用語集

以下の用語は、Contrastのユーザ向けに定義されています。他のトピックでこれらの用語にカーソルを合わせると、文脈に沿った定義が表示されます。

Contrast Hub: Contrast Hubは、オンプレミス版をご利用のお客様がContrastのインストーラとライセンスファイルをダウンロードしたり、エージェントの更新を確認できる場所です。
Contrastコマンドラインインターフェイス (Contrast CLI): Contrast CLIは、テキストベースのユーザインターフェイスです。開発環境で実行することで、ビルドやデプロイを行う前に早い段階で、オープンソースライブラリのソフトウェアコンポジション解析(SCA)を可視化できます。CLIによる結果は、テキストベースのレスポンスで確認することができ、Contrast UIでは依存関係ツリーとしても表示されます。
Contrastサービス: ContrastサービスはGoで書かれたプログラムで、Contrast WebインターフェイスとNode.js、Ruby、Pythonエージェントを接続します。
IP拒否リスト: IP拒否リストとは、そのリストにあるIPアドレスからのHTTPリクエストをブロックするルールです。
LDAP (Lightweight Directory Access Protocol): LDAPは、ディレクトリサービスに接続・管理するためのクライアントサーバプロトコルの一つです。Contrastのオンプレミス版では、LDAPを使用してユーザやログインを管理できます。
OWASP (Open Web Application Security Project): Open Web Application Security Project®は、セキュリティプロジェクトの共有や会員教育をサポートするオープンプラットフォームによって、ソフトウェアのセキュリティを向上するための非営利団体です。OWASP Top 10には、Webアプリケーションにおける最も重大なセキュリティ上の欠陥がリストアップされています。
SAML (Security Assertion Markup Language): SAMLは、シングルサインオン認証など、オンラインパートナー間で認証情報を作成・交換するために使用されるXMLベースの標準規格です。
SIEM (Security Incident Event Management): SIEMシステムは、他のシステムからセキュリティイベントや関連データを収集して分析し、脅威の検知やコンプライアンス、セキュリティインシデントの管理をサポートします。Contrastは、いくつかの代表的なSIEMシステムと連携できます。
SQLインジェクション (SQLi): SQLインジェクションは、クライアントからのユーザ入力データ内にSQLクエリを挿入(「インジェクション」)して、アプリケーションに取り込ませる攻撃です。この攻撃の目的は、データベースのデータの読み取りや変更、データベースへのコマンドの送信です(例)。
WAF (Web Application Firewall): WAFは、Webトラフィックを検査・フィルタリングし、一般的な攻撃からアプリケーションを防御するためのものです。
Webhook: 指定したイベントが発生するたびに、あるアプリケーションから別のアプリケーションに対してHTTP経由でリアルタイムに情報を送信するための仕組みのこと。
false positive: A vulnerability that is falsely reported.
アカウント乗っ取り (ATO): アカウント乗っ取りは、ログイン認証情報を盗んだり、Webアプリケーションの認証に侵入したりする攻撃の結果です。
アプリケーション: アプリケーションは、Contrastエージェントによって検査されるカスタマーコードの論理的なグループです。
アメリカ国立標準技術研究所 (NIST): NISTは、サイバーセキュリティを含む複数の分野で、計測学、標準規格、産業技術を進歩させることにより、米国の技術革新と産業競争力を促進するための政府機関です。
インストゥルメント(instrument): ランタイムにデータを観測・報告するソフトウェアエージェントがアプリケーションをモニタリングすることです。Contrastでは、アプリケーションにContrastエージェントを組み込むことを意味します。Contrastエージェントは、疎通されたルートに基づいてアプリケーションの脆弱性データを送信します。
インタラクティブアプリケーションセキュリティテスト (IAST): 実行中のアプリケーション内のデータフローを分析し、セキュリティ上の脆弱性の可能性を検出・報告するセキュリティ技術。
エージェント: エージェントとは、Webアプリケーションにインストールされる言語固有のコードで、セキュリティデータを収集・解析し、必要に応じて検出結果をContrastに報告します。
クレデンシャルスタッフィング: クレデンシャルスタッフィングはブルートフォース攻撃の一種で、漏洩したユーザ名とパスワードの組み合わせを自動的に実行してユーザアカウントにアクセスします。
クロスサイトスクリプティング (XSS): クロスサイトスクリプティングとは、ユーザ入力によって悪意のあるスクリプトがWebアプリケーションに注入されて、検証やエンコードを行わずにその出力が生成された場合に発生する攻撃です。
コマンドインジェクション: コマンドインジェクション攻撃は、脆弱なアプリケーションを介してホストのオペレーティングシステムを標的とするものです。この攻撃は、ユーザがフォーム、Cookie、HTTPヘッダ、またはアプリケーションのその他の部分から安全でないデータをシステムシェルに渡すことで発生します。
