脆弱性とは？

脆弱性の意味

システムや組織の管理体制に存在する弱点で、脅威につけ込まれることでセキュリティ被害を引き起こす原因となるもの。ソフトウェアのバグだけでなく、規程の不備や教育不足も含まれる。

脆弱性の具体例

OSの未修正の欠陥、施錠されていないサーバ室、パスワードを付箋に書く習慣は、いずれも脆弱性にあたる。

脆弱性は試験でどう引っ掛けられる？

「脅威×脆弱性＝リスク」という関係で問われることが多く、脆弱性が無くても脅威が存在すればリスクがゼロになるとは限らない点に注意。

脆弱性と関連する用語

• 脅威
• CVE
• ゼロデイ攻撃

脆弱性が出た過去問

• JVN（Japan Vulnerability Notes）はどれか。

  正解：脆弱性対策情報などを提供するポータルサイト

  要点：JVNは脆弱性対策情報を公開する国内ポータルサイト

  JVNはJPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイトで、届出のあった脆弱性とその対策情報を「JVN#」や「JVNVU#」といった番号を付けて公開している。利用者は製品名から自分に関係する脆弱性を検索し、対策の適用状況を判断できる。脆弱性そのものの識別子であるCVEや、深刻度の評価手法であるCVSSとは役割が異なる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問4（IPA）

• クロスサイトスクリプティングの手口はどれか。

  正解：Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。

  要点：XSSは他人のブラウザで悪意のスクリプトを実行させる

  クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。これによりCookieの窃取や偽の入力画面の表示が可能になる。対策は、出力時に「<」などをエスケープするサニタイジングであり、入力を信用せず出力の文脈に応じて無害化することが要点である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）

• スクリプトキディの典型的な行為に該当するものはどれか。

  正解：技術不足なので新しい攻撃手法を考え出すことはできないが、公開された方法に従って不正アクセスを行う。

  要点：スクリプトキディは公開ツールをなぞって攻撃する者

  スクリプトキディとは、自ら攻撃手法を編み出す技術力はないものの、インターネット上で公開されている攻撃ツールや手順書をそのまま使って不正アクセスを試みる者を指す。技術力が低くても既製のツールで実害を出せてしまうのが問題で、既知の脆弱性の修正パッチを適用しておくだけでも大半は防げる。人をだます手口であるソーシャルエンジニアリングとは区別する。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問24（IPA）

• クライアントとWebサーバの間において、クライアントからWebサーバに送信されたデータを検査して、SQLインジェクションなどの攻撃を遮断するためのものはどれか。

  正解：WAF

  要点：WAFはHTTPの中身を検査してWebアプリへの攻撃を遮断する

  WAF（Web Application Firewall）は、HTTPリクエストの中身を解析し、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を突く攻撃パターンを検出して遮断する。通常のファイアウォールが見ないアプリケーション層のデータを検査する点が特徴である。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問13（IPA）

• PCで行うマルウェア対策のうち、適切なものはどれか。

  正解：PCの脆弱性を突いたウイルス感染が起きないように、OS及びアプリケーションの修正パッチを適切に適用する。

  要点：マルウェア対策の基本はOSとアプリの修正パッチ適用

  多くのマルウェアはOSやアプリケーションの既知の脆弱性を悪用して侵入する。したがって修正パッチを速やかに適用し、悪用可能な穴を残さないことが基本かつ効果の高い対策となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問14（IPA）