【応用情報】セキュリティ用語まとめ。

今回の記事は応用情報のセキュリティ分野の用語をまとめた記事です。セキュリティ分野は午前・午後必ず問われる分野ですのでこちらに出てくる用語は是非押さえておきましょう。各種攻撃手法やその対策、分析や評価手法、セキュリティ対策組織や法律に加えて、ネットワーク系のセキュリティ用語とメールに関しても網羅しております。応用情報を受ける方は是非参考にしてみてください。

セキュリティ用語

セキュリティ用語

セキュリティ用語は8ジャンルでまとめてみました。後半がネットワーク系のセキュリティ用語です。メール系はメールに関する送信方法やセキュリティ構成などです。優劣などはなく全て押さえておく必要がある。（少なくとも用語を見れば意味が言える程度にはなっておく必要がある。）

攻撃系
対策系
分析・評価系
組織系
法律系
ネットワーク構成系
ネットワークプロトコル系
メール系

攻撃系

レインボー攻撃

ユーザパスワードをハッシュ化して保存している場合、そのハッシュ値を盗まれた場合に使用。レインボーテーブルと呼ばれる、ハッシュ値からパスワードを特定するための逆引き表を用いて、パスワードを解読する手法です。ブルートフォースよりもかなり早い。

対策

盗まれないようにする
ソルトを利用し、レインボーテーブルにない組み合わせに変換を行う
ストレッチング（ハッシュ化した文字をさらに数千回ハッシュ化）を行い、解析時間を長くする。

ブルートフォース攻撃

総当り攻撃とも呼ばれる。使用可能な文字のあらゆる組み合わせパスワードとして試す攻撃手法。

対策

パスワードの桁数を上げる
ログイン回数の上限値設定
追加認証（2段階認証/多要素認証/ワンタイムパスワードの設定など）

逆ブルートフォース攻撃

パスワードを固定してIDを総当たり攻撃する。

対策

IDの桁数を上げる
ログイン回数の上限値設定
追加認証（2段階認証、多要素認証、ワンタイムパスワードの設定など）

ドライブバイダウンロード

Webサイトに悪意のあるプログラムを埋め込み、Webブラウザを通じて利用者が気付かないようにそのプログラムをダウンロードさせたり、自動的に実行させる攻撃。

対策

OSやソフトウェアを最新の状態にしておく
セキュリティ対策ソフトを入れておく

水飲み場攻撃

ユーザがよく利用するWebサイトに悪意のあるプログラムを埋め込み、Webブラウザを通じて利用者が気付かないようにそのプログラムをダウンロードさせたり、自動的に実行させる攻撃。

対策

ドライブバイダウンロードと同じ

ゼロデイ攻撃

惰弱性が発見されてからセキュリティパッチやアップグレードが配布される前に攻撃をおこなうこと。

対策

迅速なアップデート
サンドボックス環境の利用

クロスサイトスクリプティング

Webサイトの脆弱性を利用し、記述言語であるHTMLなどに悪質なスクリプトを埋め込み、ブラウザを介して、入力情報を盗んだり、別サイトを表示したりする攻撃手法。

対策

サニタイジング（スクリプトの無害化（&，<，>，”，’などを文字列としてそのまま表示する））
入力値の制限
WAFを設定し、不正な通信を監視する

ディレクトリトラバーサル

ディレクトリパスを推測し、Webサーバーの非公開ファイルにアクセスを行う攻撃手法です。

対策

IDS（侵入検知）・IPS（侵入遮断）を設定し、サーバや外部ネットワークの検知・遮断をする。
WAFを配置し、Webアプリ利用時の通常と異なる不審な通信データを検知・遮断する
外部からパラメータとファイル名を指定して、サーバーのファイルにアクセス禁止不可とする。

