが正常な状態から変わっていないかを確かめる改ざん検出系の方式の総称で、チェックサム法とコンペア法を含む。
⚠ チェックサム法の別名ではなく、上位の分類。
マルウェアの検出・解析と端末の対策
0〜1023番の、代表的なサービスのために予約されたポート番号（HTTP=80、SMTP=25など）。
⚠ PC側が一時的に使うのは1024以上の番号。
ファイアウォールとDMZ
成果物を人が集まって確認するレビュー手法（インスペクションは役割を決めた公式のレビュー）。
⚠ 攻撃を伴わないので、ペネトレーションテストの選択肢に出たら除外する。
脆弱性の検査と攻撃・インシデントの分析
特別な意味を持つ文字を、ただの文字として扱われる形に置き換える処理。
⚠ SQL向け（データベースを守る）とHTML向け（ブラウザを守る）がある。問題文がどちらを守っているかで攻撃名を決める。
Webアプリケーションへの攻撃と対策
データを暗号化した鍵を、さらに別の鍵で暗号化して保護する方式。
⚠ 「受信者の公開鍵で本文を直接暗号化」とは違う。鍵を鍵で包むのが特徴。光子を使う盗聴検知は量子暗号（量子鍵配送）。
ハッシュ関数・MAC・ハイブリッド暗号
外部の誰からの再帰的な問合せにも応答してしまうDNSキャッシュサーバ。リフレクタ攻撃の踏み台になる。
DNSを狙う攻撃とDoS攻撃
Webサイトの自動転送機能を悪用し、攻撃者が指定した偽サイトへ利用者を誘導する攻撃。
⚠ HTMLメールのフィッシングは偽URLを直接リンクに書く。正規サイトの転送機能を使えばオープンリダイレクト。
Webアプリケーションへの攻撃と対策
キーボードの入力内容を記録するソフトで、パスワードなどを盗むのに悪用される。
⚠ 通信経路に割り込んで盗むのは中間者攻撃。
マルウェアの種類と攻撃者の拠点
利用者の PC やスマートフォンに入れる証明書で、サーバが許可された端末・利用者かどうかを確認するのに使う。
⚠ ウイルス感染の有無やパッチの適用状況は分からない。
認証局（PKI）とディジタル証明書
利用者（PC）側に入れる電子証明書で、TLS通信の相手のサーバが利用者を認証するのに使う。
⚠ サーバ証明書：認証される側がサーバか利用者かで区別する。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
離席時に画面をロックするなどして、画面に表示された情報を他人に見られないようにする対策。
⚠ クリアデスクは机の上の物、クリアスクリーンは画面の表示を守る。
内部不正と組織のルール
離席時や帰宅時に、書類・媒体・ノートPCなどを机の上に放置せず、施錠できる場所に保管する対策。
⚠ 画面ロックはクリアスクリーン、ワイヤ固定は盗難防止。デスクトップのフォルダ整理は無関係。
内部不正と組織のルール
脆弱なWebサイトを経由して、攻撃者のスクリプトを閲覧者のブラウザで実行させる攻撃。
⚠ CSRFは「別サイトで本人が意図しない操作をさせる」攻撃。XSSは「ブラウザでスクリプトを実行させる」攻撃。
Webアプリケーションへの攻撃と対策
配布するソフトウェアにディジタル署名を付け、利用者が改ざんの有無と配布元を確かめられるようにすること。
⚠ 使用制限、改変の禁止、著作権の証明はできない。
ディジタル署名と改ざん・存在の証明
登録したキーワードと送信メールを自動で照合し、情報漏えいの疑いがあるメールを検知して発信を止める対策。
⚠ 「添付が無ければ検査しない」など、例外を作る説明は誤り。
電子メールのセキュリティ
他のプログラムに寄生して感染し、増殖するマルウェア。
⚠ ワームは寄生先がなくても単独で広がる。
マルウェアの種類と攻撃者の拠点
安全な場所に保管した原本と検査対象を比べ、違っていれば感染と判定する方式で、インテグリティチェック法の一種。
⚠ チェックサム法は原本ではなく、付加しておいた保証情報と比べる。
マルウェアの検出・解析と端末の対策
落雷などで電線や通信線に瞬間的に流れ込む異常に高い電圧や電流。
⚠ 停電（電気が来ない状態）とは別の現象。対策も別になる。
アクセス権限と物理的な対策
Web サーバの FQDN と公開鍵を認証局が証明する証明書で、ブラウザが本物のサーバかどうかを確かめるのに使う。
⚠ クライアント証明書は利用者側の端末に入れるもので、確かめるのはサーバ側。
認証局（PKI）とディジタル証明書
Webサーバが本物であることを認証局が証明する電子証明書。
⚠ クライアント証明書：こちらは利用者の身分を証明し、サーバが利用者を認証するのに使う。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
暗号装置の電磁波・消費電力・処理時間など、外部に漏れる物理的な情報から秘密を読み取る攻撃。
⚠ 暗号の数式を解くのではなく、装置の動作を観察する点が他の解読法と違う。
パスワードの管理と総当たり系の攻撃
サイバー空間と現実空間がつながる新たな産業社会のリスクを捉えるモデルを作り、対策の全体像を整理した経済産業省の枠組み。
⚠ テレワーク、クラウドサービス、データセンタ向けの各ガイドラインの目的と混ぜて出される。「新たな産業社会」「モデル」「全体像」がキーワード。
ISMS・ガバナンスと各種基準・ガイドライン
攻撃者の視点で、攻撃を偵察から目的の実行までの段階に分けたモデル。
⚠ サプライチェーンリスク（委託先の影響）、ブロックチェーン（改ざん検知のデータ構造）、中間者攻撃と取り違えやすい。
脆弱性の検査と攻撃・インシデントの分析
経済産業省と IPA が作った、経営者主導でセキュリティ対策を進めるための指針。
⚠ 自社に加えて確認すべきはサプライチェーンのビジネスパートナや委託先。株主・個人利用者・地域社会ではない。
ISMS・ガバナンスと各種基準・ガイドライン
調達・製造・販売など、自社の事業を支える取引先のつながり。
ISMS・ガバナンスと各種基準・ガイドライン
不正な動作をする可能性があるプログラムを隔離した領域で動かし、本番環境に影響させずに挙動を確かめる仕組み。
⚠ ペネトレーションテストは侵入できるかを確認するもの。ハニーポットは攻撃者を呼び込むおとり。
