機密性, 完全性, 可用性, 真正性, 責任追跡性, 否認防止, 信頼性

バージョン、ヘッダ長、TTL、プロトコル番号、宛先・送信元IPアドレス、オプション

付加的な情報を格納するオプションフィールドがあるため、ヘッダが可変長となり、中継するルータ等に負荷がかかる。

・パケットヘッダの構造を簡素化し、ルーター等の負担を軽減している。 ・IPsecを標準搭載している。 ・IPアドレスの自動構成機能(DHCP不要) ・全てのホストにグローバルIPアドレスを設定可能(NAT不要)

送信元・宛先ポート番号、シーケンス番号、確認応答番号、コードビット、ウィンドウサイズ、チェックサム

①SYN(ランダムなSEQ-No(A)) ②SYN/ACK(ランダムなSEQ-No(B)、確認応答番号(A+1)) ③ACK(SEQ-No(直前に受信した確認応答番号)、確認応答番号(B+1))

直接データグラムが送出されるため、TCPと比べると通信の品質や信頼性が劣る。

MUA:メールの送信、受信 MSA:メールの投稿受付、ユーザ認証 MTA:メールの中継(配送) MDA:メールボックスへの格納 MRA:ユーザ認証、メールの取り出し

Return-Path:エラーが発生した場合の送り先アドレス(通常、SMTPのMAIL FROMコマンドで通知された送信者のエンベロープアドレス(詐称可能)) Received from:SMTPのHELLOコマンドで通知された送信者のドメイン名(詐称可能と送信者のホストドメイン名、IPアドレス(詐称不可) Received by:受信サーバのドメイン名、ホスト名 Received for:SMTPのRCPT TOコマンドで通知された受信者のエンベロープアドレス From:送信者のMUAに設定されたFromアドレス(詐称可能) To:メール送信者のMUAに設定されたToアドレス

スタブリゾルバ：一般的なPCやOSに搭載されている。 キャッシュサーバ(フルサービスリゾルバ)：リゾルバからの再帰的な問い合わせに対し、他のDNSサーバに問い合わせ、結果を元のリゾルバに返す。 コンテンツサーバ：ドメインのゾーン情報を登録し、リゾルバからの非再帰的な問い合わせに対し、自身のドメイン内の情報のみ返す。 おープルリゾルバ：問い合わせ元アドレスや問い合わせ先ドメインの制限なく問い合わせに応じること。

GETメソッドは、入力データやパラメタをURLの後ろ(クエリストリング)につけて送る。Refererログから入力データが漏洩する可能性がある。 POSTメソッドは、入力データやパラメタをメッセージボディに格納する。

有効期限 有効ドメイン名(指定が可能(.co.jp、.com、.netはセキュリティ上指定不可)) 有効なディレクトリ(指定しない場合、クッキーを発行したページとその下層のディレクトリ全てが有効になる) secure属性(HTTPS通信の場合のみ送出) HttpOnly(http(s)通信に限定(XSS防止)) SameSite(異なるサイト間でのCookie送信有無(Strict<Lax<None))

ルータはソフトウェアでルーティングを行う。レイヤ3スイッチはレイヤ2スイッチと同様にASIC(ハードウェア)を用いることで、ルータよりも高速でルーティング処理を行う。

1台のコンピュータ上で複数のOSを稼働させ、複数台のマシンのように見せたり、複数のコンピュータにまたがったシステムを統合して1台のマシンのように見せることができる。

政府が求めるセキュリティ要求を満たしているクラウドサービスを評価・登録する制度(Information system Security Management and Assessment Program)

①アクセス制御→VLANで対処 ②仮想マシンに対する操作制限 ③認証システムと認証情報管理→SAML ④ウイルススキャン ⑤データ保護 ⑥サイバー攻撃

表示/入力など必要最小限の処理のみクライアントで行い、ソフトウェア管理や実行、データの加工編集など大半の処理をサーバ側で行うクライアント端末

サーバベース型：OSやアプリケーションまで共有する(自由度が低い) ブレードPC型：ハードウェアから分ける(コストパフォーマンスが低い) VDI型：ハイパーバイザ上に仮想デスクトップ環境を構築

①端末の紛失盗難による情報漏洩の防止 ②ネット環境と業務環境を分けることでマルウェアによる情報流出、データ損壊リスクを低減 ③クライアントPCの一元管理によるセキュリティレベルの統一 ④異なる端末からでも同一のVPC環境利用可能

webアクセスによりマルウェアに感染しても、その被害をRBIに封じ込められ、他のpcに影響を与えず、感染したRBIは起動のたびに初期化されるため、マルウェアが残存しない。

