脆弱性とは？

脆弱性の意味

システムや組織の管理体制に存在する弱点で、脅威につけ込まれることでセキュリティ被害を引き起こす原因となるもの。ソフトウェアのバグだけでなく、規程の不備や教育不足も含まれる。

脆弱性の具体例

OSの未修正の欠陥、施錠されていないサーバ室、パスワードを付箋に書く習慣は、いずれも脆弱性にあたる。

脆弱性は試験でどう引っ掛けられる？

「脅威×脆弱性＝リスク」という関係で問われることが多く、脆弱性が無くても脅威が存在すればリスクがゼロになるとは限らない点に注意。

脆弱性と関連する用語

• 脅威・脆弱性・リスクの関係
• CVE
• ゼロデイ攻撃

脆弱性が出た過去問

• エクスプロイトコードの説明はどれか。

  正解：攻撃コードとも呼ばれ、ソフトウェアの脆弱性を悪用するコードのことであり、使い方によっては脆弱性の検証に役立つこともある。

  要点：エクスプロイトコードは脆弱性を突く攻撃・実証コード

  エクスプロイトコードは、ソフトウェアの脆弱性を突いて意図しない動作を起こさせる実証用・攻撃用のコードである。攻撃に使われる一方で、脆弱性が本当に悪用可能かを検証したり対策の効果を確かめたりする目的にも用いられる。よってアが正しい。

  出典：令和2年度 10月 データベーススペシャリスト試験 am2 問19（IPA）

• 情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。

  正解：ソフトウェアやハードウェアの脆弱性を検査又は攻撃するために作成されたプログラム

  要点：エクスプロイトコードは脆弱性を突く検査・攻撃用プログラム

  エクスプロイトコードは、ソフトウェアやハードウェアの脆弱性を突いて意図しない動作を起こさせるために作られたプログラムである。攻撃に使われる一方で、脆弱性が実際に悪用可能かを検査する目的でも用いられる。よってエが該当する。

  出典：令和5年度 秋期 データベーススペシャリスト試験 am2 問21（IPA）