ぜいじゃく‐せい【×脆弱性】
読み方：ぜいじゃくせい
２ コンピューターネットワークにおける安全上の欠陥。オペレーティングシステムやアプリケーションソフトのバグ、開発者が予期しなかった利用方法などにより、悪意のある第三者によってコンピューターウイルスに感染させられたり、不正アクセスの被害にあったりするおそれがあること。
脆弱性
別名：バルネラビリティ
【英】vulnerability
脆弱性とは、コンピュータやネットワークのセキュリティに関する用語で、第三者によってシステムへの侵入や乗っ取りといった不正な行為が行われる際に利用される可能性がある、システムの欠陥や問題点のことである。
脆弱性はバルネラビリティ（vulnerability）とも呼ばれ、「攻撃されやすいこと」「攻撃誘発性」などと訳される場合もある。脆弱性の多くは、プログラミングのバグや、開発段階で想定されていなかった操作への仕様上の未対処などを原因としており、多くの場合はパッチと呼ばれる修正プログラムを追加することによって改善される。
システムの脆弱性へ対する攻撃手法の代表的なものとしては、不正アクセスによってサーバーが確保したメモリ領域を超過させてしまうバッファオーバーフロー攻撃や、他のWebサイトにスクリプトコードを読み込ませて不正な動作を行わせるクロスサイトスクリプティングなどがある。
| セキュリティ： | リバースエンジニアリング リダイレクトサイト ルートキット 脆弱性 セキュリティベンダー セキュリティホール セキュアブート |
脆弱性
出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2024/10/06 03:16 UTC 版)
脆弱性（ぜいじゃくせい、英: vulnerability）とは、情報セキュリティ・サイバーセキュリティの用語で、コンピュータに存在する情報セキュリティ上の欠陥をいう。セキュリティホールとも呼ばれる[1]。
ISO 27000における定義
ISO 27000およびそれと同等なJIS Q 27000（ISMSの用語を規定）では脆弱性を
一つ以上の脅威によって付け込まれる可能性のある資産または管理策の弱点[2]
とより厳密に定義している。
ここで
- 脅威（threat）とは「システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因」[3]
- （情報セキュリティ）インシデントとは「望まない単独若しくは一連の情報セキュリティ事象，又は予期しない単独若しくは一連の情報セキュリティ事象であって，事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの」[4]
- 管理策(control)とは「リスクを修正する対策」[5]
- リスクとは「目的に対する不確かさの影響」[6]
CAPECにおける脆弱性の分類
Mitre社のCAPECでは攻撃パターンによって脆弱性をツリー状に分類しており、その最上位の分類は以下のものである[7]：
| 分類 | 分類（邦訳） | 概要 |
|---|---|---|
| Engage in Deceptive Interactions[7] | 欺いたやりとりに従事する | 「標的を欺き、他の主体ととやりとりしているように見せかける為、標的と不正なやりとりを行う」攻撃パターン[8] |
| Abuse Existing Functionality[7] | 既存の機能を悪用する | 「悪事を達成する為、もしくは標的となる機能が影響を受けるほどにリソースを枯渇させる為、アプリケーションの１つ以上の機能を使ったり操ったり」[9]する攻撃パターン |
| Manipulate Data Structures[7] | データ構造を操る | 「システムのデータ構造の本来意図された使用方法や防御機構に違反するために、そのデータ構造の特徴を操ったり悪用したりする」[10]攻撃パターン |
| Manipulate System Resources[7] | システムリソースを操る | 「攻撃者が望む結果を得るために、１つ以上のリソースを操る」[11]攻撃パターン |
| Inject Unexpected Items[7] | 予想外のものを挿入する | 「入力インターフェースから細工されたデータを挿入するか、あるいはターゲットのシステムに悪意のあるコードをインストールして実行するかして、標的の行動をコントロールするか邪魔するかする」[12]攻撃パターン |
| Employ Probabilistic Techniques[7] | 確率的手法を採用する | 「標的を欺き、他の主体ととやりとりしているように見せかける為、標的と不正なやりとりを行う」攻撃パターン[8] |
| Manipulate Timing and State[7] | タイミングや状態を操作する | 「標的のコードやプロセスの実行フローの防御を回避した行動を取るために、関数の状態や呼び出しタイミングの弱点を利用する」[13]攻撃パターン |
