access control （アクセス制御）

コンピュータセキュリティにおいて、ユーザがコンピュータシステムの資源にアクセスすることができる権限・認可をコントロールすることをいい、典型的にはオペレーティングシステムにおいて ACL （Access Control List： アクセスコントロールリスト）として実装される。MAC （Mandatory Access Control）方式、DAC （Discretionary Access Control）方式がある。
また、インターネットセキュリティにおいて、送信元／宛先の IP アドレスとポートに対するパケットの通過の可否をコントロールするリストも ACL （Access Control List： アクセスコントロールリスト）と呼ばれる。また、分散オブジェクト上にも ACL は実装されている。何らかのコンピュータ／ネットワーク資源へのアクセスをコントロールすることを表現する広範な内容を表現するようになってきている。

account（アカウント）

この用語は、特定のコンピュータ システム、もしくはネットワークにアクセスするために「認証」される人を表現しており、権限属性をもつことがある。各エンドユーザは、割り当てられたアカウントにログインするために「認証」される。

administrator （システム管理者／ネットワーク管理者）

一般用語としては、システム／ネットワークの管理者。
Microsoft Windows NT/2000/XP においては、特権(システム管理者権限)ユーザのアカウント。

anomaly detection（アノマリ検出法）

情報セキュリティ侵害検出方式のひとつで、通常ではない変則・異常なイベント、統計的に稀なイベントを検出する方法。「セキュリティ侵害行為を意味するイベントは、通常ではないイベントに含まれるはずである」という仮定に基づいている。他の情報セキュリティ侵害検出方法には、misuse detection（ミスユース検出法）がある。

anonymous FTP (匿名FTP)

ユーザ認証なしに、アクセスしてファイルをダウンロードすることができるようになっている FTP サービス。この場合にはディレクトリを作成できないようにしておくこと等の権限（認可）の設定を考慮する必要がある。

APOP

POP3 APOP の項を見よ。

application gateway（アプリケーションゲートウェイ）

ファイアウォールの考え方で、ゲートウェイホストに実装することができるネットワークアクセス制御技術のひとつ。各サービスのプロトコルについて、アプリケーションレベルで通過／却下を制御する。

attack （攻撃）、攻撃者（attacker）

セキュリティ侵害・加害行為。ネットワークセキュリティ分野において他のコンピュータから行われるリアルタイムに行われる攻撃には、侵入とサービス妨害攻撃がある。攻撃を行う者を「攻撃者（attacker）」と呼ぶ。攻撃を行う主体は「攻撃者」に限られない。ワームのようなプログラムも自動的に攻撃を行う。

※画像をクリックすると大きなサイズでご覧になれます。

また善意のユーザが、攻撃者があらかじめ仕掛けた罠（トロイの木馬）によって加害されるという攻撃もある。（Trojan horse（トロイの木馬）参照。）

auditing tool（監査ツール）

コンピュータシステムやネットワークサービスの設定について検査・報告するツール。例えば、COPS（ Computer Oracle Password and Security analyzer ）のようにローカルで監査するツールや SATAN（ Security Administrator's Tool for Analyzing Networks ）、Nessus のようにリモートから監査するツールなどがある。

authentication（認証／本人認証）

認証もしくは本人認証は、ユーザが本人であることを証明する過程をいう。認証のプロセスは、典型的には、本人であることの証拠として、 ユーザの知識として自らの名前とパスワードやパスフレーズの入力を要求する。近年、ユーザの持ち物（例：スマートカード）や、ユーザの身体的特徴（バイオメトリクス）に基づく認証機構も普及しつつある。

authorization（認可）

「認証」の後に、各ユーザのシステム資源へのアクセスを権限に応じて許可する過程。典型的には、ACL (Access Control List) の機構が利用されている。

availability（可用性）

情報セキュリティの目標事項のひとつであり、必要なときに適時にアクセス可能であり、利用可能であることを確保する。

backdoor（バックドア／裏口）

サイトへの侵入者が、そのサイトへ以降に再侵入するために準備する仕掛け。

backup （バックアップ）

一定時点におけるシステムファイルやデータファイルを別の記憶装置にコピーすること、あるいはコピーされたもの。

bastion host （要塞ホスト）

DMZに設置されるインターネットサーバー等、攻撃の脅威にさらされていることを前提に、セキュリティを高める努力が施されているホスト。不要なサービスを動作させず、専用サーバーとして構築されることが推奨される。ホストにおけるアクセスコントロール機能、ロギング機能を実装し、必要な修正プログラムを適用する。