インターネット上のWebサイトと内部クライアントの間にコンテンツ無害化サーバが介在し、仮想コンテナ内で実行・レンダリングする。クライアントに届くのは無害な描写情報のみ。

①シンクライアント画面転送型 　テレワークPCはVPN経由でオフィスPCに接続し、画面転送で業務を行う。 ②ファットクライアント(VPN接続のみ) 　テレワークPCはVPN経由でオフィスネットワーク、Webサイトに接続する。 ③ファットクライアント(ネット直接続) 　テレワークPCはVPN経由でオフィスネットワークに接続し、WEBサイトへは自宅の回線から直接接続する。

組織の内部ネットワークは安全で、外部ネットワークがアントラストだとして、その境界を防御する考え方

①IDガバナンス拡張方式 　ユーザがデータやアプリに接続する際、必ずクラウド上の認証プロキシを経由させる。(AWS IAMなど) ②マイクロセグメンテーション方式 　サービスごとにネットワークを細分化し、それぞれの間をFW確認する。 ③ソフトウェア定義境界(SDP)方式 　SDP(Software Defined Perimeter)コントローラがユーザ認証を行い、OKであれば、サーバとのVPNトンネル確立を指示する。

Zero Trust Network Access SDPによって実現されるゼロトラスト志向の接続方式や、それを実装したサービスのこと。

Secure Access Service Edge クラウド環境におけるネットワークセキュリティモデルで、多様なサービス(RBI,ZTNA,SD-WANなど)から構成される。

①SD-WAN 　遠隔地にある拠点間のネットワークをソフトウェアによって柔軟かつ効率的に行う。 ②SWG(Secure Web Gateway) 　セキュアなウェブアクセスを実現するプロキシサービスで、コンテンツフィルタリング、サンドボックスなどを提供 ③FWaas、④ZTNA、⑤RBI ⑥CASB(キャスビー) 　クラウド環境の利用状況を可視化する。

環境　災害：地震、落雷、風水害 　　　障害：故障、ネットワーク障害 人　意図的：不正アクセス、盗聴、改竄 　　偶発的：操作ミス、紛失

・耐震設備などで被害を最小限に抑える。 ・バックアップを確保する(遠隔地も) ・訓練を実施する。

設備障害：停電、入退室管理機器の故障 ハードウェア障害：メモリ、CUP障害 ソフトウェア障害：OSの異常終了 ネットワーク障害：回線障害

設備：バックアップ設備(CVCF、UPS) ハード：保守、部品交換 ソフト：パッチ適用、脆弱性検査 ネットワーク：保守、経路の冗長化

動機 正当化 機会

偶発的な脅威：マニュアルの整備、訓練の実施、罰則の適用 意図的な脅威： 　外部：入退室管理、アクセス制御、暗号化 　内部：アクセス制御、教育、監査

Initiative of Cyber Security Information sharing Partnership IPAによる機器製造事業者を集めた情報共有と早期対策のプラットフォーム

Structured Threat Information eXpression マルウェアを始めとした各種サイバー攻撃に関する情報を記述するための標準仕様

①偵察 ②武装化 ③デリバリ ④攻撃 ⑤インストール ⑥コマンド&コントロール ⑦目的実行

マイターアタック マイター社が運用する、攻撃者の攻撃手法や戦法を分析して作成されたナレッジベース

TCPコネクトスキャンは、3ウェイハンドシェイクをするため、ログが残る。 SYNスキャン(TCPハーフスキャン)は、最後のACKを返信しないため、記録されない。(ステルススキャン) UDPスキャンは、帰ってこない場合はアクティブ、帰ってきたら場合は、非アクティブと判断する。

あ

不要なポートを閉じる。 脆弱性検査を行う。 IDS,IPSを用いて検知する。

後入先出方式である。 プログラム内でサブルーチンを呼び出す場合やサブルーチン内で定義された変数など、一時的に格納する用途に用いられる。

スタック領域はサブルーチンの呼び出しで自動的に確保され、使用後は自動開放される。 ヒープ領域は必要に応じて関数で確保し、使用後は明示的に解放する必要がある(不要なものが残ってしまう恐れがある)。

C/C++言語のstrcpy関数が、サイズの制限なしに、入力データをメモリ内の変数領域にコピーしてしまう特徴

不正なプログラムが実行された場合、BOF攻撃の対象となったサービスと同じ権限で実行される。 (サーバプログラムは管理者権限で実行されていることが多い)

