用語辞典
CVE・CVSS・RCE・SSRF・XSS・SPF/DKIM/DMARC。むずかしい用語を、一行の直答とやさしい解説で。
言葉の意味と仕組みを知る
略語・技術名で絞り込み、気になる用語の解説へ。
具体的な対策を探す
設定方法や困ったときの手順は「対策・学習」へ。
用語を探す
記事名・説明をページ内で絞り込みます。検索語はURLに残しません。
全37記事
シャドーAIとは：会社が把握していないAI利用のリスクと、組織と個人の対策
シャドーAIは、会社が承認・管理していないAIツール（チャットAI、ブラウザ拡張、コーディング支援、議事録AI、業務アカウントにつないだAIエージェント）を社員が業務に使うこと。シャドーITのAI版。主なリスクは、入力した機密・個人情報が事業者側で保存・…
記事公開 意味・仕組みを読むバックドアとは — 仕組みと、見抜く・防ぐための対策
バックドアは、正規の認証を迂回して再侵入できるよう仕込まれる隠れた侵入経路。脆弱性悪用・認証情報の窃取・汚染した依存などをきっかけに設置され、攻撃者が居座り続ける足場になる。正規の保守口との違いは『誰が・記録に残る形で・許可して作ったか』。…
記事公開 意味・仕組みを読むGDPR とは：EUの個人データ保護規則と、漏洩時の通知義務
GDPR(General Data Protection Regulation)は、EU域内の個人データを保護するEUの包括的規則。EUの人々にサービスを提供すれば域外の事業者にも及び得る。適法な根拠(同意など)・目的の明確化・データ最小化・本人の権利(開示/削除)・漏洩時の当局通知(原則72…
記事公開 意味・仕組みを読むOWASP Top 10 とは：Webアプリで最も重大な10のリスクをまとめたリスト
OWASP Top 10 は、非営利団体 OWASP が数年ごとに公開する『Webアプリで最も重大な10大リスク』のリスト。開発者・運営者の共通言語として広く使われる。最新の2025年版(2025年11月発表)でも筆頭は『アクセス制御の不備(Broken Access Control)』で、設定ミス…
記事公開 意味・仕組みを読むPCI DSS とは：クレジットカード情報を扱うためのセキュリティ基準
PCI DSS(Payment Card Industry Data Security Standard)は、カード情報を保存・処理・伝送する事業者が満たすべき国際的なセキュリティ基準。カード国際ブランドが策定し、ネットワーク保護・保存データの暗号化・アクセス制御(必要最小限)・監視/ログ・脆弱…
記事公開 意味・仕組みを読む公開鍵暗号とは：公開鍵と秘密鍵のペアで暗号化・署名するしくみ
公開鍵暗号＝『公開鍵（誰に配ってよい）』と『秘密鍵（本人だけが持つ）』のペアを使う方式。公開鍵で暗号化したものは対応する秘密鍵でしか復号できず、秘密鍵で作った署名は公開鍵で検証できる。この非対称性が、TLS(HTTPS)の鍵交換・電子署名・パスキーの…
記事公開 意味・仕組みを読むマルウェアとは：種類・感染経路・基本の防御
マルウェア（Malicious Software）は、端末やデータに害を与える目的で作られた不正なソフトの総称。ウイルス・ワーム・トロイの木馬・ランサムウェア・スパイウェア・ボットはすべてこの一部。種類ごとに見た目は違っても、守り方は共通で3つ。侵入を防ぐ（…
記事公開 意味・仕組みを読むワンタイムパスワード（OTP）とは：TOTP/HOTP/SMSの違いと限界
ワンタイムパスワード（OTP）は、一度使うと無効になる短命の使い捨てコード。認証アプリのTOTP（時刻ベース）、HOTP（カウンタベース）、SMS-OTP（SMS送信）がある。固定パスワードの漏洩・使い回しに強く、二要素認証の“持っている物”としてよく使われる。…
記事公開 意味・仕組みを読む二要素認証（2FA）とは：2段階認証との違いと方式の強弱