bounce attack（バウンス攻撃）

FTP サーバーを標的としたこの攻撃は、ネットワークアドレスと攻撃されるマシンとサービスのポート番号を含んだ FTP "PORT" コマンドを FTP サーバーに送ることによる。このとき、起点となるクライアントは、その FTP サーバーに、攻撃されるサービス宛てにファイルを送信するように指示することができる。そのようなファイルは、攻撃されるサービス（ SMTP、NNTP等）に関連するコマンドを含んでいる可能性がある。直接に接続するのではなく、第3者に接続するように指示することによって、その加害者を捕まえることを困難にし、ネットワークアドレスに基づくアクセス制限を迂回することができてしまう。
参考： RFC 2577

brute force attack （ブルートフォース攻撃）

ネットワークセキュリティ分野において「ブルートフォース攻撃」は、パスワード解析の方法のひとつとして、システムのパスワードを発見するために事前に取得した当該システムの暗号化されたパスワードファイルに対してオフラインでなされる総当り攻撃について表現されている。 「ブルートフォース」には、「力ずく」の意味が込められている。
参考：暗号技術分野において「ブルートフォース攻撃」は、暗号解読のために鍵を全数探索する攻撃法について表現されている。

buffer overflow (バッファオーバーフロー)

プログラムにおいて入力データや処理の途中で使用する作業用のデータ記憶場所をバッファ領域という。 通常バッファ領域の大きさは、決められた最大量のデータを処理できるように確保し、万が一最大量を超えるデータがあった場合は、エラーとする。しかし、最大量のチェックをしていなかったり、チェック方法が間違っている等の原因により、バッファ領域の外までデータを記憶してしまうことがあり、これをバッファオーバフローという。バッファオーバフローが発生すると、プログラムの記憶場所や他のデータの記憶場所を書き換えてしまい、プログラムが異常終了したり、思ってもいない動作をすることになる。このようなセキュリティ脆弱性をもったプログラムを攻略すると、任意のプログラムを、当該プログラムが動作していた権限で動かすことができてしまう。 buffer overrun も同様。

buffer overrun (バッファオーバーラン)

バッファ領域のこれ以上後を使ってはいけないという場所の後ろまでデータを書き込んでしまうことをbuffer overrun という。buffer overflow と同じ意味で使うことが多い。

CA （Certification Authority： 認証局／認証機関）

PKI において、公開鍵証明書にデジタル署名する主体。
本来、Certification は「認定」と訳されるべきで、「認証」と訳すことは誤訳に近いが、既に定着してしまった感がある。Authority を「局」と訳すことに関して、局は郵便局のように政府部門の組織である印象を与えるので「機関」と訳すべきであるという主張もあるが、民間の放送局というのような表現の例もあり、厳密である必要はないと考える。

certificate（証明書）

証明書は、デジタル署名を検証するのに使用されるデータ。証明書は、それを発行した機関が信頼できればこそ信頼に値するもの。証明書は、電子メールメッセージ、もしくは web ページのような特定の署名されたものを検証するのに使用される。そのデジタル署名、要素、証明書は皆、数学的なプログラムによって処理される。署名が正当である場合、「この証明書を発行した機関によれば、この署名者は本人(その名前）である」ということができる。

CGI script (Common Gateway Interface スクリプト)

CGI は、Webサーバーにおいて HTML から外部のプログラムを起動してその結果を webブラウザに返すための仕組み。この仕組みを使 うスクリプト言語で書かれたプログラムを CGIスクリプトといい、セキュリティ脆弱性をもたないように注意深く記述する必要がある。
参考： 特定の脆弱性が指摘されている CGI スクリプト http://www.ipa.go.jp/security/ciadr/cgivuln.htm, CA-1996-06

confidentiality（守秘性）

情報セキュリティの目標事項のひとつ。認可された人、主体に対してのみ開示され、認可されたやり方で認可された時間に処理されるデータと情報システムの特徴。権限のない（認可されていない）ユーザが情報にアクセスできないことを確保する。

cracker（クラッカー）

俗に attacker（攻撃者）や intruder（侵入者）などの悪者を表現するのに使われている。

cross site scripting vulnerability（クロスサイトスクリプティング脆弱性）

クロスサイトスクリプティング (cross-site scripting) は、web ページとして動的に HTMLやXML等のマークアップ言語のソースを生成する仕組みを設けている場合に、セキュリティ上の問題となるものです。あるサイトに書かれているスクリプトが別のサイトへとまたがって（クロスして）実行されることから、クロスサイト スクリプティングと呼ばれています。ユーザによる悪意あるスクリプトの書き込みを適切に処理していない脆弱性ある web サイトは、トロイの木馬と化す可能性があり、善意のユーザにとって脅威となりえます。

