![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
「.NET 開発基盤部会 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
先ずは、脅威を知る。
| # | 種類 | 具体例 |
| 1 | 設備障害 | 停電、瞬断、空調 / 入退館装置 / 監視カメラ 等の故障 |
| 2 | ハードウェア障害 | メモリ / ディスク / CPU / 電源ケーブル |
| 3 | ソフトウェア障害 | OS、ミドル、アプリのバグ |
| 4 | ネットワーク障害 | 機器、配線、広域網の回線障害、通信事業者の問題 |
基本は、保守と予備（バックアップ）の確保
| # | 対策 | 具体例 |
| 1 | 設備障害 | 設備保守、バックアップ設備の確保 |
| 2 | ハードウェア障害 | 機器保守、予備機器の確保 |
| 3 | ソフトウェア障害 | バージョン最新化、パッチ適用、各種テストの実施 |
| 4 | ネットワーク障害 | 機器保守、バックアップ回線の確保 |
だろうか。
大きく分けて、偶発的と意図的に分かれる。
様々
「不正のトライアングル」（の主に、機会・正当性）を成立させないようにする。
| # | 種類 | 具体例 |
| 1 | 偶発的 | 規程、マニュアルの整備、教育・訓練の実施、罰則の適用 |
| 2 | 意図的 | ・外部の人的脅威 入退館、アクセス制御、暗号化、監視、アカウント管理 ・内部の人的脅威 アクセス制御の実施、教育・訓練の実施、監査の実施 |
| 2 | 全体的 | ・抑止、抑制、牽制 ・委託先の信頼性、NDA（秘密・機密保持契約） |
「不正のトライアングル」理論では、
以下が揃ったときに発生するとされる。
（J-CSIP：Initiative for Cyber Security Information sharing Partnership of Japan ）
による2つの「情報連携体制」
を確立し、サイバー攻撃に関する
情報共有の実運用を行っている。
システムだけで完結しない人的な脅威。
ネットワーク侵入準備のために、ネットワーク上に存在している
の情報（IPアドレス、システムアーキテクチャー
（使用OS等）、動作しているサービス）収集をすること。
・標的型攻撃（メールによるもの APT（Advanced Persistent Threat）、新しいタイプの攻撃
・受信者の業務に関係がありそうなもの。
・送信者は公的機関、組織内の管理部門など。 （文末に組織名や個人名を含む署名がある）
・社会情勢や動向を反映した内容。 （イベント、ニュース、注意喚起、報告書）
・本文の内容に沿った添付ファイル、リンク ・文書ファイルなどを装ったマルウェアを添付 zip、exe、pdf、doc（亜種のため検知しにくい）
・不正なリンクを用いる場合もある。
・対策：リテラシ向上と注意喚起、情報収集と指示 ・入り口対策：困難 ・出口対策：
・F/W・プロキシ アウトバウンド、P2P、RPC
・ルータ・スイッチ（NW分割） ・AD（認証サーバ） ・サーバとインターネット通信
他人がパスワードや暗証番号を入力しているところを、肩越しに盗み見る。
フィッシングとの違いは、
特定の企業の特定の人物や社員を標的にする。
標的型のフィッシング・メール
（pingスイープ）
後述のバッファ・オーバーフローに繋がる。
※ IDPSではステルス・スキャンも検知できるが、
間を空けたランダムな攻撃の場合は検知が困難になる。
スタックのリターンアドレスを書き換え、
を動作させる攻撃方法（別名、スタック・オーバーフロー）。
※ 単にバッファをオーバーフローさせても
意味が無いので、スタックと組み合わせる。
※ 一般的には、サービスのポートなどから攻撃を投入する。
※ ヒープ・オーバーフローと組み合わせることも。
ログインされる。
