情報処理安全確保支援士 頻出重要用語集
全 69 語 収録習得済: 0 / 69★ 保存: 0
情報処理安全確保支援士 頻出重要用語解説
午前II選択対策から午後長文事例記述のセキュリティ加点キーワードまで完全網羅。「1行要約」「3行解説」「図解付き詳細解説」で効率的にマスターできます。
【索引】50音・英数インデックス:
【カテゴリ】専門分野:
出題フェーズ:
ステータス:
表示:
該当件数: 69 件 / 全 69 語
ぜろとらすとあーきてくちゃアーキテクチャ午前II午後I記述★★★
ゼロトラストアーキテクチャ
Zero Trust Architecture (ZTA)1行解説（要点）
「決して信頼せず、常に検証する」を原則とする包括的セキュリティモデル。
3行解説（詳細ポイント）
1従来の社内ネットワーク境界防御の限界を克服し、全アクセスを動的検証
2アクセス元端末の健全性（ポスチャ）、利用者ID、コンテキストを総合評価
3NIST SP 800-207 で標準化され、最小権限アクセスとマイクロセグメンテーションを徹底
そふとうぇあぶひんひょう攻撃・脆弱性午前II午後I記述★★★
ソフトウェア部品表 (SBOM)
Software Bill of Materials1行解説（要点）
ソフトウェアに含まれるOSSやライブラリの構成要素・バージョン・依存関係を網羅した一覧表。
3行解説（詳細ポイント）
1CycloneDX や SPDX 等の標準機械可読フォーマットで記述
2ソフトウェアサプライチェーン攻撃や新種脆弱性（Zero-day）判明時の影響範囲を即時特定
3CI/CDパイプラインビルド時に自動生成し、資産管理台帳や脆弱性DBと突合
しーぶいえすえす / いーぴーえすえす対応・フォレンジック午前II午後I記述★★★
CVSS / EPSS (脆弱性評価・トリアージ)
Common Vulnerability Scoring System / Exploit Prediction Scoring System1行解説（要点）
脆弱性の固有の深刻度（CVSS）と、今後30日以内に悪用される確率（EPSS）を組み合わせて対応優先度を最適化する手法。
3行解説（詳細ポイント）
1CVSSv3：基本値（Base）、現状値（Temporal）、環境値（Environmental）で深刻度を0.0〜10.0で評価
2EPSS：FIRSTが日次更新する、野良悪用（In-the-wild）される確率（0〜100%）の機械学習予測スコア
3両者のマトリクス評価により、基本値が高いだけの脆弱性への過剰対応を抑え、実際に悪用リスクの高いものを最優先対処
さむるにーてんぜろ暗号・認証午前II午後I記述★★★
SAML 2.0 (Security Assertion Markup Language)
Security Assertion Markup Language 2.01行解説（要点）
異なるセキュリティドメイン間で認証・属性情報を安全に交換するためのXMLベースのフェデレーション標準規格。
3行解説（詳細ポイント）
1IdP（Identity Provider）が利用者認証を行い、SP（Service Provider）へSAMLアサーションを発行
2アサーションにはIdPの電子署名が付与され、改ざん防止と送信元真正性を担保
3企業内Active Directory/Entra IDとクラウドSaaS間のシングルサインオン（SSO）のデファクトスタンダード
でじたるふぉれんじっくす対応・フォレンジック午前II午後I記述★★★
デジタルフォレンジックス (証拠保全)
Digital Forensics & Evidence Preservation1行解説（要点）
不正アクセスや情報漏洩インシデント発生時に、法的証拠能力を維持しながら電磁的記録を収集・分析する科学的調査手法。
3行解説（詳細ポイント）
1揮発性の高い情報（メモリ・ネットワーク接続）から順に保全（RFC 3227 揮発性の順序）
2原本ディスクのビット単位完全コピー（フォレンジックイメージ）を作成し、書き込み防止装置（ライトブロッカー）を使用
3SHA-256等のハッシュ値を原本と複製で照合し、証拠の同一性（Chain of Custody）を保証
わふネットワーク午前II午後I記述★★★
WAF (Web Application Firewall)
Web Application Firewall1行解説（要点）
HTTP/HTTPS 通信の内容（ペイロード）をアプリケーション層で検査し、Web特有の攻撃を遮断する防御装置。
3行解説（詳細ポイント）
1SQLインジェクション、XSS、OSコマンドインジェクション等のL7攻撃を検知・防御
2ブラックリスト方式（攻撃シグネチャ）とホワイトリスト方式（正常通信定義）の併用
3クラウド型（CDN連携・DNS切替型）、アプライアンス型、ホスト型（Webサーバ同居型）が存在
でぃーまーく / でぃーきむ / えすぴーえふネットワーク午前II午後I記述★★★
DMARC / DKIM / SPF (送信ドメイン認証)
Domain-based Message Authentication, Reporting and Conformance1行解説（要点）
電子メールの送信元アドレス偽装（なりすまし）を防止し、フィッシング詐欺や標的型攻撃メールを排除する3大認証規格。
3行解説（詳細ポイント）
1SPF：送信元メールサーバのIPアドレスを送信元ドメインのDNS TXTレコードで検証
2DKIM：送信側でメールに電子署名を付与し、受信側がDNS公開鍵で改ざん有無と真正性を検証
3DMARC：SPF/DKIM失敗時のポリシー（none/quarantine/reject）を宣言し、認証結果レポートを収集
てぃーえるえすいちてんさん暗号・認証午前II午後I記述★★★
TLS 1.3 (Transport Layer Security 1.3)
Transport Layer Security 1.3 (RFC 8446)1行解説（要点）
安全性の低い暗号方式を全面廃止し、ハンドシェイクの高速化（1-RTT / 0-RTT）を実現した最新通信暗号化プロトコル。
3行解説（詳細ポイント）
1RSA鍵交換やCBCモード等の脆弱なアルゴリズムを完全排除し、前方秘匿性（PFS）を必須化
2ECDHE（楕円曲線ディフィー・ヘルマン）による鍵交換で、将来秘密鍵が漏洩しても過去の通信の復号を阻止
3最初の接続でのラウンドトリップを1往復（1-RTT）に半減し、再接続時は0-RTT（Early Data）に対応
しーさーと / そっく対応・フォレンジック午前II午後I記述★★★
CSIRT / SOC (セキュリティ運用体制)
Computer Security Incident Response Team / Security Operations Center1行解説（要点）
脅威の24時間365日監視・検知を担うSOCと、有事のインシデント対応・統括を担うCSIRTの協調運用体制。
3行解説（詳細ポイント）
1SOC：SIEMやEDRのセキュリティログを常時監視し、アラートのトリアージと初期分析を実施
2CSIRT：インシデント発生時に原因調査、封じ込め、根絶、復旧、対外報告・情報開示を主導
3インシデントハンドリングの標準プロセス（準備 ➔ 検知・分析 ➔ 封じ込め・根絶・復旧 ➔ 事後対応）を遵守
にすとさいばーせきゅりてぃふれーむわーく統制・法務・基準午前II午後I記述★★★
NIST サイバーセキュリティフレームワーク (CSF 2.0)
NIST Cybersecurity Framework 2.01行解説（要点）
米国立標準技術研究所が策定した、組織全体のサイバーリスクを管理するための6大コア機能フレームワーク。
3行解説（詳細ポイント）
1CSF 2.0 で新たに「ガバナンス（GOVERN）」が最上位機能として新設・追加
26大機能：GOVERN（統治）、IDENTIFY（特定）、PROTECT（防御）、DETECT（検知）、RESPOND（対応）、RECOVER（復旧）
3あらゆる業種・規模の組織が現状（Current Profile）と目標（Target Profile）のギャップ分析に利用可能
させ / えすえすいーアーキテクチャ午前II午後I記述★★★
SASE / SSE (Secure Access Service Edge)
Secure Access Service Edge / Security Service Edge1行解説（要点）
ネットワーク機能（SD-WAN）とセキュリティ機能（SWG/CASB/ZTNA）を単一のクラウド基盤に統合したアーキテクチャ。
3行解説（詳細ポイント）
1SWG（Webゲートウェイ）、CASB（クラウド可視化・制御）、ZTNA（ゼロトラスト接続）、FWaaSを統合提供
2クラウド利用やテレワークに伴う本社データセンタへの通信集中（ヘアピニング）を解消
3セキュリティ機能部分を抽出した構成はSSE（Security Service Edge）と呼ばれる
