情報セキュリティの用語
今回は、基本情報技術者で出てくる用語についてまとめました。
◾︎パスワードリスト攻撃
インターネット上で提供されているサービスに不正にログインするための攻撃手法のひとつです。
なんらかの方法で入手したIDとパスワードの組み合わせで不正にログインします。
この攻撃の怖いところ不正流出したサービスからとは限らないところです。
正規のユーザーが複数のサービスで同じIDとパスワードの組み合わせを使っていた場合、不正にログインすることができてしまいます。
引用元:パスワードリスト攻撃とは？
https://www.ntt.com/bizon/glossary/j-h/passlist-attack.html
◾︎ブルートフォース攻撃
ブルートフォース攻撃（ブルートフォースアタック）とは、「総当たり攻撃」とも呼ばれるサイバー攻撃の手法の一種です。
パスワードを破るために、ありとあらゆる文字列を機械的に試行して正解のパスワードを探し出すサイバー攻撃手法となります。
パスワード設定が甘いユーザーは特に要注意です。
ブルートフォース攻撃による被害としては、下記があります。
・サービスやアカウントの乗っ取り
・情報漏洩
・クレジットカードの不正利用や預金の不正送金
・ほかの不正アクセスの誘発
ブルートフォース攻撃を防ぐには、次のような方法が考えられます。
・パスワードの桁数を増やす
・使われる文字の種類を増やす
・ワンタイムパスワードを併用する
・パスワードの試行回数を制限する
などになります。
引用元
https://www.lanscope.jp/blogs/cyber_attack_pfs_blog/20230804_32684/
◾︎リバースブルートフォース攻撃
リバースブルートフォース攻撃では、よく使われそうなパスワードを固定で入力しておき、IDのパターンを総当たりで入力するという特徴があります。
例えば「0123」や「password」などの文字列は誰でも思いつきやすく、比較的よく使用される「単純なパスワード」例のひとつです。リバースブルートフォース攻撃では、こういった安易なパスワードを固定で入力し、IDを総当たりで順番に試行して、突破することを目指します。
また、リバースブルートフォース攻撃は、ランダムなアカウントの認証を突破したい場合に使用される攻撃手法です。IDが判明している状態でパスワードを推測するのではなく、IDもパスワードも分からない状態で、ID・パスワードそれぞれの情報を類推し、突破するために使われます。
◾︎ドライブバイダウンロード
ドライブバイダウンロードとは、ユーザーがWebサイトを閲覧した際に、ユーザーの同意を得ずにマルウェアが自動的にダウンロード・インストールされるサイバー攻撃です。
ドライブバイダウンロードの仕組みは次のとおりです。
・攻撃者が正規のWebサイトの管理者権限を盗み、サイトを改ざんする
・改ざんされたWebサイトにユーザーがアクセスする
・ユーザーの端末のOSやWebブラウザー、アプリケーションなどの脆弱性を突いて、マルウェアがダウンロード・インストールされる
ドライブバイダウンロード攻撃を受けると、不正アクセスを引き起こします。そのため、情報漏洩や乗っ取りによるデータ改ざん・破壊などの被害にあう可能性があるのです。
情報漏洩が起これば顧客や取引先からの信用は失墜します。また、データ改ざんや破壊などがおこなわれれば、業務の遂行や顧客対応などに大きな支障をきたすでしょう。企業のセキュリティ体制にも疑問が残る状態となり、信頼問題にも発展しかねません。
企業や組織・団体として一度悪いイメージがついてしまえば、信頼を取り戻すのは容易ではありません。いままでと同じような運営ができなくなり、事業拡大などが望めなくなる可能性もあるでしょう。
引用元
https://www.gmo.jp/security/cybersecurity/penetration-testing/blog/drive-by-download-attack/
◾︎SQLインジェクション攻撃
SQLインジェクションとは、Webアプリケーションの脆弱性を意図的に利用し、断片的なSQL文をアプリケーションに不正に注入（インジェクション）し実行させる攻撃手法です。SQLインジェクションによってデータベースに保存されたデータが、不正に読み取られたり改ざんや削除されたりします。
◾︎ディレクトリトラバーサル攻撃
ディレクトリトラバーサルとは、不正なパラメータを入力することでサーバー上のファイルへ不正アクセスできるという脆弱性です。この脆弱性を悪用した攻撃では情報漏洩や不正改ざんなどの重大な被害を生むリスクがあるので注意が必要です。
ディレクトリトラバーサル攻撃の手口とは
攻撃者は、機密情報が含まれたファイルの位置を相対パスで指定して、非公開ファイルへのアクセスを試みます。
例えば、あるWebサーバーでは、「companies」フォルダに各企業の情報が書き込まれたファイル（ファイル名は企業コードと一致）を保存しているとします。また「etc」フォルダには、企業のパスワード情報が書き込まれたpasswdファイルが保存されています。
ユーザーが自社の企業コード「0012」を入力すると、その企業コードと同じ名前の0012ファイルを表示するプログラムが記述されています。
脆弱性が放置されていたり適切な処理が行われていない状況だった場合、攻撃者が企業コードではなく「../etc/passwd」という相対パス入りのパラメータを入力することで、サーバーが相対パスを変換（正規化）してしまい、非公開であるはずのpasswdファイルへアクセスできてしまいます。
その結果、攻撃者はファイルを盗み見たり削除したりすることができるようになります。