やさしいネットワークとセキュリティ

ネットワーク・セキュリティエンジニアの視点から各種テクノロジーと資格試験対策をやさしく解説します。

キーワード-情報セキュリティマネジメント

ホットスタンバイ

ホットスタンバイとは、現用系と予備系の2系統で構成されるデュプレックスシステムの一つで、予備系のOS及び業務用プログラムを稼働させた状態で用意しておき、障害発生時にはすぐに予備系に切り替える方式です。 ホットスタンバイでは、現用系と予備系で処…

著作権法

著作権法とは、著作物(思想又は感情を創作的に表現したもの)や作成した人(著作者)を保護するための法律で、著作者が自身の著作物を独占的に使用したりする権利(著作権)を定義しています。 著作権の保護対象としては、文芸、学術、音楽、美術の創作物や…

不正競争防止法

不正競争防止法とは、市場において事業者間の公正な競争が行われるように、不正行為を定め不正競争の防止を目的として定められた日本の法律です。 被害を被った者は差止め請求や損害賠償請求などができるほか、一部の行為は刑事罰の対象となります。 不正行…

売買契約

売買契約とは、売主が保有している商品や土地などの財産権を、買主に移すことを約束し、買主は売主に代価を支払うことを約束する契約のことで、売主と買主の合意があったときに成立するものです。 一般的な商取引では、買主が注文書によって申し込みの意思表…

電子署名法

電子署名法とは、正式名称を「電子署名及び認証業務に関する法律」といい、ディジタル署名などの電子署名が手書き署名や押印と同等に通用することを定めた日本の法律で、2001年に施行されました。 電子署名法の冒頭の「第一章 総則」部分には以下のように記…

ポートスキャン(port scan)

ポートスキャンとは、ネットワークを介する攻撃手法の一つで、サーバなどコンピュータに対してポート番号の変化させ網羅的に多数のIPパケットを送信することで、稼働しているサービスの種類を外部から調査する手法のことです。 コンピュータが通信を行うには…

WAF(Web Application Firewall) Ver.2

WAFとは、Webサーバにアクセスするデータの内容を監視し、外部からWebアプリケーションプログラムへの攻撃を検知、防御するシステムです。 Webアプリケーションには脆弱性が存在する場合があり、攻撃者がこれを悪用して遠隔操作や窃取などの不正アクセスを行…

IPsec(Security Architecture for Internet Protocol)

IPsecとは、インターネットなどの開かれたネットワーク上において、専用線と同様なセキュリティが確保された通信を行うための暗号化・認証プロトコルの一つです。 IPsecはOSI基本参照モデルのネットワーク層において暗号化などの処理を行います。 したがって…

不正のトライアングル

不正のトライアングルとは、人が不正行為をする原因をまとめた理論で、米国の犯罪学者のドナルド・R・クレッシー氏により提唱されました。 次の三つが揃ったとき、不正行為が発生するとしています。 機会:「作業の実行者と承認者が同じ」「承認者が作業内容…

PCI DSS(Payment Card Industry Data Security Standard)

PCI DSSとは、クレジットカード情報を保護し、安全に取り扱うことを目的として、クレジットカード情報を取り扱う事業者に対するセキュリティ基準を定めた規格の一つで、2004年にVISA、MasterCard、AmericanExpressなどが共同で策定した基準です。 PCI DSSで…

CRL(Certificate Revocation List) Ver.2

CRLとは、ディジタル証明書の失効リストのことで、有効期限内に失効となったディジタル証明書がシルアル番号で記載されています。 CRLの仕様はITU(国際電気通信連合)のX.509で規定されています。 CRLは、ディジタル証明書を発行した認証局(CA:Certificat…

信頼性(reliability)

信頼性とは、情報セキュリティの要素の一つで、情報システムによる処理に欠陥や不具合がなく、期待した処理が確実に行われているという特性のことです。 JIS Q 27001:2014(情報セキュリティマネジメントシステムー用語)では、以下のように定義されています…

真正性(authenticity)

真正性とは、情報セキュリティの要素の一つで、利用者、プロセス、システム、情報などのエンティティが、それが主張する本人である(なりすましではない)という特性のことです。 JIS Q 27001:2014(情報セキュリティマネジメントシステムー用語)では、以下…

ディレクトリトラバーサル攻撃(directory traversal attack)

ディレクトリトラバーサル攻撃とは、Webサーバ等のようにユーザが入力したファイル名にしたがって処理を行うコンピュータシステムにおいて、特殊な文字列を指定することにより、通常は外部からのアクセスを想定していないディレクトリやファイルを不正に閲覧…

ディジタル署名

ディジタル署名とは、文書やメッセージなどデータのの真正性を証明するために付加する短い暗号データのことです。 電子署名とも言われる場合がありますが、電子署名は押印やサインに相当する証明手段を電子的な手段で実現したもの全般を意味する総称です。 …

ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、ソーシャル(社会的)な手段によって、パスワードや重要情報を不正に得ようとする手口のことです。 エンジニアリングとありますが、技術的な方法というより、人の心理に付け込む方法になります。 社会的な手段とは、コンピ…

ハッシュ関数

ハッシュ関数とは、任意の長さのデータを入力すると固定長のビット列を返す関数です。このビット列のことをハッシュ値またはメッセージダイジェストと言います。 入力データが同じであれば、常に同じメッセージダイジェストが生成される。 入力データがわず…

ディジタル証明書

ディジタル証明書とは、暗号化通信やディジタル署名に用いる公開鍵の通信において、受信者が公開鍵の所有者を確認するために同封される一連のデータセットのことです。別の呼び方として、サーバ証明書、電子証明書、公開鍵証明書などがあります。 ディジタル…

2要素認証

2要素認証とは、利用者の本人確認などの認証において、二つの異なる方式の認証手段を組み合わせることです。これにより精度と安全性を高めることができます。 認証の方式は主に以下のように分類できます。 WYK(What You Nnow)認証:本人しか知らない情報…

DMZ(DeMilitarized Zone)(非武装地帯、非武装セグメント)

DMZとは、インターネットなど組織の外部と接続するネットワークにおいて、外部と内部の両方のネットワークの中間に位置付けられた領域のことで、ファイアウォールなどを介してネットワークが分離され構成されます。 DMZという言葉は軍事用語であり、紛争地域…

辞書攻撃

辞書攻撃とは、ユーザのパスワードを推測するための攻撃方法の一つで、辞書に載っている一般的な名詞などの単語(administrator、managerなど)や、パスワードに使用されることが多い文字列(root、1111など)を1つずつ試していく攻撃です。 大文字、小文字…

スニッフィング

スニッフィングとは、ネットワーク上のパケットを盗聴する行為です。 暗号化されていないデータは全て見ることができて、ユーザ名やパスワード、クレジットカード番号などの個人情報、メール本文など、本人に気づかれないで盗み見することができます。 通常…

ブルートフォース攻撃(総当り攻撃)(brute force attack)

ブルートフォース攻撃とは、考えられる全ての種類の文字列などの組み合わせを総当りで試行して、パスワードや暗号鍵を解読する方式のことです。 「brute force」は「力づく」という意味です。 例えば、0〜9の数字10個と、A〜Zの英大文字26個の組み合わせで…

ディジタルフォレンジックス

ディジタルフォレンジックスとは、コンピュータ犯罪に対する科学的調査において、コンピュータなどの電子機器に残る記録を収集・分析し、その法的な証拠を明らかにする手段や技術の総称をいいます。 対象となるパソコン、サーバ、ネットワーク機器、携帯電話…

内部不正

内部不正とは、組織の内部者の不正行為による情報セキュリティインシデントの発生のことをいいます。 外部からの不正アクセスよりも多くの顧客情報や製品情報などの秘密情報が漏えいするケースもあり、賠償や信用失墜など組織にも甚大な影響をもたらします。…

IDS(Intrusion Detection System)

IDSとは、内部ネットワークに対する外部(インターネットなど)からの攻撃を検知するための侵入検知システムのことです。 IDSには、NIDS(ネットワーク型IDS)とHIDS(ホスト型IDS)の2つがあります。 NIDS(Network-based IDS) ネットワーク上に配置して…

JVN(Japan Vulnerability Nptes)

JVNとは、ソフトウェアの脆弱性対策情報ポータルサイトのことで、2004年からJPCERT/CC(JPCERTコーディネーションセンター)とIPA(独立行政法人情報処理推進機構)によって運営されています。 JVNの設立の経緯は、脆弱性関連情報の受付と安全な流通を目的と…

ISMS(Information Security Management System) Ver.2

ISMS(情報セキュリティマネジメントシステム)とは、組織内での情報資産の取り扱いについて、その確保すべきセキュリティ水準を定め、計画や規約、体制を整備して運用していく取り組みのことです。 ISMSは、国際規格のISO/IEC 27001、国内規格JIS 27001に定…

タイムスタンプサービス

タイムスタンプとは文書データに付与された日時情報のことですが、情報セキュリティにおいては、文書データの存在証明と原本保証性を証明するために、この日時情報を利用するサービスをタイムスタンプサービスといい、タイムスタンプ機関(時刻認証局、TSA:…

危殆化

危殆化とは、暗号技術において、コンピュータ性能など技術の進歩により暗号強度が低下してしまうことです。 危殆化により、当初は解読が難しかった暗号アルゴリズムが容易に解読できるようになったりします。 例えば、1976年に開発された共通鍵暗号方式のDES…

にほんブログ村 資格ブログへ にほんブログ村 IT技術ブログへ にほんブログ村 IT技術ブログ ネットワーク・SEへ にほんブログ村 IT技術ブログ セキュリティ・暗号化へ