固定式のパスワードを使用する認証システムを攻撃
インジェクションすることで、予期せぬ動作＋情報漏洩をさせる。
HTTPヘッダにインジェクションすることで、
不正なCookie情報を送り込むなどができる。
クライアント・スクリプトをインジェクションしてCookieなどを盗む。
・HTTPヘッダインジェクション ・ヘッダの追加 Cookieの設定
・ボディの追加 ・偽情報、スクリプト挿入 ・レスポンス分割とキャッシュ汚染
・対策 ・APIの使用（エスケープ機能を持った） ・改行コードは削除する。 ・CookieはURLエンコード ・WAF
・パケット盗聴 ・プロミスキャス・モードでの盗聴 ・対策 ・スイッチングハブ、 ・プロミスキャス・モードのNIC検出
・ウォードライビング（無線LANへの不正接続）
・ファーミング hostsファイルの書き換え。
・不正なコマンドやリクエストの発行
・スパムメール
・マルウェア ウワトモスボ
データ消去、改ざん、漏洩、バックドア
・ウィルス 宿主に感染、潜伏、発病の機能を持つ。
・対策 ・GW上 ・F/W、IDPS ・ウィルス対策 ・プロキシサーバによるアクセス制御
・クライアント上 ・ウィルス対策、ウィルス検査 ・OS最新、パッチ ・OS-F/W、Personal-F/W ・無関係なソフトの使用禁止（フリー等）
・その他 マネジメント面（感染後の対策）
・ワーム（NW感染型ワーム） MSBlasterなど、潜伏期間がなく、 ポートを攻撃しながら広がる。
・対策 ・F/W、IDPS ・外部持ち出しに注意。
・トロイの木馬 正常に動作していると見せかけて、悪さをする。
RAT：Back OrificeやSubSeven?に代表されるリモートから コントロールが可能なトロイの木馬プログラムの総称。
・対策 ・ウィルス対策 ・F/W、IDPS ・プロキシサーバ（コンテンツフィルタリング
・悪意のあるモバイルコード JavaApplet?、ActiveX、JavaScript
・対策 ・プロキシサーバ（コンテンツフィルタリング
・スパイウェア 主には個人情報の漏洩（キーロガー）
・対策 ・ウィルス対策 ・F/W、IPS ・プロキシサーバ（コンテンツフィルタリング
・ボット 遠隔操作可能（IRC、IM、P2P） ・スパム ・DoS、DDoS（ボットネット） ・脆弱性の調査、スパイ活動 ・情報の削除、改竄、漏洩
・対策、ウィルス＋IRC、IM、P2P
・検出方法 以下の ・亜種が次々作られるタイプ ・ポリモーフィック型ウィルス ・未知のウィルス に対しては、ヒューリスティック・ビヘイビア法が有効
・コンペア法 原本との比較
・パターン・マッチング法 ウイルスの特徴的なパターンを登録した定義ファイル とマッチングするかどうかでウイルス検出する方法。
・チェックサム/インテグリティチェック法 ウイルスに感染していないことを保証する情報を付加 「チェックサム」「ディジタル署名」
・ヒューリスティック法 ・スタティック・ヒューリスティック法 ウイルスのとるであろう動作を事前に登録しておき、 検査対象コードに含まれる一連の動作と比較して検出する手法。 ・ダイナミック・ヒューリスティック法 ビヘイビア法
・ビヘイビア法 ウイルス感染・発病によって生じる異常な 動作や通信の変化を監視してウイルス検出する方法。
・ガンブラー FTPのアカウントを盗んで、Webサイトを改ざんする。
・攻撃サイトのリダイレクト （ドライブバイダウンロード） でマルウェアをDLして実行 ＃ここをガードできれば対策できる。
・FTPのアカウント情報を盗んで送信してしまう。 ＃IDPSで検知
・このアカウントを使用してWebサイトを改竄 （レンタルサーバなどはFTPが多いので） そして、そのサイトも攻撃サイトに改竄。 ＃サイトのチェックなどで検知
DNSスプーフィングとも呼ばれる。
ARPスプーフィングとも呼ばれる。
脆弱性に対するパッチ提供前の、当該 脆弱性に対する攻撃。