スプーフィング

第三者がコンピュータ、デバイス、またはネットワークを使用して、正規の人物になりすまし、他のコンピュータネットワークを不正に利用するサイバー攻撃。種類は下記。

IPスプーフィング
送信元のIPアドレスを偽装して攻撃を行う。送信元を偽装してDoS攻撃やDDoS攻撃を行う。
メールスプーフィング
メールヘッダーを偽装することで、実際とは異なる送信者によるメールであるかのようにみせかけること。大企業になりすましたフィッシングメールなどがある。
DNSスプーフィング
URLをIPアドレスと対応づけるDNSで、対応関係を不正な手段で書き換える手法。MITM攻撃やDNSキャッシュポイズニングなどを行う。
ARPスプーフィング
ARPの応答を偽装することによって、LAN上でネットワーク機器のなりすましを行う攻撃手法。ルータに成り代わるとLANからWANへの通信を盗聴できる。

対策

ファイアウォール設定
IPアドレスを通信の認証手段としない

スニッフィング

インターネット通信のやりとりで使われる「パケット通信」を不正に盗み、ユーザーの個人情報を取得するサイバー攻撃。

対策

通信には最新の暗号化方式「SSL/TLS」が使われているか確認すること

クリックジャッキング

攻撃者が用意したWebページの前面に透明化した別Webページを重ね、ユーザを視覚的にだまし、正常に視認できるWebページ上をクリックさせ、透明化したWebページコンテンツを操作させる攻撃。

対策

httpヘッダーにX-frame-optionをつける。

MITB攻撃（Man-in-the-Browser）

ユーザPCにウイルスを感染させ、ブラウザを乗っ取り、ブラウザからサーバへの通信内容を盗聴・改ざんする攻撃。正規サイトからの通信に関しても、改ざんが行われるためそのサイトへのSSL通信やパスワード認証を強化しても意味がない場合がある。

対策

クライアントからの署名の送付とサーバでの署名の整合性確認を実施する
ウイルス対策ソフト

MITM攻撃（Man-in-the-Middle）

ユーザPCにウイルスを感染させ、ブラウザからサーバへの通信間で、通信内容を盗聴・改ざんする攻撃。正規サイトからの通信に関しても、改ざんが行われるためそのサイトへのSSL通信やパスワード認証を強化しても意味がない場合がある。MITB攻撃との違いはMITBはブラウザを乗っ取り、 MITMは通信経路上で攻撃者が介在し、通信の盗聴や改ざんを行う。

対策

クライアントからの署名の送付とサーバでの署名の整合性確認を実施する
ウイルス対策ソフト

DNSキャッシュポイズニング攻撃

クライアントからDNSキャッシュサーバ経由でDNSコンテンツサーバにきたアクセスのレスポンスを書き換えるなどの方法でDNSキャッシュサーバのキャッシュを不正なものにし、ユーザを偽サイトに誘導する攻撃。3つのパターンがよくある。

SAD DNS
多くのPCからの問い合わせをDNSサーバではなく攻撃者のPCに届くようにし、DNSサーバに代わる手法。
ファーミング
金融機関のログインサイトに似たサイトを作成し、DNSサーバにその情報を登録、知らずに利用者が誘導されたそのサイトで、ログインを行うと認証情報を盗まれる。
カミンスキー攻撃
DNSサーバに記録のないサイト情報を探すため、サイバー攻撃者がDNSサーバに対して、仕掛ける総当たり攻撃。ランダムな文字列をDNSサーバに問い合わせ、作業を延々と繰り返させる。

対策

キャッシュサーバが問い合わせを受け付ける範囲の限定（自ネットワーク内のみなど）
ソースポートランダマイゼーション（送信元ポート番号を毎回ランダムに変更する）
DNS Cookiesによる送信元確認（DNSSEC）

ソーシャル・エンジニアリング

人間の心理的な隙や、行動のミスにつけ込んで個人が持つ秘密情報を入手する手法。
スキャベンジング：企業などの秘密情報を不正に取得するソーシャルエンジニアリングの手法の一つであり、不用意に捨てられた秘密情報の印刷物をオフィスの紙ごみの中から探し出す。