CRL （Certification Revocation List： 証明書失効リスト）

PKI において、公開鍵証明書の失効を管理するリスト。様式として、X.509 バージョン2 が利用されている。

CPS (Certification Practice Statement)

CA が証明書を発行する際に採用する実践の表明。RFC 2527 3.5 参照。

CSIRT (Computer Security Incident Response Team)

定められた範囲内のサイトに関するセキュリティインシデントについてコーディネーション、サポート、対応を行う者をいう。RFC 2350 参照。

DDoS attack （ Distributed Denial of Service attack： 分散型サービス妨害攻撃）

上記DoS攻撃には、インターネットプロトコルの特性を攻略して、ネットワークに接続されたコンピュータに過剰な負荷をかけて、サービスを提供することをできなくしてしまう種類の攻撃がある。このようなDoS攻撃の攻撃元が複数で、標的とされたコンピュータがひとつであった場合、その標的とされるコンピュータにかけられる負荷は、より大きなものになる。このような攻撃が DDoS（ Distributed Denial of Service：分散サービス妨害）攻撃と呼ばれている。攻撃元は、攻撃者（人間）自身であるとは限らない。むしろ、攻撃者が事前に標的以外の複数サイトに、攻撃プログラムを仕掛けておいて、遠隔から攻撃を仕掛ける操作を行うことをきっかけとして一斉にDoS 攻撃をしかける手法の方が広く知られている。

default account（デフォルトアカウント）

システムやサーバー ソフトウェアには、事前に設定されたアカウントをもって提供されるものがある。このようなアカウントは、あらかじめ定められた（ユーザ名と）パスワードで設定されていることがあり、誰でもアクセスできるようになっていたり、しばしばユーザが最初にログインするのに便利なように添えられていたりする。デフォルトアカウントは削除するか、システムの濫用のリスクを低減するために事前設定されたパスワードを変更する必要がある。

dictionary attack （辞書攻撃）

システムのパスワード解析の方法のひとつ。パスワードを発見するために事前に取得した当該システムの暗号化されたパスワードファイルに対してオフラインでなされる攻撃。辞書に登録しておいた文字列をパスワードシステムと同じ暗号化し、その結果と照合し一致するものを探すことにより元のパスワードを知る。

digital signature（デジタル署名）

デジタル署名は、数学的なコンピュータ プログラムによって生成される。手書きの署名ではなく、それをコンピュータに取り込んだものでもない。公開鍵暗号技術を利用して、電子メール メッセージ、もしくはファイルに添付される。メッセージもしくはファイルの出所は、専用のツールを使って、このデジタル署名によって検証される。

DMZ (Demilitarized Zone)

インターネットファイアウォールの考え方においてイントラネットとインターネットの中間部に設置するサブネットの通称で、インターネットからのアクセスを許可する web サーバーや DNS サーバーなどのサーバーを配置する。スクリーンドサブネット、境界ネットワークとも呼ばれる。

DoS attack (Denial of Service attack： サービス妨害攻撃)

コンピュータ資源やネットワーク資源を利用できない状態に陥れる攻撃。
例えば、インターネットサーバーによって提供されている各種サービスを標的として妨害する攻撃が、一般に入手可能なツールを利用して行われている。このような DoS攻撃には、下記の種類がある。：

• インターネットプロトコルの特性を攻略して、ネットワークに接続されたコンピュータに過剰な負荷をかけて、サービスを提供することをできなくしてしまう攻撃 ：SYN flood attack （SYN フラッド攻撃）等。
• ネットワークの帯域を渋滞させる攻撃：Smurf attack （Smurf 攻撃）等。
• サーバーアプリケーションの脆弱性を攻略し、サービスに例外処理をさせてサービスを提供することをできなくしてしまう攻撃
  
