セキュリティ用語ドリル

この回の用語 50語

脆弱性

攻撃に悪用されうるソフトの欠陥

CVE

脆弱性1件ごとの世界共通の番号

CVSS

深刻さを0〜10点で表す採点。9.0以上が緊急

リモートコード実行（RCE）

外から相手のサーバーでプログラムを動かせること

ゼロデイ

修正版がまだ無い脆弱性。更新では防げない

協調的な脆弱性開示

修正がそろうまで中身を伏せ、日時だけ予告する作法

パッチ

穴をふさぐプログラムの修正

バックポート

新しい修正を古い版へ移すこと

緩和策

更新までのつなぎ。穴そのものはふさがない

KEVカタログ

実際に悪用が確認された脆弱性の一覧（米国CISA）

不正アクセス

権限のない人がシステムに入り込むこと

情報漏えい

預かった情報が意図せず外部に渡ること

なりすましメール

実在の会社や人を装った偽のメール

2段階認証

パスワードに加えて別の確認を求める仕組み

パスワードの再利用

1か所の漏えいが別のサービスに広がる原因

フィッシング

偽のサイトやメールで入力させて盗む手口

マルウェア

悪意をもって作られたソフトの総称

セッション窃取

ログイン済みの状態を盗まれること。2段階認証も素通り

ランサム

身代金。データを人質にお金を要求する攻撃

パスキー

端末の鍵と顔・指紋でログイン。偽サイトに強い

エンドツーエンド暗号化

送り手と受け手だけが読める暗号化

生体認証

指紋や顔で本人を確かめること。暗号化とは別

サプライチェーン攻撃

使っているソフトや取引先を経由して入る攻撃

脆弱性診断

攻撃される前に弱点を洗い出す点検

サポート終了

修理や更新が止まり、穴が直されなくなること

ボットネット

乗っ取った多数の機器をまとめて操る網

認可

ログインした人に何を見せ、何をさせるかを決める仕組み（認証とは別）

秘密鍵

知られると暗号資産を動かされる、持ち主だけの鍵

共有リンク

URLを知っていれば見られることが多いリンク

認証情報

ID・パスワード・APIキーなど、正規の利用者の証

能動的サイバー防御

国が攻撃の兆しをつかみ、先回りして防ぐ取り組み

耐量子化

量子コンピューターでも解きにくい暗号への備え

二次被害

漏れた情報を使った詐欺など、後に続く被害

別経路での本人確認

メール以外の手段で相手に確かめること

セッションの失効

ログイン済みの状態を無効にし、締め出すこと

設定ミス

欠陥がなくても、設定の誤りで事故になる

内部不正

社員や元社員など、内側の人による不正

特権

システム全体を動かせる管理者の権限

侵入テスト

許可を得て、攻撃者の手口で入れるか試す検査

レッドチーム

攻撃者の役で守りの穴を探すチーム

見舞金

事故の補償。案内を装う詐欺メールに注意

スパイウェア

気づかれずに情報を盗み見るソフト

CERT

事故の情報を集め、対応を呼びかける組織

脅威情報レポート

攻撃者の手口や悪用の実態をまとめた報告

DNSフィルタリング

危険な接続先をドメイン名の段階で止める仕組み

踏み台

他人の機器を経由して別の相手を攻撃すること

侵入済みとみなす

破られる前提で、内側も信用しない考え方

野良ソフト

出どころの確かでないソフト

セキュリティコード

カードの3〜4桁の確認用の番号

鍵の変更

秘密の値を新しくし、古いものを無効にすること