ゲスト ログインしていません

セキュリティ

aaa 2024年04月20日 カード101 いいね0

2024.04.15,2024.04.20

広告

単語カード

  • 共通鍵と公開鍵で必要な鍵の数、人数をnとして
    共通鍵：n(n-1) / 2、公開鍵：2n
  • 共通鍵方式の種類とビット数、二つ
    DES、AES。DES：鍵は56ビット、AESは128,192,256ビット。
  • 公開鍵方式の種類、三つ
    RSA、楕円曲線暗号、ElGamal
  • ハイブリッド暗号方式
    最初の鍵の受け渡しはマスタキーの公開鍵方式、本文のやり取りはデータキーの共通鍵方式。エンベロープ暗号化。S/MIME、PGP、SSL/TLS
  • WEP
    初期の無線LAN暗号。パケットごとのIVにアクセスポイントのWEPキーを連結した鍵。RC4。
  • WPA、WPA2、WPA3
    WPA：RC4を用いたTKIP。IVを48ビットに拡張、IVとWEPキーを混在、定期的に鍵を更新等で改良。WPA2：CCMPで暗号。AES-CCMPもしくはCCMP(AES)とも。WPA3：WPA2の次のバージョン。
  • WPA・WPA2のパーソナルモードとエンタープライズモード
    パーソナルモード：8から63文字の事前鍵共有方式でPSK認証。エンタープライズモード：IEEE 802.1X規格。RADIUSサーバで認証。
  • 無線LANのIEEE 802.1Xを更生する三つの要素。
    サプリカント：クライアント、オーセンティケータ：認証を受け付けるアクセスポイント等、RADIUSサーバ：認証サーバ
  • スニッフィング
    ネットワーク上を流れるデータを不正に取得や解読。
  • チャレンジレスポンス
    サーバはチャレンジコードをクライアントに送り、クライアントはチャレンジコードとパスでハッシュを作ってサーバに送る。サーバでも同じくチャレンジコードとパスでハッシュして照合。
  • ワンタイムパスワード
    一時的に有効なパスワード。時刻同期方式やS/KEY方式。
  • S/KEY方式
    シードとシーケンス番号を送る。シーケンス番号-1回ハッシュ化したものを送って判定。
  • シングルサインオン
    一度認証した結果を他のサーバでもサインオンを有効に。
  • リバースプロキシ型シングルサインオン
    プロキシサーバで一度認証して、サインオン済みとしてプロキシを通して他のサービスのページに飛ぶ。
  • SAML型シングルサインオン
    アプリケーション連携を行うためのXML仕様。
  • FRR、FAR
    FRR：誤って拒否する率、False Rejection Rate、FAR：誤って受け入れる率。False Acceptance Rate
  • リスクベース認証、kerberos方式
    リスクベース認証：普段と違う環境からの認証要求に追加の認証、kerberos：認証してチケットで識別して認証状態を維持。シングルサインオンでCookieのセッションみたいな。
  • PPP、NCP、LCP
    PPP：データリンク層で二点間を接続するpoint to point。NCP：IP等のネットワーク層の上位へのネゴシエーション、LCP：認証や暗号化をネゴシエーション
  • PAP、CHAP
    PAP：PPPで平文のまま、CHAP：チャレンジハンドシェイク認証プロトコル。チャレンジレスポンスを使って認証とその後に定期的に確認。
  • RADIUS認証、三つの要素、その認証プロトコル
    IEEE 802.1Xの認証。RADIUS認証サーバとサプリカント（クライアント）とオーセンティケータ（アクセスポイント）の三つの要素。アクセスポイントと認証サーバを分けることでセキュリティ向上。認証プロトコルはPPPを拡張したEA`P、EAP-TLSやチャレンジレスポンスでMD5を使ったEAP-MD5など。
  • MD5、SHA-1、SHA-2、SHA-3
    MD5：128ビット、SHA-1：160ビット、SHA-2：SHA-224、SHA-256、SHA-384、SHA-512をまとめてSHA-2、SHA-3：公募でアルゴリズムが決定。
  • PKI
    第三者機関で証明された公開鍵や証明書の作成、管理等。
  • CA、RA、IA、VA
