今回は学習回です。
ITパスポート試験においてセキュリティ関連の出題は増えているようで、シンプルにセキュリティ関連のリテラシーを上げることは地味ですが、重要ですよね。
情報セキュリティの脅威についてまとめてみました。
情報セキュリティの脅威は以下の３つに分類します
- 人的脅威
- 技術的脅威
- 物理的脅威
情報セキュリティ＝情報資産を守ること
(1)人的脅威
人によって引き起こされる脅威
・Cracking (意味：ひびを入れる)
悪意を持ってPCに不正侵入し、データを盗み見たり、破壊すること
ネットワーク経由で不法侵入している感じ、ひびを入れて情報だけ取って終わり、ひびを入れて入って壊して終わり。。。みたいな
・ソーシャルエンジニアリング
社会工学：社会問題を理工学的なアプローチ(数学や物理など)でかいけつする学問。。。
という意味と、情報セキュリティの人的脅威としての意味があります。
上記が語源になっているので、逆の意味で皮肉なのですが、脅威としての意味は以下
特別なツールや技術は使わず、人間の心理的な隙を利用して秘密情報を手に入れること。
例１：ショルダーハック 他人がパスワードなどの秘密の情報を入力しているところを肩越しに盗み見ること 例２：トラッシング 捨てられた書類や記憶媒体からIDやパスワードを盗み出すこと
(2)技術的脅威
技術的な手段によって引き起こされる脅威
一部、人的脅威と区別しにくいものがありますが、そういう場合は最終的に悪影響を与えるものが技術であることを基準とします。
例１：マルウェア 悪意あるSW(ソフトウェア)の総称 例１−１：Bot 多数のPC(コンピュータ)に感染し、攻撃者から指令を受けると、 一斉に攻撃などの動作を行うプログラム。 Robotの略称。感染させたPCをロボットのように操ることからこう呼ばれる 例１−２：Spyware 利用者に気が付かれないように個人情報などを収集するプログラム SpyとSoftwareの造語 例１−３：Ransamware PCやファイルを使用不能にした上で、修復のための金銭を要求するSW Ransam:身代金 例１−４：トロイの木馬 ギリシャ神話の兵士が潜んでいる木馬 有用であるかのように見せかけて利用者にインストールさせることで侵入するSW 例１−５：RAT(Remote Administration Tool/Remote Access Tool) 物理的に離れたPCをネットワーク経由で遠隔操作する 例１-６：ドライブバイダウンロード 悪意あるWebサイトを閲覧するだけでマルウェアがダウンロードされる 例２-１：Dos攻撃 Denial os Service Attack mailやWebサーバへの要求(リクエスト)などを大量に送り付けて、ネットワーク上のサービスを提供不能にする 例２-２：DDoS攻撃 多数のPCから標的のサーバへ大量アクセスを繰り返しシステムを過負荷状態にする 例３：キャッシュポイズニング DNSサーバにキャッシュされているドメイン名とIPアドレスを書き換える 例４：Phishing フィッシング 金融機関などを装い、ログインのためのID PWなどを入力させて、情報を取得する 例５：SPAM 無差別メールのこと、言葉の意味は肉の缶詰。イギリスのコメディ番組が語源になっているとか 例６−１：Brute Force Attack 総当り攻撃 パスワードを総当たりで入力して試すあれ 例６−２：Dictionary Attack 辞書攻撃 PCの"辞書","人名録"に乗っている単語をパスワードとしてすべて試すやつ 例６−３：List Based Attack パスワードリスト攻撃 他のサービスから不正入手したID PW一覧を使って普通に正規ルートでアクセスするやつ 例７：Cross Site Scripting クロスサイトスクリプティング あるサイトに罠を仕掛けて置き、そのサイトを閲覧、することでスクリプトが働くようになり 特定のサイト、例えば銀行のログイン画面などでID PWなどをそのまま表示するフォームがあるとき 情報が盗み出される。これは理解しにくいので画像検索等でいくつか見ておいたほうがいい 例８：Security Hole セキュリティホール PCシステムやネットワークに存在する脆弱性のこと ※弱点や欠点
(3)物理的脅威
物理的な手段によって、”直接”物理的被害を受ける脅威
例１：破壊 例２：災害 例３：浸水 例４：停電 例５：盗難 ※人的脅威と勘違いしがち、人的脅威は間接攻撃
はい、今回はただの、学習用の備忘録です。
覚えにくそうなところをまとめて、覚えようとしているだけです。
暇なときに学んでおいた方が良いことは世の中にいっぱいありますね。
コメント