脆弱性の分類と脆弱性の原因 | 水無月ばけらのえび日記

「Dreamweaver プロフェッショナル・スタイル (cssnite.jp)」という本が出ることになっておりまして、末尾の方には Dreamweaver とあんまり関係ない脆弱性関連の話が出てくるわけですが、脆弱性関係の文章を書いていていつも思うことがあります。 それは、脆弱性の分類がメチャクチャだということです。良く耳にする脆弱性の名前というものがあると思いますが (「クロスサイトスクリプティング」など)、それは「原因となった欠陥」だったり「攻撃手法」だったり「結果として起きたこと」だったりしていて、全くもって MECE な分類になっていないのです。 ※MECE = Mutually Exclusive collectively Exhaustive で、「もれなく、重複無く」という程度の意味。 たとえば ACCS事件を見てみると、こんな感じになります。 原因 : CGI はパラメー

[nnn3]

脆弱性を「原因」「手法」「結果」に分けて考えると分かりやすい