    CA：認証局、RA：登録局、デジタル証明書の登録及び失効申請受付。IA：発行局、RAから依頼された証明書の発行や失効。VA：検証局、CRLを集中管理、証明書の有効性の検証や失効の問い合わせ応答。
  • CP、CPS
    CP：証明書ポリシ。証明書の目的や利用用途を定めてある。CPS：認証実施規定、認証局運用規定。認証業務の運用。これらを対外的に公開して信頼性や安全性を評価できるように。
  • CRL
    証明書失効リスト。
  • 失効情報の確認。CRLモデル、OCSPモデル
    CRLモデル：定期的にCRLを取得して照合。OCSPモデル：OCSPリクエスタ（クライアント）がOCSPプロトコルを使ってOCSPレスポンダに問い合わせ。
  • TLSのMAC
    送信データから認証符号のMACを付加して、データをMACを暗号化して盗聴、改ざん対策。
  • DV証明書、OV証明書、EV証明書
    DV証明書：ドメインの使用権が確認できれば、OV証明書：組織が存在すれば、EV証明書：最も厳格な証明書。
  • ダイナミックパケットフィルタリング
    接続の文脈でフィルタリング。シーケンス番号の順番や上下のプロトコルとの整合性。
  • フォワードプロキシ、リバースプロキシ
    フォワードプロキシ：クライアントからWebサーバへ中継。リバースプロキシ：インターネット上からWebサイトへ中継。
  • WAF
    アプリケーションレベルの監視するFW。SQLインジェクション等。
  • TLSアクセラレータとWAFの位置
    インターネット＿FW＿TLSアクセラレータ＿WAF＿Webサーバ
  • IDS、NIDS、HIDS
    IDS：侵入検知システム、NIDS：ネットワーク型IDS、不正なパケットや通信量でネットワークを監視、HIDS：ホスト型IDS、ホストにインストールしてシグネチャ検出を失敗させるコードがあっても検出できる。
  • IPS、EDR
    IPS：侵入防止システム、検出だけではなく通信を遮断したりの対応もできる、EDR：通信の出入り口になる端末（エンドポイント）の挙動を監視して警告や対処
  • ハニーポット
    ダミーとして使われる機器のログを取る。
  • シグネチャ方式、アノマリー方式
    シグネチャ方式：不正なパターンを登録して照合、アノマリー方式：正常なパターンを登録してそれ以外を検出
  • フォールスポジティブ、フォールスネガティブ
    フォールスポジティブ：正常なものを間違って不正と判断してしまう。フォールすスネガティブ：不正なものを間違って正常と判断
  • VPN、インターネットVPN、IP-VPN
    VPN：仮想専用線。認証技術や暗号化でLANのように。インターネットVPN：ネット上でVPNを構成、IP-VPN：広域IP網でVPN
  • MPLS
    VPNに使う。ラベルと呼ばれる識別子でIPアドレスに依存しないルーティング。
  • VPNのトランスポートモード、トンネルモード
    トランスポートモード：端末同士が暗号化を行う。本文は暗号化されているがIPパケットの宛先等のヘッダはそのまま。トンネルモード：VPNゲートウェイの間がIPsecで暗号化。相手先のゲートウェイで復号されて本来の宛先に届けられる。トンネリング手法。
  • L2TP
    VPNのためのデータリンク層のトンネリングプロトコル。
  • 認証ヘッダ、暗号ペイロード
    認証ヘッダ（AH）：認証だけを行う場合は認証ヘッダ、暗号ペイロード（ESP）：認証と暗号化を行う場合は暗号ペイロード
  • PPTP
    データリンク層で暗号化や認証化。ネットワーク層のIPsecが使えない場合もVPNを構成できる。
  • IKE
    IPsecで通信を始める前に暗号化の方式の決定や鍵交換を行う。IKEフェーズの終了後にIPsecフェーズが始まる。
  • 情報セキュリティの特性
    情報の機密性、完全性及び可用性。真正性、責任追跡性、否認防止、信頼性等の特性を含める場合も。
  • DLP
    データを監視してコピーや送信をブロック。
  • ワーム
    他のプログラムに寄生せずに独自に行動。感染していく。
  • ルートキット
    rootkit。侵入のログやバックドアの作成、隠蔽する機能のパッケージ。
  • ランサムウェア