| Collect and Analyze Information[7] | 情報を収集し、分析する | 「情報の収集と窃取に関する」[14]攻撃パターン |
| Subvert Access Control[7] | アクセスコントロールの破壊 | 「識別、認証、およびリソースへのアクセスや機能認可の管理に用いているメカニズムの弱点、制限、ないし仮定を能動的に悪用する」[15]攻撃パターン |
脚注
出典
- ^ “脆弱性（ぜいじゃくせい）とは？｜どんな危険があるの？｜基礎知識｜国民のための情報セキュリティサイト”. www.soumu.go.jp. 2022年8月8日閲覧。
- ^ JIS Q 27000:2014 箇条 2.89。
- ^ JIS Q 13335-1 箇条 2.25、JIS Q 27000:2014 箇条 2.83。
- ^ JIS Q 27000:2014 箇条 2.36
- ^ JIS Q 27000:2014 箇条 2.16。
- ^ JIS Q 31000:2010 箇条 2.1、JIS Q 27000:2014 箇条 2.68。
- ^ a b c d e f g h i j “CAPEC-1000: Mechanisms of Attack”. 2018年11月30日閲覧。
- ^ a b “CAPEC-156: Engage in Deceptive Interactions”. 2018年11月30日閲覧。
- ^ “CAPEC-210: Abuse Existing Functionality”. 2018年11月30日閲覧。
- ^ “CAPEC-255: Manipulate Data Structures”. 2018年11月30日閲覧。
- ^ “CAPEC-262: Manipulate System Resources”. 2018年11月30日閲覧。
- ^ “CAPEC-152: Inject Unexpected Items”. 2018年11月30日閲覧。
- ^ “CAPEC-172: Manipulate Timing and State”. 2018年12月3日閲覧。
- ^ “CAPEC-118: Collect and Analyze Information”. 2018年12月3日閲覧。
- ^ “CAPEC-225: Subvert Access Control”. 2018年12月3日閲覧。
関連項目
外部リンク
- ISMS関連のISO/IECとJIS
- “JIS検索”. 日本工業標準調査会 JISC（Japanese Industrial Standards Committee）. 2016年8月10日閲覧。 JIS本文を閲覧可能
- “CAPEC Common Attack Pattern Enumeration and Classification. A Common Resource for Identifying and Understanding Attacks”. Mitre. 2018年12月3日閲覧。
- “Welcome To The Web Application Security Consortium Project page”. 2018年12月10日閲覧。
- “WASC THREAD CLASSIFICATION version 2.0.0” (PDF). 2018年12月10日閲覧。
- “Web Security Consortium: 脅威の分類 version 1.0.0” (PDF). 2018年12月10日閲覧。
 | この項目は、コンピュータに関連した書きかけの項目です。この項目を加筆・訂正などしてくださる協力者を求めています（PJ:コンピュータ/P:コンピュータ）。 |
脆弱性
出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2018/05/06 07:41 UTC 版)
ケースレス弾薬は、薬莢本体が主に発射薬から成るという要因によって制限を受け、また構造の特性は燃焼の特性に従属する。主な問題の一つは抜弾である。ケースレス弾薬は空薬莢を抜き出すという必要性を根絶した一方で、不発の弾を除去する場合であれ、銃器から抜弾するのであれ、発射しない弾薬は取り去られねばならない。金属製薬莢の場合、リムや薬莢の後端部分に作られた抽筒用の溝によってこの機能が与えられる。「Activ」ブランドの散弾銃実包のような、完全にプラスチック化された薬莢であっても、薄い金属製のリングがリム部分に埋め込まれて排莢の補助を担っている。
※この「脆弱性」の解説は、「ケースレス弾薬」の解説の一部です。
「脆弱性」を含む「ケースレス弾薬」の記事については、「ケースレス弾薬」の概要を参照ください。
脆弱性
「脆弱性」の例文・使い方・用例・文例
- 脆弱性のページへのリンク