マルウェアの検出・解析と端末の対策
隔離された仮想環境で疑わしいファイルを実行し、C&Cサーバ（攻撃者の指令サーバ）への通信などの振る舞いを監視する仕組み。
⚠ SIEMの説明問題で、ひっかけの選択肢として出る。
WAF・IDS・IPS・SIEMによる検知と遮断
読み取った特徴がどれだけ似ていれば本人とみなすかを決める合否の境目。
利用者認証の要素と生体認証
ウイルスごとの特徴的なコード列で、パターンマッチング方式が照合に使う。定義ファイルにまとめて配布される。
⚠ デジタル署名（電子署名）も英語では signature だが、別物。
マルウェアの検出・解析と端末の対策
シグネチャ型は既知の攻撃パターンとの照合で検知し、アノマリ型は普段と違う挙動を異常として検知する方式。
⚠ シグネチャ型は未知の攻撃に弱く、アノマリ型は誤検知（フォールスポジティブ）が増えやすい。
WAF・IDS・IPS・SIEMによる検知と遮断
情報システム部門の許可を得ずに、従業員や部門が業務で使うデバイス・クラウドサービス・ソフトウェア。
⚠ ソーシャルエンジニアリングやバックドアなど他の用語と混ぜて出される。「許可なく業務で利用」がキーワード。
内部不正と組織のルール
画面やキー入力を肩越しや物陰から盗み見て、情報を盗み出す行為。
⚠ ソーシャルエンジニアリングの一種。対策の一つがクリアスクリーンや覗き見防止フィルタ。
内部不正と組織のルール
認証局が証明書ごとに付ける通し番号で、CRL で失効した証明書を特定するのに使う。
認証局（PKI）とディジタル証明書
端末にディスクを持たせず、処理とデータ管理をサーバ側で行う方式。端末から情報が漏れにくい。
⚠ VDIはシンクライアントを実現する代表的な方式の一つ。GPSやUSBによる拡張性は、シンクライアントの特徴ではない。
端末・媒体・クラウドからの情報漏えい対策
行きの通信の状態を覚えておき、それに対応する帰りの通信を自動で通すFWの機能。
⚠ この機能が無い「静的」なパケットフィルタリングでは、帰りの通信も個別にルールに書く必要がある。
ファイアウォールとDMZ
画像や音声などのデータの中に、秘密の情報を他人に気付かれないよう埋め込む技術。
⚠ 暗号は「読めなくする」が、ステガノグラフィは「あること自体を隠す」。CAPTCHA やストレッチングとも無関係。
ディジタル署名と改ざん・存在の証明
ディスクに保存したデータを暗号化し、鍵がなければ読めないようにすること。紛失・盗難・抜き取りに有効。
⚠ バックアップやミラーリングは「データを失わない」ための対策で、「読ませない」ための対策ではない。
端末・媒体・クラウドからの情報漏えい対策
ネットワークを流れる通信を盗み見て、パスワードなどを取得する攻撃。
⚠ 対策は通信の暗号化。試行回数の制限では防げない。
パスワードの管理と総当たり系の攻撃
利用者の意図に反してインストールされ、個人情報や閲覧履歴などを集めるプログラム。
⚠ 広告を勝手に出すのはアドウェア。
マルウェアの種類と攻撃者の拠点
PC の起動時に OS やドライバの署名を検証し、許可されていないものを実行させない仕組み。
⚠ BIOS パスワードや HDD パスワード（本人確認）、起動時のマルウェアスキャンとは別物。
ディジタル署名と改ざん・存在の証明
システムの企画・設計段階からセキュリティを組み込んでおく考え方。
⚠ 開発後の脆弱性診断・リスクアセスメント・監査による改修は該当しない。
情報セキュリティの3要素と基本の考え方
ログイン中の利用者を見分けるために、サーバが発行してブラウザに持たせる識別用の値。
Webアプリケーションへの攻撃と対策
他人のセッションIDを不正に入手し、その利用者になりすましてアクセスする攻撃。
⚠ 対策は、ログアウト時にサーバ側でIDを無効化することと、重要操作の前の再認証。通信の暗号化やIDの格納場所の変更は不正解。
Webアプリケーションへの攻撃と対策
修正プログラムがまだ提供されていない脆弱性を突く攻撃。
⚠ ゼロトラスト（内部も信用しない考え方）とは無関係。
情報セキュリティの3要素と基本の考え方
脆弱性の修正パッチが提供される前に、その脆弱性を悪用する攻撃。
⚠ 日時を決めて多数のPCから一斉に攻撃するのはDDoS攻撃。
マルウェアの種類と攻撃者の拠点
社内ネットワークも安全とはみなさず、アクセスのたびに検証する考え方。
⚠ ゼロデイ（修正プログラムが未提供の脆弱性）、ゼロ知識証明、ビヘイビア法と取り違えやすい。
情報セキュリティの3要素と基本の考え方
技術ではなく、人の信頼や油断といった心理のすきを突いて情報を盗んだり、操作をさせたりする手口。
電子メールのセキュリティ
管理者や緊急事態を装うなど、人の心理や行動の隙を突いてパスワードや機密情報を聞き出す手口。
⚠ パスワードクラックや脆弱性の悪用は機械的・技術的な攻撃。人から直接聞き出すかどうかで見分ける。
人をだまして誘導する攻撃
人の心理やすきを突いて、パスワードなどの秘密情報を聞き出したり盗み見たりする手口の総称。
⚠ 技術ではなく人をだます手口。シャドーITは従業員が勝手にITを使う状態で、攻撃手口ではない。
内部不正と組織のルール
プログラムを動かさずに、ソースコードを読んだりツールにかけたりして問題を探す検査。
⚠ ファジングやペネトレーションテストは、プログラムを実際に動かして調べる。
脆弱性の検査と攻撃・インシデントの分析
パスワードをハッシュ化する前に足す、利用者ごとのランダムな文字列で、同じパスワードでも違うハッシュ値にする。
⚠ ソルトは「秘密の鍵」ではなく、レインボーテーブルによる逆引きを防ぐための値。
パスワードの管理と総当たり系の攻撃
電子データがある日時に確かに存在し、それ以降改ざんされていないことを証明するサービス。
⚠ 時刻を表示するサービスや、時計合わせの NTP とは違う。
ディジタル署名と改ざん・存在の証明
感染したPCから外部の不正サイトに接続して、別のウイルスをダウンロードしてくるウイルス。
ファイアウォールとDMZ
