やさしいネットワークとセキュリティ

ネットワーク・セキュリティエンジニアの視点から各種テクノロジーと資格試験対策をやさしく解説します。

ディジタル証明書

ディジタル証明書とは、暗号化通信やディジタル署名に用いる公開鍵の通信において、受信者が公開鍵の所有者を確認するために同封される一連のデータセットのことです。別の呼び方として、サーバ証明書、電子証明書、公開鍵証明書などがあります。 ディジタル…

2要素認証

2要素認証とは、利用者の本人確認などの認証において、二つの異なる方式の認証手段を組み合わせることです。これにより精度と安全性を高めることができます。 認証の方式は主に以下のように分類できます。 WYK(What You Nnow)認証:本人しか知らない情報…

DMZ(DeMilitarized Zone)(非武装地帯、非武装セグメント)

DMZとは、インターネットなど組織の外部と接続するネットワークにおいて、外部と内部の両方のネットワークの中間に位置付けられた領域のことで、ファイアウォールなどを介してネットワークが分離され構成されます。 DMZという言葉は軍事用語であり、紛争地域…

ブルートフォース攻撃(総当り攻撃)(brute force attack)

ブルートフォース攻撃とは、考えられる全ての種類の文字列などの組み合わせを総当りで試行して、パスワードや暗号鍵を解読する方式のことです。 「brute force」は「力づく」という意味です。 例えば、0〜9の数字10個と、A〜Zの英大文字26個の組み合わせで…

スニッフィング

スニッフィングとは、ネットワーク上のパケットを盗聴する行為です。 暗号化されていないデータは全て見ることができて、ユーザ名やパスワード、クレジットカード番号などの個人情報、メール本文など、本人に気づかれないで盗み見することができます。 通常…

辞書攻撃

辞書攻撃とは、ユーザのパスワードを推測するための攻撃方法の一つで、辞書に載っている一般的な名詞などの単語(administrator、managerなど)や、パスワードに使用されることが多い文字列(root、1111など)を1つずつ試していく攻撃です。 大文字、小文字…

ディジタルフォレンジックス

ディジタルフォレンジックスとは、コンピュータ犯罪に対する科学的調査において、コンピュータなどの電子機器に残る記録を収集・分析し、その法的な証拠を明らかにする手段や技術の総称をいいます。 対象となるパソコン、サーバ、ネットワーク機器、携帯電話…

内部不正

内部不正とは、組織の内部者の不正行為による情報セキュリティインシデントの発生のことをいいます。 外部からの不正アクセスよりも多くの顧客情報や製品情報などの秘密情報が漏えいするケースもあり、賠償や信用失墜など組織にも甚大な影響をもたらします。…

IDS(Intrusion Detection System)

IDSとは、内部ネットワークに対する外部(インターネットなど)からの攻撃を検知するための侵入検知システムのことです。 IDSには、NIDS(ネットワーク型IDS)とHIDS(ホスト型IDS)の2つがあります。 NIDS(Network-based IDS) ネットワーク上に配置して…

JVN(Japan Vulnerability Nptes)

JVNとは、ソフトウェアの脆弱性対策情報ポータルサイトのことで、2004年からJPCERT/CC(JPCERTコーディネーションセンター)とIPA(独立行政法人情報処理推進機構)によって運営されています。 JVNの設立の経緯は、脆弱性関連情報の受付と安全な流通を目的と…

ISMS(Information Security Management System) Ver.2

ISMS(情報セキュリティマネジメントシステム)とは、組織内での情報資産の取り扱いについて、その確保すべきセキュリティ水準を定め、計画や規約、体制を整備して運用していく取り組みのことです。 ISMSは、国際規格のISO/IEC 27001、国内規格JIS 27001に定…

タイムスタンプサービス

タイムスタンプとは文書データに付与された日時情報のことですが、情報セキュリティにおいては、文書データの存在証明と原本保証性を証明するために、この日時情報を利用するサービスをタイムスタンプサービスといい、タイムスタンプ機関(時刻認証局、TSA:…

危殆化

危殆化とは、暗号技術において、コンピュータ性能など技術の進歩により暗号強度が低下してしまうことです。 危殆化により、当初は解読が難しかった暗号アルゴリズムが容易に解読できるようになったりします。 例えば、1976年に開発された共通鍵暗号方式のDES…

情報セキュリティインシデント

情報セキュリティインシデントとは、情報セキュリティに関する事件や事故のことです。具体的には、情報漏えい、改ざんや消失、日常使用している機能の停止または極端な性能の低下などがあります。 情報セキュリティインシデントによる損害を最小限に抑えるた…

リスクレベル(level of risk)

リスクレベルとは、JIS Q 27000:2014(情報セキュリティマネジメントシステムー用語)では、以下のように説明されています。 結果とその起こりやすさの組み合わせとして表現される、リスクの大きさ(目的に対する不確かさの影響) これ以外にも、リスク基準…