セキュリティ IT用語 韓国語一覧

ファイルを暗号化して身代金を要求するランサムウェアへの防御策の総称。オフラインバックアップや権限最小化、エンドポイント保護の多層防御で被害を未然に防ぐ。

파일을 암호화하여 몸값을 요구하는 랜섬웨어에 대한 방어책의 총칭이다. 오프라인 백업이나 권한 최소화, 엔드포인트 보호의 다층 방어로 피해를 미연에 방지한다.

組織内部の従業員や元社員などによる情報漏洩・不正アクセスを防ぐための対策。UBAやDLPツールを活用して異常行動を検知・抑止する。

조직 내부 직원이나 전직 직원 등에 의한 정보 유출·불법 접근을 방지하기 위한 대응책. UBA나 DLP 도구를 활용하여 이상 행동을 탐지하고 억제한다.

一度デプロイしたインフラを変更せず、更新時は新しいインスタンスに置き換える運用によりセキュリティを確保するアプローチ。構成ドリフトを防止し、攻撃者によるシステム改変を検知しやすくする。

한번 배포한 인프라를 변경하지 않고 갱신 시 새로운 인스턴스로 교체하는 운용으로 보안을 확보하는 접근법. 구성 드리프트를 방지하고 공격자에 의한 시스템 변조를 탐지하기 쉽게 한다.

「信頼しない、常に検証する」を原則とするセキュリティモデルの導入。境界型防御に依存せず、社内外すべてのアクセスを継続的に認証・認可する設計思想。

'신뢰하지 않고 항상 검증한다'는 원칙의 보안 모델 도입. 경계형 방어에 의존하지 않고 사내외 모든 접근을 지속적으로 인증·인가하는 설계 사상.

秘密情報そのものを相手に開示せずに、その情報を保有していることを数学的に証明できる暗号プロトコルで、プライバシーの保護が求められる認証やブロックチェーンに応用される。

비밀 정보 자체를 상대에게 공개하지 않고 해당 정보를 보유하고 있음을 수학적으로 증명할 수 있는 암호 프로토콜로, 프라이버시 보호가 요구되는 인증이나 블록체인에 응용된다.

よく使われる単語やパスワードのリストを用いて認証を突破しようとする攻撃手法。ブルートフォース攻撃より効率的で、弱いパスワードに対して有効。

자주 사용되는 단어나 패스워드 목록을 이용해 인증을 돌파하려는 공격 기법. 브루트포스 공격보다 효율적이며, 취약한 패스워드에 대해 유효하다.

システム設計段階で潜在的なセキュリティ脅威を識別・分析し、対策を優先順位付けする手法。STRIDE等のフレームワークが広く使われる。

시스템 설계 단계에서 잠재적인 보안 위협을 식별·분석하고 대책의 우선순위를 결정하는 기법으로, STRIDE 등의 프레임워크가 널리 활용된다.

実行を許可するアプリケーションを明示的にリスト化し、それ以外の全プログラムの起動をブロックするセキュリティ制御手法。ホワイトリストとも呼ばれる。

실행을 허용할 애플리케이션을 명시적으로 목록화하고 그 외 모든 프로그램의 실행을 차단하는 보안 제어 기법으로, 화이트리스트라고도 불린다.

組織全体のセキュリティ態勢を継続的に評価・改善する管理手法。クラウド環境の設定不備や脆弱性を自動検出してリスクを可視化し、対策の優先順位付けと計画的な改善を推進する。

조직 전체의 보안 태세를 지속적으로 평가하고 개선하는 관리 기법. 클라우드 환경의 설정 미비와 취약점을 자동 검출하고 리스크를 가시화하여 대책을 강구한다.

特定の個人や組織を狙い、入念に調査した上で巧妙なメールを送りつける標的型フィッシング攻撃。一般的なフィッシングより成功率が高くAPT攻撃の初期段階で使われる。

특정 개인이나 조직을 노리고 면밀히 조사한 후 교묘한 메일을 보내는 표적형 피싱 공격이다. 일반적인 피싱보다 성공률이 높으며 APT 공격의 초기 단계에서 사용된다.

ユーザーやシステムからの入力データに対して、形式・範囲・文字種などの妥当性チェック仕様を設計すること。SQLインジェクションやXSS対策の基盤となる。

사용자나 시스템으로부터의 입력 데이터에 대해 형식·범위·문자 종류 등의 유효성 검사 사양을 설계하는 것. SQL 인젝션이나 XSS 대책의 기반이 된다.

組織やサプライヤーのセキュリティ態勢を外部から評価し、数値化したスコアで表示するサービス。取引先のリスク評価やセキュリティデューデリジェンスに活用され、継続的なモニタリングを可能にする。

조직이나 공급자의 보안 태세를 외부에서 평가하여 수치화한 스코어로 표시하는 서비스. 거래처의 리스크 평가나 보안 듀딜리전스에 활용되며, 지속적인 모니터링을 가능하게 한다.

パッチが提供されていない未知の脆弱性を悪用するゼロデイ攻撃に対する防御策のこと。仮想パッチ・振る舞い検知・ネットワーク分離などの多層防御で被害を最小限に抑える。

패치가 제공되지 않은 미지의 취약점을 악용하는 제로데이 공격에 대한 방어책을 말한다. 가상 패치·행위 탐지·네트워크 분리 등의 다층 방어로 피해를 최소한으로 억제한다.

複数のセキュリティ層を重ねて防御する戦略。一つの対策が突破されても次の層で攻撃を阻止するDefense in Depthの考え方。

여러 보안 계층을 겹쳐서 방어하는 전략. 하나의 대책이 뚫리더라도 다음 계층에서 공격을 차단하는 Defense in Depth 개념.

サイバー攻撃を偵察から目的達成まで7段階に分類したフレームワーク。各段階で攻撃を検知・遮断することで被害を最小化する防御戦略を立案できる。

사이버 공격을 정찰부터 목적 달성까지 7단계로 분류한 프레임워크이다. 각 단계에서 공격을 탐지·차단함으로써 피해를 최소화하는 방어 전략을 수립할 수 있다.

HTTP Strict Transport Securityの略。WebサーバーがブラウザにHTTPS接続のみを強制するセキュリティポリシーで、SSLストリッピング攻撃を防ぐために使用される。

HTTP Strict Transport Security의 약자. 웹 서버가 브라우저에 HTTPS 연결만을 강제하는 보안 정책으로, SSL 스트리핑 공격을 방지하기 위해 사용된다.

ダークウェブ上に自社の認証情報や機密データが流出していないかを継続的に監視するセキュリティ対策。情報漏洩の早期検知に活用される。

다크웹에 자사의 인증 정보나 기밀 데이터가 유출되지 않았는지 지속적으로 감시하는 보안 대책으로, 정보 유출의 조기 탐지에 활용된다.

DNSクエリを通じたデータの不正な外部持ち出しを検出するセキュリティ技術。通常のDNS通信に見せかけてデータを送出するC2通信やデータ窃取を、クエリパターン分析で特定する。

DNS 쿼리를 통한 데이터의 부정한 외부 반출을 검출하는 보안 기술이다. 일반 DNS 통신으로 위장하여 데이터를 송출하는 C2 통신이나 데이터 절취를 쿼리 패턴 분석으로 특정한다.

Static Application Security Testingの略。アプリケーションのソースコードやバイナリを実行せずに静的解析し、セキュリティ脆弱性を検出する手法。CI/CDパイプラインに組み込んで早期発見に活用される。

Static Application Security Testing의 약자. 애플리케이션의 소스 코드나 바이너리를 실행하지 않고 정적 분석하여 보안 취약점을 탐지하는 기법. CI/CD 파이프라인에 통합해 조기 발견에 활용된다.

ネットワークやシステムに対して悪意ある第三者が行う不正アクセス・破壊・情報窃取などの攻撃行為。DDoS、フィッシング、マルウェア感染など多様な手法が存在する。

네트워크나 시스템에 대해 악의적인 제3자가 수행하는 불법 접근·파괴·정보 탈취 등의 공격 행위. DDoS, 피싱, 멀웨어 감염 등 다양한 수법이 존재한다.

実行中のコンテナに対する不正プロセス起動やファイル改ざんなどの脅威をリアルタイムで検知・防止する技術。FalcoやSysdigなどのツールを用いた監視体制の構築が広く行われている。

실행 중인 컨테이너에 대한 불법 프로세스 기동이나 파일 변조 등의 위협을 실시간으로 검지·방지하는 기술. Falco 등의 도구가 널리 사용된다.

Webアプリケーションにおける最も重大なセキュリティリスクの上位10項目をまとめた業界標準ガイドラインで、開発チームが優先的に対処すべき脆弱性対策の指針となる。

웹 애플리케이션에서 가장 중대한 보안 리스크 상위 10개 항목을 정리한 업계 표준 가이드라인으로, 개발팀이 우선적으로 대처해야 할 취약점 대책의 지침이 된다.

APIへの不正アクセスやデータ漏洩を防ぐためのセキュリティ対策全般。認証・認可、レート制限、入力値検証などの手法でAPIエンドポイントを保護する。

API에 대한 비인가 접근 및 데이터 유출을 방지하기 위한 보안 대책 전반. 인증·인가, 요청 제한, 입력값 검증 등의 방법으로 API 엔드포인트를 보호한다.

システムやアプリケーションの初期設定を最もセキュアな状態にする設計原則。ユーザーが明示的に緩和しない限り、最小権限の適用と暗号化の有効化がデフォルトとして維持される。

시스템이나 애플리케이션의 초기 설정을 가장 보안이 강한 상태로 하는 설계 원칙. 사용자가 명시적으로 완화하지 않는 한 최소 권한·암호화 유효가 기본이 된다.

一度書き込まれたログの変更・削除を技術的に不可能にするWORM対応の仕組みで、攻撃者によるログ改ざんや証拠隠滅を防止しフォレンジック調査での証拠保全に不可欠となる。

한 번 기록된 로그의 변경·삭제를 기술적으로 불가능하게 하는 WORM 대응 구조로, 공격자에 의한 로그 변조나 증거 인멸을 방지하고 포렌식 조사에서의 증거 보전에 불가결하다.

システムやリソースへのアクセスを許可・拒否するセキュリティ機能。ユーザーの権限に応じて操作範囲を制限し、不正アクセスや情報漏洩を防ぐ仕組み。

시스템이나 리소스에 대한 접근을 허가·거부하는 보안 기능. 사용자 권한에 따라 조작 범위를 제한하여 비인가 접근 및 정보 유출을 방지하는 구조.

CASB・SWG・ZTNAを統合したクラウド提供型セキュリティプラットフォーム。ネットワーク機能を含まずセキュリティ機能に特化し、場所を問わない一貫した保護を提供する。

CASB·SWG·ZTNA를 통합한 클라우드 제공형 보안 플랫폼이다. 네트워크 기능을 포함하지 않고 보안 기능에 특화하여 장소에 관계없이 일관된 보호를 제공한다.

パスワードハッシュ化に特化した暗号化アルゴリズム。ソルトを自動付与し、コストパラメータでブルートフォース攻撃への耐性を調整できる。

비밀번호 해싱에 특화된 암호화 알고리즘. 솔트를 자동으로 부여하며, 코스트 파라미터로 무차별 대입 공격에 대한 내성을 조정할 수 있다.

必要なときだけ一時的に権限を付与するアクセス制御手法。常時特権を持たせず、申請・承認後に限定時間だけ権限を有効化することでリスクを最小化する。

필요할 때만 일시적으로 권한을 부여하는 접근 제어 방식. 상시 특권을 부여하지 않고, 신청·승인 후 제한된 시간 동안만 권한을 활성화하여 보안 리스크를 최소화한다.

攻撃者をおびき寄せるために意図的に脆弱なシステムを設置し、攻撃手法や侵入経路の情報を収集するセキュリティ調査手法。攻撃トレンドの分析や脅威情報の収集に広く活用される。

공격자를 유인하기 위해 의도적으로 취약한 시스템을 설치하고 공격 기법과 침입 경로 정보를 수집하는 보안 조사 기법. 위협 정보 수집에 활용된다.

インシデント発生後にデジタル機器やログを収集・解析し、証拠を保全・調査する技術。不正アクセスやデータ漏洩の原因究明に活用される。

인시던트 발생 후 디지털 기기와 로그를 수집·분석하여 증거를 보존·조사하는 기술로, 비정상 접근이나 데이터 유출의 원인 규명에 활용된다.

APIの認証・認可・レート制限・入力検証を包括的に管理するセキュリティ対策。APIゲートウェイやスキーマバリデーションを活用し不正リクエストからバックエンドを保護する。

API의 인증·인가·레이트 제한·입력 검증을 포괄적으로 관리하는 보안 대책이다. API 게이트웨이나 스키마 밸리데이션을 활용하여 부정 요청으로부터 백엔드를 보호한다.

端末上のローカル管理者権限を最小限に制限し、必要時にのみ一時的に昇格させる仕組みであり、マルウェアの権限昇格攻撃やインサイダー脅威のリスクを軽減する。

단말 상의 로컬 관리자 권한을 최소한으로 제한하고 필요 시에만 일시적으로 승격시키는 구조이며, 멀웨어의 권한 승격 공격이나 내부자 위협의 리스크를 경감한다.

エンドポイント端末上でのデータ操作を監視し、機密情報の不正コピーやUSBへの書き出しなどの情報漏洩をリアルタイムに防止する技術である。

엔드포인트 단말에서의 데이터 조작을 감시하여 기밀 정보의 부정 복사나 USB 반출 등의 정보 유출을 실시간으로 방지하는 기술이다.

ネットワークを細かいセグメントに分割し、各セグメント間のトラフィックをきめ細かく制御するセキュリティ手法。ゼロトラストアーキテクチャの中核技術であり、横断的な侵害拡大を防ぐ。

네트워크를 세밀한 세그먼트로 분할하여 각 세그먼트 간 트래픽을 세밀하게 제어하는 보안 기법. 제로 트러스트 아키텍처의 핵심 기술로, 횡적 침해 확산을 방지한다.

パスワードレス認証を実現するW3C標準規格。WebAuthnとCTAP2で構成され、生体認証やセキュリティキーを使った安全なログインを提供する。

패스워드 없는 인증을 실현하는 W3C 표준 규격. WebAuthn과 CTAP2로 구성되며, 생체 인증이나 보안 키를 사용한 안전한 로그인을 제공한다.

暗号鍵のコピーを信頼された第三者に預託する仕組み。鍵の紛失時にデータを復号できるようにする一方、預託先のセキュリティが新たなリスクとなる課題がある。

암호 키의 사본을 신뢰할 수 있는 제3자에게 예탁하는 구조이다. 키 분실 시 데이터를 복호할 수 있게 하지만 예탁처의 보안이 새로운 위험이 되는 과제가 있다.

Cloud Workload Protection Platformの略。サーバー、コンテナ、サーバーレス機能など、クラウド上で実行されるワークロード自体をマルウェアや脆弱性、不正なプロセスから保護するセキュリティソリューション。

Cloud Workload Protection Platform의 약자. 서버, 컨테이너, 서버리스 기능 등 클라우드에서 실행되는 워크로드 자체를 멀웨어, 취약점, 부정 프로세스로부터 보호하는 보안 솔루션.

ソフトウェアの開発・配布プロセス全体における依存ライブラリやビルド環境などのサプライチェーンを対象としたセキュリティ対策。SBOMの管理や脆弱性スキャンが重要。

소프트웨어 개발·배포 프로세스 전반의 의존 라이브러리 및 빌드 환경 등 공급망을 대상으로 한 보안 대책으로, SBOM 관리와 취약점 스캔이 핵심입니다.

一度の認証で複数のアプリケーションやサービスにアクセスできるシングルサインオンを、企業システム全体に統合する取り組み。ユーザーの利便性向上とパスワード管理の負荷軽減を同時に実現する。

한 번의 인증으로 여러 애플리케이션이나 서비스에 접근할 수 있는 싱글 사인온을 기업 시스템 전체에 통합하는 작업. 사용자 편의성 향상과 비밀번호 관리의 부하 경감을 동시에 실현한다.

ソースコードやバイナリを静的に解析して脆弱性を検出するテスト手法で、開発段階の早期にセキュリティ問題を発見できる。

소스 코드나 바이너리를 정적으로 분석하여 취약점을 검출하는 테스트 기법으로, 개발 단계 초기에 보안 문제를 발견할 수 있다.

組織が情報資産を保護するために策定するルールや方針の文書。アクセス制御・インシデント対応・パスワード管理などの基準を定め、全社員が遵守する義務がある。

조직이 정보 자산을 보호하기 위해 수립하는 규칙과 방침 문서. 접근 제어, 인시던트 대응, 패스워드 관리 등의 기준을 정의하며 전 직원이 준수해야 할 의무가 있다.

Webサイトやアプリに対する悪意あるボットのアクセスを検知・遮断する対策。CAPTCHAやレート制限、行動分析によりクレデンシャルスタッフィングやスクレイピングを防止する。

웹사이트나 앱에 대한 악의적 봇 접속을 탐지·차단하는 대책이다. CAPTCHA나 레이트 제한, 행동 분석으로 크레덴셜 스터핑이나 스크래핑을 방지한다.

マルウェアの一種であるRansomwareによるファイル暗号化・身代金要求攻撃を防ぐための対策。バックアップ管理、EDR導入、ゼロトラスト設計が基本となる。

파일 암호화 및 금전 요구를 목적으로 하는 랜섬웨어 공격을 방지하기 위한 대응책. 백업 관리, EDR 도입, 제로 트러스트 설계가 핵심 요소이다.

法令・規制・社内ルールへの準拠を指す。ITでは個人情報保護法やISO規格への対応、セキュリティポリシーの遵守などが含まれる。

법령·규정·사내 규칙 준수를 의미한다. IT 분야에서는 개인정보보호법, ISO 규격 대응, 보안 정책 준수 등이 포함된다.

組織のパスワードやAPIキー等の認証情報をAES-256等の強力な暗号で一元管理する金庫システムで、チーム間の安全な認証情報共有と全アクセスの監査ログ記録を提供する。

조직의 비밀번호나 API 키 등의 인증 정보를 AES-256 등의 강력한 암호로 일원 관리하는 금고 시스템으로, 팀 간 안전한 인증 정보 공유와 전체 접근의 감사 로그 기록을 제공한다.

CDNなど外部から読み込むリソースが改ざんされていないか検証する仕組み。HTMLのintegrity属性にSRI（Subresource Integrity）ハッシュ値を指定して使用する。

CDN 등 외부에서 불러오는 리소스가 변조되지 않았는지 검증하는 메커니즘. HTML의 integrity 속성에 SRI 해시값을 지정하여 사용한다.

クラウド環境におけるID・アクセス権限を可視化・管理するセキュリティソリューション。過剰な権限の検出やリスク低減を自動化し、最小権限の原則を実現するために使用される。

클라우드 환경에서 ID 및 접근 권한을 시각화·관리하는 보안 솔루션. 과도한 권한 탐지 및 리스크 감소를 자동화하여 최소 권한 원칙을 구현하는 데 사용된다.

隔離された仮想環境で不審なファイルやURLを安全に実行し、マルウェアの挙動・レジストリ変更・ファイル操作・ネットワーク通信を観察・分析するセキュリティ検査手法である。

격리된 가상 환경에서 의심스러운 파일이나 URL을 안전하게 실행하고, 멀웨어의 동작·레지스트리 변경·파일 조작·네트워크 통신을 관찰·분석하는 보안 검사 수법이다.

暗号化されたHTTPS通信を中間で復号してマルウェアや情報漏洩を検査し、再暗号化して転送するセキュリティ技術。暗号化通信に隠れた脅威を検出するために使用される検査手法である。

암호화된 HTTPS 통신을 중간에서 복호화하여 멀웨어나 정보 유출을 검사하고 재암호화하여 전송하는 보안 기술이다. 암호화 통신에 숨겨진 위협을 검출하기 위해 사용되는 검사 기법이다.

