脆弱性を突く攻撃が被害を及ぼした事例 注目度が高く、被害が世界規模で拡大した事件というと、2017年5月に発生したランサムウェア「WannaCry」が筆頭に挙げられるでしょう。これはMicrosoft Windowsにあった「EternalBlue」という脆弱性を悪用した攻撃で、ランサムウェアによって自分のファイルが勝手に暗号化されるという被害を世界各国に及ぼしました。 この攻撃に遭ってしまった人には暗号化を解くことと引き換えに仮想通貨による身代金が要求され、金銭的な被害も発生した悪質な事例です。なお、冒頭で解説したCVE IDももちろん付与されており、「CVE-2017-0144」というIDで識別されています。 もうひとつ、2017年10月にはWPA2というWi-Fi通信の暗号化プロトコルに脆弱性が見つかったことが大きく報道され、「KRACK」という手口によってWi-Fi通信の内容を盗み見したり、乗っ取るといった攻撃が可能であることが警告されました。 このように、脆弱性は常に新しいものが見つかり、それに対する攻撃が行われては対策が講じられるという構図が今も続いているのです。 1-7. 攻撃者の目的、意図 脆弱性を探して攻撃をする犯罪者の意図とは、何でしょうか。愉快犯の類を想像される方も多いと思いますが、近年のサイバー攻撃はほとんどが金銭目的です。 先にも述べたランサムウェアの「WannaCry」では身代金として仮想通貨のビットコインが要求されたように、犯罪者にとって脆弱性を探すこと、攻撃を仕掛けることは「ビジネス」です。 2-1. 人間に潜む脆弱性とは 脆弱性というと、コンピュータやネットワークといった機器類やソフトウェアなどを想像される方が多いと思いますが、脆弱性が潜んでいるのはこうした「モノ」だけではありません。 実は最も対策が難しく、そして影響が大きくなりやすいのが人間の中にある脆弱性、特にこの場合セキュリティ教育の有無、人にだまされやすいか、といった点です。 どんなに銀行がネットバンキングサービスのセキュリティを強化しても、それを使う人がIDやパスワードといった認証情報を安易に取り扱っていると盗まれてしまうかもしれませんし、フィッシング詐欺に遭ってしまうと認証情報が犯罪者に漏れてしまいます。 その他にも企業のごみ箱をあさったり、自らを警察と偽るような嘘の電話で認証情報を盗もうとする ソーシャルエンジニアリング という手口も横行しているため、コンピュータやネットワークだけを気にしていれば良いというわけではありません。。 2-2.
CVSSとはなんぞや?
脆弱性診断とは? 脆弱性診断とは、ネットワーク・OS・ミドルウェアやWebアプリケーションなどに脆弱性がないか診断することです。脆弱性診断を実施することでネットワーク/サーバ、Webアプリケーションのセキュリティの現状を確認することで攻撃者からの悪意ある攻撃や情報漏えい事故などのリスクを未然に防ぐことができます。 個人情報やWebサービスをサイバー攻撃から守る第一歩としてセキュリティ対策をするためには、まずセキュリティの問題点(脆弱性)を見つけることが必要です。 脆弱性診断は、ウイルス対策の実施やOSやアプリケーションのバージョンアップなど基本的な対策の次に必要とされる対策であるとともに、比較的安価かつ短期間での実施、結果確認ができます。個人情報漏洩やサイバー攻撃などによる多大な被害を未然に防ぐ、非常に費用対効果の高いセキュリティ対策です。 脆弱性とは?
Registration info Registration not needed, or register on another site. 20 Description ※知識は必要、実装経験はなくてもOK 脆弱性診断では何をしているか知っていますか?
脆弱性診断 とは、システムやネットワーク内を調査し、システム上に潜む脆弱性やサイバー攻撃に対する問題点や耐久度を診断するサービスです。 セキュリティ診断、セキュリティ監査とも呼ばれます。 セキュリティの専門家が、攻撃手法の研究結果や実際の運用経験のフィードバックを基に、攻撃者の視点でさまざまな擬似攻撃を行い、脆弱性や耐性を診断するものです。 英語(海外)では脆弱性診断のことを Vulnerability Assessment, Security Testing, Vulnerability Diagnostic と呼称されています。 本記事では脆弱性診断の概要から、診断の特徴、脆弱性診断ツールやサービスの種類について解説していきます。 脆弱性診断はなぜ必要なのか?