せきゅりてぃほーる

セキュリティホール

Security Hole = —

ソフトウェアやハードウェアの設計・実装上の欠陥で、セキュリティ上の弱点です。放置すると攻撃者に悪用され、不正侵入や情報漏洩などの被害を招くため、修正プログラムの適用が不可欠です。

詳しい説明

セキュリティホールとは、ソフトウェアやハードウェアの設計ミス、実装のバグなどが原因で発生する、セキュリティ上の欠陥のことです。攻撃者に悪用されると、不正侵入や情報漏洩、マルウェア感染などを引き起こす原因となります。

多くのシステムは人間が作るため、完璧ではありません。その「穴（ホール）」が発見されると、そこが攻撃者の侵入経路となります。脆弱性とほぼ同義で使われ、放置は極めて危険です。

仕組みとしては、プログラムのコードに潜むバグが原因です。例えば、ユーザーからの入力値のチェックが不十分な場合、そこへ不正な命令を送り込む「SQLインジェクション」などが可能になります。また、メモリ領域の管理不備により「バッファオーバーフロー」を引き起こし、システムの乗っ取りを許すこともあります。

種類としては、ソフトウェア自体の不具合だけでなく、設定ミスや、不要な機能の有効化などによる弱点も含まれます。これらすべてが、攻撃者にとっての「攻撃の足がかり」となり得るセキュリティホールです。

ITパスポート試験では、脆弱性と同義で扱われ、対策としての「パッチ適用」や「アップデート」が頻出します。「最新の状態に保つことが基本」という理解が問われます。

基本情報技術者試験では、より具体的な技術的攻撃手法と、それに関連するセキュリティホールが問われます。また、修正プログラムが出ても適用していない間の期間を狙う「ゼロデイ攻撃」との関連や、脆弱性情報の公開と対応のプロセス（CVE番号など）の理解も重要です。

「脆弱性」は、システム上の弱点を指す一般的で技術的な用語です。セキュリティホールは、より直感的に「穴」を強調する言葉ですが、意味はほぼ同じです。

「バグ」は、プログラムの動作上の不具合全般を指します。そのバグの中で、特にセキュリティに悪影響を及ぼすものがセキュリティホールと呼ばれます。すべてのセキュリティホールはバグの一種ですが、すべてのバグがセキュリティホールではありません。

OSのアップデート通知は、そのほとんどがセキュリティホールの修正です。放置すると、悪意のあるプログラムを勝手に実行される可能性があるため、早急な適用が求められます。

また、WebサイトのCMS（WordPressなど）のプラグインにセキュリティホールが見つかり、サイトが改ざんされる被害もよくある例です。古いバージョンのまま使い続けることが、攻撃のチャンスを与えてしまいます。