二要素認証（2FA）は、『知っている物（パスワード）』に『持っている物・本人そのもの（コード・鍵・生体）』という別カテゴリの証明を足して本人確認を強くする仕組み。よく混同される2段階認証（2回確認）とは厳密には別概念で、パスワード＋秘密の質問の…
記事公開 意味・仕組みを読むLet's Encrypt とは — 無料でHTTPSを自動化する証明書認証局
Let's Encrypt＝無料・自動の TLS 証明書認証局（CA）。ACMEプロトコルでドメイン所有を自動確認し、発行・更新を自動化する。証明書は90日と短命で、自動更新が前提（鍵漏えい時の被害を短く区切る設計）。最大の事故は『更新の自動化が気づかないうちに壊れ…
記事公開 意味・仕組みを読むOpenSSLとは：HTTPSの暗号化を担うライブラリと、その守り方
OpenSSL＝HTTPS(TLS/SSL)と暗号処理を担うオープンソースの基盤ライブラリ。多くの人は直接書かず、Webサーバー・OS・言語ランタイム経由で継承して使う。だから1つのバグの影響範囲が巨大（Heartbleedが典型）。守り方は、①自分の環境が使うOpenSSLを把握 ②E…
記事公開 意味・仕組みを読むパスキーとは：パスワードを使わず、盗まれにくいログインの仕組み
パスキーは公開鍵暗号を使う認証情報。認証先には公開鍵を登録し、秘密鍵を渡さず署名でログインする。同期型は暗号化してほかの端末でも利用し、端末固定型は同期しない。MFAとしての利用にはPIN・生体認証による利用者確認などの条件を確認し、端末・同期ア…
記事公開 意味・仕組みを読むパスワードのハッシュ化とは：元に戻せない一方向の変換で安全に保存する仕組み
パスワードのハッシュ化＝元に戻せない一方向変換でパスワードを保存する方法。平文保存はNG。暗号化と違い復号できないのが利点。ただしMD5/SHA-256を素で使うとレインボーテーブルや総当たりで破られる。安全な方法は『ユーザーごとのソルト』＋『わざと遅…
記事公開 意味・仕組みを読むソルト（salt）とは：パスワードのハッシュ化でユーザーごとに加えるランダムな値
ソルト＝パスワードをハッシュ化する前に足す、利用者ごとに違うランダムな値。同じパスワードでも保存値が全員バラバラになり、事前計算したレインボーテーブルが無効化され、1回の解析で複数人を破ることもできなくなる。ソルトは秘密ではなくハッシュと一…
記事公開 意味・仕組みを読むフィッシングとは：手口の種類と、見分けるより確実な防御
フィッシングは、信頼できる相手になりすまして偽のログイン画面などへ誘導し、認証情報や個人情報を盗む（またはマルウェアを実行させる）詐欺。ソフトの脆弱性ではなく『人の判断』を突くのが特徴で、ランサムウェアや情報漏えいの最大の侵入経路。今は本物…
記事公開 意味・仕組みを読むJWT（JSON Web Token）とは：署名付きトークンの仕組みと安全な使い方
JWTは、サーバが署名して発行する、改ざんを検出できるトークン。header.payload.signatureの3部からなり、サーバは署名で本物か検証する。要注意＝①署名を必ず検証し期待するalgを固定（alg:none拒否）②中身は誰でも読めるので秘密を入れない③有効期限を短く…
記事公開 意味・仕組みを読むランサムウェアとは：仕組み・侵入経路・身代金を払わずに済むための防御
ランサムウェアは、ファイルを暗号化して『戻したければ身代金を払え』と要求するマルウェア。今は暗号化に加えてデータを盗み『払わなければ暴露する』と脅す二重恐喝が主流で、復号できても情報漏えいは止まらない。主な侵入口はフィッシング・弱い/MFAなし…
記事公開 意味・仕組みを読むBitLockerとは：Windowsのディスク暗号化で、盗難・紛失時にデータを守る
BitLockerはWindows内蔵のディスク暗号化。電源を切った/ドライブを抜かれた状態のデータを守り、盗難・紛失時に中身を暗号文化する。最も注意すべきは回復キーの保管で、失うと自分でもデータを開けなくなる。稼働中・ログイン済みのPCは守らないので、強い…