クラウド環境全体のセキュリティを体系的に設計する枠組み。IAM・暗号化・ネットワーク分離・ログ監視などを統合し、ゼロトラストの原則に基づいてリスクを最小化する設計思想。

클라우드 환경 전반의 보안을 체계적으로 설계하는 프레임워크. IAM·암호화·네트워크 분리·로그 모니터링 등을 통합하고, 제로 트러스트 원칙을 기반으로 리스크를 최소화하는 설계 사상.

JSONベースのオープン標準トークン形式。ヘッダー・ペイロード・署名の3部構成で、APIの認証・認可に広く使われる。サーバーレスでの状態管理が可能。

JSON 기반의 오픈 표준 토큰 형식. 헤더·페이로드·서명의 3부 구성으로, API 인증·인가에 널리 사용된다. 서버 측 세션 없이 상태 관리가 가능하다.

Webアプリケーションにおける最も重大なセキュリティリスクをまとめたOWASPの公式ガイドライン。SQLインジェクションやXSSなど10項目が定期的に更新される。

웹 애플리케이션에서 가장 심각한 보안 위험을 정리한 OWASP의 공식 가이드라인. SQL 인젝션, XSS 등 10가지 항목이 주기적으로 업데이트된다.

パスワードを使わずに生体認証・ハードウェアキー・マジックリンクなどで本人確認を行う認証方式。フィッシングやパスワード漏洩リスクを大幅に低減できる。

비밀번호 없이 생체 인증, 하드웨어 키, 매직 링크 등으로 본인을 확인하는 인증 방식. 피싱 및 비밀번호 유출 위험을 크게 줄일 수 있다.

OAuth 2.0を拡張したシンプルで標準的なID認証プロトコル。アクセストークンに加え「IDトークン」を発行することで、ユーザーの身元確認をセキュアに行える。

OAuth 2.0을 확장한 간단하고 표준적인 ID 인증 프로토콜. 액세스 토큰과 함께 'ID 토큰'을 발급함으로써 사용자의 신원 확인을 안전하게 수행할 수 있다.

システム起動時にファームウェアやOSの署名を検証し、改ざんされたソフトウェアの実行を防止する技術。ルートキットやブートキット攻撃からの保護に有効であり、TPMとの連携が一般的。

시스템 기동 시 펌웨어와 OS의 서명을 검증하여 변조된 소프트웨어 실행을 방지하는 기술. 루트킷이나 부트킷 공격으로부터의 보호에 유효하다.

MITRE社が管理するソフトウェアの脆弱性を体系的に分類したCommon Weakness Enumerationで、脆弱性の種類を標準的な番号で識別して対策の優先度を判断する。

MITRE사가 관리하는 소프트웨어 취약점을 체계적으로 분류한 Common Weakness Enumeration으로, 취약점 종류를 표준 번호로 식별하여 대책 우선도를 판단한다.

偽サイトや詐欺メールでパスワード・個人情報を騙し取るフィッシング攻撃を防ぐための対策。多要素認証・メールフィルタリング・社員教育などが主な手段。

가짜 사이트나 사기 이메일로 비밀번호·개인정보를 탈취하는 피싱 공격을 방어하기 위한 대책. 다중 인증·이메일 필터링·직원 교육 등이 주요 수단이다.

透明なiframeを重ねることでユーザーに意図しないクリックをさせるUIを使ったWeb攻撃手法。X-Frame-Optionsヘッダーで対策できる。

투명한 iframe을 겹쳐 사용자가 의도치 않은 클릭을 하도록 유도하는 UI 기반 웹 공격 기법. X-Frame-Options 헤더로 대응할 수 있다.

サイバー脅威情報を構造化して記述する標準規格STIXと、その情報を組織間で自動的に交換するプロトコルTAXIIの組み合わせで、脅威情報の標準的な共有基盤となる。

사이버 위협 정보를 구조화하여 기술하는 표준 규격 STIX와 해당 정보를 조직 간에 자동적으로 교환하는 프로토콜 TAXII의 조합으로, 위협 정보의 표준적인 공유 기반이 된다.

攻撃者が最初の侵入地点からネットワーク内部を横方向に移動する動きを検知する技術で、異常な認証パターンや通常業務とは異なる内部サーバー間の通信を監視して特定する。

공격자가 최초 침입 지점에서 네트워크 내부를 횡방향으로 이동하는 동작을 감지하는 기술로, 비정상 인증 패턴이나 통상 업무와 다른 내부 서버 간 통신을 감시하여 특정한다.

クラウドアクセスセキュリティブローカーのポリシーで、クラウドサービスの利用を可視化・制御し、データ漏洩や不正アクセスを防止する。

클라우드 접근 보안 브로커의 정책으로, 클라우드 서비스 이용을 가시화·제어하여 데이터 유출과 부정 접근을 방지한다.

SQLインジェクション対策として、クエリ内の変数部分をプレースホルダーに置き換え、値をバインドして実行する安全なDB操作手法。

SQL 인젝션 대책으로, 쿼리 내 변수 부분을 플레이스홀더로 대체하고 값을 바인딩하여 실행하는 안전한 DB 조작 기법입니다.

単一の防御策に頼らず、複数のセキュリティ層を重ねてシステムを守る設計思想。一層が突破されても次の層で防御できる多重防護の考え方。

단일 방어에 의존하지 않고, 여러 보안 계층을 겹쳐서 시스템을 보호하는 설계 사상. 한 계층이 뚫려도 다음 계층에서 방어할 수 있는 다중 방호 개념.

カメラで撮影した顔の特徴点をAIで解析し、本人確認を行う生体認証技術。スマートフォンのロック解除やオフィス入退室管理などに広く活用される。

카메라로 촬영한 얼굴의 특징점을 AI로 분석하여 본인 확인을 수행하는 생체 인증 기술. 스마트폰 잠금 해제나 사무실 출입 관리 등에 널리 활용된다.

C/C++などメモリ安全でない言語からRustやGoなどメモリ安全な言語にコードベースを移行するセキュリティ戦略であり、バッファオーバーフローやUse-After-Free脆弱性を根本的に排除する。

C/C++ 등 메모리 안전하지 않은 언어에서 Rust나 Go 등 메모리 안전한 언어로 코드베이스를 전환하는 보안 전략이며, 버퍼 오버플로나 Use-After-Free 취약성을 근본적으로 배제한다.

管理者やシステムの特権アカウントに対するアクセスを厳格に制御・監視する仕組み。セッション記録や一時的な権限付与により内部不正リスクを低減し、監査証跡を確保する。

관리자나 시스템의 특권 계정에 대한 접근을 엄격히 제어하고 감시하는 구조. 세션 기록과 임시 권한 부여로 내부 부정 리스크를 저감한다.

パッチが提供される前のソフトウェア脆弱性を悪用する攻撃手法。発見から修正までの猶予がゼロ日であることからこの名がつき、防御側の対応が極めて困難である。

패치가 제공되기 전의 소프트웨어 취약점을 악용하는 공격 기법이다. 발견부터 수정까지의 유예가 제로 일이라는 데서 이 이름이 붙으며 방어 측의 대응이 매우 곤란하다.

ビルドパイプラインでソフトウェア部品表を自動生成し、全依存関係のライセンスと脆弱性情報を継続的に追跡管理する仕組みである。

빌드 파이프라인에서 소프트웨어 부품표를 자동 생성하여 모든 의존 관계의 라이선스와 취약점 정보를 지속적으로 추적 관리하는 구조이다.

ECサイトなどの決済ページに不正なスクリプトを注入し、クレジットカード情報を窃取する攻撃への対策。CSPの設定やサブリソース整合性チェック、外部スクリプトの監視が有効である。

EC사이트 등의 결제 페이지에 부정한 스크립트를 주입하여 신용카드 정보를 탈취하는 공격에 대한 대책. CSP 설정과 서브리소스 무결성 체크가 유효하다.

攻撃者が侵入後、同一ネットワーク内で権限昇格や他システムへの横断的移動を行う手法。内部拡散とも呼ばれ、APT攻撃で多用される。

공격자가 침입 후 동일 네트워크 내에서 권한 상승이나 다른 시스템으로 횡적 이동을 수행하는 기법. 내부 확산이라고도 하며 APT 공격에서 자주 활용된다.

ユーザーアカウントの作成・更新・削除をクラウドサービス間で自動同期するためのオープン標準プロトコル。IdPとSaaSアプリケーション間のプロビジョニングを自動化し、入退社時の作業を効率化する。

사용자 계정의 생성·갱신·삭제를 클라우드 서비스 간에 자동 동기화하기 위한 오픈 표준 프로토콜. IdP와 SaaS 애플리케이션 간의 프로비저닝을 자동화하여 입퇴사 시의 작업을 효율화한다.

レッドチームの攻撃スキルとブルーチームの防御スキルを統合して共同で演習を行い、防御体制の改善を効率的に進める手法である。

레드 팀의 공격 스킬과 블루 팀의 방어 스킬을 통합하여 공동으로 연습을 수행하고, 방어 체제의 개선을 효율적으로 진행하는 기법이다.

暗号化されたままのデータに対して演算を実行できる暗号方式で、データのプライバシーを保護しながらクラウド上で計算処理が可能である。

암호화된 상태의 데이터에 대해 연산을 실행할 수 있는 암호 방식으로, 데이터의 프라이버시를 보호하면서 클라우드에서 계산 처리가 가능하다.

組織のセキュリティ状態を定量的に測定・追跡するための指標群。パッチ適用率やインシデント対応時間、脆弱性検出数などをダッシュボードで可視化し改善活動を推進する。

조직의 보안 상태를 정량적으로 측정·추적하기 위한 지표군이다. 패치 적용률이나 인시던트 대응 시간, 취약점 검출 수 등을 대시보드로 가시화하여 개선 활동을 추진한다.

公開鍵暗号方式を用いてデータの送信者を認証し、改ざんを検知する仕組み。電子文書の真正性・完全性・否認防止を保証するために利用される。

공개키 암호화 방식을 사용하여 데이터 송신자를 인증하고 위변조를 감지하는 기술. 전자 문서의 진정성·무결성·부인 방지를 보장하기 위해 활용된다.

管理者権限を持つ特権アカウントの操作を継続的に監視・記録し、不正利用や内部脅威を検知するセキュリティ対策である。

관리자 권한을 가진 특권 계정의 조작을 지속적으로 감시·기록하여 부정 이용이나 내부 위협을 탐지하는 보안 대책이다.

システムが外部に公開するサービスやポートを最小限に絞り、攻撃者が悪用可能な経路を減らすセキュリティ対策。不要なサービスの停止やポート閉鎖、アクセス制御の強化が基本となる。

시스템이 외부에 공개하는 서비스와 포트를 최소한으로 줄여 공격자가 악용 가능한 경로를 줄이는 보안 대책. 불필요한 서비스 정지와 포트 폐쇄가 기본이 된다.

macOSやiOSが提供するパスワード・証明書・トークンなどの機密情報を安全に保存・管理する仕組み。アプリ間での資格情報の共有やSSL証明書の管理にも使われる。

macOS 및 iOS에서 제공하는 패스워드, 인증서, 토큰 등의 민감한 정보를 안전하게 저장·관리하는 체계. 앱 간 자격 증명 공유나 SSL 인증서 관리에도 활용된다.

個人を特定できる情報を仮名に置き換えるデータ保護技術。GDPRなどの規制対応で活用され、元データへの再識別には追加情報が必要となる。

개인을 식별할 수 있는 정보를 가명으로 대체하는 데이터 보호 기술. GDPR 등 규정 준수에 활용되며, 원본 데이터 재식별에는 추가 정보가 필요하다.

Webサーバーのレスポンスに付与するセキュリティ関連のHTTPヘッダーの総称。X-Frame-OptionsやStrict-Transport-Securityなどを適切に設定しブラウザ側の防御を強化する。

웹 서버 응답에 부여하는 보안 관련 HTTP 헤더의 총칭이다. X-Frame-Options나 Strict-Transport-Security 등을 적절히 설정하여 브라우저 측 방어를 강화한다.

外部入力を通じてOSコマンドを不正に実行させる攻撃手法で、シェル呼び出しの不適切な使用により発生する脆弱性である。

외부 입력을 통해 OS 명령어를 부정하게 실행시키는 공격 기법으로, 셸 호출의 부적절한 사용으로 발생하는 취약점이다.

ランサムウェア攻撃を受けても事業を継続できるようにバックアップの隔離保管やファイルシステムの監視、復旧手順を事前に設計するアーキテクチャ戦略である。

랜섬웨어 공격을 받더라도 사업을 계속할 수 있도록 백업의 격리 보관이나 파일 시스템의 감시, 복구 절차를 사전에 설계하는 아키텍처 전략이다.

SAST、DAST、SCAなど複数のセキュリティスキャンツールの結果を統合的に管理・優先順位付けするプラットフォームであり、開発チームへの脆弱性通知を一元化する。

SAST, DAST, SCA 등 복수의 보안 스캔 도구의 결과를 통합적으로 관리·우선순위 결정하는 플랫폼이며, 개발 팀에 대한 취약성 통지를 일원화한다.

Webアプリケーションへの不正アクセスを防ぐファイアウォール。SQLインジェクションやXSSなどの攻撃を検知・遮断し、アプリケーション層（L7）でトラフィックをフィルタリングする。

웹 애플리케이션에 대한 비정상적인 접근을 차단하는 방화벽. SQL 인젝션, XSS 등의 공격을 탐지·차단하며 애플리케이션 계층(L7)에서 트래픽을 필터링한다.

SSL/TLS証明書などのデジタル証明書の発行・更新・失効・保管を一元管理するプロセス。有効期限切れによる障害防止やコンプライアンス対応に不可欠な運用管理。

SSL/TLS 인증서 등 디지털 인증서의 발급·갱신·폐기·보관을 통합 관리하는 프로세스. 유효기간 만료로 인한 장애 방지 및 컴플라이언스 대응에 필수적인 운영 관리.

Application Security Posture Management。アプリケーション開発ライフサイクル全体のセキュリティリスクを統合管理し、SAST・DAST・SCA等の結果を集約して優先順位付けするプラットフォーム。

애플리케이션 개발 라이프사이클 전반의 보안 리스크를 통합 관리하고, SAST·DAST·SCA 등의 결과를 집약하여 우선순위를 부여하는 플랫폼.

ユーザーが意図しないリンクやボタンをクリックさせる攻撃（Clickjacking）を防ぐ対策。X-Frame-OptionsヘッダやCSPのframe-ancestorsで制御する。

사용자가 의도하지 않은 링크나 버튼을 클릭하도록 유도하는 클릭재킹 공격을 방지하는 대책. X-Frame-Options 헤더나 CSP의 frame-ancestors 지시어로 제어한다.

DNS応答にデジタル署名を付与して改ざんやなりすましを防止するDNSSECなどの技術。DNSキャッシュポイズニング攻撃への根本的な対策として導入が推進されている。

DNS 응답에 디지털 서명을 부여하여 변조와 위장을 방지하는 DNSSEC 등의 기술. DNS 캐시 포이즈닝 공격에 대한 근본적인 대책이 된다.

Zero Trust Network Accessの略。VPNのようにネットワーク全体へのアクセスを許可するのではなく、ユーザーのIDやデバイスの状態を検証し、許可された特定のアプリケーションにのみアクセスさせるセキュリティ技術。

Zero Trust Network Access의 약자. VPN처럼 네트워크 전체에 대한 접근을 허용하는 것이 아니라, 사용자의 ID나 디바이스 상태를 검증하고 허용된 특정 애플리케이션에만 접근하게 하는 보안 기술.

Googleが推進するストリーム暗号と認証タグの組み合わせによるAEAD暗号方式。AES-NIハードウェア命令がないモバイル端末でもソフトウェア実装で高速に動作する暗号方式である。

Google이 추진하는 스트림 암호와 인증 태그의 조합에 의한 AEAD 암호 방식이다. AES-NI 하드웨어 명령이 없는 모바일 단말에서도 소프트웨어 구현으로 고속 동작하는 암호 방식이다.

マルウェアに感染した多数のコンピュータ（ボット）をネットワーク化し、攻撃者がリモートで制御できる状態にした集合体。DDoS攻撃やスパム送信などに悪用される。

악성코드에 감염된 다수의 컴퓨터(봇)를 네트워크화하여 공격자가 원격으로 제어할 수 있는 상태로 만든 집합체. DDoS 공격이나 스팸 발송 등에 악용된다.

開発プロセスの早い段階（左側）からセキュリティ対策を組み込む考え方。脆弱性を後工程で発見するよりコストを大幅に削減できる。DevSecOpsの中核概念。

개발 프로세스의 초기 단계(왼쪽)부터 보안 대책을 통합하는 개념. 취약점을 후반 공정에서 발견하는 것보다 비용을 크게 절감할 수 있으며, DevSecOps의 핵심 개념이다.

正規ドメインに似た偽ドメインの登録や使用をモニタリングして検知する技術。タイポスクワッティングやホモグラフ攻撃など、ドメインの類似性を悪用した攻撃を早期に発見して対策する。

정규 도메인과 유사한 가짜 도메인의 등록이나 사용을 모니터링하여 감지하는 기술이다. 타이포스쿼팅이나 호모그래프 공격 등 도메인 유사성을 악용한 공격을 조기에 발견하여 대책한다.

ネットワークパケットのペイロード部分まで解析して、アプリケーション層のプロトコルやコンテンツを識別する技術。マルウェア検出、情報漏洩防止、アプリケーション制御に活用される検査手法である。

네트워크 패킷의 페이로드 부분까지 분석하여 애플리케이션 계층의 프로토콜이나 콘텐츠를 식별하는 기술이다. 멀웨어 검출, 정보 유출 방지, 애플리케이션 제어에 활용되는 검사 기법이다.

認証局が失効させた証明書の一覧を記載したリスト。クライアントはCRLを定期的に参照して通信先の証明書が失効していないかを検証し、不正な証明書の使用を防止する仕組みである。

인증 기관이 실효시킨 인증서의 일람을 기재한 목록이다. 클라이언트는 CRL을 정기적으로 참조하여 통신 상대의 인증서가 실효되지 않았는지 검증하고 부정한 인증서 사용을 방지하는 구조이다.

パスワードのハッシュ化処理を数千〜数万回繰り返すことで一回あたりの検証に必要な計算コストを大幅に増大させ、ブルートフォース攻撃や辞書攻撃への耐性を高める手法である。

비밀번호 해시화 처리를 수천~수만 회 반복하여 1회당 검증에 필요한 계산 비용을 대폭 증대시켜 무차별 대입 공격이나 사전 공격에 대한 내성을 높이는 수법이다.

システム起動時のブートプロセスの整合性を検証する技術で、セキュアブートやTPMによりルートキットの侵入を防止する。

시스템 기동 시 부트 프로세스의 무결성을 검증하는 기술로, 시큐어 부트나 TPM으로 루트킷의 침입을 방지한다.

システム全体のセキュリティ要件を満たすための設計原則・構成・制御の体系的な枠組み。多層防御やゼロトラストの設計思想を基に一貫性のある防御体制を構築する。

시스템 전체의 보안 요건을 충족하기 위한 설계 원칙·구성·제어의 체계적인 프레임워크이다. 다층 방어나 제로 트러스트의 설계 사상을 기반으로 일관성 있는 방어 체제를 구축한다.

サイバー攻撃を偵察・武器化・配送・エクスプロイト・インストール・遠隔制御・目的実行の7段階に分解して分析し、各段階での防御策を体系的に検討するフレームワークである。

사이버 공격을 정찰·무기화·배송·익스플로잇·설치·원격 제어·목적 실행의 7단계로 분해하여 분석하고, 각 단계에서의 방어책을 체계적으로 검토하는 프레임워크이다.