対策

セキュリティ教育や周知
認証パスワード保存などを控える
ゾーニング（用途ごとに区画を分ける）
クリアデスク（机の上を綺麗に）
クリアスクリーン（席を離れる際に画面を消す）
アンチパスバック（入室する際の認証記録がない不審者の退室を許可しない仕組み）
インターロックゲート（１人ずつしか通れない構造の二重扉）

サイドチャネル攻撃

暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量(処理時間，消費電流など)やエラーメッセージから、攻撃対象の秘密情報を得る。

踏み台攻撃

攻撃対象ではない第三者のサーバーやパソコンを遠隔操作し、サイバー攻撃などをさせる手法。

APT攻撃

複数の攻撃方法を組み合わせて、特定の組織や個人に対して長期間にわたり持続的に行われるサイバー攻撃の総称

ファーミング攻撃

PC内のhostsファイルにある，ドメインとIPアドレスとの対応付けを大量に書き換え，偽のWebサイトに誘導し，大量のコンテンツをダウンロードさせる。

リプレイアタック

正当な利用者のログインシーケンスを盗聴者が記録してサーバに送信する。対策として、チャレンジレスポンス方式などがある。

バッファオーバフロー

悪意のあるユーザーがサーバー・パソコンに処理能力を超える大量のデータや悪意のあるコードを送り、メモリ領域内のバッファの許容量を超えて溢れてしまう（オーバーフロー）脆弱性、またはその脆弱性を悪用した攻撃。対策として、そのようなオーバーフローが発生する関数を使用しないこと。利用者側はセキュリティソフト、アップデートの徹底など。

フットプリンティング

攻撃対象の弱点を発見するために攻撃者が行う事前調査及び偵察。

クラッキング

インターネットなどのネットワークを通じてサーバに不正にアクセスしたり，データの改ざんや破壊を行ったりする。

スキミング

カード加盟店に正規に設置されている，カードの磁気ストライプの情報を読み取る機器から，カード情報を窃取する。

ポリモーフィック型マルウェア

感染ごとにマルウェアのコードを異なる鍵で暗号化することによって，同一のパターンでは検知されないようにする。

ステルス型マルウェア

ルートキットを利用して，マルウェアに感染していないように見せかけることによって，マルウェアを隠蔽する。

マルチプラットホーム型マルウェア

複数のOS上で利用できるプログラム言語でマルウェアを作成することによって，複数のOS上でマルウェアが動作する。

クリプトジャッキング

暗号資産(仮想通貨)を入手するために必要な膨大な計算作業(ハッシュ値の計算)を、他人のコンピュータ資源に秘密裏に行わせる行為

C&Cサーバ

C&Cサーバ(コマンド・コントロール・サーバ)は、マルウェアが侵入に成功したコンピュータ群(ボットネット)の動作を制御するために用いられる外部の指令サーバです。

ルートキット

攻撃者がウイルスやトロイの木馬などを利用して攻撃対象のコンピューターやサーバーへ不正アクセスに成功した際、攻撃者が実行するパッケージ。

エクスプロイトキット

複数のエクスプロイトコードをまとめ、ソフトウェアやOSに内在する脆弱性を確認したり、攻撃者がその脆弱性を悪用したりするツール群です。エクスプロイト(exploit)には、悪用という意味があります。

ポートスキャン

攻撃者が用意したスクリプトで Web サイトのサービスポートに順次アクセスし，各ポートに対応するサービスに存在するセキュリティ上の弱点を探し出す。スキャン対象の応答から OS の種類，稼働しているサービスとそのバージョンなどの情報を得ることが可能である。

対策系

サニタイジング

サニタイジング(sanitizing)は、ユーザの入力値を受け取り処理するWebアプリケーションにおいて、入力データ中のスクリプトやコマンドとして特別な意味を持つ文字があった場合、HTML出力やコマンド発行の直前でエスケープ処理し無害化する操作です。

