水飲み場型攻撃

標的がよく利用するWebサイトにマルウェアを仕込んでおき、サイト閲覧時に感染させる攻撃手法。標的の行動パターンを事前に調査して攻撃を仕掛ける。

標的とする組織の従業員がよく閲覧するWebサイトを改ざんしてマルウェアを仕込み、閲覧した利用者を感染させる攻撃。標的の組織からのアクセス時だけ攻撃コードを動かし、発覚を遅らせる手口もある。標的型攻撃の一種。

標的の組織がよく閲覧するWebサイトを改ざんし、そこを訪れたときにマルウェアに感染させる攻撃。標的型攻撃の一種で、信頼している正規サイトが経路になるため警戒されにくい。

標的の組織が日常的に閲覧するWebサイトを改ざんし、そこを訪れた標的だけにマルウェアを感染させる標的型攻撃の一種。信頼している業界団体などのサイトが踏み台にされるため、利用者の警戒心をすり抜けやすい。

問合せを装った無害なメールを何度かやり取りして相手の警戒を解いた後、マルウェアを添付したメールを送りつける標的型攻撃。窓口部門が狙われやすく、標的型メール訓練と添付ファイルの取扱手順の整備が対策となる。

Lockheed Martin社が提唱したサイバー攻撃の段階モデル。偵察、武器化、配送、攻撃、インストール、遠隔操作（C&C）、目的達成の7段階で攻撃を分析し、各段階での防御策を検討する。

MITRE社が開発・公開している、サイバー攻撃の戦術（Tactics）と技法（Techniques）を体系的に分類したナレッジベース。攻撃者の行動パターンを理解し、防御策の検討やセキュリティ製品の評価に活用される。過去問でも出題されている。

攻撃者がシステムに対して攻撃を仕掛ける可能性のある全てのポイント（入口）の総称。ネットワークポート、API、Webフォーム、ユーザーインターフェースなどが含まれ、アタックサーフェスの最小化がセキュリティ設計の基本原則となる。

Webアプリケーションの入力値を通じて不正なSQL文を挿入・実行させる攻撃手法。データの不正取得、改ざん、削除などが可能になる。対策としてプレースホルダ（バインド機構）の使用、入力値の検証、エスケープ処理、最小権限のDBアカウント使用がある。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。