システムやアプリケーションの脆弱性を発見・評価するためのテスト手法。ペネトレーションテストや脆弱性スキャンなどが含まれ、リリース前の必須工程とされる。

시스템이나 애플리케이션의 취약점을 발견하고 평가하기 위한 테스트 기법. 침투 테스트, 취약점 스캔 등이 포함되며, 릴리스 전 필수 과정으로 간주된다.

Webサイトやアプリケーションに対する自動化されたボットトラフィックを識別し、悪意あるボットのみを選択的にブロックしながら正当なボットを許可する管理技術である。

웹사이트나 애플리케이션에 대한 자동화된 봇 트래픽을 식별하고, 악의적인 봇만 선택적으로 차단하면서 정당한 봇을 허가하는 관리 기술이다.

クレジットカード情報を扱うシステムに求められる国際セキュリティ基準（PCI DSS）への準拠対応。カード会員データの保護・暗号化・アクセス制御などが要件に含まれる。

신용카드 정보를 다루는 시스템에 요구되는 국제 보안 표준(PCI DSS) 준수 대응. 카드 회원 데이터 보호, 암호화, 접근 제어 등이 요건에 포함된다.

複数の端末から特定サーバーに大量のリクエストを送りつけ、サービスを停止させる分散型サービス拒否攻撃。Webサービスの可用性を脅かす代表的な攻撃手法。

여러 단말기에서 특정 서버로 대량의 요청을 보내 서비스를 마비시키는 분산 서비스 거부 공격. 웹 서비스의 가용성을 위협하는 대표적인 공격 기법.

ネットワーク境界を信頼せず全てのアクセスを検証するアーキテクチャの設計手法。アイデンティティ中心の認証・認可とマイクロセグメンテーションで最小権限を実現する。

네트워크 경계를 신뢰하지 않고 모든 접근을 검증하는 아키텍처 설계 기법이다. 아이덴티티 중심의 인증·인가와 마이크로세그멘테이션으로 최소 권한을 실현한다.

ソフトウェア部品表を作成してアプリケーションの全依存関係を可視化し、使用しているライブラリやフレームワークに含まれる既知の脆弱性を継続的に検出・管理するプロセスである。

소프트웨어 부품표를 작성하여 애플리케이션의 전체 의존 관계를 가시화하고, 사용 중인 라이브러리나 프레임워크에 포함된 알려진 취약점을 지속적으로 검출·관리하는 프로세스이다.

大量のリクエストやトラフィックを送信してサーバーやネットワークのリソースを枯渇させサービスを利用不能にする攻撃であり、レート制限やCDNの導入によって被害を効果的に緩和する。

대량의 요청이나 트래픽을 송신하여 서버나 네트워크의 리소스를 고갈시켜 서비스를 이용 불능으로 만드는 공격이며, 레이트 제한이나 CDN의 도입으로 피해를 효과적으로 완화한다.

米国国防総省が定めたセキュリティ技術実装ガイドラインへの準拠状態。OS・ミドルウェア・ネットワーク機器ごとに詳細な設定基準が規定され自動チェックツールで検証する。

미국 국방부가 정한 보안 기술 구현 가이드라인 준수 상태이다. OS·미들웨어·네트워크 기기별로 상세한 설정 기준이 규정되어 있으며 자동 점검 도구로 검증한다.

工場や発電所などの制御系ネットワークにおけるOT機器の通信を監視し、異常な挙動や不正コマンドを検知する仕組みであり、IT環境とは異なるプロトコル解析技術を活用する。

공장이나 발전소 등의 제어계 네트워크에서 OT 기기의 통신을 감시하고 이상 동작이나 부정 커맨드를 탐지하는 구조이며, IT 환경과는 다른 프로토콜 해석 기술을 활용한다.

Security Information and Event Managementの略。複数のシステムからログやイベントを収集・分析し、セキュリティ脅威をリアルタイムで検知・管理するプラットフォーム。

Security Information and Event Management의 약자. 여러 시스템에서 로그와 이벤트를 수집·분석하여 보안 위협을 실시간으로 탐지·관리하는 플랫폼.

サイバー攻撃に関する最新の脅威情報をリアルタイムで配信するデータソース。IPアドレス、ドメイン、マルウェアハッシュなどのIoCを提供し、防御ルールの自動更新に活用される。

사이버 공격에 관한 최신 위협 정보를 실시간으로 배포하는 데이터 소스. IP 주소, 도메인, 멀웨어 해시 등의 IoC를 제공한다.

WebアプリケーションのHTTPレスポンスに含まれるセキュリティ関連ヘッダーの設定状況を監査する検査。CSP、HSTS、X-Frame-Optionsなどの設定不備を検出してブラウザ側の防御を強化する。

웹 애플리케이션의 HTTP 응답에 포함된 보안 관련 헤더의 설정 상황을 감사하는 검사이다. CSP, HSTS, X-Frame-Options 등의 설정 미비를 검출하여 브라우저 측 방어를 강화한다.

APIへのリクエストパターンを機械学習で分析して正常なトラフィックのベースラインを構築し、異常なアクセスや攻撃をリアルタイムで検出するAPI専用のセキュリティ技術である。

API에 대한 요청 패턴을 머신러닝으로 분석하여 정상 트래픽의 베이스라인을 구축하고, 이상 접근이나 공격을 실시간으로 검출하는 API 전용 보안 기술이다.

ユーザーやシステムに対して、業務遂行に必要な最低限の権限のみを付与するセキュリティ設計の原則。PoLPとも呼ばれ、不正アクセスや内部脅威のリスク低減に有効。

사용자나 시스템에 업무 수행에 필요한 최소한의 권한만 부여하는 보안 설계 원칙. PoLP라고도 하며, 불법 접근 및 내부 위협 리스크 감소에 효과적이다.

暗号鍵のライフサイクル（生成・配布・保管・失効・破棄）を一元管理するシステム。KMSとも呼ばれ、AWS KMSやHashiCorp Vaultが代表例。

암호화 키의 라이프사이클(생성·배포·보관·폐기)을 중앙에서 관리하는 시스템. KMS라고도 불리며, AWS KMS나 HashiCorp Vault가 대표적인 예시이다.

Lightweight Directory Access Protocolの略。ネットワーク上のユーザーやリソース情報を管理・検索するためのプロトコルで、Active DirectoryなどのディレクトリサービスにアクセスするためにIT企業で広く利用される。

Lightweight Directory Access Protocol의 약자. 네트워크상의 사용자 및 리소스 정보를 관리·검색하기 위한 프로토콜로, Active Directory 등 디렉터리 서비스에 접근하기 위해 IT 기업에서 널리 활용된다.

Webブラウジングをリモート環境で実行しレンダリング結果のみをユーザーに転送する技術であり、ドライブバイダウンロードやブラウザエクスプロイトからエンドポイントを保護する。

웹 브라우징을 리모트 환경에서 실행하고 렌더링 결과만 사용자에게 전송하는 기술이며, 드라이브바이 다운로드나 브라우저 익스플로잇으로부터 엔드포인트를 보호한다.

組織のセキュリティ対策の成熟度を段階的に評価するフレームワーク。現在のレベルを把握し、改善すべき領域と優先順位を明確にして、中長期的なセキュリティ強化計画を策定する。

조직의 보안 대책 성숙도를 단계적으로 평가하는 프레임워크. 현재 수준을 파악하고 개선해야 할 영역과 우선순위를 명확히 하기 위해 활용된다.

アクセス元デバイスのOSバージョン・パッチ状態・暗号化設定などを評価し、信頼度に応じてアクセスを許可するゼロトラストの構成要素。継続的なデバイス状態の検証が重要である。

접근원 디바이스의 OS 버전·패치 상태·암호화 설정 등을 평가하고 신뢰도에 따라 접근을 허가하는 제로 트러스트의 구성 요소. 지속적인 디바이스 상태 검증이 중요하다.

異なるオリジンからのリクエストを制御するCross-Origin Resource Sharingの設定で、不正なクロスオリジンアクセスを防止する。

다른 오리진의 요청을 제어하는 Cross-Origin Resource Sharing 설정으로, 부정한 크로스 오리진 접근을 방지한다.

システムの脅威を体系的に特定・分析するためのツール。STRIDEやDREADなどの手法をベースに、データフローダイアグラムから潜在的な脅威を自動的に列挙して可視化する。

시스템의 위협을 체계적으로 식별·분석하기 위한 도구이다. STRIDE나 DREAD 등의 기법을 기반으로 데이터 플로 다이어그램에서 잠재적 위협을 자동으로 열거하여 가시화한다.

個人識別情報を別の識別子に置換し、追加情報なしには個人を特定できなくする処理。匿名化と異なり再識別が可能でありGDPRでは個人データとして扱われる。

개인 식별 정보를 다른 식별자로 치환하여 추가 정보 없이는 개인을 특정할 수 없게 하는 처리이다. 익명화와 달리 재식별이 가능하며 GDPR에서는 개인 데이터로 취급된다.

ソフトウェア開発のCI/CDパイプラインにおいて、脆弱性スキャンやコードレビューなどのセキュリティチェックをパスしないと次工程に進めない仕組み。

소프트웨어 개발의 CI/CD 파이프라인에서 취약점 스캔이나 코드 리뷰 등의 보안 검사를 통과하지 못하면 다음 단계로 진행할 수 없는 구조.

アプリケーションやサービスが使用する認証キーのライフサイクルを管理する仕組み。定期的なローテーションと不要キーの即時削除により、漏洩リスクを最小限に抑える運用を実現する。

애플리케이션과 서비스가 사용하는 인증 키의 라이프사이클을 관리하는 구조. 정기적인 로테이션과 불필요한 키 삭제로 유출 리스크를 저감한다.

フィッシングやクレデンシャル漏洩によるアカウント乗っ取りを防止するための多層防御策で、異常ログイン検知・MFA強制・デバイス認証・ユーザー行動分析を組み合わせる。

피싱이나 크리덴셜 유출에 의한 계정 탈취를 방지하기 위한 다층 방어책으로, 이상 로그인 감지·MFA 강제·디바이스 인증·사용자 행동 분석을 조합한다.

自動検知を補完するために分析者が仮説を立ててネットワークやログを能動的に調査し、潜伏している脅威を発見するプロアクティブなセキュリティ活動である。

자동 탐지를 보완하기 위해 분석가가 가설을 세워 네트워크나 로그를 능동적으로 조사하여 잠복하고 있는 위협을 발견하는 프로액티브한 보안 활동이다.

APIへのリクエスト数を制限することで、DDoS攻撃やブルートフォース攻撃からサービスを保護するセキュリティ対策である。

API에 대한 요청 수를 제한하여 DDoS 공격이나 브루트포스 공격으로부터 서비스를 보호하는 보안 대책이다.

サイバー攻撃の一連の段階を偵察・武器化・配送・攻撃・インストール・遠隔操作・目的達成の7段階で整理したモデル。各段階で攻撃を遮断する防御策を設計するためのフレームワークとして活用される。

사이버 공격의 일련의 단계를 정찰·무기화·전달·공격·설치·원격 조작·목적 달성의 7단계로 정리한 모델. 각 단계에서 공격을 차단하는 방어책을 설계하기 위한 프레임워크로 활용된다.

既知のシグネチャに頼らず、アナリストが能動的にネットワーク内の潜在的脅威や侵害の痕跡を探索・検出するセキュリティ活動。

알려진 시그니처에 의존하지 않고, 분석가가 능동적으로 네트워크 내 잠재적 위협이나 침해 흔적을 탐색·검출하는 보안 활동.

CIS（Center for Internet Security）が策定したサイバーセキュリティのベストプラクティス集。優先度順に並んだ18の管理策で構成され、組織のセキュリティ対策の基盤として広く活用される。

CIS(Center for Internet Security)가 수립한 사이버 보안 모범 사례 모음으로, 우선순위에 따라 정렬된 18개의 관리 항목으로 구성되어 있으며 조직의 보안 대책 기반으로 널리 활용된다.

SOCの監視・分析・対応プロセスを自動化する取り組みで、アラートのトリアージや初動対応を機械化して対応速度を向上させる。

SOC의 감시·분석·대응 프로세스를 자동화하는 활동으로, 알림 트리아지나 초동 대응을 기계화하여 대응 속도를 향상시킨다.

Azureが提供するクラウドセキュリティ管理サービス。マルチクラウド・ハイブリッド環境の脅威検出、脆弱性評価、セキュリティスコア可視化を統合的に行う。

Azure가 제공하는 클라우드 보안 관리 서비스로, 멀티 클라우드 및 하이브리드 환경에서 위협 탐지, 취약점 평가, 보안 점수 시각화를 통합적으로 수행한다.

ソフトウェアやスクリプトに電子署名を付与し、発行者の正当性と改ざんされていないことを証明する技術。配布時の信頼性確保に使われる。

소프트웨어나 스크립트에 전자 서명을 부여하여 배포자의 정당성과 변조 여부를 증명하는 기술로, 배포 시 신뢰성 확보에 활용된다.

悪意あるスクリプトをWebページに埋め込み、閲覧ユーザーのブラウザ上で実行させる攻撃手法。XSSと略され、セッションハイジャックや情報漏洩の原因となる。

악의적인 스크립트를 웹 페이지에 삽입하여 열람 사용자의 브라우저에서 실행시키는 공격 기법. XSS로 약칭되며, 세션 하이재킹이나 정보 유출의 원인이 된다.

クラウド環境におけるデータ保護・アクセス制御・コンプライアンス確保の総合的な取り組み。責任共有モデルに基づき事業者と利用者双方のセキュリティ対策を明確化する。

클라우드 환경에서의 데이터 보호·접근 제어·컴플라이언스 확보의 종합적인 노력이다. 책임 공유 모델에 기반하여 사업자와 이용자 양측의 보안 대책을 명확화한다.

USBや NFC などの物理デバイスを使った認証手段。フィッシング耐性が高く、FIDO2/WebAuthn規格に対応したものが企業導入で広く使われる。

USB나 NFC 등의 물리적 장치를 이용한 인증 수단. 피싱 저항성이 높으며, FIDO2/WebAuthn 규격을 지원하는 제품이 기업 환경에서 널리 도입되고 있다.

Time-based One-Time Passwordの略で時刻に基づいて一定間隔で変化するワンタイムパスワードを生成する認証方式であり、Google AuthenticatorなどのアプリでMFAの第二要素として広く利用される。

Time-based One-Time Password의 약칭으로 시각에 기반하여 일정 간격으로 변화하는 원타임 패스워드를 생성하는 인증 방식이며, Google Authenticator 등의 앱으로 MFA의 제2 요소로 널리 이용된다.

インターネットと内部ネットワークの間に設ける中間ネットワーク領域。Webサーバやメールサーバなど外部公開サービスを配置し、内部ネットワークへの直接アクセスを防ぐ。

인터넷과 내부 네트워크 사이에 설정하는 중간 네트워크 영역. 웹 서버나 메일 서버 등 외부 공개 서비스를 배치하여 내부 네트워크로의 직접 접근을 차단한다.

疑わしいファイルを隔離された仮想環境で実行しその挙動を詳細に分析するマルウェア検知手法であり、静的分析では発見困難な回避型マルウェアの検出に有効である。

의심스러운 파일을 격리된 가상 환경에서 실행하여 그 동작을 상세히 분석하는 멀웨어 탐지 기법이며, 정적 분석으로는 발견이 어려운 회피형 멀웨어의 검출에 유효하다.

SSL/TLS証明書の発行履歴を公開ログに記録し、不正な証明書の発行を検知可能にする仕組みのこと。Certificate Transparencyログを監視することでドメインの乗っ取りや誤発行を早期に発見する。

SSL/TLS 인증서의 발행 이력을 공개 로그에 기록하여 부정한 인증서 발행을 감지 가능하게 하는 구조를 말한다. Certificate Transparency 로그를 감시하여 도메인 탈취나 오발행을 조기에 발견한다.

悪意のある目的で作られたソフトウェアの総称。ウイルス、ランサムウェア、スパイウェアなどが含まれ、システムへの不正アクセスやデータ窃取を引き起こす。

악의적인 목적으로 제작된 소프트웨어의 총칭. 바이러스, 랜섬웨어, 스파이웨어 등이 포함되며, 시스템 무단 접근이나 데이터 탈취를 일으킨다.

組織のセキュリティ防御を担うチーム。侵入検知・ログ監視・インシデント対応などを通じて、Red Teamの攻撃からシステムを守る役割を持つ。

조직의 보안 방어를 담당하는 팀. 침입 탐지, 로그 모니터링, 인시던트 대응 등을 통해 Red Team의 공격으로부터 시스템을 보호하는 역할을 한다.

楕円曲線上の離散対数問題の困難さに基づく公開鍵暗号方式。RSAと同等の安全性をより短い鍵長で実現でき、モバイルやIoTなどリソース制約のある環境で広く使用される。

타원 곡선상의 이산 대수 문제의 어려움에 기반한 공개 키 암호 방식이다. RSA와 동등한 안전성을 더 짧은 키 길이로 실현할 수 있어 모바일이나 IoT 등 리소스 제약이 있는 환경에서 널리 사용된다.

Key Management Serviceの略。暗号化キーの生成・管理・ローテーションを一元的に行うサービス。AWSやGCPなどのクラウドプロバイダーが提供し、データ保護とコンプライアンス対応に活用される。

Key Management Service의 약자. 암호화 키의 생성·관리·로테이션을 일원화하여 처리하는 서비스. AWS, GCP 등 클라우드 프로바이더가 제공하며, 데이터 보호 및 컴플라이언스 대응에 활용된다.

組織がシステムやデータを保護するために定めた規則・ガイドライン。アクセス制御、パスワード要件、インシデント対応手順などを含む。

조직이 시스템과 데이터를 보호하기 위해 정의한 규칙 및 가이드라인. 접근 제어, 비밀번호 요건, 인시던트 대응 절차 등을 포함한다.

ネットワーク境界でトラフィックを検査し、不正なアクセスやマルウェアをブロックする装置。ファイアウォール、IPS、アンチウイルスなど複数のセキュリティ機能を統合して提供する。

네트워크 경계에서 트래픽을 검사하고 부정한 접근이나 멀웨어를 차단하는 장치이다. 방화벽, IPS, 안티바이러스 등 복수의 보안 기능을 통합하여 제공한다.

OAuth 2.0の認可方式の一つで、認可サーバーが認可コードを発行し、バックチャネルでアクセストークンと交換する最も安全なフローである。

OAuth 2.0의 인가 방식 중 하나로, 인가 서버가 인가 코드를 발행하고 백채널에서 액세스 토큰과 교환하는 가장 안전한 플로우이다.

量子コンピュータによる攻撃にも耐えられる暗号技術。現行のRSAや楕円曲線暗号が量子解読されるリスクに備え、NIST標準化が進む次世代暗号方式。

양자 컴퓨터의 공격에도 견딜 수 있는 암호 기술. 기존 RSA 및 타원 곡선 암호가 양자 해독될 위험에 대비해 NIST 표준화가 진행 중인 차세대 암호 방식.

実際の攻撃者を模倣した専門チームが、組織のシステムやプロセスに対して実践的な侵入テストや攻撃シミュレーションを行うセキュリティ演習。

실제 공격자를 모방한 전문 팀이 조직의 시스템과 프로세스에 대해 실전적인 침투 테스트 및 공격 시뮬레이션을 수행하는 보안 훈련.