  参考：

  • CA-1996-01
  • CA-1998-01
  • CA-1999-17
  • CA-2000-01
  • CA-2000-21
  DoS attackは、俗に「サービス拒否攻撃」、「サービス不能攻撃」と訳されることがあるが、サービスを拒否する攻撃ではないし、サービス不能な攻撃ではない。あえて表現すれば「不能化／不能に」する攻撃である。

exploit（攻略（行為）／攻略手段）

ソフトウェアの vulnerability（脆弱性）を攻略する行為を exploit というとともに、その手段も exploit と呼ばれている。

exposure（露出）

vulnerability（脆弱性）、あるいは俗に security hole（セキュリティホール）という用語は、広義に用いられる傾向があるが、その中を整理し、予定されたセキュリティ仕様を満たさないソフトウェアの欠陥を狭義の vulnerability と呼び、これに該当しないものとしてソフトウェアの仕様上セキュリティを持たないのをexposure（露出）として使い分ける動きがある。exposure （露出）の例としては、finger や、クリアテキストパスワードをネットワーク上に流してしまう telnet 等が挙げられることがある。

false negative（フォールス ネガティブ）

検出すべきイベントが発生していても、それを検出できない誤診。

false positive（フォールス ポジティブ）

検出すべきイベントは検出するものの、余計なイベントまで検出してしまう誤診。

finger

ユーザに関する情報を提供するクライアント／サーバープログラム。仕様上、ユーザ情報を露出してしまう。

firewall （ファイアウォール）

特定のネットワークセグメントを他のネットワークとの接続部分において防護する考え方であり、外部のインターネットから内部のイントラネットを防護するのが典型的である。インターネットファイアウォールの場合、通常インターネットサーバーも運用されるので、単純な外部と内部をコントロールする関係にはならない。外部インターネットと内部イントラネットの間に DMZ と呼ばれる境界ネットワークを構築することがある。ファイアウォールの考え方には、このようなDMZ（スクリーンドサブネット）の構築も含まれる。
ファイアウォールを実現するための技術には、パケットフィルタリングやアプリケーションゲートウェイ等がある。これらは、組み合わされて実装されることがある。また、ネットワークベース IDS によるミスユース検出、IP マスカレード等の技術も利用されることがある。

fix（フィックス）

修正プログラムは、俗に「フィックス」もしくは「パッチ」と呼ばれている。ベンダーは、セキュリティ脆弱性の発見に対応して、修正プログラムファイルを提供し、ユーザは、それらをコンピュータシステムにインストールする必要がある。これらのファイルはプログラムを「フィックス」もしくは「パッチ」し、セキュリティ脆弱性を除去する。

FTP PASV （File Transfer Protocol PASV コマンド)

FTP は、TCP/IP プロトコルをベースとしたネットワークシステムにおいてファイルを転送するためのプロトコル。
ファイアウォールにおいてパケットフィルタリングを行うためには、DMZ に設置する FTP サーバーは PASV コマンドを使用する設定にすることが要請される。
参考： RCF 1579 ファイアウォール フレンドリーな FTP

guest account （ゲスト アカウント）

アクセスを提供するのに "guest" という名前の特別なアカウントを提供するシステムがある。この場合 guest アカウントは、本人認証機能を利用していない共用アカウントであるといえる。このアカウントの権限（認可）は厳密に制限するように設定する必要がある。

https

Web サービス（HTTP）を SSL もしくは TLS を通じて提供する際に、URI を "https: "で示すことを Netscape 社が導入し慣行として定着した。

IDS （Intrusion Detection System： 侵入検知システム）

システムに対する侵入／侵害を検出・通知するシステム。 システムを監視し、セキュリティポリシーを侵害するような行為を検出した場合に、その行為を可能な限り早く管理者に伝えるとともに、調査分析の作業を支援するために必要な情報を保存・提供することが目的である。
ネットワークベース IDS と、ホストベース IDS に分類されることがある。その分類法は、搭載場所がゲートウェイであるかホストであるかによる場合と、検査対象がネットワークパケット情報かホスト内で生成する情報かによる場合がある。

IETF Security Area （Internet Engineering Task Forceセキュリティエリア）

IETF は、インターネット技術の標準化を行っており、技術プロトコル仕様文書のほか情報提供文書は、RFC (Request For Comments) として発行される。セキュリティ分野においてもワーキンググループが複数あり、これらの標準化過程統括統して IESG （運営グループ）に参画するディレクターがいる。
http://www.ietf.org/html.charters/wg-dir.html#Security_Area
http://web.mit.edu/network/ietf/sa/

