AP サイバーセキュリティ

学習目標 1.1.A： ソーシャルエンジニアリング戦術の一般的な兆候を特定する。

• 1.1.A.1 ソーシャルエンジニアリング攻撃は、心理的な戦術を用いて、ユーザーに敏感な情報（要請）を漏洩させたり、悪意のあるファイルをダウンロードさせたり、悪意のあるリンクをクリックさせたりします。ソーシャルエンジニアリングは対面で行われることもありますが、メール、テキストメッセージ、またはソーシャルメディアメッセージを通じて行われることが一般的です。
• 1.1.A.2 敵対者は、目標達成のために威嚇や緊急性といった心理的戦術をよく使用します。威嚇とは、敵対者が対象が従わない場合に否定的な結果をもたらすと脅すことです。緊急性とは、敵対者が対象が迅速に行動すべき理由を作り出すことです。

学習目標 1.1.B： ソーシャルエンジニアリング戦例が被害者を特定の行動をとらせるように影響を与える方法を説明する。

• 1.1.B.1 ソーシャルエンジニアリング戦例は、人間の行動に影響を与える一般的な心理学的原則に依存しています。
• 1.1.B.2 威嚇は、人間が否定的な結果を避けたがる自然な傾向を利用します。潜在的な否定的な結果に注目を集めることで、敵対者は恐怖を煽って対象を行動に追い込みます。
• 1.1.B.3 緊急性は、時間制約のあるニーズに対して迅速に対応しようとする人間の自然な反応を利用します。メッセージに緊急性を感じた対象は、対応や行動を急ぐ圧力を感じることがあり、それが行動が適切か安全かどうかを検討する時間を奪うことがあります。

学習目標 1.1.C： ソーシャルエンジニアリング攻撃の被害者に対する可能性のある影響を記述する。

• 1.1.C.1 被害者は、身元詐称につながる可能性のある個人情報（氏名、電話番号、住所、勤務先、ペットの名前、生年月日など）を敵対者に提供することがあります。これらの情報や同様の情報は、ウェブサイトでユーザーの身份を確認するためのチャレンジ質問としてよく使用されます。
• 1.1.C.2 被害者は、敵対者が被害者になりすましてサービスにログインできるようにする、一度限りパスワード（OTP）や認証ログインコードなどの安全な情報を提供することがあります。
• 1.1.C.3 被害者は、マルウェアをダウンロードしたり、リンクをクリックしたりして、デバイスにマルウェアをインストールされたり、Webブラウザから情報を盗まれたり、敵対者によってログイン情報が盗まれるウェブサイトへ誘導されたりすることがあります。

学習目標 1.2.A： パワード攻撃の一般的な兆候を特定する。

• 1.2.A.1 オンラインでのパワード攻撃では、敵対者は一般的なパスワード、一般的なパスワードパターン、または盗難されたパスワードを使用して、デバイスやサービスにログインしようと試みます。
• 1.2.A.2 オンラインでのパワード攻撃の兆候には以下が含まれます：
  • 短期間内での多数のログイン失敗試行
  • 通常ではない時間帯のログイン試行
  • 未知のデバイスからのログイン試行

学習目標 1.2.B： 敵対者が脆弱な認証如何利用するかを説明する。

• 1.2.B.1 多くの人は、パスワードを作成する際に一般的なパターンを使用します。例えば：
  • パスワードの冒頭に1つまたは2つの単語を使用し、末尾に2桁の数字（多くは年を示す）と特殊文字を追加する
  • パスワードに家族やペットの名前を含める
  • パスワードに個人的に重要な日付を含める
• 1.2.B.2 攻撃者は、ターゲットに関する個人情報（例：誕生日、記念日、ペットや家族の名前）に基づいて可能なパスワードの辞書を作成し、自動化されたツールを使用して潜在的なパスワードを提出することがあります。

学習目標 1.2.C： 認証をより強くする方法を説明する。

• 1.2.C.1 ユーザーは、長く、ランダムでユニークなパスワードを作成すべきです。パスワードマネージャーを使用して強力なパスワードを生成・保存したり、アカウント用に長くユニークなパスフレーズを作成したりできます。
• 1.2.C.2 パスワードを作成する際、ユーザーは名前、日付、または他の個人的に意味のある言葉や数字を避けるべきです。
• 1.2.C.3 利用可能であれば、ユーザーは多要素認証（MFA）を有効にするべきです。これは、パスワードに加えて、ワンタイムコードなどの追加の身元証明を提供することを要求し、追加のセキュリティ層となります。

学習目標 1.3.A： サイバー攻撃を実施している攻撃者のタイプを特定する。

• 1.3.A.1 攻撃者はスキルレベルによって分類されます。
  • スキルの低い攻撃者は、他者が作成した悪意あるサイバーツールに依存しており、これらはオンラインで購入できます。彼らが使用するツールは既知の脆弱性を突きます。
  • スキルの高い攻撃者は、新しい悪意あるサイバーツールを作成したり、既存のツールを改変して新しい防御技術やツールに適応させたりする能力を持っています。また、文書化されていない脆弱性であるゼロデイを発見する能力も持っています。
• 1.3.A.2 攻撃者には、富への渇望、名声への欲求、理念への献身、復讐、政治、あるいは信念など、多様な動機があります。

学習目標 1.3.B： ワイヤレスサイバー攻撃の種類を特定する。

• 1.3.B.1 イビルツイン攻撃では、攻撃者はターゲットネットワークと類似または同一のサービスセットID（SSID）を持つ独自のワイヤレスアクセスポイント（WAP）を設置します。攻撃者のネットワークは「イビルツイン」と呼ばれます。この攻撃の対象となったユーザーは、無意識のうちにイビルツインに接続を選択し、攻撃者にネットワークトラフィックを傍受される可能性があります。攻撃者は、HTTPSのような暗号化プロトコルを使用するトラフィックは読み取ることができません。
• 1.3.B.2 ジャミング攻撃では、攻撃者は無線ネットワークと同じ周波数帯域に強力な電磁（EM）信号を領域全体に flooding し、アクセスポイント（AP）とユーザー間の正規の通信を妨害します。ユーザーがリソースにアクセスできないようにするこの種の攻撃は、サービス妨害（DoS）攻撃と呼ばれます。
• 1.3.B.3 ウォードライビング攻撃では、攻撃者はターゲット周辺を車や徒歩で移動しながらワイヤレスネットワークビーコンを検出しようとします。ワイヤレス信号を検出すると、攻撃者は使用されているワイヤレスネットワークの種類に関する情報を収集し、物理的な建物の外にワイヤレス信号が到達しているエリアを見つけることができます。

学習目標 1.3.C： インターネットおよびWi-Fiを使用する際に、個人の行動を通じて敏感なデータの保護を強化する方法を説明する。

• 1.3.C.1 個人は、接続しようとするワイヤレスネットワークの名前が、意図しているネットワークの名前と完全に一致することを確認すべきです。
• 1.3.C.2 多くのインターネットプロトコルはネットワークトラフィックを保護するために暗号化されています。しかし、個人はDNS照会などの脆弱性の高いデータを保護するため、未暗号化のWi-Fiネットワークへの接続の有無についてデータ敏感性を考慮すべきです。
• 1.3.C.3 個人は、すべてのトラフィックをVPNオペレータのシステムに暗号化する仮想プライベートネットワーク（VPN）の使用を検討すべきです。この行為はサービスプロバイダーによるトラフィックの閲覧を防ぎますが、VPNプロバイダー自身はトラフィックを閲覧できる可能性があります。

学習目標 1.5.A: サイバーディフェンダーがAIツールを活用してネットワーク、アプリケーション、データを保護する方法を説明する。

• 1.5.A.1 AIツールは現在のセキュリティ設定（ファイアウォールルールやアクセス制御など）を検査し、より安全なオプションを推奨する。推奨事項は、実装前に有識のセキュリティ技術者によって確認されるべきである。
• 1.5.A.2 AIツールはアプリケーションコードを解析して脆弱性を特定し、緩和策を推奨する。推奨事項は、実装前に有識のプログラマーによってレビューされるべきである。
• 1.5.A.3 AIツールは自動検出システムのルールを提案する。検出ルールは、システムに追加される前に、有識の検出エンジニアによってレビューされるべきである。

学習目標 1.5.B: AIツールがより高速かつ正確な脅威検出と対応を可能にしていることを説明する。

• 1.5.B.1 ネットワーク上で毎日発生する何百万ものデジタルイベントのうち、いくつかは攻撃者が悪意のある活動を行っていることを示唆している。人間がすべてのイベントを注意深く検査して悪意のある活動を特定することはできない。
• 1.5.B.2 AIツールは、迅速にデジタルイベントを分析し、悪意のある活動の可能性が高いものと無害なものを区別するように訓練することができる。
• 1.5.B.3 AIツールは、悪意のある活動の可能性が高いものが検出された際にサイバーセキュリティ担当者に警報を発令したり、検出された悪意のある活動の種類に基づいて特定の是正措置を実行したりするようにプログラムできる。
• 1.5.B.4 AIツールは、脅威検出および対応チームが悪意のある活動に気づき、素早く介入することで、デジタルインフラストラクチャおよびデータの損失、危害、損傷、破壊を防ぐことを可能にする。

学習目標 2.1.A: ソーシャルエンジニアリング攻撃を識別する。

• 2.1.A.1 ソーシャルエンジニアは心理戦術を用いて、標的を望ましい行動をとるよう操作する。
• 2.1.A.2 プレテクスティングとは、攻撃者が標的と連絡を取るための説得力のある理由を作成することである。
• 2.1.A.3 権威性とは、攻撃者が標的に対して権力を持つ人物を装ったり、その人物からの指示を伝達すると偽ったりすることである。
• 2.1.A.4 威嚇とは、要求が満たされない場合のネガティブな結果を声明することである。
• 2.1.A.5 合意形成とは、攻撃者が他の誰もが望ましい行動を取っていると標的に信じさせることで社会的圧力を生み出すことである。
• 2.1.A.6 希少性とは、攻撃者が限られた利用可能性の感覚を生み出すことである。
• 2.1.A.7 親近感とは、攻撃者が標的の知人であることを装ったり、知人であると知っていたりして信頼を確立することである。
• 2.1.A.8 緊急性とは、攻撃者がネガティブな結果を回避するために標的が即座に行動する必要がある期限を設定することである。