システムやアプリケーションの既知の脆弱性を自動的に検出するセキュリティ検査手法であり、NessusやTrivy等のツールを用いてCVEデータベースと照合し対策の優先度を判定する。

시스템이나 애플리케이션의 기지의 취약성을 자동으로 검출하는 보안 검사 기법이며, Nessus나 Trivy 등의 도구를 이용하여 CVE 데이터베이스와 대조하고 대책의 우선도를 판정한다.

HTTPレスポンスに付与することでブラウザのセキュリティ機能を制御するヘッダーの総称。X-Frame-Options、Strict-Transport-Security、Content-Security-Policyなどがあり、各種攻撃を緩和する。

HTTP 응답에 부여하여 브라우저의 보안 기능을 제어하는 헤더의 총칭. X-Frame-Options, Strict-Transport-Security, Content-Security-Policy 등이 있으며, 각종 공격을 완화한다.

ユーザーアカウントの作成・変更・無効化のライフサイクル全体を管理し、適切なアクセス権を維持する統制プロセス。退職者アカウントの残存防止や定期的な棚卸しが重要な要素となる。

사용자 계정의 생성·변경·비활성화 라이프사이클 전체를 관리하고 적절한 접근 권한을 유지하는 통제 프로세스. 퇴직자 계정 잔존 방지가 중요한 요소가 된다.

クラウド環境などにおいて、データを「保存時」「通信時」だけでなく、メモリ上で「処理中（使用中）」の段階でもハードウェアレベルの暗号化領域（TEE）を用いて隔離・保護するセキュリティ技術。

클라우드 환경 등에서 데이터를 '저장 시', '통신 시'뿐만 아니라, 메모리상에서 '처리 중(사용 중)'인 단계에서도 하드웨어 수준의 암호화 영역(TEE)을 이용해 격리·보호하는 보안 기술.

新規システムや大規模変更の設計段階でセキュリティ要件の充足度を専門家がレビューするプロセス。脅威モデリングの結果を設計に反映させ、セキュリティリスクを早期に排除する。

신규 시스템이나 대규모 변경의 설계 단계에서 보안 요건 충족도를 전문가가 리뷰하는 프로세스. 위협 모델링 결과를 설계에 반영하는 중요한 공정이다.

セキュリティインシデント発生時の検知・封じ込め・復旧・事後対応の手順を事前に文書化した計画。役割分担や連絡体制を明確にし迅速な対応を可能にする。

보안 인시던트 발생 시의 탐지·봉쇄·복구·사후 대응 절차를 사전에 문서화한 계획이다. 역할 분담이나 연락 체제를 명확히 하여 신속한 대응을 가능하게 한다.

公開鍵と秘密鍵のペアを使う非対称暗号方式。公開鍵で暗号化したデータは対応する秘密鍵でのみ復号できる。TLSやSSHなど多くのセキュリティプロトコルの基盤技術。

공개키와 개인키 쌍을 사용하는 비대칭 암호화 방식. 공개키로 암호화한 데이터는 대응하는 개인키로만 복호화할 수 있으며, TLS·SSH 등 많은 보안 프로토콜의 기반 기술이다.

MTTD（平均検知時間）を短縮すること。インシデント発生から検知までの時間を短くすることで、被害の最小化やシステム復旧の迅速化を図る取り組み。

MTTD(평균 탐지 시간)를 단축하는 것. 인시던트 발생부터 탐지까지의 시간을 줄여 피해 최소화 및 시스템 복구 신속화를 도모하는 활동.

人間のユーザーではなく、アプリケーションやサービスが他のリソースやAPIにアクセスする際に使用する専用アカウント。権限を最小限に絞って運用するのがセキュリティのベストプラクティス。

사람이 아닌 애플리케이션이나 서비스가 다른 리소스나 API에 접근할 때 사용하는 전용 계정입니다. 최소 권한 원칙에 따라 운용하는 것이 보안 모범 사례입니다.

暗号鍵の生成・保管・利用を耐タンパー性のあるハードウェアデバイスで行うセキュリティ運用であり、鍵の物理的保護とコンプライアンス要件への準拠を同時に実現する。

암호 키의 생성·보관·이용을 내탬퍼성이 있는 하드웨어 디바이스로 수행하는 보안 운용이며, 키의 물리적 보호와 컴플라이언스 요건에 대한 준거를 동시에 실현한다.

情報セキュリティマネジメントシステム（ISMS）の国際規格。組織の情報資産を守るためのリスク管理体制を定義し、認証取得により取引先への信頼性証明に活用される。

정보 보안 관리 시스템(ISMS)의 국제 표준 규격. 조직의 정보 자산을 보호하기 위한 리스크 관리 체계를 정의하며, 인증 취득을 통해 거래처에 신뢰성을 증명하는 데 활용된다.

偽のシステムやデータを配置して攻撃者を欺き、侵入を検知・遅延させるセキュリティ技術で、ハニーポットの発展形である。

가짜 시스템이나 데이터를 배치하여 공격자를 기만하고, 침입을 탐지·지연시키는 보안 기술로, 허니팟의 발전형이다.

ソースコードやリポジトリ内にハードコーディングされたAPI鍵・パスワードなどの機密情報を自動検出するセキュリティ機能である。

소스 코드나 리포지토리 내에 하드코딩된 API 키·비밀번호 등의 기밀 정보를 자동 검출하는 보안 기능이다.

複数の踏み台ホストから大量のリクエストを送りつけてサービスを停止させるDDoS攻撃を防ぐための技術・運用対策の総称。WAFやCDN、レートリミットなどが活用される。

다수의 좀비 호스트에서 대량의 요청을 보내 서비스를 마비시키는 DDoS 공격을 방어하기 위한 기술 및 운영 대책의 총칭. WAF, CDN, 레이트 리밋 등이 활용된다.

攻撃者があらかじめ用意したセッションIDを被害者に使わせることで認証後のセッションを奪う攻撃で、ログイン成功時にセッションIDを再生成して古いIDを無効化することで対策する。

공격자가 미리 준비한 세션 ID를 피해자에게 사용하게 하여 인증 후 세션을 탈취하는 공격으로, 로그인 성공 시 세션 ID를 재생성하고 이전 ID를 무효화하여 대책한다.

CPUやSoCに組み込まれた隔離された安全実行領域。暗号鍵や生体認証データを保護し、メインOSからもアクセス不可能な環境でセキュアな処理を行う。

CPU나 SoC에 내장된 격리된 보안 실행 영역. 암호화 키나 생체 인증 데이터를 보호하며, 메인 OS에서도 접근 불가능한 환경에서 보안 처리를 수행한다.

クラウド環境でアプリやサービスなどのワークロードに対してIDを付与し、人間のユーザーを介さずにリソースへ安全にアクセスできる認証・認可の仕組み。

클라우드 환경에서 앱이나 서비스 등의 워크로드에 ID를 부여하여, 사람이 개입하지 않고 리소스에 안전하게 접근할 수 있는 인증·인가 메커니즘.

アプリケーションに含まれるオープンソースライブラリの脆弱性やライセンス違反を検出する分析手法。SBOMの生成とあわせてサプライチェーン全体のセキュリティリスクを管理する。

애플리케이션에 포함된 오픈소스 라이브러리의 취약점과 라이선스 위반을 검출하는 분석 기법. SBOM 생성과 함께 공급망 리스크를 관리한다.

自動検知を回避した未知の脅威を、アナリストが仮説駆動で能動的に探索するセキュリティ活動で、潜伏する攻撃者の発見を目的とする。

자동 탐지를 회피한 미지의 위협을 분석가가 가설을 바탕으로 능동적으로 탐색하는 보안 활동으로, 잠복하는 공격자의 발견을 목적으로 한다.

個人データの収集・処理を目的達成に必要な最小限に留める原則。GDPRなどのプライバシー法規制において重要な要件とされており、不要なデータ保持によるリスクを低減する。

개인 데이터의 수집·처리를 목적 달성에 필요한 최소한으로 제한하는 원칙. GDPR 등 개인정보 보호 법규에서 중요한 요건으로, 불필요한 데이터 보유로 인한 리스크를 줄인다.

暗号化や厳格なアクセス制御によってデータを安全に保管する仕組み。パスワード・APIキー・個人情報などの機密データを保護する目的で使われる。

암호화 및 엄격한 접근 제어를 통해 데이터를 안전하게 보관하는 구조. 비밀번호, API 키, 개인정보 등 민감한 데이터를 보호하는 목적으로 사용된다.

本番データから個人情報や機密情報を自動的に検出し、開発・テスト環境向けに不可逆的にマスキング処理を適用する技術であり、データプライバシーの確保と開発効率の両立を実現する。

운영 데이터에서 개인 정보나 기밀 정보를 자동으로 검출하고, 개발·테스트 환경용으로 비가역적으로 마스킹 처리를 적용하는 기술이며, 데이터 프라이버시의 확보와 개발 효율의 양립을 실현한다.

エンドポイント・ネットワーク・クラウドなど複数のセキュリティレイヤーからデータを統合し、脅威の検出・調査・対応を一元化するセキュリティソリューション。EDRを拡張した概念。

엔드포인트·네트워크·클라우드 등 여러 보안 레이어의 데이터를 통합하여 위협 탐지·조사·대응을 일원화하는 보안 솔루션. EDR을 확장한 개념.

マルウェアに感染した端末を遠隔操作するために攻撃者が用意するコマンド＆コントロールサーバー。感染端末への指令送信やデータの窃取に使われ、通信を秘匿するためにHTTPSやDNSを利用する場合がある。

악성코드에 감염된 단말을 원격 조작하기 위해 공격자가 준비하는 커맨드 앤 컨트롤 서버. 감염 단말에 대한 지령 전송이나 데이터 탈취에 사용되며, 통신을 은닉하기 위해 HTTPS나 DNS를 이용하는 경우가 있다.

指紋・顔・虹彩・声紋など人体の生体情報を用いた認証方式。パスワード不要で高いセキュリティと利便性を両立し、スマートフォンや入退室管理システムに広く採用されている。

지문, 얼굴, 홍채, 성문 등 신체의 생체 정보를 이용한 인증 방식. 비밀번호 없이도 높은 보안성과 편의성을 동시에 실현하며, 스마트폰과 출입 관리 시스템에 널리 활용된다.

Webアプリケーションで、HTMLやJavaScriptなどに動的な値を出力する際に特殊文字を無害化する処理。XSS攻撃を防ぐための基本的なセキュリティ対策。

웹 애플리케이션에서 HTML이나 JavaScript 등에 동적 값을 출력할 때 특수 문자를 무해하게 변환하는 처리. XSS 공격을 방지하기 위한 기본적인 보안 대책.

動的アプリケーションセキュリティテスト（DAST）は、実行中のアプリケーションに対して外部から攻撃をシミュレートし、脆弱性を検出するテスト手法。

동적 애플리케이션 보안 테스트(DAST)는 실행 중인 애플리케이션에 외부에서 공격을 시뮬레이션하여 취약점을 탐지하는 테스트 기법입니다.

セキュリティインシデントの検知・分析・対応プロセスをプレイブックに基づいて自動実行する運用手法。繰り返し発生するアラートへの対応時間を短縮し、アナリストの負担を軽減する手法である。

보안 인시던트의 감지·분석·대응 프로세스를 플레이북에 기반하여 자동 실행하는 운용 기법이다. 반복 발생하는 알림에 대한 대응 시간을 단축하고 분석가의 부담을 경감하는 기법이다.

一般ユーザーが管理者権限などより高い権限を取得するプロセス。正規の操作（sudoなど）と、脆弱性を悪用した不正な昇格の両方を指す。

일반 사용자가 관리자 권한 등 더 높은 권한을 획득하는 프로세스. sudo 같은 정상적인 조작과 취약점을 악용한 불법적인 권한 상승 모두를 가리킨다.

脆弱性の深刻度を0.0から10.0の数値で評価する共通脆弱性評価システムで、攻撃ベクターの容易さ・影響範囲・必要な認証レベル・ユーザー操作の要否などを基に算出される。

취약점의 심각도를 0.0에서 10.0의 수치로 평가하는 공통 취약점 평가 시스템으로, 공격 벡터의 용이성·영향 범위·필요한 인증 레벨·사용자 조작 필요 여부 등을 기반으로 산출된다.

攻撃者が正規ユーザーのセッションIDを盗み取り、認証済みセッションに不正に割り込む攻撃手法。Cookieの盗聴やXSSなどを悪用される。

공격자가 정상 사용자의 세션 ID를 탈취하여 인증된 세션에 불법으로 침입하는 공격 기법. 쿠키 도청이나 XSS 등을 악용한다.

HTTPレスポンスヘッダーにセキュリティ関連の設定を追加する対策。XSS・クリックジャッキング・MIMEスニッフィングなどの攻撃を防ぐためにContent-Security-PolicyやX-Frame-Optionsなどを設定する。

HTTP 응답 헤더에 보안 관련 설정을 추가하는 보안 조치. XSS·클릭재킹·MIME 스니핑 등의 공격을 방지하기 위해 Content-Security-Policy나 X-Frame-Options 등을 설정한다.

従業員がサイバー攻撃やフィッシング、情報漏洩などのリスクを理解し、適切に対処できるよう実施する組織的な教育・研修活動のこと。

직원들이 사이버 공격, 피싱, 정보 유출 등의 위험을 이해하고 적절히 대처할 수 있도록 실시하는 조직적인 교육·연수 활동.

認証済みユーザーのセッションを悪用して不正なリクエストを送信させるCSRF攻撃を防ぐための技術であり、CSRFトークンやSameSite属性を適切に実装して防御する。

인증 완료된 사용자의 세션을 악용하여 부정한 요청을 송신시키는 CSRF 공격을 막기 위한 기술이며, CSRF 토큰이나 SameSite 속성을 적절히 구현하여 방어한다.

DNSの応答を操作してブラウザの同一オリジンポリシーを回避し、内部ネットワークのリソースに不正アクセスする攻撃手法である。

DNS 응답을 조작하여 브라우저의 동일 오리진 정책을 우회하고, 내부 네트워크의 리소스에 부정 접근하는 공격 기법이다.

インターネットや他の外部ネットワークから物理的に完全に切り離された隔離ネットワーク環境で、最高レベルのセキュリティが必要な機密システムや重要インフラで採用される。

인터넷이나 다른 외부 네트워크로부터 물리적으로 완전히 분리된 격리 네트워크 환경으로, 최고 수준의 보안이 필요한 기밀 시스템이나 중요 인프라에서 채택된다.

セキュリティインシデント後にデジタル証拠を収集・保全・分析する調査手法。ディスクイメージやメモリダンプから攻撃経路や被害範囲を特定し再発防止策を導き出す。

보안 인시던트 후 디지털 증거를 수집·보전·분석하는 조사 기법이다. 디스크 이미지나 메모리 덤프에서 공격 경로와 피해 범위를 특정하여 재발 방지책을 도출한다.

Center for Internet Securityが策定するセキュリティ設定の業界標準ベンチマークで、OS・クラウド・アプリの安全な構成を定義する。

Center for Internet Security가 수립한 보안 설정의 업계 표준 벤치마크로, OS·클라우드·앱의 안전한 구성을 정의한다.

大量のトラフィックを送りつけてサービスを停止させるDDoS攻撃への対策技術。トラフィックスクラビングやレート制限、Anycast分散で攻撃トラフィックを吸収・遮断する。

대량의 트래픽을 보내 서비스를 정지시키는 DDoS 공격에 대한 대책 기술이다. 트래픽 스크러빙이나 레이트 제한, Anycast 분산으로 공격 트래픽을 흡수·차단한다.

Dockerなどのコンテナ環境における脆弱性管理・アクセス制御・イメージスキャンなどのセキュリティ対策の総称。CI/CDパイプラインへの組み込みが推奨される。

Docker 등 컨테이너 환경에서의 취약점 관리, 접근 제어, 이미지 스캔 등 보안 대책의 총칭. CI/CD 파이프라인에 통합하는 것이 권장된다.

サイバーインシデント発生後にディスク・メモリ・ネットワークログ等のデジタル証拠を法的に有効な手順で収集・保全・分析し、攻撃の原因や侵入経路を特定する調査手法である。

사이버 인시던트 발생 후 디스크·메모리·네트워크 로그 등의 디지털 증거를 법적으로 유효한 절차로 수집·보전·분석하여 공격의 원인이나 침입 경로를 특정하는 조사 수법이다.

パスワードハッシュ化アルゴリズムの一種。2015年のPassword Hashing Competitionで優勝し、メモリコスト・時間コスト・並列性を調整できる高い耐ブルートフォース性が特徴。

패스워드 해시 알고리즘의 일종으로, 2015년 Password Hashing Competition에서 우승했습니다. 메모리 비용, 시간 비용, 병렬성을 조정할 수 있어 브루트포스 공격에 강한 것이 특징입니다.

TLS/SSL証明書を定期的に更新・入れ替えする運用プロセス。証明書の有効期限切れによるサービス停止を防止し漏洩した鍵の長期悪用リスクを低減する。

TLS/SSL 인증서를 정기적으로 갱신·교체하는 운용 프로세스이다. 인증서 유효기간 만료에 의한 서비스 정지를 방지하고 유출된 키의 장기 악용 위험을 저감한다.

メール送信元のドメインを検証し、なりすましメールを防止するメール認証プロトコル。SPFとDKIMの検証結果に基づいてメールの受信可否を制御し、フィッシング被害を軽減する仕組みである。

메일 송신원의 도메인을 검증하고 사칭 메일을 방지하는 메일 인증 프로토콜이다. SPF와 DKIM의 검증 결과에 기반하여 메일 수신 가부를 제어하고 피싱 피해를 경감하는 구조이다.

米国標準技術研究所が標準化した128/192/256ビットの共通鍵暗号方式。高速かつ安全性が高く、ファイル暗号化やVPN通信、データベース暗号化などで最も広く使われるブロック暗号である。

미국 표준기술연구소가 표준화한 128/192/256비트의 공통 키 암호 방식이다. 고속이며 안전성이 높아 파일 암호화나 VPN 통신, 데이터베이스 암호화 등에서 가장 널리 사용되는 블록 암호이다.

WAFのルール設定・チューニング・誤検知対応を含む運用管理。攻撃パターンの更新やカスタムルールの作成により、アプリケーション層の防御を継続的に維持・強化する取り組み。

WAF의 규칙 설정·튜닝·오탐 대응을 포함한 운영 관리. 공격 패턴 갱신과 커스텀 규칙 작성으로 애플리케이션 계층 방어를 유지한다.

机上でセキュリティインシデントのシナリオを想定し、経営層を含む関係者が対応手順や意思決定プロセスを議論・確認する訓練で、実際のシステムを操作せずに組織の対応力を検証する。

탁상에서 보안 인시던트 시나리오를 상정하고 경영진을 포함한 관계자가 대응 절차나 의사 결정 프로세스를 논의·확인하는 훈련으로, 실제 시스템을 조작하지 않고 조직의 대응력을 검증한다.

セキュリティ研究者が発見した脆弱性を、ベンダーに修正期間を与えてから公開する慣行。CVDとも呼ばれ、悪用リスクを最小化しながら透明性を確保するプロセス。

보안 연구자가 발견한 취약점을 벤더에게 수정 기간을 준 뒤 공개하는 관행. CVD라고도 불리며, 악용 위험을 최소화하면서 투명성을 확보하는 프로세스.

「何も信頼しない」を前提とするセキュリティモデル。社内外問わず全アクセスを常に検証・認証し、最小権限の原則に基づいてリソースへのアクセスを制御する考え方。

'아무것도 신뢰하지 않는다'는 전제를 기반으로 한 보안 모델. 내부·외부 불문하고 모든 접근을 항상 검증·인증하며, 최소 권한 원칙에 따라 리소스 접근을 제어하는 개념.