データから計算した検査用の値で、データが途中で変わっていないかを確かめるのに使う。
⚠ 暗号化（機密性）と違い、中身を隠す機能はない。完全性の対策。
情報セキュリティの3要素と基本の考え方
データから計算した検査用の値で、送信や保存の途中で壊れていないかを確かめるもの。
⚠ 完全性の対策で、漏えい対策ではない。暗号化と違い、中身を隠す働きはない。
端末・媒体・クラウドからの情報漏えい対策
感染していないことを保証する情報（チェックサム）をあらかじめ付けておき、検査時に計算した値と比べて改ざんを検出する方式。
⚠ コンペア法は原本そのものと比べる方式。チェックサム法とコンペア法をまとめてインテグリティチェック法と呼ぶ。
マルウェアの検出・解析と端末の対策
サーバが送った乱数とパスワードをクライアントで演算し、その結果だけを返す認証方式。
⚠ トークンが表示する毎回ちがう値を送るのはワンタイムパスワード方式。
利用者認証の要素と生体認証
災害で止まったシステムやデータを復旧させるための仕組みや計画。
リスクアセスメントと事業継続
不正の証拠となるデジタルデータを保全・分析し、法的に使える形にする手法。
⚠ ハッシュ値は原本と複製の同一性の証明に使う。データの復元やパスワード保存が目的ではない。
ハッシュ関数・MAC・ハイブリッド暗号
不正アクセスなどの犯罪で、法的な証拠性を保てるように、原因究明に必要なデータを保全・収集・分析すること。
⚠ メールフィルタリング、不正アクセスの防御、廃棄前のデータ上書き消去は別の対策。
脆弱性の検査と攻撃・インシデントの分析
ハッシュ値を送信者の秘密鍵で処理して作り、データに付ける「本人が出した証拠」で、改ざん検知と送信者の確認に使う。
⚠ 暗号化と混同しやすい。暗号化は中身を隠すために受信者の公開鍵を使い、署名は中身を隠さず送信者の秘密鍵を使う。
ディジタル署名と改ざん・存在の証明
送信者が自分の秘密鍵で付け、受信者が送信者の公開鍵で検証することで、本人性と改ざんの有無を確かめる仕組み。
⚠ 暗号化は受信者の公開鍵を使う。署名は送信者の秘密鍵を使う。内容が事実かどうかは保証しない。
電子メールのセキュリティ
持ち主の名前・公開鍵・有効期間・シリアル番号などに、認証局が署名したデータ。
⚠ 証明するのは「公開鍵」。「秘密鍵を証明する」と書かれていたら誤り。
認証局（PKI）とディジタル証明書
上位のディレクトリを指す「../」などをファイル名に混ぜ、非公開のファイルにアクセスする攻撃。
⚠ OSコマンドインジェクションはOSの命令を実行させる攻撃。ファイルを読むだけならディレクトリトラバーサル。
Webアプリケーションへの攻撃と対策
送信者が自分の秘密鍵で署名し、受信者が送信者の公開鍵で検証して、本人が送ったことと改ざんされていないことを確かめるしくみ。
⚠ 秘密通信は受信者の公開鍵で暗号化、署名は送信者の秘密鍵で作成。鍵の持ち主と種類が逆になる。
共通鍵暗号と公開鍵暗号のしくみ
最高位で組織を指揮し管理する個人又は人々の集まりで、複数名でもよい。
⚠ 代表取締役や情報システム部門長という特定の役職ではない。
ISMS・ガバナンスと各種基準・ガイドライン
権威DNSサーバやレジストラに登録されたドメイン情報を不正に書き換え、通信を攻撃者のサーバへ向ける攻撃。
⚠ セッションハイジャック。こちらはPCとサーバの通信の途中を乗っ取る攻撃で、DNSの登録情報は書き換えない。
DNSを狙う攻撃とDoS攻撃
悪意のあるWebサイトにアクセスしただけで、Webブラウザなどの脆弱性を突いてマルウェアに感染させる攻撃。
⚠ ランサムウェアは暗号化して身代金を要求するもの、トロイの木馬は無害なソフトを装ってインストールさせるもの。閲覧だけで感染するならドライブバイダウンロード。
人をだまして誘導する攻撃
DNSの問合せと応答を対応させる識別番号。ランダムにすると偽の応答を作りにくくなる。
DNSを狙う攻撃とDoS攻撃
送金などの取引内容そのものに署名し、利用者の入力と金融機関の受信内容が同じかを検証する対策。
⚠ ワンタイムパスワード（ログイン認証の強化）やEV SSL証明書（サイトの正当性確認）では MITB を防げない。
ディジタル署名と改ざん・存在の証明
有用なソフトを装って入り込み、単独で不正な動作をするが自己増殖はしないマルウェア。
⚠ ワームとの違いは自己増殖しないこと。
マルウェアの種類と攻撃者の拠点
有用なソフトウェアを装って利用者にインストールさせ、裏で不正な動作をするマルウェア。
⚠ 人をだまして情報を聞き出す行為（ソーシャルエンジニアリング）ではなく、プログラムの種類。
人をだまして誘導する攻撃
他人のふりをしてメッセージを送ったりシステムを使ったりする行為。
⚠ 改ざん（中身の書き換え）とは別の脅威。署名はこの両方に効く。
ディジタル署名と改ざん・存在の証明
ワンタイムパスワードを表示する小型の装置で、持っていることを示す所持要素。
利用者認証の要素と生体認証
指紋・静脈・虹彩・署名の癖など、体や動作の特徴で本人を確かめる認証。
利用者認証の要素と生体認証
本文を共通鍵暗号で暗号化し、その共通鍵を公開鍵暗号で暗号化して送る方式。
⚠ 「ストリーム暗号とブロック暗号」や「IPsecとTLS」の組合せではない。効果は機密性のみで、改ざん・なりすましは検出できない。
ハッシュ関数・MAC・ハイブリッド暗号
パケットの送信元・宛先のIPアドレスとポート番号（とプロトコル）を見て、通すか止めるかを決める方式。
⚠ URLやPOSTデータなどの中身は判断材料にしない。中身を見るのはWAF・プロキシ・URLフィルタ。
ファイアウォールとDMZ
総当たり攻撃などで、パスワードをツールにより機械的に解析すること。
⚠ 人から聞き出すソーシャルエンジニアリングとは違い、機械で解く。
人をだまして誘導する攻撃
他のサイトから流出したIDとパスワードの組を使い、使い回している利用者のアカウントに別サイトでログインする攻撃。
⚠ 「リスト」が単語リストなら辞書攻撃、ハッシュ値の対応表ならレインボー攻撃。
パスワードの管理と総当たり系の攻撃
既知ウイルスの特徴的なコード列（シグネチャ）と検査対象を照合してウイルスを検出する方式。