incident （インシデント）

情報セキュリティ分野においては（security incident）、情報セキュリティリスクが発現した事象をいう。

incident response （インシデント対応）

インシデントの発生に際して、それを検知し、関係組織と連絡をとり、被害の拡大を防ぐと共に、再発を防止するための原因究明と改善を行う、一連の組織的活動をいう。

integrity（完全性）

情報セキュリティの目標事項のひとつ。正確で完全であり、データとそれを格納する情報システムが正確で完全であることを確保する。

intrusion（侵入／侵害）, intruder（侵入者／侵害者）

intrusion は、「侵入」より広義に「（セキュリティ）侵害」を意味することがある。「侵入」は、狭義の「不正アクセス」と同義。正規な権限／許可なしに情報システム資源にアクセスする行為。俗に「不正侵入」と表現されることがあるが、「侵入」自体に「不正」な意味が含まれているので冗長である。
intruder は、情報セキュリティを侵害する者。「侵入」行為を行う者に限らず、妨害行為を行う者も intruder と呼ばれる。

IP spoofing （IP スプーフィング）

攻撃元を隠蔽するために、偽の送信元 IP アドレスをもったパケットを作成し送ること。下記の IP spoofing attack （IP スプーフィング攻撃）以外の攻撃においても、SYN flood attack （SYN フラッド攻撃）、Smurf attack （Smurf 攻撃）等の各種 DoS attack （サービス妨害攻撃）にも利用されている。

IP spoofing attack （IP スプーフィング攻撃）

いわゆる IP spoofing attack （IP スプーフィング攻撃）は単なる送信元 IP アドレスを詐称したパケットを送信するだけではない複雑な攻撃であり、送信元の IP アドレスとして標的ホストによって信頼された（trusted）ホストの IP アドレスを設定し TCP のシーケンス番号推測と組み合わされて行われる。
参考： CA-1995-01

IRT （Incident Response Team： インシデント対応チーム）

CSIRT (Computer Security Incident Response Team) の通称／略称。

Java 2 Platform Security

Java SDK 1.2 以降、現行 Java SDK v1.3 および v.1.4 Beta において採用されている一式のセキュリティ機能群。トラステッドドメインモデルが採用されており、証明書に基づいてシステム資源へのアクセスコントロールを行うことができる。

Kerberos

ネットワークアプリケーションに認証機能を付加するシステム。v4/v5 が利用可能であるが v5 の利用が推奨される。
RFC 1510 Kerberos v5 参照。

logging（ロギング）

システムやサーバー ソフトウェアには、accountability （説明能力）を確保するために、イベントの履歴を保持できる機能をもったものがある。この機能を利用してイベントを、ログと呼ばれるファイルに書き込むようにすること。このログファイルは、後で読むことができ、システムの障害やセキュリティ侵害を識別することができるようにする。

mail bombing （メール爆撃）

大量のメールを送りつけることにより、特定のメールアカウント割り当ての容量を満杯にしたり、メールサーバーの容量を消費させる、アプリケーションレベルの DoS 攻撃（サービス妨害攻撃）。

misuse detection（ミスユース検出法）

情報セキュリティ侵害検出方法のひとつ。既知の侵害パターンに基づく情報とマッチングすることにより、該当侵害／ミスユース（悪用）の存在を検出する方法。
Signature recognition （シグネチャ認識）ともいう。この場合のSignature（シグネチャ）は、既知の侵害パターンに基づく情報のことであり、署名のことではない。

Nessus

リモートからホストの脆弱性を監査するフリーなツールの代表格で、 Nessus プロジェクトによって開発・管理されている。
Nessus: http://www.jp.nessus.org/

OpenSSH

OpenBSD グループによる SSH (Secure Shell) プロトコルを実装したクライアント／サーバープログラム。
OpenSSH: http://www.openssh.com

OpenSSL

OpenSSL グループによる SSL v2/v3 と TLS v1 を実装するオープンソースなツールキット。
OpenSSL: http://www.openssl.org/

OpenPGP

PGP をメッセージング（電子メール等）に適用したプロトコルであり、RFC 2440 で標準が定められている。
IETF openpgp: http://www.ietf.org/html.charters/openpgp-charter.html
OpenPGP Alliance: http://www.openpgp.org/

OTP （One Time Password：ワンタイムパスワード）

認証のたびに以前とは異なるパスワードを使用することで、他者が認証されるリスクを無効化するパスワード機構。

packet filtering（パケットフィルタリング）

ファイアウォールの考え方で、ゲートウェイホストやチョークルーターに実装することができるネットワークアクセス制御技術のひとつ。TCP/IP パケットのヘッダー情報をもとに、当該パケットの通過／却下を制御する。
FTPプロトコルのように、管理プロトコルとデータプロトコルが別のポートを利用するプロトコル等は、1セッション内で両ポートを相互に関連づけて解釈する必要があるため、プロトコルのコマンドを理解して制御する機能を備えるようにパケットフィルタリング機能を拡充したものがあり、これは「ダイナミックパケットフィルタリング」と呼ばれている。これに対して、従前の基本的なパケットフィルタリング機能は、「スタティックパケットフィルタリング」と呼ばれることがある。

