用語辞典
CVE・CVSS・RCE・SSRF・XSS・SPF/DKIM/DMARC。むずかしい用語を、一行の直答とやさしい解説で。
GDPR とは — EUの個人データ保護規則と、漏洩時の通知義務
GDPR(General Data Protection Regulation)は、EU域内の個人データを保護するEUの包括的規則。EUの人々にサービスを提供すれば域外の事業者にも及び得る。適法な根拠(同意など)・目的の明確化・データ最小化・本人の権利(開示/削除)・漏洩時の当局通知(原則72時間)などを求め、重大違反には高額の制裁金がある。技術的な要点は『必要な個人データしか集めない・持たない・安全に守る・漏れたら速やかに検知して通知できる』ことに集約される。
OWASP Top 10 とは — Webアプリで最も重大な10大リスクの定番リスト
OWASP Top 10 は、非営利団体 OWASP が数年ごとに公開する『Webアプリで最も重大な10大リスク』のリスト。開発者・運営者の共通言語として広く使われる。最新版(2021)の筆頭は『アクセス制御の不備(Broken Access Control)』で、以下インジェクション・設定ミス・脆弱で古いコンポーネント・認証の不備などが並ぶ。個別の攻撃手法ではなく“リスクのカテゴリ”なので、自分のアプリを点検する観点として使うのが正しい。
PCI DSS とは — クレジットカード情報を扱うためのセキュリティ基準
PCI DSS(Payment Card Industry Data Security Standard)は、カード情報を保存・処理・伝送する事業者が満たすべき国際的なセキュリティ基準。カード国際ブランドが策定し、ネットワーク保護・保存データの暗号化・アクセス制御(必要最小限)・監視/ログ・脆弱性管理などを要求する。実務で最も安全なのは『自前でカード番号を保持せず、準拠済みの決済代行(トークン化)に任せて適用範囲を最小化する』こと。
公開鍵暗号とは — 公開鍵と秘密鍵のペアで暗号化・署名するしくみ
公開鍵暗号＝『公開鍵（誰に配ってよい）』と『秘密鍵（本人だけが持つ）』のペアを使う方式。公開鍵で暗号化したものは対応する秘密鍵でしか復号できず、秘密鍵で作った署名は公開鍵で検証できる。この非対称性が、TLS(HTTPS)の鍵交換・電子署名・パスキーの土台。守りの要点は、暗号を自作しない（枯れた実装を使う）／秘密鍵を厳重に管理・失効できるようにする／鍵長とアルゴリズムを最新の推奨に保つこと。
マルウェアとは — 種類・感染経路・基本の防御
マルウェア（Malicious Software）は、端末やデータに害を与える目的で作られた不正なソフトの総称。ウイルス・ワーム・トロイの木馬・ランサムウェア・スパイウェア・ボットはすべてこの一部。種類ごとに見た目は違っても、守り方は共通で三層——入口を塞ぐ（更新・不審な添付/マクロを開かない・MFA）／検知する（EDR・アンチウイルス）／戻せるようにする（バックアップ）。種類の暗記より、この普遍原則を固めることが本質。
ワンタイムパスワード（OTP）とは — TOTP/HOTP/SMSの違いと限界
ワンタイムパスワード（OTP）は、一度使うと無効になる短命の使い捨てコード。認証アプリのTOTP（時刻ベース）、HOTP（カウンタベース）、SMS-OTP（SMS送信）がある。固定パスワードの漏洩・使い回しに強く、二要素認証の“持っている物”としてよく使われる。ただし限界があり、中間者型フィッシング（AiTM）ではOTPも偽サイト経由で中継され突破されうる。真のフィッシング耐性はドメインに紐づくパスキー。OTPは『無いよりずっと良いが終点ではない』。
二要素認証（2FA）とは — 2段階認証との違いと方式の強弱
二要素認証（2FA）は、『知っている物（パスワード）』に『持っている物・本人そのもの（コード・鍵・生体）』という別カテゴリの証明を足して本人確認を強くする仕組み。よく混同される2段階認証（2回確認）とは厳密には別概念で、パスワード＋SMSコードは実質同カテゴリの2ステップに近い。強さは方式で決まり、SMS/メール < 認証アプリ（TOTP） < パスキー/物理キー（FIDO2）。当サイトの立場は、まず何であれ2FAを入れること、その上でフィッシングに出せない方式へ寄せること。
