-
共通鍵と公開鍵で必要な鍵の数、人数をnとして共通鍵：n(n-1) / 2、公開鍵：2n
-
共通鍵方式の種類とビット数、二つDES、AES。DES：鍵は56ビット、AESは128,192,256ビット。
-
公開鍵方式の種類、三つRSA、楕円曲線暗号、ElGamal
-
ハイブリッド暗号方式最初の鍵の受け渡しはマスタキーの公開鍵方式、本文のやり取りはデータキーの共通鍵方式。エンベロープ暗号化。S/MIME、PGP、SSL/TLS
-
WEP初期の無線LAN暗号。パケットごとのIVにアクセスポイントのWEPキーを連結した鍵。RC4。
-
WPA、WPA2、WPA3WPA：RC4を用いたTKIP。IVを48ビットに拡張、IVとWEPキーを混在、定期的に鍵を更新等で改良。WPA2：CCMPで暗号。AES-CCMPもしくはCCMP(AES)とも。WPA3：WPA2の次のバージョン。
-
WPA・WPA2のパーソナルモードとエンタープライズモードパーソナルモード：8から63文字の事前鍵共有方式でPSK認証。エンタープライズモード：IEEE 802.1X規格。RADIUSサーバで認証。
-
無線LANのIEEE 802.1Xを更生する三つの要素。サプリカント：クライアント、オーセンティケータ：認証を受け付けるアクセスポイント等、RADIUSサーバ：認証サーバ
-
スニッフィングネットワーク上を流れるデータを不正に取得や解読。
-
チャレンジレスポンスサーバはチャレンジコードをクライアントに送り、クライアントはチャレンジコードとパスでハッシュを作ってサーバに送る。サーバでも同じくチャレンジコードとパスでハッシュして照合。
-
ワンタイムパスワード一時的に有効なパスワード。時刻同期方式やS/KEY方式。
-
S/KEY方式シードとシーケンス番号を送る。シーケンス番号-1回ハッシュ化したものを送って判定。
-
シングルサインオン一度認証した結果を他のサーバでもサインオンを有効に。
-
リバースプロキシ型シングルサインオンプロキシサーバで一度認証して、サインオン済みとしてプロキシを通して他のサービスのページに飛ぶ。
-
SAML型シングルサインオンアプリケーション連携を行うためのXML仕様。
-
FRR、FARFRR：誤って拒否する率、False Rejection Rate、FAR：誤って受け入れる率。False Acceptance Rate
-
リスクベース認証、kerberos方式リスクベース認証：普段と違う環境からの認証要求に追加の認証、kerberos：認証してチケットで識別して認証状態を維持。シングルサインオンでCookieのセッションみたいな。
-
PPP、NCP、LCPPPP：データリンク層で二点間を接続するpoint to point。NCP：IP等のネットワーク層の上位へのネゴシエーション、LCP：認証や暗号化をネゴシエーション
-
PAP、CHAPPAP：PPPで平文のまま、CHAP：チャレンジハンドシェイク認証プロトコル。チャレンジレスポンスを使って認証とその後に定期的に確認。
-
RADIUS認証、三つの要素、その認証プロトコルIEEE 802.1Xの認証。RADIUS認証サーバとサプリカント（クライアント）とオーセンティケータ（アクセスポイント）の三つの要素。アクセスポイントと認証サーバを分けることでセキュリティ向上。認証プロトコルはPPPを拡張したEA`P、EAP-TLSやチャレンジレスポンスでMD5を使ったEAP-MD5など。
-
MD5、SHA-1、SHA-2、SHA-3MD5：128ビット、SHA-1：160ビット、SHA-2：SHA-224、SHA-256、SHA-384、SHA-512をまとめてSHA-2、SHA-3：公募でアルゴリズムが決定。
-
PKI第三者機関で証明された公開鍵や証明書の作成、管理等。
-
CA、RA、IA、VACA：認証局、RA：登録局、デジタル証明書の登録及び失効申請受付。IA：発行局、RAから依頼された証明書の発行や失効。VA：検証局、CRLを集中管理、証明書の有効性の検証や失効の問い合わせ応答。