PAM (Plugｇable Authentication Modules：プラグ可能認証モジュール)

API を利用してアプリケーションに統一的なユーザ認証手続きを提供するライブラリ。

pass phrase（パスフレーズ）

パスフレーズは、長いパスワードである。推測しにくいものとするために、しばしば、いくつかの単語と記号の組み合わせから成るようにする。

password cracking （パスワード解析）

本人認証のためにパスワードを利用しているシステムにおいて、本人の知識に拠らずにパスワードを得るための分析行為。システム資源を利用する方法には、dictionary attack （辞書攻撃）と brute force attack （ブルートフォース攻撃）がある。

patch （パッチ）

修正プログラムは、俗に「パッチ」もしくは「フィックス」と呼ばれている。ベンダーは、セキュリティ脆弱性の発見に対応して、修正プログラムファイルを提供し、ユーザは、それらをコンピュータ システムにインストールする必要がある。これらのファイルはコンピュータ システムもしくはプログラムを「フィックス」もしくは「パッチ」し、セキュリティ脆弱性を除去する。（同義：フィックス）

penetration test（ペネトレーションテスト／侵入テスト）

ネットワークの外部から内部へ侵入を試みるテスト。典型的にはファイアウォール部分のテストを指す。

personal firewall （パーソナルファイアウォール）

エンドユーザが使用するパーソナルコンピュータ上で、ネットワークへのアクセスコントロールを行う考え方が「パーソナルファイアウォール」と呼ばれている。これは、通常の「ファイアウォール」とは異なる考え方である。典型的には、パケットフィルタリング機能が実装され、ファイル共有のポートを塞ぐような設定がなされる。

PGP (Pretty Good Privacy)

Phil Zimmermann氏によって開発された公開鍵暗号を利用した汎用的なセキュリティツール。電子メールメッセージを暗号・署名することに利用されるほか、ローカルのファイルを暗号・署名することにも利用される。各バージョン（v2/v5/v6/v7）によって実装された暗号アルゴリズムは異なる。
Network Associates, Inc.社の登録商標。

PIN （Personal Identification Number： 個人識別番号）

個別のユーザに割り当てられる一意のコード番号。

PKI （Public Key Infrastructure： 公開鍵インフラストラクチャ）

インターネットのようなネットワーク上で公開鍵暗号技術を応用して構築されるセキュア通信を実現するための環境をいう。ネットワーク越しの通信において、本人認証、メッセージやデータのインテグリティ、非否認性を確保する。 RFC 2459 参照。

POC （Point Of Contact: 連絡窓口）

セキュリティ侵害、インシデントに備えて、多くの組織体では人々に警告したり、適切な対応をとることができる連絡窓口を内部に設けている。

POP3 APOP （Post Office Protocol v3 APOP コマンド）

POP3 (Post Office Protocol v3) のオプショナルコマンド。電子メールを MTA（メールサーバー）から受信するとき 、ユーザを認証するために入力させるパスワードが、ネットワーク上にクリアテキストで流れないようにする。RFC 1939 の 7. 参照。

POP3 AUTH （Post Office Protocol v3 AUTH コマンド)

POP3 (Post Office Protocol v3) のオプショナルコマンドで、（MUA）メールクライアントが MTA（メールサーバー）に認証機構を指示し以降の認証を行わせるもの。IMAP4 においても同様の機構が採用されている。RFC 1734 参照。

port scan (ポートスキャン、スキャン)

攻撃・侵入の前段階に行われる標的サイトの各ポートにおけるサービスの状態の調査。
参考：JPCERT/CC http://www.jpcert.or.jp/at/199x/98-0004-01.txt