OP25B

外向き(インターネット方向)のポート25番宛て(SMTP)パケットを遮断することでスパムメールを防ぐ仕組み。管理外ネットワークのメールサーバへSMTP通信を禁止することで、ISPのメールサーバを介さずに外部のオープンリレーサーバと直接コネクションを確立して送信されるスパムメールを防ぎます。メールを遮断する条件は「動的IPアドレスからの送信」かつ「ISPのメールサーバを経由しない」。

ランサムウェア

PCに格納されているファイルを勝手に暗号化して，復号することと引換えに金銭を要求する。

パケットフィルタリング

パケットのIPアドレスやポート番号によって通過の可否を判断しますが、データ部(ペイロード部)については検証を行わない。正当なHTTPリクエストに攻撃文を含めるSQLインジェクションは防げない。

エクスプロイトコード

ソフトウェアの脆弱性を悪用した不正動作を再現するため作成されたスクリプトやプログラムの断片。

ウイルス定義ファイル

ウイルスの一部のコードなどが定義されており、一致パターンからウイルスを検出する。

ファジング

検査対象の製品にファズ（fuzz）と呼ばれる問題を引き起こしそうなデータを入力して、その応答や挙動から脆弱性を検出する検査手法のこと。

ビヘイビア法

ウィルスによって引き起こされる動作パターンを監視する。

チャレンジレスポンス方式

通信経路上に固定パスワードを流さないようにすることで、盗聴によるパスワードの漏えいやリプレイアタックを防止する認証方式です。利用者が入力したパスワードと，サーバから受け取ったランダムなデータとをクライアントで演算し，その結果をサーバに送信する。

スタティックVLAN

スイッチの接続ポートに基づいてグルーピングする方法です。ポートベースVLANとも呼ばれます。設問ではフリーアドレス制が採用されていて、どの人がどのポートを利用するかが決まっていないため、ポートベースの割当てではセキュリティレベルを分けることはできません。

認証VLAN

フリーアドレス制や無線アクセスポイントなどのように、接続ポートでVLANを識別できない場合でも、認証VLANを利用することによりユーザごとに適切なVLANを割り当てることができます。

ペネトレーションテスト

セキュリティ上の問題点を発見するために、実際にシステムへの侵入などを試みる。

captcha

歪んだ文字などを読ませる、通信社が人間かを確認するもの。

オートコンプリート

検索キーワードの入力を高速化する Google 検索の機能

プライバシーセパレータ

同一の無線LANに接続された子機同士の通信を禁止する機能です。店舗内Wi-fiや公衆無線LANサービスのように見知らぬ他人同士が同じ無線LANに接続する場面で、利用者のセキュリティ保護のために設定

ハニーポット

悪意のある攻撃を受けやすいように設定した機器を、おとりとしてネットワーク上に公開することにより、サイバー攻撃を誘引し、攻撃者の特定や攻撃手法を分析する手法やシステム。

NetFlow

ネットワーク機器のIPFIX(IP Flow Information Export)情報を監視し，攻撃者が他者のPCを不正に利用したときの通信を検知する。Cisco社。

SAML

SAML(Security Assertion Markup Language：サムエル)は、XMLベースのメッセージのやり取りによって、複数のシステムやサービス間で認証情報、属性情報、権限を交換するための仕様。標準化団体OASISによって策定されていて、最新バージョンはSAML2.0。主に複数のドメインにまたがったセキュアなシングルサインオンを実現するための仕組みとして使用。

3Dセキュア

インターネットショッピングで決済する際に利用される本人認証サービス

S/Key

ワンタイムパスワードに採用。一度しか利用できないパスワードで、認証するたびに毎回異なります

バイオメトリクス認証

網膜認証などの総称。FRR は本人拒否率であり、正しい本人のサービス利用を拒否する率である。一方 FAR は他人受け入れ率。

PCI DSS

Payment Card Industry(PCI)データセキュリティ基準(DSS)は、会員のデータセキュリティを強化し、均一なデータセキュリティ評価基準の採用をグローバルに推進するためにクレジットカードの国際ブランド大手5社共同(VISA/MasterCard/JCB/AmericanExpress/Diners Club)で策定した基準です。

