アクセスアップ対策

アクセスアップ対策

アクセスアップの方法についてまとめてみました。


スポンサーサイト

Category: スポンサー広告   Tags: ---
上記の広告は1ヶ月以上更新のないブログに表示されています。
新しい記事を書く事で広告が消せます。

情報セキュリティ 用語集

Category: 雑談   Tags: ---
情報セキュリティの勉強に当たり、様々な用語が出てくるので整理してみました。

1 ) 情報セキュリティ
→ 情報の機密性、完全性及び可用性を維持すること

2 ) 機密性(confidentiality)
→ 認可されていない個人またはエンティティやプロセスに対して情報を使用、公開させない特性

3 ) 完全性(integrity)
→ 資産の正確さ及び完全さを保護する特性

4 ) 可用性(availability)
→ 認可されたエンティティが要求した時に、アクセスおよび使用が可能である特性

5 ) 真正性
→ ある主体または資源が主張通りだあることを確実にする特性

6 ) 責任追跡性
→ あるエンティティの動作が動作主のエンティティまで一意に追跡できることを確実にする特性

7 ) 否認防止
→ ある事象が起きたことを、後から否認されないように証明する能力

8 ) 信頼性
→ 意図した動作及び結果に一致する特性

9 ) 情報資産
→ 情報及び、情報を管理する仕組み

10 ) 脆弱性
→ 情報資産や情報資産を含むシステムの弱点

11 ) 脅威
→ 情報資産を保持する組織やシステムに損害を与える可能性がある出来事(セキュリティインシデント)

12 ) 対策
→ リスク評価を行い、リスクの大きさと要求されるセキュリティ水準を比較し方針を定める

13 ) PDCAサイクル
→ Plan、Do、Check、Actionのサイクル

14 ) 個人情報
→ 生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等によって特定の個人を識別できるもの

15 ) OECD
→ 経済協力開発機構

16 ) OECD8原則
→ 収集制限の法則、データ内容の原則、目的明確化の原則、利用制限の原則、安全保護の原則、公開の原則、個人参加の原則、責任の原則(1980年制定)

17 ) 収集制限の法則
→ 個人データは適法・公正な手段により、かつ情報主体に通知または同意を得て収集されるべきである

18 ) データ内容の原則
→ 収集されるデータは、利用目的に沿ったもので、かつ、正確・完全・最新であるべきである

19 ) 目的明確化の原則
→ 収集目的を明確にし、データ利用は収集目的に合致するべきである

20 ) 利用制限の原則
→ 原則として、収集したデータを目的以外に利用してはならない

21 ) 安全保護の原則
→ 合理的安全保護措置により、紛失・破壊・使用・修正・開示等から保護するべきである

22 ) 公開の原則
→ データ収集の実施方針等を公開し、データの存在、利用目的、管理者等を明示するべきである

23 ) 個人参加の原則
→ データ主体に対して、自己に関するデータの所在及び内容を確認させ、または異議申立を保証するべきである

24 ) 責任の原則
→ データの管理者は諸原則の責任を有する

25 ) 情報セキュリティポリシ
→ 組織が所有する情報資産の情報セキュリティ対策について、総合的・体系的かつ具体的にまとめたもの

26 ) 情報セキュリティ基本方針
→ 組織における、情報セキュリティ対策に対する根本的な考え方

27 ) 情報セキュリティ対策基準
→ 情報セキュリティ基本方針に定められた情報セキュリティを確保するために遵守すべき行為及び判断などの基準

28 ) 情報セキュリティ実施手順
→ 対策基準に定められた内容を具体的な情報システムまたは業務においてどのような手順に従って実行していくか

29 ) 情報セキュリティポリシ策定手順
→ 組織と体制の確立→基本方針の策定→リスク分析→対策基準の策定→ポリシの決定→実施手順の策定

30 ) 情報セキュリティ監査
→ 有効かつ効率的に監査を実施して情報セキュリティの品質を保つこと

31 ) 情報セキュリティ監査基準
→ 保証型の監査、助言型の監査

32 ) 保証型の監査
→ 情報セキュリティ対策が適切かどうかを監査人が保証することを目的とした監査

33 ) 助言型の監査
→ 情報セキュリティ対策の改善のために監査人が助言を行うことを目的とした監査

34 ) 情報セキュリティ監査一般基準
→ 監査人としての適格性と監査業務上の遵守事項を規定

35 ) 情報セキュリティ監査実施基準
→ 監査計画の立案と監査手続きの適用方法など、監査を実施するうえでの枠組みを規定

36 ) 情報セキュリティ監査報告基準
→ 監査報告にかかわる留意事項と監査報告所の記載方式を規定

37 ) 情報セキュリティ管理基準
→ 組織が情報セキュリティマネジメント体制を構築し、運用するための実施規範について規定(監査上の判断の尺度として利用)