Probe （プローブ、探査）

攻撃・侵入の前段階に行われる標的サイトについての掘り下げた調査。（機種やバージョンの同定等。）

proxy server (プロキシサーバー)

proxy(プロキシ)は代理という意味。 インターネットとのゲートウェイに、セキュリティ確保や web アクセスの高速化のために設置される。 外部の第三者が利用可能な状態になっていると、身元隠し・匿名化に利用されるリスクがある。

qmail

Dan Bernstein 氏によって開発された MTA （メールサーバー）。root で動作するデーモンが少ないセキュリティ設計、セキュアな実装が考慮されている。
The qmail home page: http://www.jp.qmail.org/

risk （リスク）

状況概念。潜在的・確率的状況。例えば、様々なセキュリティ上の「脅威」が想定される環境において、自らのシステムに「脆弱性」もしくは「露出」がある場合、「リスク」が発生している状況にあるといえる。

root (ルート)

UNIX における特権(システム管理者権限)ユーザのアカウント。

security hole（セキュリティホール）

情報セキュリティ分野における vulnerability（脆弱性）は、俗に security hole（セキュリティホール）と呼ばれている。

sendmail

代表的な MTA（メールサーバー）ソフトウエア。複雑なプログラムであり、セキュリティ問題が多いにせよ活発にサポートされている。

sequence number guessing (シーケンス番号推測)

IP spoofing attack （IP スプーフィング攻撃）における TCP ハンドシェイク手段。RFC 1948 参照。

S/MIME （Secure/MIME）

PKI 技術、X.509 証明書に基づくセキュアなメッセージングプロトコル。電子メールやインターネット FAX のメッセージを暗号・署名する。
v2: RFC 2311,RFC 2312;
v3: RFC 2633, RFC 2634 参照。
IETF S/MIME Mail Security: http://www.ietf.org/html.charters/smime-charter.html

SMTP AUTH

SMTP クライアントが SMTP サーバーに対して認証することを可能にするサービス拡張。RFC 2554 参照。

Smurf attack （スマーフ攻撃）

ネットワーク資源についてのDoS 攻撃（サービス妨害攻撃）のひとつ。ICMP における「指図されるブロードキャスト（directed broadcast）」の機能を悪用する。ICMP エコー要求パケットの発信元のアドレスに標的の IP アドレスを設定し、宛て先にブロードキャストアドレスを設定して送信することにより、このパケットを受け取った多数のホストが一斉に標的のホストに ICMP エコー応答パケットを送りネットワーク帯域の渋滞をもたらす。攻撃者が利用する攻略プログラムのひとつの名前にちなんで、Smurf attack と呼ばれている。
参考： CA-1998-01

※画像をクリックすると大きなサイズでご覧になれます。

social engineering(ソーシャル エンジニアリング)

非技術的・社会的な侵入手順のテクニックの総称。例えば、電話でユーザのパスワードを聞き出すためのテクニックや、清掃員になってゴミの中から情報を詮索するテクニックなどが、この典型であるといわれている。

spam （スパム）

大量に送信される「迷惑メール」の俗称。UBE 参照。

SSH （Secure Shell）

BSD系 UNIX の r* コマンドを、チャレンジレスポンスの仕組みによってセキュアにしたプロトコル。遠隔地のマシンでコマンドを実行したり他のマシンへファイルを移したりするために使われる。プロトコルとして、SSH 1 と SSH 2 の 2つのバージョンがある。

SSL （Secure Socket Layer）

ネットスケープコミュニケーション社によって提案された汎用セキュアプロトコルスキーム。より上位層の HTTP や POP, IMAP などのアプリケーションプロトコルにセキュリティ機能を与える。SSL ハンドシェイクプロトコルと SSL レコードプロトコルから構成される。

SYN flood attack （SYN フラッド攻撃）

DoS attack （サービス妨害攻撃）のひとつ。標的ホストに対して、TCP のハンドシェイクが確立しない要求パケットを次々に送信し、リソースを浪費させる。この際、送信元の IP アドレスは、身元を隠すために存在しないアドレスに IP spoofing （IP スプーフィング）されることが多い。
従来、対策が難しいと言われていたが、SYN Cookie という対策技術を実装した OS が普及しつつある。例えば Linux 現行 カーネル 2.4 においても SYN Cookie を利用可能である。
参考： CA-1996-21

syslog

UNIX系オペレーティングシステムにおいてログファイルを管理するシステムコール。ネットワーク間においてプロトコル実装もされている。

TCP Wrapper

Wiete Venema 氏が作成した inetd スーパーデーモンにセキュリティ機能を付加するプログラム。アクセスコントロール機能、ログ収集機能を付加する。

threat（脅威）

保護しようとする情報・情報システムについて想定される情報セキュリティを侵害する外的要因の可能性。

TLS (Transport Layer Security)