きゃすびーアーキテクチャ午前II午後I記述★★★
CASB (Cloud Access Security Broker)
Cloud Access Security Broker1行解説（要点）
利用者と複数のクラウドサービス（SaaS等）の間に配置し、可視化・アクセス制御・データ保護・脅威防御を一元実行する仕組み。
3行解説（詳細ポイント）
14大ピラー：可視化（シャドーIT検出）、コンプライアンス、データセキュリティ（DLP/暗号化）、脅威防御
2プロキシ型（インラインで通信を中継・制御）とAPI型（SaaSのAPI経由で保存データを検査・自動暗号化）が存在
3許可された企業テナント以外への個人アカウントログインを遮断するテナント制限機能を提供
いーでぃーあーる / えっくすでぃーあーるアーキテクチャ午前II午後I記述★★★
EDR / XDR (Endpoint Detection and Response)
Endpoint Detection and Response / Extended Detection and Response1行解説（要点）
エンドポイント端末のプロセス挙動や操作ログを常時監視し、侵入後の不審な振る舞いを即時検知・隔離する仕組み。
3行解説（詳細ポイント）
1EPP（従来型アンチウイルス）が「侵入前の水際防止」を担うのに対し、EDRは「侵入後の迅速な検知・封じ込め」を担う
2プロセス生成、レジストリ変更、ファイル操作、外部通信のテレメトリをクラウド管理サーバへ常時送信
3XDRはエンドポイントに加え、ネットワーク（NDR）、メール、クラウドログを横断的に相関分析して攻撃チェーンを可視化
せきゅりてぃばいでざいん / でぶせくおぷすアーキテクチャ午前II午後I記述★★★
セキュリティ・バイ・デザイン / DevSecOps
Security by Design / DevSecOps1行解説（要点）
企画・要件定義・設計の初期段階からセキュリティ対策を組み込み、CI/CDパイプライン全体で継続的に脆弱性検査を自動化する開発手法。
3行解説（詳細ポイント）
1リリース直前の脆弱性診断による手戻り（大規模改修や納期遅延）を防止するシフトレフト（Shift Left）アプローチ
2SAST（静的解析）、SCA（OSS構成解析）、DAST（動的解析）をCI/CDパイプラインに統合
3脅威モデリング（STRIDE等）を設計段階で実施し、アーキテクチャ上のセキュリティ欠陥を事前排除
こんてな・くーばねてぃすせきゅりてぃアーキテクチャ午前II午後I記述★★★
コンテナ・Kubernetesセキュリティ
Container & Kubernetes Security1行解説（要点）
ホストOSカーネルを共有するコンテナ環境の特性を踏まえ、イメージ署名検証・最小権限実行・名前空間分離を徹底する防御設計。
3行解説（詳細ポイント）
1コンテナ内のroot権限実行を禁止（非rootユーザ指定）し、Linux CapabilitiesやSeccompでシステムコールを制限
2コンテナレジストリ登録時にイメージの脆弱性スキャンと電子署名（Cosign/Notary）を実施し、デプロイ時に検証
3イミュータブル（不変）インフラ原則に基づき、稼働中コンテナへの直接パッチ適用ではなく再ビルドした新イメージで再作成
まいくろせぐめんてーしょんアーキテクチャ午前II午後I記述★★
マイクロセグメンテーション
Micro-Segmentation1行解説（要点）
ネットワークをワークロードやアプリケーション単位の極小ゾーンに分割し、ゾーン間の通信を厳格に最小権限化する設計。
3行解説（詳細ポイント）
1従来のVLANやサブネット単位の境界防御では防げなかった同一セグメント内の横展開（ラテラルムーブメント）を阻止
2ホスト型FWやSDN（Software-Defined Networking）、サービスメッシュを用いてワークロード間通信を個別認可
3ゼロトラスト（NIST SP 800-207）における中核的なネットワーク分離アプローチ
とっけんあいでぃーかんりアーキテクチャ午前II午後I記述★★★
特権ID管理 (PAM: Privileged Access Management)
Privileged Access Management1行解説（要点）
システム管理者権限（root / Administrator / IAM Admin）の貸出・操作監視・パスワード自動ローテーションを統制する仕組み。
3行解説（詳細ポイント）
1特権アカウントの共用による「誰が操作したか特定できない問題」を、個人IDでの申請・承認ワークフローと貸出制御で解決
2踏み台（バスチョン）サーバ経由で特権操作の画面録画・コマンドログを完全記録し、不正操作を抑止・追跡
3JIT（Just-In-Time）アクセスにより、作業時間中のみ一時的に特権を付与し、終了後は即座に権限を剥奪
えいちえすえむ / てぃーぴーえむアーキテクチャ午前II午後I記述★★★
HSM / TPM (ハードウェアセキュリティモジュール)
Hardware Security Module / Trusted Platform Module1行解説（要点）
暗号鍵の生成・保管・暗号演算を耐タンパー性を備えた専用ハードウェア内部で完結させ、秘密鍵の外部流出を物理的・論理的に防ぐ装置。
3行解説（詳細ポイント）
1秘密鍵をハードウェアの外部（OSメモリやディスク）へ一切出力せず、内部で署名・復号演算を実行
2物理的な分解やプローブ検知時に内部の鍵データを瞬時にゼロクリア（消去）する耐タンパー性（FIPS 140-3等）を実装
3PCやIoT端末のマザーボードに実装されるセキュリティチップはTPM（Trusted Platform Module）と呼ばれる
あいおーてぃーせきゅりてぃ・せきゅあぶーとアーキテクチャ午前II午後I記述★★
IoTセキュリティ・セキュアブート
IoT Security & Secure Boot / OTA Update1行解説（要点）
組込み機器・IoTデバイスの起動時にファームウェアのデジタル署名を検証（セキュアブート）し、安全なOTA更新と通信保護を実現する仕組み。
3行解説（詳細ポイント）
1セキュアブート：ハードウェア内のRoot of Trust（信頼の基点）公開鍵を用いてブートローダやOSカーネルの署名を順次検証
2OTA（Over-The-Air）アップデート：HTTPS通信＋ファームウェア本体のデジタル署名検証により、改ざんファームウェアの適用を防止
3出荷時初期パスワードの強制変更、不要なデバッグポート（UART/JTAGやTelnet）の物理・論理無効化が必須
おーおーすにーてんぜろ / おーぷんあいでぃーこねくと暗号・認証午前II午後I記述★★★
OAuth 2.0 / OpenID Connect (OIDC)
OAuth 2.0 / OpenID Connect1行解説（要点）
APIアクセスの権限委譲プロトコル（OAuth 2.0）と、その上にJWT形式のIDトークンによる利用者認証を拡張した標準規格（OIDC）。
3行解説（詳細ポイント）
1OAuth 2.0は「認可（Authorization）」のプロトコルであり、リソースオーナーの同意のもとクライアントにアクセストークンを発行
2OIDCはOAuth 2.0を拡張した「認証（Authentication）」プロトコルであり、IdPが署名付きIDトークン（JWT）を発行
3認可コードフローでは、CSRF対策のstateパラメータと、認可コード横取り攻撃対策のPKCE（Proof Key for Code Exchange）が必須
ふぁいどつー / うぇぶおーすん / ぱすきー暗号・認証午前II午後I記述★★★
FIDO2 / WebAuthn / パスキー (Passkeys)
Fast Identity Online 2 / Web Authentication / Passkeys1行解説（要点）
公開鍵暗号方式と端末内の生体認証・PINを組み合わせ、パスワードをネットワーク上に一切流さないフィッシング耐性のある認証規格。
3行解説（詳細ポイント）
1登録時：認証器（スマホやセキュリティキー）内部で鍵ペアを生成し、公開鍵のみをRP（Webサーバ）へ登録
2認証時：RPが生成したランダムなチャレンジ（乱数）に対し、利用者の生体認証等でロック解除した秘密鍵でデジタル署名を返却
3認証器がブラウザから渡された接続先オリジン（RP ID）を検証するため、偽サイト（フィッシングサイト）では署名が成立しない
ぴーけーあい / しーあーるえる / おーしーえすぴー暗号・認証午前II午後I記述★★★
PKI (公開鍵基盤) と CRL / OCSP / OCSP Stapling
Public Key Infrastructure / CRL / OCSP Stapling1行解説（要点）
デジタル証明書によって公開鍵の所有者真正性を保証する基盤（PKI）と、秘密鍵漏洩時等に証明書の失効状態をリアルタイム確認する仕組み。
