情報セキュリティの3要素を脅かすリスクのひとつ、技術的脅威について学びましょう!技術的脅威、セキュリティホールを狙った不正アクセスやコンピューターウィルスによるデータ破壊・盗聴・改ざんについて、ITパスポートによく取り上げられる内容を学びます。クロスサイトスクリプティングユーザーが悪意あるWebサイトを閲覧したときに、悪意あるスクリプトが効果を発揮し被害にあわせる仕組みのことです。脅かされる情報セキュリティの要素は、完全性です。悪意あるWebサイトに入り込んでしまう経路としては、yahoo知恵袋や2ちゃんねる等の掲示板サイトや、迷惑メールなどを経由したURLが大半を占めています。アンケートサイトなど、ユーザからの入力内容をウェブページに表示するウェブサイトで、きちんとセキュリティ対策がされていない場合は悪意を持ったスクリプト(命令)を埋め込まれてしまい、偽ページの表示などが可能になってしまいます。メールでのフィッシング、スパムも同様の手口に該当します。クロスサイトスクリプティングの被害の流れユーザが掲示板やメールに貼られた悪意あるWebサイトを閲覧したときに,出力されるWebページに悪意あるスクリプトが埋め込まれており,この時点では効果を発揮せずに標的Webサイトへ転送されてしまいます。脆弱性のあるWebサイトに飛んでしまうことで、悪意あるスクリプトが効果を発揮し、ユーザーやWebサイトの運営者が被害にあってしまうという仕組みです。クロスサイトスクリプティングとは、この一連の流れ・トラップへのかかり方のことを指します。セッションハイジャックセッションハイジャックとは、セッションをログインID・パスワードを持っている当事者以外が乗っ取る攻撃手法のことです。(セッションについては、キャッシュとクッキーの回で紹介しました。)乗っ取るとは、他人のセッションIDを予測・盗聴したりして、なりすますことを指します。クロスサイトスクリプティングを利用して、クッキー情報を盗聴し、セッションハイジャックを行うケースも指します。セッションハイジャックによる具体的な被害は、ECサイトでの不正な購入取引や、気密情報の漏洩、SNSサイトでのなりすまし投稿などが該当します。ハイジャックされているときは気づかないことが多く、情報セキュリティの3要素のうち、完全性と機密性が脅かされる被害となっています。略で、Denialとは否定という意味です。具体的にはトラフィックを増やして、負荷に耐えられなくなったサーバやサイトをダウンさせる攻撃のことで、目的はWEBサービスの運用者を困らせるための嫌がらせです。複数の種類があります。distributeは分散するという意味を指し、攻撃元を分散し、複数人で攻撃することを意味しています。WEBサイト運営者の経済的な面に攻撃を与えるという意味になります。サーバーのトラフィックごとに料金が発生する際に、課金額を増額させ、WEBサイト運営者に損をさせるものです。サーバーをダウンさせ、サービスまで止めてしまうという嫌がらせになります。Language、データベースから情報を取り出すときに使われる言語です。ログインが生じるwebサービスでは、IDとパスワードはデータベース上で管理されていますが、SQLインジェクションは、ログイン操作時にSQLの構造・脆弱性を狙って、データベースに対する命令文の改ざんをおこない、意図しない操作を行うことです。具体的には、データの盗難・改ざんだけでなく、ログイン認証の回避、ファイル操作等も行われます。1=1」で検索すると、構造まで知ることができますよ。マルウェアマルウェアとは、不正かつ有害に動作させる意図で作成された悪意のあるソフトウェアや悪質なコードの総称です。ウイルスウイルスとは、プログラムやソフトウェアに寄生し、コンピューターに入り込んで悪さをするプログラムのことです。ウイルスにはいろんな種類がありますが、代表的なランサムウェアはITパスポートによく出ます。ランサムとは身代金のことで、「このウイルスを解除して欲しかったら、お金を払え!」というウイルスの特性を付いた悪意あるソフトウェアになっています。ワームワームは自己増殖し、ウイルスのようにソフトウェアに寄生せず単独で存在し、情報を盗難したり、端末を遠隔操作するなどの被害をユーザーに与えます。ワームが侵入してくる主な経路としては、ネットワークを介してIPアドレスをランダム生成し、そこから侵入してきたり、メールや共有ドライブ・USBなども一般的な侵入経路になっています。トロイの木馬トロイの木馬は自己増殖せずに、単体でソフトウェアのように存在します。見かけ上は良いソフトとして存在しますが、感染先に長く滞在し情報を取得することを重視しています。悪意のないソフトウェアが、DLした直後に悪意ある振る舞いをするのです。有名なソフトウェアとしては、mackeeperが挙げられます。macPCのセキュリティソフトの振る舞いをし、過剰な警告を促して不安感を煽り、課金させるなどの悪さをします。卒業後、株式会社リクルート新卒入社。2019年にYouTubeで「ITすきま教室」をはじめる。企業研修や情報授業、イベント司会まで講師・講演を依頼してみませんか?ITすきま教室では講師や講演のご依頼もお受けしております。YouTube好評運用中!解説が分かりやすいと沢山の方からご好評をいただいており、IT資格勉強コンテンツで日本トップの登録者数を集めています。