Webアプリケーションに悪意あるスクリプトを注入し、利用者のブラウザ上で実行させる攻撃。セッションハイジャックや個人情報の窃取に悪用される代表的な脆弱性である。

웹 애플리케이션에 악의적인 스크립트를 주입하여 이용자의 브라우저에서 실행시키는 공격이다. 세션 하이재킹이나 개인정보 탈취에 악용되는 대표적인 취약점이다.

Common Weakness Enumerationの略でソフトウェアの脆弱性タイプを体系的に分類した国際的な標準辞書であり、脆弱性の根本原因を特定して効果的な対策を講じるための共通言語として使用される。

Common Weakness Enumeration의 약칭으로 소프트웨어의 취약성 타입을 체계적으로 분류한 국제적인 표준 사전이며, 취약성의 근본 원인을 특정하여 효과적인 대책을 강구하기 위한 공통 언어로 사용된다.

レッドチームによる模擬攻撃を定期的に実施して組織の検知能力と対応手順の有効性を実践的に検証する訓練であり、攻撃者の視点から防御の弱点を発見し改善につなげる。

레드팀에 의한 모의 공격을 정기적으로 실시하여 조직의 탐지 능력과 대응 절차의 유효성을 실전적으로 검증하는 훈련이며, 공격자의 시점에서 방어의 약점을 발견하고 개선으로 이어간다.

ハードディスクやSSDの物理・論理イメージを取得し、削除ファイルやタイムラインを復元して証拠を分析する手法。書き込み防止装置を使い証拠の完全性を保証する。

하드디스크나 SSD의 물리·논리 이미지를 취득하여 삭제 파일이나 타임라인을 복원하고 증거를 분석하는 기법이다. 쓰기 방지 장치를 사용하여 증거의 완전성을 보장한다.

ターゲットが頻繁にアクセスするWebサイトを事前に改ざんし、訪問時にマルウェアを感染させる標的型攻撃手法。水飲み場に集まる獲物を狙う捕食者に例えられ、特定業界の団体サイトが狙われやすい。

타깃이 빈번하게 접속하는 웹사이트를 사전에 변조하여 방문 시 악성코드를 감염시키는 표적형 공격 수법. 물웅덩이에 모이는 먹잇감을 노리는 포식자에 비유되며, 특정 업계의 단체 사이트가 표적이 되기 쉽다.

ユーザーやシステムの認証・認可を一元管理する仕組み。誰が何にアクセスできるかを制御し、最小権限の原則に基づいてリソースへのアクセスを管理する。

사용자 및 시스템의 인증·인가를 중앙에서 관리하는 체계. 누가 무엇에 접근할 수 있는지를 제어하며, 최소 권한 원칙에 따라 리소스 접근을 관리한다.

Webアプリケーションにおけるクロスサイトスクリプティング（XSS）攻撃を防ぐための実装。入力値のサニタイズ、出力エスケープ、CSPヘッダー設定などが主な対策手法。

웹 애플리케이션에서 XSS 공격을 방지하기 위한 구현 방법. 입력값 새니타이징, 출력 이스케이프, CSP 헤더 설정 등이 주요 대응 기법이다.

APIキーやパスワードなどの機密情報を安全に保管・配布・ローテーションするための専用ツールで、ハードコーディングを防止する。

API 키나 비밀번호 등의 기밀 정보를 안전하게 보관·배포·로테이션하기 위한 전용 도구로, 하드코딩을 방지한다.

攻撃者の目的をルートノードとしてその達成手段をツリー構造で分解する脅威モデリング手法であり、攻撃経路の可視化と対策の優先順位付けに活用される。

공격자의 목적을 루트 노드로 하여 그 달성 수단을 트리 구조로 분해하는 위협 모델링 기법이며, 공격 경로의 시각화와 대책의 우선순위 결정에 활용된다.

「何も信頼しない」を原則とするセキュリティモデル。社内外を問わず全アクセスを検証し、最小権限でリソースへのアクセスを制御するZTA設計思想。

'아무것도 신뢰하지 않는다'는 원칙의 보안 모델. 내부·외부 구분 없이 모든 접근을 검증하고, 최소 권한으로 리소스 접근을 제어하는 ZTA 설계 사상.

傍受した正規の通信データを再送して不正な操作を行う攻撃への対策で、ナンスやタイムスタンプの検証により防止する手法である。

도청한 정규 통신 데이터를 재전송하여 부정한 조작을 수행하는 공격에 대한 대책으로, 논스나 타임스탬프 검증으로 방지하는 기법이다.

Content-Security-Policyヘッダーでスクリプトやリソースの読み込み元を制御する設計手法。XSS攻撃のリスクを大幅に低減し、インラインスクリプトの実行を制限する。

Content-Security-Policy 헤더로 스크립트나 리소스의 로딩 출처를 제어하는 설계 기법이다. XSS 공격의 위험을 대폭 저감하고 인라인 스크립트의 실행을 제한한다.

デジタル通信において身元や公開鍵の正当性を保証する電子文書。SSL/TLS証明書やクライアント証明書など、HTTPS通信やユーザー認証に広く利用される。

디지털 통신에서 신원이나 공개 키의 정당성을 보증하는 전자 문서. SSL/TLS 인증서나 클라이언트 인증서 등, HTTPS 통신 및 사용자 인증에 널리 활용된다.

認証や認可に使われる一時的な文字列データ。JWTやOAuthのアクセストークンとして利用され、ユーザーの識別やAPIアクセス権限の検証に使われる。

인증 및 인가에 사용되는 임시 문자열 데이터. JWT나 OAuth의 액세스 토큰으로 활용되며, 사용자 식별 및 API 접근 권한 검증에 사용된다.

通信する2者の間に攻撃者が割り込み、双方に気づかれないまま通信内容を盗聴・改ざんする攻撃手法。MitM攻撃とも呼ばれる。

통신하는 두 당사자 사이에 공격자가 끼어들어, 양측이 눈치채지 못한 채로 통신 내용을 도청·변조하는 공격 기법. MitM 공격이라고도 불린다.

全従業員を対象にフィッシング・ソーシャルエンジニアリングなどの脅威を認識させ、セキュリティ意識を向上させる定期研修。実践的なシミュレーション演習を含む形式が特に効果的である。

전 직원을 대상으로 피싱·소셜 엔지니어링 등의 위협을 인식시키고 보안 의식을 향상시키는 정기 연수. 실천적인 연습을 포함하는 형식이 효과적이다.

JSON Web Tokenの署名アルゴリズム検証・有効期限の厳密な管理・アルゴリズム指定の厳格化など、JWTを安全に利用するためのセキュリティ対策の総称である。

JSON Web Token의 서명 알고리즘 검증·유효 기한의 엄밀한 관리·알고리즘 지정 엄격화 등, JWT를 안전하게 이용하기 위한 보안 대책의 총칭이다.

米国立標準技術研究所（NIST）が策定したサイバーセキュリティ対策の枠組み。識別・防御・検知・対応・復旧の5機能で構成され、組織のリスク管理に活用される。

미국 국립표준기술연구소(NIST)가 수립한 사이버보안 대책 프레임워크. 식별·보호·탐지·대응·복구의 5가지 기능으로 구성되며, 조직의 리스크 관리에 활용된다.

システムログやアクセスログが不正に書き換えられたことを検知する仕組みのこと。ログのハッシュチェーン・イミュータブルストレージ・定期的な整合性検証により改ざんを防止・検出する。

시스템 로그나 접근 로그가 부정하게 변조된 것을 감지하는 구조를 말한다. 로그의 해시 체인·이뮤터블 스토리지·정기적인 정합성 검증으로 변조를 방지·검출한다.

パスワードを一方向性の暗号化関数（ハッシュ関数）で変換した値。bcryptやArgon2などを使いDB保存時に平文を残さないセキュリティ手法。

패스워드를 단방향 암호화 함수(해시 함수)로 변환한 값. bcrypt나 Argon2 등을 사용해 DB 저장 시 평문을 남기지 않는 보안 기법.

Intrusion Prevention Systemの略。ネットワーク上の不正アクセスや攻撃をリアルタイムで検知し、自動的にブロックするセキュリティシステム。IDSの検知機能に加え遮断機能を持つ。

Intrusion Prevention System의 약자. 네트워크상의 불법 접근이나 공격을 실시간으로 탐지하고 자동으로 차단하는 보안 시스템. IDS의 탐지 기능에 더해 차단 기능을 갖춘다.

複数の異なる組織やシステム間で、ユーザー認証情報を共有・連携する仕組み。SAMLやOIDCなどのプロトコルを使い、シングルサインオンを実現する。

서로 다른 여러 조직이나 시스템 간에 사용자 인증 정보를 공유·연계하는 구조. SAML이나 OIDC 등의 프로토콜을 활용해 싱글 사인온(SSO)을 구현한다.

パスワードに依存せず生体認証やハードウェアセキュリティキーを使ったフィッシング耐性のある認証規格で、WebAuthnとCTAPの二つの標準プロトコルで構成される。

비밀번호에 의존하지 않고 생체 인증이나 하드웨어 보안 키를 사용한 피싱 내성이 있는 인증 규격으로, WebAuthn과 CTAP 두 표준 프로토콜로 구성된다.

米国サーベンス・オクスリー法（SOX）に基づき、上場企業が財務報告の信頼性確保と内部統制の整備・評価を義務付けられた対応のこと。ITシステムへのアクセス管理やログ監査が重要。

미국 사베인스-옥슬리법(SOX)에 따라 상장기업이 재무보고의 신뢰성 확보와 내부통제 정비·평가를 의무적으로 수행해야 하는 대응으로, IT 시스템 접근 관리 및 로그 감사가 핵심입니다.

Public Key Infrastructureの略。デジタル証明書と公開鍵暗号を用いて、通信の認証・暗号化・署名を管理するための仕組みや体系全体を指す。

Public Key Infrastructure의 약자. 디지털 인증서와 공개 키 암호화를 사용하여 통신의 인증·암호화·서명을 관리하는 구조 및 체계 전반을 가리킨다.

ファイル・ディレクトリ・リソースなどに対するアクセス権限のこと。読み取り・書き込み・実行の権限をユーザーやグループ単位で設定し、システムのセキュリティを管理する。

파일, 디렉토리, 리소스 등에 대한 접근 권한을 의미한다. 읽기·쓰기·실행 권한을 사용자 및 그룹 단위로 설정하여 시스템 보안을 관리한다.

CDNを悪用してHTTPSリクエストのSNIフィールドとHostヘッダーを異なるドメインに設定し、マルウェアのC2通信を正規のCDNトラフィックに偽装する高度な攻撃手法である。

CDN을 악용하여 HTTPS 요청의 SNI 필드와 Host 헤더를 다른 도메인으로 설정하고 멀웨어의 C2 통신을 정규 CDN 트래픽으로 위장하는 고도의 공격 수법이다.

SQLインジェクション攻撃を防ぐための対策。プリペアドステートメントやバインド変数の使用、入力値のバリデーション・エスケープ処理が基本手法となる。

SQL 인젝션 공격을 방지하기 위한 대응책. 준비된 구문(Prepared Statement)과 바인드 변수 사용, 입력값 유효성 검사 및 이스케이프 처리가 기본 방법이다.

高い権限を業務上必要な時のみ承認プロセスを経て一時的に付与し、使用完了後は自動的に権限を剥奪するアクセス制御方式で、常時権限保持によるセキュリティリスクを低減する。

높은 권한을 업무상 필요한 때에만 승인 프로세스를 거쳐 일시적으로 부여하고, 사용 완료 후 자동으로 권한을 박탈하는 접근 제어 방식으로, 상시 권한 보유에 따른 보안 리스크를 저감한다.

組織やシステムのセキュリティ状態を定量的にスコア化して評価する手法。外部公開情報やパッチ適用状況から算出しサプライチェーンリスクの可視化にも活用される。

조직이나 시스템의 보안 상태를 정량적으로 스코어화하여 평가하는 기법이다. 외부 공개 정보나 패치 적용 현황에서 산출하며 공급망 위험의 가시화에도 활용된다.

Kubernetesのポッドやコンテナに対して実行ユーザーや権限の制約を定義する設定項目。root実行の禁止やread-onlyファイルシステムの強制で攻撃面を縮小する。

Kubernetes 파드나 컨테이너에 대해 실행 사용자나 권한 제약을 정의하는 설정 항목이다. root 실행 금지나 read-only 파일 시스템 강제로 공격 면을 축소한다.

セキュリティ運用におけるルーティン作業や定型的な対応をスクリプトやツールで自動化する取り組み。アラートのトリアージ、マルウェアの隔離、レポート生成などを自動化し、アナリストの負担を軽減する。

보안 운용에서의 루틴 작업이나 정형적인 대응을 스크립트나 도구로 자동화하는 작업. 알림의 트리아지, 악성코드의 격리, 리포트 생성 등을 자동화하여 분석가의 부담을 경감한다.

システムやアプリケーションへのアクセスログを体系的に分析し、不正アクセスや異常な利用パターンを検出する活動。セキュリティ監視の基本であり、インシデント調査の証拠としても活用される。

시스템이나 애플리케이션에 대한 접근 로그를 체계적으로 분석하여 부정 접근이나 이상한 이용 패턴을 검출하는 활동. 보안 감시의 기본이며, 인시던트 조사의 증거로도 활용된다.

外部のセキュリティ研究者やハッカーに対して、システムの脆弱性を発見・報告した際に報酬を支払う制度。組織内部だけでは発見しにくい脆弱性を幅広い人材の力で洗い出すことができる。

외부의 보안 연구자나 해커에 대해 시스템의 취약성을 발견·보고했을 때 보상을 지급하는 제도. 조직 내부만으로는 발견하기 어려운 취약성을 폭넓은 인재의 힘으로 찾아낼 수 있다.

同一パラメータを複数指定してサーバーの処理を混乱させる攻撃手法で、入力値の不適切な解析を悪用するものである。

동일 파라미터를 복수 지정하여 서버 처리를 혼란시키는 공격 기법으로, 입력값의 부적절한 해석을 악용하는 것이다.

システムやネットワークに対して実際の攻撃を模擬し、脆弱性を発見・評価するセキュリティ検査手法。ペンテストとも呼ばれる。

시스템이나 네트워크에 대해 실제 공격을 모의하여 취약점을 발견하고 평가하는 보안 검사 기법으로, 펜테스트라고도 불린다.

特定の組織を標的として長期間にわたり執拗に行われる高度なサイバー攻撃。国家支援型のハッカー集団が関与することが多く、初期侵入後に長期間潜伏して機密情報を窃取する手法が特徴である。

특정 조직을 표적으로 장기간에 걸쳐 집요하게 수행되는 고도의 사이버 공격. 국가 지원형 해커 집단이 관여하는 경우가 많으며, 초기 침입 후 장기간 잠복하여 기밀 정보를 탈취하는 수법이 특징이다.

正規の通信を傍受して再送信することで不正にアクセスを試みる攻撃であり、ノンスやタイムスタンプの検証ロジックを実装して同一リクエストの再利用を検出・拒否して防御する。

정규의 통신을 방수하여 재송신함으로써 부정하게 접근을 시도하는 공격이며, 논스나 타임스탬프의 검증 로직을 구현하여 동일 요청의 재이용을 검출·거부하여 방어한다.

レッドチーム（攻撃側）とブルーチーム（防御側）が連携・協力してセキュリティの改善を行う手法。両者の知見を融合し、実践的な防御力強化を目指す。

레드팀(공격 측)과 블루팀(방어 측)이 연계·협력하여 보안을 개선하는 기법. 양측의 지식을 융합해 실질적인 방어력 강화를 목표로 한다.

本番環境に意図的にセキュリティ障害を注入し、システムの耐性や検知能力を検証するアプローチで、防御体制の弱点を発見する。

본번 환경에 의도적으로 보안 장애를 주입하여 시스템의 내성이나 탐지 능력을 검증하는 접근법으로, 방어 체제의 약점을 발견한다.

サーバーサイドリクエストフォージェリの防御をDNSリバインディング等で回避する攻撃手法への対策で、DNS解決後のIPアドレス検証を含む複数段階でリクエスト先を検証する。

서버 사이드 리퀘스트 포저리의 방어를 DNS 리바인딩 등으로 우회하는 공격 수법에 대한 대책으로, DNS 해석 후 IP 주소 검증을 포함한 여러 단계로 요청 대상을 검증한다.

アプリの開発者を証明し、改ざんを防ぐためにデジタル署名を付与する仕組み。iOSはApple、AndroidはGoogle Playによる署名管理が必要。

앱 개발자를 증명하고 위변조를 방지하기 위해 디지털 서명을 부여하는 방식. iOS는 Apple, Android는 Google Play를 통한 서명 관리가 필요합니다.

ネットワークトラフィックの許可・拒否条件を定義した設定。送信元IP、宛先IP、ポート番号などを基に通信を制御し、不正アクセスを防ぐ。

네트워크 트래픽의 허용·차단 조건을 정의한 설정입니다. 출발지 IP, 목적지 IP, 포트 번호 등을 기반으로 통신을 제어하여 불법 접근을 방지합니다.

Policy-Based Access Control（ポリシーベースアクセス制御）。企業のビジネスルールやコンプライアンス要件をロジック（ポリシー）として記述し、それに基づいてアクセス可否を一元的に判定する手法。

Policy-Based Access Control(정책 기반 접근 제어). 기업의 비즈니스 규칙이나 컴플라이언스 요건을 로직(정책)으로 작성하고, 이를 기반으로 접근 가능 여부를 일원적으로 판정하는 기법.

攻撃者が一般ユーザーの権限からシステム管理者レベルの権限を不正に取得する攻撃手法であり、カーネルの脆弱性や設定ミスを悪用して実行される。最小権限の原則で被害を軽減する。

공격자가 일반 사용자의 권한에서 시스템 관리자 레벨의 권한을 부정하게 취득하는 공격 기법이며, 커널의 취약성이나 설정 미스를 악용하여 실행된다. 최소 권한의 원칙으로 피해를 경감한다.

デジタル証明書を発行・管理する信頼された第三者機関。公開鍵基盤において証明書の発行、失効、更新などのライフサイクルを担い、通信相手の身元を保証する重要な役割を果たす。

디지털 인증서를 발행·관리하는 신뢰된 제삼자 기관이다. 공개 키 기반에서 인증서의 발행, 실효, 갱신 등의 라이프사이클을 담당하며 통신 상대의 신원을 보증하는 중요한 역할을 한다.

個々のホスト上でファイル変更、プロセス実行、ログイン試行などを監視して不正行為を検知するセキュリティ手法。ネットワーク型IDSでは検出できないローカルレベルの攻撃を検知する。

개별 호스트에서 파일 변경, 프로세스 실행, 로그인 시도 등을 감시하여 부정 행위를 감지하는 보안 기법이다. 네트워크형 IDS로는 검출할 수 없는 로컬 레벨의 공격을 감지한다.

ネットワーク上の通信データを収集・保全・分析し、セキュリティインシデントの原因や攻撃経路を特定する調査手法。パケットキャプチャの解析が中心となり、証拠保全にも活用される。

네트워크상의 통신 데이터를 수집·보전·분석하여 보안 인시던트의 원인과 공격 경로를 특정하는 조사 기법. 패킷 캡처 분석이 중심이 된다.

APIキー・パスワード・証明書などの機密情報を安全に保存・配布・ローテーションする仕組み。HashiCorp VaultやAWS Secrets Managerなどのツールが広く使われる。

API 키, 패스워드, 인증서 등의 기밀 정보를 안전하게 저장·배포·교체하는 구조. HashiCorp Vault나 AWS Secrets Manager 등의 툴이 널리 활용된다.

実行中のコンテナ内のプロセスやシステムコールをリアルタイムで監視し、不審な挙動や既知の攻撃パターンを検知してアラートを発報・自動隔離するセキュリティ対策である。

실행 중인 컨테이너 내의 프로세스나 시스템 콜을 실시간으로 감시하고, 의심스러운 동작이나 알려진 공격 패턴을 감지하여 알림 발생·자동 격리하는 보안 대책이다.