Let's Encrypt とは — 無料でHTTPSを自動化する証明書認証局
Let's Encrypt＝無料・自動の TLS 証明書認証局（CA）。ACMEプロトコルでドメイン所有を自動確認し、発行・更新を自動化する。証明書は90日と短命で、自動更新が前提（鍵漏えい時の被害を短く区切る設計）。最大の事故は『更新の自動化が静かに壊れて失効→ブラウザ警告で離脱』。だから有効期限の監視が要。当サイト自身も Caddy の自動TLSで Let's Encrypt を使っている。
OpenSSL とは — HTTPS を支える土台ライブラリと、その守り方
OpenSSL＝HTTPS(TLS/SSL)と暗号処理を担うオープンソースの土台ライブラリ。多くの人は直接書かず、Webサーバー・OS・言語ランタイム経由で継承して使う。だから1つのバグの影響範囲が巨大（Heartbleedが典型）。守り方は、①自分の環境が使うOpenSSLを把握 ②EOL版を使わない ③土台の依存もCVE監視 ④重大時は速やかに更新。当サイトが配る証明書も、その下でOpenSSL系の実装が動いている。
パスキーとは — パスワードを使わない、盗めないログインの仕組み
パスキー＝共有秘密（パスワード）を持たないログイン。端末内の秘密鍵＋生体認証で署名し、サーバは公開鍵しか保存しない。だから漏れても悪用できず、偽ドメインでは署名が成立しない＝フィッシング耐性が構造的に高い。パスワード＋SMSコードより安全で、移行は重要アカウントから段階的に進めるのが現実的。
パスワードのハッシュ化とは — 元に戻せない一方向変換で安全に保存する仕組み
パスワードのハッシュ化＝元に戻せない一方向変換でパスワードを保存する方法。平文保存はNG。暗号化と違い復号できないのが利点。ただしMD5/SHA-256を素で使うとレインボーテーブルや総当たりで破られる。正解は『ユーザーごとのソルト』＋『わざと遅い専用ハッシュ（bcrypt/Argon2/scrypt）』。自前実装せず標準ライブラリに任せる。
ソルト（salt）とは — パスワードハッシュに足す“ユーザーごとの味付け”
ソルト＝パスワードをハッシュ化する前に足す、利用者ごとに違うランダムな値。同じパスワードでも保存値が全員バラバラになり、事前計算したレインボーテーブルが無効化され、1回の解析で複数人を破ることもできなくなる。ソルトは秘密ではなくハッシュと一緒に保存してよい。bcrypt/Argon2なら自動で付与される。
フィッシングとは — 手口の種類と「見破る」より確実な防御
フィッシングは、信頼できる相手になりすまして偽のログイン画面などへ誘導し、認証情報や個人情報を盗む（またはマルウェアを実行させる）詐欺。ソフトの脆弱性ではなく『人の判断』を突くのが特徴で、ランサムウェアや情報漏えいの最大の侵入経路。今は本物そっくりの偽サイトでワンタイムコードまで中継する中間者型(AiTM)があり、SMS/アプリのMFAも突破されうる。確実な防御は『見破る注意力』ではなく、ドメインに紐づくフィッシング耐性MFA(パスキー/物理キー)・リンクを踏まず公式へ直接・メール認証(SPF/DKIM/DMARC)。
JWT（JSON Web Token）とは — 署名付きの通行証の仕組みと安全な使い方
JWTは、サーバが署名して発行する改ざん不能な『通行証』。header.payload.signatureの3部からなり、サーバは署名で本物か検証する。要注意＝①署名を必ず検証し期待するalgを固定（alg:none拒否）②中身は誰でも読めるので秘密を入れない③有効期限を短くし失効戦略を持つ。デコード（中身を読む）と検証（署名で本物か確かめる）は別物。
ランサムウェアとは — 仕組み・侵入経路・「払わない」ための防御