学習目標 2.1.B: 攻撃者の種類を識別する。

• 2.1.B.1 スクリプト・キッズとは、ツールの仕組みを理解せず、他者が開発したツールを使用する低スキルな攻撃者である。彼らは金銭的な動機や承認欲求から行動することが多い。
• 2.1.B.2 ハクティビストは、社会的、政治的、または個人的な目的から動機づけられている。彼らは自分の運動を支援したり、 perceived される被害を止めたりするためにコンピュータやネットワークを乗っ取っており、自らの目的が違法な手段を正当化すると信じている。
• 2.1.B.3 インサイダー攻撃者は、正当な証明書とシステムおよびデータへのアクセス権を持っているため、独自の脅威となる。彼らは悪意のある第三者に招聘されることがあり、金銭的な動機や復讐心から行動することがある。
• 2.1.B.4 サイバーテロリストは、政治的または思想的な動機から、サイバー攻撃（電力網、水道処理施設、その他のインフラ基盤への攻撃など）を通じて地域社会、地域、または国家全体を混乱させようとする。政府や犯罪組織のために行動することもあるし、独立して行動することもある。
• 2.1.B.5 国際犯罪組織は、主にランサムウェアの展開や企業用知的財産（IP）の盗難と非法市場での販売を通じて利益を得ようとする。

学習目標 2.1.C: サイバー攻撃のフェーズを説明する。

• 2.1.C.1 サイバー攻撃は、デバイス、ネットワーク、またはデータの妨害、危害、窃盗、破壊を目的とする。攻撃者はフェーズに分かれて活動するが、すべての攻撃で全てが使用されるわけではない。フェーズは以下の通りである：
  • i. 偵察
  • ii. 初期アクセス
  • iii. 持続性
  • iv. 横断移動
  • v. 行動の実行
  • vi. 検知回避
• 2.1.C.2 攻撃の偵察フェーズにおいて、攻撃者は標的について可能な限り多くの情報を収集する。この際、 freely available information（自由可利用情報）として知られるオープンソースインテリジェンス（OSINT）が頻繁に用いられる。
• 2.1.C.3 攻撃の初期アクセスフェーズにおいて、攻撃者はソーシャルエンジニアリングや侵害されたまたは脆弱な認証情報を通じて、標的コンピュータに足がかりを確立します。
• 2.1.C.4 攻撃によるアクセス獲得後、攻撃者は再アクセスを得る必要なく継続的にアクセスを維持するために持久性を確立します。彼らは、コマンドとコントロール（C2）プロトコルを使用してデバイスへコマンドを送信し出力を受信することがあり、遠隔アクセストロイ（RAT）やルートキットのようなマルウェアを通じて行われることが一般的です。
• 2.1.C.5 攻撃の横断移動フェーズにおいて、攻撃者は elevated権限を持つサービスおよびデータへのアクセスを通じて、自身の権限を昇格させようとします。
• 2.1.C.6 攻撃のアクション実行フェーズにおいて、攻撃者は自らの目的達成のために、ターゲットデータ収集、データ漏洩、サービス妨害、またはデータ破壊を行います。
• 2.1.C.7 攻撃最終フェーズにおいて、多くの攻撃者はログファイルの削除や編集、およびデバイス上に植付けられた他のファイル（例：マルウェア）の消去によって検知を回避しようとします。

学習目標 2.1.D： リスク評価プロセスを説明する。

• 2.1.D.1 脅威が脆弱性を利用して資産を損なうことができる場合にリスクが発生します。
• 2.1.D.2 資産とは価値のあるもののすべてを指します。資産には金融リソース、知的財産、データ、デジタルインフラ、物理資産、評判が含まれます。
• 2.1.D.3 リスク評価は以下の2つの要因を考慮します：
  • 特定の脆弱性に対する攻撃の可能性
  • 特定の脆弱性に対する攻撃から想定される被害の深刻度
• 2.1.D.4 脆弱性が利用される可能性は多くの要因に依存します。その例として以下が挙げられます：
  • ターゲットの価値：攻撃者は価値あると認識したターゲットを攻撃されやすい傾向があります。
  • 脆弱性を利用するために必要なスキルレベル（すなわち難易度）：riet exploitが詳細に文書化されている脆弱性は、より少ないスキルで利用可能であり、より多くの攻撃者によって実行できる可能性があります。
  • 想定される攻撃者の動機と能力：高い動機とスキルを持つ攻撃者は、より複雑なexploitを実行できる可能性が高いです。
• 2.1.D.5 攻撃の深刻度は通常、財務コストによって測定されます。これには、評判および運営への影響も含まれることがあります。
  • 2.1.D.5 ための例示:
    • ハックティビストは地元の食品生産会社が支援する違法な漁業行為に熱心です。この食品生産会社のメインウェブページはこのハックティビストにとって高価値なターゲットとなります。网页を改ざんして会社の違法な漁業支援を露出させても、攻撃者に直接的な経済的利益は得られませんが、自身を動かす問題への意識向上に寄与できます。
• 2.1.D.6 リスク評価の結果は定量的または定性的であることがあります。
  • 定量的リスク評価は、数値スケール（例：1〜10）または可計測な影響に基づき、脆弱性に数値的な価値を割り当てます（例：年間のリスク$10,000）。
  • 2.1.D.6 ための例示:
    • 低、中、高、甚大
    • 発生しにくい低影響、発生しやすい低影響、発生しにくい高影響、発生しやすい高影響
• 2.1.D.7 リスク評価の文書には以下を含めるべきです：
  • 脆弱性がある資産とその価値
  • 資産に対する想定される脅威の説明
  • 特定の資産に対する特定の脆弱性の詳細と、それらがどのように利用されるか
  • 特定の資産が侵害された場合の被害の深刻度（財務、運営、評判など）の説明、およびその侵害が発生する可能性
  • 特定された各リスクに対する最終評価（定量的または定性的）
  • 2.1.D.7 ための例示:
    • スケールされたスコア（例：1〜10）
    • 金銭的価値（例：$10,000 risk vs. a$100,000のリスク）

学習目標 2.1.E： リスク管理のための戦略を特定する。

• 2.1.E.1 リスクが特定・評価された後、組織はそのリスクを管理するための4つの選択肢を持ちます：
  • i. 回避
  • ii. 移転
  • iii. 軽減
  • iv. 受容
• 2.1.E.2 リスク回避は、リスクを生み出している活動を停止することです。活動が組織の使命や目的の重要な一部である場合、回避は不可能です。
• 2.1.E.3 リスク移転は、保険会社、政府、または消費者などの他機関にリスクの負担を移すことです。
• 2.1.E.4 リスク軽減は、セキュリティ制御を実装してリスクの可能性や影響を低減することです。
• 2.1.E.5 残留リスクとは、組織が回避、移転、軽減を完了した後に残るリスクです。残留リスクは、組織が受け入れられるリスクのレベルを指します。リスク受容は、絶対的なセキュリティが達成不可能であることを認めることを意味します。
• 2.1.E.6 財務リソースおよび従業員リソースを節約するため、組織は一般的に、コスト効率が高く、実装・保守が簡単なソリューションを好みます。コスト効率の高いソリューションは、攻撃からの予想される損失よりも設置・保守コストが低いものです。

学習目標 2.1.F： セキュリティ制御の種類を特定する。

• 2.1.F.1 セキュリティ制御は、以下の原則の少なくとも1つに対応します：
  • 機密性： authorized individuals, systems, or processes のみがデータにアクセスできるように保証します。機密性が欠如したシステムは、データ盗難や破壊に対して脆弱です。
  • 完全性： データが正確で信頼できると保証します。完全性が欠如したシステムは、データ操作に対して脆弱です。
  • 可用性は、必要な時にデータとサービスが権限のある個人によりアクセス可能であることを保証します。可用性に欠けるシステムでは、予期せぬダウンタイムが発生する可能性があります。
• 2.1.F.2 セキュリティ制御は、タイプ別に分類できます。
  • 物理的制御は、物理的な空間におけるセキュリティを提供し、錠前、柵、カメラ、バリア、警備員などを含みます。
  • 技術的制御は、デジタル空間におけるセキュリティを提供し、ファイアウォール、マルウェア除去ソフト、暗号化などを含みます。
  • 管理的制御は、セキュリティが整っているべき内容を示す規則、ガイドライン、方針、手続を提供し、パスワードポリシー、定期アクセスレビュー、インシデント対応計画（IRP）などを含みます。
• 2.1.F.3 セキュリティ制御は、機能別に分類できます。
  • 予防的制御は、潜在的な脆弱性に対処し、攻撃者が攻撃を仕掛けるのを防ぐことを目的とし、錠前や暗号化などを含みます。
  • 探知的制御は、攻撃が発生した際にそれを特定するのを助け、侵入検知システム（IDS）、カメラ、セキュリティインシデントおよびイベント管理（SIEM）システムなどを含みます。
  • 是正的制御は、問題を修正し、システムを稼働可能な状態に戻すのを助け、脆弱性のパッチ適用、破損したカードリーダーの修理、侵入防止システム（IPS）などを含みます。

学習目標 2.1.G: 組織を最適に保護するために、ディフェンス・イン・デプス戦略が必要である理由を説明する。

• 2.1.G.1 ディフェンス・イン・デプス戦略、あるいは階層防御は、複数の種類のセキュリティ制御を使用して、重要なデータやシステムを保護する。
• 2.1.G.2 ディフェンス・イン・デプス戦略により、組織は異なる種類の脅威に対応でき、それぞれに対して最も適切なセキュリティ制御で軽減できる。
• 2.1.G.3 ディフェンス・イン・デプス戦略により、データ保護の耐性が確保され、攻撃者が一つのセキュリティ制御を回避した場合でも、別のセキュリティ制御によってデータやシステムへのアクセスを阻止したり、データやシステムへの被害を制限したりできる。
• 2.1.G.4 ディフェンス・イン・デプス戦略の層には、人間、物理、ネットワーク、デバイス、アプリケーション、データが含まれる可能性がある。

学習目標 2.2.A: 一般的な物理攻撃を同定する。

• 2.2.A.1 攻撃者は、物理攻撃を行う際、よくソーシャルエンジニアリングを使用する。
• 2.2.A.2 ピッグバックとは、攻撃者がソーシャルエンジニアリングを使用して権限のある個人を操作し、制限区域へのアクセスを付与させる攻撃のことである。一般的なピッグバックの戦術には、大きな荷物を持って権限ある人物にドアを開けてもらおうとする、アクセストークンを忘れた権限ある人物を装う、検査や修理のために特定の区域に入ろうとする保守作業員を装うなどが含まれる。
• 2.2.A.3 テイルゲートとは、権限ある個人の背後に密着して追従することで、その個人の気づきや認知なくして制限区域への無許可アクセスを得る攻撃のことである。
• 2.2.A.4 ショルダーサーフィンとは、ユーザーが敏感情報をアクセスしている様子を観察し、後で使用できるようにする攻撃のことである。有时攻击者使用相机录制目标访问敏感信息，以便稍后分析。
• 2.2.A.5 ダンプスター・ダイビングとは、攻撃者がターゲットの物理ゴミを翻し searching for information that could be used to help the adversary reach their goal. 翻译：攻击者通过翻找目标的实体垃圾来寻找可能帮助其达成目标的信息的攻击方式。
• 2.2.A.6 カード克隆とは、攻击者复制授权用户的访问卡以获取所有可访问资源的攻击方式。