シンク: シンクとは、データフローの解析でデータが終着する場所です。シンクは、データが書き込まれる外部フォーマットや出力先のことです。
シングルサインオン (SSO): シングルサインオンは、ユーザが1セットの資格情報だけで複数のシステムにアクセスできるユーザ識別・認証サービスです。
スコア: Contrastでは、アプリケーションやライブラリの現在のセキュリティの状況を反映したライブラリのスコアとアプリケーションのスコアが提供されます。
スタックトレース: スタックトレースは、問題の発生となった一連のイベントを一覧表示するものです。Contrastでは、スタックトレースにはセキュリティの脆弱性に至るまでのイベントが表示されます。
ソース: ソースとは、データフローの解析でデータが発生する場所です。ソースは、システムに入力されるあらゆる入力データやリクエストのことです。
ソフトウェア開発ライフサイクル (SDLC): 企画がソフトウェアの生産に至るまでの一連の工程のこと。
パストラバーサル: パストラバーサルは、Webのルートフォルダ外に保存されている重要なシステムファイルやディレクトリにアクセスしようとする攻撃です。この攻撃では、絶対ファイルパスや「ドット-ドット-スラッシュ」(../)の並びでファイルを参照する変数が使用されます。
フローマップ: フローマップは、Contrastエージェントが組み込まれているアプリケーションを可視化したもので、そのアプリケーションが使用しているすべてのバックエンドシステムと、接続されているその他のアプリケーションを表します。これにより、脆弱なアプリケーションに影響を与えるその他の要素を分析し、リスクを評価できます。
ブルートフォース攻撃: ブルートフォース攻撃は、最終的に正しく推測することを目的として、多くのパスワードやパスフレーズを体系的に送信することです。
プロファイラチェーン: プロファイラチェーンは、パフォーマンスツールやAPMツールなどの他の.NETプロファイラエージェントと一緒に.NET Frameworkエージェントまたは.NET Coreエージェントを実行する方法です。
ポリシー: ポリシーとは、特定のアプリケーションやライブラリについて、指定の条件が満たされたときにセキュリティ違反やステータス変更、通知をトリガーする一連のルールのことです。ポリシーにより、アプリケーションやチーム全体でより一貫したセキュリティ基準が保証されます。
ライブラリ: ライブラリとは、アプリケーションに含まれるパッケージ化されたコードのことです。ライブラリには、公開と内製のものがあります。
ランタイムアプリケーションセルフプロテクション (RASP): Contrastは、RASPの手法を用いて攻撃を監視し、本番環境のアプリケーションを積極的に防御します。
ルール: ルールとは、脆弱性イベントや攻撃イベントを特定するために使用されるセキュリティ制御です。ルールが一致すると、影響を受けるアプリケーションの脆弱性イベントや攻撃イベントをエージェントがContrastサーバに送信します。
依存関係かく乱: 依存関係かく乱は、「置換攻撃(substitution attack)」とも呼ばれ、攻撃者が組織の内部リポジトリに脆弱なコードや悪意のあるコードを入れ込むために、組織の内部ライブラリと同じ名前を公開パッケージのインデックスに登録することで発生します。
環境: Contrastでは、アプリケーションの環境として「開発」、「テスト(QA」、「本番」の3つの環境のいずれかを設定できます。
環境変数: 環境変数は、実行時にソフトウェアに渡すことができる値で、通常はキーと値のペアであり、アプリケーションの外部で定義します。Contrastでは、環境変数はアプリケーションを検査するエージェントを設定するために使用されます。これらの変数によって、利用したいフレームワーク内でアプリケーションが予想どおりに動作し、Contrastで表示したいメタデータが報告されるようになります。
機密データのマスキング: この機能は、ContrastログやContrastエージェントから送信されるその他のデータに含まれる機密データを、アプリケーションでのデータ処理に影響を与えることなくデータにマスクをかけます。
許可リスト: IP許可リストは、そのリストにあるIPアドレスからのHTTPリクエストを許可するルールです。
共通言語ランタイム (CLR): 共通言語ランタイム(CLR)は、.NET Frameworkのプログラムを実行するための動作環境です。
共通脆弱性識別子 (CVE): 共通脆弱性識別子(CVE)は一般的に公開されている情報セキュリティの脆弱性のリストで、脆弱性の種類を特定し追跡するために国際的に使用されています。
継続的インテグレーション/継続的デリバリ (CI/CD): ビルド、テスト、デプロイにおいて継続的な繰返しと自動化を促進するアジャイルの実践を指します。
攻撃: 攻撃は、一定の時間内に発生する1つまたは複数の攻撃イベントで構成されます。
攻撃イベント: 攻撃イベントとは、Contrastエージェントが組み込まれたアプリケーションにおいて、Protectルールへの違反やその他の疑わしいアプリケーションアクティビティのことです。イベントは、HTTPリクエストやSQLクエリなどの単一の攻撃ベクトルに該当します。複数の攻撃イベントが1つの攻撃を構成しますが、通常は同じコード領域と同じ時間枠内で発生します。
最高情報セキュリティ責任者 (CISO): 最高情報セキュリティ責任者(CISO、Chief Information Security Officer)は、組織の情報セキュリティ対策を指揮し、機密資産が十分に保護されていること、スタッフが脆弱性を管理・防止できることを保証し、実証します。
静的アプリケーションセキュリティテスト (SAST): アプリケーションをインストールや実行せずに、アプリケーションに潜在する脆弱性を検出する手法。