-
CP、CPSCP：証明書ポリシ。証明書の目的や利用用途を定めてある。CPS：認証実施規定、認証局運用規定。認証業務の運用。これらを対外的に公開して信頼性や安全性を評価できるように。
-
CRL証明書失効リスト。
-
失効情報の確認。CRLモデル、OCSPモデルCRLモデル：定期的にCRLを取得して照合。OCSPモデル：OCSPリクエスタ（クライアント）がOCSPプロトコルを使ってOCSPレスポンダに問い合わせ。
-
TLSのMAC送信データから認証符号のMACを付加して、データをMACを暗号化して盗聴、改ざん対策。
-
DV証明書、OV証明書、EV証明書DV証明書：ドメインの使用権が確認できれば、OV証明書：組織が存在すれば、EV証明書：最も厳格な証明書。
-
ダイナミックパケットフィルタリング接続の文脈でフィルタリング。シーケンス番号の順番や上下のプロトコルとの整合性。
-
フォワードプロキシ、リバースプロキシフォワードプロキシ：クライアントからWebサーバへ中継。リバースプロキシ：インターネット上からWebサイトへ中継。
-
WAFアプリケーションレベルの監視するFW。SQLインジェクション等。
-
TLSアクセラレータとWAFの位置インターネット＿FW＿TLSアクセラレータ＿WAF＿Webサーバ
-
IDS、NIDS、HIDSIDS：侵入検知システム、NIDS：ネットワーク型IDS、不正なパケットや通信量でネットワークを監視、HIDS：ホスト型IDS、ホストにインストールしてシグネチャ検出を失敗させるコードがあっても検出できる。
-
IPS、EDRIPS：侵入防止システム、検出だけではなく通信を遮断したりの対応もできる、EDR：通信の出入り口になる端末（エンドポイント）の挙動を監視して警告や対処
-
ハニーポットダミーとして使われる機器のログを取る。
-
シグネチャ方式、アノマリー方式シグネチャ方式：不正なパターンを登録して照合、アノマリー方式：正常なパターンを登録してそれ以外を検出
-
フォールスポジティブ、フォールスネガティブフォールスポジティブ：正常なものを間違って不正と判断してしまう。フォールすスネガティブ：不正なものを間違って正常と判断
-
VPN、インターネットVPN、IP-VPNVPN：仮想専用線。認証技術や暗号化でLANのように。インターネットVPN：ネット上でVPNを構成、IP-VPN：広域IP網でVPN
-
MPLSVPNに使う。ラベルと呼ばれる識別子でIPアドレスに依存しないルーティング。
-
VPNのトランスポートモード、トンネルモードトランスポートモード：端末同士が暗号化を行う。本文は暗号化されているがIPパケットの宛先等のヘッダはそのまま。トンネルモード：VPNゲートウェイの間がIPsecで暗号化。相手先のゲートウェイで復号されて本来の宛先に届けられる。トンネリング手法。
-
L2TPVPNのためのデータリンク層のトンネリングプロトコル。
-
認証ヘッダ、暗号ペイロード認証ヘッダ（AH）：認証だけを行う場合は認証ヘッダ、暗号ペイロード（ESP）：認証と暗号化を行う場合は暗号ペイロード
-
PPTPデータリンク層で暗号化や認証化。ネットワーク層のIPsecが使えない場合もVPNを構成できる。
-
IKEIPsecで通信を始める前に暗号化の方式の決定や鍵交換を行う。IKEフェーズの終了後にIPsecフェーズが始まる。
-
情報セキュリティの特性情報の機密性、完全性及び可用性。真正性、責任追跡性、否認防止、信頼性等の特性を含める場合も。
-
DLPデータを監視してコピーや送信をブロック。
-
ワーム他のプログラムに寄生せずに独自に行動。感染していく。
-
ルートキットrootkit。侵入のログやバックドアの作成、隠蔽する機能のパッケージ。
-
ランサムウェアファイルを暗号化して身代金の要求。
-