学习目标 2.2.B： 解释威胁如何利用常见物理漏洞造成资产损失、损坏、中断或毁灭。

• 2.2.B.1 威胁包括寻求造成伤害或中断的人类攻击者以及自然灾害。自然灾害可能导致计算机和数据的物理损坏或毁灭，以及由计算机提供的数字服务的中断。
• 2.2.B.2 漏洞是指可能导致资产被攻陷的弱点或缺陷。常见的攻陷包括：
  • 对敏感数据或限制物理空间的未经授权的访问
  • 服务中断
  • 数字或物理资源的盗窃或破坏
  • 数据的未经授权的修改
• 2.2.B.3 当攻击者切断设备的电源时，该设备及其提供的所有服务都将不可用。为切断电源，攻击者可能损坏配电箱中的保险丝或断路器，拔掉或剪断电线，或损坏变电站和变压器等配电系统。
• 2.2.B.4 当攻击者进入包含敏感信息的区域时，他们可以窃取或复制敏感信息。
• 2.2.B.5 当攻击者获得设备的物理访问权限及其端口时，他们可以插入键盘记录器或包含恶意软件的外部驱动器，这可能使他们能够收集用户数据甚至控制该设备。通过直接物理访问，攻击者还可以物理上破坏设备，使设备本身、其上存储的任何数据以及其提供的任何服务都不可用。

学习目标 2.2.C： 评估并记录来自物理漏洞的风险。

• 2.2.C.1 对设备的物理访问可能允许攻击者绕过许多技术控制和安全层。
• 2.2.C.2 当敏感信息或系统在物理空间中被暴露且没有足够受限和受控的访问时，会产生严重的物理漏洞风险。
  • 2.2.C.2 ための例示:
    • カスタマーデータを格納するサーバーが、施錠されていない部屋にあり、監視されていない廊下を通じてアクセスされる。
• 2.2.C.3 組織の非重要かつ非敏感な部分が、攻撃者が他のリソースへの初期アクセスを得るための足掛かりとなり得る方法で保護されていない場合、物理的な脆弱性から中程度のリスクが発生する。
  • 2.2.C.3の例示:
    • 受付エリアがあり、それ以降のアクセスは管理されているオフィスがある。受付係のコンピューターはオフィスの内部ワイヤレスネットワークに接続されており、USBポートが露出している。
• 2.2.C.4 脆弱性のある資産の価値が低く、その脆弱性が悪用されにくい場合、物理的な脆弱性からのリスクは低い。
  • 2.2.C.4の例示:
    • バッジによるアクセスが必須のオフィスにいる社員が、全員で昼食に行く間にデスクに置いたラップトップを留守にする。これらのコンピューターには敏感な情報は含まれていないが、デバイスとデスクを固定するケーブルはない。

学習目標 2.3.A: 物理セキュリティに関する管理統制を特定する。

• 2.3.A.1 組織は、従業員が以下のようにして組織のセキュリティに貢献できるかを教育するために、セキュリティ認知研修を実施すべきである。
  • フィッシングなどのサイバーサミング攻撃の検知
  • 制限区域への他人のバッチング（同行）を行わないこと
  • デバイス盗難の防止
• 2.3.A.2 組織は、物理的な職場を保護するために必要な措置を明記したワークステーションセキュリティポリシーを持つべきである。このポリシーは、ワークステーションで取り扱われるデータの種類に基づいて、ワークステーションセキュリティの階層を含むことがある。ワークステーションポリシーは通常、以下を要求する。
  • 留守にした際に unauthorized access を防ぐため、ワークステーションを離れる前にデバイスをロックすること
  • 留守にする前にワークステーション上の敏感な文書を取り除くこと（クリーンデスクポリシーとも呼ばれる sometimes called a clean desk policy）
  • プライバシースクリーンフィルターやその他の物理的バリアを使用して、他人が画面の情報を見るのを防ぐこと
  • サージプロテクタまたは無停電装置（UPS）にデバイスを接続すること

学習目標 2.3.B: 物理的脆弱性によるリスクに対する軽減策を決定する。

• 2.3.B.1 関連する統制を決定するためには、サイバーディフェンダーは、攻撃者がどのように脆弱性を悪用してシステムを攻撃し、また攻撃を防止、検知、または修正するかを検討する。
• 2.3.B.2 建物の周囲にフェンス、ゲート、ボールドなどを設置することで、攻撃者が組織の建物への物理的アクセスを試みるのを阻止できる。
• 2.3.B.3 ドア、サーバーキャビネット、およびコンピューターのロックは、デバイスへのアクセスや盗難を防ぐことができる。
• 2.3.B.4 キャードリーダーは、どの時刻にどの従業員のバッジを使って異なる入り口/accessed different entries at specific times and deny access to unauthorized badges.
• 2.3.B.5 アクセスコントロール・ベスティブルとターンstileは、権限のある人が意図的または偶発的に権限のない人を制限区域に持ち込むのを防ぐことができる。
• 2.3.B.6 組織は外部ドライブによるマルウェアのロードを防ぐためにUSBポートを無効化できる。
• 2.3.B.7 無停電装置（UPS）は、停電時にデバイス用のバックアップ電源を提供する。組織はまた、発電機を使用して、より大規模なスケールで建物や一連の重要なデバイスに電力を提供することもできる。
• 2.3.B.8 組織はリスクの深刻さと推奨される軽減策のコストに基づいてリスク軽減を優先順位付ける。

学習目標 2.4.A: セキュリティ統制が物理攻撃を検知する方法を特定する。

• 2.4.A.1 カメラは、攻撃者の悪意ある活動を視覚的に記録できる。カメラの映像は最大限の効果のために録画され、監視されるべきである。録画は、事件後の調査において特に役立つことがある。
• 2.4.A.2 警備員は、区域内の活動を監視し、不審な活動が検知されたら対応する。
• 2.4.A.3 動作センサーは、区域内での動きを警備員に警告する。
• 2.4.A.4 物理空間で働く従業員は、 often the first to notice the presence of an unauthorized person and can alert security.

学習目標 2.4.B: 物理攻撃を検知するためのセキュリティ統制の有効な配置を決定する。

• 2.4.B.1 カメラを設置する際は、視覚的カバレッジ、角度、および攻撃者による操作の可否を考慮すべきである。特定の領域にあるカメラが攻撃者の何を撮影できるか、そしてその情報がどのように役立つかも考慮すべきである。入退口は often monitored by camera.
• 2.4.B.2 動作センサーは、サーバールームのような予期せぬ交通量がある場所や、敏感な資料が保管されておりアクセスできる人が少ない場所に設置すべきである。高交通量の領域にある動作センサーは多くの誤警報を引き起こすため、実際のセキュリティイベント发生时 alarms less likely to be taken seriously when there is a real security event.
• 2.4.B.3 敏感な情報やシステムが含まれる領域へのすべての入り口にロックを設置すべきである。特に敏感な情報やシステムがある領域については、組織はピッグバックやテイルゲートを防ぐために入り口にアクセスコントロール・ベスティブルを使用することができる。
• 2.4.B.4 警備員は常駐型または巡回型である。常駐型警備員は特定のエリア、入口、または高価値アイテムに対して絶えず保護を提供できる。巡回型警備員は敵対者による計画を立てにくく、敵対者に時間的圧力をかけることができる。交通が集中する場所（例：入構ゲート、主要なエントランスやロビー、より厳重なアクセスエリアへの入り口）に常駐型警備員を配置することは非常に効果的であり、一方、巡回型警備員は周縁部や外郭エリアに適している。

学習目標 2.4.C： 検知技術を用いて物理攻撃を特定する。

• 2.4.C.1 カメラは指定された空間内の活動を視覚的に監視し、活動の記録を残す。カメラには顔認識ソフトウェアと組み合わせることができ、未授权者が管理区域に入国した際にアラートを発報することができる。物理的な侵害が検知された後、防衛者は生放送および録画された映像を使って、敵対者の経路や行動を追跡できる。
• 2.4.C.2 動体検知器はカメラと組み合わせることで最も効果的に機能する。動体検知器が作動して警報が出た場合、防衛者はカメラを使用して空間を視覚的に確認し、物理的なセキュリティ侵害を検証できる。
• 2.4.C.3 従業員が制限区域の扉を開錠するために電子バッジを使用する場合、センサーは扉が開いていた時間を記録する。扉の入出 logs を確認する際、通常より長時間扉が開いている場合は、ピグバックまたはテイルゲーティングの疑いが検知される。

学習目標 3.1.A： 一般的なネットワーク攻撃を特定する。

• 3.1.A.1 アドレス解像プロトコル (ARP) は、ネットワーク上のデフォルトゲートウェイによって使用され、インターネットプロトコル (IP) アドレスとメディアアクセスコントロール (MAC) アドレスをペアにするテーブルを構築するために用いられる。ARP ポイズニング攻撃とは、敵対者が偽造された ARP パケットをデフォルトゲートウェイに送信し、ターゲットの IP アドレスを敵対者の MAC アドレスにリンクすることで、ターゲット宛てのトラフィックを敵対者のデバイスに転送するようにテーブルを変更することである。MAC アダプタを偽装することを MAC スPUフィングという。これはオンパス攻撃（またはミドルマン攻撃）の例であり、敵対者が2者間のデータストリームを遮断し、両者のデータをキャッチし、送信する前にデータをコピーまたは改変する攻撃である。双方は互いに直接通信していると思っているが、実際には各自が敵対者と通信しており、そのメッセージが密かに傍受されている状態となる。
• 3.1.A.2 MAC フラッディング攻撃とは、敵対者が異なる MAC アダプタを持つ多数のエターネットフレームをターゲットスイッチに送信することである。これによりスイッチがブロードキャストモードに強制され、敵対者はネットワーク上のすべてのフレームを収集できる（これらはブロードキャストされているため）。これにより、敵対者は機密情報へのアクセスが可能になる可能性がある。これはイブスドロップ（またはスニフィング）の例であり、敵対者が進行中のデータをキャッチし、記録・コピーできる攻撃である。
• 3.1.A.3 DNS ポイズニング攻撃とは、敵対者が権威あるネームサーバー (NS) を装い、DNS サーバーに偽の DNS レコード植入して、認証情報を盗むために設計された悪意のあるウェブサイトへブラウザのトラフィックをリダイレクトすることである。これはクレデンシャルハーベストingの例であり、敵対者が本物のように見える偽のログインサイトを设置し、無邪気なユーザーが本物の認証情報を入力すると、それらを敵対者がキャッチして利用する攻撃である。
• 3.1.A.4 スマーフ攻撃は、インターネットコントロールメッセージプロトコル (ICMP) リクエストでネットワークを飽和させようとする攻撃である。これは denial of service (DoS) 攻撃の一種であり、システムやリソースを authorized users が利用できないようにする攻撃である。スマーフ攻撃中、敵対者は被害者のアドレスを含む多数の ICMP リクエストをネットワークのブロードキャストアドレスに送信する。ネットワークのゲートウェイはこれらのリクエストをネットワーク上のすべてのデバイスに送信する。各デバイスは被害者のアドレスに返信し、正規のメッセージをブロックする可能性のあるトラフィックの洪水を生み出す。複数のデバイスが同時に同じターゲットを攻撃する場合、これを分散 denial of service (DDoS) 攻撃と呼ぶ。