⚠ ビヘイビア法は実行して挙動を見る方式。「シグネチャ」「定義ファイル」とあればパターンマッチング方式。
マルウェアの検出・解析と端末の対策
正規の認証手続を経ずにシステムへ入れるよう、攻撃者が仕掛ける裏口。
⚠ rootkitは裏口づくりに加えて痕跡の隠蔽までする道具のセット。
マルウェアの種類と攻撃者の拠点
任意の長さのデータから、固定長で元に戻せない要約値を作る関数。
⚠ 暗号化と混同しやすい。暗号化は鍵で元に戻せるが、ハッシュは戻せない。
ハッシュ関数・MAC・ハイブリッド暗号
任意の長さのデータから固定長の値を作る関数で、同じ入力からは必ず同じ値が出て、値から元のデータには戻せない。
⚠ 暗号化は鍵があれば復号して元に戻せる。ハッシュ化は元に戻せない（一方向）。
パスワードの管理と総当たり系の攻撃
ハッシュ関数が出力する固定長の値で、パスワード保存では「パスワードの指紋」として使う。
パスワードの管理と総当たり系の攻撃
ファイルの中身から計算する固定長の値で、1ビット違うだけで大きく変わるため、照合で検知できるのは同一ファイルだけ。
⚠ 亜種や特徴が似たものの検知はパターンマッチング方式の役割。
マルウェアの検出・解析と端末の対策
データから一方向に計算する固定長の値で、元のデータが少しでも変わると値が変わる。
⚠ フォレンジックスでの用途は原本と複製の同一性の証明。パスワードの保存や、改変されたデータの復元とは違う。
脆弱性の検査と攻撃・インシデントの分析
確保したメモリの範囲を超えてデータを書き込み、プログラムを異常終了させたり不正なコードを実行させたりする攻撃。
⚠ 対策の「入力の長さを制限する」は、SQLインジェクションやXSSの問題で誤答としてよく並ぶ。
Webアプリケーションへの攻撃と対策
攻撃者やマルウェアの挙動を観察するために、わざと脆弱性をもたせて用意するおとりのシステム。
⚠ DMZは外部と内部の間に置く緩衝領域で、おとりではない。
マルウェアの検出・解析と端末の対策
火災などの非常時に、扉の鍵を自動で解錠して避難できるようにする機能。
⚠ 不正侵入を防ぐ仕組みではなく、安全に避難するための仕組み。
アクセス権限と物理的な対策
データの1の個数を偶数か奇数にそろえるために付け足す1ビットで、伝送中の誤りを見つけるもの。
⚠ MACは意図的な改ざんの検知、パリティは偶然の誤りの検出。
ハッシュ関数・MAC・ハイブリッド暗号
検査対象を仮想環境などで実行し、異常な書込みや通信量の急増といった挙動を監視してウイルスを検出する方式。
⚠ パターンマッチング方式は既知の特徴と照合する方式。「挙動」「仮想環境下で実行」とあればビヘイビア法。
マルウェアの検出・解析と端末の対策
ネットワークの境目で、決めたルールに従って通してよい通信だけを通す仕組み。
⚠ IPS（侵入を中身から検知して止める）やWAF（Webアプリへの攻撃を中身から止める）とは、見ている範囲が違う。
ファイアウォールとDMZ
問題を起こしそうな多様なデータを大量に入力し、挙動を監視して脆弱性を見つける手法。
⚠ 脆弱性を検出するだけで、自動修正はしない。FINパケットで稼働サービスを探すのはポートスキャン。
脆弱性の検査と攻撃・インシデントの分析
金融機関などを装ったメールで偽のWebサイトへ誘導し、IDやパスワードなどを入力させてだまし取る手口。
⚠ 無差別に送るのがフィッシング。特定の相手の業務に似せるのが標的型攻撃メール。
電子メールのセキュリティ
金融機関などを装ったメールで偽サイトに誘導し、ID・パスワードや個人情報を入力させて盗む攻撃。
⚠ DDoSはサーバを使えなくする攻撃、ボットは遠隔操作されるマルウェア。偽サイトに入力させるならフィッシング。
人をだまして誘導する攻撃
実際は攻撃や感染があるものを、問題なしと誤って判定すること。
⚠ フォールスポジティブは、正常なものを攻撃と判定する誤検知。
WAF・IDS・IPS・SIEMによる検知と遮断
実際は正常なものを、攻撃や感染があると誤って判定すること。
⚠ フォールスネガティブは逆で、本当の攻撃や感染を見逃すこと。ポジティブ＝機器が怪しいと判定した、と覚える。
WAF・IDS・IPS・SIEMによる検知と遮断
侵入の準備として、標的の組織や従業員、システムの弱点に関する情報を集める行為。
⚠ 実際の侵入ではなく、その前段階の下調べ。
内部不正と組織のルール
同じアクセスポイントにつながった無線端末同士の通信を遮断する機能。
⚠ MACアドレスフィルタリング：こちらは接続できる端末を絞る機能だが、偽装されると破られる。
通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
JIS Q 15001 に基づき、個人情報を適切に保護する体制がある事業者を認定する制度。
⚠ ISMS適合性評価制度（JIS Q 27001）と混同しやすい。
ISMS・ガバナンスと各種基準・ガイドライン
内部構造を見ずに、入力と出力の振る舞いだけで確認するテスト。
⚠ 設計書レビュー・ソースコード検査・設定ファイル検査は、内部を見る検査。
脆弱性の検査と攻撃・インシデントの分析
不正な通信のパターンを登録しておき、それに一致した通信を不正と判定する方式。
⚠ ホワイトリスト方式は正常な通信のパターンを登録し、一致しない通信を不正とする。登録内容と判定条件が逆になる。
WAF・IDS・IPS・SIEMによる検知と遮断
パスワードや暗号鍵の候補を、すべて1つずつ試して当てる攻撃。
⚠ 辞書攻撃は「ありがちな単語」だけを試す。ブルートフォースは「全候補」を試す。
パスワードの管理と総当たり系の攻撃
SQL文の形を先に決め、入力値を後から値としてはめ込むことで、入力が命令として解釈されないようにする仕組み。
⚠ SQLインジェクション専用の対策。XSSやディレクトリトラバーサルの対策として並んだら誤り。
Webアプリケーションへの攻撃と対策
取引データとハッシュ値を連鎖させた分散型台帳を多数のコンピュータで共有し、改ざんを困難にする技術。
