Registered Information Security Specialist Vocabulary Drill

情報処理安全確保支援士 用語ドリル

IPAの国家試験「情報処理安全確保支援士（SC）」の頻出用語をフラッシュ暗記で。攻撃手法・暗号/認証/防御技術・マネジメント/法規/標準の3分野150語。

3
FIELDS
150
TERMS
12s
PER Q
20s
PER CYCLE

分野を選ぶ

Attacks 50
50 words
Web攻撃・パスワード攻撃・DNS/NW攻撃・マルウェア・標的型/BEC・AIへの攻撃（プロンプトインジェクション等）の50語。
Defense 50
50 words
暗号・ハッシュ・PKI・メール認証（SPF/DKIM/DMARC）・認証連携（SAML/OIDC）・検知（EDR/SIEM）・クラウド防御の50語。
Management 50
50 words
ISMS・リスク対応・インシデント対応・脆弱性管理（CVSS/SBOM）・セキュリティ関連法規・標準とガイドラインの50語。

収録語の一覧（全150語から抜粋）

情報処理安全確保支援士 用語ドリルに収録している語を分野別に掲載します。ドリルでは以下の語を4択形式で出題し、正解後に意味・ポイントを表示します。

攻撃手法・脆弱性（全50語）

Web攻撃・パスワード攻撃・DNS/NW攻撃・マルウェア・標的型/BEC・AIへの攻撃（プロンプトインジェクション等）の50語。　※ 収録50語のうち20語を抜粋して掲載しています。

QUESTION意味ポイント
ドライブバイダウンロードDrive-by Download攻撃Webページを閲覧しただけで不正プログラムを自動的に送り込む手口改ざんサイト閲覧時にブラウザやプラグインの脆弱性を突く。利用者のクリック操作は不要。
水飲み場攻撃Watering Hole Attack標的型標的組織の利用者がよく訪れるサイトを改ざんして訪問を待ち伏せる攻撃特定組織のIPアドレスからのアクセス時だけ感染させ、発覚を遅らせる例がある。
クレデンシャルスタッフィングCredential Stuffing認証他サイトから流出したIDとパスワードの組をそのまま流用してログインを試す攻撃原因はパスワードの使い回し。多要素認証や使い回し禁止の周知が対策。
パスワードスプレーPassword Spraying認証よく使われる少数のパスワード候補を多数のアカウントに少しずつ試す攻撃1アカウント当たりの試行回数を抑え、アカウントロックアウトを回避するのが特徴。
リバースブルートフォースReverse Brute Force Attack認証パスワードを1つに固定し利用者IDを次々に変えてログインを試す攻撃ID単位の試行回数制限が効きにくい。送信元単位の監視も組み合わせる。
辞書攻撃Dictionary Attack認証辞書の単語や人名など意味のある語を候補にして秘密の文字列を推測する攻撃推測されにくい長いパスフレーズの採用や試行回数制限で対抗する。
レインボーテーブル攻撃Rainbow Table Attack認証事前に計算した平文とハッシュ値の対応表を使い元のパスワードを割り出す攻撃パスワードごとに異なるソルトを付与すると対応表が使えなくなる。
セッション固定化Session FixationWeb攻撃者が用意したセッションIDを利用者に使わせログイン後にその状態を乗っ取る攻撃対策はログイン成功時にセッションIDを新しく発行し直すこと。
クリックジャッキングClickjackingWeb透明にした標的ページを罠ページに重ね利用者に意図しないクリックをさせる攻撃X-Frame-OptionsやCSPのframe-ancestorsでフレーム内表示を制限して防ぐ。
クロスサイトスクリプティングCross-Site ScriptingWeb脆弱なページを経由して利用者のブラウザ上で不正なスクリプトを実行させる攻撃出力時のエスケープ処理が根本対策。Cookie窃取にはHttpOnly属性も有効。
CSRFCross-Site Request ForgeryWebログイン中の利用者に罠ページから意図しない処理要求を送信させる攻撃推測困難なトークンの照合やCookieのSameSite属性で防ぐ。
SQLインジェクションSQL InjectionWeb入力値にデータベースへの命令文を紛れ込ませ不正にデータを参照・改ざんする攻撃根本対策はプレースホルダ（バインド機構）による命令文の組立て。
OSコマンドインジェクションOS Command InjectionWeb入力値を通じてWebサーバ上で任意のシェルコマンドを実行させる攻撃シェルを起動できる関数の利用を避けることが根本対策。
SSRFServer-Side Request ForgeryWeb公開サーバに細工したURLを処理させ内部ネットワークなどへ不正な通信を発生させる攻撃クラウドのメタデータサービスから認証情報を盗む手口が有名。
XXEXML External EntityWebXML文書の外部実体参照を悪用しサーバ内部のファイルを読み出させる攻撃対策はXMLパーサで外部実体の解決を無効化すること。
ディレクトリトラバーサルDirectory TraversalWebファイル名の指定に上位階層を指す記号を含め公開対象外のファイルにアクセスする攻撃「..」を含む入力の拒否や、ファイル名を直接受け取らない設計で防ぐ。
HTTPヘッダインジェクションHTTP Header InjectionWeb改行コードを含む入力値によってWebサーバの応答に任意の項目を追加させる攻撃不正なSet-Cookieの挿入や偽ページ表示に悪用される。改行コードの除去が対策。
DNSキャッシュポイズニングDNS Cache PoisoningNWキャッシュDNSサーバに偽の名前解決結果を記憶させ利用者を偽サイトへ導く攻撃対策はDNSSECの導入や問合せ時の送信元ポート番号のランダム化。
DNSリフレクション攻撃DNS Reflection AttackNW送信元を標的に偽った小さな問合せで大きな応答を標的へ集中させるサービス妨害外部から再帰問合せを受け付けるオープンリゾルバが悪用される。
SYNフラッド攻撃SYN FloodNWTCPの接続開始要求だけを大量に送り未完了の接続でサーバ資源を枯渇させる攻撃3ウェイハンドシェイクを完了させない。SYN Cookieが対策。