学習目標 3.1.B： 敵対者がネットワーク脆弱性をどう活用してネットワーク通信を盗聴、妨害、破壊するか説明する。

• 3.1.B.1 敵対者は、DoS を引き起こすためにネットワークを飽和させる恶意trafficを送信したり、ネットワークの内部構造をマッピングしたり、合法デバイスを偽装したりできる。ファイアウォールがない、または適切に構成されていないファイアウォールを持つネットワークは、これらの攻撃に脆弱である。
• 3.1.B.2 デバイスを乗っ取った敵対者は、ローカルエリアネットワーク (LAN) 上の他のデバイスも乗っ取るためにそのアクセスを利用しようとする傾向がある。
• 3.1.B.3 敵対者がデータポートに物理的に接続した場合、ポートセキュリティが有効化されていない限り、スイッチポートを通じて LAN にアクセスできる。これにより、敵対者は DoS 攻撃を実行したり、MAC フラッディングや MAC スPUフィング攻撃を行ったりできる。
• 3.1.B.4 物理的に安全なスペースの外にいる敵対者は、物理的空間の外にブロードキャストされているワイヤレスアクセスポイントからの信号やビコンフレームをキャッチできる。これにより、ワイヤレスネットワークに関する情報を収集し、それに対するイブスドロップ暗号化攻撃を試みることが可能になる。
• 3.1.B.5 敵対者はネットワークに参加して、その内部から攻撃を行うことを試みることがある。デバイスやユーザーを認証しないネットワークでは、敵対者が参加することが容易になる。
• 3.1.B.6 開放されたネットワークポートがある場合、攻撃者はそのポートにワイヤレスアクセスポイントを接続し、不正アクセスポイントを作成できます。攻撃者はこの不正アクセスポイントを利用して、内部ネットワークに無線でアクセスすることが可能であり（物理的な空間の外からでも）、これによりファイアウォールを回避してLANへの直接アクセスが可能になります。
• 3.1.B.7 攻撃者は、ワイヤレス暗号化の解除を試み、ネットワーク上のデータを傍受、盗取、または侵害しようとする可能性があります。

学習目標 3.1.C： ネットワーク脆弱性からのリスクを評価・文書化する。

• 3.1.C.1 ネットワーク上の脆弱性は、攻撃者が送信中のデータを傍受・改変したり、DoS攻撃を実行したり、ネットワーク上で横方向に移動してより敏感かつ重要なシステムへのアクセスを得たりする原因となることがあります。ネットワーク脆弱性は、機密性、完全性、可用性に対するリスクとなる可能性があります。
• 3.1.C.2 既知の脆弱性に対してネットワーク、デバイス、アプリケーションを検査できる自動化された脆弱性スキャナがあります。これらのスキャナは、検出された脆弱性、その深刻度、および軽減策に関する推奨事項を含むレポートを生成します。
• 3.1.C.3 ネットワーク脆弱性を成功裏に悪用するには、高度な技術的能力及び知識が通常必要です。これはエクスプロイトの可能性に影響を与えます。
• 3.1.C.4 ネットワーク脆弱性による高リスクは、攻撃者がネットワークトラフィックをキャプチャしたり、ネットワーク上の正規デバイスを偽装したり、DoS攻撃を実行したりすることで、容易に重大な影響を与えることを意味します。
  • 3.1.C.4 の例:
    • 組織が単一の未分割内部ネットワークを持ち、弱体な暗号化を持つワイヤレスネットワークを通じてアクセス可能であり、そのネットワーク上で独自ウェブアプリケーションを実行しているサーバーを運用している場合。
• 3.1.C.5 ネットワーク脆弱性による中程度のリスクには、攻撃者にネットワーク上のシステムやデバイスに関する情報を取得させる可能性がある脆弱性が含まれます。
  • 3.1.C.5 の例:
    • 組織の外部ファイアウォールが、外部ICMPトラフィックをブロックするように設定されていない場合。
• 3.1.C.6 ネットワーク脆弱性による低リスクには、悪用が困難であり、組織に与える否定的な影響が最小限である可能性が高い脆弱性が含まれます。
  • 3.1.C.6 の例:
    • 組織が、ネットワークサービスセットID（SSID）およびワイヤレス暗号化プロトコルを含むビーコンフレームをブロードキャストするワイヤレスアクセスポイントを持っている場合。

学習目標 3.2.A： ネットワークセキュリティに関連する管理統制を特定する。

• 3.2.A.1 ルーターセキュリティポリシーは、組織のネットワーク上のルーターに対する最低構成基準を定めており、以下を含めることがあります：
  • ローカルユーザーアカウントの使用禁止（すべてのルーターログインは承認された認証サーバーを使用すること。）
  • 不要なサービスの無効化（例：Telnet）
  • ファイアウォールの必須化（組織はルーターとは別のファイアウォールデバイスを選択することもある。）
• 3.2.A.2 スイッチセキュリティポリシーは、組織のネットワーク上のスイッチに対する最低構成基準を定めており、以下を含めることがあります：
  • ローカルユーザーアカウントの使用禁止（すべてのスイッチログインは承認された認証サーバーを使用すること。）
  • ポートセキュリティの有効化の必須化。
  • MACフィルタリングの使用
• 3.2.A.3 仮想プライベートネットワーク（VPN）ポリシーは、組織の内部ネットワークにアクセスするためにVPNを使用する従業員に対する最低セキュリティ要件を詳細に示しており、以下を含めることがあります：
  • 組織の内部ネットワークにアクセスするためにVPNの使用が許可されている組織内の役職の一覧
  • VPNを使用する従業員のための認証要件（例：公開鍵/秘密鍵システムまたはMFA）
  • スプリット_tunneling（デュアル_tunnelingとも呼ばれる）の禁止
• 3.2.A.4 ワイヤレスセキュリティポリシーは、組織内のワイヤレスネットワークに対する最低セキュリティ要件を確立しており、以下を含めることがあります：
  • 承認された認証サーバーに接続された拡張認証プロトコル（EAP）を介してユーザーがワイヤレスネットワークに認証されること
  • AES暗号化を使用して最小キー長で、すべてのワイヤレストラフィックが暗号化されていること
  • ワイヤレスアクセスポイントにおけるビーコンフレームの無効化

学習目標 3.2.B： ワイヤレスネットワークセキュリティ機能を設定する。

• 3.2.B.1 組織は、ワイヤレスアクセスポイント（WAP）でのビーコンフレームのブロードキャストを無効化して、攻撃者がワイヤレスネットワークを見つけやすくせず、その基本的な属性を学ぶのを難しくすることができます。
• 3.2.B.2 組織は、WAPのブロードキャスト方向と信号強度を制御して、信号がアクセスポイントが本来カバーすべき物理的な空間を超えて広がらないようにできます。
• 3.2.B.3 組織は、強固なワイヤレス暗号化プロトコルを有効化して、ワイヤレスフレームが傍受される可能性がある攻撃者によって読み解かれないようにする必要があります。
  • WEP、WPS、および最初のWPAワイヤレス暗号化プロトコルには既知の脆弱性があり、安全ではありません。
  • WPA3は現在、最も強力なワイヤレス暗号アルゴリズムです。
• 3.2.B.4 組織は、MACフィルタリングを有効化して、未授权デバイスがネットワークにアクセスできないようにし、ネットワークに接続する際にユーザーの認証を求めることができます。

学習目標 3.3.A： ネットワークをセグメント化する手法を特定する。

• 3.3.A.1 フォアウォール・ゾーンおよびルールを使用して、スクリーンド・サブネット（ディミリタライズド・ゾーン、DMZとも呼ばれる）を作成できます。これは、インターネットなどの公開外部ネットワークと、内部のプライベートネットワークとの間に位置するネットワークセグメントです。スクリーンド・サブネットは通常、内部のプライベートネットワークよりもセキュリティレベルが低く、組織の公网資源を保持し、それらを内部ネットワークから分離します。
• 3.3.A.2 サブネット分割は、IPアドレスに基づいて異なるサブネットを作成するために使用できます。あるデバイスが攻撃者に侵害された場合、サブネットはセキュリティ違反を限定することで、露出するデバイスの数を減らすことができます。
• 3.3.A.3 スイッチを使用してVLANを作成することができ、これにより中央スイッチに物理的に接続されているデバイスを論理的に分離できます。

学習目標 3.3.B: ネットワーク分割がネットワークセキュリティを向上させる理由を説明すること。

• 3.3.B.1 ネットワーク分割とは、ネットワークをより小さく、隔離されたセグメントやサブネットワーク（サブネット）に分割するプロセスを指します。
• 3.3.B.2 ネットワークを小さなサブネットに分割すると、ネットワークトラフィックが隔离され、あるサブネットに対する攻撃が他のサブネット上のデバイスに影響を与えるのを防ぐことができます。
• 3.3.B.3 ネットワーク分割により、ネットワークの異なるセグメントに対して異なるセキュリティポリシーや制御を適用することが可能になり、高いセキュリティゾーンと低いセキュリティゾーンを設定できます。
• 3.3.B.4 スイッチのポートセキュリティは、単一のスイッチ・ポートに割り当て可能なMACアドレスの数を制限することで、MACフラッディングを防ぐことができます。