38 ) 情報セキュリティ監査実施手順
→ 監査計画の立案→監査手続きの実施→監査調書の作成と保存→監査報告書の作成

39 ) 情報セキュリティの事前対策
→ リスクがあるとわかっているものに対し、その状況に応じて、事前に直接的に対策を実施するもの

40 ) 情報セキュリティの抑止策
→ 直接的に対策できない、あるいは対策が困難である場合に代替策として実施するもの

41 ) 情報セキュリティ関連法規
→ 刑法、不正アクセス禁止法、盗聴法、知的財産権の関連法規

42 ) 刑法(情報セキュリティ)
→ 電磁的記録不正作出、電子計算機損壊等業務妨害

43 ) 電磁的記録不正作出
→ コンピュータ上の文書偽造(私文書:5年以下の懲役又は50万円以下の罰金、公文書:10年以下の懲役又は100万円以下の罰金)

44 ) 電子計算機損壊等業務妨害
→ コンピュータ上の業務妨害(5年以下の懲役または100万円以下の罰金)

45 ) 電子計算機使用詐欺
→ コンピュータ上でのシステムに対する詐欺(10年以下の懲役)

46 ) 電磁的記録毀棄
→ 文書破損に該当する、電子データの破壊行為(私文書:5年以下の懲役、公文書:3ヶ月以上7年以下の懲役)

47 ) 不正アクセス禁止法
→ アクセス制限されているコンピュータに不正に侵入する行為(1年以下の懲役または50万円以下の罰金)

48 ) 盗聴法
→ 犯罪捜査のための通信傍受に関しての規制

49 ) 知的財産権
→ 知的創造活動によって生み出されたものを財産として保護するための権利(特許権、実用新案権、育成者権、意匠権、著作権、商標権、その他)

50 ) 知的財産
→ 発明、考案、植物の新品種、意匠、著作物その他の人間の創造的活動により生み出されるもの

51 ) 産業財産権
→ 知的財産権のうち、特許権、実用新案権、意匠権、商標権のこと

52 ) 著作権
→ 著作物を保護する権利(創作時から死後50年)

53 ) 特許権
→ 発明を保護する権利(出願から20年)

54 ) 意匠権
→ 物品のデザインを保護する権利(登録から20年)

55 ) 実用新案権
→ 物品の形状等の考案を保護する権利(出願から10年)

56 ) 商標権
→ 商品・サービスに使用するマークを保護(登録から10年)

57 ) 育成者権
→ 植物の新品種を保護(登録から25年)

58 ) 個人情報保護法
→ OECD8原則を受け、2003年に成立

59 ) JIS Q 15001 : 2006
→ 個人情報保護マネジメントシステムの供給事項を規定するJIS規格(プライバシーマーク)

60 ) JIS Q 27001 : 2006
→ 情報セキュリティマネジメントシステム(ISMS)を確立し、導入、運用、改善等を行うための要求事項を規定するJIS規格

61 ) JIS Q 27002 : 2006
→ JIS Q 27001 : 2006に沿った、管理策やリスクマネジメントについての規範を提供

62 ) 情報セキュリティマネジメントシステム
→ 情報資産と脅威を洗い出しながらの分析となるため、工数が多くなる

63 ) 情報セキュリティポリシーに関するガイドライン
→ 内閣官房情報セキュリティセンター(NISC)により2000年に決定されたガイドライン

64 ) リスク
→ 脅威によって情報資産に与えられる損害の可能性

65 ) リスク分析の手順
→ "①情報資産の調査→脅威の調査→脅威の発生頻度と被害の大きさの分析→対策の策定
②情報資産の調査→重要性の分類→セキュリティ要求水準の設定→対策の策定"

66 ) 定量的リスク分析
→ リスクを損失額などの具体的な数字で見積もる手法(ALE等)

67 ) 定性的リスク分析
→ 質問表などを使用してリスクを見積もり、リスクのレベルを低、中、高のように評価する方法

68 ) JRAM
→ 定量的リスク分析と定性的リスク分析(JRAM質問表)の両方の特徴を備えた分析手法(1992年にJIPDECによって開発)

69 ) CRAMM
→ CRAMM質問票を用いて、5段階で評価(1988年にCCTAとBSIによって開発)

70 ) ALE(年間予想損失額)
→ リスクの発生頻度と損失額を予め計算し、対応策やそのための資金を決定

71 ) ALE計算式
→ ALE=10(f + i - 3)/3   (f は損失評価額のレベル、i は発生頻度のレベル)

72 ) GMITS
→ ITセキュリティマネジメントに関するガイドラインのまとめ(ベースラインアプローチ、非形式的アプローチ、詳細リスク分析、組み合わせアプローチ)

73 ) ベースラインアプローチ
→ 従来の標準や基準をもとにベースラインの対策の基準を策定し、チェックしていく手法(求める対策のレベルが適切に定まらない可能性がある)

74 ) 非形式的アプローチ
→ コンサルタントや担当者の経験や判断によりリスク分析を行う(リスク分析と対策にのみ集中するため短期間で実施可能だが、判断が恣意的になる可能性がある)

75 ) 詳細リスク分析
→ 個々の情報資産に対し、「脅威」と「脆弱性」を識別し、リスクを評価する手法(リスク分析を厳密に行えるが、工数や費用が大きくなる)

