オントロジー
序説
OWASP Automated Threat Handbook で詳細に定義されている自動化された脅威イベントと概要説明の A-Z リストは以下のとおりです。
他の辞書、分類法、リストとの比較
CAPEC はソフトウェアに対する既知の攻撃の辞書およびクラス分類法です。その主なクラス構造は以下のとおりです。
攻撃のメカニズム (1000) - 情報収集 (118), リソース枯渇 (119), インジェクション (152), 詐欺的やり取り (156), タイミングと状態の操作 (172), 機能の悪用 (210), 確率的技法 (223), 認証の悪用 (225), 認可の悪用 (232), データ構造の操作 (255), リソース操作 (262), ターゲット分析 (281), 物理アクセスの取得 (436), 悪意のあるコード実行 (525), システムコンポーネントの改変 (526), システムユーザーの操作 (527)
WASC 脅威分類はウェブサイト、そのデータ、そのユーザーの侵害につながる可能性のある脆弱性や攻撃を分類しています。
WHID は以下を使用して公に知られているインシデントを分類しています。
攻撃手法 例: ARP スプーフィング, 機能の悪用, アカウント侵害, 管理エラー, 自動化, バックドア, バンキングトロイの木馬, ブルートフォース, クリックジャッキング, コードインジェクション, コンテンツインジェクション, コンテンツスプーフィング, クレデンシャル/セッション予測, クロスサイトリクエストフォージェリ (CSRF), クロスサイトスクリプティング (XSS), サービス拒否, ディレクトリトラバーサル, ドメインハイジャック, DNS ハイジャック, 強制ブラウジング, HTTP レスポンス分割, 隠しパラメータ操作, 悪意のあるコードのホスティング, 情報漏洩, 不十分な認証, 既知の脆弱性, ローカルファイルインクルージョン (LFI), マルバタイジング, マルウェア, マルウェアインジェクション, 大量割り当て, 設定ミス, OS コマンド実行, パラメータ操作, パストラバーサル, フィッシング, 予測可能なリソースの場所, プロセス自動化, リダイレクト, リモートファイルインクルージョン (RFI), 不正なサードパーティアプリ, スケーピング, 検索エンジンポイズニング, シェルインジェクション, ソーシャルエンジニアリング, 盗まれたクレデンシャル, SQL インジェクション, 意図しない情報流出, 脆弱なパスワード回復検証, ワーム
脆弱性 例: 機能の悪用, アプリケーションの設定ミス, ディレクトリインデクシング, 不適切なファイルシステムパーミッション, 不適切な入力処理, 不適切な出力処理, 情報漏洩, セキュアではないインデクシング, 不十分な自動化防御, 不十分な認証, 不十分な認可, 不十分なエントロピー, 不十分なパスワード回復, 不十分なプロセス検証, 不十分なセッション有効期限, 不十分なトランスポート層保護, 設定ミス, 予測可能なリソースの場所, 脆弱なパスワード
結果 例: アカウントのハイジャック, アカウントの乗っ取り, ボットネットへの加担, 混乱, クレジットカードの漏洩, データ喪失, 改竄, DDoS 攻撃, DNS ハイジャック, DNS リダイレクション, 偽情報, 流出のみ, ダウンタイム, 恐喝, 詐欺, 情報戦, 情報漏洩, リンクスパム, 売り上げの損失, マルウェアのばらまき, 金銭的損失, フィッシング, マルウェアの仕込み, サービスの中断, セッションハイジャック, スパム, スパムリンク, 盗まれたクレデンシャル, ワーム プラス その他/いろいろ/不明。
Last updated
