情報処理安全確保支援士の試験で出題される問題の中から覚えにくいと思われるキーワードを記載します。
PQC
Post-Quantum Cryptography（ポスト量子暗号）の略で、耐量子暗号のこと。
量子コンピュータを用いても解読不可能な暗号のことを指す。
量子コンピュータはこれまでのコンピュータに比べて処理能力（利用できる数学アルゴリズム）が向上するため、これまで数学的に解読困難とされていた暗号形式の解読も可能となるため、これに対抗する暗号形式が必要となる。
＃暗号化アルゴリズム
量子暗号
量子鍵配送（QKD: Quantum Key Distribution）と安全に共通鍵を送信し、ワンタイムパッドで使い捨ての暗号鍵を利用するという手法。
#暗号化アルゴリズム
AI解説
QKDとワンタイムパッド、この二つを一緒に使うたら、めっちゃ最強の暗号化ができるんや。例えるなら、「合言葉」を量子でこっそり教え合ってから、その合言葉で手紙を暗号化する、みたいなもんやで。
AAAフレームワーク
AAAフレームワークは、情報セキュリティにおけるアクセス制御の3つの主要な要素、すなわち認証 (Authentication)、認可 (Authorization)、監査 (Accounting)の頭文字をとったものです。これは、ネットワークやシステムへのアクセスを管理するための包括的なセキュリティモデルです。
- 認証：ユーザの特定。いわゆるログインのこと。
- 認可：アクセスする情報参照の許可。例えばログインしたユーザの会員情報（例：住所や購入履歴など）の取得を許可したり、特別な会員であれば専用コンテンツにアクセスできたりなど。
- 監査：ユーザの操作履歴を残すこと。当該ユーザがどの画面に遷移して何を操作したかのログを残したりなど。
#概念
NTPリフレクション
攻撃元を偽装してNTPサーバにレスポンスデータが大きくなる要求を送信する攻撃。DDoS（分散型サービス拒否）攻撃の一種。
つまり、攻撃対象のサーバのIPアドレスに偽装して、NTPサーバにmonlistコマンド（NTPサーバへの全アクセス履歴を返却させる命令）の攻撃を仕掛けることで、攻撃対象サーバに大量のトラフィックデータをレスポンスさせてサーバをダウンさせる攻撃。
- NTPサーバ：ネットワーク上のコンピューターやデバイスに正確な時刻情報を提供するサーバー。
わかりやすい説明はこちら↓（関西弁AI）
NTPリフレクション、ってのはな、NTPサーバーっていう時計屋さんを悪用した、めっちゃひどい嫌がらせ攻撃のことやねん。
どないなっとんねん？
この攻撃、例えるならこんな感じや。
攻撃者がうそつきの手紙を出す
攻撃者は、おまえの住所（IPアドレス）を勝手に使って、「最近うちの店に来たお客さん、ぜーんぶ教えてや！」って書いた手紙を、日本中の時計屋さん（NTPサーバー）に送りまくるんや。
時計屋さんがいっぱい手紙を返す
時計屋さんは、その手紙の送り主がおまえやと思い込んで、「はい、お客さんのリストです！」って言って、分厚くて重い本（大量のデータ）を、ぜんぶおまえの住所に送り返してくるんや。
郵便受けがパンクする
うそつきの手紙は小さいのに、時計屋さんが送ってくる本は分厚いから、それが一斉に何百冊、何千冊っておまえの家に届く。そしたら、おまえの家の郵便受けはパンクして、もう新しい手紙も入れられへんくなるやろ？
この郵便受けが、インターネットの通信回線やねん。おまえのパソコンやサーバーに、この大量のデータが届きまくって、もうまともに通信できんくなってまう。これがNTPリフレクション攻撃の仕組みやねん。
どないしたらええねん？
この攻撃を防ぐには、時計屋さん（NTPサーバー）に「お客さんのリストは教えんといてな！」って設定しとくのが一番や。最近の時計屋さんは、最初からその設定になっとることが多いから、安心やけどな。
もし自分のとこで時計屋さんを動かしてるなら、ちゃんと設定を見直して、変な手紙には分厚い本を返さんようにしとかんとあかん、ってことや。
IT統制
大きく全般統制と業務処理統制の二つに分類されます。
-
IT全般統制（IT General Controls） ITシステム全体に共通して適用される統制活動です。特定の業務プロセスに限定されず、システム開発、運用、セキュリティ、変更管理など、ITインフラ全体を対象とします。
-
例: システム開発時の承認手続き、アクセス権限管理、バックアップと復旧計画、セキュリティポリシーの策定など。
-
-
IT業務処理統制（IT Application Controls） 個々の業務アプリケーションやシステムで行われる取引やデータ処理の正確性、完全性、および正当性を確保するための統制活動です。
-
例: データの入力チェック（数字の桁数、形式など）、入力されたデータの二重化チェック、業務承認フローの組み込み、システムの認証など。
-
SSO
SSOの種類は以下の通り
1. エージェント型SSO
エージェント型SSOは、認証対象となるサーバーやアプリケーションに**専用のソフトウェア（エージェント）**を導入して認証連携を行う方式です。ユーザーが一度認証を受けると、エージェントがその認証情報を各システムに伝達し、自動的にログインさせます。
- メリット: 各アプリケーションで統一された認証管理が可能で、高いセキュリティを確保できます。
- デメリット: 各サーバーにエージェントをインストールする必要があるため、導入コストや管理の手間がかかります。主にオンプレミス環境で利用されます。
2. リバースプロキシ型SSO
リバースプロキシ型SSOは、認証対象のWebサーバーの手前にリバースプロキシサーバーを設置して認証処理を集中管理する方式です。ユーザーはまずリバースプロキシで認証を行い、その認証情報を使って内部の各システムにアクセスします。
- メリット: 各Webサーバーに変更を加える必要がなく、既存のシステムに比較的容易に導入できます。
- デメリット: 全ての通信がリバースプロキシを経由するため、トラフィックが集中し、性能ボトルネックになる可能性があります。
3. フェデレーション型SSO
フェデレーション型SSOは、組織の境界を超えてSSOを実現する方式です。異なる企業やサービス間で認証情報を安全に共有します。主要な技術としてSAML、OpenID Connect、OAuthが用いられます。クラウドサービス（SaaS）との連携で広く利用されています。
4. エージェントレス型SSO
エージェントレス型SSOは、クライアント端末（PCやスマートフォン）にエージェントをインストールすることなく、ブラウザの機能を利用してSSOを実現する方式です。IDとパスワードを連携させる方法や、Cookieを使用する方法などがあります。
- メリット: クライアント側の環境に依存せず、迅速に導入できます。
- デメリット: ログイン情報をクライアント側で管理するため、セキュリティリスクが他の方式より高くなる可能性があります。
WAFの誤検知パターン
フォールスポジティブ：悪意のない通信を検知すること。過剰検知。（やる気ありすぎ）
フォールスネガティブ：悪意のある通信を検知できないこと。（やる気なさすぎ）
