APセキュリティ · 情報セキュリティ

エクスプロイトコード

Exploit Code

えくすぷろいとこーど

特定の脆弱性を突いて意図しない動作を起こさせる実証用のプログラム。本来は脆弱性の存在確認や検証に使われるが、公開されると攻撃への転用が容易なため、公開直後はパッチ適用を急ぐ必要がある。

共有:

他の資格での定義

脆弱性を悪用して不正な動作を引き起こすために作られたプログラム。検証目的で公開されることもあり、公開後は攻撃が急増しやすい。

ソフトウェアやシステムの特定の脆弱性を突いて、任意のコードの実行や権限昇格などを引き起こすために作られたプログラム。検証用に公開されたものが攻撃に悪用されることもあり、脆弱性の公表から悪用までの期間が短くなっているため、修正プログラムの迅速な適用が求められる。

Past Exams

過去問で 9 回出題（情報処理安全確保支援士試験 4・応用情報技術者試験 2・データベーススペシャリスト試験 2・高度試験午前Ⅰ 1）。うち 9 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。用語名で照合しているため、関係の薄い問題が含まれることがあります。

脅威に付け込まれる情報資産側の弱点。プログラムの不具合や設定不備といった技術的なものだけでなく、教育不足などの人的脆弱性、施錠の不備といった物理的脆弱性も含む。脅威と脆弱性がそろって初めて損害が生じうる。

OSやソフトウェアの設計・実装の欠陥のうち、攻撃に悪用できるもの。発見されると開発元が修正プログラム（セキュリティパッチ）を提供するため、パッチ適用の遅れが被害に直結する。

インターネット上の誰からの名前解決要求にも応答してしまうDNSキャッシュサーバ。リフレクション攻撃の増幅装置として悪用されるほか、キャッシュポイズニングの標的にもなる。問合せ元を自組織内に制限して防ぐ。

日本国内で使われるソフトウェアの脆弱性情報と対策を公表するポータルサイト。JPCERT/CCとIPAが共同運営し、届出制度で受け付けた情報を製品開発者との調整を経て公開する。CVSSによる深刻度も併記される。

脆弱性の深刻度をベンダーに依存しない共通の基準で数値化する評価手法。攻撃の難易度などを表す基本評価基準、時間経過で変わる現状評価基準、利用環境を加味する環境評価基準の3つの尺度から0.0〜10.0のスコアを算出する。

個別の製品に見つかった脆弱性そのものに「CVE-西暦-連番」形式の一意な識別番号を付ける仕組み。同じ脆弱性を各社が別名で呼ぶ混乱を避け、脆弱性情報データベースや診断ツールの間で情報を突き合わせられるようにする。