⚠ MACやXML署名も完全性の技術だが、「分散型台帳」「多数のコンピュータで同期」とあればブロックチェーン。
ハッシュ関数・MAC・ハイブリッド暗号
脆弱性を探し、実際に攻撃して侵入できるかどうかを確かめる検査。
⚠ ソースコード検査・ウォークスルー・インスペクション・リグレッションテストは攻撃をしない。「実際に侵入」の有無で見分ける。
脆弱性の検査と攻撃・インシデントの分析
1台のコンピュータの中で、通信相手のサービスを番号で区別するための窓口。
脆弱性の検査と攻撃・インシデントの分析
サーバの各ポートに通信を送って応答を調べ、どのサービスが動いているかを把握する行為。
⚠ ペネトレーションテストは侵入まで試み、ポートスキャンは開いている窓口を調べるだけ。ログ解析やIDS（攻撃パターンとの照合）とも別物。
脆弱性の検査と攻撃・インシデントの分析
1台のコンピュータの中で、通信がどのサービス宛てかを区別する番号。
⚠ IPアドレスはコンピュータ（建物）を、ポート番号はその中のサービス（部屋）を示す。
ファイアウォールとDMZ
遠隔操作できるマルウェア（ボット）に感染した多数のコンピュータからなる集団。
マルウェアの種類と攻撃者の拠点
正常な通信のパターンを登録しておき、それに一致しない通信を不正と判定する方式。
⚠ ブラックリスト方式は不正なパターンを登録し、一致したものを不正とする。
WAF・IDS・IPS・SIEMによる検知と遮断
指紋の隆線が途切れたり分かれたりする点で、指紋照合に使う特徴点。
⚠ 選択肢に出たら指紋（身体的特徴）のこと。
利用者認証の要素と生体認証
悪意をもって作られた不正なソフトウェアの総称。
マルウェアの種類と攻撃者の拠点
同じデータを2台以上のディスクに同時に書き込み、1台が壊れても使い続けられるようにする仕組み。
⚠ 情報漏えいは防げない。可用性の対策。
情報セキュリティの3要素と基本の考え方
同じデータを2台以上のディスクに同時に書き込み、1台が壊れても使い続けられるようにすること。
⚠ 可用性の対策。コピーが増えるだけで、漏えいは防げない。
端末・媒体・クラウドからの情報漏えい対策
ハッシュ関数でメッセージから作った固定長の値（ハッシュ値と同じ意味）。
⚠ 「メッセージの概要（要約文）」ではない。人が読める要約ではなく、比較用の値。
ハッシュ関数・MAC・ハイブリッド暗号
メッセージをハッシュ関数にかけて得る短い固定長の値で、署名はこれに対して作る。
⚠ MAC（共通鍵を使う改ざん検知用の値）は、送信者を第三者に証明できない点で署名と異なる。
ディジタル署名と改ざん・存在の証明
ファイルを勝手に暗号化して読めなくし、元に戻す代わりに金銭を要求するマルウェア。
⚠ 「暗号化して読めなくする」はワームではなくこちら。
マルウェアの種類と攻撃者の拠点
PC内のファイルを暗号化し、元に戻すことと引き換えに金銭を要求するマルウェア。
⚠ ドライブバイダウンロードの問題で別の選択肢として出る。暗号化と身代金ならランサムウェア。
人をだまして誘導する攻撃
修正や変更で、それまで正しく動いていた部分が壊れていないかを確かめるテスト。
⚠ セキュリティの侵入テストではない。
脆弱性の検査と攻撃・インシデントの分析
リスクを特定・分析・評価して、対応すべきリスクと優先順位を決める一連のプロセス。
⚠ リスクマネジメントはアセスメントに対応・監視なども含む全体。アセスメントは特定・分析・評価の3つだけ。
リスクアセスメントと事業継続
普段と違う場所や端末からのアクセスを検知したときだけ、追加の本人確認を求める認証方式。
⚠ 常に2つの方式を併用するのは多要素認証であり、リスクベース認証ではない。
利用者認証の要素と生体認証
結果（影響）とその起こりやすさの組合せで表したリスクの大きさ。
⚠ 脆弱性（弱点）やリスク基準（評価の目安となる条件）と取り違えやすい。「組合せ」「大きさ」がキーワード。
リスクアセスメントと事業継続
リスクの重大性を評価するときの目安となる条件。
⚠ リスクレベル（リスクの大きさそのもの）と混同しやすい。基準は比べる物差し。
リスクアセスメントと事業継続
リスクに特別な対策をせず、起きた場合の損失を受け入れると決めること。
⚠ リスク対応の選択肢の一つで、アセスメントの構成要素ではない。
リスクアセスメントと事業継続
評価結果に基づき、リスクを回避・低減・移転・保有するなどの手を打つこと。
⚠ アセスメントには含まれない後工程。
リスクアセスメントと事業継続
起こりうるリスクを洗い出して記録すること。
リスクアセスメントと事業継続
分析したリスクをリスク基準と比べ、対応が必要か・どれを優先するかを決めること。
⚠ リスク対応（実際に手を打つ）とは別。評価までがアセスメント。
リスクアセスメントと事業継続
リスクの起こりやすさと影響を見積もり、リスクレベルを決めること。
⚠ リスク評価は分析結果を基準と比べて対応の要否を決める段階。数字を出すのが分析、判断するのが評価。
リスクアセスメントと事業継続
よく使われるパスワードを1つ固定し、利用者IDを次々に変えてログインを試す攻撃。
⚠ 通常のブルートフォースはIDを固定してパスワードを変える。固定するものが逆。
パスワードの管理と総当たり系の攻撃
最上位の認証局が自分自身に発行した証明書で、ブラウザや OS に組み込まれ、信頼の起点となる。
⚠ 認証局が侵害されたときは、このルート証明書の信頼を外す（その認証局を信頼しない設定にする）。
認証局（PKI）とディジタル証明書
パスワード候補とそのハッシュ値の対応表を事前に作っておき、入手したハッシュ値から元のパスワードを逆引きする攻撃。
⚠ ログインを試す攻撃ではなく、盗んだハッシュ値を解析する攻撃。対策はソルト。
パスワードの管理と総当たり系の攻撃
特定の日時や条件を満たすまで潜み、条件が成立したときに不正な処理を実行するプログラム。
⚠ 「条件まで待機」はワームの特徴ではない。
マルウェアの種類と攻撃者の拠点
ネットワークやリムーバブルメディアを通じて、自分のコピーを作りながら単独で感染を広げるマルウェア。
⚠ ウイルスは他のプログラムに寄生して感染する。「自分で広がる」ならワーム。