3行解説（詳細ポイント）
1CA（認証局）が公開鍵と所有者情報（コモンネーム/SAN）にCA秘密鍵でデジタル署名を付与して証明書を発行、RA（登録局）は本人審査を担当
2CRL（証明書失効リスト）は定期発行のためタイムラグとサイズ肥大化の課題があり、OCSPはリアルタイムに失効状態を応答
3OCSP StaplingはWebサーバ自身が事前にCAから取得したタイムスタンプ・署名付きOCSP応答をTLSハンドシェイク時に同梱して返却
じぇいそんうぇぶとーくん暗号・認証午前II午後I記述★★★
JWT / JWS (JSON Web Token / Signature)
JSON Web Token (RFC 7519) / JSON Web Signature1行解説（要点）
ヘッダ・ペイロード・署名の3パートをドット連結したBase64URL形式のトークンであり、ステートレスな認証・認可情報伝達に広く用いられる規格。
3行解説（詳細ポイント）
1Header（アルゴリズム等）、Payload（クレーム：sub, iss, aud, exp等）、Signature（改ざん検知署名）の3部構成
2JWS（署名付きJWT）のペイロードはBase64URLエンコードされているだけで暗号化ではないため、機密情報の格納は厳禁（暗号化にはJWEを使用）
3alg: none 攻撃や公開鍵/共通鍵アルゴリズム混同攻撃（RS256→HS256書き換え）を防ぐため、サーバ側で許可アルゴリズムを固定検証する
えーいーえすじーしーえむ / にんしょうつきあんごう暗号・認証午前II午後I記述★★★
AES-GCM / AEAD (認証付き暗号)
Advanced Encryption Standard - Galois/Counter Mode / Authenticated Encryption with Associated Data1行解説（要点）
共通鍵暗号によるデータの秘匿（暗号化）と、メッセージ認証符号（MAC）による完全性検証・改ざん検知を単一処理で同時に行う暗号利用モード。
3行解説（詳細ポイント）
1従来のCBCモードで発生したパディングオラクル攻撃などの脆弱性を解消し、高速な並列暗号化処理を実現
2暗号文とともに認証タグ（Authentication Tag）を生成し、復号時に1ビットでも改ざんがあれば復号エラーとして即座に破棄
3TLS 1.3、IPsec、WPA3、クラウドストレージ暗号化における標準推奨暗号スイート（AES-GCM、ChaCha20-Poly1305）
いーしーでぃーえいちいー / ぜんぽうひとくせい暗号・認証午前II午後I記述★★★
ECDHE と 前方秘匿性 (PFS: Perfect Forward Secrecy)
Elliptic Curve Diffie-Hellman Ephemeral / Perfect Forward Secrecy1行解説（要点）
セッションごとに一時的（エフェメラル）な鍵ペアを生成して鍵共有を行うことで、将来サーバの長期秘密鍵が漏洩しても過去の暗号通信が復号されない性質。
3行解説（詳細ポイント）
1従来のRSA鍵交換では、攻撃者が暗号通信を録画しておき数年後にサーバ秘密鍵を盗むと全過去通信が復号される弱点があった
2ECDHE（楕円曲線一時ディフィー・ヘルマン）では、セッション確立後に一時秘密鍵をメモリから即座に破棄
3サーバ証明書（長期秘密鍵）は鍵交換パラメータへの「デジタル署名（なりすまし防止）」にのみ使用される
たいりょうしけいさんきあんごう暗号・認証午前II午後I記述★★★
耐量子計算機暗号 (PQC: Post-Quantum Cryptography)
Post-Quantum Cryptography1行解説（要点）
将来の大規模量子コンピュータによる解読攻撃（ショアのアルゴリズム等）に対しても安全性を維持でき、既存のコンピュータ上で稼働する次世代公開鍵暗号。
3行解説（詳細ポイント）
1素因数分解（RSA）や離散対数問題（ECDSA/ECDH）は量子コンピュータのショア（Shor）のアルゴリズムで多項式時間で解読される
2格子暗号（ML-KEM / CRYSTALS-Kyber、ML-DSA / CRYSTALS-Dilithium）等がNISTにより標準化（FIPS 203/204/205）
3Harvest Now, Decrypt Later（今盗んで後で復号する）攻撃に備え、既存のECDHEとPQCを組み合わせたハイブリッド鍵交換の導入が進行
えいちまっく / そると・すとれっちんぐ暗号・認証午前II午後I記述★★★
HMAC と パスワードハッシュ (ソルト・ストレッチング)
Hash-based Message Authentication Code / Salted Password Hashing1行解説（要点）
ハッシュ関数と共通秘密鍵を組み合わせた改ざん検知符号（HMAC）と、DB漏洩時のレインボーテーブル解読を防ぐパスワード保護技法。
3行解説（詳細ポイント）
1HMAC：単なるハッシュ値と異なり、送受信者間で共有した秘密鍵を混ぜてSHA-256等を計算するため、通信途中のハッシュ値差し替えを防止
2ソルト（Salt）：利用者ごとに異なるランダム文字列を付与してハッシュ化し、同一パスワードの一括解読やレインボーテーブル攻撃を無効化
3ストレッチング（PBKDF2 / bcrypt / Argon2）：ハッシュ計算を数千〜数万回反復し、GPU等による総当たり（ブルートフォース）速度を大幅に遅延させる
たようそにんしょう / てぃーおーてぃーぴー / けるべろすにんしょう暗号・認証午前II午後I記述★★★
多要素認証 (MFA) と TOTP / Kerberos認証
Multi-Factor Authentication / Time-based One-Time Password / Kerberos1行解説（要点）
知識・所持・生体の3要素のうち異なる2要素以上を組み合わせる多要素認証（MFA）と、時刻同期ワンタイムパスワード・社内チケット認証の仕組み。
3行解説（詳細ポイント）
1認証の3要素：①知識情報（パスワード・PIN）、②所持情報（スマホアプリ・ICカード・トークン）、③生体情報（指紋・顔・静脈）
2TOTP（RFC 6238）：サーバと認証アプリ間で事前共有したシード（秘密鍵）と現在時刻（30秒単位等）からHMAC演算で6桁コードを生成
3Kerberos認証：Active Directory等で用いられ、KDC（AS/TGS）が発行するTGT（チケット認可チケット）とサービスチケットでSSOを実現
でぃーえぬえすせっく / きゃっしゅぽいずにんぐネットワーク午前II午後I記述★★★
DNSSEC と DNSキャッシュポイズニング対策
DNS Security Extensions / DNS Cache Poisoning1行解説（要点）
DNS応答レコードにデジタル署名（RRSIG）を付与して応答の真正性と完全性を検証し、偽のIPアドレスを教え込むキャッシュポイズニングを防ぐ規格。
3行解説（詳細ポイント）
1権威DNSサーバがゾーン情報に秘密鍵で署名（RRSIG）し、フルサービスリゾルバ（キャッシュDNS）が公開鍵（DNSKEY）で検証
2親ゾーンが子ゾーンのDNSKEYのハッシュ値（DSレコード）に署名することで、ルートゾーンからの信頼の連鎖（Chain of Trust）を確立
3DNSは通信内容の暗号化ではなく「応答の改ざん検知・送信元認証」を行う規格であり、クエリ秘匿にはDoH（DNS over HTTPS）やDoTを用いる
あいぴーせっく / えすえすえるぶいぴーえぬネットワーク午前II午後I記述★★★
IPsec (IKEv2 / ESP) と SSL-VPN
Security Architecture for Internet Protocol / SSL-VPN1行解説（要点）
ネットワーク層（L3）でIPパケット全体を暗号化・認証するIPsecと、トランスポート層以上（TLS）でリモートアクセスを提供するSSL-VPN。
3行解説（詳細ポイント）
1IPsecのESP（Encapsulating Security Payload）は暗号化と改ざん検知の両方を提供し、トンネルモード（拠点間VPN）とトランスポートモードが存在
2トンネルモードでは元のIPヘッダごと丸ごと暗号化し、外側にVPNゲートウェイ間の新IPヘッダを付与
3SSL-VPN（TLS-VPN）やVPN機器の脆弱性を突いた侵入が多発しており、クライアント証明書認証＋多要素認証の併用と迅速なパッチ適用が不可欠
あいとりぷるいーはちまるにーてんいちえっくす / だぶりゅーぴーえーすりーネットワーク午前II午後I記述★★★
IEEE 802.1X 検疫ネットワーク と WPA2/WPA3エンタープライズ
IEEE 802.1X Port-based Network Access Control / WPA3-Enterprise1行解説（要点）
