フットプリンティング

攻撃対象のシステムやネットワークについて、公開情報やツールを使って事前に情報収集を行う活動。IPアドレス、ドメイン情報、使用ソフトウェアなどを調査する。

攻撃の準備として、標的組織のWebサイト、DNSの登録情報、SNS、求人情報などの公開情報から、ドメイン名、IPアドレス、使用している製品、従業員などの情報を集めること。偵察の手法の一つ。

攻撃者が攻撃の準備として、標的の組織やシステムに関する情報を集めること。Webサイト、DNS、SNS、公開文書などから、ドメイン名、IPアドレス、使われているソフトウェア、従業員の情報などを調べる。続いてポートスキャンなどで攻撃できる箇所を探る。

攻撃の準備段階で、公開情報やDNS情報、Whois、SNSなどから標的組織のドメイン名、IPアドレス帯、利用製品、組織構成といった情報を収集する行為。攻撃自体ではないため検知が難しく、公開情報の棚卸しが対策となる。

攻撃者が攻撃の準備として、標的組織のドメイン情報、IPアドレスの範囲、公開サーバ、従業員の情報などを、公開情報や調査ツールで収集すること。サイバーキルチェーンの偵察の段階に当たり、ポートスキャンなどで得た情報と合わせて攻撃の経路を決める。

Lockheed Martin社が提唱したサイバー攻撃の段階モデル。偵察、武器化、配送、攻撃、インストール、遠隔操作（C&C）、目的達成の7段階で攻撃を分析し、各段階での防御策を検討する。

MITRE社が開発・公開している、サイバー攻撃の戦術（Tactics）と技法（Techniques）を体系的に分類したナレッジベース。攻撃者の行動パターンを理解し、防御策の検討やセキュリティ製品の評価に活用される。過去問でも出題されている。

攻撃者がシステムに対して攻撃を仕掛ける可能性のある全てのポイント（入口）の総称。ネットワークポート、API、Webフォーム、ユーザーインターフェースなどが含まれ、アタックサーフェスの最小化がセキュリティ設計の基本原則となる。

Webアプリケーションの入力値を通じて不正なSQL文を挿入・実行させる攻撃手法。データの不正取得、改ざん、削除などが可能になる。対策としてプレースホルダ（バインド機構）の使用、入力値の検証、エスケープ処理、最小権限のDBアカウント使用がある。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。

ログイン済みの利用者に対し、攻撃者が用意した罠のWebページを経由して、利用者の意図しないリクエストを正規のWebサイトに送信させる攻撃。対策としてCSRFトークンの埋め込みと検証、SameSite属性付きCookieの使用、Refererヘッダの検証がある。