    ファイルを暗号化して身代金の要求。
  • エクスプロイトキット
    脆弱性を攻撃するコードをエクスプロイトコード。本来は脆弱性を検証するためのコード。
  • WORM
    ランサムウェア対策。一度書き込んだファイルを上書きや削除できなくなる。
  • コンペア法、チェックサム法、インテグリティチェック法、ビヘイビア法
    コンペア法：保存してある正常なファイルとハッシュを比較して感染確認。チェックサム法・インテグリティチェック法：チェックサムやハッシュで中身の保証。ビヘイビア法：挙動を監視。
  • 動的ヒューリスティック法、ポリモーフィック型マルウェア
    動的ヒューリスティック法：サンドボックスで実行して挙動を監視。ポリモーリック型マルウェア：
  • 辞書攻撃、パスワードリスト攻撃、パスワードスプレー攻撃
    辞書攻撃：パスワードにありそうな単語を辞書に登録して試行。パスワードリスト攻撃：IDとパスワードを使いまわす人が多いことに着目。入手されたIDとパスワードを別のサイトで試行。パスワードスプレー攻撃：複数IDに対していくつかパスワードを試すことを繰り返していく。
  • ストレッチング
    パスワードと場合によってはソルトを何度もハッシュ化してから保存
  • フットプリンティングの例
    ポートスキャン
  • TCPスキャン、UDPスキャン、SYNスキャン、FINスキャン
    TCPスキャン：TCPフルコネクトスキャンとも。3ウェイハンドシェイクでログが残る。UDPスキャン：UDPパケットを送ってICMPのport unreachableが返ってきたら閉じている。SYNスキャン：ハーフオープンスキャン。SYN/ACKが返ってきたら開いている。RST/ACKなら閉じている。FINスキャン：RSTが返ってくるかどうかで判断
  • ディレクトリトラバーサル
    相対パスなどで横断して公開されていないディレクトリにアクセス。
  • サニタイジング、バインド機構
    SQLインジェクション対策。サニタイジング：「'」や「;」を取り除く。バインド機構：プレースホルダ（変数）にプリペアドステートメントをじゅん
  • クロスサイトスクリプティング
    閲覧者のブラウザを介して脆弱なサイトでスクリプトを実行させる
  • スミッシング
    SMSフィッシング。SMSを利用したフィッシング。
  • DNSSEC
    DNSキャッシュポイズニングの対策。DNSの応答に証明書を付加。
  • DNS amp攻撃
    踏み台のDNSにデータサイズの大きな情報を登録しておき、DNSリフレクションで送り付ける。
  • NTP増幅攻撃、Smurf攻撃
    NTP増幅攻撃：NTPサーバに送信元を偽装したmonlistを送ってリフレクションで送り付ける。Smurf攻撃：送信元を攻撃対象に偽装して相手のネットワーク内にICMPエコー要求パケット（ping）をブロードキャストしてICMPエコー応答パケットを送り付ける。
  • ICMP Flood攻撃、SYN Flood攻撃
    ICMP Flood攻撃：ボット等を利用して大量にping送信、SYN Flood攻撃：送信元を偽装してSYMパケットを送信。対象のサーバーはSYN/ACKを送信するがACKが返されずに待機状態になってリソースを使い果たして新たなTCP接続ができなく。
  • 標的型攻撃、APT
    標的型攻撃：標的にカスタマイズされた手段で色々と攻撃。APT：標的型攻撃が密かに継続的に行われるのをAPTという。
  • やり取り型攻撃
    問い合わせなどで無害な偵察メールのやり取りの後にウイルス付きのメール
  • BEC
    ビジネスメール詐欺。巧妙な騙しの手口のビジネスメールを装ってで口座へ振り込ませたり。
  • IPスプーフィング
    IPを偽装して正規のユーザーのふりを
  • オープンリゾルバ
    DNSで内部ネットワークだけではなく、インターネット側からのDNSリクエストにも対応。DNSリフレクションで使われる。
  • リプレイ攻撃
    通信データを盗聴することで得た認証情報をそのまま再利用して不正にログイン。対策としてチャレンジレスポンス等。
  • MITB攻撃
    マルウェアを利用してWebブラウザからの通信を監視して改ざんやセッションの乗っ取り。