PMS

Personal information protection Management Systemの略。個人情報保護マネジメントシステムの整備・管理・運用に関する仕組みです。

RADIUS認証

いかなる利用条件でのアクセスの要求においても認証方法を変更せずに，同一の手順によって普段どおりにシステムにアクセスできるようにし，可用性を高める。

分析・評価系

SIEM

Security Information and Event Managementの略。セキュリティ情報イベント管理とも言われる。ログデータを一元的に管理し、監視者へのセキュリティイベントの通知や相関分析を行うシステムのこと。

ディジタルフォレンジックス

不正アクセスなどのサイバー犯罪が発生した場合にその原因究明や捜査に必要な手段や技術のこと。不正アクセスやサービス妨害などの行為に対して、データ保全、収集、分析する。

CAP定理

2つは満たすがもう一つは満たさない。一貫性(consistency)可用性(availability)分断耐性(partition）。

CVSS

CVSS(Common Vulnerability Scoring System，共通脆弱性評価システム)は、情報システムの脆弱性に対する汎用的な評価手法。

CWE

Common Weakness Enumeration。ソフトウェアの脆弱性のタイプを識別するための基準を提供し，情報セキュリティ対策に資する。

CC

Common Criteria。情報技術セキュリティの観点から、情報技術に関連した製品及びシステムが適切に設計され、その設計が正しく実装されていることを評価するための国際標準規格。ISO/IEC 15408(JIS X 5070)として標準化されている

フォールスポジティブ

正常な通信を攻撃だと判断して遮断すること。

フォールスネガティブ

攻撃を正常な通信と判断して通過させてしまうこと。

組織系

NISC

National center of Incident readiness and Strategy for Cybersecurity。日本政府の内閣官房に設置された、国の機関における情報セキュリティを所管する組織。

IPA

IPA(情報処理推進機構)は、経済産業省所管の独立行政法人です。産業サイバーセキュリティセンターが設置されています。

JIPDEC

JIPDEC(一般財団法人日本情報経済社会推進協会)は、プライバシーマーク制度などを運用する一般財団法人です。ISMSユーザーズガイドというISMS認証基準の要求事項について一定の範囲でその意味するところを説明しているガイドを作成しております。

プライバシーマーク制度

個人情報の取扱いについて政府が求める保護措置を講じる体制を整備している事業者などを評価して，適合を示すマークを付与し，個人情報を取り扱う政府情報システムの運用について，当該マークを付与された者への委託を認める制度。

ISMAP

政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価，登録することによって，政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度。

クラウドセキュリティ認証

プライベートクラウドの情報セキュリティ全般に関するマネジメントシステムの規格にパブリッククラウドサービスに特化した管理策を追加した国際規格を基準にして，政府情報システムにおける情報セキュリティ管理体制を評価する制度。

JPCERT/CC

JPCERT/CCは、インターネットを介して発生する侵入やサービス妨害等のコンピュータセキュリティインシデントについて、日本国内のサイトに関する報告の受け付け、対応の支援、発生状況の把握、手口の分析、再発防止のための対策の検討や助言などを、技術的な立場から行う一般社団法人です。

CSIRTマテリアル

組織内CSIRT(インシデント対応チーム)の構築を支援する目的でJPCERT/CCが作成したガイドライン。

J-CRAT

サイバーレスキュー隊(J-CRAT)は、「標的型サイバー攻撃特別相談窓口」にて受け付けた相談や情報に対して調査分析を実施し、JPCERT/CCやセキュリティベンダ等と連携して助言や支援および情報共有を行うことで被害の低減と攻撃の拡大防止を図るIPAの取り組みです。標的型サイバー攻撃の被害低減と拡大防止を活動目的としています。

法律系

ISMS

Information Security Management System。情報セキュリティマネジメントシステムの整備・管理・運用に関する仕組みでJIS Q 27001 (ISO/IEC 27001)の基。機密性、完全性、可用性が重要。