76 ) 組み合わせアプローチ
→ ベースラインアプローチと詳細リスクアプローチの組み合わせでそれぞれのメリットを得ることができる

77 ) リスクマネジメント
→ JIS Q 2001のリスクマネジメントシステム構築のための方針という規格がある

78 ) リスクマネジメント7原則
→ "リスクマネジメント方針、リスクマネジメントに関する計画策定、リスクマネジメントの実施、リスクマネジメントパフォーマンス評価及びシステムの有効性評価
リスクマネジメントシステムに関す是正・改善の実施、組織の最高経営者によるレビュー、リスクマネジメントシステムの維持のための体制・仕組み"

79 ) リスクコミュニケーション
→ 取引先や顧客に対し、情報セキュリティにかかわるリスクに関して情報を公開し、共有すること

80 ) 情報資産台帳作成手順
→ 体制作り→調査票の様式決定→調査の実施→調査票の内容確認→最終化

81 ) パスワードに対する脅威
→ 辞書攻撃、ブルートフォース攻撃、オンライン攻撃、オフライン攻撃

82 ) 辞書攻撃
→ パスワードになりそうな文字列や辞書に載っている単語を順に当てはめていく手法

83 ) ブルートフォース攻撃
→ パスワードの文字列として考えられる全ての組み合わせを順に試していく手法

84 ) オンライン攻撃
→ 動作しているコンピュータにユーザIDとパスワードを送っていき、認証に成功するか調べる手法

85 ) オフライン攻撃
→ パスワードを格納しているファイルもうしくはパスワードがかけられているファイルを入手して、それを攻撃者のコンピュータにコピーしてパスワード破りをする手法

86 ) リプレイアタック
→ ログインの際に送られたIDやパスワードを盗聴して記録し、そのまま利用して不正アクセスを試みる手法

87 ) ソーシャルエンジニアリング
→ 技術的な攻撃ではなく、パスワードを知る人間やその周辺からパスワードを得る手法(なりすまし、スキャベンジング、ショルダーハッキング)

88 ) なりすまし
→ 外部から、上司や家族になりすまして電話をかけてパスワードを聞き出す手法

89 ) スキャベンジング
→ ごみ箱をあさるなどして、破棄した書類やメモから情報を収集する手法

90 ) ショルダーハッキング
→ パスワードを入力している背後から覗いてパスワードを記憶する手法

91 ) ACL
→ コンピュータシステム上のファイル等に対し、誰にアクセスを許可するのかを記述したリスト(Access Control List)

92 ) MAC方式
→ 強制アクセスコントロールのこと。セキュリティ管理者のみがアクセス権限を変更することができる方式

93 ) DAC方式
→ 自由裁量的アクセスコントロールのこと。セキュリティ管理者が対象となる情報資源の所有者などにアクセス制限の設定を委ねる方式

94 ) 盗聴
→ ネットワーク上の情報を盗み取ること

95 ) 漏えい
→ 不正アクセスや盗聴などによりサーバに保存されている機密情報が第三者に渡ること

96 ) 改ざん
→ 故意にファイルやデータを変更したり削除したりすること

97 ) フィッシング
→ 金融機関等の正規のメールやWebサイトを装って、暗証番号やクレジットカード番号を詐取する詐欺のこと

98 ) コンピュータウイルス
→ プログラムやデータベースに意図的に被害を及ぼすために作られ、自己伝染機能、潜伏機能、発病機能のうち、一つでも有するもの。

99 ) ワーム
→ ネットワークを通じて他のコンピュータに伝染することを目的とした不正プログラム

100 ) トロイの木馬
→ 一見無害なプログラムを装った、セキュリティを回避するように設計されたプログラム

101 ) ボット
→ インターネットを通じてコンピュータを外部から操作することを目的として作成されたソフトウェア

102 ) スパイウェア
→ ユーザの意図に反してインストールされ、個人情報やアクセス履歴等の情報を収集するプログラム

103 ) キーロガー
→ キー入力情報を記録するソフトウェア。スパイウェアとして悪用されることがある

104 ) anonymous FTP(匿名FTP)
→ 不特定多数のユーザが自由に利用できるFTPサーバを使用するため、第三者による不正中継に悪用されることがある

105 ) 磁気テープ
→ 他の外部記憶媒体に比べ、アクセス時間が遅いが、ビット当たりの単価は安い。DLT、DDS等

106 ) DLT(Digital Linear Tape)
→ 一本のテープに圧縮時で最大70Gバイトのデータを記録できる

107 ) DDS(Digital Date Storage)
→ オーディオテープに利用されるDATの技術をベースに作られていて、最大20Gバイトのデータを記録できる

