セキュリティ・認証– category –

WAF（Web Application Firewall）は、HTTPやHTTPSの通信を解釈し、Webアプリケーション特有の攻撃パターン（SQLインジェクション、XSS、SSRF、ファイル取り込みなど）をリクエスト単位で検査・遮断するセキュリティ機器・サービスの総称です。オープンソー...

ゼロデイ（zero-day、0-day）とは、ベンダーやコミュニティが公式パッチを提供する前の未公開脆弱性、またはそれを悪用する攻撃を指します。「対応に使える日数がゼロ」という意味合いから生まれた呼称で、イランの核施設を狙ったStuxnet（2010年公開）、C...

SSRF（Server-Side Request Forgery、サーバサイドリクエストフォージェリ）は、Webアプリケーションが「ユーザーから渡されたURLにサーバ側からアクセスする」処理を持つときに、そのURLを攻撃者が操作し、本来外部からは届かないはずの内部ネットワーク...

中間者攻撃（Man-in-the-Middle、MITM）は、通信を行う2者の間に攻撃者が密かに割り込み、やり取りされる内容を盗み見たり、書き換えたりする攻撃の総称です。公開鍵暗号方式の研究黎明期から議論されてきた古典的脅威で、ホテルや空港のオープンWi-Fi、AR...

DDoS（Distributed Denial of Service、分散型サービス妨害）攻撃は、世界中の多数の感染端末やレンタルサーバから一斉に大量の通信を浴びせ、標的のWebサイト・API・ネットワークをサービス継続不能に追い込む攻撃です。1996年9月、ニューヨークの老舗ISP...

フィッシング（phishing）は、銀行・通販・SNS・社内システムなど正規サービスの見た目を模したメールやWebサイトで利用者を欺き、ID・パスワード・クレジットカード番号・ワンタイムコードといった認証情報を入力させて盗み取るオンライン詐欺の総称です...

ランサムウェアは、感染した端末やサーバ上のファイルを暗号化し、復号鍵と引き換えに暗号資産での身代金（ransom）支払いを要求する悪意あるソフトウェアの総称です。1989年にJoseph L. Popp博士が配布したフロッピーディスク「AIDS Trojan」が世界初の事...

SQLインジェクションは、Webフォームやクエリ文字列に入力された文字列が、そのままサーバ側のSQL文に連結されてしまう実装の隙を突き、攻撃者が任意のSQL文をデータベースに実行させてしまう脆弱性です。1998年にハッカー雑誌Phrack誌54号の論考「NT Web ...

CSRF（Cross-Site Request Forgery、クロスサイトリクエストフォージェリ）は、標的のWebサイトに既にログイン済みの利用者を、別の罠サイトから誘導し、本人が意図しない送金・設定変更・退会といった操作を実行させる攻撃です。2001年にネットワーク技術...

XSS（Cross-Site Scripting、クロスサイトスクリプティング）は、攻撃者が用意したJavaScriptコードを、被害者がアクセスする正規Webサイトの応答に紛れ込ませ、そのサイトを開いた利用者のブラウザ上で実行させる脆弱性です。1990年代後半にマイクロソフ...