脆弱性診断

システムやネットワークに存在する脆弱性を自動ツールや手動で検査し、発見する診断活動。定期的に実施し、発見した脆弱性に対する対策を講じる。

システムやネットワークに存在する脆弱性を検出するための診断。自動スキャンツールや手動検査により、セキュリティホールや設定不備を洗い出す。定期的に実施することで、セキュリティレベルの維持・向上を図る。

システムやWebアプリケーションを検査し、既知の脆弱性や設定の不備を洗い出す作業。網羅的に弱点を見つけることを目的とし、実際に侵入を試みるペネトレーションテストとは目的が異なる。

システムやアプリケーションを検査し、既知の脆弱性や設定不備が存在しないかを網羅的に洗い出す活動。ツールによる自動スキャンと技術者による手動診断があり、結果はCVSSなどで深刻度を付けて対策の優先順位付けに用いる。

情報システムやネットワークに存在する脆弱性を体系的に検出・評価する活動。脆弱性スキャナによる自動検査やペネトレーションテストなどの手法を用いて、セキュリティ上の弱点を特定する。

システムやアプリケーションに存在する既知の脆弱性を検出するテスト。ネットワーク脆弱性診断とWebアプリケーション脆弱性診断に大別され、ツール（スキャナー）による自動診断と、専門家による手動診断がある。定期的な実施が推奨される。

システムやアプリケーションに存在する既知の脆弱性を検出するテスト。ネットワーク脆弱性診断とWebアプリケーション脆弱性診断に大別され、ツール（スキャナー）による自動診断と、専門家による手動診断がある。定期的な実施が推奨される。

個々の脆弱性に一意の番号を付けて識別する仕組み。「CVE-2024-12345」のように公表年と連番で表し、米国のMITREが運営して、採番機関（CNA）とともに番号を割り当てている。製品ベンダー、脆弱性データベース、セキュリティ製品が同じ番号で同じ脆弱性を指せるため、情報の突合せが容易になる。

ソフトウェアやハードウェアの脆弱性を、その原因となる弱点の種類（タイプ）で分類した一覧で、MITREが管理する。「CWE-79」がクロスサイトスクリプティング、「CWE-89」がSQLインジェクションのように識別番号が付き、個々の脆弱性を指すCVEに対して、CWEは脆弱性の種類を指す。危険度の高い弱点をまとめたCWE Top 25も公表されている。

脆弱性の深刻度を、ベンダーに依存しない共通の基準で0.0〜10.0の数値で評価する仕組み。攻撃元区分、攻撃の複雑さ、機密性・完全性・可用性への影響などから算出する基本評価基準を中心に、攻撃コードの出現状況などを加味する評価基準や、利用者の環境を反映する環境評価基準がある。FIRSTが管理し、v3.1と2023年に公表されたv4.0が使われている。

利用者が本来許されていない情報や機能にアクセスできてしまう脆弱性。URLやパラメータの書換えによる他人のデータの参照、一般利用者による管理機能の実行、サーバ側での認可チェックの欠落などが該当し、OWASP Top 10では最上位のリスクに挙げられている。

外部から受け取った入力値の形式、長さ、範囲、文字種などを適切に検証しないまま処理に使ってしまう脆弱性。SQLインジェクション、OSコマンドインジェクション、バッファオーバーフローなど多くの攻撃の原因となり、CWEではCWE-20として分類されている。

ソフトウェアやシステムの特定の脆弱性を突いて、任意のコードの実行や権限昇格などを引き起こすために作られたプログラム。検証用に公開されたものが攻撃に悪用されることもあり、脆弱性の公表から悪用までの期間が短くなっているため、修正プログラムの迅速な適用が求められる。