FE2027情報セキュリティの脅威 · 攻撃手法

権限昇格

Privilege Escalation

けんげんしょうかく

一般利用者などの低い権限でシステムに入り込んだ攻撃者が、OSやソフトウェアの脆弱性、設定の不備を突いて、管理者などのより高い権限を不正に得ること。高い権限を得た攻撃者は、ログの消去、マルウェアの常駐化、ほかの機器への侵入の拡大などを行えるようになる。

共有:

他の資格での定義

一般利用者の権限で侵入した攻撃者が、OSやアプリケーションの脆弱性・設定不備を悪用して管理者権限を取得すること。侵入後の被害拡大の起点となるため、最小権限の徹底とパッチ適用、特権アクセスの監視が重要となる。

一般利用者の権限で侵入した攻撃者が、OSやソフトウェアの脆弱性、設定の不備などを悪用して、管理者（root）などのより高い権限を取得すること。権限昇格によって攻撃者はシステム全体を制御できるようになり、ラテラルムーブメントやデータの窃取につながる。

Past Exams

過去問で 1 回出題（ITパスポート試験 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

プログラムが確保したメモリ領域（バッファ）を超えるサイズのデータを書き込むことで、隣接するメモリ領域を破壊する脆弱性。不正なコードの実行やシステムの異常終了を引き起こし、権限昇格などの攻撃に悪用される。

ソフトウェアの設計や実装の誤りによって生じた、セキュリティ上の欠陥。攻撃者に悪用されると不正アクセスや情報漏えいにつながるため、修正プログラム（セキュリティパッチ）の速やかな適用が必要。

日本で使われているソフトウェアの脆弱性情報と対策を公開するポータルサイト。JPCERT/CCとIPAが共同で運営し、届出のあった脆弱性を開発者と調整したうえで公表する。

標的型攻撃の進行を、偵察、武器化、配送、攻撃（脆弱性の悪用）、インストール、遠隔操作、目的の実行の7段階で表したモデル。米国のロッキード・マーティン社が提唱した。いずれかの段階で攻撃を断ち切れば被害を防げるという考え方で、段階ごとの対策の検討に使う。

それ自体またはほかとの組合せによって、リスクを生じさせる力を潜在的に持っている要素（JIS Q 31000）。脅威や脆弱性、人や組織の活動、自然環境などが含まれる。リスク特定では、リスク源から起こり得る事象とその結果を洗い出す。

情報システムにおけるセキュリティ上の弱点や欠陥の総称。ソフトウェアのバグ、設定の不備、設計上の問題など、脅威によって悪用される可能性のある箇所を指す。