サイバーセキュリティ経営ガイドライン

サイバー攻撃から企業を守る観点で、経営者が認識する必要のある「3原則」と経営者が情報セキュリティ対策を実施する上での責任者となる担当幹部に指示すべき「重要10項目」をまとめたもの。

情報セキュリティ方針

経営者が，情報セキュリティについて方針を示し，マネジメントシステムの要求事項を満たすルールを定め，組織が保有する情報をCIAの観点から維持し，継続的に見直すためのプロセス及び管理策を体系的に規定したもの。

サイバーセキュリティ基本法

世界的規模で生じているサイバーセキュリティ上の脅威に関して，企業の経営者を支援する施策を総合的かつ効果的に推進するための国の責務を定めたもの。

ネットワーク構成系

WAF

WAF(Web Application Firewall)は、通過するパケットのIPアドレスやポート番号だけでなくペイロード部(データ部分)をチェックすることで、Webアプリケーションに対する攻撃を検知し、攻撃と判断した通信をブロックするファイアウォールです。

ファイアウォール

DMZに配置する。

DMZ

非武装地帯とは、コンピュータネットワークにおいて、外部ネットワークと内部ネットワークの中間に設けられるネットワーク。

RADIUSサーバ

登録利用者の認証情報を管理し、認証を実行する機器にRADIUSという通信規約（プロトコル）に基づいて機能を提供するサーバ。大規模なネットワークで利用。

リバースプロキシ

リバースプロキシは、クライアントとWebサーバの間のWebサーバ側に位置し、Webサーバを代理する形でクライアントからのリクエストを受け取り、そのリクエストをWebサーバに受け渡す仕組みです。

フォワードプロキシ

単にプロキシともいいます。クライアントとWebサーバの間のクライアント側に位置し、クライアントの要求を受け取り、クライアントに代わってWebサーバにアクセスする仕組みです。

TPM

TPM(Trusted Platform Module)は、PCのマザーボード上に直付けされるセキュリティチップで、暗号化と復号、鍵ペアの生成と管理、ハッシュ値の計算、乱数生成、デジタル署名の生成・検証などの機能を有します。

UTM

UTM(Unified Threat Management，統合脅威管理)は、ファイアウォールや侵入検知，アンチマルウェアなど、複数のセキュリティ機能を統合したネットワーク監視装置。

ネットワークプロトコル系

SNMP

SNMP(Simple Network Management Protocol)は、サーバやネットワーク機器のMIB(Management Information Base)情報を分析し，中間者攻撃を遮断する。TCP/IPでネットワーク上の機器の情報を収集して、監視や制御を行うためのプロトコルです。

SSH

SSH(Secure Shell)は、公開鍵暗号や認証の技術を利用して、安全にリモートコンピュータと通信するためのプロトコルであり、SSLと同様にトランスポート層とアプリケーション層で通信を暗号化します。リモートログインやリモートファイルコピーのセキュリティを強化したツール及びプロトコル。

RADIUS

RADIUS(Remote Authentication Dial In User Service)は、認証情報と認証手続き、および利用ログの記録(アカウンティング)をネットワーク上のサーバに一元化することを目的としたシステム。ネットワーク上で利用者の認証や権限の付与、利用状況の記録などを行うための通信プロトコル。

認証鍵系

CRL

Certificate Revocation Listの略。証明書失効一覧のことで、有効期限内に失効したディジタル証明書の以下の情報が登録されている

失効したディジタル証明書
失効日時
シリアル番号
失効理由

DNSSEC

DNS Security Extensionsの略。DNSの応答の正当性を保証するための仕組み。DNSサーバが自身の秘密鍵(公開鍵)で応答レコードにディジタル署名を付加して送信することで、DNS応答の正当性を保証する。