マルウェアの種類と攻撃者の拠点
既存のウイルスを一部書き換えて作った改造版のウイルス。
⚠ 未知ウイルスは特徴がまだ登録されていない新しいウイルス。どちらも完全一致の照合では検出しにくい。
マルウェアの検出・解析と端末の対策
鍵がないと元の内容が分からないように変換されたデータ。
共通鍵暗号と公開鍵暗号のしくみ
ハッシュ値が与えられても、その値になる元のメッセージを見つけるのが計算量的に困難な性質。
⚠ 衝突困難性は「同じ値になる別々の2つ」を見つけるのが困難な性質。「二つの相異なる」とあれば衝突困難性。
ハッシュ関数・MAC・ハイブリッド暗号
許可された人が、使いたいときに情報やシステムを使える状態を保つこと。
⚠ DoS 攻撃・故障・停電は可用性への脅威。ミラーリング・バックアップは可用性の対策。
情報セキュリティの3要素と基本の考え方
掲示板などに攻撃スクリプトを書き込んで保存させ、後から閲覧した利用者のブラウザで実行させるXSS。
⚠ 反射型との見分けは上と同じ。
Webアプリケーションへの攻撃と対策
軽微な不正や犯罪を放置すると、より大きな不正や犯罪が誘発されるという理論。
⚠ 不正のトライアングル（3要素）や日常活動理論と区別する。キーワードは「軽微な不正の放置」。
内部不正と組織のルール
情報が正確で、勝手に改ざん・破壊されていない状態を保つこと。
⚠ 不正コピーは中身が変わらないので完全性ではなく機密性の問題。
情報セキュリティの3要素と基本の考え方
見通しの確保や出入口の管理など、建物や環境の設計によって犯罪を防ぐという理論。
⚠ 割れ窓理論は「小さな不正の放置」、こちらは「物理的な環境の設計」が中心。
内部不正と組織のルール
作業を見守る人を置き、「見られている」と意識させて内部不正を牽制する人的・組織的な対策。
⚠ ウイルス検査やバックアップは外部攻撃・障害への対策で、内部の持出しの牽制にはならない。
内部不正と組織のルール
計算能力の向上や解読法の発見によって、暗号アルゴリズムの安全性が下がること。
⚠ 鍵の漏えいや証明書の有効期限切れは運用上の問題で、危殆化ではない。
共通鍵暗号と公開鍵暗号のしくみ
技術・物理的な環境や組織のルールの穴など、不正を実行可能または容易にする環境があること。
⚠ 動機・正当化と説明を入れ替えられる。「環境・仕組み」の話なら機会。
内部不正と組織のルール
許可された人だけが情報を見たり使ったりできる状態を保つこと。
⚠ 完全性と混同しやすい。中身が「漏れた」なら機密性、中身が「変わった」なら完全性。
情報セキュリティの3要素と基本の考え方
許可された人だけが情報を読める状態を保つこと。情報漏えい対策はこれを守る対策。
⚠ 完全性（改ざんされていないこと）・可用性（使いたいときに使えること）と区別する。暗号化は機密性、チェックサムは完全性、バックアップは可用性。
端末・媒体・クラウドからの情報漏えい対策
機械語のプログラムを人間が読めるアセンブリ言語に戻すことで、新種ウイルスの動作の解明に有効な静的解析の手段。
⚠ 逆コンパイルは高水準言語のコードに戻すこと。どちらも静的解析。
マルウェアの検出・解析と端末の対策
暗号化と復号に同じ鍵を使い、その鍵を相手と秘密に共有する方式。処理が速い。
⚠ 秘密鍵暗号方式とも呼ばれる。公開鍵暗号の「秘密鍵」と名前が似ているので注意。鍵が1本なら共通鍵暗号、ペアなら公開鍵暗号。
共通鍵暗号と公開鍵暗号のしくみ
認証した人の後ろについて、自分は認証せずに入室すること。
⚠ カードを渡して使い回すパスバックとは別の不正。
アクセス権限と物理的な対策
署名が正しいかを確かめる鍵で、送信者の公開鍵のこと。
⚠ 受信者の公開鍵ではない。検証も「送信者の」鍵を使う。
ディジタル署名と改ざん・存在の証明
自分が管理するドメインの正式な名前とIPアドレスの対応情報を持ち、問合せに答えるDNSサーバ。
⚠ DNSキャッシュサーバ。ウォータートーチャー攻撃とドメイン名ハイジャックで狙われるのは権威DNSサーバ側。
DNSを狙う攻撃とDoS攻撃
業務の性質や本来持っている特性から生じるリスク。
⚠ 残留リスクは対応後に残る分、固有リスクは対応前の本来の分。
リスクアセスメントと事業継続
正常なプログラムをウイルスと判定してしまうこと。照合するコード列が短いほど起きやすい。
⚠ 見逃し（ウイルスを正常と判定すること）とは逆。
マルウェアの検出・解析と端末の対策
誰にでも配ってよい鍵。秘密の通信では、送る側が受信者の公開鍵で暗号化する。
⚠ 公開鍵で暗号化したものは公開鍵では復号できない。復号するのはペアの秘密鍵。
共通鍵暗号と公開鍵暗号のしくみ
公開鍵暗号で、誰に公開してもよい鍵で、秘密鍵と対になる。
⚠ 暗号化では受信者の公開鍵、署名の検証では送信者の公開鍵を使う。
ディジタル署名と改ざん・存在の証明
誰に配ってもよい鍵で、署名の検証や、持ち主宛ての暗号化に使う。
⚠ 秘密鍵は本人だけが持ち、署名と復号に使う。認証局が証明するのは公開鍵だけ。
認証局（PKI）とディジタル証明書
公開鍵と秘密鍵のペアを使い、一方で暗号化したものをもう一方でしか復号できない方式。
⚠ 「暗号化鍵と復号鍵が同一」「共通鍵の配送が必要」は共通鍵暗号の特徴。
共通鍵暗号と公開鍵暗号のしくみ
公開鍵とその持ち主の対応を、認証局（CA）が保証する電子的な証明書。
電子メールのセキュリティ
署名の速度・筆圧やキー入力のリズムのように、動作に表れる本人の癖。
⚠ 血管の分岐・瞳孔のまわりのしわ・隆線の模様は、どれも身体的特徴。
利用者認証の要素と生体認証
違いのある2つの平文を暗号化し、暗号文の差分の出方から鍵を推定する解読法。
⚠ 「2つの平文の差分」「平文を一定量変化させる」が出たらこれ。
パスワードの管理と総当たり系の攻撃
キャッシュサーバがクライアントに代わり、権威DNSサーバを順にたどって最終的な答えまで調べる問合せ。
DNSを狙う攻撃とDoS攻撃
重要な情報の表示や操作の直前に、パスワードなどで本人確認をもう一度行うこと。
Webアプリケーションへの攻撃と対策
利用者やプログラムに、仕事に必要な最小限の権限だけを与える考え方。