暗号・認証・防御技術（全50語）

暗号・ハッシュ・PKI・メール認証（SPF/DKIM/DMARC）・認証連携（SAML/OIDC）・検知（EDR/SIEM）・クラウド防御の50語。　※ 収録50語のうち20語を抜粋して掲載しています。

QUESTION意味ポイント
DNSSECDNS Security ExtensionsNWDNSの応答に電子署名を付け受信側が改ざんの有無を検証できるようにする拡張キャッシュポイズニング対策。通信の暗号化（機密性）は提供しない。
SPFSender Policy Frameworkメール送信ドメインが許可するメールサーバのIPアドレスをDNSで公開し受信側が照合する仕組みエンベロープFrom（MAIL FROM）のドメインで検証する。
DKIMDomainKeys Identified Mailメール送信側がメールに付けた電子署名で送信ドメインの正当性と改ざんの有無を確かめる仕組み検証用の公開鍵は送信ドメインのDNSに公開する。転送に強い。
DMARCDomain-based Message Authentication, Reporting and Conformanceメール送信ドメイン認証に失敗したメールの扱いを送信側が宣言し集計レポートを受け取れる仕組みヘッダFromとの整合（アライメント）を確認する。ポリシーはnone・quarantine・reject。
OCSPOnline Certificate Status ProtocolPKI証明書が失効していないかをその都度レスポンダへ問い合わせて確認するプロトコル一覧を丸ごと取得する方式より最新の状態を得やすい。
CRLCertificate Revocation ListPKI認証局が公開する有効期限内に失効させた証明書の一覧失効した証明書のシリアル番号と失効日時が掲載される。
OCSPステープリングOCSP StaplingPKIWebサーバが事前に取得した失効確認の応答をTLSハンドシェイク時にクライアントへ提示する方式クライアントが認証局へ直接問い合わせずに済み、負荷とプライバシー面で有利。
HSTSHTTP Strict Transport SecurityWeb以後一定期間そのサイトへはHTTPSでのみ接続するようブラウザに指示する応答ヘッダSSLストリッピング攻撃への対策。初回接続はプリロードリストで補う。
CSPContent Security PolicyWebページ内で読み込みや実行を許可するスクリプトなどの取得元を指定する応答ヘッダXSSの被害を軽減する。frame-ancestorsでクリックジャッキング対策も可能。
SameSite属性SameSite Cookie AttributeWeb他サイトを起点とするリクエストにCookieを付けて送るかどうかを制御する設定値はStrict・Lax・None。CSRF対策として有効。
WAFWeb Application Firewall防御Webアプリケーションとの間の通信内容を検査し攻撃パターンを含む要求を遮断する装置アプリの脆弱性を直ちに修正できない場合の緩和策として使われる。
IDSIntrusion Detection System防御ネットワークやホストを監視し不正な侵入の兆候を検知して管理者に通知する仕組みシグネチャ型とアノマリ型がある。検知のみで遮断はしない。
IPSIntrusion Prevention System防御通信経路上に置かれ不正な通信を検知するとその場で遮断まで行う仕組みインライン配置のため、誤検知で正常な通信を止めるリスクがある。
EDREndpoint Detection and Response検知PCやサーバ上の挙動を記録・監視し侵害の検知や端末隔離などの対処を支援する製品侵入されることを前提とした対策。従来型のウイルス対策ソフトを補う。
XDRExtended Detection and Response検知端末・ネットワーク・クラウド・メールなど複数領域の情報を横断的に分析して脅威に対処する仕組みEDRの対象範囲を広げた考え方。
SIEMSecurity Information and Event Management検知各種機器のログを一元的に収集し相関分析してセキュリティ上の異常を検知する仕組みファイアウォール、プロキシ、サーバ等のログを突き合わせて攻撃の兆候を見つける。
SOARSecurity Orchestration, Automation and Response検知定型的なインシデント対応の手順をプレイブックとして自動化し複数製品を連携させる仕組みSOCの運用負荷を減らし、初動対応を迅速化する。
サンドボックスSandbox検知隔離された仮想環境で検体を実際に動かしその振る舞いから悪性かどうかを判定する仕組み未知のマルウェア検知に有効だが、仮想環境を検知して動作を止める検体もある。
ハニーポットHoneypot検知攻撃者をおびき寄せ手口を観察・記録するためにわざと用意するおとりのシステム外部への踏み台にされないよう厳重に管理する必要がある。
ソルトSalt暗号パスワードを一方向変換する前に利用者ごとに付け加えるランダムなデータ同じパスワードでも保存値が異なるようになり、レインボーテーブルが通用しなくなる。

