HOME > 寺嶋芳延のエントリー > 脆弱性の名前は何故カッコいいのか？

寺嶋的Web進化論

ペーパーデジカメプロトタイピング

脆弱性の名前は何故カッコいいのか？

---

2006年04月19日 16:33

• 
• 
• 

現在新規システム構築にあたって、一通りセキュリティ要件をチェックしているところですが、脆弱性・攻撃手法について気づいたことがあります。攻撃手口にはなぜか「クロスサイトスクリプティング（Cross Site Scripting,XSS）」とか「SQLインジェクション（SQL Injection）」とか、かっこいい名前がついていてしかも大抵英語表記なども併記してあります。誰かが名前を管理しているのでしょうか？

調べてみるとセキュリティ業界では脆弱性名やウィルス名に関して脈々と深い議論がなされているようです。
米国のMITRE(http://cve.mitre.org/)という組織では脆弱性に名前（ID）をつけデータベースを公開することによって標準化を図る活動をしています。名前をつけることによって社会のセキュリティの意識を高めたり混乱を低減させる取り組みが行われています。OVALなる脆弱性記述言語まで開発したらしい。

実際、セキュリティ系の書籍やウェブサイトでも共通的に用語が使われている状況を見ると、確かに混乱も低減して便利になっていると実感します。
（オントロジー技術が実用化されるのはまずはこの業界かなと思いました。）

たとえばエスキモーの国では雪を表す言葉が20種類以上あるそうですが、人間はわかりにくいものに名前をつけることによって識別し、理解します。逆に言うと名前（言葉）を多く持っている事が物事を深く理解していることになります。ウイルス名や脆弱性名に限らず識別、命名、標準化というプロセスは日常生活の中でも大事なことだと思います。

ちなみに上記の「クロスサイトスクリプティング」という言葉はCERT/CC と Microsoft社により報告されたアドバイザリが発端のようです。
Webサイトにおけるクロスサイト スクリプティング脆弱性に関する情報
http://www.ipa.go.jp/security/ciadr/20011023css.html

（ご参考）シマンテックのウイルス名の命名規則
http://www.symantec.com/region/jp/sarcj/vnameinfo.html

Warning: include(../bookmarks/terashima.php) [function.include]: failed to open stream: No such file or directory in /home/webadmin/company/blog.ideamans.com/html/terashima/post_67.php on line 5447

Warning: include() [function.include]: Failed opening '../bookmarks/terashima.php' for inclusion (include_path='.:/usr/share/pear:/usr/share/php') in /home/webadmin/company/blog.ideamans.com/html/terashima/post_67.php on line 5447

---

寺嶋的Web進化論

ペーパーデジカメプロトタイピング

コメント一覧

トラックバックURL

トラックバックURL

このページへコメントする

お名前 メールアドレス ※メールアドレスは公開されません URL この情報を登録しますか? コメント
※スタイル用のHTMLタグが使えます