学習目標 3.5.A: ネットワーク攻撃を検知するために使用される自動化されたセキュリティツールの種類を特定すること。

• 3.5.A.1 自動化された検知ツールは、組織のネットワークおよびデバイス（スイッチ、ルーター、サーバー、フォアウォール、ユーザーのコンピューターなど）から収集されたデータを分析します。これらのデータは通常、ログファイルとして収集されます。
• 3.5.A.2 ネットワーク侵入検知システム（NIDS）は、ネットワーク上で悪意のある活動が発生しているかどうかを判定するためにデータを分析する自動化されたツールです。攻撃が検知されると、アラートを生成します。
• 3.5.A.3 ネットワーク侵入防止システム（NIPS）は、IDSと同様にデータを分析してネットワーク上で悪意のある活動が行われているかどうかを判定する自動化されたツールである。NIPSは、ポートの閉鎖、特定のIPまたはMACアドレスのブロック、特定のプロトコルの拒否などにより、攻撃を軽減または停止することもできる。
• 3.5.A.4 セキュリティ情報およびイベント管理（SIEM）システムは、ファイアウォール、NIDS/NIPS、デバイスログ、アプリケーションログなど複数のソースからのデータを収集・分析し、サイバー攻撃を示唆するパターンを検出し、潜在的な攻撃が検出されれば警告を発する。セキュリティアナリストは警告を調査し、それが真の脅威に該当するかを決定し、標準的な運用手順に従って警告を解決またはエスカレートさせる。

学習目標 3.5.B： 組織が人工知能（AI）を活用して脅威の検知と対応をどのように強化するか説明する。

• 3.5.B.1 コンピュータはユーザーが行うすべてのアクションをログに記録する。ファイアウォール、IDS、IPS、その他のネットワークセンサーは、ネットワーク内の様々なポイントを通じて通過するすべてのトラフィックをログに記録する。中規模組織のネットワークでは、毎日数百万、あるいは数千万ものデータポイントがログに蓄積されている。人間によるチームであっても、この膨大なデータを分析することは不可能である。
• 3.5.B.2 脅威検知チームは、大量のデータを解析し、データのパターンが悪意のあるものか正常なものを分類するためのAIアルゴリズムを作成している。
• 3.5.B.3 脅威検知のためのAIモデルは確率的計算に基づいており、何かが悪意のあるものである可能性を示すためにパーセンテージを報告する。
• 3.5.B.4 組織は、どの程度の可能性で警告が発令されるべきかを独自の閾値として決定する。閾値が高すぎると、実際の攻撃が検知されない可能性がある。一方、閾値が低すぎると、セキュリティチームは誤警告に圧倒されてしまう。

学習目標 3.5.C： ネットワーク検知方法を特定する。

• 3.5.C.1 ネットワークトラフィックの量は、検知方法を選択する基準となる。高トラフィック量のネットワークでは、シグネチャベースの検知の方が効率的である。シグネチャベースの検知は、検知データを既知の侵害指標（IoCs）のデータベースである「シグネチャ」と比較する。シグネチャデータベースには、最新の攻撃に対応したIoCsで更新が必要である。シグネチャベースの検知は、異常検知ベースの検知よりも高速に動作する。
• 3.5.C.2 ネットワークトラフィックパターンの一貫性は、検知方法を選択する基準となる。一貫性のあるトラフィックパターンを持つネットワークでは、異常検知ベースの検知が最も効果的である。異常検知ベースの検知は、記録された活動のベースラインと比較する。ベースラインは、期待される数据类型と量を設定するために、侵害されていないシステム上で記録される必要がある。指定された許容範囲外の数据类型や量が記録されると、異常検知ベースの検知は警告または行動をトリガーする。異常検知ベースの検知は、ネットワークトラフィックの一貫したパターンを利用して、異常なトラフィックパターンを検知する。
• 3.5.C.3 ネットワークの敏感さや重要度の程度は、検知方法を選択する基準となる。より敏感または重要なデータやサービスを持つネットワークでは、ハイブリッドアプローチを検討することが多い。ハイブリッド検知は、シグネチャベースと異常検知ベースの両方を組み合わせる。ハイブリッド検知は、どちらか片方の手法 alone を使用する場合よりもコストが高く、また、より多くの警告を生成する。
• 3.5.C.4 ネットワークにおける新規攻撃の可能性は、検知方法を選択する基準となる。シグネチャベースの検知では、新しい攻撃を検知できない。組織が敵対者がネットワークに対して新たな攻撃を試みる可能性が高いと懸念している場合、ハイブリッド検知のコストが高額すぎる場合は、異常検知ベースの検知が好まれる方法となる。

学習目標 3.5.D： ネットワーク検知方法の影響を評価する。

• 3.5.D.1 検知速度は、ネットワーク検知方法の影響を評価する要因である。検知速度が速ければ、対応も迅速に行える。シグネチャベースの検知手法は、異常検知ベースの検知手法よりも速い。特に高トラフィック量のネットワークではその差が顕著である。
• 3.5.D.2 コストは、ネットワーク検知方法の影響を評価する要因である。検知ツールおよび継続的なコストは予算内に収まる必要がある。異常検知ベースのシステムは、シグネチャベースのものよりも高いハードウェアを必要とする。ハイブリッド検知は、異常検知とシグネチャの両方の手法を組み合わせるため、最も高額な選択肢である。
• 3.5.D.3 偽陽性率（FP rate）は、ネットワーク検知方法の影響を評価する要因である。シグネチャベースの検知にはほぼ偽陽性がない。異常検知ベースまたはハイブリッド検知は、より高い偽陽性率を示す。高い偽陽性率の影響には以下が含まれる：
  • 非悪意の活動に関する警告の調査に時間とリソースが割かれる。
  • アラート疲労とは、対応者が偽陽性に慣れ、警告を真面目に受け付けなくなる状態のことである。これは、調査前に警告が偽陽性であると仮定してしまうためである。
• 3.5.D.4 偽陰性率（FN rate）は、ネットワーク検知方法の影響を評価する要因である。敵対者が検知システムを回避できた場合に偽陰性が発生する。シグネチャベースの検知システムは、異常検知ベースやハイブリッドシステムよりも容易に回避される。偽陰性は、敵対者によるデータやシステムへの損失、損害、妨害、破壊をもたらす可能性がある。

学習目標 3.5.E： ログファイルを解析することで、ネットワーク攻撃の兆候（IOCs）を特定するために検知技術を適用する。

• 3.5.E.1 イビル・ツイン攻撃は、局所内の正規のSSIDと似ているか不審なサービスセットID（SSID）を定期的にスキャンすることで検出できます。信号三角測量を用いて、イビル・ツインネットワークをブロードキャストするアクセスポイントの位置を特定し無効化することが可能です。
• 3.5.E.2 ジャミング攻撃は、特定の物理空間内の無線デバイスが無線ネットワークに接続できないことを認識し、無線範囲内の電磁（EM）ノイズをスキャンすることで検出できます。
• 3.5.E.3 ARPポイゾニング攻撃は、ネットワークトラフィックを監視して異常なARPメッセージ（特に重複したMACアドレスを持つARPパケット）を検出し、デフォルトゲートウェイのARPテーブルを確認することで検出できます。
• 3.5.E.4 MACフラッディング攻撃は、ネットワークトラフィックを監視して異なるMACアドレスを持つEthernetフレームの予期せぬ急増を検出し、スイッチ上のMACアドレステーブルを確認することで検出できます。
• 3.5.E.5 DNSポイゾニング攻撃は検出するのが困難です。しかし、組織のウェブサイトが急激かつ説明のつかないトラフィック減少を経験した場合、DNSレコードを潜在的な原因として確認すべきです。
• 3.5.E.6 スマーフ攻撃は、ネットワークトラフィックを監視して、ネットワークの广播アドレス宛てに送られたICMPリクエストの急増を観察することで検出できます。
• 3.5.E.7 ネットワークベースのIoCは、ネットワークトラフィックを分析する際に発見されます。一般的にはパケットキャプチャファイルの形式をとります。インジケーターは、送信元および宛先IPアドレス、ポート、プロトコルに含まれます。これらには以下が含まれます：
  • 既知の悪意のあるIPアドレスへの接続
  • 承認されていないネットワークスキャン
  • ネットワークトラフィックにおける異常なピークや減速
  • ポートとアプリケーションのトラフィックの不一致

学習目標 4.1.A： コンピューティングデバイスの種類を特定する。

• 4.1.A.1 サーバーコンピュータは、他のコンピュータに対して1つ以上のサービス（例：DNS、DHCP、FTP）を提供するデバイスです。すべてのコンピュータがサーバーになることができ、企業環境ではサーバーは通常、パーソナルコンピュータよりも高い処理能力とストレージを持ちます。
• 4.1.A.2 パーソナルコンピュータは、一人の人が業務や娯楽目的で使用するよう設計されたデバイスです（例：ワード処理、グラフィックデザイン、ウェブブラウジング、メディア制作または視聴）。これにはデスクトップ、ラップトップ、ノートパソコンが含まれます。
• 4.1.A.3 ハンドヘルドコンピュータ（モバイルコンピュータや情報家電とも呼ばれる）は、パーソナルコンピュータより小さく、バッテリーで動作します。これにはタブレット、スマートフォン、スマートウォッチのようなウェアラブルテクノロジーが含まれます。
• 4.1.A.4 エンベッドドコンピュータは、機械の一部であるデバイスです。エンベッドドデバイスは、組み込まれている機械の専用コンポーネントとのインターフェース用に特定の命令セットを持っています。エンベッドドコンピュータは他のコンピュータより遅く、安価であり、ストレージ容量も最小限です。
• 4.1.A.5 エンベッドドコンピュータを搭載した日常的なデバイスは、Often Internet of Things (IoT) デバイスと呼ばれます。エンベッドドコンピュータは、輸送機器（例：自動車、鉄道、航空機）、重要インフラを稼働させるデバイス（例：変電所の遮断器操作、浄水場のポンプ）、医療機器（例：点滴ポンプ、MRIスキャナー、ペースメーカー、インスリンポンプ）、そして洗濯機、コーヒーメーカー、サーモスタットなどの日常品に見られます。