有線LANスイッチや無線LANアクセスポイントへの接続時に、RADIUSサーバと連携して端末・利用者を厳格認証し、未認証端末の通信をポート遮断する規格。
3行解説（詳細ポイント）
13つの構成要素：①サプリカント（クライアント端末）、②オーセンティケータ（L2スイッチ / 無線LAN AP）、③認証サーバ（RADIUSサーバ）
2EAP-TLS方式ではクライアント証明書とサーバ証明書の双方を検証（相互認証）し、会社貸与PC以外の私物端末の接続を完全排除
3WPA3ではパーソナルモードの鍵交換にSAE（Simultaneous Authentication of Equals：Dragonflyハンドシェイク）を採用し、辞書攻撃やKRACK攻撃への耐性を強化
あいでぃーえす / あいぴーえす / えぬでぃーあーるネットワーク午前II午後I記述★★★
IDS / IPS と NDR (Network Detection and Response)
Intrusion Detection System / Intrusion Prevention System / NDR1行解説（要点）
ネットワーク上のパケットや通信フローを監視し、不正侵入の兆候を検知・通知（IDS）またはインラインでリアルタイム遮断（IPS）するシステム。
3行解説（詳細ポイント）
1シグネチャ型（既知の攻撃パターンとの一致検出）とアノマリ型（異常検出型：通常時の通信ベースラインからの逸脱を検出）の2方式
2NIDS（ネットワーク型）はスイッチのミラーポート（SPAN）やTAP経由で監視するが、TLS暗号化通信のペイロード検査には復号機構が必要
3NDRは機械学習とNetFlow/パケット解析を用い、EDRを導入できないIoT機器や内部ネットワークの横展開（East-West通信）の異常を検知
りばーすぷろきし / てぃーえるえすしゅうたんネットワーク午前II午後I記述★★★
リバースプロキシ と TLS終端・フォワードプロキシ
Reverse Proxy / TLS Termination / Forward Proxy1行解説（要点）
外部インターネットから内部Webサーバへの要求を代理受信するリバースプロキシと、社内端末から外部Webへの通信を代理中継するフォワードプロキシ。
3行解説（詳細ポイント）
1リバースプロキシ：DMZに配置し、外部からのTLS終端（復号）、負荷分散、キャッシュ、WebサーバのIP隠蔽・直接アクセス遮断を実現
2フォワードプロキシ：社内LANから外部インターネットへのHTTP/HTTPSアクセスを一元中継し、URLフィルタリング・マルウェア検査・アクセスログ取得を実施
3X-Forwarded-For（XFF）ヘッダ：リバースプロキシやCDNを経由する際、本来の接続元クライアントIPアドレスを後段のWebサーバへ伝達するヘッダ
びーじーぴーはいじゃっく / あーるぴーけーあいネットワーク午前II午後I記述★★
BGPハイジャック対策 と RPKI / ROA
Border Gateway Protocol Security / Resource Public Key Infrastructure (ROA)1行解説（要点）
インターネット上のAS（自律システム）間で経路情報を交換するBGPにおいて、不正な経路広告による通信乗っ取りを電子証明書（ROA）で検証・排除する仕組み。
3行解説（詳細ポイント）
1BGPは本来相手の経路広告を無条件に信頼する設計のため、設定ミスや悪意あるASによる「BGPハイジャック（経路乗っ取り）」が発生し得る
2RPKI（リソースPKI）では、IPアドレスブロックの正当な保有者が「自ネットワークのプレフィックスと広告元AS番号の対応」に電子署名したROAを登録
3各事業者のBGPルータはROAを照合（Route Origin Validation：ROV）し、不正なASからの経路広告（Invalid）を破棄する
でぃーえいちしーぴーすぬーぴんぐ / だいネットワーク午前II午後I記述★★
DHCPスヌーピング と Dynamic ARP Inspection (DAI)
DHCP Snooping / Dynamic ARP Inspection1行解説（要点）
L2スイッチ上で不正な偽DHCPサーバからの応答を遮断し、正規のIP・MACアドレス対応表を用いてARPスプーフィング（中間者攻撃）を阻止するL2防御機能。
3行解説（詳細ポイント）
1DHCPスヌーピング：スイッチの各ポートをTrusted（正規DHCPサーバ接続ポート）とUntrusted（端末ポート）に分類し、UntrustedからのDHCP OFFER等を破棄
2正常なDHCP割当て通信から「MACアドレス・IPアドレス・VLAN・ポート番号」のバインディングテーブルをスイッチ内部に自動生成
3DAI（Dynamic ARP Inspection）：バインディングテーブルと一致しない偽造ARPリプライ（ARPポイズニング）をスイッチで破棄
えいちてぃーてぃーぴーせきゅりてぃへっだ / くっきーぞくせいネットワーク午前II午後I記述★★★
HTTPセキュリティヘッダ (HSTS / CSP / X-Frame-Options) と Cookie属性
HSTS / Content-Security-Policy / Cookie Secure, HttpOnly, SameSite1行解説（要点）
WebサーバからのHTTPレスポンスヘッダでブラウザのセキュリティ機構を制御し、通信の強制HTTPS化・XSS被害抑止・クリックジャッキング・セッション盗難を防ぐ仕組み。
3行解説（詳細ポイント）
1HSTS（Strict-Transport-Security）：ブラウザに「以降は必ずHTTPSで接続せよ」と記憶させ、SSL Strip（HTTPへのダウングレード攻撃）を防止
2CSP（Content-Security-Policy）：スクリプトの読込元ドメイン等をホワイトリスト指定し、インラインスクリプト実行（XSS）や不正外部送信を阻止
3Cookieの3大保護属性：Secure（HTTPS通信時のみ送信）、HttpOnly（JavaScriptのdocument.cookieからの読取禁止）、SameSite（クロスサイト送信制限でCSRF抑止）
えすきゅーえるいんじぇくしょん / ぷれーすほるだ攻撃・脆弱性午前II午後I記述★★★
SQLインジェクション と プレースホルダ (プリペアドステートメント)
SQL Injection & Parameterized Queries / Prepared Statements1行解説（要点）
利用者からの入力値を文字列連結してSQL文を組み立てる不備を突き、意図しないSQLコマンドを実行させてDBの不正閲覧・改ざんを行う攻撃と、その根本対策。
3行解説（詳細ポイント）
1根本対策は「プレースホルダ（パラメータ化クエリ / プリペアドステートメント）」の採用であり、SQL文の構文構造とデータ値を分離してバインドする
2静的プレースホルダでは、先にSQL文の構文解析（コンパイル）が完了してからパラメータ値を代入するため、入力値によってSQLの論理構造が絶対に変化しない
3エラーメッセージを表示しない環境でも、応答の真偽差やSLEEP関数による応答遅延を利用した「ブラインドSQLインジェクション」が成立する
くろすさいとすくりぷてぃんぐ / くろすさいとりくえすとふぉーじぇり攻撃・脆弱性午前II午後I記述★★★
クロスサイトスクリプティング (XSS) と CSRF (クロスサイトリクエストフォージェリ)
Cross-Site Scripting (XSS) / Cross-Site Request Forgery (CSRF)1行解説（要点）
被害者のブラウザ上で悪意あるスクリプトを実行させるXSSと、ログイン中の利用者のブラウザから本人の意図しない状態変更リクエストを強制送信させるCSRF。
3行解説（詳細ポイント）
1XSS（反射型・格納型・DOM Based）：HTML出力時の特殊文字エスケープ（サニタイジング：& < > " ' の実体参照化）およびテンプレートエンジンの自動エスケープで根本対策
2CSRF：罠サイト閲覧時にセッションCookieが自動付与される仕組みを悪用するため、POSTリクエストごとに推測困難な「CSRFトークン」を検証して根本対策
3仮に同一サイト内にXSS脆弱性が存在すると、JavaScriptで正規ページからCSRFトークンを読み取られてしまうため、CSRF対策も無力化される
えすえすあーるえふ / さーばさいどりくえすとふぉーじぇり攻撃・脆弱性午前II午後I記述★★★
SSRF (Server-Side Request Forgery)
Server-Side Request Forgery1行解説（要点）
Webサーバが外部URLへHTTPリクエストを発行する機能（WebhookやURLプレビュー等）を悪用し、外部から直接到達できない内部ネットワークやクラウドメタデータAPIへ不正アクセスさせる攻撃。
3行解説（詳細ポイント）