組織の外部から到達可能な全資産を継続的に発見・分類・監視するプロセス。シャドーITや放置された公開サービスを把握し攻撃者に悪用される前に対処する。

조직의 외부에서 도달 가능한 모든 자산을 지속적으로 발견·분류·감시하는 프로세스이다. 섀도 IT나 방치된 공개 서비스를 파악하여 공격자에게 악용되기 전에 대처한다.

パスワードや暗号鍵を総当たりで試みる攻撃手法。すべての組み合わせを機械的に試すため、複雑なパスワード設定やアカウントロック機能による対策が必要。

비밀번호나 암호화 키를 무차별적으로 대입해보는 공격 기법. 가능한 모든 조합을 기계적으로 시도하므로, 복잡한 비밀번호 설정과 계정 잠금 기능으로 대응이 필요하다.

サーバー証明書からルート証明書までの信頼の連鎖を順に検証するプロセス。中間証明書の有効性や失効状態を含めて検証し、不正な証明書による中間者攻撃を防止する重要な仕組みである。

서버 인증서에서 루트 인증서까지의 신뢰 체인을 순서대로 검증하는 프로세스이다. 중간 인증서의 유효성이나 실효 상태를 포함하여 검증하고 부정한 인증서에 의한 중간자 공격을 방지하는 중요한 구조이다.

Security Operations Centerの略。組織のセキュリティ監視・分析・対応を一元管理する専門チームまたは施設。24時間365日体制でサイバー脅威を検知・対処する。

Security Operations Center의 약자. 조직의 보안 모니터링·분석·대응을 일원화하여 관리하는 전문 팀 또는 시설. 24시간 365일 체제로 사이버 위협을 탐지하고 대처한다.

公開された脆弱性に一意の識別子を付与するCommon Vulnerabilities and Exposuresを活用し、組織が使用するソフトウェアの脆弱性対応を体系的に管理する。

공개된 취약점에 고유 식별자를 부여하는 Common Vulnerabilities and Exposures를 활용하여 조직이 사용하는 소프트웨어의 취약점 대응을 체계적으로 관리한다.

個人情報保護法（PIPA）に基づき、個人データの収集・利用・管理を適法に行うための技術的・組織的対策を実施すること。

개인정보보호법(PIPA)에 따라 개인 데이터의 수집·이용·관리를 적법하게 수행하기 위한 기술적·조직적 대책을 시행하는 것.

Cloud Security Posture Managementの略。AWSやGCPなどのクラウドリソースの設定ミスやコンプライアンス違反を自動で検知・可視化し、セキュリティリスクを低減するツール。

Cloud Security Posture Management의 약자. AWS나 GCP 등 클라우드 리소스의 설정 오류나 컴플라이언스 위반을 자동으로 탐지·시각화하여 보안 리스크를 줄이는 도구.

JSON Web Key Setの略。JWTの署名検証に必要な公開鍵のセットをJSON形式で提供する仕組み。IdPがエンドポイント（/.well-known/jwks.jsonなど）で公開し、クライアントが鍵を自動取得するために使う。

JSON Web Key Set의 약자. JWT의 서명 검증에 필요한 공개키 세트를 JSON 형식으로 제공하는 구조. IdP가 엔드포인트(/.well-known/jwks.json 등)에 공개하여, 클라이언트가 키를 자동 획득하기 위해 사용한다.

一度の認証で複数のシステムやサービスにアクセスできる仕組み。ユーザーの利便性向上とパスワード管理コスト削減に効果的。略称はSSO。

한 번의 인증으로 여러 시스템 및 서비스에 접근할 수 있는 구조. 사용자 편의성 향상과 비밀번호 관리 비용 절감에 효과적이며, 약칭은 SSO.

要件定義から運用まで全開発工程にセキュリティ活動を組み込んだ開発プロセスモデルであり、設計段階での脅威モデリングやコードレビュー、ペネトレーションテストを体系化する。

요건 정의부터 운용까지 전 개발 공정에 보안 활동을 통합한 개발 프로세스 모델이며, 설계 단계에서의 위협 모델링이나 코드 리뷰, 침투 테스트를 체계화한다.

ネットワークトラフィックをリアルタイムで監視し、不正なアクセスパターンや攻撃の兆候を検知するシステム。シグネチャベースと異常検知ベースの手法を組み合わせて脅威を特定する。

네트워크 트래픽을 실시간으로 감시하고 부정한 접근 패턴이나 공격 징후를 감지하는 시스템이다. 시그니처 기반과 이상 탐지 기반의 기법을 조합하여 위협을 특정한다.

ビジネス要件によりセキュリティポリシーの例外を認める場合の承認・記録・定期見直しプロセス。リスク受容の判断根拠を文書化し、追跡可能にすることで監査対応を容易にする。

비즈니스 요건으로 보안 정책의 예외를 인정하는 경우의 승인·기록·정기 재검토 프로세스. 리스크 수용 판단 근거를 문서화하고 추적 가능하게 한다.

ネットワーク上のコンテンツを検査し、有害・不適切なWebサイトやファイルへのアクセスをブロックするセキュリティ技術。企業のポリシー管理やマルウェア対策に活用される。

네트워크상의 콘텐츠를 검사하여 유해하거나 부적절한 웹사이트 및 파일 접근을 차단하는 보안 기술로, 기업 정책 관리 및 악성코드 대책에 활용된다.

管理者権限など高い権限を持つアカウントのアクセスを一元管理・監視する仕組み。PAMとも呼ばれ、特権アカウントの不正利用や内部脅威を防ぐために導入される。

관리자 권한 등 높은 권한을 가진 계정의 접근을 중앙에서 관리·모니터링하는 체계. PAM이라고도 불리며, 특권 계정의 부정 사용 및 내부 위협을 방지하기 위해 도입된다.

CPUのセキュアな領域でデータを暗号化したまま処理し、OSやハイパーバイザーからも保護されたメモリ空間を提供する技術である。

CPU의 안전한 영역에서 데이터를 암호화한 채로 처리하고, OS나 하이퍼바이저로부터도 보호된 메모리 공간을 제공하는 기술이다.

サイバー脅威情報を構造化して表現するための標準規格。攻撃パターンやインジケーター、脅威アクターをJSON形式で記述し、組織間での脅威情報共有を効率化する。

사이버 위협 정보를 구조화하여 표현하기 위한 표준 규격이다. 공격 패턴이나 인디케이터, 위협 액터를 JSON 형식으로 기술하여 조직 간 위협 정보 공유를 효율화한다.

サイバー攻撃の痕跡を示す指標で、不正なIPアドレス・ハッシュ値・ドメインなどの情報をもとに脅威を特定・共有する仕組みである。

사이버 공격의 흔적을 나타내는 지표로, 부정한 IP 주소·해시값·도메인 등의 정보를 바탕으로 위협을 특정·공유하는 구조이다.

データベースやコードリポジトリに偽の認証情報やAPIキーを意図的に埋め込み、それが外部から使用された際にアラートを発報して情報漏洩を早期に検知する仕組みである。

데이터베이스나 코드 리포지토리에 가짜 인증 정보나 API 키를 의도적으로 삽입하고, 외부에서 사용 시 알림을 발생시켜 정보 유출을 조기에 감지하는 구조이다.

パッチや修正プログラムが存在しない未知の脆弱性（Zero-day）が発見された際に、被害を最小限に抑えるための緊急対応・暫定措置の実施プロセス。

패치나 수정 프로그램이 존재하지 않는 미지의 취약점(Zero-day)이 발견되었을 때, 피해를 최소화하기 위한 긴급 대응 및 임시 조치 실행 프로세스.

Mobile Device Managementの略。スマートフォンやタブレットなど企業のモバイル端末を一元管理し、セキュリティポリシーの適用やリモートワイプなどを行う仕組み。

Mobile Device Management의 약자. 스마트폰이나 태블릿 등 기업의 모바일 단말기를 일원화하여 관리하고, 보안 정책 적용 및 원격 초기화 등을 수행하는 체계.

サイバー攻撃を受けた場合でも事業を継続し、速やかに回復する組織の能力。攻撃の完全な防御は不可能であることを前提に、検知・対応・復旧の能力を総合的に高めるアプローチを取る。

사이버 공격을 받은 경우에도 사업을 지속하고 신속하게 회복하는 조직의 능력. 공격의 완전한 방어는 불가능함을 전제로, 탐지·대응·복구 능력을 종합적으로 높이는 접근법을 취한다.

米国国立標準技術研究所。情報セキュリティのフレームワーク（NIST CSF）やガイドライン（SP 800シリーズ）を策定し、世界標準として広く参照される機関。

미국 국립표준기술연구소. 정보 보안 프레임워크(NIST CSF)와 가이드라인(SP 800 시리즈)을 수립하며, 전 세계 보안 표준으로 널리 참조되는 기관.

Role-Based Access Controlの略。ユーザーに役割（ロール）を割り当て、そのロールに基づいてリソースへのアクセス権限を管理する仕組み。最小権限の原則を実現しやすい。

Role-Based Access Control의 약자. 사용자에게 역할(롤)을 할당하고, 그 역할에 따라 리소스 접근 권한을 관리하는 방식. 최소 권한 원칙을 구현하기 쉽다.

MicrosoftのクラウドネイティブなSIEM/SOARサービス。ログの収集・分析・脅威検知・インシデント対応を一元管理し、AIを活用したセキュリティ監視を提供する。

Microsoft의 클라우드 네이티브 SIEM/SOAR 서비스. 로그 수집·분석·위협 탐지·인시던트 대응을 일원화하여 관리하며, AI를 활용한 보안 모니터링을 제공한다.

サーバーが発行したトークン（主にJWT）をクライアントが保持し、リクエスト時にヘッダーへ付与することで認証を行う仕組み。セッション管理不要でステートレスなAPI認証に広く使われる。

서버가 발급한 토큰(주로 JWT)을 클라이언트가 보유하고, 요청 시 헤더에 첨부하여 인증을 수행하는 방식. 세션 관리가 불필요하며 스테이트리스한 API 인증에 널리 사용된다.

アプリケーション実行時に内部から攻撃を検知・防御するRASP技術で、WAFでは防げない内部の脆弱性攻撃にも対応できる。

애플리케이션 실행 시 내부에서 공격을 탐지·방어하는 RASP 기술로, WAF로는 막을 수 없는 내부 취약점 공격에도 대응할 수 있다.

「信頼しない、常に検証する」原則に基づくネットワークアクセス制御モデル。ユーザーや端末の場所を問わず、アクセスのたびに認証・認可を行いZTNAとも呼ばれる。

'신뢰하지 않고 항상 검증한다'는 원칙에 기반한 네트워크 액세스 제어 모델. 사용자나 단말의 위치에 관계없이 접근할 때마다 인증 및 인가를 수행하며 ZTNA라고도 불린다.

現在時刻とシークレットキーを組み合わせて生成する一時的なパスワード。TOTP（RFC 6238）として標準化されており、30秒ごとに更新される6〜8桁の数字が使われる。二要素認証で広く採用。

현재 시각과 시크릿 키를 조합하여 생성하는 임시 비밀번호. TOTP(RFC 6238)로 표준화되어 있으며, 30초마다 갱신되는 6~8자리 숫자가 사용된다. 이중 인증에서 널리 채택되고 있다.

なりすまし・改ざん・否認・情報漏洩・DoS・権限昇格の6カテゴリで脅威を分類するモデル。設計段階で体系的に脅威を洗い出し対策の漏れを防止する手法である。

위장·변조·부인·정보 유출·DoS·권한 승격의 6개 카테고리로 위협을 분류하는 모델이다. 설계 단계에서 체계적으로 위협을 도출하여 대책 누락을 방지하는 기법이다.

コンテナイメージにデジタル署名を付与し、デプロイ時に改ざんがないことを検証する仕組み。Cosignなどのツールで署名・検証を自動化しサプライチェーン攻撃を防止する。

컨테이너 이미지에 디지털 서명을 부여하여 배포 시 변조가 없음을 검증하는 구조이다. Cosign 등의 도구로 서명·검증을 자동화하여 공급망 공격을 방지한다.

ユーザーのアイデンティティを最初のセキュリティ境界として扱うアプローチ。IDaaS・MFA・ゼロトラストと組み合わせ、認証・認可を中心にセキュリティポリシーを設計する考え方。

사용자 아이덴티티를 최초의 보안 경계로 취급하는 접근 방식. IDaaS·MFA·제로 트러스트와 결합하여 인증·인가를 중심으로 보안 정책을 설계하는 개념.

セキュリティインシデント発生時の検知・封じ込め・根絶・復旧・事後分析の各フェーズにおける具体的な対応手順・担当者・エスカレーション経路を定めた組織的な計画書である。

보안 인시던트 발생 시 감지·봉쇄·근절·복구·사후 분석 각 페이즈에서의 구체적인 대응 절차·담당자·에스컬레이션 경로를 정한 조직적인 계획서이다.

セキュリティインシデント検知時にプレイブックに基づきネットワーク隔離やアカウント無効化を自動実行する仕組み。対応の初動を高速化し被害拡大を最小限に抑える。

보안 인시던트 탐지 시 플레이북에 기반하여 네트워크 격리나 계정 무효화를 자동 실행하는 구조이다. 대응 초동을 고속화하여 피해 확대를 최소한으로 억제한다.

セキュリティポリシーをコードとして記述・管理し、自動適用・検証を行うアプローチで、設定ミスを防止して一貫性を確保する。

보안 정책을 코드로 기술·관리하고 자동 적용·검증을 수행하는 접근법으로, 설정 오류를 방지하여 일관성을 확보한다.

Chief Information Security Officerの略。企業の情報セキュリティ戦略を統括する最高責任者で、リスク管理・セキュリティポリシー策定・インシデント対応の指揮を担う。

Chief Information Security Officer의 약자. 기업의 정보 보안 전략을 총괄하는 최고 책임자로, 리스크 관리, 보안 정책 수립, 인시던트 대응 지휘를 담당한다.

Demonstrating Proof of Possessionの略。アクセストークンを特定のクライアントに紐付けるOAuth拡張仕様。トークン盗難・再利用攻撃を防ぎ、トークンバインディングを実現する。

Demonstrating Proof of Possession의 약자. 액세스 토큰을 특정 클라이언트에 연결하는 OAuth 확장 사양. 토큰 도용 및 재사용 공격을 방지하고 토큰 바인딩을 실현한다.

アプリケーション内部にエージェントを埋め込み、実行時の動作を監視して脆弱性を検出するテスト手法で、SASTとDASTの長所を兼ね備える。

애플리케이션 내부에 에이전트를 삽입하여 실행 시 동작을 감시하고 취약점을 검출하는 테스트 기법으로, SAST와 DAST의 장점을 겸비한다.

パスワードを使わずに生体認証やハードウェアキーなど複数の要素で本人確認を行う認証方式であり、フィッシング耐性が高くユーザー体験の向上とセキュリティ強化を両立する。

패스워드를 사용하지 않고 생체 인증이나 하드웨어 키 등 복수의 요소로 본인 확인을 수행하는 인증 방식이며, 피싱 내성이 높아 사용자 경험 향상과 보안 강화를 양립한다.

組織が外部から攻撃される可能性のあるすべての露出ポイントを継続的に発見・評価・管理するプロセス。ASMとも呼ばれ、シャドーITや未把握資産の可視化にも有効。

조직이 외부에서 공격받을 수 있는 모든 노출 지점을 지속적으로 발견·평가·관리하는 프로세스. ASM이라고도 하며, 섀도 IT 및 미파악 자산의 가시화에도 효과적이다.

システムやネットワークに対して組織が定める最低限のセキュリティ基準。設定値やポリシーの標準として使用し、コンプライアンス対応や脆弱性管理の基盤となる。

시스템이나 네트워크에 대해 조직이 정하는 최소한의 보안 기준. 설정값과 정책의 표준으로 사용되며, 컴플라이언스 대응과 취약점 관리의 기반이 된다.

クライアントとサーバー間の通信を中継し、通信経路の暗号化を追加または変更するプロキシサーバー。レガシーシステムへのTLS対応やプロトコルの暗号化アップグレードに使用される。

클라이언트와 서버 간의 통신을 중계하고 통신 경로의 암호화를 추가 또는 변경하는 프록시 서버이다. 레거시 시스템으로의 TLS 대응이나 프로토콜의 암호화 업그레이드에 사용된다.

APIキーやパスワードなど、システムが使用する機密情報の総称。ソースコードへの直接埋め込みを避け、環境変数やシークレット管理サービスで安全に管理するのが基本。

API 키나 패스워드 등 시스템이 사용하는 기밀 정보의 총칭. 소스 코드에 직접 포함시키지 않고, 환경 변수나 시크릿 관리 서비스를 통해 안전하게 관리하는 것이 기본 원칙이다.

パスワードの代わりに生体認証やPINを使って認証するFIDO2準拠の仕組み。フィッシング耐性が高く、AppleのTouch ID/Face IDやGoogleアカウントでの採用が広がっている。

비밀번호 대신 생체 인증이나 PIN을 사용하여 인증하는 FIDO2 준거 방식. 피싱 내성이 높으며, Apple의 Touch ID/Face ID나 Google 계정에서의 채용이 확산되고 있다.

ファイアウォール、アンチウイルス、IPS、VPN、コンテンツフィルタリングなど複数のセキュリティ機能を単一のアプライアンスに集約した製品。中小企業向けにセキュリティ運用の複雑さを大幅に軽減する。

방화벽, 안티바이러스, IPS, VPN, 콘텐츠 필터링 등 복수의 보안 기능을 단일 어플라이언스에 집약한 제품이다. 중소기업 대상으로 보안 운용의 복잡성을 대폭 경감한다.

ソースコードやバイナリを意図的に読みにくく変換し、リバースエンジニアリングを困難にする技術。モバイルアプリやJavaScriptなどクライアント側で実行されるコードの保護に広く採用されている。

소스 코드나 바이너리를 의도적으로 읽기 어렵게 변환하여 리버스 엔지니어링을 어렵게 만드는 기술. 모바일 앱이나 JavaScript 등 클라이언트 측에서 실행되는 코드의 보호에 널리 채용되고 있다.

正規のソフトウェアに偽装して端末に侵入する悪意あるプログラム。バックドア設置や情報窃取を目的とし、ユーザーが気づかぬうちに実行される。

정상적인 소프트웨어로 위장하여 단말기에 침투하는 악성 프로그램. 백도어 설치나 정보 탈취를 목적으로 하며, 사용자가 인지하지 못한 채 실행된다.

攻撃者をおびき寄せるために意図的に脆弱性を残した囮のシステムやサーバー。攻撃手法の分析や攻撃者の動向を把握する目的で設置され、実際の本番システムへの攻撃を防ぐ効果もある。

공격자를 유인하기 위해 의도적으로 취약성을 남긴 미끼 시스템이나 서버. 공격 수법의 분석이나 공격자의 동향을 파악하는 목적으로 설치되며, 실제 운영 시스템에 대한 공격을 방지하는 효과도 있다.

暗号化に使用する鍵を定期的に更新し、古い鍵の漏洩リスクを軽減する運用プロセス。自動ローテーション機能を持つKMSの活用が一般的であり、コンプライアンス要件としても求められる。

암호화에 사용하는 키를 정기적으로 갱신하여 오래된 키의 유출 리스크를 경감하는 운영 프로세스. 자동 로테이션 기능을 갖춘 KMS 활용이 일반적이다.