108 ) 磁気ディスク
→ 磁気を使用してデータの読み書きを行う媒体で、ランダムなアクセスが可能。ハードディスク、フロッピーディスク等

109 ) ハードディスク
→ 高速で大容量の記憶装置

110 ) フロッピーディスク
→ 低速で小容量の記憶装置。安価

111 ) フラッシュメモリ
→ 読み取りと書き換えが可能な電源を切ってもデータが消えない半導体メモリ。USBメモリ、SDメモリカード等

112 ) USBメモリ
→ USBを用いてデータの読み書きを行うフラッシュメモリ

113 ) SDメモリカード
→ デジカメや携帯等に用いられるフラッシュメモリ

114 ) CD
→ 650Mバイトや700Mバイトの容量を持つディスク装置

115 ) CD-ROM
→ 読み取り専用のCD

116 ) CD-R
→ 一度だけ書き込み可能なCD

117 ) CD-RW
→ データの読み書きが複数回可能なCD

118 ) DVD
→ 数Gバイトの容量を持つディスク装置

119 ) DVD-ROM
→ 読み取り専用のDVD

120 ) DVD-R
→ 一度だけ書き込み可能なDVD

121 ) DVD-RW
→ データの読み書きが複数回可能なDVD

122 ) 光磁気ディスク
→ レーザ光と磁気を利用して書き込みと消去を行うディスク装置

123 ) 電子媒体の脅威
→ 利用や保管、輸送、破棄など

124 ) 利用や保管の脅威
→ 外部に持ち出す際は、盗難や紛失。保管の際は媒体の劣化等

125 ) 輸送に関する脅威
→ 輸送事故等の紛失等

126 ) 破棄に関する脅威
→ 媒体をフォーマット(初期化)するだけでは復旧されてしまう

127 ) ポートスキャン
→ ターゲットとなるホスト上で通信可能状態にあるポートを探査すること(TPCコネクトスキャン、TCPハーフスキャン(SYNスキャン)、UDPスキャン)

128 ) TCPコネクトスキャン
→ TCPポートを対象とした手法で、3WAYハンドシェイクにターゲットポートとTCPコネクションを確立できるかどうかで状態を確認

129 ) TCPハーフスキャン(SYNスキャン)
→ TCPポートを対象とした手法で、コネクションを確立せずにターゲットポートにSYNパケットを送り、その応答でターゲットポートの状態のみ確認。

130 ) UDPスキャン
→ UDPではコネクションは確立出来ないため、ターゲットポートにパケットを送り応答がなければアクティブ、応答があれば非アクティブと判断する手法

131 ) バッファオーバーフロー(BOF)攻撃
→ OSやアプリケーションプログラムの入力データ処理に関するバグを突いてコンピュータを不正に操作する攻撃

132 ) スタック領域
→ プログラムが一時的に使用する領域

133 ) ヒープ領域
→ プログラムが永続的に使用する領域

134 ) TCPセッションハイジャック
→ コネクション確立時に交換するシーケンス番号を矛盾なくシーケンス番号を操作して成り済まし通信を行う行為

135 ) UDPセッションハイジャック
→ UDPはコネクション確立手順がないため、クライアントからのリクエストに対して、正規サーバよりも先にレスポンスを返すことでセッションハイジャックを行う

136 ) WEBセッションハイジャック
→ セッション管理情報を推測や盗聴するなどして取得し正規ユーザに成り済ましてWEBサーバとのセッションハイジャックを行う

137 ) finger
→ TCP/IPのアプリケーション層で動作するプロトコルの一つで、サーバにログインしてるユーザ情報を取得されることがある

138 ) DoS攻撃(Denial of Service)
→ 大量のパケットをサーバに送り続けて他の処理を実行できないようにする攻撃。SYN FLOOD、LAND、TEAR DROP、Ping of Death等

139 ) SYN FLOOD攻撃
→ 3Wayハンドシェイクという手法で、SYNパケットを送信し、返ってきたACK+SYNを用いて、ACKを返さずにSYNパケットのみを送り続ける手法

140 ) LAND攻撃
→ SYNパケットを送信し、送信相手を無限ループに陥れる手法

141 ) TEAR DROP攻撃
→ IPパケットの順番を示す情報を偽造し、不正なIPパケットを組み立てる処理を起こさせてエラーを発生させて処理を停止させる手法

142 ) Ping of Death攻撃
→ 相手機器との接続状態を確認するpingコマンドを利用し、65536バイト以上の大きなサイズのIPパケットを送信して相手サーバをクラッシュさせる手法

143 ) 無線LANの脅威
→ MACアドレスの盗聴、ESS-IDの脅威、WEPの使用など。

144 ) MACアドレスの盗聴
→ MACアドレスが暗号化されていないため、MACアドレスを盗聴され、なりすましが可能となる

145 ) ESS-IDの脅威
→ ESS-IDは無線端末が接続できるアクセスポイントを識別する際に使用するIDで、MACアドレスと同様に盗聴の危険がある

146 ) WEPの使用
→ 無線LANで使用される暗号技術で、アルゴリズムに共通鍵方式のRC4を採用しているため、暗号のパケット長が十分でない

147 ) クロスサイトスクリプティング
→ 脆弱なWebサイトをターゲットにし、スクリプトを送り込むことでターゲットから個人情報の漏えい等の被害をもたらす手法

148 ) クエリストリング
→ URLの?以降に指定される部分で、ユーザIDやパスワードの漏えいの危険がある

149 ) ユーザの入力フォーム
→ HTMLで入力情報をページ間で行う場合、POSTでなくGETメソッドを使用するとクエリストリングに情報が表示される。

150 ) SQLコマンドインジェクション
→ データベースを使用した認証において、変数部分に別のプログラムを埋め込み、不正な処理を実行させる手法

151 ) DNS情報の漏えい
→ DNSサーバにはIPアドレスとホスト名を対応付けるためのデータが保存されており、この情報が奪取されると不正アクセスの元凶となる