マネジメント・法規・標準（全50語）

ISMS・リスク対応・インシデント対応・脆弱性管理（CVSS/SBOM）・セキュリティ関連法規・標準とガイドラインの50語。　※ 収録50語のうち20語を抜粋して掲載しています。

QUESTION意味ポイント
ISMSInformation Security Management System管理組織が情報セキュリティのリスクを継続的に管理・改善するための枠組みPDCAサイクルで運用する。第三者による適合性評価（認証）制度がある。
JIS Q 27001ISO/IEC 27001標準ISMSを確立・実施・維持・継続的に改善するための要求事項を定めた規格ISMS認証審査の基準。附属書Aに管理策の一覧がある。
JIS Q 27002ISO/IEC 27002標準情報セキュリティ管理策を選んで実践するための手引を示した規格2022年版で管理策は組織的・人的・物理的・技術的の4分類に再編された。
リスク移転Risk Transferリスク保険への加入や業務の外部委託によってリスクを他者と分担する対応サイバー保険への加入が典型例。責任までは移転できない点に注意。
リスク回避Risk Avoidanceリスクリスクの原因となる業務や活動そのものをやめる対応例：個人情報の取扱いをやめる、危険なサービスの提供を中止する。
リスク低減Risk Reductionリスク対策を講じて発生可能性や影響の大きさを小さくする対応暗号化やアクセス制御の導入など、管理策の多くが該当する。
リスク保有Risk Retentionリスク影響が小さいなどの理由で特別な対策をとらずに受け入れる対応受け入れる判断はリスク所有者が承認する。
リスクアセスメントRisk Assessmentリスクリスクの特定・分析・評価を行う一連のプロセスJIS Q 31000の用語。評価の結果をもとにリスク対応を選ぶ。
残留リスクResidual Riskリスクリスク対応を実施した後もなお残っているリスクリスク所有者による残留リスクの受容が必要。
BCPBusiness Continuity Plan管理災害や大規模障害が起きても重要業務を継続または早期に再開するための計画目標復旧時間などを定め、定期的な訓練で実効性を確かめる。
RTORecovery Time Objective管理停止した業務やシステムを再開させるまでに許容される目標時間短いほど高額な冗長化が必要になる。
RPORecovery Point Objective管理障害発生時にどの時点までのデータを取り戻すかを示す目標バックアップの取得間隔を決める根拠になる。
CSIRTComputer Security Incident Response Team体制組織内でセキュリティ事故の報告受付と対応の調整を担う専門チーム社内外の窓口（PoC）として、他組織のチームとも連携する。
PSIRTProduct Security Incident Response Team体制自社が提供する製品の脆弱性情報を受け付け修正と公表を担う組織CSIRTが自組織の情報システムを守るのに対し、製品を対象とする。
SOCSecurity Operation Center体制機器やログを常時監視して攻撃の兆候を分析し通知する拠点24時間365日の監視を外部に委託する例も多い。
インシデントハンドリングIncident Handling対応検知と受付から封じ込め・根絶・復旧へと進める事故対応の一連の活動まず被害拡大を防ぐ封じ込めを優先し、証拠保全にも配慮する。
トリアージTriage対応受け付けた事象の緊急度や影響度から対応の優先順位を決めること限られた人員で重要な事案から対応するために行う。
デジタルフォレンジックスDigital Forensics対応電子的な記録を保全・解析し法的にも通用する証拠として事実を明らかにする手法複製したデータのハッシュ値を記録し、原本との同一性を証明する。
CVSSCommon Vulnerability Scoring System評価脆弱性の深刻度を製品ベンダに依存せず0.0から10.0の数値で示す評価基準v3.1は基本・現状・環境の3つの評価基準で構成される。
CVECommon Vulnerabilities and Exposures評価個々の脆弱性を一意に識別するために割り当てられる識別番号の体系米国MITRE社が中心となって採番を管理する。