サーバーサイドリクエストフォージェリ（SSRF）攻撃を防ぐための対策。外部からの不正なリクエストによって内部ネットワークやクラウドのメタデータにアクセスされるのを防ぐ。

서버 측 요청 위조(SSRF) 공격을 방지하기 위한 대책. 외부의 부정한 요청으로 내부 네트워크나 클라우드 메타데이터에 접근되는 것을 막는 보안 조치.

ダークウェブ上で自社の機密情報や認証情報が流出・売買されていないかを継続的に監視するセキュリティサービス。漏洩した資格情報の早期発見により、被害拡大を未然に防止することができる。

다크웹상에서 자사의 기밀 정보나 인증 정보가 유출·거래되고 있지 않은지를 지속적으로 감시하는 보안 서비스. 유출된 자격 정보의 조기 발견으로 피해 확대를 미연에 방지할 수 있다.

Proof Key for Code Exchangeの略。OAuth 2.0の認可コードフローにおいてコードインターセプト攻撃を防ぐセキュリティ拡張。SPA・モバイルアプリでの認証に必須。

Proof Key for Code Exchange의 약자. OAuth 2.0 인가 코드 흐름에서 코드 가로채기 공격을 방지하는 보안 확장. SPA 및 모바일 앱 인증에 필수적이다.

Content Security Policyの略でブラウザが読み込み可能なリソースの出所をHTTPヘッダーで制限するセキュリティ機構であり、XSSやデータインジェクション攻撃のリスクを大幅に軽減する。

Content Security Policy의 약칭으로 브라우저가 로드 가능한 리소스의 출처를 HTTP 헤더로 제한하는 보안 기구이며, XSS나 데이터 인젝션 공격의 리스크를 대폭 경감한다.

DNSレコードに正規のメール送信サーバーのIPアドレスを登録し、送信元を検証するメール認証技術。未登録のIPからのメール送信を検知してスパムやフィッシングメールの識別に活用される。

DNS 레코드에 정규 메일 송신 서버의 IP 주소를 등록하고 송신원을 검증하는 메일 인증 기술이다. 미등록 IP에서의 메일 송신을 감지하여 스팸이나 피싱 메일 식별에 활용된다.

ユーザーやシステムに付与されていたアクセス権限やリソースを削除・無効化するプロセス。退職者のアカウント削除やクラウドリソースの解放時に実施される。

사용자나 시스템에 부여된 접근 권한 및 리소스를 삭제·비활성화하는 프로세스. 퇴사자 계정 삭제나 클라우드 리소스 해제 시 수행된다.

ストレージ全体を暗号化し、デバイスの紛失や盗難時にデータの不正読み取りを防止する技術。BitLockerやFileVaultが代表的な実装であり、企業のセキュリティポリシーで義務化される。

스토리지 전체를 암호화하여 디바이스 분실이나 도난 시 데이터의 부정 읽기를 방지하는 기술. BitLocker와 FileVault가 대표적인 구현이다.

SSL/TLS証明書の発行をパブリックログに記録し、不正な証明書の発行を検知可能にする仕組み。Certificate Transparencyとして標準化されている。

SSL/TLS 인증서 발행을 퍼블릭 로그에 기록하여 부정한 인증서 발행을 검지 가능하게 하는 구조. Certificate Transparency로 표준화되어 있다.

「何も信頼しない」を前提とし、社内外問わず全アクセスを継続的に認証・認可するセキュリティモデル。境界防御型VPNの代替として注目される。

'아무것도 신뢰하지 않는다'는 원칙하에 내외부 모든 접근을 지속적으로 인증·인가하는 보안 모델. 경계 방어형 VPN의 대안으로 주목받고 있다.

ソフトウェアの開発・配布プロセスに侵入してマルウェアを埋め込む攻撃。npm/PyPIへの悪意あるパッケージ公開やビルドパイプラインへの侵入が代表例。

소프트웨어 개발·배포 프로세스에 침입하여 악성코드를 심는 공격. npm/PyPI 악성 패키지 공개나 빌드 파이프라인 침입이 대표적 사례.

OAuth認可時にアクセス範囲を細かく定義するスコープの設計で、最小権限の原則に基づきリソースへのアクセスを適切に制限する。

OAuth 인가 시 접근 범위를 세밀하게 정의하는 스코프 설계로, 최소 권한 원칙에 기반하여 리소스에 대한 접근을 적절히 제한한다.

パスワードのハッシュ値から元の平文を逆引きするための膨大な事前計算済みテーブルを用いた攻撃手法で、各パスワードにユーザー固有のランダムなソルトを付加することで防御する。

비밀번호 해시값에서 원래 평문을 역추적하기 위한 방대한 사전 계산된 테이블을 이용한 공격 수법으로, 각 비밀번호에 사용자 고유의 랜덤 솔트를 추가하여 방어한다.

ユーザーのコンテキストや認証状態に応じてリアルタイムにアクセス制御ルールを動的に変更する技術。静的なACLと異なり、ユーザーの認証後に一時的な許可ルールを自動生成して適用する。

사용자의 컨텍스트나 인증 상태에 따라 실시간으로 접근 제어 규칙을 동적으로 변경하는 기술이다. 정적 ACL과 달리 사용자 인증 후 일시적인 허가 규칙을 자동 생성하여 적용한다.

Googleが提供するゼロトラストセキュリティモデルに基づいたエンタープライズ向けアクセス管理サービス。VPNなしでユーザーやデバイスの状態を継続的に検証しアクセス制御を行う。

Google이 제공하는 제로 트러스트 보안 모델 기반의 엔터프라이즈용 접근 관리 서비스. VPN 없이 사용자 및 디바이스 상태를 지속적으로 검증하여 접근을 제어한다.

ネットワークを細かいセグメントに分割し、セグメント間の通信を厳密に制御するセキュリティ設計手法。ラテラルムーブメントの防止に効果的であり、ゼロトラストの基盤技術として注目される。

네트워크를 세밀한 세그먼트로 분할하고 세그먼트 간 통신을 엄격히 제어하는 보안 설계 기법. 래터럴 무브먼트 방지에 효과적이다. 제로 트러스트의 기반 기술로 주목받고 있다.

暗号化に使用する鍵の生成・保管・配布・破棄までのライフサイクルを安全に管理するプロセス。KMSやHSMなどのツールが活用される。

암호화에 사용하는 키의 생성·보관·배포·폐기까지의 라이프사이클을 안전하게 관리하는 프로세스. KMS나 HSM 등의 툴이 활용된다.

OAuth 2.0の後継仕様。PKCEの必須化・インプリシットフローの廃止・リフレッシュトークンローテーションの義務化などセキュリティ強化がまとめられた統合仕様。

OAuth 2.0의 후속 사양. PKCE 필수화, 임플리시트 플로우 폐지, 리프레시 토큰 로테이션 의무화 등 보안 강화를 통합한 사양.

サイバー攻撃の戦術・技術・手順を体系的に分類したナレッジベースフレームワーク。攻撃者の行動パターンを理解し、防御策の網羅性を評価するためにセキュリティ運用で広く活用されている。

사이버 공격의 전술·기술·절차를 체계적으로 분류한 지식 베이스 프레임워크. 공격자의 행동 패턴을 이해하고 방어책의 망라성을 평가하기 위해 보안 운용에서 널리 활용되고 있다.

Secure Access Service Edgeの略。ネットワークとセキュリティ機能をクラウドで統合したアーキテクチャ。リモートワーク環境でのセキュアなアクセスを実現する。

Secure Access Service Edge의 약자. 네트워크와 보안 기능을 클라우드에서 통합한 아키텍처로, 원격 근무 환경에서 안전한 접근을 실현한다.

セキュリティ侵害や障害発生時に被害を最小化するための対応手順。検知・封じ込め・根本原因分析・復旧・再発防止までの一連のプロセスを指す。

보안 침해나 장애 발생 시 피해를 최소화하기 위한 대응 절차. 탐지·격리·근본 원인 분석·복구·재발 방지까지의 일련의 프로세스를 의미한다.

パケットのヘッダー情報（送信元IP、宛先IP、ポート番号など）に基づいて通信の許可・拒否を判断するファイアウォールの基本的な制御方式。高速に処理できるが、L7レベルの検査はできない。

패킷의 헤더 정보(송신원 IP, 수신처 IP, 포트 번호 등)에 기반하여 통신의 허가·거부를 판단하는 방화벽의 기본적인 제어 방식이다. 고속으로 처리할 수 있지만 L7 레벨의 검사는 불가능한 방식이다.

被害度・再現性・攻撃容易性・影響ユーザー数・発見容易性の5軸で脅威リスクを数値化するモデル。STRIDEで洗い出した脅威の優先順位付けに用いられることが多い。

피해도·재현성·공격 용이성·영향 사용자 수·발견 용이성의 5축으로 위협 위험을 수치화하는 모델이다. STRIDE로 도출한 위협의 우선순위 결정에 사용되는 경우가 많다.

災害やサイバー攻撃など緊急事態発生時に、業務を継続・早期復旧するための事前計画。リスク分析・対応手順・復旧目標（RTO/RPO）を定める。

재해나 사이버 공격 등 긴급 상황 발생 시 업무를 지속하고 조기에 복구하기 위한 사전 계획으로, 리스크 분석·대응 절차·복구 목표(RTO/RPO)를 정의한다.

セキュリティインシデントの検知から対応までを自動化するための定義済みワークフローであり、SIEM連携やチケット生成、遮断処理を一連の流れとして実行する。

보안 인시던트의 탐지부터 대응까지를 자동화하기 위한 사전 정의된 워크플로이며, SIEM 연계나 티켓 생성, 차단 처리를 일련의 흐름으로 실행한다.

APIやWebサービスへのリクエスト数を一定期間内で制限し、過負荷攻撃やブルートフォース攻撃を防御する仕組み。IPアドレスやAPIキー単位で制限を設定し、サービスの安定性と安全性を確保する。

API나 웹 서비스에 대한 요청 수를 일정 기간 내로 제한하여 과부하 공격이나 브루트포스 공격을 방어하는 구조. IP 주소나 API 키 단위로 제한을 설정하여 서비스의 안정성과 안전성을 확보한다.

サーバーサイドリクエストフォージェリ攻撃から内部リソースを保護する対策で、外部入力によるURLの制限やホワイトリスト検証を行う。

서버 사이드 리퀘스트 위조 공격으로부터 내부 리소스를 보호하는 대책으로, 외부 입력에 의한 URL 제한이나 화이트리스트 검증을 수행한다.

SaaS Security Posture Management。SaaSアプリケーションのセキュリティ設定・権限・データ露出を継続的に監視し、リスクを可視化・修復するセキュリティソリューション。

SaaS 애플리케이션의 보안 설정·권한·데이터 노출을 지속적으로 모니터링하고 리스크를 가시화·복구하는 보안 솔루션.

個人を特定できる情報（氏名・住所・メールアドレス等）を不正アクセスや漏洩から守るための法的・技術的対策の総称。日本ではPマーク取得や個人情報保護法への準拠が求められる。

개인을 식별할 수 있는 정보(이름, 주소, 이메일 등)를 불법 접근이나 유출로부터 보호하기 위한 법적·기술적 대책의 총칭. 일본에서는 P마크 취득이나 개인정보보호법 준수가 요구된다.

Endpoint Detection and Responseの略。PC・サーバー等のエンドポイントでの脅威をリアルタイムに検知・分析し、インシデント対応を自動化・支援するセキュリティソリューション。

Endpoint Detection and Response의 약자. PC·서버 등 엔드포인트에서의 위협을 실시간으로 탐지·분석하고, 인시던트 대응을 자동화·지원하는 보안 솔루션.

Secure Access Service Edgeの略。広域ネットワーク機能（SD-WANなど）とネットワークセキュリティ機能（ZTNA、CASB、SWGなど）を統合し、クラウドサービスとして提供するセキュリティの新しいフレームワーク。

Secure Access Service Edge의 약자. 광역 네트워크 기능(SD-WAN 등)과 네트워크 보안 기능(ZTNA, CASB, SWG 등)을 통합하여 클라우드 서비스로 제공하는 보안의 새로운 프레임워크.

暗号鍵の生成・保管・管理を行う専用ハードウェアデバイス。Hardware Security Moduleの略で、耐タンパー性を持ち、鍵が外部に漏れない設計になっている。

암호화 키의 생성, 저장, 관리를 수행하는 전용 하드웨어 장치. Hardware Security Module의 약자로, 탬퍼 저항성을 갖추고 키가 외부로 유출되지 않는 설계로 되어 있다.

Security Assertion Markup Language の略。異なるシステム間でユーザー認証情報を安全に交換するためのXMLベースの標準プロトコル。SSO（シングルサインオン）の実装に広く使用される。

Security Assertion Markup Language의 약자. 서로 다른 시스템 간에 사용자 인증 정보를 안전하게 교환하기 위한 XML 기반 표준 프로토콜로, SSO(싱글 사인온) 구현에 널리 사용된다.

特定の脅威アクターの戦術・技術・手順を再現し、組織の防御能力をテストする高度な演習。レッドチームが実際のAPTグループの手法を模倣して攻撃を実行する。

특정 위협 액터의 전술·기술·절차를 재현하여 조직의 방어 능력을 테스트하는 고도의 연습이다. 레드팀이 실제 APT 그룹의 기법을 모방하여 공격을 실행한다.

クレジットカード情報を安全に扱うための国際セキュリティ基準。カード決済を扱うシステムは準拠が必須で、定期的な監査や脆弱性スキャンが求められる。

신용카드 정보를 안전하게 처리하기 위한 국제 보안 표준. 카드 결제를 다루는 시스템은 준수가 필수이며, 정기적인 감사 및 취약점 스캔이 요구된다.

ユーザーのログイン状態を維持・管理する仕組み。セッションIDの発行・保存・失効処理を含み、セキュリティ上の適切な設計が求められる。

사용자의 로그인 상태를 유지·관리하는 구조. 세션 ID의 발급·저장·만료 처리를 포함하며, 보안상 적절한 설계가 요구된다.

コンテナイメージに含まれる脆弱性や不審なパッケージを自動検出するプロセス。CI/CDパイプラインに組み込み、デプロイ前にセキュリティリスクを早期発見するために使用される。

컨테이너 이미지에 포함된 취약점이나 의심스러운 패키지를 자동으로 탐지하는 프로세스. CI/CD 파이프라인에 통합하여 배포 전에 보안 리스크를 조기에 발견하기 위해 사용된다.

クラウド環境のセキュリティ設定をCIS Benchmarks等の業界基準と照合して継続的に監視し、S3バケットの公開設定等の設定ミスや脆弱な構成を自動検出する管理手法である。

클라우드 환경의 보안 설정을 CIS Benchmarks 등의 업계 기준과 대조하여 지속적으로 감시하고 S3 버킷 공개 설정 등의 설정 오류나 취약한 구성을 자동 검출하는 관리 수법이다.

従業員がフィッシングやソーシャルエンジニアリング等のサイバー脅威を認識し、適切に対応できるよう実施する教育・訓練プログラム。

직원들이 피싱, 소셜 엔지니어링 등 사이버 위협을 인식하고 적절히 대응할 수 있도록 실시하는 교육·훈련 프로그램.

セキュリティ設定共通化手順（SCAP）に基づいてシステムの構成をスキャンし、セキュリティ基準への準拠状況を自動評価する手法。CISベンチマークやSTIGの適合性を効率的に検証する。

보안 설정 공통화 절차(SCAP)에 기반하여 시스템 구성을 스캔하고 보안 기준에의 준거 상황을 자동 평가하는 기법이다. CIS 벤치마크나 STIG의 적합성을 효율적으로 검증한다.

揮発性メモリのダンプデータを取得・分析して、実行中のマルウェアプロセスや暗号化されていない認証情報を調査するフォレンジック手法で、ファイルレス攻撃の証拠保全に有効である。

휘발성 메모리 덤프 데이터를 취득·분석하여 실행 중인 멀웨어 프로세스나 암호화되지 않은 인증 정보를 조사하는 포렌식 수법으로, 파일리스 공격의 증거 보전에 유효하다.

ユーザーの行動・デバイス・場所などのリスク要因を動的に評価し、認証強度を自動調整する仕組み。不審なアクセスには多要素認証を要求する。

사용자의 행동, 디바이스, 위치 등 리스크 요인을 동적으로 평가하여 인증 강도를 자동 조정하는 방식. 의심스러운 접근에는 MFA를 요구한다.

組織内の機密データが外部に漏洩・流出しないよう監視・制御する仕組み。DLPとも呼ばれ、メールやUSBなど各チャネルでのデータ移動を検知・ブロックする。

조직 내 기밀 데이터가 외부로 유출되지 않도록 감시·제어하는 체계. DLP라고도 불리며, 이메일이나 USB 등 각 채널에서의 데이터 이동을 감지하고 차단한다.

認証や認可に使われる一時的な文字列。JWTやOAuthのアクセストークンが代表例で、APIアクセス制御やSSOの仕組みで広く活用される。

인증 및 인가에 사용되는 임시 문자열로, JWT나 OAuth 액세스 토큰이 대표적이며 API 접근 제어 및 SSO 구조에서 널리 활용된다.

悪意あるSQLコードをフォームや入力欄に挿入してDBを不正操作する攻撃手法。プリペアドステートメントやエスケープ処理で対策する。

악의적인 SQL 코드를 폼이나 입력란에 삽입하여 DB를 불법으로 조작하는 공격 기법. 준비된 구문(Prepared Statement)이나 이스케이프 처리로 대응한다.

リバースプロキシサーバーでOAuth等の認証処理を一元化し、認証済みユーザー情報をHTTPヘッダーでバックエンドアプリケーションに受け渡すアーキテクチャパターンである。

리버스 프록시 서버에서 OAuth 등의 인증 처리를 일원화하고 인증 완료된 사용자 정보를 HTTP 헤더로 백엔드 애플리케이션에 전달하는 아키텍처 패턴이다.

組織のセキュリティを強化するため、実際の攻撃者を模擬して侵入テストや脆弱性の発見を行う専門チーム。Blue Teamと対をなす存在。

조직의 보안을 강화하기 위해 실제 공격자를 모방하여 침투 테스트 및 취약점 발견을 수행하는 전문 팀. Blue Team과 대를 이루는 존재.

ブラウザの機能（カメラ、マイク、位置情報など）の使用をHTTPレスポンスヘッダーで制御するセキュリティポリシー。不要なブラウザAPIを無効化して攻撃面を削減する防御的ヘッダー設定である。

브라우저 기능(카메라, 마이크, 위치 정보 등)의 사용을 HTTP 응답 헤더로 제어하는 보안 정책이다. 불필요한 브라우저 API를 무효화하여 공격 표면을 줄이는 방어적 헤더 설정이다.

ログイン時だけでなく、セッション中も継続してユーザーの行動・生体情報などを検証し、不正アクセスをリアルタイムで検知・遮断する認証方式。

로그인 시점뿐만 아니라 세션 중에도 지속적으로 사용자의 행동·생체 정보 등을 검증하여 비정상 접근을 실시간으로 탐지·차단하는 인증 방식.

ネットワーク上を流れるデータをTLSやIPsecで暗号化し、盗聴や改ざんから通信内容を保護するセキュリティ対策である。

네트워크상을 흐르는 데이터를 TLS나 IPsec으로 암호화하여 도청이나 변조로부터 통신 내용을 보호하는 보안 대책이다.

組織のセキュリティ監視・分析・対応を24時間体制で行う専門チームと施設。SIEMやEDRなどのツールを活用してインシデントの検知と対応を一元管理する組織体制である。

조직의 보안 모니터링·분석·대응을 24시간 체제로 수행하는 전문 팀과 시설이다. SIEM이나 EDR 등의 도구를 활용하여 인시던트 감지와 대응을 일원 관리하는 조직 체제이다.