ランサムウェアは、ファイルを暗号化して『戻したければ身代金を払え』と要求するマルウェア。今は暗号化に加えてデータを盗み『払わなければ暴露する』と脅す二重恐喝が主流で、復号できても情報漏えいは止まらない。主な侵入口はフィッシング・弱い/MFAなしのVPN/RDP・未修正の公開脆弱性。最重要の防御は『オフライン/改ざん不能なバックアップ＋復元テスト』——払わずに戻せる状態を作ること。入口（MFA・パッチ）と被害範囲（最小権限・分離）も併せて固める。
BitLockerとは — Windowsのディスク暗号化で、盗難・紛失時にデータを守る
BitLockerはWindows内蔵のディスク暗号化。電源を切った/ドライブを抜かれた状態のデータを守り、盗難・紛失時に中身を暗号文化する。最大の落とし穴は回復キーの保管——失うと自分が締め出される。稼働中・ログイン済みのPCは守らないので、強いログイン+自動ロックと併用する。
C2（コマンド＆コントロール）とは — 侵入後に攻撃者が端末を遠隔操作する通信
C2は、侵入された端末が攻撃者サーバーへ通信を返し（コールバック/ビーコン）、命令受信やデータ送出に使われる遠隔操作チャネル。侵入“後”の段階。検知の鍵は外向きの不審な定期通信と既知の悪い宛先。防御は出口(egress)制御・DNS監視・IOC/IOA照合・最小権限。侵害調査では『常駐C2が無いこと』の確認も重要。
CORSとは — 仕組みと、設定ミス（CORS misconfiguration）で起きること
CORSは『別オリジンのJSが自分のAPI応答を読めるか』をブラウザが制御する仕組み。設定ミス＝任意Originの反射や Access-Control-Allow-Origin:* と認証情報の併用で、第三者サイトからログイン済みデータを読まれる。本命の防御は許可リスト方式・Originを鵜呑みに反射しない・既定で拒否。
EDRとは — 端末の“振る舞い”を記録し、すり抜けた攻撃を検知・対応する仕組み
EDRは端末の振る舞いを継続記録し、不審な動き(IOA的)を検知して隔離・調査まで行う仕組み。シグネチャ/IOC照合中心の従来型AVが見逃すファイルレスや正規ツール悪用を、振る舞いとタイムラインで捉える。小規模はフルEDRが不要なことも多く、OS標準の保護＋ログ＋IOAの考え方で多くの価値が得られる。
IOA（攻撃指標）とは — 痕跡ではなく『進行中の攻撃の振る舞い』で気づく
IOA（攻撃指標）は、攻撃の“振る舞い”（権限昇格→横移動→外部送信などの手口の流れ）で気づく考え方。事後の痕跡であるIOCと対になる。ハッシュやIPは攻撃者が一瞬で変えられるが、手口（振る舞い）は変えにくい＝IOAは長く効く。小規模でも『普段と違う挙動』に注目することで近づける。
IOC（侵害指標）とは — 攻撃の痕跡から侵害を見つける手がかり
IOC（侵害指標）は、侵害が残す痕跡＝既知の悪いファイルハッシュ・通信先IP/ドメイン・URL・異常プロセス等。既知の悪いものを機械的に検知・ブロックできるのが価値。ただし攻撃者が使い捨てで変えられる後追いの手がかりなので、IOC照合は“最後の照合材料”であって万能ではない。本命は燃えない設計（最小権限・パッチ・MFA）。
セッション固定（Session Fixation）とは — 攻撃者が用意したIDでログインさせる穴
セッション固定は、攻撃者が用意した既知のセッションIDを被害者に使わせ、ログイン後にそのIDでなりすます攻撃。本命の防御は『ログイン（と権限変化）のたびにセッションIDを再生成する』こと。URLからのID受け取りを禁じ、Cookieは HttpOnly/Secure/SameSite で固める。
クリックジャッキングとは — 透明な罠で“見えないボタン”を押させる攻撃
クリックジャッキングは、自サイトを透明な iframe で別サイトに重ね、利用者に意図しない操作（送金・設定変更・同意）をさせる攻撃。本命の防御は『自サイトを他サイトの枠に埋め込ませない』＝CSP frame-ancestors と X-Frame-Options。
IDORとは — IDを書き換えるだけで他人のデータが見えてしまう穴
IDORは、?id=124 を 125 に書き換えるだけで他人の請求書・個人情報が見える、アクセス制御不備の脆弱性。本命の防御は『サーバー側で“このログイン中の利用者が、この対象を見てよいか”を毎回チェックする』。推測されにくいIDは対策にならない。
