脆弱ぜいじゃく性せい

脆弱ぜいじゃく性せい（ぜいじゃくせい、英えい: vulnerability）とは、情報じょうほうセキュリティ・サイバーセキュリティの用語ようごで、コンピュータに存在そんざいする情報じょうほうセキュリティ上じょうの欠陥けっかんをいう。セキュリティホールとも呼よばれる。

ISO 27000における定義ていぎ

ISO 27000およびそれと同等どうとうなJIS Q 27000（ISMSの用語ようごを規定きてい）では脆弱ぜいじゃく性せいを

一ひとつ以上いじょうの脅威きょういによって付つけ込こまれる可能かのう性せいのある資産しさんまたは管理かんり策さくの弱点じゃくてん

とより厳密げんみつに定義ていぎしている。

ここで

• 脅威きょうい（threat）とは「システム又または組織そしきに損害そんがいを与あたえる可能かのう性せいがある、望のぞましくないインシデントの潜在せんざい的てきな原因げんいん」
  • （情報じょうほうセキュリティ）インシデントとは「望のぞまない単独たんどく若もしくは一連いちれんの情報じょうほうセキュリティ事象じしょう，又または予期よきしない単独たんどく若もしくは一連いちれんの情報じょうほうセキュリティ事象じしょうであって，事業じぎょう運営うんえいを危あやうくする確率かくりつ及および情報じょうほうセキュリティを脅おびやかす確かく率りつが高たかいもの」
• 管理かんり策さく(control)とは「リスクを修正しゅうせいする対策たいさく」
  • リスクとは「目的もくてきに対たいする不確ふたしかさの影響えいきょう」

CAPECにおける脆弱ぜいじゃく性せいの分類ぶんるい

Mitre社しゃのCAPECでは攻撃こうげきパターンによって脆弱ぜいじゃく性せいをツリー状じょうに分類ぶんるいしており、その最さい上位じょういの分類ぶんるいは以下いかのものである：

分類ぶんるい	分類ぶんるい（邦訳ほうやく）	概要がいよう
Engage in Deceptive Interactions	欺あざむいたやりとりに従事じゅうじする	「標的ひょうてきを欺あざむき、他たの主体しゅたいととやりとりしているように見みせかける為ため、標的ひょうてきと不正ふせいなやりとりを行おこなう」攻撃こうげきパターン
Abuse Existing Functionality	既存きそんの機能きのうを悪用あくようする	「悪事あくじを達成たっせいする為ため、もしくは標的ひょうてきとなる機能きのうが影響えいきょうを受うけるほどにリソースを枯渇こかつさせる為ため、アプリケーションの１ひとつ以上いじょうの機能きのうを使つかったり操あやつったり」する攻撃こうげきパターン
Manipulate Data Structures	データ構造こうぞうを操あやつる	「システムのデータ構造こうぞうの本来ほんらい意図いとされた使用しよう方法ほうほうや防御ぼうぎょ機構きこうに違反いはんするために、そのデータ構造こうぞうの特徴とくちょうを操あやつったり悪用あくようしたりする」攻撃こうげきパターン
Manipulate System Resources	システムリソースを操あやつる	「攻撃こうげき者しゃが望のぞむ結果けっかを得えるために、１ひとつ以上いじょうのリソースを操あやつる」攻撃こうげきパターン
Inject Unexpected Items	予想よそう外がいのものを挿入そうにゅうする	「入力にゅうりょくインターフェースから細工ざいくされたデータを挿入そうにゅうするか、あるいはターゲットのシステムに悪意あくいのあるコードをインストールして実行じっこうするかして、標的ひょうてきの行動こうどうをコントロールするか邪魔じゃまするかする」攻撃こうげきパターン
Employ Probabilistic Techniques	確かく率りつ的てき手法しゅほうを採用さいようする	「標的ひょうてきを欺あざむき、他たの主体しゅたいととやりとりしているように見みせかける為ため、標的ひょうてきと不正ふせいなやりとりを行おこなう」攻撃こうげきパターン
Manipulate Timing and State	タイミングや状態じょうたいを操作そうさする	「標的ひょうてきのコードやプロセスの実行じっこうフローの防御ぼうぎょを回避かいひした行動こうどうを取とるために、関数かんすうの状態じょうたいや呼よび出だしタイミングの弱点じゃくてんを利用りようする」攻撃こうげきパターン
Collect and Analyze Information	情報じょうほうを収集しゅうしゅうし、分析ぶんせきする	「情報じょうほうの収集しゅうしゅうと窃取せっしゅに関かんする」攻撃こうげきパターン
Subvert Access Control	アクセスコントロールの破壊はかい	「識別しきべつ、認証にんしょう、およびリソースへのアクセスや機能きのう認可にんかの管理かんりに用もちいているメカニズムの弱点じゃくてん、制限せいげん、ないし仮定かていを能動のうどう的てきに悪用あくようする」攻撃こうげきパターン

脚注きゃくちゅう

関連かんれん項目こうもく

• 脆弱ぜいじゃく性せい情報じょうほうデータベース
• セキュリティホール

外部がいぶリンク

• ISMS関連かんれんのISO/IECとJIS
  • “JIS検索けんさく”. 日本にっぽん工業こうぎょう標準ひょうじゅん調査ちょうさ会かい JISC（Japanese Industrial Standards Committee）. 2016年ねん8月がつ10日とおか閲覧えつらん。 JIS本文ほんぶんを閲覧えつらん可能かのう
    • JIS Q 27000:2014 情報じょうほう技術ぎじゅつ−セキュリティ技術ぎじゅつ−情報じょうほうセキュリティマネジメントシステム−用語ようご
    • JIS Q 27001:2014 情報じょうほう技術ぎじゅつ−セキュリティ技術ぎじゅつ−情報じょうほうセキュリティマネジメントシステム−要求ようきゅう事項じこう
    • JIS Q 27002:2014 情報じょうほう技術ぎじゅつ−セキュリティ技術ぎじゅつ−情報じょうほうセキュリティ管理かんり策さくの実践じっせんのための規範きはん
• “CAPEC Common Attack Pattern Enumeration and Classification. A Common Resource for Identifying and Understanding Attacks”. Mitre. 2018年ねん12月3日にち閲覧えつらん。
• “Welcome To The Web Application Security Consortium Project page”. 2018年ねん12月がつ10日とおか閲覧えつらん。
  • “WASC THREAD CLASSIFICATION version 2.0.0” (PDF). 2018年ねん12月がつ10日とおか閲覧えつらん。
  • “Web Security Consortium: 脅威きょういの分類ぶんるい version 1.0.0” (PDF). 2018年ねん12月がつ10日とおか閲覧えつらん。