学習目標 4.1.B： サイバー攻撃で使用されるマルウェアの種類を特定する。

• 4.1.B.1 マルウェアは、デバイスやネットワークを損傷または破壊したり、攻撃者にデバイスへのアクセスやデバイス上のデータへのアクセスを許容する悪意あるソフトウェアです。
• 4.1.B.2 マルウェアは、攻撃者の最終的な目標達成のための計画の一部を遂行するためのツールとしてよく使用されます。マルウェアには多くの種類があります。例えば：
  • ユーザーがファイルを実行または開くことで起動されなければならないマルウェアであるウイルス。
  • 人間の介在なく、一台のコンピュータから別のコンピュータへ拡散するワーム。
  • 無害そうに見える他のソフトウェアに埋め込まれたマルウェアであるトロイの木馬。リモートアクセストロイ（RATs）は、攻撃者に対して標的システムへのリモートアクセスを提供します。
  • デバイスのファイルを暗号化し、ユーザーがデバイス上のファイルにアクセスできなくするランサムウェア。通常、ランサムウェアはユーザーに対し、画面を表示して支払いを要求し、一定期間内に支払えばファイルの復号鍵を提供すると約束します。
  • ユーザーのコンピュータ上での行動を追跡し、情報を攻撃者に送信するスパイウェア。
  • ユーザーのキー入力をログ記録し、情報を攻撃者に送信するソフトウェアまたはハードウェアであるキーロガー。攻撃者はキーロガーのデータからユーザー名やパスワードを抽出できることが多いです。
  • 特定の条件が満たされた場合にのみ効果を発動するよう設定されたロジックボム；条件には日付と時間、特定のOSタイプやバージョン、コンピュータが使用している文字集合などが含まれます。
  • ターゲットコンピュータのオペレーティングシステムに侵入し、システムのほぼあらゆる側面を制御できる高度なマルウェアであるルートキット。ルートキット自体を検知不可にすることも可能です。
• 4.1.B.3 ほとんどのマルウェアはファイルまたはファイルの集まりですが、ファイルレスマルウェアはRAM上に存在し、デバイスに既にインストールされている正規のプログラムを利用してそれを侵害する悪意あるコードです。

学習目標 4.1.C： 攻撃者が一般的なデバイスの脆弱性をどのように利用して、損失、損傷、妨害、または破壊を引き起こすかを説明する。

• 4.1.C.1 攻撃者は、ソフトウェア（オペレーティングシステムを含む）の既知の脆弱性に対するエクスプロイトを開発できる。パッチ未適用のソフトウェアを搭載したデバイスはこれらのエクスプロイトに対して脆弱であり、システムをクラッシュさせたり、ユーザーの操作を監視したり、デバイス上のさまざまなサービスやコンポーネントを有効化または無効化したり（例：Webカメラやマイクのオン/オフ）、さらにはデバイスを掌握して自らの命令を発令し、デバイス上の情報を盗取または破壊する命令を含めることができる。
• 4.1.C.2 攻撃者は、認証要件が緩弱な点を利用し、ユーザーのパスワードを推測したり、ソーシャルエンジニアリングによってユーザーにパスワードを洩れ出させたりすることができる。
• 4.1.C.3 システムに基本入出力システム（BIOS）または統合拡張ファームウェアインターフェース（UEFI）にパスワードがない場合、攻撃者はより高い権限を与える特別なモード（例：「回復モード」）でコンピューターをブートさせることができる。BIOSやUEFIによる保護がない場合、攻撃者は外部ドライブから独自のオペレーティングシステムをデバイスに読み込み、専門的なツールを使用してユーザープロフィールを変更または作成することができ、ユーザーパスワードの変更も含まれる。
• 4.1.C.4 攻撃者は外部ドライブにマルウェアを読み込むことができ、 autorun が有効化されている場合、外部ドライブを挿入するとデバイスがそのマルウェアを実行する。
• 4.1.C.5 攻撃者は開放されたポートを利用してデバイスに接続することができる。
• 4.1.C.6 攻撃者は悪意のあるデータを送信してデバイスを妨害したり、それらを掌握しようと試みることがある。ファイアウォールがない（または誤設定のファイアウォールを持つ）デバイスは、この悪意のあるデータをフィルタリングできない。
• 4.1.C.7 攻撃者はoften、デバイスを妨害または制御するためにマルウェアのインストールを試みる。アンチマルウェアソフトウェアー缺失するデバイスは、この種のアタックに対してより脆弱である。

学習目標 4.1.D： デバイスの脆弱性からのリスクを評価し、記録する。

• 4.1.D.1 デバイスの脆弱性からのリスクは、不正アクセスやマルウェアにより、攻撃者が authorized user を騙り、デバイスに遠隔でアクセスし、デバイスのドライブを暗号化してデータを拉致したり、デバイスのメモリを消去してデータを破棄したり、デバイスを機能不全に陥らせたりすることを可能にする。リスクの程度は、デバイスの重要性や、デバイスが提供するサービスや保持するデータの重さに応じて異なる。
• 4.1.D.2 デバイスの脆弱性による高リスクは、機密情報の漏洩や重要な運用への潜在的な侵害を伴う。
  • 4.1.D.2 の例:
    • 組織がメールサーバーの最新アップデート（既知の重大な脆弱性を修正するパッチが含まれている）を未導入の状態にある。
• 4.1.D.3 デバイスの脆弱性による中程度のリスクは、弱い認証要件や、エクスプロイトされる可能性が低い脆弱性から生じることがある。
  • 4.1.D.3 の例:
    • 水処理プラントにはポンプを制御する組み込みシステムがある。プラントの遠隔管理のために、ユーザー名とパスワードでポンプに遠隔アクセスできるが、デバイスにはマルチファクタ認証（MFA）が要求されていない。
• 4.1.D.4 デバイスの脆弱性による低リスクは、通常、エクスプロイトされたとしても影響が小さい脆弱性に関連している。
  • 4.1.D.4 の例:
    • 社員のラップトップに telnet ポート 23 が開放されている。

学習目標 4.3.A: デバイスセキュリティに関連する管理統制を特定する。

• 4.3.A.1 許容利用ポリシーは、組織所有のデバイスにおいてユーザーが許可される、禁止される、または必須とする活動の範囲を説明し、以下を含む場合があります：
  • ユーザーによる特定のウェブサイトや種類のウェブサイト（例：SNSやゲームサイト）へのアクセスの禁止
  • ソフトウェアの更新状態を維持することの強制
  • 周辺機器の接続の許可
  • 外部ドライブやメディアの接続の禁止
• 4.3.A.2 パスワードポリシーは、組織内のユーザーのパスワードに関する要件を詳細に示し、以下を含む場合があります：
  • パスワードの最小または最大長さ
  • 同じパスワードを保持できる最小または最大の期間
  • パスワードの再使用の禁止
  • パスワードの作成ルール（例：辞書語の禁止、文字セット要件など）
  • パスワードメモ書きではなく、安全なパスワード管理ツールの使用を推奨
• 4.3.A.3 ソフトウェアインストールポリシーは、ユーザーが自分のデバイスにインストールできるソフトウェア（あれば）を説明し、一般的にまた、職務遂行に必要な特別ソフトウェアをリクエストするためのプロセスも含まれ、以下を含む場合があります：
  • ユーザーによるデバイスへのソフトウェアインストールの禁止
  • 職務遂行に必要な新ソフトウェアのリクエストプロセス
  • ユーザーのための承認済みソフトウェア一覧

学習目標 4.3.B: アンチマルウェアソフトウェアがデバイスをより安全にする方法を説明する。

• 4.3.B.1 アンチマルウェアソフトウェア（アンチウイルスソフトウェアとも呼ばれる）には、システムを損壊させたり、監視したり、破壊したりするマルウェアを隔離・除去するためのツールがあります。マルウェアには検出可能にするインジケーターが含まれており、これらのインジケーターはシグネチャと呼ばれます。
• 4.3.B.2 アンチマルウェアソフトウェアには、マルウェアのシグネチャデータベースがあります。デバイスのファイルを定期的にスキャンし、ファイルがデータベース内のどのシグネチャと一致するかを確認します。一致がある場合、ソフトウェアは悪質なファイルを隔離・削除します。

学習目標 4.3.C: デバイスのオペレーティングシステムとソフトウェアを更新することの安全性について説明する。

• 4.3.C.1 オペレーティングシステムやソフトウェアに脆弱性が見つかった場合、そのOSソフトウェアを保守するベンダーや組織が修正し、アップデートを送信します。小さなアップデートはパッチと呼ばれます。
• 4.3.C.2 コンピュータのオペレーティングシステムおよびアプリケーションソフトウェアを最新バージョンに更新しておくことで、攻撃者が既知の脆弱性を悪用することを防げます。

学習目標 4.3.D: ホストベースのファイアウォールを設定する。

• 4.3.D.1 ホストベースのファイアウォールは、単一デバイスへの入出力トラフィックを許可または拒否します。ホストが侵害されたネットワークに接続されている場合に備えて、追加のセキュリティ層を提供します。
• 4.3.D.2 ホストベースのファイアウォールは、デバイス上で動作するソフトウェアであり、ネットワークベースのファイアウォールと同様に一連のルール（ACL）に従います。ファイアウォールルールは順序に従って適用され、最初に一致するルールが適用されます。
• 4.3.D.3 ホストベースのファイアウォールは、指定された種類のアウトバウンドトラフィックをブロックすることもできます。ホストベースのファイアウォールは、特定のデバイスに不要なポートやサービスを常にブロックすべきです。
  • 4.3.D.3 の参考例:
    • ホストベースのファイアウォールがアウトバウンドFTPトラフィックをブロックするように設定されています。これにより、リモートアクセスを持つ攻撃者がFTPを使用してファイルを攻撃者のサーバーへ転送することを防げます。
• 4.3.D.4 ホストベースのファイアウォールのルールは、ソースまたは dest port、IPアドレス、サービス、プロトコル、またはアプリケーションに基づいて、トラフィックを許可または拒否できます。

学習目標 4.4.A: デバイスに対する攻撃を検知する方法を説明する。

• 4.4.A.1 システムプロセスと設定、ログイン試行、ファイルダウンロード試行、およびユーザー操作は、コンピューティングシステムによってログとして記録されます。これらのログは、サイバー事件に至る前および発生時の状況を復元するために使用できます。
• 4.4.A.2 侵害の指標（IoC）とは、攻撃者がデバイスやネットワークを乗っ取ったことを示す証拠である。
• 4.4.A.3 認証ログ（auth logs）は、システムへのログイン試行をすべて記録する。認証ログの分析により、試みられた攻撃が判明することがある。
• 4.4.A.4 ホストベースのIoCは、ログと設定の分析によって発見される。以下の指標などは、認証ログ、ユーザー活動ログ、およびシステム設定ファイルに存在する可能性がある：
  • 不審なファイルの作成または修改
  • 予期せぬプロセスやサービス
  • システム設定に対する無断の変更
  • 無断のソフトウェアインストールまたはアップデート
• 4.4.A.5 ファイルベースのIoCは、デバイス上のファイルの分析によって発見される。指標は通常、実行可能ファイルに含まれ、以下を含むことがある：
  • 既知のマルウェアとハッシュ値が一致するファイル
  • 特定のマルウェアによって生成されることが知られているファイル名
  • 悪意のある活動に関連付けられているファイルパス
• 4.4.A.6 ベースド・イン・-behavior IoCは、ログの分析によって発見される。指標は認証ログおよびアクセスログに含まれることができ、以下を含むことがある：
  • 複数のログイン失敗試行
  • 不審なログイン時間や場所
  • 機密データへの無断アクセス試行
  • システム上でのユーザー権限の昇格試行