152 ) DNSスプーフィング
→ DNSサーバのホスト名とIPアドレスの情報を不正に書きかえることにより、クライアントを不正なWebサイトに誘導する手法

153 ) テンペスト技術
→ パソコン等から発する電波を拾って、離れた場所からパソコンなどの表示画面を再現する技術

154 ) 中間者攻撃
→ 通信中の2人のユーザ間に割り込み、ユーザに気づかれないように通信を盗聴したり制御したりする手法

155 ) プラインドハイジャック
→ 通信中のクライアントとサーバ間のに割り込み、クライアントになりすます手法

156 ) セッション盗用
→ クライアントとサーバ間のセッション情報を盗用する手法

157 ) 情報セキュリティマネジメントシステム(ISMS)
→ 企業において情報セキュリティに取り組むための全体的な枠組み

158 ) リスクコントロール
→ リスク回避、リスク集中、リスク分離、損失予防、損失軽減、リスク保有、リスク移転

159 ) リスク回避
→ リスクが発生する要因を排除する手法

160 ) リスク集中
→ リスクを持つ情報資産を集中管理することで分散しているリスクを軽減する手法

161 ) リスク分離
→ リスクを持つ情報資産を分離することで全体のリスクを軽減する手法

162 ) 損失予防
→ 損失の発生を最小限に減らすことで全体のリスクを減らす手法

163 ) 損失軽減
→ 損失が発生した場合、その損失の度合いを最小限にする手法

164 ) リスク保有
→ リスクが発生した時の為に組織で準備金等を積み立てておき、そのリスクを保有する手法

165 ) リスク移転
→ リスクが発生した時の為に保険をかけることにより他にリスクを移転させる手法

166 ) コンティンジェンシープラン
→ 緊急時対応計画。セキュリティ事故や欠陥が見つかった場合の対処方法

167 ) シングルサインオン
→ 関連する複数のサーバやアプリにおいて、いずれかで認証を行えば、関連する他のサービスで認証を不要とする手法

168 ) RAID
→ 複数の磁気ディスクを組み合わせてデータの信頼性と高速化を図る方法のこと

169 ) RAID0(ストライピング)
→ 複数台のハードディスクに分散して書き込む

170 ) RAID1(ミラーリング)
→ 複数台のハードディスクに同時に同じ内容を書き込む

171 ) RAID2
→ ハミング符号を使用してエラー訂正を可能にする。ビット単位でストライピングを行う

172 ) RAID3
→ パリティによる誤り修正を可能。ビット単位でストライピングを行う。一台の故障なら復元可能

173 ) RAID4
→ ストライピングをビット単位で行い、入出力の効率を改善。一台の故障なら復元可能

174 ) RAID5
→ 複数のハードディスクにデータとパリティを分散して書き込む。一台の故障なら復元可能

175 ) 共通かぎ暗号方式
→ 暗号化と複合に同じかぎを用いる方式。DES、AES、RCなど

176 ) ブロック暗号
→ データをブロック単位で暗号化または複合化する共通かぎ暗号方式

177 ) ストリーム暗号
→ データを1ビット単位で暗号化または複合化する共通かぎ暗号方式。同期式と非同期式がある

178 ) 同期式暗号
→ 平文や暗号文の内容と関係ない独立した乱数を発生させ、それを用いて暗号化を行う

179 ) 非同期式暗号
→ 平文や暗号文の系列に合わせた形で乱数を発生させ、それを用いて暗号化を行う

180 ) DES(Data Encryprion Standard)
→ 56ビットのブロック暗号。強度に問題あり

181 ) AES(Advanced Encryprion Standard)
→ DESの強度を強くした規格。128、192、256ビットの長さのかぎを選択できる

182 ) RC(Rivest's Cipher)
→ DESより高速な処理が可能なブロック暗号

183 ) 公開かぎ暗号方式
→ 暗号化と複合に異なるかぎを用いる方式。RSA、楕円曲線暗号方式、DSAなど

184 ) RSA(Rivest Shamir Adleman)
→ 暗号を解読する際に、非常に大きな数の素因数分解を行う必要がある。512、1024、2048ビットがある

185 ) 楕円曲線暗号方式
→ 楕円曲線という特殊な計算を行って暗号化する。RSAより短い長さの暗号化を行えるのでICカードやハードウェアで使用される

186 ) DSA(Digital Signature Algorithm)
→ エルガマル署名を改良して作られた暗号方式。科技庁が1024ビット以下でデジタル署名に使用される

