自動化された脅威

自動化された脅威は、コンピュータネットワークやウェブアプリケーションに対するコンピュータセキュリティの脅威の一種であり、インターネットボットなどの自動化ツールを悪意を持って使用することで特徴付けられます。^[1]自動化された脅威は、実行コストをほとんどかけずに大量の反復タスクを実行できるため、インターネット上でよく見られます。^[2]

脅威オントロジー

OWASP 自動脅威ハンドブックでは、自動化された脅威を分類するための脅威オントロジーリストが提供されており、以下に列挙されています。

識別コード	名前	定義特性
OAT-020	アカウント集約	複数のアカウントをまとめる中間アプリケーションによる使用彼らに代わってやり取りする
OAT-019	アカウント作成	後々の不正使用に備えて複数のアカウントを作成する
OAT-003	広告詐欺	不正クリックやウェブ広告の不正表示
OAT-009	CAPTCHAバイパス	反自動化テストを解決する
OAT-001	カーディング	一括支払いの有効性を検証するために複数の支払い承認試行が使用される盗まれた決済カードデータ
OAT-010	カードクラッキング	盗難された支払いカードの開始日/有効期限とセキュリティコードを特定するさまざまな値を試してデータ
OAT-012	キャッシュアウト	検証済みの盗難支払いカードまたは他のユーザーカードを利用して商品を購入したり現金を入手したりするアカウントデータ
OAT-007	資格情報のクラッキング	ユーザー名やパスワードに異なる値を試して、有効なログイン認証情報を特定します。パスワード
OAT-015	サービス拒否	アプリケーションおよびデータベースサーバ、または個々のユーザーのターゲットリソースアカウントを不正アクセスしてサービス拒否（DoS）攻撃を行う
OAT-006	迅速化	通常は遅く、退屈で、時間のかかる作業の進行を早めるための行動をとるアクション
OAT-004	指紋採取	サポートしているソフトウェアとフレームワークの種類に関する情報を引き出し、バージョン
OAT-018	フットプリンティング	アプリケーションをプローブして探索し、その構成要素と特性を特定する
OAT-005	スキャルピング	不正な方法で、在庫が限られている商品や優先商品・サービスを入手する
OAT-011	削り取る	他の用途で使用するためにアプリケーションのコンテンツやその他のデータを収集する
OAT-016	傾斜	何らかの変更を意図したリンクの繰り返しクリック、ページリクエスト、またはフォームの送信メトリック
OAT-013	狙撃	商品やサービスに対する直前の入札またはオファー
OAT-017	スパム	公共の場またはウェブサイトに掲載される悪意のある、または疑わしい情報の追加プライベートコンテンツ、データベース、またはユーザーメッセージ
OAT-002	トークンクラッキング	クーポン番号、バウチャーコード、割引トークンなどの大量列挙。
OAT-014	脆弱性スキャン	弱点や潜在的な脆弱性を特定するためのクロールとファジングのアプリケーション

参考文献

^ Watson, Colin (2015年10月26日). 「OWASP Automated Threat Handbook」（PDF） . OWASP . OWASP . 2016年9月10日閲覧。
^ 「セキュリティインサイト：自動化された脅威からの防御 | SecurityWeek.Com」www.securityweek.com . 2016年9月18日閲覧。

[1] Watson, Colin (2015年10月26日). 「OWASP Automated Threat Handbook」（PDF） . OWASP . OWASP . 2016年9月10日閲覧。

[2] 「セキュリティインサイト：自動化された脅威からの防御 | SecurityWeek.Com」www.securityweek.com . 2016年9月18日閲覧。