学習目標 4.4.B： デバイスに対する攻撃を検出するための統制策を決定する。

• 4.4.B.1 パフォーマンスは検出方法を選択するための基準となる。検出ツールはシステムメモリと処理能力を使用し、デバイスのパフォーマンスに影響を与えることがある。異常ベースの検出ツールは、シグネチャベースのツールよりも多くのシステムリソースを消費する。リソースが少ないデバイスには、シグネチャベースの検出の方が適している。多くの組み込みデバイスは、デバイス上で検出ツールを実行するのに十分なシステムリソースを持っていない。
• 4.4.B.2 コストは検出方法を選択するための基準となる。検出ソフトウェアを購入する組織は、監視が必要なデバイス数分のライセンスを取得するコストを考慮しなければならない。一部の組織は、サードパーティベンダーからエンドポイント検出およびレスポンス（EDR）サービスを購入する。これらのサービスは高価ではあるが、組織のデバイスに対する脅威検出に対して包括的かつ統合されたアプローチを提供します。通常、デバイスに対する攻撃を監視するための集中型アラートプラットフォームが含まれている。
• 4.4.B.3 デバイスの感度または重要度は、検出方法を選択するための基準となる。機密情報を保持または処理するデバイスや重要なサービスを提供するデバイスは、攻撃者の標的となりやすく、最大限の保護を提供するために、可能な限りハイブリッド検出モデルを利用するメリットがある。

学習目標 4.4.C： デバイス検出方法の影響を評価する。

• 4.4.C.1 スピードとパフォーマンスは、検出方法の影響を評価する要因となる。一般的に、シグネチャベースの検出は異常ベースの検出より高速であり、その効果は、異常ベースの検出ツールを効果的に実行する処理能力を欠いていることが多いデバイスにおいてさらに増幅される。リソースを大量に消費する検出ツールをデバイスに実装すると、デバイスのパフォーマンスが低下する可能性がある。
• 4.4.C.2 攻撃フェーズは、検出方法の影響を評価する要因となる。デバイス上で操作を行うために、攻撃者はまず、物理層またはネットワーク層の防御、抑止、および探知セキュリティ統制の組み合わせを回避しなければならない。デバイスレベルで攻撃を検知して停止することは、攻撃者が機密データにアクセスしたり、重要なサービスを妨害したりすることを防ぐことができる。
• 4.4.C.3 フォルスポットと検出回避の容易さは、検出方法の影響を評価する要因となる。ほとんどのデバイスレベルの検出ツールはシグネチャベースであり、シグネチャベースの検出はフォールスポットの率が低い。しかし、シグネチャベースの検出は攻撃者にとって回避しやすい。

学習目標 4.4.D： ログファイルを分析してパスワード攻撃の指標を特定する検出手法を適用する。

• 4.4.D.1 オンラインパスワード攻撃は、認証ログで検出できる。単一のユーザーが多数の誤ったパスワードを試行することは、オンラインパスワード攻撃の指標である。ユーザー:パスワードハッシュデータベースが乗っ取られた場合、データベース内のすべてのユーザーパスワードは不secureと見なされ、すべてのユーザーにパスワードのリセットを強制すべきである。
• 4.4.D.2 正規ユーザーが予想される場所やIPアドレス、または通常の時間とは異なる場所や時間にログインしている場合、これはユーザーのパスワードが乗っ取られたことを示す指標になることがある。
• 4.4.D.3 パスワードスプレーの指標は、1つのIPアドレスまたは不審なIPアドレスから、数秒間隔で多数のユーザーがログインしようとしていることである。
• 4.4.D.4 クレデンシャルスタッフィングの指標は、同じIPアドレスなどから、一度に多数のデフォルトユーザー:パスワード組み合わせがデバイス上で試行されていることである。
• 4.4.D.5 オフラインパスワード攻撃は、攻撃が攻撃者のコンピュータ上で行われるため、検出できない。

学習目標 5.1.A： 攻撃者がアプリケーションおよびファイルの脆弱性をどのように利用して、損失、損傷、妨害、または破壊を引き起こすかを説明する。

• 5.1.A.1 攻撃者がファイルが格納されているデバイスまたはドライブにアクセスできる場合、暗号化されていないファイルはすべて読み取られることができる。
• 5.1.A.2 コンピュータには標準ユーザーと管理者ユーザーがあります。管理者ユーザーはシステム設定の制御にアクセスでき、通常、システム上のすべてのファイルやアプリケーションにアクセスできます。標準ユーザーに管理者権限が与えられており、攻撃者がユーザーのアカウントを乗っ取った場合、攻撃者はシステム上で elevated privileges（ comented privileges ）を獲得することになります。
• 5.1.A.3 アクセス制御設定が緩く設定されている場合、多くのユーザーがシステム上のファイルの表示、さらには編集へのアクセス権限を持つことがあります。攻撃者はこれらの弱いアクセス制御設定を利用し、ファイルを盗み出したり破棄したり、アプリケーションを妨害したりすることがあります。

学習目標 5.1.B: アプリケーション攻撃が脆弱性をどのように利用するかを説明する。

• 5.1.B.1 アプリケーションはコンピューターで命令を実行するプログラムであり、実行可能なデータです。一部のアプリケーションはユーザーのコンピューター上でローカルに動作しますが、Webアプリケーションなどの他のアプリケーションはサーバー上で動作し、ユーザーがネットワークを通じてアクセスします。
• 5.1.B.2 多くのアプリケーションは、ユーザーが文字（例：アルファベット、数字、記号）を入力できるオープンエンドの入力フィールドを通じてユーザー入力を取得します。開発者は、アイテム数を問われた際に数値入力を行うようにするなどの、ユーザー入力の検証をアプリケーションに含めるべきです。これにより、ユーザー入力が期待される内容と一致していることを確認でき、期待されるパラメータ外の入力は拒否されます。このように、処理前にユーザー入力が期待される基準を満たしているかを検証するプロセスは「データバリデーション」と呼ばれます。ユーザー入力を検証しないアプリケーションは、攻撃者が入力フィールドに予期せぬ文字列を挿入してプログラムの動作を変更する注入型攻撃に対して脆弱となります。
• 5.1.B.3 スtructured query language (SQL) は、データベースから情報を要求したり、データベースやそのエントリの変更を行ったりするために使用されるコンピューター言語です。ユーザーからの検証されていないまたは清浄化されていない入力でデータベースを照会するアプリケーションは脆弱性があります。
• 5.1.B.4 SQLインジェクション攻撃では、SQLコマンドや制御文字がアプリケーションの入力フィールドに配置され、これが機密性の侵害（アプリケーションが返すべき以上の情報を返すこと）、または整合性の侵害（データベース内のデータの修改や削除）を引き起こすことがあります。
• 5.1.B.5 ウェブサイトはhypertext markup language (HTML) で記述されており、多くのウェブサイトではdynamic content（動的コンテンツ）を作成するためにJavascriptを使用しています。 Javascriptコマンドは訪問者のブラウザ内で実行されるため、それらのコマンドはブラウザ内に格納されたユーザー名、パスワード、暗号鍵などの敏感なデータにアクセスできます。
• 5.1.B.6 A cross site scripting (XSS) attack（クロスサイトスクリプティング攻撃）では、悪意のあるコードがウェブサイトへ注入され、ユーザーのブラウザによって実行されます。悪意のあるコードは、ユーザーがクリックするリンクに埋め込まれている場合（Type I または Reflected XSS 攻撃）や、コメント欄、フォーラム投稿、访客日志（visitor log）を介してサイトに挿入され、そのサイトを訪問するすべてのユーザーに影響を与える場合（Type II または Stored XSS 攻撃）があります。
• 5.1.B.7 アプリケーションがユーザー入力を取得すると、その入力はバッファに書き込まれます。バッファとは、固定サイズを持つコンピューターメモリの指定された領域です。ユーザーが入力したデータ量がバッファのサイズを超えると、隣接するメモリ領域にオーバーフローし、コンピューターのメモリの他の部分を上書きすることがあります。
• 5.1.B.8 バッファオーバーフロー攻撃では、割り当てられた量よりも多くのデータをメモリに供給することで、システムがクラッシュしたり、プログラムのセキュリティポリシーの範囲外でコードを実行したりすることがあり、結果として攻撃者にファイルのアクセス、修改、または削除など、コンピューター上での不正操作を許可することになります。
• 5.1.B.9 Webアプリケーションを実行するファイルは、サーバー上のディレクトリに保存されています。ユーザーがWebアプリケーションにアクセスすると、そのブラウザはhypertext transfer protocol (HTTP) を用いてGETリクエストを送信します。GETリクエストはサーバーのファイルシステム内のどこかのファイルにアクセスします。
• 5.1.B.10 ディレクトリトラバーサル攻撃では、攻撃者はURLやGETリクエストを改変し、サーバーのファイルシステム上の敏感なデータ（例：ユーザー名とパスワード）にアクセスしようと試みます。
  • 5.1.B.10 の具体例:
    • 某ウェブサーバーがホストするサイトの画像を /var/www/images/ デレクトリに格納しています。攻撃者は画像を要求するURLを ../../../etc/passwd に変更します。 .. はファイルシステム内で1つ上のディレクトリを示すため、3つの連続する .. はルートパスを指し示し、そこから攻撃者は passwd ファイルにアクセスしようとし、これはデバイス上のすべての承認済みユーザー名のリストを返します。

学習目標 5.1.C: アプリケーションおよびデータの脆弱性からのリスクを評価・文書化する。

• 5.1.C.1 データセキュリティリスクには、未授权者（unauthorized persons ）が敏感なデータにアクセスできることで機密性が侵害されること、データが意図した状態から操作・修改されることで整合性が侵害されること、データが破壊または暗号化されて他者がアクセスできなくなることで可用性が侵害されることが含まれます。
• 5.1.C.2 データ脆弱性による高リスクは、法律や規制で管理されるような非常に敏感なデータ（例：法的保護対象データ）が、発生可能性の高いエプロイトによって侵害される場合に該当します。
  • 5.1.C.2 の具体例:
    • 空軍の飛行機で使用される次世代ジェットエンジンを開発している企業は、技術仕様書を非暗号化ドライブ上に格納しています。
• 5.1.C.3 データ脆弱性による中程度リスクは、敏感なデータの暗号化が十分でない、またはアクセス制御が厳しくない場合に該当します。
  • 5.1.C.3 の具体例:
    • 某企業が顧客のPIIをスプレッドシートに格納しており、そのスプレッドシートは小さなキーを用いて暗号化されています。
• 5.1.C.4 データの脆弱性による低リスクは、通常、より機密性の低い情報が短い暗号鍵で暗号化されたり、アクセス制御が十分でない状態であったりすることに関連しています。
  • 5.1.C.4 の例:
    • 組織のCEOが、暗号化されておらずアクセス制御も設定されていない会社共用ドライブに、役員への私人メモを保管している。