1攻撃者が指定したURL（例：http://169.254.169.254/... や http://192.168.1.10/admin）へサーバ自身からリクエストを送信させる
2パブリッククラウド（AWS/GCP/Azure）環境では、インスタンスメタデータサービス（IMDS）から一時IAMクレデンシャルを窃取される致命的被害に直結
3対策は接続先URLのホワイトリスト制限、名前解決後のIPアドレスがプライベートIP/リンクローカルIPでないことの検証、IMDSv2（トークン必須化）の適用
どういつおりじんぽりしー / こーす攻撃・脆弱性午前II午後I記述★★★
同一オリジンポリシー (SOP) と CORS (オリジン間リソース共有)
Same-Origin Policy (SOP) / Cross-Origin Resource Sharing (CORS)1行解説（要点）
ブラウザが異なるオリジン（スキーム・ホスト・ポート）間のリソース読取りを制限する基本防御機構（SOP）と、HTTPヘッダで安全に例外許可を与える仕組み（CORS）。
3行解説（詳細ポイント）
1オリジンは「スキーム（https://）＋ホスト名（example.com）＋ポート番号（:443）」の3つが完全一致する場合のみ同一と判定
2SOPはクロスオリジンへのリクエスト『送信』自体は止めない場合があるが、レスポンスのJavaScriptからの『読取り』を厳格にブロックする
3CORSでは Access-Control-Allow-Origin ヘッダで許可オリジンを指定し、プリフライトリクエスト（OPTIONSメソッド）で事前確認を行う
おーえすこまんどいんじぇくしょん / でぃれくとりとらばーさる攻撃・脆弱性午前II午後I記述★★★
OSコマンドインジェクション と ディレクトリトラバーサル
OS Command Injection / Path (Directory) Traversal1行解説（要点）
シェルを起動する関数に外部入力値を渡して任意のOSコマンドを実行させる攻撃と、相対パス（../）を入力して公開ディレクトリ外の機密ファイルを読み書きさせる攻撃。
3行解説（詳細ポイント）
1OSコマンドインジェクション対策：シェルを起動できる関数（system, exec等）を使用せず、言語標準ライブラリAPIやシェルを介さない配列引数指定（execFile等）を使用する
2ディレクトリトラバーサル対策：外部からファイル名を直接指定させない設計、またはパス名からベース名のみを抽出（basename）・正規化後に許可ディレクトリ配下かを検証する
3万一突破された場合の被害極小化として、Webアプリケーション実行プロセスのOS権限を最小化し、chrootやコンテナでアクセス可能範囲を隔離する
ばっふぁおーばーふろー / えーえすえるあーる / でっぷ攻撃・脆弱性午前II午後I記述★★★
バッファオーバーフロー と メモリ保護機構 (ASLR / DEP / カナリア)
Buffer Overflow / ASLR / DEP (NX bit) / Stack Canary1行解説（要点）
C/C++等のプログラムで確保されたメモリ領域の境界を超えてデータを書き込み、関数からの戻り番地（リターンアドレス）を書き換えて任意コードを実行させる攻撃とOS/コンパイラ防御機構。
3行解説（詳細ポイント）
1スタックバッファオーバーフロー：境界チェックのない関数（strcpy, gets, sprintf等）の悪用により、スタック上のリターンアドレスを攻撃コードの番地に上書き
2DEP（データ実行防止 / NXビット）：スタックやヒープなどのデータ領域上のメモリページに「実行不可」属性を付与し、注入されたシェルコードの直接実行を阻止
3ASLR（アドレス空間配置のランダム化）：プログラム起動ごとに実行ファイルや共有ライブラリ（libc等）のメモリ配置アドレスをランダム化し、ROP（Return-Oriented Programming）攻撃を困難化
ぱすわーどりすとこうげき / りばーすぶるーとふぉーす攻撃・脆弱性午前II午後I記述★★★
パスワードリスト攻撃 と ブルートフォース / リバースブルートフォース攻撃
Credential Stuffing (Password List Attack) / Brute-Force / Password Spraying1行解説（要点）
他社サービスから漏洩したID・パスワードの組を流用して不正ログインを試みるパスワードリスト攻撃と、アカウントロックを回避しながら推測試行するリバースブルートフォース。
3行解説（詳細ポイント）
1パスワードリスト攻撃（Credential Stuffing）：利用者のパスワード使い回しを悪用するため、1アカウントあたりの失敗回数が少なくアカウントロック閾値に引っかかりにくい
2リバースブルートフォース（パスワードスプレー攻撃）：「1つのよく使われるパスワード（例：Password123!）」を固定し、多数の利用者IDに対して1回ずつ試行することでアカウントロックを回避
3対策は多要素認証（MFA）・パスキーの導入、リスクベース認証（普段と異なるIP・端末・時間帯での追加認証）、ボット検知（WAF/CAPTCHA/IPレート制限）
さぷらいちぇーんこうげき攻撃・脆弱性午前II午後I記述★★★
サプライチェーン攻撃 (委託先踏み台・OSS汚染)
Supply Chain Attack (Third-Party & Software Supply Chain)1行解説（要点）
強固な標的企業を直接狙うのではなく、セキュリティ対策が相対的に手薄な取引先・海外拠点・委託先や、開発ツール・OSSパッケージを侵害して踏み台にする攻撃。
3行解説（詳細ポイント）
1組織的サプライチェーン攻撃：保守委託先やグループ会社のVPNを侵害し、発注元企業と接続された専用線・信頼された通信経路を経由して本丸へ侵入
2ソフトウェアサプライチェーン攻撃：正規のソフトウェア更新プログラムへのマルウェア混入や、タイポスクワッティング・依存関係混乱（Dependency Confusion）による不正OSSパッケージの導入
3対策は委託先のセキュリティ監査・契約要件化、拠点間VPNの最小権限化（ゼロトラスト化）、SBOM管理とビルド環境・コード署名の保護
でぃーどすこうげき / でぃーあーるでぃーおーえす攻撃・脆弱性午前II午後I記述★★★
DDoS攻撃 / DRDoS攻撃 (リフレクション・増幅攻撃) と SYN Flood
Distributed Denial of Service / Distributed Reflective DoS / SYN Flood1行解説（要点）
多数のホストから標的へ大量の通信や処理負荷を集中させてサービス不能に陥らせるDDoS攻撃と、UDPプロトコルの応答サイズ倍率を悪用するDRDoS（リフレクション）攻撃。
3行解説（詳細ポイント）
1DRDoS（分散反射型DoS）：送信元IPアドレスを「攻撃対象のIP」に偽装（IPスプーフィング）し、インターネット上の多数のオープンリゾルバ（DNS）やNTPサーバへリクエストを送信して巨大な応答を標的に浴びせる
2SYN Flood攻撃：TCP 3ウェイハンドシェイクのSYNパケットを大量送信し、サーバ側をSYN-RECEIVED（ハーフオープン）状態のまま接続キューを枯渇させる（対策はSYN Cookies）
3Slowloris / HTTP Flood：L7（アプリケーション層）で不完全なHTTPヘッダをゆっくり送り続けてセッション枠を占有したり、高負荷な動的ページ検索を連打する攻撃
あんぜんでないでしりあらいぜーしょん / えっくすえっくすいー攻撃・脆弱性午前II午後I記述★★
安全でないデシリアライゼーション と XXE (XML外部実体参照)
Insecure Deserialization / XML External Entity (XXE)1行解説（要点）
信頼できない外部データをオブジェクトに復元（デシリアライズ）する際にマジックメソッド等が悪用されて任意コードが実行される脆弱性と、XML解析時に外部ファイル読込等を発生させるXXE脆弱性。
3行解説（詳細ポイント）
1デシリアライゼーション攻撃：JavaやPHP、Python（pickle等）の独自シリアライズ形式を外部から改ざんして渡すことで、復元時にガジェットチェーンが発火しRCE（遠隔コード実行）に至る
2XXE（XML External Entity）：XMLデータのDOCTYPE宣言内でSYSTEM識別子（file:///etc/passwd や http://内部IP/）を定義し、XMLパーサにサーバ内ファイルや内部通信を読み取らせる攻撃
3対策はデータ交換にJSON等のデータ専用フォーマットを用いること（または署名検証）、XMLパーサ設定で外部実体参照（External Entity）とDTD処理を明示的に無効化すること
しーむ / そあー対応・フォレンジック午前II午後I記述★★★
SIEM / SOAR (ログ統合相関分析・対処自動化)