解放済みのヒープ領域を使われる攻撃 アドレス空間配置ランダム化(ASLR)が有効でも共有ライブラリのアドレスが特定される可能性がある。

実行するプログラムのユーザ権限に一時的に所有者の権限を付与する属性。 一般ユーザーが使用するコマンドで、管理者権限が必要なものの処理を可能にする。

UNIX系のOSのパスワードファイルを変更するpaswordコマンドや、pingコマンド

setuid、setgid属性を持つプログラムは、実行時のユーザ権限に、所有者の権限を一時的に付与するため、不正に実行されるとroot権限が乗っ取られる可能性がある。

・OSやソフトウェアのバージョンアップ、パッチの適用を確実に行う。 ・脆弱性検査を行う。 ・IPSで攻撃を遮断する ・アドレス空間ランダム化(ASLR)が実装されているOSを使用する。

・gets、strcpy、scrcatなどBOFを引き起こす可能性が高い関するを使用しない。 ・入力データのレングスチェックを確実に行う。 ・スタックにBOF検知用の値を埋め込む(StuckGuard) ・BOF防止機能を追加したライブラリを使用する。(Libsafe)

あ

固定式のパスワード(変更するまで何回も使用可能)による認証システムに対して有効な攻撃手法

・アカウントのロックアウト設定を行う(オンライン攻撃に対して有効) ・二要素認証、ワンタイムパスワード等を使用する。 ・アクセス権を見直し、パスワードファイルが盗まれないようにする。

・ネットワーク監視型IDS、ホスト監視型IDS.IPSを用いて検知する。 ・ログから連続して失敗している箇所を検知する。

複数のアカウントに対して同じパスワードを使って、同時にログイン試行する攻撃。例えばログイン機能のシステムが、3回でアカウントをロックするタイプのものであれば、最大で3回連続、パスワードを変更しながら、複数のアカウントに同時に攻撃可能。

複数のサイトでパスワードを使い回している状況を利用し、会員向けサイトなどに連続してログインを試みる攻撃。 クレデンシャルスタッフィング攻撃とも言われる。

サイト管理者:2段階認証、二要素認証を導入する。 利用者:サイトごとに異なるパスワードを設定する。

あ

TCPの場合、推測又はパケットの盗聴により初期シーケンス番号を突き止め、クライアントの3ウェイハンドシェイクに割って入る。 UDPの場合、クライアントのリクエストに対し、正規サーバーより先にレスポンスを返す。

・セッションIDが単純であり、推測・偽装される ・セッション管理情報が暗号化されていない ・クロスサイトスクリプティングの脆弱性により、セッション管理情報が盗まれる

・TLSでWeb通信を暗号化する。 ・WebサーバのフロントにリバースプロキシやWAFを置き、セッション管理の脆弱性を突いた攻撃を排除する。

・TLSなど、サーバの正当性が確認でき、かつパケットの偽装が困難なプロトコルを使用する

攻撃者が生成した正規のセッションIDを含むURLを攻撃対象に送り、クリックさせ乗っ取る攻撃手法

・認証前に正規のセッションIDを容易に入手可能であること。 ・WebサーバでURL Rewriting(URLでセッションIDを指定する機能)が有効になっていること ・Cookieのdomain属性が正しく機能せず、指定した範囲を超えてCookieが有効になってしまうこと(Cookie Monster Bug)

・URL Rewritingを無効にする。 ・ログインした後で新たなセッションIDを発行する。

・DNSサーバのキャッシュに登録されていない名前解決要求であること ・要求の送信元ポート番号を特定できること ・要求のトランザクションIDを特定できること ・正当な応答よりも早く応答を返すこと

DNSキャッシュが不正な値に書き換えられ、不特定多数の利用者が不正なサイトへ誘導される。

登録したいドメイン名と同ドメインかつ存在しないFQDNの名前解決を要求し、偽の権威DNSに誘導することで不正なキャッシュを上書きする。

・DNSの送信元ポートをランダムにする。 ・DNSSEC(デジタル署名検証)を利用する。 ・ゾーン転送要求をセカンダリDNSサーバのみに許可する。

①システムリソースを過負荷状態又はオーバーフロー状態にする。 ②大量のパケットを送り、ネットワーク帯域を溢れさせる。 ③OSや特定のアプリケーションを異常終了させる。

あ

①SYN Flood ②UDP Flood ③ICMP Flood ④smurf 攻撃

Conection Flood

あ

攻撃者が作成したスクリプト入りのURLをユーザーに踏ませ、リクエストパラメータ内のスクリプトがそのままWebページに反映され、ブラウザ上で実行される。

ユーザーからの入力値を厳格に検証し、スクリプトなどの不正な文字列の混入を防ぐ。 画面に表示する際には、HTMLやJavaScriptとして解釈されないようにエスケープ処理を行う。 JavaScriptからクッキーを読み取らせないためにHTTPOnly属性を付与する、外部スクリプトの読み込みを制限するCSP（Content Security Policy）を導入する

