セキュリティ攻撃の一般的なタイプは何か？

Question

Accepted Answer

攻撃者がシステムを侵害しようとする方法である一般的な**攻撃タイプ**を理解することは、それらに対する防御の基礎となります。主なカテゴリには、インジェクション、XSS、CSRF、ブルートフォース、ソーシャルエンジニアリング、DDoS、およびそれ以上のものが含まれます。

## Webアプリケーション攻撃

```text
INJECTION (SQL, command, etc.) → inject malicious code via input (manipulate queries/commands)
XSS (Cross-Site Scripting) → inject scripts that run in victims' browsers
CSRF (Cross-Site Request Forgery) → trick a logged-in user's browser into making unwanted
  requests (perform actions as them without consent)
BROKEN ACCESS CONTROL → access/modify what you're not authorized to (e.g. IDOR)
SSRF → trick the server into making requests it shouldn't
```

## 認証/アクセス攻撃

```text
BRUTE FORCE → try many passwords/keys until one works (rate-limit, lock out, MFA)
CREDENTIAL STUFFING → use leaked username/password pairs from other breaches
SESSION HIJACKING → steal session tokens/cookies to impersonate a user
PHISHING / SOCIAL ENGINEERING → trick people into revealing credentials/info (the human
  is often the weakest link)
```

## その他の攻撃

```text
DDoS (Distributed Denial of Service) → flood a system to make it unavailable
MAN-IN-THE-MIDDLE (MITM) → intercept communication (HTTPS prevents this)
MALWARE / ransomware; SUPPLY CHAIN attacks (compromise dependencies/build tools)
ZERO-DAY → exploit unknown/unpatched vulnerabilities
```

## なぜ重要なのか

一般的なセキュリティ攻撃のタイプを理解することは基本的です。**理解していない脅威に対して防御することはできないため**、攻撃者がどのように行動するかを知ることは安全なシステムを構築するために不可欠であり、これは重要なセキュリティ知識です。

攻撃タイプの認識 — 攻撃者がシステムを侵害しようとする方法 — は防御の基礎です。各攻撃タイプには対応する防御があるため、脅威を理解することは防御措置を動機づけ、指針を与えます。

**Webアプリケーション攻撃** — **インジェクション**（入力を介してクエリ/コマンドを操作）、**XSS**（被害者のブラウザで実行されるスクリプト）、**CSRF**（ログイン中のユーザーのブラウザを騙して不正なリクエストを実行）、**アクセス制御の不備**（無許可のリソースにアクセス）、および**SSRF** — を理解することは、開発者が防御すべき最も一般的なアプリケーションレベルの脅威をカバーします。

**認証/アクセス攻撃** — **ブルートフォース**（多くのパスワードを試す、レート制限とMFAで対抗）、**クレデンシャルスタッフィング**（漏洩したクレデンシャルを使用）、**セッションハイジャック**（トークンを盗む）、および**フィッシング/ソーシャルエンジニアリング**（人を騙す、人間がしばしば最も弱いリンクのため） — を理解することは、攻撃者がアクセスをどのようにターゲットにするかをカバーします。

**その他の攻撃** — **DDoS**（利用不可を引き起こすためにフラッド）、**中間者攻撃**（通信を傍受、HTTPSで防止）、マルウェア、**サプライチェーン攻撃**（依存関係を侵害 — ますます重要）、およびゼロデイ — は脅威の状況の認識を広げます。

これらの攻撃タイプを知ることで、開発者は脅威を認識し、特定の防御が存在する理由を理解し（インジェクションに対するパラメータ化されたクエリ、XSSに対するエスケープ、ブルートフォースに対するMFA、MITMに対するHTTPS）、適切な保護を構築できます。

脅威に対する防御には脅威の理解が必要であり、各一般的な攻撃タイプには対応する防御があり、主要な攻撃（インジェクション、XSS、CSRF、ブルートフォース、フィッシング、DDoS、サプライチェーン）の認識は安全なシステム構築の基礎であるため、一般的なセキュリティ攻撃を理解することは基本的で重要なセキュリティ知識です — すべての防御的セキュリティの基礎となる脅威認識であり、脅威を認識し、セキュリティ対策が存在する理由を理解するために必要であり、常に様々な攻撃に直面しなければならないシステムを構築するあらゆる開発者の基本です。