本ユニットでは、情報セキュリティを脅かす脆弱性のうち「技術的」なものと「物理的」なものを学びます。プログラムの誤りであるバグと、それが生む攻撃可能な穴=セキュリティホール、そして災害・破壊・妨害行為といった物理的脅威を整理します。脆弱性は各種攻撃の入口となるため、頻出のテーマです。
設計やコーディングの誤りによりプログラムに生じる不具合・欠陥。
バグとは、プログラムを作る際の設計ミスやコーディングの誤りによって生じる不具合のことです。意図したとおりに動かない、計算結果が間違う、特定の操作で異常終了するといった形で現れます。 バグ自体は本来「動作の誤り」ですが、その中にはセキュリティ上の弱点(セキュリティホール)につながるものがあります。試験では、バグが技術的な脆弱性の出発点であり、これを修正するプログラムが修正プログラム(パッチ)であるという関係を押さえておくとよいでしょう。
たとえ料理のレシピに書き間違いがあり、塩と砂糖を取り違えるようなもの。手順書(プログラム)の誤りが、できあがり(動作)をおかしくしてしまいます。
記憶フックバグといえばプログラムに潜む誤り・欠陥
プログラムの欠陥が原因で生じる、攻撃に悪用されうる安全上の穴。
セキュリティホールとは、バグや設計上の不備によって生じた、不正アクセスやウイルス感染などに悪用されうるセキュリティ上の弱点(穴)のことです。攻撃者はこの穴を突いて、本来できないはずの操作や情報の取得を行います。 この単元で最も出題されやすい用語で、Web攻撃やゼロデイ攻撃など後続の各種攻撃が狙う「入口」になります。対策は、セキュリティホールを修正する修正プログラム(セキュリティパッチ)を速やかに適用し、ソフトウェアを最新の状態に保つことです。バグが原因、セキュリティホールがその結果として生じる穴、という因果関係が問われます。
たとえ家の塀にできた小さな壊れ目のようなもの。普段は気づかなくても、泥棒(攻撃者)はその穴を見つけて侵入の入口に使います。早めにふさぐ(パッチ)ことが大切です。
記憶フックセキュリティホールといえばバグが生む攻撃の入口
地震・火災・水害などにより情報システムへ被害を与える脅威。
災害とは、地震・火災・落雷・台風・洪水などの自然現象や事故によって、コンピュータや通信設備、データが損なわれる脅威です。技術的な弱点とは異なり、環境・物理的な原因で脆弱性が顕在化する点が特徴です。 対策には、データのバックアップを遠隔地に保管する、設備を耐震・防火構造にする、無停電電源装置(UPS)や自家発電を備える、被災時の復旧手順をまとめた事業継続計画(BCP)を用意するなどがあります。試験では、災害が物理的脅威の代表例であり、バックアップや遠隔地保管が有効な対策である点が問われます。
たとえ大切な書類を一か所の倉庫だけに置いておくと、火事や洪水で一度に失います。コピーを別の場所にも保管しておく備えが、災害への対策にあたります。
記憶フック災害といえば地震・火災など環境起因の物理的脅威
機器やデータを物理的・意図的に壊し損なわせる行為や被害。
破壊とは、コンピュータ機器や記録媒体、データなどが壊され、使えなくなる被害のことです。地震などの災害による偶発的な損壊だけでなく、人による意図的な破壊行為(器物損壊やデータの消去・改ざんを伴う破壊)も含まれます。 可用性(必要なときに使える状態)を直接損なう脅威であり、対策にはバックアップの確保、機器の施錠管理や入退室管理といった物理的セキュリティが挙げられます。試験では、破壊が物理的脅威の一つであり、災害や妨害行為と並ぶ被害形態として扱われる点を押さえておきましょう。
たとえ店のショーケースを叩き割られて商品が使い物にならなくなるようなもの。中身(データ)だけでなく入れ物(機器)そのものが損なわれ、業務が止まってしまいます。
記憶フック破壊といえば機器やデータを壊す物理的被害
意図的にシステムや業務の正常な動作を妨げる行為。
妨害行為とは、攻撃者が意図的に情報システムや業務の正常な稼働を妨げる行為のことです。物理的なものでは設備への侵入や電源・通信の遮断、ネットワーク上のものでは大量のアクセスを送りつけてサービスを停止させるDoS攻撃などがあります。 災害や破壊が「壊す」方向の脅威であるのに対し、妨害行為は「正常に動かさせない」点に主眼があり、可用性を脅かします。試験では、人による意図的な脅威の一つとして、入退室管理やアクセス制御などの対策と結びつけて理解しておくとよいでしょう。
たとえ店の入口に大勢で押しかけて通路をふさぎ、本当の客が入れないようにするようなもの。建物を壊すわけではないのに、営業(サービス)を止めてしまいます。
記憶フック妨害行為といえば正常な稼働を意図的に妨げる行為
関連の過去問演習は今後のアップデートで追加予定です。