学習目標 5.3.A： 暗号化を用いてファイルを保護する方法を説明する。

• 5.3.A.1 暗号学の目的は情報を隠すことです。暗号アルゴリズムは、情報を暗号化および復号化するプロセスを定義します。暗号化は情報を隠すプロセスであり、復号化は暗号化を逆転させて元の情報を取得するプロセスです。
• 5.3.A.2 暗号化アルゴリズムは、暗号化する情報と事前に定義された鍵を組み合わせるプロセスを定義する。暗号化する情報は平文（plaintext）と呼ばれる。暗号化アルゴリズムの出力は暗号文（ciphertext）と呼ばれる。
• 5.3.A.3 暗号化アルゴリズムで使用可能な鍵の数のことをキー空間（keyspace）という。キー空間が大きいほど、攻撃者が偶然に正しい鍵を見つけるのにより長い時間がかかる。
• 5.3.A.4 暗号アルゴリズムは、単一鍵を使用するか、二重鍵を使用するかによって分類される。
  • 対称暗号アルゴリズムは、情報の暗号化と復号に同じ鍵を使用する。
  • 非対称暗号アルゴリズムは、異なる2つの鍵を使用する—oneは情報の暗号化に使用し、もう一方は復号に使用する。
• 5.3.A.5 暗号アルゴリズムは、情報を1ビットずつ処理するか、固定サイズのビット塊として処理するかによって分類される。
  • ブロック暗号は、ブロックと呼ばれる固定サイズの塊で情報を処理し、各入力ブロックに対して出力ブロックを生成する。
  • ストリーム暗号は、入力情報を連続的に処理し、出力を1要素ずつ生成する。

学習目標 5.3.B： 対称暗号アルゴリズムを用いてデータを暗号化および復号する。

• 5.3.B.1 コンピュータベースの暗号化アルゴリズムはバイナリデータに対して動作します。最も一般的な対称暗号化アルゴリズムは高度暗号標準 (AES) です。AES暗号化は、Wi-Fi通信の保護、インターネット閲覧、ディスク上のファイル暗号化、プロセッサレベルでのハードウェア暗号化に使用されています。
• 5.3.B.2 AESは対称鍵ブロック暗号であり、128ビットブロック（16バイト）単位でデータを暗号化する。AESは多様な長さの鍵で動作できる。長い鍵はより安全な暗号化を実現するが、暗号化および復号に要する時間も増える。
• 5.3.B.3 対称暗号化と復号は、コマンドライン、専用ソフトウェア、またはWebベースのツールを使用して実行できる。
  • コマンドラインインターフェースでは、OpenSSLを使用して暗号化や復号を行うことができる。
  • AES Cryptのような専用ソフトウェアは、ファイルを暗号化・復号できるオープンソースツールである。
  • ファイルの暗号化および復号化には、多くのWebツールが存在します。
• 5.3.B.4 CLIでOpenSSLを使用する場合、以下のコマンドを使用してファイルの暗号化・復号を行うことができる（注：暗号鍵は提供されたパスワードから導出される）。
  • 128ビット鍵を使用してAESで「test」という名前のファイルを暗号化する場合、以下のコマンドを使用する：openssl enc -aes-128-cbc -e -in test -k password -out test.enc
  • 同じ鍵を使用して暗号化ファイルを復号する場合、以下のコマンドを使用する：openssl enc -aes-128-cbc -d -in test.enc -k password -out text

学習目標 5.4.A： 暗号化データの送信または受信時に適切な非対称鍵を選択する。

• 5.4.A.1 非対称暗号化は、事前の合意による共有秘密鍵なしにユーザーが安全に通信することを可能にする。
• 5.4.A.2 非対称暗号化を使用する場合、データを受信する各エンティティはまず鍵ペアを生成する必要があります。鍵ペアは同じ数学的プロセスによって同時に生成される等長のバイナリ文字列です。一方の鍵は公開鍵として、もう一方は秘密鍵として指定されます。これらの鍵は互いに数学的に逆の性質を持ち—oneの鍵が相手の鍵を逆転させます。どちらの鍵でも情報を暗号化できますが、暗号化した後には鍵ペアのもう片方の鍵のみで復号できます。
• 5.4.A.3 受信者が鍵ペアを生成した後、秘密鍵は安全に保管されなければならない。もし秘密鍵が漏洩、共有、盗難、破損、または侵害された場合、暗号アルゴリズムの安全性は秘密鍵の安全性に依存するため、その鍵ペアは削除され、新しい鍵ペアが生成されなければならない。公開鍵は誰でも表示して使用できるように公開される。
• 5.4.A.4 情報を安全に誰かに送る場合、送信者は受信者の公開鍵を使用してデータを暗号化して送信する。秘密鍵を持つ受信者だけが、その情報を復号して読み取ることができる。

学習目標 5.4.B： 鍵の長さが暗号化データのセキュリティに影響を与える理由を説明する。

• 5.4.B.1 長い鍵ほど大きな鍵空間となります。バイナリ鍵の場合、nビット長键の鍵空間は $2^n$ となります。
• 5.4.B.2 アプリケーションを使用してnビット長の暗号鍵をランダムに推測する場合、平均して攻撃者が正しい鍵を $2^n \div 2$ （または $2^{n-1}$ ）回の試行で当てることになる。
• 5.4.B.3 長い鍵はより安全だが、メッセージの暗号化・復号にもより時間がかかる。
• 5.4.B.4 計算処理能力と効率性は向上を続けており、ソフトウェアがより速く鍵を推測できるようになっている。対称暗号および非対称暗号アルゴリズムの鍵長推奨値は、処理能力の向上を考慮して定期的に引き上げられている。
• 5.4.B.5 鍵長の比較は、同じ暗号アルゴリズムの鍵同士を比較する場合にのみ有効である。
  • 5.4.B.5 の例示:
    • AES 256ビット鍵は、AES 128ビット鍵よりも安全である。
    • RSA 4096ビット鍵は、RSA 2048ビット鍵よりも安全である。
    • RSA鍵とAES鍵は、セキュリティレベルを決定するために直接比較することはできない。

学習目標 5.4.C： 非対称暗号アルゴリズムを用いてデータを暗号化および復号する。

• 5.4.C.1 一般的な非対称暗号アルゴリズムには、RSAと楕円曲線暗号（ECC）が含まれる。非対称アルゴリズムは、デジタル署名やデジタル証明書など、多くのアプリケーションで使用される。
• 5.4.C.2 対称暗号と同様に、非対称暗号化と復号は、コマンドライン、専用ソフトウェア、またはWebベースのツールを使用して実行できる。
  • コマンドラインインターフェースでは、OpenSSLを使用して暗号化や復号を行うことができる。
  • RSA暗号化ツールなどの専用ソフトウェアはオープンソースツールであり、ファイルの暗号化と復号が可能です。
  • ファイルの暗号化および復号化には、多くのWebツールが存在します。
• 5.4.C.3 コマンドラインインターフェース（CLI）では、ユーザーは必要に応じて非対称鍵ペアを生成し、ファイルを暗号化または復号化できます。
  • 2048ビットのRSA鍵ペアを生成し、rsa.pemという名前のファイルに保存するには、以下のコマンドを使用します：openssl genrsa -out rsa.pem 2048
  • rsa.pemから公開鍵を抽出してpublic.pemという名前のファイルに保存するには、以下のコマンドを使用します：openssl rsa -pubout -in rsa.pem -outform PEM -out public.pem
  • testファイルにRSA暗号化を用いて暗号化し、公開鍵ファイルpublic.pemを使用するには、以下のコマンドを使用します：openssl pkeyutl -encrypt -pubin -inkey public.pem -in test -out test.enc
  • test.encファイルをrsa.pemファイルを使用して復号化するには、以下のコマンドを実行します：openssl pkeyutl -decrypt -inkey rsa.pem -in test.enc -out test

学習目標 5.5.A： デザイン時のセキュリティとデフォルトでのセキュリティというアプリケーションセキュリティの原則を特定する。

• 5.5.A.1 デザイン時のセキュリティとは、設計を含む製品開発のすべてのフェーズでセキュリティを組み込むことを推奨するイニシアチブです。組織がデザイン時のセキュリティを導入する場合、セキュリティは単なる技術的機能ではなく、設計原則となります。
• 5.5.A.2 デザイン時のセキュリティには3つの設計原則が含まれます：
  • i. 企業は顧客のセキュリティ成果に対して責任を持つべきです。企業は顧客のセキュリティニーズを満たす製品を構築すべきです。
  • ii. 企業は過激な透明性と説明責任を受け入れるべきです。関連するセキュリティに関する製品ニュースやアップデートを迅速に共有することで、すべての人のセキュリティ向上につながります。
  • iii. 企業は、デザイン時のセキュリティを実現するための組織体制とリーダーシップを構築すべきです。企業には、セキュリティに注力し、セキュリティファーストの姿勢を持つリーダーが必要です。
• 5.5.A.3 デザイン時のセキュリティには、デフォルトでのセキュリティという概念も含まれており、これはソフトウェアやデバイスのセキュリティ機能がデフォルトで有効になっているべきであるという考えです。デバイスやソフトウェアは、箱を開けた状態ですぐに使用でき、セキュリティ機能がすでに有効化された状態で安全に使えるべきです。

学習目標 5.5.B： ユーザー入力サンitizedization（正則化）がアプリケーションをどのように保護するかを説明する。

• 5.5.B.1 ユーザーが入力をアプリケーションに入力すると、アプリケーションはその入力を処理するために通常、特殊文字で囲みます。ユーザー入力を囲むこれらの文字を制御文字と呼び、単一引用符、二重引用符、セミコロンが含まれます。
• 5.5.B.2 ーザー入力を扱うプログラムを作成する際、プログラマーは関数を使用して、ユーザー入力が期待される基準を満たしており、システムを操作するために使用される可能性のある制御文字が含まれていないことを確認する必要があります。この検証関数は、潜在的に悪質な文字を除去してユーザー入力を正則化できるか、あるいはエラーを返してユーザーに別の入力を強制することができます。これにより、次のような多くのアプリケーション攻撃から守ることができます：
  • SQLインジェクション攻撃
  • XSS攻撃
  • ディレクトリトラバーサル攻撃