エクスプロイトキット脆弱性を攻撃するコードをエクスプロイトコード。本来は脆弱性を検証するためのコード。
-
WORMランサムウェア対策。一度書き込んだファイルを上書きや削除できなくなる。
-
コンペア法、チェックサム法、インテグリティチェック法、ビヘイビア法コンペア法：保存してある正常なファイルとハッシュを比較して感染確認。チェックサム法・インテグリティチェック法：チェックサムやハッシュで中身の保証。ビヘイビア法：挙動を監視。
-
動的ヒューリスティック法、ポリモーフィック型マルウェア動的ヒューリスティック法：サンドボックスで実行して挙動を監視。ポリモーリック型マルウェア：
-
辞書攻撃、パスワードリスト攻撃、パスワードスプレー攻撃辞書攻撃：パスワードにありそうな単語を辞書に登録して試行。パスワードリスト攻撃：IDとパスワードを使いまわす人が多いことに着目。入手されたIDとパスワードを別のサイトで試行。パスワードスプレー攻撃：複数IDに対していくつかパスワードを試すことを繰り返していく。
-
ストレッチングパスワードと場合によってはソルトを何度もハッシュ化してから保存
-
フットプリンティングの例ポートスキャン
-
TCPスキャン、UDPスキャン、SYNスキャン、FINスキャンTCPスキャン：TCPフルコネクトスキャンとも。3ウェイハンドシェイクでログが残る。UDPスキャン：UDPパケットを送ってICMPのport unreachableが返ってきたら閉じている。SYNスキャン：ハーフオープンスキャン。SYN/ACKが返ってきたら開いている。RST/ACKなら閉じている。FINスキャン：RSTが返ってくるかどうかで判断
-
ディレクトリトラバーサル相対パスなどで横断して公開されていないディレクトリにアクセス。
-
サニタイジング、バインド機構SQLインジェクション対策。サニタイジング：「'」や「;」を取り除く。バインド機構：プレースホルダ（変数）にプリペアドステートメントをじゅん
-
クロスサイトスクリプティング閲覧者のブラウザを介して脆弱なサイトでスクリプトを実行させる
-
スミッシングSMSフィッシング。SMSを利用したフィッシング。
-
DNSSECDNSキャッシュポイズニングの対策。DNSの応答に証明書を付加。
-
DNS amp攻撃踏み台のDNSにデータサイズの大きな情報を登録しておき、DNSリフレクションで送り付ける。
-
NTP増幅攻撃、Smurf攻撃NTP増幅攻撃：NTPサーバに送信元を偽装したmonlistを送ってリフレクションで送り付ける。Smurf攻撃：送信元を攻撃対象に偽装して相手のネットワーク内にICMPエコー要求パケット（ping）をブロードキャストしてICMPエコー応答パケットを送り付ける。
-
ICMP Flood攻撃、SYN Flood攻撃ICMP Flood攻撃：ボット等を利用して大量にping送信、SYN Flood攻撃：送信元を偽装してSYMパケットを送信。対象のサーバーはSYN/ACKを送信するがACKが返されずに待機状態になってリソースを使い果たして新たなTCP接続ができなく。
-
標的型攻撃、APT標的型攻撃：標的にカスタマイズされた手段で色々と攻撃。APT：標的型攻撃が密かに継続的に行われるのをAPTという。
-
やり取り型攻撃問い合わせなどで無害な偵察メールのやり取りの後にウイルス付きのメール
-
BECビジネスメール詐欺。巧妙な騙しの手口のビジネスメールを装ってで口座へ振り込ませたり。
-
IPスプーフィングIPを偽装して正規のユーザーのふりを
-
オープンリゾルバDNSで内部ネットワークだけではなく、インターネット側からのDNSリクエストにも対応。DNSリフレクションで使われる。
-
リプレイ攻撃通信データを盗聴することで得た認証情報をそのまま再利用して不正にログイン。対策としてチャレンジレスポンス等。
-
MITB攻撃マルウェアを利用してWebブラウザからの通信を監視して改ざんやセッションの乗っ取り。
-