SSL 後継のセキュアプロトコルスキーム。RFC 2246 TLS v1 参照。

Tripwire

ファイルの integrity（完全性）を検証するツール。不正アクセスや操作ミス等によって意図せずにファイルの内容を書き換えられた場合、それを検出する。ハッシュ関数を利用して 2つの時刻のファイルの状態を比較する方式を採用している。

Trojan horse (トロイの木馬)

善意のユーザが期待する動作とは異なる動作をする悪意あるプログラム。 ネットワークセキュリティ分野では、例えば偽の telnetd プログラムでユーザが入力するパスワードを取得するプログラムや、偽の TCP Wrapper などがある。

※画像をクリックすると大きなサイズでご覧になれます。
参考： CA-1999-02

コンピュータウイルス分野では、他への感染（自己複製）機能を持たないがユーザが予期しない動作（発病）をするプログラムが典型的な Trojan horse（トロイの木馬）として挙げられる。
参考： CA-1999-06

UBE (Unsolicited Bulk Email：迷惑メール)

UCE (Unsolicited Commercial Email)とも呼ばれ、宣伝や嫌がらせなどの目的で不特定多数に大量に送信されるメールであり、俗に spam メールと呼ばれている。日本語では「迷惑メール」と表現されることが多い。
参考： imc (internet mail consortium) Limiting UBE

virus（ウイルス）

広義／狭義に定義される。

• 広義：

  「コンピュータウイルス対策基準」においては、広義の定義を採用しており、自己伝染機能・潜伏機能・発病機能のいずれかをもつ加害プログラムをウイルスとしている。自己伝染機能については、他のファイルやシステムに寄生・感染するか、単体で存在するかを問わない定義になっているので「worm（ワーム）」も含むことになる。他のファイルやシステムへの寄生・感染機能を持たないがユーザが意図しない発病機能をもつ「Trojan（トロイの木馬）」も、この広義の定義ではウイルスに含まれる。

• 狭義：

  PC環境におけるコンピュータウイルスを念頭においた狭義の定義においては、他のファイルやシステムに寄生・感染（自己複製）する機能をもつプログラムをいう。この場合、システム中に単体として存在し、ネットワークを伝わって移動する「worm（ワーム）」は、ウイルスとは区別される。 また、潜伏機能・発病機能しか持たない「Trojan（トロイの木馬）」も、ウイルスと区別される。

VPN （Virtual Private Network： バーチャルプライベートネットワーク）

インターネットのような公衆ネットワークをまたぐ複数のプライベートネットワークを、仮想的に統一されたプライベートなネットワークとして構築する技術。プライベートネットワーク間は、IPsec プロトコルのような暗号・認証機能をもつプロトコルで接続される。

vulnerability（脆弱性）

情報セキュリティ分野において通常、脆弱性とは、システム、ネットワーク、アプリケーション、または関連するプロトコルのセキュリティを損なうような、予定外の望まないイベントにつながる可能性がある弱点の存在、設計もしくは実装のエラーのことをいう。オペレーティングシステムの脆弱性である場合もあれば、アプリケーションシステムの脆弱性である可能性もある。またソフトウェアの脆弱性以外に、セキュリティ上の設定が不備である状態においても、脆弱性があるといわれることがある。俗に、セキュリティホール（security hole）と呼ばれることもある。
近年ソフトウェアの脆弱性について、広い語感を与える vulnerability を整理し、予定されたセキュリティ仕様を満たさないものを狭義の vulnerability とし、仕様上のセキュリティの欠如を Exposure （露出）として区別する動きがある。
このほかにも、広義には vulnerability もしくは security hole と呼ばれながらも、ソフトウェア自体の問題ではない論点には、弱いパスワード等の本人認証の回避問題、設定ミスによる問題がある。

worm（ワーム）

自己複製し、自己増殖するコンピュータプログラム。広義のウイルスには含まれる。ワームは、狭義のウイルスとは異なり、単体でネットワーク環境において増殖するもの。いわゆる Morris worm を契機とする。 RFC 1135 参照。
参考：
"CodeRed Worm":  CA-2001-19, CA-2001-23.
sadmind/IIS Worm : CA-2001-11.

xinetd

inetd の上位互換性をもつスーパーデーモンで、inetd 利用時に TCP Wrapper によって付加していたアクセスコントロール機能をあわせ持つほか、きめ細かな設定が可能となっている。

X.509

ITU-T において 1997年に発行されたバージョン3が、広く PKI における公開鍵証明書として利用されている。また、CRL （証明書失効リスト）には、バージョン2 が利用されている。