上記は収録内容の抜粋です。全150語はドリルを開始すると順に出題されます。

このドリルの位置付け

情報処理安全確保支援士（SC）は、IPAが実施するサイバーセキュリティの国家試験です。2026年度の試験は、科目A-1（50分・四肢択一30問）、科目A-2（40分・四肢択一25問）、科目B（150分・記述式4問中2問解答）の構成で、前期・後期ともCBTで実施されます。各科目100点満点で基準点は60点、科目A-1・A-2が基準点に届かないと科目Bは採点されません。

科目A-2と科目Bの記述は、どちらも用語を正確に区別できることが前提です。SPF・DKIM・DMARCの役割の違い、CSRFとSSRFの違い、リスク移転とリスク保有の違いが曖昧なままだと、四肢択一でも記述でも手が止まります。このドリルは、その「区別」を12秒で即答できる状態にするための道具です。

使い方の3ステップ

2027年度から試験が変わります

IPAの公表では、新しい支援士試験は2027年度の夏頃から秋頃に始まり、科目A-1 45分・A-2 35分・B 120分（B は12問）に変わる予定です。出題範囲は大きくは変わらず、科目Bはマネジメント分野が強化されます。用語の暗記はどちらの制度でも土台になります。

分野別の覚え方

攻撃手法・脆弱性

名前が似ている攻撃は、「誰に何をさせる攻撃か」で区別します。CSRFは利用者のブラウザに意図しないリクエストを送らせる攻撃、SSRFはサーバに内部向けのリクエストを送らせる攻撃です。パスワードスプレーとリバースブルートフォース、DNSキャッシュポイズニングとDNSリフレクション攻撃も同じように、対で並べると4択で迷いにくくなります。

暗号・認証・防御技術

メール認証（SPF・DKIM・DMARC）、証明書の失効確認（CRL・OCSP・OCSPステープリング）、認証連携（SAML・OAuth 2.0・OpenID Connect）は、3つ組で何を確認する仕組みかを言えるようにしておくと、記述問題でも使える知識になります。

マネジメント・法規・標準

リスク対応の4分類（回避・低減・移転・保有）、RTOとRPO、CVE・CWE・CVSSの違いは毎回のように問われる定番です。法規は、2025年4月にプロバイダ責任制限法から改称された情報流通プラットフォーム対処法のように、名称が変わったものに注意してください。

つまずきやすいポイント

用語の土台ができたら、次は過去問演習と記述対策の段階です。

PR｜本セクションにはアフィリエイトリンクを含みます
講座・模試｜Udemy
Udemyで情報処理安全確保支援士の対策講座を探す

科目Bの記述は、問題文の状況から攻撃や対策を特定して説明する力が問われます。用語を覚えたあとに動画講座で解き方の型を学ぶと、過去問演習の効率が上がります。Udemyは年に何度もセールを開催しており、セール中は多くの講座が数千円台になります。

Udemyで講座を見る →

関連リンク