  • ドライブバイダウンロード攻撃
    Webサイト閲覧時に気づかないうちにPCに不正プログラムをダウンロードさせる。
  • クリックジャッキング
    iframeタグを使って視覚的に騙して特定の操作をするように誘導。
  • クリプトジャッキング
    マルウェアに感染させて仮想通貨のマイニングに利用。
  • OP25B、SPF、DKIM
    スパムメール対策。OP25B ：ISPを経由しないSMTP25番ポートからの通信を遮断、SPF：IPアドレスを基にドメイン認証でメールのなりすましを検知、DKIM：デジタル署名でドメイン認証。
  • ダンプスターダイビング、スキャベンジング
    ゴミ箱の中を漁る。
  • サイドチャネル攻撃、タイミング攻撃
    サイドチャネル攻撃：物理的な処理時間、消費電流、電磁波やエラーメッセージから機密情報を取得、タイミング攻撃：暗号化や復号の処理時間から鍵を推測
  • RL Trap
    文字の並び順を変えるunicodeの制御文字RLO（right to left override）を悪用してファイル名を偽装する不正プログラム。
  • テンペスト技術
    ディスプレイやケーブルからの微弱な電磁波から情報取得。
  • ペネトレーションテスト
    疑似攻撃で脆弱性のテスト。
  • デジタルフォレンジックス
    不正アクセスが発生した際に、法的な証拠としてデータを保全、収集、分析
  • アンチバスバック
    入室記録がない者の退室や入室記録がある者の再入室を許可しない仕組み
  • インターロックゲート
    二重扉で一人ずつしか通れないように。共連れを防止。
  • TPMOR
    最初の入室と最後の退室は二人ずつでなければ許可しない仕組み。部屋に一人にはならないように。
  • シャドーIT
    組織が公式な許可をしておらずに使用されているIT機器やサービス。
  • 不正のトライアングル
    不正は機会、動機、正当化が揃ったときに存在する。
  • リスクアセスメントの三つのプロセス
    リスク特定、リスク分析、リスク評価
  • 純粋リスク、投機リスク
    純粋リスク：デメリットしか生まないリスク、投機リスク：利益を生む可能性もあるリスク
  • リスクファイナンス
    リスク移転とリスク保有は資金を手当てして対処する。
  • ISMS
    情報セキュリティマネジメントシステム。情報セキュリティ管理の水準を高め、維持、改善していく取り組み。
  • CSIRT、JPCERT/CC
    CSIRT：インシデント対応を専門に扱う組織、JPSIRT/CC：JPCERTコーディネーションセンター、国内の窓口CIRT。組織内CSIRTの作成を支援することを目的としたCSIRTマテリアルの作成も。
  • JVN
    ソフトウェアの脆弱性関連情報や対策の情報提供のポータルサイト。
  • J-CRAT、サイバーレスキュー隊
    IPAが設置した組織。標的型サイバー攻撃の被害低減と連鎖の遮断を目的として。サイバーレスキュー隊。
  • CRYPTREC
    暗号技術の調査検討プロジェクト。策定された暗号技術のリストはCRYPTREC暗号リスト。
  • ISMAP
    政府情報システムのためのセキュリティ評価制度。政府で認めているクラウドサービス。
  • CVSS
    共通脆弱性評価システム。脆弱性の評価基準。
    基本評価基準、現状評価基準（脅威評価基準）、環境評価基準、（補足評価基準）
  • CCE
    必要なセキュリティの設定。
  • CVE
    共通脆弱性識別子。脆弱性を一意に識別するための識別子。JVNで採用されている。
  • CWE
    脆弱性の種類を階層構造で分類。SQLインジェクションやクロスサイトスクリプティング、バッファオーバーフロー等を分類。
  • 企業が業務で使用しているコンピュータに，記憶媒体を介してマルウェアを侵入させ，そのコンピュータの記憶内容を消去した者を処罰の対象とする法律はどれか。
    令和3年秋期　問78
    23問目／選択範囲の問題数80問

    刑法
    製造物責任法
    不正アクセス禁止法
    プロバイダ責任制限法
    刑法。破壊や使用不可は刑法。
    不正アクセスやその助長は不正アクセス防止法。
広告

コメント