セキュリティホール
更新日:
用語解説
攻撃者が悪用するとアクセス制御回避、権限昇格、情報漏えい、改ざん、サービス停止等を起こせる、ソフトウェアや設定上の技術的な脆弱性を指す慣用語です。
■ 試験で押さえるポイント
入力検証不足、認証回避、メモリ破壊、既定資格、公開設定等があり、原因はコードのバグだけでなく設計・構成にもあります。
脆弱性は人的・管理的・物理的弱点も含む広い概念で、セキュリティホールは一般にシステムの技術的な抜け穴へ重点を置きます。
CVE等の識別情報、深刻度、悪用状況、資産の露出・重要度を確認し、パッチ、設定変更、遮断、仮想パッチ、監視で優先対応します。
修正適用前に互換性と切戻しを試験し、適用後は版・構成と脆弱性スキャンを再確認します。パッチ公開だけでは穴は塞がりません。
■ 過去問での着眼点
技術的なセキュリティ上の抜け穴で、脆弱性とほぼ同義に使われます。脆弱性の方が人的・管理的弱点まで含む広い用法があります。
例: 公開VPN装置に認証回避のセキュリティホールが判明したら、露出を制限し、修正版へ更新して、侵害痕跡と適用結果を確認します。