オープンリダイレクトとは — 信頼されたURLを踏み台に、別サイトへ飛ばされる穴
オープンリダイレクトは、?next= 等の遷移先パラメータに外部URLを入れられ、信頼ドメインを踏み台に別サイトへ飛ばせる脆弱性。フィッシングの土台になる。本命の防御は『遷移先に外部URLを受け取らない／許可リストか相対パスだけにする』。
パストラバーサルとは — ../ でサーバーの“出してはいけないファイル”を読まれる穴
パストラバーサルは、ファイル名の入力に ../ を混ぜて基準ディレクトリの外へ抜け出し、.env・設定・鍵などを読み書きさせる脆弱性。本命の防御は『利用者入力を生のファイルパスに使わない』『正規化して基準ディレクトリ内に閉じ込める』。
CSRF（クロスサイトリクエストフォージェリ）とは — ログイン中の利用者に“勝手に操作”させる攻撃
CSRFは、ログイン中の利用者のブラウザに“本人が意図しない操作”を勝手に送らせる攻撃。ブラウザがCookieを自動送信する性質を悪用する。本命の防御はCSRFトークン＋SameSite Cookie。状態変更にGETを使わないことも重要。
SPF / DKIM / DMARC とは — 自分のドメインを“なりすましメール”から守る3点セット
SPF/DKIM/DMARCは、自ドメインのメールが本物かを受信側が検証するための3つのDNS設定。SPF=送信を許可するサーバー、DKIM=電子署名、DMARC=方針＋レポート。3つ揃えると、あなたを騙るなりすまし・フィッシングを止められる。DMARCはp=noneから段階的に強める。
SQLインジェクション（SQLi）とは — 入力でデータベースの命令を書き換えられる穴
SQLiは、入力が“データ”でなく“命令の一部”として解釈され、DBへの問い合わせの意味が変わる脆弱性。読み出し・改ざん・全削除に直結。本命の防御は『文字列連結をやめ、プレースホルダ（プリペアドステートメント）で値を渡す』こと。
XSS（クロスサイトスクリプティング）とは — 他人のブラウザで勝手にコードが動く穴
XSSは、攻撃者の用意した文字列が“スクリプトとして”別の利用者のブラウザで実行される脆弱性。セッション窃取・なりすましに直結。本命の防御は『出力時のエスケープ』。フレームワークの自動エスケープを外さないことが最大の対策。
CVE とは — 脆弱性に付く“共通の背番号”のしくみ
CVEは脆弱性に付く世界共通の識別番号（例 CVE-2025-12345）。同じ穴を皆が同じ名前で参照でき、対策・監視の起点になる。CVE=名前、CVSS=深刻度、KEV=悪用中かで役割が違う。個人は機械監視で追うのが現実的。
CVSS とは — 脆弱性の“深刻度スコア”と、その採点基準
CVSSは脆弱性の深刻度を0.0〜10.0で表す共通スコア。点数は『攻撃元・複雑性・必要権限・利用者関与・影響範囲・CIA』という決められたメトリクスを計算式に通して算出される。基準を知れば10.0の意味も読める。ただし優先度はKEV（悪用中か）と自分が使っているかも併せて判断する。
「.env」とは — 環境変数ファイルが漏れると何が起きるか
.env はアプリの秘密値（DB認証・APIキー・暗号鍵）をまとめた設定ファイル。1ファイルに鍵が集まるため、公開されると全シークレットが一度に漏れる。アプリ本体はdocrootの外へ置き、gitにコミットせず、漏れたら全部ローテーションする。
RCE（リモートコード実行）とは — なぜ最悪クラスの脆弱性なのか
RCEは攻撃者がサーバー上で任意のコードを実行できてしまう脆弱性。情報漏洩にとどまらず乗っ取りに直結する最悪クラス。被害範囲は『そのプロセスの権限』で決まる。防御の要は迅速な更新・CVE監視・最小権限。
SSRF（サーバーサイドリクエストフォージェリ）とは
SSRFは、外部入力のURLを使ってサーバーに内部リソース（内部IPやクラウドメタデータ）を叩かせる攻撃。URLを取りに行く機能を作るなら、宛先の許可リスト・内部遮断・リダイレクト/DNS再解決の抜け道塞ぎが必須。Capital One事故の入口でもあった。