アクセス権限と物理的な対策
データを読むことだけができる権限で、検索・表示だけのアプリにはこれで足りる。
⚠ 更新権限は登録・変更・削除まででき、管理者権限はテーブルそのものの操作までできる。「書き換えるか」で見分ける。
アクセス権限と物理的な対策
リスク対応をした後にも残っているリスク。
⚠ 固有リスク（業務の性質から本来生じるリスク）、発見リスク（監査人が不備を見つけられないリスク）と区別する。「対応後」がキーワード。
リスクアセスメントと事業継続
辞書にある単語や人名など、パスワードに使われやすい文字列を順に試す攻撃。
⚠ パスワードリスト攻撃は「実際に流出したIDとパスワードの組」を使う点が違う。
パスワードの管理と総当たり系の攻撃
OSやアプリケーションの不具合や脆弱性を直す更新プログラムで、脆弱性を突く感染を防ぐ基本の対策。
マルウェアの検出・解析と端末の対策
同じものを何度使ってもよいとして並べる並べ方で、M種類からn個並べると M^n 通りになる。
⚠ 順列 M!/(M−n)! は同じものを使わない場合。パスワードは同じ文字を使えるので M^n。
パスワードの管理と総当たり系の攻撃
ICカードやハードウェアトークン、証明書を入れた端末のように、本人だけが持っている物。
利用者認証の要素と生体認証
署名を作るための鍵で、送信者の秘密鍵のこと。
⚠ 「署名鍵で復号する」「署名鍵でメッセージを暗号化して隠す」という選択肢は誤り。
ディジタル署名と改ざん・存在の証明
同じハッシュ値になる異なる2つのメッセージを見つけるのが計算量的に困難な性質。
⚠ 一方向性は「ハッシュ値からメッセージ」の向き。
ハッシュ関数・MAC・ハイブリッド暗号
経営陣が組織の情報セキュリティを方向付け、監視する仕組み。JIS Q 27014 で定める。
⚠ IT ガバナンスとは「重複する場合がある」関係。包含でも独立でもない。
ISMS・ガバナンスと各種基準・ガイドライン
情報セキュリティについての経営陣の方向性と支持を示し、関係者に周知して定期的に見直す文書。
⚠ 特定システムの手順書や機密文書と取り違えさせる選択肢が出る。方針は公開・周知・見直し前提。
ISMS・ガバナンスと各種基準・ガイドライン
必要な情報を識別・処理し、組織の内外や関係者に正しく伝えられるようにする、内部統制の構成要素の一つ。
⚠ 不正のトライアングルの要素ではない。内部統制（COSOなど）の用語。
内部不正と組織のルール
意図した動作と、その結果が一貫していること。
⚠ 真正性（本物であること）と取り違えやすい。
情報セキュリティの3要素と基本の考え方
利用者や機器などが、主張しているとおりの本物であること。
⚠ 信頼性は「動作と結果が一貫していること」。本物かどうかを問うのは真正性。
情報セキュリティの3要素と基本の考え方
指紋・静脈・虹彩・顔のように、じっとしていても測れる体の形や模様。
⚠ 行動的特徴は署名の速度や筆圧のように、動作しないと測れない。
利用者認証の要素と生体認証
標的組織の従業員がよく見るWebサイトに攻撃コードを仕込み、その組織からのアクセスのときだけ攻撃する手口。
⚠ 標的型攻撃メールはメールで送り込む手口。よく見るWebサイトで待ち伏せるなら水飲み場型。
人をだまして誘導する攻撃
良心のとがめを乗り越えるための、都合の良い解釈や責任転嫁などの自分勝手な理由付け。
⚠ 動機と入れ替えられやすい。「会社が悪い」「少し借りるだけ」のような言い訳が正当化。
内部不正と組織のルール
マルウェアを実行せず、逆アセンブルや逆コンパイルしたコードを読むなどして機能を調べる手法。
⚠ 動的解析は実際に実行して観測する。逆コンパイルやハッシュ照合は静的解析。
マルウェアの検出・解析と端末の対策
指の凹凸による電気の差を読み取る指紋センサーの方式で、照明などの光の影響を受けにくい。
⚠ 外の光の影響を受けるのは光学式。選択肢では両者がすり替えられる。
利用者認証の要素と生体認証
攻撃に悪用されうる、ソフトウェアや設定の弱点。
脆弱性の検査と攻撃・インシデントの分析
脅威に付け込まれる可能性がある、資産や管理策の弱点。
⚠ リスクレベルの選択肢に紛れ込む。「弱点」なら脆弱性。
リスクアセスメントと事業継続
誰がいつ何をしたかを後から追跡できること。
⚠ 否認防止は「やっていないと言わせない」こと。追跡できること自体は責任追跡性。
情報セキュリティの3要素と基本の考え方
誰がいつ何を操作したかを後からたどれる性質で、IDを個人ごとに分けることで確保する。
⚠ 共用IDでは操作者を特定できず、責任追跡性が失われる。
アクセス権限と物理的な対策
暗号化関数の統計的な偏りを線形の式で近似して、鍵を推定する解読法。
⚠ 「統計的な偏り」「線形近似」が出たらこれ。総当たりではない。
パスワードの管理と総当たり系の攻撃
ディスクの全領域をランダムなビット列などで上書きし、元のデータを復元できなくすること。
⚠ ファイル削除・フォーマット・MBR消去では、中身のデータが残る。「全領域」かどうかで見分ける。
端末・媒体・クラウドからの情報漏えい対策
他人なのに誤って本人として受け入れてしまう割合。判定を甘くするほど上がる。
⚠ 本人拒否率を下げると他人受入率は上がる。両方を同時にゼロにはできない。
利用者認証の要素と生体認証
楕円曲線の数学を利用した公開鍵暗号で、RSAより短い鍵長で同じレベルの安全性を実現できる。
⚠ 共通鍵暗号ではない。総当たりで解読できないことが数学的に証明されているわけでもない。
共通鍵暗号と公開鍵暗号のしくみ
内部の情報を、外部からの不正な観測や改変から守る性質（主にICカードなどのハードウェア）。
⚠ ハッシュ関数の性質ではない。「不正な観測や改変を防御」とあれば耐タンパ性。
ハッシュ関数・MAC・ハイブリッド暗号
機器をこじ開けたり信号を盗み取ったりして、内部情報を解析・改ざんすることを難しくする性質。
⚠ 通信の暗号化・GPSでの位置追跡・予備機への交換・退職者カードの停止は耐タンパ性ではない。
アクセス権限と物理的な対策