ドライブバイダウンロード攻撃Webサイト閲覧時に気づかないうちにPCに不正プログラムをダウンロードさせる。
-
クリックジャッキングiframeタグを使って視覚的に騙して特定の操作をするように誘導。
-
クリプトジャッキングマルウェアに感染させて仮想通貨のマイニングに利用。
-
OP25B、SPF、DKIMスパムメール対策。OP25B ：ISPを経由しないSMTP25番ポートからの通信を遮断、SPF：IPアドレスを基にドメイン認証でメールのなりすましを検知、DKIM：デジタル署名でドメイン認証。
-
ダンプスターダイビング、スキャベンジングゴミ箱の中を漁る。
-
サイドチャネル攻撃、タイミング攻撃サイドチャネル攻撃：物理的な処理時間、消費電流、電磁波やエラーメッセージから機密情報を取得、タイミング攻撃：暗号化や復号の処理時間から鍵を推測
-
RL Trap
文字の並び順を変えるunicodeの制御文字RLO（right to left override）を悪用してファイル名を偽装する不正プログラム。 -
テンペスト技術ディスプレイやケーブルからの微弱な電磁波から情報取得。
-
ペネトレーションテスト疑似攻撃で脆弱性のテスト。
-
デジタルフォレンジックス不正アクセスが発生した際に、法的な証拠としてデータを保全、収集、分析
-
アンチバスバック入室記録がない者の退室や入室記録がある者の再入室を許可しない仕組み
-
インターロックゲート二重扉で一人ずつしか通れないように。共連れを防止。
-
TPMOR最初の入室と最後の退室は二人ずつでなければ許可しない仕組み。部屋に一人にはならないように。
-
シャドーIT組織が公式な許可をしておらずに使用されているIT機器やサービス。
-
不正のトライアングル不正は機会、動機、正当化が揃ったときに存在する。
-
リスクアセスメントの三つのプロセスリスク特定、リスク分析、リスク評価
-
純粋リスク、投機リスク純粋リスク：デメリットしか生まないリスク、投機リスク：利益を生む可能性もあるリスク
-
リスクファイナンスリスク移転とリスク保有は資金を手当てして対処する。
-
ISMS情報セキュリティマネジメントシステム。情報セキュリティ管理の水準を高め、維持、改善していく取り組み。
-
CSIRT、JPCERT/CCCSIRT：インシデント対応を専門に扱う組織、JPSIRT/CC：JPCERTコーディネーションセンター、国内の窓口CIRT。組織内CSIRTの作成を支援することを目的としたCSIRTマテリアルの作成も。
-
JVNソフトウェアの脆弱性関連情報や対策の情報提供のポータルサイト。
-
J-CRAT、サイバーレスキュー隊IPAが設置した組織。標的型サイバー攻撃の被害低減と連鎖の遮断を目的として。サイバーレスキュー隊。
-
CRYPTREC暗号技術の調査検討プロジェクト。策定された暗号技術のリストはCRYPTREC暗号リスト。
-
ISMAP政府情報システムのためのセキュリティ評価制度。政府で認めているクラウドサービス。
-
CVSS共通脆弱性評価システム。脆弱性の評価基準。
基本評価基準、現状評価基準（脅威評価基準）、環境評価基準、（補足評価基準） -
CCE必要なセキュリティの設定。
-
CVE共通脆弱性識別子。脆弱性を一意に識別するための識別子。JVNで採用されている。
-
CWE脆弱性の種類を階層構造で分類。SQLインジェクションやクロスサイトスクリプティング、バッファオーバーフロー等を分類。
-
企業が業務で使用しているコンピュータに，記憶媒体を介してマルウェアを侵入させ，そのコンピュータの記憶内容を消去した者を処罰の対象とする法律はどれか。
令和3年秋期 問78
23問目／選択範囲の問題数80問
刑法
製造物責任法
不正アクセス禁止法
プロバイダ責任制限法刑法。破壊や使用不可は刑法。
不正アクセスやその助長は不正アクセス防止法。
ログイン
オンライン単語帳
このページを利用するにはログインする必要があります。ログインするとAnkilotをより便利にご利用いただけます。