187 ) S/MINE
→ 電子メールの暗号化とデジタル署名の国際規格。RSAを利用

188 ) PGP(Pretty Good Privacy)
→ 電子メールの暗号ソフト。公開かぎ暗号方式を利用していて暗号化とデジタル署名の両方の機能を持つ

189 ) デジタル署名
→ 送信者の認証と改ざんの有無の検知が可能。公開かぎを用いて作成

190 ) MAC(メッセージ認証コード)
→ デジタル署名より高速な処理がかのうで、共通かぎを共有する必要がある

191 ) ハッシュ関数
→ 任意のデータから固定のデータを出力する関数。出力したデータからは元データは導き出せなく、異なる入力データから同じ出力データは得られる可能性が低い

192 ) SHA-1(Secure Hash Algorithm 1)
→ 160ビットのハッシュ値を出力。SHA-1の拡張版のSHA-256、SHA-384、SHA-512がある

193 ) MD5(Massage Digest 5)
→ 128ビットのハッシュ値を出力。

194 ) ワンタイムパスワード
→ クライアントとサーバ間でアクセスごとにパスワードを変更する手法

195 ) PPP(Point-To-Point Protocol)
→ 外部からダイアルアップ接続方式でネットワークに接続するプロトコル。PAPやCHAPがある

196 ) PAP(Password Authentication Protocol)
→ ユーザIDとパスワードの組み合わせだけで認証を行うプロトコル

197 ) CHAP(Challenge Handshake Authentication Protocol)
→ 認証サーバから送られたチャレンジコードにパスワードを付加し、ハッシュ化してレスポンスコードを作成して認証を行う

198 ) メッセージ認証
→ 情報が正当なものであり、改ざんされていないことを確認。メッセージダイジェスト、PKI、X.509公開かぎ証明書、SSL

199 ) メッセージダイジェスト
→ 任意のメッセージからハッシュ値を生成してメッセージに付加して送信することで改ざんを検知する方法

200 ) PKI(Public Key Infrastructure)
→ 認証局の発行した公開かぎの証明書を所有しているユーザは暗号化したデータと一緒に送信することで公開かぎの正当性を確認させる。SSL等に利用

201 ) X.509公開かぎ証明書
→ ITU-Tが策定した公開かぎ証明書の国際基準

202 ) SSL(Seccure Sockets Layer)
→ 公開かぎ暗号方式、共通かぎ暗号方式、デジタル証明書、ハッシュ関数などと組み合わせてインターネット上の情報を暗号化する方法

203 ) IPsec
→ TCP/IPベースのネットワークにセキュリティ機能を付加する枠組みのこと。AHやESPなどがある

204 ) AH(認証ヘッダ)
→ IPパケットの完全性の保証と認証の為の仕組み

205 ) ESP(暗号ペイロードヘッダ)
→ IPパケットのデータを暗号化し、盗聴、改ざん、偽造を防止する

206 ) VNP(カプセル化)
→ ネットワーク上に仮想的なプライベートネットワークを構築し、専用通信回線のようにエンドツーエンドでの通信を可能にする技術

207 ) インターネットVPN
→ インターネット上のVPN。暗号化とカプセル化にIPsecを利用。IPcecにはトランスポートモードとトンネルモードがある

208 ) トランスポートモード
→ IPパケットを送信する際に、IPsecを使用し、データ部のみを暗号化

209 ) トンネルモード
→ IPパケットを送信する際に、IPsecを使用し、IPパケット全体を暗号化

210 ) SSL-VPN
→ SSLの技術を応用してVPNを実現したもの。

211 ) L2TP
→ PPTPとL2Fを統合させたデータリンク層のトンネリングプロトコル。データリンク層でカプセル化を行い、エンドツーエンドの通信を行うため、PPPを使用する

212 ) ファイアウォール
→ 内部と外部でやりとりするパケットのフィルタリングをする装置

213 ) パケットフィルタリング
→ パケットのヘッダ部の情報を読み取り、それぞれのポートへ通貨を許可するかどうか判断する機能

214 ) ダイナミックパケットフィルタリング
→ IPアドレスやポート番号にanyが指定されていた時に制御する方法

215 ) プロキシ機能ファイアウォール
→ 内部のクライアントが外部へ接続する際に、ファイアーウォールが代わりに通信を行うように設定できる

216 ) アプリケーションゲートウェイ
→ アプリケーション層でアクセス制御を実現する方式

217 ) サーキットゲートウェイ
→ トランスポート層でアクセス制限を実現する方式。ポート番号やIPアドレスごとにルールを設ける

218 ) リバースプロキシ
→ 外部からのアクセスを中継して接続を行う(通常のプロキシサーバは外部へのアクセスを中継する)

219 ) 侵入検知システム(IDS(Intrusion Detection System))
→ 外部からの不正なアクセスを早期に検知するシステム。シグネチャ型(不正検出)とアノマリ型(異常検出)がある