Security Information and Event Management / Security Orchestration, Automation and Response1行解説（要点）
多様な機器（FW/WAF/EDR/AD/クラウド）のログを一元収集・正規化してリアルタイム相関分析するSIEMと、プレイブックに基づき封じ込め対応を自動実行するSOAR。
3行解説（詳細ポイント）
1SIEM：単一の機器のログだけでは見えない複合的な攻撃（例：VPNログイン成功直後のAD特権昇格と大量ファイル転送）を横断的な相関ルールで検知
2全機器の時刻同期（NTP）とログフォーマットの正規化、および攻撃者による証拠隠滅（ログ消去）を防ぐ別ネットワークへのリアルタイム転送・WORM保管が前提
3SOAR：SIEMのアラートをトリガーに、プレイブック（手順定義）に従って脅威インテリジェンス照会、EDRでの端末隔離、FWでの通信遮断、チケット起票を数秒で自動実行
きょういいんてりじぇんす / すてぃっくす / たくしー対応・フォレンジック午前II午後I記述★★
脅威インテリジェンス と STIX / TAXII / IOC
Cyber Threat Intelligence / STIX / TAXII / Indicator of Compromise1行解説（要点）
攻撃者の戦術・技術・手順（TTP）や侵害指標（IOC）を構造化して組織間でリアルタイム共有・自動防御に活用する仕組みと標準フォーマット。
3行解説（詳細ポイント）
1IOC（Indicator of Compromise：侵害指標）：マルウェアのハッシュ値、C2サーバのIPアドレス・ドメイン名、特徴的な通信URLなどの痕跡情報
2STIX（Structured Threat Information Expression）：脅威情報（攻撃者、キャンペーン、TTP、IOC）をJSON形式で構造化記述する表現フォーマット
3TAXII（Trusted Automated Exchange of Indicator Information）：STIX形式で記述された脅威情報をHTTPS上で安全に自動交換するための通信プロトコル
さいばーきるちぇーん / まいたーあたっく対応・フォレンジック午前II午後I記述★★★
サイバーキルチェーン と MITRE ATT&CK
Cyber Kill Chain / MITRE ATT&CK Framework1行解説（要点）
標的型攻撃の進行段階を7フェーズで定義したサイバーキルチェーンと、侵入後の攻撃者の具体的な戦術（Tactics）と技術（Techniques）を体系化したMITRE ATT&CK。
3行解説（詳細ポイント）
1サイバーキルチェーンの7段階：①偵察 ➔ ②武器化 ➔ ③配送 ➔ ④攻撃（エクスプロイト） ➔ ⑤インストール ➔ ⑥C&C（遠隔操作） ➔ ⑦目的実行
2キルチェーンのどこかの段階を断ち切れば最終被害（情報窃取・暗号化）を阻止できるという多層防御の考え方
3MITRE ATT&CK：実際の攻撃観測事例に基づき、初期アクセス・実行・永続化・特権昇格・防御回避・認証情報アクセス・横展開・情報収集・流出などのTTPをマトリクス化
らんさむうぇあたいさく / いみゅーたぶるばっくあっぷ対応・フォレンジック午前II午後I記述★★★
ランサムウェア対策 (二重脅迫・イミュータブルバックアップ)
Ransomware Defense / Double Extortion / Immutable (3-2-1-1-0) Backup1行解説（要点）
データを暗号化して身代金を要求するだけでなく、事前に窃取した機密情報の公開を脅す二重脅迫（ダブルエクストーション）型ランサムウェアへの予防・検知・復旧対策。
3行解説（詳細ポイント）
1侵入経路のトップは「VPN機器・リモートデスクトップ（RDP）の脆弱性や認証情報漏洩」であり、境界機器のパッチ適用と多要素認証が最優先
2攻撃者はバックアップデータやVSS（ボリュームシャドウコピー）も破壊・暗号化するため、ネットワークから切り離したオフライン保管やWORM（書き換え不能）なイミュータブルバックアップが必須
3二重脅迫（データ窃取＋暗号化）ではバックアップから業務復旧できても「情報漏洩」は防げないため、侵入検知（EDR）と大量データ外部送信の監視・遮断が不可欠
ぺねとれーしょんてすと / ぜいじゃくせいしんだん対応・フォレンジック午前II午後I記述★★★
ペネトレーションテスト / TLPT / 脆弱性診断
Penetration Testing / Threat-Led Penetration Testing (Red Team)1行解説（要点）
システム全体の既知の脆弱性を網羅的に洗い出す「脆弱性診断」と、特定の達成目標（機密データ奪取等）に向けて攻撃者視点で連鎖的に侵入を試みる「ペネトレーションテスト」。
3行解説（詳細ポイント）
1脆弱性診断：対象システムに脆弱性が存在するかどうかを網羅的（広く浅く）に検査し、一覧化して修正を促すテスト
2ペネトレーションテスト：発見した複数の弱点や設定不備を連鎖的に組み合わせて、「実際に重要情報に到達できるか」「SOC/CSIRTが検知・対処できるか」を深く実証
3TLPT（脅威ベースのペネトレーションテスト / レッドチーム演習）：実在の攻撃者グループの脅威インテリジェンスに基づき、守備側（ブルーチーム）に事前通告なしで本番環境への模擬攻撃を実施
めもりふぉれんじっく / たいむらいんぶんせき対応・フォレンジック午前II午後I記述★★★
メモリフォレンジック と タイムライン分析・ログ保全
Memory Forensics & Timeline Analysis1行解説（要点）
ディスク上にファイルを残さないファイルレスマルウェアや暗号化鍵・通信ソケットを、電源切断前の揮発性メモリ（RAM）ダンプから抽出・解析する調査技法。
3行解説（詳細ポイント）
1ファイルレスマルウェアはディスクに実行ファイルを書き込まずメモリ上のプロセス（PowerShellや正規プロセスへのDLLインジェクション）だけで動作するため、電源を切ると痕跡が消滅する
2メモリダンプからは「実行中プロセス一覧」「確立中のTCP/UDP通信ソケット」「クリップボード」「ディスク暗号化鍵」「注入された悪성コード」を抽出可能
3タイムライン分析では、ファイルのMACBタイムスタンプ（Modified / Accessed / Changed / Birth）やイベントログ、プロキシログをUTC等で時刻統一して時系列結合する
はにーぽっと / すれっとはんてぃんぐ対応・フォレンジック午前II午後I記述★★
ハニーポット と 脅威ハンティング (Threat Hunting)
Honeypot / Cyber Deception / Threat Hunting1行解説（要点）
あえて脆弱性や魅力的な資産があるように見せかけたおとりシステム（ハニーポット）による攻撃手法の観測と、アラートが出る前に仮説ベースで潜伏脅威を能動探索する脅威ハンティング。
3行解説（詳細ポイント）
1ハニーポット：インターネット側で攻撃者のスキャンや未知マルウェア検体を収集する用途と、社内LANに配置して侵入者の内部偵察を即座に検知する用途（内部ハニーポット）がある
2対話度による分類：OSやサービスをソフトウェアで簡易模倣する「低対話型（乗っ取りリスクが低い）」と、実OSを稼働させて詳細な挙動を記録する「高対話型（踏み台化防止の通信制御が必須）」
3脅威ハンティング：既存の自動検知ルール（SIEM/EDRアラート）をすり抜けて潜伏している高度な攻撃者を、アナリストが仮説を立ててログやエンドポイントから能動的に洗い出す活動
あいえすえむえす統制・法務・基準午前II午後I記述★★★
ISMS (JIS Q 27001 / ISO/IEC 27001・27002・27017)
Information Security Management System (ISO/IEC 27001 / 27017)1行解説（要点）
組織の情報資産の機密性（C）・完全性（I）・可用性（A）をバランスよく維持・改善するための情報セキュリティマネジメントシステム国際規格。
3行解説（詳細ポイント）
1リスクアセスメントの手順：①リスクの特定 ➔ ②リスクの分析（発生可能性×影響度） ➔ ③リスクの評価（受容基準との比較） ➔ リスク対応（低減・保有・回避・移転/共有）
2ISO/IEC 27001（2022年改訂版）では管理策が「組織的・人的・物理的・技術的」の4カテゴリ（計93項目）に再編され、「脅威インテリジェンス」「クラウドサービス利用」「ICTの事業継続」等が新設
3ISO/IEC 27017はクラウドサービスプロバイダ（CSP）とカスタマ（CSC）双方の責任分界に基づくクラウドセキュリティ管理策を規定
いずまっぷ / きょうどうせきにんもでる統制・法務・基準午前II午後I記述★★★
ISMAP (政府情報システムのためのセキュリティ評価制度) と 共同責任モデル