記事公開 意味・仕組みを読むC2（コマンド＆コントロール）とは：侵入後に攻撃者が端末を遠隔操作する通信
C2は、侵入された端末が攻撃者サーバーへ通信を返し（コールバック/ビーコン）、命令受信やデータ送出に使われる遠隔操作チャネル。侵入“後”の段階。検知の手がかりは外向きの不審な定期通信と既知の悪い宛先。防御は外向き通信（egress）の制御・DNS監視・IO…
記事公開 意味・仕組みを読むCORSとは — 仕組みと、設定ミス（CORS misconfiguration）で起きること
CORSは『別オリジンのJSが自分のAPI応答を読めるか』をブラウザが制御する仕組み。設定ミス＝任意Originの反射や Access-Control-Allow-Origin:* と認証情報の併用で、第三者サイトからログイン済みデータを読まれる。基本の防御は許可リスト方式・Originを鵜…
記事公開 意味・仕組みを読むEDRとは：端末の動きを記録し、ウイルス対策をすり抜けた攻撃を検知・対応する仕組み
EDRは端末の振る舞いを継続記録し、不審な動き(IOA的)を検知して隔離・調査まで行う仕組み。シグネチャ/IOC照合中心の従来型AVが見逃すファイルレスや正規ツール悪用を、振る舞いとタイムラインで捉える。小規模はフルEDRが不要なことも多く、OS標準の保護＋…
記事公開 意味・仕組みを読むIOA（攻撃指標）とは：痕跡ではなく、進行中の攻撃の動きで侵害に気づく考え方
IOA（攻撃指標）は、攻撃の“振る舞い”（権限昇格→横移動→外部送信などの手口の流れ）で気づく考え方。事後の痕跡であるIOCと対になる。ハッシュやIPは攻撃者が一瞬で変えられるが、手口（振る舞い）は変えにくい＝IOAは長く効く。小規模でも『普段と違う挙動…
記事公開 意味・仕組みを読むIOC（侵害指標）とは：攻撃の痕跡から侵害を見つける手がかり
IOC（侵害指標）は、侵害が残す痕跡＝既知の悪いファイルハッシュ・通信先IP/ドメイン・URL・異常プロセス等。既知の悪いものを機械的に検知・ブロックできるのが価値。ただし攻撃者が使い捨てで変えられる後追いの手がかりなので、IOC照合は“最後の照合材料”…
記事公開 意味・仕組みを読むセッション固定（Session Fixation）とは：攻撃者が用意したセッションIDでログインさせる攻撃
セッション固定は、攻撃者が用意した既知のセッションIDを被害者に使わせ、ログイン後にそのIDでなりすます攻撃。基本の防御は『ログイン（と権限変化）のたびにセッションIDを再生成する』こと。URLからのID受け取りを禁じ、Cookieには HttpOnly/Secure/Same…
記事公開 意味・仕組みを読むクリックジャッキングとは：透明に重ねたページのボタンを押させる攻撃
クリックジャッキングは、自サイトを透明な iframe で別サイトに重ね、利用者に意図しない操作（送金・設定変更・同意）をさせる攻撃。最も効果的な防御は『自サイトを他サイトの枠に埋め込ませない』＝CSP frame-ancestors と X-Frame-Options。
記事公開 意味・仕組みを読むIDORとは：IDを書き換えるだけで他人のデータが見えてしまう脆弱性
IDORは、?id=124 を 125 に書き換えるだけで他人の請求書・個人情報が見える、アクセス制御不備の脆弱性。基本の防御は『サーバー側で“このログイン中の利用者が、この対象を見てよいか”を毎回チェックする』。推測されにくいIDは対策にならない。
記事公開 意味・仕組みを読むオープンリダイレクトとは：信頼されたサイトのURLから別サイトへ転送される脆弱性
オープンリダイレクトは、?next= 等の遷移先パラメータに外部URLを入れられ、信頼ドメインを踏み台に別サイトへ飛ばせる脆弱性。フィッシングに悪用される。基本の防御は『遷移先に外部URLを受け取らない／許可リストか相対パスだけにする』。
記事公開 意味・仕組みを読むパストラバーサルとは：../ を使ってサーバー上の非公開ファイルを読まれる脆弱性
