この章で学ぶこと

この章は、情報処理安全確保支援士（SC）が「組織のセキュリティ対策を検討するために必要な、脅威・脆弱性・攻撃手法に関する専門的な知識」として問われる範囲のうち、まず脅威の基礎的な分類とマルウェア・脆弱性の種類を扱います。情報セキュリティマネジメント(SG)コース第1章がマネージャー視点の基礎（何が脅威か・組織としてどう備えるか）を扱うのに対し、この章は支援士として実際の攻撃の仕組みを理解し、技術的な妥当性を判断できる深さまで踏み込みます。次章では、これらの脅威・脆弱性を悪用して攻撃者が実際にどう動くか（攻撃プロセス）を学びます。

基礎的な脅威の分類と考え方

情報セキュリティの脅威は、地震や火災のような災害、機器の故障のような事故、悪意ある第三者による破壊・盗難・侵入のように、原因の性質でまず大別されます。技術的な脅威としては、許可なくシステムに入り込む不正アクセス、通信内容を盗み見る盗聴、他人になりすますなりすまし、データを書き換える改ざんが基本です。取引先や上司を装って偽の送金依頼メールを送るビジネスメール詐欺(BEC)、権限設定のミスによるアクセス権の誤設定、心理的な隙を突いて情報を引き出すソーシャルエンジニアリングも、技術的対策だけでは防ぎきれない代表的な脅威です。これらの結果として起こる情報漏えいや、乗っ取ったサーバーを別の攻撃の中継地点にする踏み台も押さえておきましょう。

攻撃者がどこから、どうやって侵入してくるかを考える視点として、攻撃の経路そのものを指す攻撃ベクトル、組織全体で攻撃を受けうる範囲を指す攻撃対象領域(アタックサーフェス)があります。脅威を体系的に洗い出す手法として、なりすまし・改ざん・否認・情報漏えい・サービス妨害・権限昇格の6分類で考える脅威モデリング(STRIDEなど)、具体的な攻撃の筋書きを想定する脅威シナリオが使われます。IPAが毎年公表する情報セキュリティ10大脅威は、実務・試験の両面で最新動向を追う基準として重要です。

扱う用語（精選・19語）

• 事故／災害／破壊／盗難／侵入／不正アクセス／盗聴／なりすまし／改ざん
• ビジネスメール詐欺(BEC)／アクセス権の誤設定／ソーシャルエンジニアリング／情報漏えい／踏み台
• 攻撃ベクトル／攻撃対象領域(アタックサーフェス)／脅威モデリング(STRIDEなど)／脅威シナリオ／情報セキュリティ10大脅威

マルウェアと脆弱性の分類

攻撃者に遠隔操作されるマルウェアの代表が遠隔操作型ウイルス(RAT)で、侵入後に外部と通信路を開くリバースシェルとセットで使われることが多い手口です。ファイルを暗号化し身代金を要求するランサムウェアは近年最も被害の大きい脅威の1つで、検知を逃れるためにコードを変化させるステルス技術(ポリモーフィック型・メタモーフィック型など)、ディスクにファイルを残さずメモリ上だけで動作するファイルレスマルウェアといった検知回避の工夫が発達しています。既知の脆弱性を突く攻撃用プログラムをエクスプロイトコード、その攻撃対象となるソフトウェアの欠陥をセキュリティホールと呼びます。

脆弱性は技術的な欠陥だけではありません。従業員の不注意による人的脆弱性、社内ルールの不備による内部統制の不備、会社が把握していない機器・サービスを従業員が勝手に使うシャドーITも組織的な脆弱性です。ソフトウェア開発における典型的な欠陥としては、権限設定の誤りである認可・権限・アクセス制御の不備、外部からの入力を正しく検証しない不適切な入力確認、パスワードをソースコードに直接書き込んでしまうパスワードのハードコード、本来必要な認証手続きを迂回されてしまう認証バイパス、重要な情報を暗号化せずに扱う重要情報の平文での保存・送信、複数の処理が同時に実行されることで生じる予期しない不具合であるレースコンディションがあります。こうしたWebアプリケーションの代表的な脆弱性をまとめたものがOWASP Top 10で、LLMを使ったアプリケーション向けのOWASP Top 10 for LLM Applications、API向けのOWASP API Security Top 10という派生版も2027年シラバスで新たに明記されています。

扱う用語（精選・19語）

• 遠隔操作型ウイルス(RAT)／リバースシェル／ランサムウェア／ステルス技術／ファイルレスマルウェア／エクスプロイトコード／セキュリティホール
• 人的脆弱性／内部統制の不備／シャドーIT
• 認可・権限・アクセス制御の不備／不適切な入力確認／パスワードのハードコード／認証バイパス／重要情報の平文での保存・送信／レースコンディション
• OWASP Top 10／OWASP Top 10 for LLM Applications／OWASP API Security Top 10

AIで学ぶ

ここまでの用語は、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、比較表つきでさらに深く掘り下げて学習できます。コピーして使ってみましょう。

あなたは情報処理安全確保支援士（SC）試験の講師です。「脅威の基礎・分類とマルウェア/脆弱性」の範囲について、以下の用語を初学者向けに**関連づけながら**説明してください（単体の丸暗記より、用語同士のつながりを理解したほうが記憶に定着しやすく、試験本番で紛らわしい選択肢を見分ける力もつくためです）。「脅威そのものの分類」と「攻撃に使われるマルウェア・脆弱性」という2つの軸で整理し、用語同士の違いが分かる**比較表**を最後に付けてください。

【脅威の基礎的な分類】事故、災害、破壊、盗難、侵入、不正アクセス、盗聴、なりすまし、改ざん、ビジネスメール詐欺(BEC)、アクセス権の誤設定、ソーシャルエンジニアリング、情報漏えい、踏み台、攻撃ベクトル、攻撃対象領域(アタックサーフェス)、脅威モデリング(STRIDEなど)、脅威シナリオ、情報セキュリティ10大脅威
【マルウェアと脆弱性の分類】遠隔操作型ウイルス(RAT)、リバースシェル、ランサムウェア、ステルス技術、ファイルレスマルウェア、エクスプロイトコード、セキュリティホール、人的脆弱性、内部統制の不備、シャドーIT、認可・権限・アクセス制御の不備、不適切な入力確認、パスワードのハードコード、認証バイパス、重要情報の平文での保存・送信、レースコンディション、OWASP Top 10、OWASP Top 10 for LLM Applications、OWASP API Security Top 10

このプロンプトが「脅威そのものの分類」と「マルウェア・脆弱性」という2軸での整理を指示しているのは、この章がまず「何が脅威か」という土台を作る章だからです。次章で学ぶ攻撃プロセス・攻撃技術は、ここで学んだ脅威・脆弱性を実際にどう悪用するかという話になります。

章末チェック

最後に、この章で学んだ知識をアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、事故・不正アクセス・なりすましといった脅威の基礎的な分類と、ランサムウェアやOWASP Top 10に代表されるマルウェア・脆弱性の種類を学びました。ここで押さえた「何が脅威で、どんな弱点が悪用されるか」という土台が、次章で学ぶ攻撃者の具体的な行動プロセスを理解する前提になります。

次章では、攻撃者が実際にどのような順序で行動し、どんな技術を使って侵入・拡散していくのか——サイバーキルチェーンと具体的な攻撃技術を学びます。→ 第2章 攻撃者の行動プロセスと最新の攻撃技術