Information system Security Management and Assessment Program / Shared Responsibility Model1行解説（要点）
政府機関等が安全なクラウドサービスを迅速に調達できるよう、セキュリティ要求基準を満たすクラウドサービスを予め評価・登録する制度と、IaaS/PaaS/SaaSの責任分界原則。
3行解説（詳細ポイント）
1ISMAP：ISO/IEC 27001・27017やNIST SP 800-53をベースにした管理基準に基づき、外部監査機関が監査し、ISMAPクラウドサービスリストに登録・公開
2低リスクな業務・情報のSaaSを対象に、監査負荷を軽減した「ISMAP for Low-Impact Use（ISMAP-LIU）」も運用
3共同責任モデル（Shared Responsibility Model）：クラウド事業者（CSP）は「クラウド自体のセキュリティ」を担い、利用者（CSC）は「クラウド上のデータ・ID・アクセス権限設定のセキュリティ」を担う
こじんじょうほうほごほう統制・法務・基準午前II午後I記述★★★
個人情報保護法 (漏えい等報告義務・安全管理措置・仮名加工/匿名加工情報)
Act on the Protection of Personal Information (APPI)1行解説（要点）
個人データの適正な取扱い、安全管理措置（組織的・人的・物理的・技術的）、委託先監督、および漏えい等発生時の個人情報保護委員会への報告・本人通知義務を定めた法律。
3行解説（詳細ポイント）
1報告・本人通知義務の対象：①要配慮個人情報、②財産的被害のおそれ（クレカ番号等）、③不正の目的によるおそれ（ランサムウェア・不正アクセス等）、④1,000人超の漏えい等（またはそのおそれ）
2報告期限：事態を知った時点から原則3〜5日以内に「速報」、30日以内（不正目的の場合は60日以内）に原因や再発防止策をまとめた「確報」を提出
3匿名加工情報（特定の個人を識別できず復元も不能にした情報：第三者提供可）と、仮名加工情報（他の情報と照合しない限り識別できないよう氏名等を削除した情報：社内分析用で第三者提供は原則不可、漏えい報告義務の対象外）
ぴーしーあいでぃーえすえす / とーくないぜーしょん統制・法務・基準午前II午後I記述★★
PCI DSS (クレジットカード情報セキュリティ基準) と トークナイゼーション
Payment Card Industry Data Security Standard / Tokenization1行解説（要点）
国際カードブランド5社が共同策定したクレジットカード会員データ保護基準（PCI DSS）と、ECサイトがカード番号を一切保持・通過させずに決済を行う非保持化・トークナイゼーション技術。
3行解説（詳細ポイント）
1割賦販売法の実行計画により、EC加盟店には原則としてカード情報の「非保持化（自社サーバを保存・処理・通過させない）」または「PCI DSS準拠」が求められる
2JavaScript型トークナイゼーション：購入者のブラウザから決済代行会社（PSP）のサーバへ直接カード番号を送信して無価値なトークンに変換し、加盟店サーバにはトークンのみを渡すことで非保持化を達成
3ただし加盟店の決済ページ自体が改ざん（Webスキミング / Magecart攻撃）されると、ブラウザ上でカード番号を盗まれるため、CSP導入やスクリプト完全性検証（SRI）が不可欠
じょうほうせきゅりてぃがばなんす / さいばーせきゅりてぃけいえいがいどらいん統制・法務・基準午前II午後I記述★★
情報セキュリティガバナンス (JIS Q 27014) と サイバーセキュリティ経営ガイドライン
Governance of Information Security (ISO/IEC 27014) & Cybersecurity Management Guidelines1行解説（要点）
経営陣が情報セキュリティを「単なるITコスト」ではなく「企業価値向上・事業継続のための経営投資」と位置づけ、リーダーシップをとって統治・監督する枠組み。
3行解説（詳細ポイント）
1経済産業省・IPA「サイバーセキュリティ経営ガイドライン」は、経営者が認識すべき3原則と、CISO等に指示すべき重要10項目を定義
2JIS Q 27014（情報セキュリティガバナンス）における統治プロセス：評価（Evaluate）➔ 指示（Direct）➔ モニタ（Monitor）➔ コミュニケーション（Communicate）➔ 保証（Assure）
33ディフェンスライン（3線モデル）：第1線（事業部門・システム運用部門）、第2線（CISO・リスク管理・セキュリティ統括部門）、第3線（独立した内部監査部門）
びーしーぴー / びじねすいんぱくとぶんせき / あーるてぃーおー・あーるぴーおー統制・法務・基準午前II午後I記述★★★
BCP (事業継続計画) と BIA / RTO・RPO・RLO (情報セキュリティ継続)
Business Continuity Plan / Business Impact Analysis / RTO & RPO1行解説（要点）
大規模サイバー攻撃や災害によるシステム停止時に重要業務を目標時間内に復旧させる計画（BCP）と、許容停止時間（RTO）および許容データ消失時点（RPO）の指標定義。
3行解説（詳細ポイント）
1BIA（ビジネスインパクト分析）：業務停止が経営に与える影響度を評価し、優先復旧すべき重要業務と、その稼働に必要なITリソースを特定するプロセス
2RTO（Recovery Time Objective：目標復旧時間）：障害発生から業務・システムをいつまでに復旧させるかの目標時間（冗長構成やホットスタンバイ等で短縮）
3RPO（Recovery Point Objective：目標復旧時点）：障害発生時に「過去どの時点のデータまで遡って復元できればよいか（データの最大許容消失期間）」（バックアップ頻度やレプリケーション方式を決定）
こもんくらいてりあ / ふぃっぷす / くりぷとれっく統制・法務・基準午前II午後I記述★★
CC (ISO/IEC 15408) と FIPS 140-3 / CRYPTREC暗号リスト
Common Criteria (ISO/IEC 15408) / FIPS 140-3 / CRYPTREC1行解説（要点）
IT製品のセキュリティ機能と保証レベルを第三者評価・認証する国際規格（ISO/IEC 15408：CC）、暗号モジュールの安全性基準（FIPS 140-3）、および日本の電子政府推奨暗号リスト（CRYPTREC）。
3行解説（詳細ポイント）
1ISO/IEC 15408（CC：Common Criteria）：製品種別ごとのセキュリティ要求仕様をまとめたPP（Protection Profile）に対し、個別製品（TOE）の設計仕様書であるST（Security Target）を評価機関が審査しEAL1〜7で保証
2CRYPTREC暗号リスト：「電子政府推奨暗号リスト（現在推奨）」「推奨候補暗号リスト（安全性・性能が確認され今後掲載見込み）」「運用監視暗号リスト（互換性維持目的のみ許容）」の3リスト構成
3FIPS 140-3：米国NISTが定める暗号モジュール（HSM等）のセキュリティ要件規格であり、物理的耐タンパー性などに応じてセキュリティレベル1〜4を規定
でぃーえるぴー / ひみつけいさん / さぶんぷらいばしー統制・法務・基準午前II午後I記述★★
DLP (Data Loss Prevention) と 秘密計算・差分プライバシー
Data Loss Prevention / Confidential Computing / Differential Privacy1行解説（要点）
機密情報の定義ルールや機密ラベルに基づき外部持ち出しを監視・遮断するDLPと、データを暗号化・秘匿したまま処理・統計活用するプライバシー強化技術（PETs）。
3行解説（詳細ポイント）
1DLP（情報漏洩防止）：利用者属性だけでなく「データの中身（機密キーワード、マイナンバー・クレカ番号の正規表現、機密ラベル、文書フィンガープリント）」を識別してメール送信・Webアップロード・USB書出しを阻止
2秘密計算（Confidential Computing / 準同型暗号・秘密分散・TEE）：クラウド上のメモリ展開時や演算処理中もデータを平文化せず、クラウド管理者からさえデータを秘匿したまま計算を実行
3差分プライバシー（Differential Privacy）：統計データや機械学習モデルの出力に数学的に制御されたノイズを加え、特定の個人のデータが含まれていたかどうかを逆推定（再識別）できないようにする技術
あーぷすぷーふぃんぐ / ぷらいべーとぶいらんネットワーク午前II午後I記述★★
ARPスプーフィング と プライベートVLAN・MACフラッディング
ARP Spoofing (ARP Cache Poisoning) / Private VLAN / MAC Flooding1行解説（要点）