パストラバーサルは、ファイル名の入力に ../ を混ぜて基準ディレクトリの外へ抜け出し、.env・設定・鍵などを読み書きさせる脆弱性。基本の防御は『利用者入力を生のファイルパスに使わない』『正規化して基準ディレクトリ内に閉じ込める』。
記事公開 意味・仕組みを読むCSRF（クロスサイトリクエストフォージェリ）とは：ログイン中の利用者に意図しない操作をさせる攻撃
CSRFは、ログイン中の利用者のブラウザに“本人が意図しない操作”を勝手に送らせる攻撃。ブラウザがCookieを自動送信する性質を悪用する。基本の防御はCSRFトークン＋SameSite Cookie。状態変更にGETを使わないことも重要。
記事公開 意味・仕組みを読むSPF / DKIM / DMARC とは：自分のドメインをなりすましメールから守る3つのDNS設定
SPF/DKIM/DMARCは、自ドメインのメールが本物かを受信側が検証するための3つのDNS設定。SPF=送信を許可するサーバー、DKIM=電子署名、DMARC=方針＋レポート。3つ揃えると、あなたを騙るなりすまし・フィッシングを止められる。DMARCはp=noneから段階的に強め…
記事公開 意味・仕組みを読むSQLインジェクション（SQLi）とは：入力でデータベースへの命令を書き換えられる脆弱性
SQLiは、入力が“データ”でなく“命令の一部”として解釈され、DBへの問い合わせの意味が変わる脆弱性。読み出し・改ざん・全削除に直結。基本の防御は『文字列連結をやめ、プレースホルダ（プリペアドステートメント）で値を渡す』こと。
記事公開 意味・仕組みを読むXSS（クロスサイトスクリプティング）とは：他人のブラウザで攻撃者のスクリプトが実行される脆弱性
XSSは、攻撃者の用意した文字列が“スクリプトとして”別の利用者のブラウザで実行される脆弱性。セッション窃取・なりすましに直結。基本の防御は『出力時のエスケープ』。フレームワークの自動エスケープを外さないことが最大の対策。
記事公開 意味・仕組みを読むCVEとは：脆弱性に付く共通の識別番号のしくみ
CVEは脆弱性に付く世界共通の識別番号（例 CVE-2025-12345）。同じ脆弱性を皆が同じ名前で参照でき、対策・監視の起点になる。CVE=名前、CVSS=深刻度、KEV=悪用中かで役割が違う。個人は機械監視で追うのが現実的。
記事公開 意味・仕組みを読むCVSSとは：脆弱性の深刻度スコアと、その採点基準
CVSSは脆弱性の深刻度を0.0〜10.0で表す共通スコア。点数は『攻撃元・複雑性・必要権限・利用者関与・影響範囲・CIA』という決められたメトリクスを計算式に通して算出される。基準を知れば10.0の意味も読める。ただし優先度はKEV（悪用中か）と自分が使って…
記事公開 意味・仕組みを読む「.env」とは — 環境変数ファイルが漏れると何が起きるか
.env はアプリの秘密値（DB認証・APIキー・暗号鍵）をまとめた設定ファイル。1ファイルに鍵が集まるため、公開されると全シークレットが一度に漏れる。アプリ本体はdocrootの外へ置き、gitにコミットせず、漏れたら全部ローテーションする。
記事公開 意味・仕組みを読むRCE（リモートコード実行）とは — なぜ最悪クラスの脆弱性なのか
RCEは攻撃者がサーバー上で任意のコードを実行できてしまう脆弱性。情報漏洩にとどまらず乗っ取りに直結する最悪クラス。被害範囲は『そのプロセスの権限』で決まる。防御の要は迅速な更新・CVE監視・最小権限。
記事公開 意味・仕組みを読むSSRF（サーバーサイドリクエストフォージェリ）とは
SSRFは、外部入力のURLを使ってサーバーに内部リソース（内部IPやクラウドメタデータ）にアクセスさせる攻撃。URLを取りに行く機能を作るなら、宛先の許可リスト・内部遮断・リダイレクト/DNS再解決による回避への対策が必須。Capital One事故の原因でもあっ…
記事公開 意味・仕組みを読む