毎朝3分！セキュリティRadio

■ 今日の用語解説 今日は「SIEM（シーム）」について解説します。 ▼ SIEMとは？ Security Information and Event Managementの略称です。 社内の様々な機器（ファイアウォール、サーバー、ネットワーク機器など）からログを集め、それらを分析してサイバー攻撃の予兆を見つけるシステムのことを指します。 ▼ なぜ重要なのか？ (1) 点と点をつなぐ分析 単体の機器では「ただのエラー」に見えるものでも、複数の機器のログを組み合わ...

■ 今日の用語解説 今日は「ソーシャルエンジニアリング」について解説します。 ▼ ソーシャルエンジニアリングとは？ IT技術を使わず、人間の心理的な隙や行動のミスにつけ込んで、機密情報を盗み出す攻撃手法の総称です。「人間のバグ」を突く攻撃とも言えます。 ▼ なぜ重要なのか？ どんなに堅牢なファイアウォールや暗号化技術を導入していても、それを扱う人間がパスワードを漏らしてしまえば意味がありません。攻撃者にとって...

■ 今日の用語解説 今日は「内部不正（Insider Threat）」について解説します。 外部攻撃よりも発見が難しく、被害が甚大になりやすいこの脅威。なぜ発生するのか、そしてどう防ぐのかを学びましょう。 ▼ 内部不正とは？ 従業員や元従業員、委託先など、組織内部の人間が権限を悪用して情報を持ち出したり、システムを破壊したりする行為です。 IPAの「情報セキュリティ10大脅威」でも常に上位に入る、深刻な問題です。 ▼ なぜ発生...

■ 今日の用語解説 今日は「ハッシュ関数」について解説します。 ▼ ハッシュ関数とは？ 任意のデータから固定長の文字列（ハッシュ値）を生成する計算手順のことです。 ・不可逆性：計算結果から元のデータには戻せない ・雪崩効果：元データが1ビットでも変わると結果が激変する ▼ なぜ重要なのか？ (1) パスワード保存の鉄則（平文保存の禁止） (2) 改ざん検知（ファイルの整合性チェック） (3) デジタル署名やブロックチェーンの...

■ 今日の用語解説 今日は、セキュリティの基本用語「ブルートフォース攻撃（総当たり攻撃）」について解説します。 ▼ ブルートフォース攻撃とは？ ユーザーIDやパスワードとして考えられる「全てのパターン」を、機械的に総当たりで試してログインを突破しようとする攻撃手法です。 例えるなら、自転車のダイヤル錠（0000〜9999）を全て回して開けようとする行為のデジタル版です。 ▼ なぜ危険なのか？ (1) コンピュータの性能向上...

■ 今日の用語解説 今日のテーマは「水飲み場型攻撃（Watering Hole Attack）」です。 ▼ 水飲み場型攻撃とは？ 攻撃ターゲットが頻繁に訪れる「正規のウェブサイト」を改ざんし、そこで待ち伏せしてマルウェアに感染させる標的型攻撃の一種です。 野生動物が水飲み場に集まる習性を狙って肉食獣が狩りをする様子に例えられています。 ▼ 技術的な仕組み (1) 偵察：ターゲットがよく見るサイト（業界ニュースや関連企業など）を特定 (...

■ 今日の用語解説 今日は「クリックジャッキング」について解説します。 ▼ クリックジャッキングとは？ ユーザーを視覚的に騙し、意図しないクリック操作を行わせる攻撃手法です。「UIリドレス攻撃」とも呼ばれます。 ▼ 攻撃の仕組み (1) 攻撃者のサイト上に、透明にした「標的サイト」を重ねる（iframeを使用） (2) ユーザーは「懸賞に応募」などの偽ボタンをクリックしたつもりになる (3) 実際には、透明化された標的サイトの「...

■ 今日の用語解説 今日はWebセキュリティの基本中の基本、「クロスサイトスクリプティング (XSS)」について解説します。 ▼ クロスサイトスクリプティング (XSS) とは？ Webサイトの脆弱性を利用して、悪意のあるスクリプトを埋め込む攻撃手法です。 ・ユーザーのブラウザ上で不正な処理を実行させる ・CSSと区別するため「XSS」と略される ▼ なぜ危険なのか？（リスク） (1) セッションハイジャック（なりすまし） (2) 個人情報の...

■ 今日の用語解説 今日は「クロスサイトリクエストフォージェリ (CSRF)」について解説します。 ▼ CSRFとは？ ログイン済みのユーザーに、意図しない操作（リクエスト）を行わせる攻撃手法です。 Webサイトへの「なりすまし操作」とも言えます。 ▼ どんな被害がある？ ・勝手にパスワードを変更される ・知らない間に商品を購入される ・SNSで勝手に投稿される ▼ 仕組みのポイント (1) ブラウザはCookie（ログイン情報）を自動送信...

■ 今日のハイライト 本日は開発者やエンジニアに直結する重要なセキュリティニュースをお届けします。 ▼ 【重要】Claude Codeのサンドボックス回避脆弱性 AIコーディングツール「Claude Code」に複数の脆弱性が発見されました。 ・CVE-2026-25725：設定ファイル注入によるサンドボックス脱出 ・CVE-2026-25723：sedコマンドによるファイル書き込み制限回避 ・CVE-2026-25722：cdコマンドによる保護ディレクトリ回避 ※開発環境の乗...

■ 今日のハイライト 本日は週末を前に、緊急性の高いセキュリティ更新情報をまとめてお届けします。開発ツールからCMSまで、幅広い技術領域で深刻な脆弱性が報告されています。 ▼ Sliver: 認証済みパストラバーサル Red Team操作ツール「Sliver」にて、認証済みユーザーがサーバー上の任意のファイルを読み取れる脆弱性が発覚しました。 ・影響: 設定ファイル、クレデンシャル、SSHキーの漏洩リスク ・対策: 最新版への即時アップ...