同一セグメント内で偽のARP応答を送って通信を横取りするARPスプーフィングと、L2スイッチのMACアドレステーブルを溢れさせて盗聴するMACフラッディングへの対策。
3行解説（詳細ポイント）
1ARPスプーフィング：ゲートウェイのIPアドレスに対するMACアドレスを「攻撃者端末のMAC」と偽装したARPリプライ（Gratuitous ARP等）を送り、標的PCのARPテーブルを書き換えて中間者攻撃（MITM）を行う
2MACフラッディング：送信元MACをランダム偽装したフレームを大量送信してL2スイッチのMACアドレステーブルを満杯にし、宛先不明フレームを全ポートへ転送（リピータハブ化）させて通信を盗聴する
3対策はポートセキュリティ（1ポートあたりの学習MACアドレス数制限）、DAI（Dynamic ARP Inspection）、および端末間の直接通信を遮断するプライベートVLAN（クライアントアイソレーション）
せっしょんかんりのぜいじゃくせい / せっしょんふぃくせーしょん攻撃・脆弱性午前II午後I記述★★★
セッション管理の脆弱性 (セッションフィクセーション・セッションハイジャック)
Session Management Vulnerabilities / Session Fixation & Hijacking1行解説（要点）
攻撃者が事前に取得したセッションIDを被害者に使わせてログインさせ、ログイン完了後に同じセッションIDでなりすます「セッションフィクセーション（固定化）攻撃」とその対策。
3行解説（詳細ポイント）
1セッションハイジャック：通信盗聴、XSSによるdocument.cookie読取り、推測可能な連番セッションID、RefererヘッダからのURLパラメータ漏洩等により、利用中のセッションIDを奪う攻撃
2セッションフィクセーション：ログイン前とログイン後で同じセッションIDを継続使用する設計不備を突き、攻撃者が用意したセッションIDを罠リンクやCookieインジェクションで被害者にセットしてログインさせる攻撃
3セッションフィクセーションの根本対策は「ログイン成功時に必ず既存のセッションを破棄し、新しいセッションIDを再発行すること」
おーぷんりだいれくと / くりっくじゃっきんぐ攻撃・脆弱性午前II午後I記述★★
オープンリダイレクト と クリックジャッキング・ディレクトリリスティング
Open Redirect / Clickjacking (UI Redressing) / Directory Listing1行解説（要点）
URLパラメータで指定された任意の外部サイトへ強制遷移させるオープンリダイレクト脆弱性と、透明なiframeを重ねて意図しないボタンを押させるクリックジャッキング。
3行解説（詳細ポイント）
1オープンリダイレクト：正規サイトのログイン後遷移先指定（?redirect=https://evil.example.com）等を悪用し、URLの先頭が正規ドメインであるため利用者を安心させてフィッシングサイトへ誘導（OAuthの認可コード漏洩にも悪用）
2オープンリダイレクト対策：遷移先URLを外部から直接指定させず固定番号マッピングにするか、同一ドメイン内の相対パスのみを許可・ドメインホワイトリスト検証を行う
3クリックジャッキング：罠ページ上に処理対象サイトを透明（opacity: 0）なiframeで重ねて表示し、ゲームのボタン等をクリックしたつもりの利用者に退会や送金ボタンを押させる視覚的騙し（対策はX-Frame-OptionsまたはCSP frame-ancestors）
えすえすえいちこうかいかぎにんしょう / ぽーとふぉわーでぃんぐネットワーク午前II午後I記述★★★
SSH公開鍵認証 と ポートフォワーディング・踏み台 (Bastion) 制御
SSH Public Key Authentication & Port Forwarding / Bastion Host1行解説（要点）
サーバ遠隔管理で用いられるSSHの公開鍵認証設定（authorized_keys）と、SSHトンネル経由で内部ネットワークへ通信を転送するポートフォワーディングの仕組みおよび悪用防止策。
3行解説（詳細ポイント）
1SSH公開鍵認証：クライアント側で保持する秘密鍵（パスフレーズ暗号化保護）と、接続先サーバの ~/.ssh/authorized_keys に登録した公開鍵を用いてチャレンジ＆レスポンス署名で認証
2ローカルポートフォワーディング（ssh -L）：手元PCのポートへの通信をSSHトンネル経由で踏み台サーバの向こう側の内部サーバへ転送する機能
3リモートポートフォワーディング（ssh -R）：内部ネットワークから外部の攻撃者SSHサーバへ外向き接続を張り、外部から内部LANへの逆方向トンネルを開通させる攻撃（防火墙バイパス）に悪用されやすい
だいさんしゃちゅうけいぼうし / おーぴーにーごーびー / すたーとてぃーえるえすネットワーク午前II午後I記述★★
メール中継制御 (第三者中継防止) と OP25B・SMTPS / STARTTLS
Open Mail Relay Prevention / Outbound Port 25 Blocking (OP25B) / STARTTLS1行解説（要点）
スパムメールの踏み台化を防ぐオープンリレー（第三者不正中継）禁止設定、動的IPからの25番ポート直接送信遮断（OP25B）、およびサブミッションポート（587番）＋SMTP AUTH・STARTTLSによるメール経路保護。
3行解説（詳細ポイント）
1第三者中継（オープンリレー）禁止：外部から届いたメールのうち「宛先が自社ドメイン以外」のものを無条件に外部へ中継するとスパム踏み台になるため、宛先が自社ドメインのものだけを受信する
2OP25B（Outbound Port 25 Blocking）とサブミッションポート：ボット感染PCからの直接スパム送信を防ぐためISPがTCP 25番を制御し、正規利用者はTCP 587番（サブミッションポート）＋SMTP AUTH（利用者認証）で送信
3STARTTLSの注意点：平文ポート（25/587）で接続後にTLSへアップグレードする日和見暗号化であり、中間者によるSTARTTLSコマンド削除（ストリップ攻撃）にはMTA-STSやDANEで対策する
きょうごうじょうたい / とぅくとぅー攻撃・脆弱性午前II午後I記述★★
競合状態 (Race Condition / TOCTOU) と トランザクション排他制御
Race Condition / Time-of-Check to Time-of-Use (TOCTOU)1行解説（要点）
「条件のチェック（Time-of-Check）」から「実際の使用・更新（Time-of-Use）」までの微小な時間差に複数リクエストを同時並列送信し、残高不足のまま二重出金やクーポン重複取得を行う攻撃。
3行解説（詳細ポイント）
1TOCTOU（Time-of-Check to Time-of-Use）：「①残高や利用済みフラグをSELECTで確認する処理」と「②残高を減算・フラグを更新するUPDATE処理」の間に別スレッドが割り込むことで整合性が破綻
2Webアプリではポイント交換・EC在庫引当・クーポン適用APIに対して複数リクエストをミリ秒単位で同時送信（Single-Packet Attack等）して不正利益を得る手口が多発
3対策はDBのトランザクション分離レベルの設定と「SELECT ... FOR UPDATE（悲観的排他ロック）」または「UPDATE文のWHERE条件に残高・未利用条件を含めてアトミック（不可分）に更新し更新件数を確認する（楽観的ロック）」
きょういもでりんぐ / すとらいどアーキテクチャ午前II午後I記述★★
脅威モデリング (STRIDE / データフロー図) と 攻撃ツリー
Threat Modeling (STRIDE / DFD / Attack Trees)1行解説（要点）
システムの設計段階でデータフロー図（DFD）と信頼境界（Trust Boundary）を描き、6つの脅威分類（STRIDE）を用いてアーキテクチャ上のセキュリティリスクを体系的に洗い出す手法。
3行解説（詳細ポイント）
1STRIDEの6分類：Spoofing（なりすまし）、Tampering（改ざん）、Repudiation（否認）、Information Disclosure（情報漏洩）、Denial of Service（サービス拒否）、Elevation of Privilege（特権昇格）
2データフロー図（DFD）上で「外部エンティティ・プロセス・データストア・データフロー」を整理し、信頼レベルが変わる境界線（信頼境界：Trust Boundary）をまたぐ通信を重点的に分析
3アタックツリー（Attack Tree）：攻撃者の最終目標（ルートノード）を頂点とし、それを達成するためのサブ目標・条件（AND/ORノード）をツリー状に分解して対策の優先順位を決定する手法