脆弱性
（脆弱から転送）
脆弱性（ぜいじゃくせい、英: vulnerability）とは、情報セキュリティ・サイバーセキュリティの用語で、コンピュータに存在する情報セキュリティ上の欠陥をいう。セキュリティホールとも呼ばれる[1]。
ISO 27000における定義
ISO 27000およびそれと同等なJIS Q 27000（ISMSの用語を規定）では脆弱性を
一つ以上の脅威によって付け込まれる可能性のある資産または管理策の弱点[2]
とより厳密に定義している。
ここで
CAPECにおける脆弱性の分類
Mitre社のCAPECでは攻撃パターンによって脆弱性をツリー状に分類しており、その最上位の分類は以下のものである[7]：
| 分類 | 分類（邦訳） | 概要 |
|---|---|---|
| Engage in Deceptive Interactions[7] | 欺いたやりとりに従事する | 「標的を欺き、他の主体ととやりとりしているように見せかける為、標的と不正なやりとりを行う」攻撃パターン[8] |
| Abuse Existing Functionality[7] | 既存の機能を悪用する | 「悪事を達成する為、もしくは標的となる機能が影響を受けるほどにリソースを枯渇させる為、アプリケーションの１つ以上の機能を使ったり操ったり」[9]する攻撃パターン |
| Manipulate Data Structures[7] | データ構造を操る | 「システムのデータ構造の本来意図された使用方法や防御機構に違反するために、そのデータ構造の特徴を操ったり悪用したりする」[10]攻撃パターン |
| Manipulate System Resources[7] | システムリソースを操る | 「攻撃者が望む結果を得るために、１つ以上のリソースを操る」[11]攻撃パターン |
| Inject Unexpected Items[7] | 予想外のものを挿入する | 「入力インターフェースから細工されたデータを挿入するか、あるいはターゲットのシステムに悪意のあるコードをインストールして実行するかして、標的の行動をコントロールするか邪魔するかする」[12]攻撃パターン |
| Employ Probabilistic Techniques[7] | 確率的手法を採用する | 「標的を欺き、他の主体ととやりとりしているように見せかける為、標的と不正なやりとりを行う」攻撃パターン[8] |
| Manipulate Timing and State[7] | タイミングや状態を操作する | 「標的のコードやプロセスの実行フローの防御を回避した行動を取るために、関数の状態や呼び出しタイミングの弱点を利用する」[13]攻撃パターン |
| Collect and Analyze Information[7] | 情報を収集し、分析する | 「情報の収集と窃取に関する」[14]攻撃パターン |
| Subvert Access Control[7] | アクセスコントロールの破壊 | 「識別、認証、およびリソースへのアクセスや機能認可の管理に用いているメカニズムの弱点、制限、ないし仮定を能動的に悪用する」[15]攻撃パターン |
脚注
出典
関連項目
外部リンク
- ISMS関連のISO/IECとJIS
- “JIS検索”. 日本工業標準調査会 JISC（Japanese Industrial Standards Committee）. 2016年8月10日閲覧。 JIS本文を閲覧可能
- “CAPEC Common Attack Pattern Enumeration and Classification. A Common Resource for Identifying and Understanding Attacks”. Mitre. 2018年12月3日閲覧。
- “Welcome To The Web Application Security Consortium Project page”. 2018年12月10日閲覧。
- “WASC THREAD CLASSIFICATION version 2.0.0” (PDF). 2018年12月10日閲覧。
- “Web Security Consortium: 脅威の分類 version 1.0.0” (PDF). 2018年12月10日閲覧。