220 ) シグネチャ型(不正検出)
→ 侵入パターンをシグネチャというデータベースに登録しておき、パケットをシグネチャと突き合わせて検出

221 ) アノマリ型(異常検出)
→ 外部からのアクセス時刻やコマンド、トラフィック状況などを監視し、通常と異なる場合に異常検出する

222 ) IDSの形態
→ IDSにはネットワーク型IDSとホスト型IDSがある

223 ) ネットワーク型IDS
→ ネットワークを流れるパケットを解析して不正アクセスを検出するIDS

224 ) ホスト型IDS
→ 監視対象となるホストに直接IDSをインストールしてそこに送られるパケットを解析するIDS

225 ) IDSの動作
→ アラーとの通知⇒データの格納⇒ネットワークの切断⇒ファイアウォール機器等との連携⇒ファイル/レジストリの復元

226 ) IDS導入の注意事項
→ 全てのパケットを解析するため、処理量が多くなるため、処理能力の低下が懸念

227 ) IPS(侵入防止システム)
→ ファイアウォールと連携して不正アクセスの遮断を動的に行う

228 ) IEEE 802.1x
→ 認証サーバを用いてEAPをベースに認証を行う規格

229 ) IEEE 802.11i
→ 暗号にTKIP及びAESを使用するセキュリティ技術。専用のハードウェアが必要

230 ) WPA(Wi-Fi Protected Access)
→ IEEE 802.11iをベースとしているが、専用の機器は必要ない

231 ) サニタイジング処理
→ クロスサイトスクリプティング対策として、スクリプトから危険な文字を削除したり置き換えたりする処理

232 ) POP Before SMTP
→ SMTPでメールを送信する前にPOPによる認証を行うことにより、一定時間SMTPでのメール送信も許可する手法

233 ) APOP
→ POPでは、認証の際にパスワードが平文のままネットワークに流れるため、パスワードをお暗号化させるPOP

234 ) SMTP-AUTH
→ SMTPに認証機能を持たせたプロトコル

235 ) OP25B
→ SMTPを介さない方法でスパムメール等を送られてくることを阻止するために、自分のプロバイダ以外のポート25をブロックするように設定する手法

236 ) UPS
→ 無停電電源装置。長時間の電力供給は難しい

237 ) BCP
→ 事業継続計画。自然災害等で被災しても企業を守るための経営戦略

238 ) 1の補数
→ 2進数で表現されたデータの各ビットを反転させて求める

239 ) 2の補数
→ 1の補数に1を加えて求める

240 ) 論理シフト
→ シフト演算のうち、シフトによって左端または右端にできた空きに0を詰める演算

241 ) 算術シフト
→ ビットの左端を符号ビットとして不合格長を行う演算。右側に空いたビットには0、左側に空いたビットには符号と同じ数字を詰める

242 ) JPEG
→ 静止画像の圧縮方式。非可逆圧縮

243 ) MPEG
→ 動画像の符号化方式。MPEG1、MPEG2、MPEG4

244 ) MPEG1
→ 転送速度が1.5Mビット/秒で、CD-ROMなどを対象とする

245 ) MPEG2
→ 転送速度が数M~数十Mビット/秒で、DVDなどを対象とする

246 ) MPEG4
→ 携帯や電話回線など比較的速度が速い回線で動画と音声を効率的に圧縮

247 ) MP3
→ MPEG1の音声部分の圧縮アルゴリズムのうちレイヤ3と呼ばれる圧縮化される音声ファイル

248 ) 論理積(AND)
→ AとBの真理値で、両方が真であれば真、それ以外は偽

249 ) 論理和(OR)
→ AとBの真理値で、いずれかが真であれば真、両方が偽であれば偽

250 ) 排他的論理和(XOR)
→ AとBの真理値で、両方が同じ値なら偽、違う値なら真

251 ) 否定(NOT)
→ Aという値が真なら偽、偽なら真

252 ) シリアルインターフェース
→ 1本の信号線で1ビットずつを順次送る直列データ転送方式

253 ) パラレルインターフェース
→ 複数の信号線を同時に複数ビットまとめて送る並列データ転送方式

254 ) CPU
→ 中央処理装置。各種装置の制御やデータの演算を行う

255 ) CPUの構成
→ 制御装置、演算装置、クロック、レジスタ群

256 ) 制御装置
→ "デコーダやレジスタを使用した制御を行う。PC(命令アドレスレジスタ)の内容を記憶装置へ送る⇒
IR(命令レジスタ)に格納⇒DEC(デコーダ)で解読して演算装置へ指示"

257 ) 演算装置
→ ALU(算術論理演算装置)とも呼ばれ、四則計算等の算術演算や論理演算、比較演算を行う

258 ) クロック
→ コンピュータ内の動作タイミングを取るためにパルス(クロック信号)を発生させる回路

259 ) レジスタ群
→ CPUに内蔵された小容量の記憶素子であるレジスタ群の集合体のこと

260 ) 記憶装置の順番
→ 高速かつ小容量順 レジスタ⇒キャッシュメモリ(SRAM)主記憶装置⇒(DRAM)⇒磁気ディスク⇒光ディスク⇒磁気テープ

261 ) 主記憶装置
→ CPUがプログラムを実行する際に直接利用する記憶装置(アドレス部、記憶部、制御部)