社外から、自社と無関係な送信者・受信者のメールを自社のメールサーバが中継してしまうこと。迷惑メールの踏み台になる。
⚠ 受信者が自社なら通常の受信、接続元が自社なら通常の送信。
電子メールのセキュリティ
パスワードやPIN、秘密の質問の答えのように、本人だけが知っている情報。
⚠ ワンタイムパスワードは数字を入力するが、それを表示する装置を持っていることの証明なので所持に分類する。
利用者認証の要素と生体認証
既知ウイルスのシグネチャを集めたファイルで、新種に対応するため常に最新に更新する。
マルウェアの検出・解析と端末の対策
画像などのコンテンツに識別情報を埋め込み、不正コピーや転売を判別・追跡できるようにする技術。
⚠ ステガノグラフィは秘密のメッセージの存在を隠すのが目的。電子透かしは権利者の表示や追跡が目的。
ディジタル署名と改ざん・存在の証明
攻撃者が乗っ取り、別の相手を攻撃する中継点として使うコンピュータ。
脆弱性の検査と攻撃・インシデントの分析
他人のコンピュータを乗っ取って経由させ、攻撃元を隠して別の相手を攻撃すること。
⚠ 人から情報を聞き出す行為ではない。
人をだまして誘導する攻撃
ノルマや借金、不満など、不正をしたくなる事情や圧力のこと。
⚠ 正当化と入れ替えられやすい。「ノルマ・プレッシャ」は動機、「言い訳」は正当化。
内部不正と組織のルール
マルウェアをサンドボックスなどで実際に実行し、動作や外部との通信を観測する手法。
⚠ 静的解析は実行しない。
マルウェアの検出・解析と端末の対策
システムの設定・データの操作・権限の設定までできる強い権限をもつID。
⚠ 一般利用者IDとは別物で、特権IDの許可を受けた人も普段の操作は一般利用者IDで行う。
アクセス権限と物理的な対策
マイナンバーを扱う機関が、扱う前にリスクと対策を自己評価して公表する仕組み。
⚠ PCI DSS の問題で誤りの選択肢として出る。マイナンバーかカード情報かで見分ける。
ISMS・ガバナンスと各種基準・ガイドライン
社員・委託先・管理者など正規の権限を持つ人が、情報の持出しや改ざんなどの不正をすること。
⚠ 外部からの不正アクセスとは違い、権限を持つ人が行うので、外部攻撃向けの技術対策だけでは防げない。
内部不正と組織のルール
瞳孔のまわりにある虹彩の模様で照合する生体認証。成人では経年変化がほとんどなく、登録パターンの更新がほぼ不要。
利用者認証の要素と生体認証
動機を持つ犯罪者・適当な標的・監視者の不在の3つが重なると犯罪が起きるという理論。
⚠ 不正のトライアングルと同じく3要素だが、中身（犯罪者・標的・監視者の不在）が違う。
内部不正と組織のルール
公開鍵と持ち主を結びつけるディジタル証明書を発行し、失効した証明書の一覧を出す、信頼された第三者機関。
⚠ 時刻認証局（TSA）は時刻を証明する別の機関。認証局は秘密鍵やパスワードを管理しない。
認証局（PKI）とディジタル証明書
監査手続を行っても、監査人が重要な不備を発見できないリスク。
⚠ 監査の用語。残留リスクの定義問題でひっかけとして出る。
リスクアセスメントと事業継続
起きてしまった不正や誤りを見つけるための管理策で、記録どうしの照合が典型。
⚠ 「不正使用を発見する」と問われたら、貸出管理簿と利用ログの照合のような突き合わせを選ぶ。
アクセス権限と物理的な対策
罠のリンクをクリックさせてスクリプト入りのリクエストを送らせ、レスポンスに埋め込まれたスクリプトを実行させるXSS。
⚠ 格納型はスクリプトがサーバに保存される。リンクのクリックなら反射型、掲示板への書込みなら格納型。
Webアプリケーションへの攻撃と対策
行った操作や送った内容を、後から本人に否定させないこと。
⚠ 責任追跡性と似ているが、否認防止は「否定できない証拠」に重点がある。
情報セキュリティの3要素と基本の考え方
本人だけが持つ鍵。自分宛ての暗号文の復号と、デジタル署名の作成に使う。
⚠ 選択肢の「共通の秘密鍵」は共通鍵暗号の鍵のこと。
共通鍵暗号と公開鍵暗号のしくみ
公開鍵暗号で、持ち主だけが保管する鍵。
⚠ 共通鍵とは違う。共通鍵は送受信者2人で同じ鍵を共有し、秘密鍵は1人だけが持つ。
ディジタル署名と改ざん・存在の証明
本人だけが持つ鍵で、署名の作成や、自分宛ての暗号文の復号に使う。
⚠ 認証局は秘密鍵を預かることも証明することもしない。
認証局（PKI）とディジタル証明書
読取り機の電波でカード内のコイルに電気を起こして動くICカード。
⚠ 接触型は端子から安定した電力を受け取る。コイルの誘導起電力を使うのは非接触型。
利用者認証の要素と生体認証
特定の組織や人を狙い、業務に関係がありそうな件名・本文で添付ファイルやリンクを開かせる攻撃メール。
⚠ フィッシングや架空請求は無差別に送られる。「無差別」とあれば標的型ではない。
電子メールのセキュリティ
特定の組織や人を狙い、受信者の業務に関係がありそうな件名・本文で信用させて送るメール。
⚠ 無差別に大量送信するフィッシングや架空請求メールとは、相手を絞って業務に寄せる点で違う。
人をだまして誘導する攻撃
機会・動機・正当化の3要素がすべてそろうと不正が起きるという考え方。
⚠ 内部統制の構成要素（情報と伝達など）や割れ窓理論と混ぜて出される。3要素以外の言葉が出たら誤り。
内部不正と組織のルール
暗号文を鍵を使って元の平文に戻すこと。
⚠ 「解読」は鍵を持たない第三者が暗号を破ること。正規の受信者が鍵で戻すのが復号。
共通鍵暗号と公開鍵暗号のしくみ
暗号化する前の、誰でも読める状態のデータ。
共通鍵暗号と公開鍵暗号のしくみ
本人なのに誤って拒否してしまう割合。判定を厳しくするほど上がる。
⚠ 他人受入率とはトレードオフの関係にあり、比例はしない。
利用者認証の要素と生体認証
不正や誤りが起きないように事前に防ぐ管理策。
⚠ 発見的コントロールは「起きたものを見つける」策。特権IDの貸出制や権限の細分化は予防的。
アクセス権限と物理的な対策
アクセスしてきた人が正規の利用者かを、パスワードなどで確かめること。
⚠ URL非公開・ポート番号変更・IP直接アクセスは隠しているだけで、認証ではない。
アクセス権限と物理的な対策