セキュリティホール

出典: Wikipedio


セキュリティホール(security hole)とは、コンピュータソフトウェアの欠陥(バグ、不具合、あるいはシステム上の盲点)のひとつで、本来操作できないはずの操作(権限のないユーザが権限を超えた操作を実行するなど)ができてしまったり、見えるべきでない情報が第三者に見えてしまうような不具合をいう。ハードウェアおよびそれを含めたシステム全般の欠陥を指すこともある。

このような欠陥は古くから存在したが、特に問題視されるようになったのはインターネットの発展に伴い、セキュリティホールがネットワークを介して容易に攻撃されうる状態になっているからである。

原因は、プログラムのコーディングミスや、システムの設定ミス、システム設計上の考慮不足などによる。セキュリティホールを生み出す背景には、ソフトウェア企業が成長を続けるため、アプリケーションのバージョンアップのたびに余計な機能を盛り込みソフトウェアを肥大化させることが挙げられる。

目次

脆弱性

脆弱性(ぜいじゃくせい、vulnerability)という用語もセキュリティホールと類似している。セキュリティホールがより具体的な欠陥そのものを指す傾向があるのに対して、脆弱性は欠陥だけには限定せず、たとえ意図した(要求仕様どおりの)動作であっても、攻撃に対して脆く弱い、つまり弱点があれば用いるという点が異なる。たとえば、災害、悪意のある者がパスワードを管理者から聞き出してしまうような攻撃(ソーシャルエンジニアリング)といった、コンピュータシステムだけに収まらない弱さに対しても用いられる。また、ハードウェアおよびそれを含めたシステム全般の欠陥や弱点については脆弱性の方が好まれる。

セキュリティホールに関連した騒ぎ

2001年秋、IISの欠陥をついたワーム "CodeRed"、"Nimda"が多くのコンピュータに感染した。

2003年1月にはMicrosoft SQL Serverの欠陥を利用した"Slammer"、8月にはWindows 2000/XPの欠陥を利用した"MSBlaster"というワームが猛威を振るった。

その後も、Microsoft WindowsやIISなど、主としてマイクロソフトソフトウェアのセキュリティホールを利用して感染する、ワームやウイルスが出現し、騒ぎとなっている。

対策としては、まずファイアーウォール、または、IPマスカレード(NAPT、NATP、eNAT等とも表記される)に対応したルータを導入し、外部から試みられる接続をすべて遮断した後に、修正モジュールのダウンロードインストール(WindowsではMicrosoft Update)をこまめに行う処置が中心となる。

ゼロデイアタック

セキュリティホールを狙った攻撃が、セキュリティホールの修正プログラムや修正バージョンが提供される前に起こること。QHostsやDownload.jectなどが、ゼロデイアタックだったのではないかといわれている。

エクスプロイト

エクスプロイト (exploit) とはソフトウェアの脆弱性を攻撃すること、及びその方法をいう<ref>情報処理推進機構:セキュリティセンター:ネットワークセキュリティ関連用語集</ref>。

脚注

Template:Reflist

関連項目

外部リンク

cs:Zranitelnost de:Sicherheitslücke (Software) en:Vulnerability (computing) es:Agujero de seguridad fi:Tietoturva-aukko fr:Vulnérabilité (informatique) he:פרצת אבטחה hu:Biztonsági rés ko:보안 취약점 pt:Vulnerabilidade (computação) ru:Уязвимость (компьютерная безопасность) sv:Säkerhetshål th:ช่องโหว่ของระบบ uk:Уразливість zh:计算机安全隐患

個人用ツール