262 ) アドレス部
→ CPUから送られてきた命令アドレスレジスタの内容を解読する

263 ) 記憶部
→ 命令やデータを格納する

264 ) 制御部
→ 主記憶装置とCPUの間で様々な制御を行う

265 ) RAM(Random Access Memory)
→ 命令の実行により、自由にデータの読み書きを行えるが、電源を切ると記憶内容が失われる揮発性を持つ

266 ) SRAM(Static Random Access Memory)
→ リフレッシュを必要としないため、アクセス速度が速く、キャッシュメモリに使用される

267 ) DRAM(Dynamic Random Access Memory)
→ 数ミリ秒ごとにリフレッシュが必要で、SRAMと比較して低速だが低価格かつ大容量の特徴をもつので主記憶装置に利用される

268 ) ROM(Read Only Memory)
→ 電源を切っても記憶内容が保持される不揮発性を持つ

269 ) マスクROM
→ 読み取り専用メモリ

270 ) ユーザプログラマブルROM
→ 利用者側で内容を書き換えたり消去したりできる

271 ) 先読み法
→ あるデータに対するアクセスがあった際に、それに続くアドレスが利用される確率が高いと考え、キャッシュメモリに転送しておく方法

272 ) LRU法
→ キャッシュメモリ上の領域からデータを削除する際に、最も長い間使われていないデータから上書きしていく方法

273 ) メモリインタリーブ
→ 1つのメモリブロックを複数のバンクに分け、各バンクの読み取りのタイミングを少しずつずらして並列に処理する高速化の手法

274 ) 磁気ディスクの仕組み
→ アクセス単位の容量が大きい順に、シリンダ(円柱)、トラック(円)、セクタ(扇型)

275 ) デュアルシステム
→ システムの機器やソフトウェアなどを2系統用意して両方稼働させ、お互いの処理結果を比較することにより信頼性が上がるシステム

276 ) デュプレックスシステム
→ システムの機器やソフトウェアなどを2系統用意して、片方を現用系、もう片方を待機系とすることにより現用系が故障した時に備える

277 ) RASIS
→ Reliability(狭義の信頼性)、Availability(可用性)、Serviceability(保守性)、Integrity(完全性)、Security(機密性)

278 ) Reliability(狭義の信頼性)
→ システムがどのくらい長い間故障せずに稼働できるか。MTBF(平均故障間隔)で評価する。故障率=1/MTBF

279 ) Availability(可用性)
→ システムが必要な時、使用可能な状態かどうか。稼働率で評価する。稼働率=MTBF/(MTBF+MTTR)

280 ) Serviceability(保守性)
→ システムが故障した場合のの種の行いやすさ。MTTR(平均修理時間)で評価する。

281 ) Integrity(完全性)
→ システムが安全であるかどうかを表す指標

282 ) Security(機密性)
→ 論理的または物理的なアクセスが適切に保護されているかどうか

283 ) 直列構成の稼働率
→ 一つのシステムの稼働率をAとすると、A×A=A^

284 ) 並列構成の稼働率
→ 片方が稼働していると正常とみなすので、1から両方が故障している可能性を引く。1-(1-A)^=2A-A^

285 ) OSI基本参照モデル
→ 異なるネットワーク間で通信を行うためのプロトコル体系

286 ) アプリケーション層(第7層)
→ 通信相手とのサービスを規定している

287 ) プレゼンテーション層(第6層)
→ データの文字コードや圧縮、暗号化などの文字の使用形式を規定している

288 ) セッション層(第5層)
→ 通信相手とのデータ伝送手順を規定している

289 ) トランスポート層(第4層)
→ ネットワーク層で決められたルートにおける信頼性を規定している

290 ) ネットーワーク層(第3層)
→ 相手との通信においてその通信経路や中継方式を規定している

291 ) データリンク層(第2層)
→ ノード間でのデータ伝送制御を規定している

292 ) 物理層(第1層)
→ 電気的な条件や物理的な条件を規定している

293 ) SNMP(Simple Network Management Protocol)
→ IPネットワーク上でネットワーク機器の監視と制御を行うためのプロトコル


参考文献:らくらく突破情報セキュリティ検定試験
公式テキスト(1級・2級)
発行:株式会社技術評論社
スポンサーサイト

Comments


Trackbacks

情報セキュリティの勉強に当たり、様々な用語が出てくるので整理してみました。1 ) 情報セキュリティ →
プロフィール

AllyJapan

Author:AllyJapan
アクセスアップの手助けになれば幸いです。

月別アーカイブ
 
 
 
ブロとも申請フォーム
 
 
QRコード
QR
 

Archive RSS Login
上記広告は1ヶ月以上更新のないブログに表示されています。新しい記事を書くことで広告を消せます。