人的脆弱性

人の不注意や知識不足、規則の軽視など、人に起因する弱点。パスワードの使い回しや安易な添付ファイル開封が典型で、教育や訓練、手順の整備によって低減する。

知識不足、不注意、規程の軽視など、人に起因する弱点。ソーシャルエンジニアリングや標的型攻撃はこれを突くため、教育・訓練と手順の整備が対策の中心となる。

教育不足や不注意、思い込みなど、人に起因する弱点。技術的対策を整えてもここを突かれると成立してしまうため、訓練と手順整備で補う。

個々の脆弱性に一意の番号を付けて識別する仕組み。「CVE-2024-12345」のように公表年と連番で表し、米国のMITREが運営して、採番機関（CNA）とともに番号を割り当てている。製品ベンダー、脆弱性データベース、セキュリティ製品が同じ番号で同じ脆弱性を指せるため、情報の突合せが容易になる。

ソフトウェアやハードウェアの脆弱性を、その原因となる弱点の種類（タイプ）で分類した一覧で、MITREが管理する。「CWE-79」がクロスサイトスクリプティング、「CWE-89」がSQLインジェクションのように識別番号が付き、個々の脆弱性を指すCVEに対して、CWEは脆弱性の種類を指す。危険度の高い弱点をまとめたCWE Top 25も公表されている。

脆弱性の深刻度を、ベンダーに依存しない共通の基準で0.0〜10.0の数値で評価する仕組み。攻撃元区分、攻撃の複雑さ、機密性・完全性・可用性への影響などから算出する基本評価基準を中心に、攻撃コードの出現状況などを加味する評価基準や、利用者の環境を反映する環境評価基準がある。FIRSTが管理し、v3.1と2023年に公表されたv4.0が使われている。

システムやアプリケーションに既知の脆弱性や設定の不備がないかを、ツールや手作業で網羅的に検査すること。Webアプリケーション診断、ネットワークやOSを対象とするプラットフォーム診断などがあり、リリース前や定期的に実施して、見つかった問題を深刻度とともに報告し修正につなげる。実際に侵入を試みて目的を達成できるかを確かめるペネトレーションテストとは目的が異なる。

利用者が本来許されていない情報や機能にアクセスできてしまう脆弱性。URLやパラメータの書換えによる他人のデータの参照、一般利用者による管理機能の実行、サーバ側での認可チェックの欠落などが該当し、OWASP Top 10では最上位のリスクに挙げられている。

外部から受け取った入力値の形式、長さ、範囲、文字種などを適切に検証しないまま処理に使ってしまう脆弱性。SQLインジェクション、OSコマンドインジェクション、バッファオーバーフローなど多くの攻撃の原因となり、CWEではCWE-20として分類されている。