公開鍵暗号方式

公開鍵を公開し、復号鍵は厳重に管理。複合できるのは正当な受信者のみ。

楕円曲線暗号

楕円曲線の点演算を用いた公開鍵暗号方式。ディジタル署名のアルゴリズム”ECDSA”として利用。TLSにも使用。

AES

共通鍵暗号方式。暗号化鍵と復号鍵が同一である。DESもある。

OCSP

OCSP(Online Certificate Status Protocol)は、鍵の漏えい，失効申請の状況をリアルタイムに反映するプロトコルである。OCSPクライアントは、確認対象となるディジタル証明書のシリアル番号等をOCSPレスポンダに送信し、有効性検証の結果を受け取ります。

KCipher-2

ケーサイファー・ツーと読みます。2007年に九州大学とKDDI研究所により共同開発された共通鍵暗号方式です。

SHA-256

Secure Hash Algorithm 256の略。入力データから256ビットのハッシュ値を出力するハッシュ関数です。

RSA

公開鍵暗号方式。暗号化鍵を公開し復号鍵は厳重に管理します。ディジタル署名もこの方式を利用している。桁数が大きい合成数の素因数分解が困難であることを安全性の根拠とした公開鍵暗号。

インテグリティチェック法

ディジタル署名などの認証技術を適用する。

CA

認証局。公開鍵を保管しており、リクエストにより公開鍵を提供する。

メール系

S/MIME

Secure Multipurpose Internet Mail ExtensionsはMIMEを拡張した電子メールの「認証」「改ざん検出」「暗号化」などディジタル署名に関する標準。ハイブリッド暗号方式を採用。
また、PGPとの違いは、既になんらかの方法で本人確認ができていて、公開鍵は信用できるものとして正当性を証明します。

SPF

SPF(Sender Policy Framework)は、受信した電子メールが正当な送信者から送信されたものであることを保証する、送信ドメイン認証技術。ユーザはまず、送信側ドメインのDNSサーバのSPFレコード(またはTXTレコード)に正当なメールサーバのIPアドレスやホスト名を登録公開する。受信側はDNSサーバにSPF情報を取得。それをもとに正当な送信元かを検証。似た機能として、デジタル証明を用いるDKIM(DomainKeys Identified Mail)がある。

IMAP4

IMAP(Internet Message Access Protocol Version 4)は、電子メールの受信に使われるプロトコルで。POP(Post Office Protocol)と異なりメールサーバ内のメールを選択して受信することができます。

POP3

Post Office Protocol Version 3の略。電子メールで使われるプロトコルの一つで、ユーザがメールサーバから自身のメールをとりだす処理において使用されます。

IMAPS

IMAPS（IMAP over SSL/TLS）とは、安全に電子メールを受信する際に使用するプロトコル。メール本文まで暗号化する。

MIME

Multipurpose Internet Mail Extensionの略。ASCII文字しか使用できないSMTPを利用したメールで、日本語の2バイトコードや画像データを送信するための仕組みです。

SMTP

Simple Mail Transfer Protocolの略。インターネット環境において、クライアントからサーバにメールを送信したり、サーバ間でメールを転送するのに用いられるプロトコルです。

SMTP Submission

SMTP Submissionは、ユーザ(メールソフト)からのメール送信を専門に受け付けるサブミッションポート(587/TCP)を用意し、SMTP-AUTH認証を経たユーザからのメールだけを送信する仕組みです。メール受信用途ではなく、OP25Bの影響を受けずに外部のメールサーバを使用したメール送信を可能にする仕組み。

SMTP over SSL(TLS)

サーバは認証局のディジタル証明書をもち，クライアントから送信された認証局の署名付きクライアント証明書の妥当性を確認する。

MAC

Message Authentication Code(メッセージ認証符号)は、通信データとシークレットデータからハッシュ関数や共通鍵暗号を用いて生成される固定長データで、メッセージ改ざんの検知に使用される。

今回の記事は以上です。セキュリティ用語に関しては随時更新していきます。応用情報の用語まとめに関しては他にも記載しているので、是非参考にしてみてください。