ブラウザ上のJavaScriptが、URLやクッキーなどのユーザー入力を安全に処理せず、HTMLに直接反映することで、スクリプトが実行される仕組み。サーバーは関与せず、すべてクライアント側で発生。

innerHTMLやdocument.writeなどの危険なメソッドは使用せず、createElementやtextContentなどの安全なDOM操作を用いる。 ユーザー入力をHTML要素や属性、URLに反映する際は、使用箇所に応じて適切にエスケープやエンコードを行う。

ユーザー入力をそのままSQL文に組み込んでデータベースに送信するWebサイトで実行される。特に、ログイン機能や検索機能、問い合わせフォームなどがあるサイトが狙われやすい。

バインド機構を用いてSQL文とユーザー入力を分離することで、入力値がSQL文の一部として解釈されるのを防ぐ。あわせて、クエリ内で使用される記号や文字列などのメタキャラクタに対しては、適切なエスケープ処理を行い、意図しないSQL構文の生成を防止する。

WEBサーバのエラーメッセージを詳細に送らないよう設定する。 WAFを用いてSQLインジェクションを遮断する。 WEBアプリケーションからのクエリを必要最小限の権限アカウントで処理するようにする。

ユーザー入力を元にOSのコマンドを組み立てて実行しているWebサイトで発生する。特にネットワーク診断ツールやファイル操作機能を持つサイトが狙われやすい。

OSコマンドの呼び出しが可能な関数を極力使用せず、使用する場合は使用可能な文字種を極力制限する。エスケープ処理は複雑になりがちなので、ルールに従わないデータはエラーとして扱う。

ブラウザに偽の情報を表示することができる。 不正なスクリプトの組み込みを行うことができる。 任意のCookieを発行できる。 キャッシュサーバのキャッシュを汚染できる。

HTTPレスポンスヘッダをWEBアプリケーションから直接出力せず、実行歓呼湯屋言語に実装されているヘッダ出力用のAPI等を使用する。 ユーザ入力データに対して改行コードのチェックを行う。 Cookieを発行する場合は、URLエンコードを確実に行う。

ユーザー入力に含まれる改行コード（CR, LF）を通じて、メールのヘッダ情報に意図しない項目（例：Cc, Bcc など）を挿入し、不正なメール送信を実現する仕組みである。

あ

あ

SSRFは、公開サーバを経由して本来外部からアクセスできない内部サーバへリクエストを送信させる攻撃である。対策として、ユーザー入力に基づくリクエスト処理において、内部IPアドレスやループバックアドレスなどへの通信を禁止し、接続先をホワイトリストで制限する。加えて、DNSリバインディング対策や外部リクエスト機能の最小化も有効である。

マルウェアには、ウイルス、ワーム、トロイの木馬、スパイウェア、ランサムウェア、ボット、ドロッパなどがある。 PUA（望ましくない可能性のあるアプリケーション）には、アドウェア、リモート管理ツール、脆弱性検査ツールがある。

通信経路上では、ファイアウォールやIPS/IDS、プロキシ、アンチウイルスゲートウェイ、サンドボックスによる動的解析、RBI（Remote Browser Isolation）によるブラウザ隔離などがある。エンドポイントでは、AVツールによるウイルス検出、EDRによる振る舞い監視、OSやアプリの更新、ホワイトリストによる実行制御、USBなど外部デバイスの利用制限といった対策が有効である。

撃者が侵入した端末から認証情報などを悪用し、他の端末やサーバへ横方向に侵入を拡大する行為である。対策には、端末間通信の制限、権限の最小化、EDRやログ監視による異常検知などが有効

A：ホスト名に対応するIPアドレス CNAME：ホスト名の別名 MX：メールサーバのホスト名 NS：DNSサーバのホスト名 SOA：プライマリDNSサーバのホスト名 CAA：当該ドメイン証明書の認証局

旧バージョンのOSのシーケンス番号に規則性がある脆弱性を利用し、相手ホストの「.rhosts」ファイルにecoコマンドで「++」を追加し、無条件でアクセス可能にする攻撃

①SYNパケットのみを大量に送り、応答はしない ②送信元アドレスを偽装したICMP echo要求により、ネットワーク帯域を溢れさせる ③TCPポートに対しコネクションを確立し続ける(上限まで使い切る)