自然災害やサイバー攻撃などの重大障害発生時に、ITシステムを迅速に復旧させるための手順・体制を定めた計画。RPOとRTOが核心指標となる。

자연재해나 사이버 공격 등 중대 장애 발생 시 IT 시스템을 신속히 복구하기 위한 절차와 체계를 정의한 계획으로, RPO와 RTO가 핵심 지표가 된다.

ソフトウェアの依存関係やサードパーティ製品に潜むセキュリティリスクを体系的に評価する手法であり、SBOM分析やベンダー監査を通じて供給網全体の安全性を確保する。

소프트웨어의 의존 관계나 서드파티 제품에 잠재하는 보안 리스크를 체계적으로 평가하는 기법이며, SBOM 분석이나 벤더 감사를 통해 공급망 전체의 안전성을 확보한다.

OSやソフトウェアの脆弱性修正プログラム（パッチ）を計画的に収集・テスト・適用・管理するプロセス。セキュリティリスクの低減と安定稼働を目的とする。

OS나 소프트웨어의 취약점 수정 프로그램(패치)을 계획적으로 수집·테스트·적용·관리하는 프로세스. 보안 리스크 감소와 안정적인 운영을 목적으로 한다.

ソフトウェアの開発から配布までの全工程で改ざんや不正混入がないことを保証する取り組み。ビルドの再現性やプロビナンス検証で安全なソフトウェア配信を実現する。

소프트웨어의 개발부터 배포까지 전 공정에서 변조나 부정 혼입이 없음을 보장하는 노력이다. 빌드의 재현성이나 프로비넌스 검증으로 안전한 소프트웨어 배신을 실현한다.

CI/CDパイプラインにセキュリティテストを組み込み開発・セキュリティ・運用を一体化するアプローチ。SAST・DAST・SCA・コンテナスキャンを自動実行し脆弱性の早期発見を実現する。

CI/CD 파이프라인에 보안 테스트를 통합하여 개발·보안·운용을 일체화하는 접근법이다. SAST·DAST·SCA·컨테이너 스캔을 자동 실행하여 취약점 조기 발견을 실현한다.

特権操作専用に強化・隔離されたワークステーションであり、管理者がドメインコントローラーやクラウド管理コンソールにアクセスする際のセキュリティを確保する。

특권 조작 전용으로 강화·격리된 워크스테이션이며, 관리자가 도메인 컨트롤러나 클라우드 관리 콘솔에 접근할 때의 보안을 확보한다.

暗号処理の実行時間・電力消費・電磁波などの物理情報を分析して暗号鍵を推定する攻撃手法で、実装レベルの脆弱性を突く。

암호 처리의 실행 시간·전력 소비·전자파 등의 물리 정보를 분석하여 암호 키를 추정하는 공격 기법으로, 구현 수준의 취약점을 노린다.

ディスクにファイルを書き込まずメモリ上でのみ動作する高度なマルウェアへの対策で、PowerShellスクリプトの実行制限やプロセスメモリの常時監視が有効となる。

디스크에 파일을 기록하지 않고 메모리상에서만 동작하는 고도의 멀웨어에 대한 대책으로, PowerShell 스크립트 실행 제한이나 프로세스 메모리 상시 감시가 유효하다.

ネットワークトラフィックをリアルタイムで分析し、脅威を検知・対応するセキュリティソリューション。AIや機械学習を活用して異常な通信パターンを検出する。

네트워크 트래픽을 실시간으로 분석하여 위협을 탐지하고 대응하는 보안 솔루션. AI 및 머신러닝을 활용해 비정상적인 통신 패턴을 감지한다.

ネットワークトラフィックをリアルタイムで監視・分析し、脅威を検出して自動または手動で対応するセキュリティソリューション。NDRとも呼ばれる。

네트워크 트래픽을 실시간으로 모니터링·분석하여 위협을 탐지하고 자동 또는 수동으로 대응하는 보안 솔루션으로, NDR이라고도 불린다.

組織内のユーザーアカウントやアクセス権限のライフサイクルを一元管理し、定期的な棚卸しと自動プロビジョニングで最小権限の原則を維持するプラットフォームである。

조직 내 사용자 계정이나 접근 권한의 라이프사이클을 일원 관리하고, 정기적인 재고 확인과 자동 프로비저닝으로 최소 권한 원칙을 유지하는 플랫폼이다.

メールヘッダーと本文にデジタル署名を付加し、送信中の改ざんを検知するメール認証技術。送信ドメインの公開鍵で署名を検証することで、メールの真正性と完全性を保証する仕組みである。

메일 헤더와 본문에 디지털 서명을 부가하고 송신 중 변조를 감지하는 메일 인증 기술이다. 송신 도메인의 공개 키로 서명을 검증하여 메일의 진정성과 완전성을 보증하는 구조이다.

ネットワークの境界に設置し、通信トラフィックを監視・制御するセキュリティシステム。許可ルールに基づき不正アクセスや攻撃をブロックする。

네트워크 경계에 설치하여 통신 트래픽을 모니터링하고 제어하는 보안 시스템. 허용 규칙에 따라 불법 접근 및 공격을 차단한다.

脆弱性を生み出さないよう、設計・実装段階からセキュリティを考慮したコードを記述する手法。SQLインジェクションやXSSなどの攻撃を防ぐための実装ルールを定める。

취약점이 발생하지 않도록 설계·구현 단계부터 보안을 고려하여 코드를 작성하는 기법. SQL 인젝션이나 XSS 등의 공격을 방지하기 위한 구현 규칙을 정의한다.

業界内や組織間でサイバー脅威情報を共有し、攻撃の早期検知と対策の迅速化を図る取り組み。ISACなどの情報共有組織やSTIX/TAXIIプロトコルが広く活用されている。

업계 내외 조직 간에 사이버 위협 정보를 공유하여 공격의 조기 검지와 대책 신속화를 도모하는 활동. ISAC 등의 정보 공유 조직과 STIX/TAXII 프로토콜이 활용된다.

システム設計の初期段階からセキュリティを組み込む考え方。後付け対策ではなく、アーキテクチャレベルで脅威を排除することでコスト削減とリスク低減を図る。

시스템 설계 초기 단계부터 보안을 내재화하는 개념. 사후 대책이 아닌 아키텍처 수준에서 위협을 제거함으로써 비용 절감과 리스크 저감을 실현한다.

サーバーが証明書の有効性確認レスポンスをキャッシュし、TLSハンドシェイク時にクライアントへ提供する技術。クライアントがOCSPレスポンダに直接問い合わせる必要がなくなり、接続速度が向上する。

서버가 인증서의 유효성 확인 응답을 캐시하고 TLS 핸드셰이크 시 클라이언트에 제공하는 기술이다. 클라이언트가 OCSP 리스폰더에 직접 문의할 필요가 없어져 접속 속도가 향상된다.

脆弱性の深刻度・攻撃可能性・ビジネス影響度などの要素を数値化し、対応の優先順位を定量的に判断する評価手法。CVSSスコアを基礎とした独自の拡張評価基準の策定が一般的である。

취약점의 심각도·공격 가능성·비즈니스 영향도 등의 요소를 수치화하여 대응 우선순위를 정량적으로 판단하는 평가 기법. CVSS 스코어를 기초로 한 확장 평가가 일반적이다.

サプライヤーや取引先のセキュリティ態勢を外部から自動的に評価してスコア化するサービス。公開情報やネットワーク情報の分析に基づいて、サードパーティリスクを継続的に可視化する手法である。

공급업체나 거래처의 보안 태세를 외부에서 자동으로 평가하여 스코어화하는 서비스이다. 공개 정보나 네트워크 정보 분석에 기반하여 서드파티 리스크를 지속적으로 가시화하는 기법이다.

ユーザーの接続元ネットワーク、デバイスのセキュリティ状態、時間帯などのコンテキスト情報を認証判断に組み込む技術。ゼロトラストモデルで継続的な信頼性評価を行うために活用される。

사용자의 접속원 네트워크, 디바이스의 보안 상태, 시간대 등의 컨텍스트 정보를 인증 판단에 포함하는 기술이다. 제로트러스트 모델에서 지속적인 신뢰성 평가를 수행하기 위해 활용된다.

企業が自社サービスの脆弱性を発見・報告した外部の研究者やハッカーに対して報奨金を支払うセキュリティプログラム。脆弱性の深刻度に応じて報酬額が変動する。

기업이 자사 서비스의 취약점을 발견하고 보고한 외부 연구자나 해커에게 보상금을 지급하는 보안 프로그램. 취약점의 심각도에 따라 보상 금액이 달라진다.

サーバーとクライアントの双方が証明書を提示して互いの身元を検証するTLS認証方式。マイクロサービス間のサービス間通信で信頼できるサービスのみが通信を行えるよう制御する手法である。

서버와 클라이언트 양방이 인증서를 제시하여 서로의 신원을 검증하는 TLS 인증 방식이다. 마이크로서비스 간 서비스 간 통신에서 신뢰할 수 있는 서비스만 통신을 수행하도록 제어하는 기법이다.

権限を与えること。Authorization。

권한을 부여하는 것. Authorization.

ユーザーの同意なく個人情報や操作履歴を収集・送信する悪意あるソフトウェア。キーロガーや広告追跡ツールが代表例で、情報漏洩リスクが高い。

사용자 동의 없이 개인정보나 조작 이력을 수집·전송하는 악성 소프트웨어. 키로거나 광고 추적 도구가 대표적이며, 정보 유출 위험이 높다.

従業員のセキュリティ意識向上を目的に、偽のフィッシングメールを送信して対応を確認する訓練。クリック率や報告率を分析し、教育効果を測定する。

직원들의 보안 의식 향상을 목적으로 가짜 피싱 메일을 발송하여 대응을 확인하는 훈련. 클릭률과 신고율을 분석하여 교육 효과를 측정한다.

ファイアウォールやEDR、クラウドログなど多様なセキュリティデータを一元的に蓄積・分析するための大規模データ基盤であり、長期保存と横断的な脅威分析を可能にする。

방화벽이나 EDR, 클라우드 로그 등 다양한 보안 데이터를 일원적으로 축적·분석하기 위한 대규모 데이터 기반이며, 장기 보존과 횡단적인 위협 분석을 가능하게 한다.

HTTP Strict Transport Securityの略でブラウザに対してHTTPS接続のみを強制するHTTPレスポンスヘッダーであり、中間者攻撃やSSLストリッピング攻撃を防止して通信の安全性を確保する。

HTTP Strict Transport Security의 약칭으로 브라우저에 대해 HTTPS 접속만을 강제하는 HTTP 응답 헤더이며, 중간자 공격이나 SSL 스트리핑 공격을 방지하여 통신의 안전성을 확보한다.

サードパーティアプリに対してパスワードを共有せずリソースアクセスを委譲する認可フレームワーク。アクセストークンを用いた権限の細粒度制御が可能である。

서드파티 앱에 대해 비밀번호를 공유하지 않고 리소스 접근을 위임하는 인가 프레임워크이다. 액세스 토큰을 이용한 권한의 세립도 제어가 가능하다.

クラウド環境のセキュリティ設定ミスを継続的に検出・修正するツール。Cloud Security Posture Managementの略で、マルチクラウド環境のコンプライアンス違反リスクを可視化する。

클라우드 환경의 보안 설정 오류를 지속적으로 탐지하고 수정하는 도구입니다. Cloud Security Posture Management의 약자로, 멀티클라우드 환경의 컴플라이언스 위반 리스크를 가시화합니다.

マルウェアや攻撃パケットに含まれる悪意のあるコード部分を静的・動的手法で詳細に解析し、攻撃の最終目的やC2通信先、標的システムへの影響範囲を特定する分析手法である。

멀웨어나 공격 패킷에 포함된 악의적인 코드 부분을 정적·동적 수법으로 상세히 해석하여 공격의 최종 목적이나 C2 통신처, 표적 시스템에 대한 영향 범위를 특정하는 분석 수법이다.

脆弱性のCVSSスコアだけでなく実際の悪用可能性や資産の重要度を考慮してパッチ適用の優先順位を決定する管理手法であり、限られたリソースで最大のリスク低減効果を実現する。

취약성의 CVSS 스코어뿐만 아니라 실제 악용 가능성이나 자산의 중요도를 고려하여 패치 적용의 우선순위를 결정하는 관리 기법이며, 한정된 리소스로 최대의 리스크 저감 효과를 실현한다.

組織のインターネット露出資産を継続的に発見・監視し、攻撃対象となりうる範囲を把握・縮小する取り組み。未把握の公開サービスやサブドメインを自動検出し、リスクを評価する。

조직의 인터넷 노출 자산을 지속적으로 발견·감시하여 공격 대상이 될 수 있는 범위를 파악·축소하는 작업. 미파악 공개 서비스나 서브도메인을 자동 검출하여 리스크를 평가한다.

サイバー攻撃を受けた際に事業継続性を維持しつつ迅速に復旧するための組織的な枠組みであり、識別・防御・検知・対応・復旧の各フェーズを体系的に管理する。

사이버 공격을 받았을 때 사업 연속성을 유지하면서 신속하게 복구하기 위한 조직적인 프레임워크이며, 식별·방어·탐지·대응·복구의 각 단계를 체계적으로 관리한다.

リダイレクト先のURLを外部から操作可能な脆弱性で、フィッシングサイトへの誘導やトークン窃取に悪用される危険性がある。

리다이렉트 대상 URL을 외부에서 조작 가능한 취약점으로, 피싱 사이트로의 유도나 토큰 탈취에 악용될 위험성이 있다.

Security Orchestration, Automation and Responseの略。セキュリティインシデント対応を自動化・効率化するプラットフォームで、複数のセキュリティツールを統合してアラート処理や対応フローを自動実行する。

Security Orchestration, Automation and Response의 약어. 보안 인시던트 대응을 자동화·효율화하는 플랫폼으로, 여러 보안 도구를 통합하여 알림 처리 및 대응 흐름을 자동으로 실행한다.

標的ユーザーが頻繁にアクセスするWebサイトを改ざんしてマルウェアを仕込む攻撃手法。正規サイトを経由するため検知が難しく特定業界や組織を狙い撃ちにする。

표적 사용자가 자주 접속하는 웹사이트를 변조하여 멀웨어를 심는 공격 기법이다. 정규 사이트를 경유하므로 탐지가 어렵고 특정 업계나 조직을 겨냥한다.

攻撃者が大量のMFA認証要求を送りつけ、ユーザーが誤って承認してしまうことを狙うソーシャルエンジニアリング攻撃。MFA Bombing/Pushbombingとも呼ばれる。

공격자가 대량의 MFA 인증 요청을 보내 사용자가 실수로 승인하게 유도하는 소셜 엔지니어링 공격. MFA Bombing/Pushbombing이라고도 불린다.

Webアプリケーションファイアウォールのルールを環境に合わせて最適化し、誤検知の削減と検知精度の向上を図る作業。正常なリクエストの遮断を防ぎつつ、攻撃トラフィックを確実にブロックする。

웹 애플리케이션 방화벽의 규칙을 환경에 맞게 최적화하여 오탐의 삭감과 탐지 정밀도의 향상을 도모하는 작업. 정상적인 요청의 차단을 방지하면서 공격 트래픽을 확실히 차단한다.

指の指紋パターンを用いて本人確認を行う生体認証技術。スマートフォンのロック解除やアプリログイン、PCの認証などで広く活用されている。

손가락의 지문 패턴을 이용해 본인 확인을 수행하는 생체 인증 기술. 스마트폰 잠금 해제나 앱 로그인, PC 인증 등에 널리 활용된다.

セキュリティインシデント発生時の対応手順・連絡体制・役割分担を事前に定めた計画書。迅速かつ適切な対応により被害を最小限に抑え、事業継続性を確保することを目的とする。

보안 인시던트 발생 시의 대응 절차·연락 체제·역할 분담을 사전에 정한 계획서. 신속하고 적절한 대응으로 피해를 최소한으로 억제하고 사업 연속성을 확보하는 것을 목적으로 한다.

DNSプロトコルを悪用してファイアウォールを迂回し、データを密かに外部に送信する手法。DNSクエリにデータを埋め込んで通信するため、通常のネットワーク監視では検出が困難な場合がある。

DNS 프로토콜을 악용하여 방화벽을 우회하고 데이터를 몰래 외부로 전송하는 수법. DNS 쿼리에 데이터를 삽입하여 통신하기 때문에 통상적인 네트워크 감시로는 검출이 어려운 경우가 있다.

多数のアカウントに対して同一の一般的なパスワードを順番に試行する攻撃手法で、個々のアカウントへのログイン試行回数が少ないためアカウントロックの閾値を回避しつつ不正アクセスを狙う。

다수의 계정에 대해 동일한 일반적인 비밀번호를 순서대로 시도하는 공격 수법으로, 개별 계정에 대한 로그인 시도 횟수가 적어 계정 잠금 임계값을 회피하면서 부정 접속을 노린다.

特権アカウントのアクセスを一元管理し、セッション記録や承認ワークフローで不正利用を防止するソリューション。管理者権限の乱用リスクを低減し監査証跡を確保する。

특권 계정의 접근을 일원 관리하고 세션 기록이나 승인 워크플로로 부정 이용을 방지하는 솔루션이다. 관리자 권한의 남용 위험을 저감하고 감사 증적을 확보한다.

侵入テストの一部工程をツールやスクリプトで自動化し継続的にセキュリティ検証を行う手法。手動テストの補完として定期実行し新たな脆弱性を早期に検出する。

침투 테스트의 일부 공정을 도구나 스크립트로 자동화하여 지속적으로 보안 검증을 수행하는 기법이다. 수동 테스트의 보완으로 정기 실행하여 새로운 취약점을 조기에 검출한다.

XML External Entity攻撃への対策。外部エンティティ参照を無効化することで、任意ファイル読み取りやSSRFなどのリスクを防ぐセキュリティ施策。

XML External Entity 공격에 대한 대응책. 외부 엔티티 참조를 비활성화하여 임의 파일 읽기나 SSRF 등의 위험을 방지하는 보안 조치.

SPF・DKIM・DMARCの設定によりメールの送信元認証を強化し、なりすましメールやフィッシングメールを防止するセキュリティ対策。送受信の両面で包括的な対策を講じることが重要である。

SPF·DKIM·DMARC 설정으로 메일 발신원 인증을 강화하고 위장 메일과 피싱 메일을 방지하는 보안 대책. 송수신 양면에서 대책을 수행한다.

CDNの背後にあるオリジンサーバーの実IPアドレスを秘匿し、CDNを経由しない直接アクセスをファイアウォールで遮断することでDDoS攻撃から保護する手法である。

CDN 뒤에 있는 오리진 서버의 실제 IP 주소를 비밀로 하고, CDN을 경유하지 않는 직접 접근을 방화벽으로 차단하여 DDoS 공격으로부터 보호하는 수법이다.

組織のセキュリティ能力の成熟度を段階的に評価するモデルで、現状の把握と改善計画の策定に活用される指標である。

조직의 보안 능력 성숙도를 단계적으로 평가하는 모델로, 현상 파악과 개선 계획 수립에 활용되는 지표이다.

パスワードのハッシュ化前にランダムな文字列を付加する手法。レインボーテーブル攻撃を防ぎ、同一パスワードでも異なるハッシュ値を生成することでセキュリティを強化する。

비밀번호를 해시화하기 전에 무작위 문자열을 추가하는 기법. 레인보우 테이블 공격을 방지하고, 동일한 비밀번호라도 서로 다른 해시값을 생성하여 보안을 강화한다.

STIX形式の脅威情報を自動的に交換するためのトランスポートプロトコル。HTTPSベースのAPI通信により、脅威インテリジェンスプラットフォーム間のデータ連携を標準化する。

STIX 형식의 위협 정보를 자동으로 교환하기 위한 트랜스포트 프로토콜이다. HTTPS 기반 API 통신으로 위협 인텔리전스 플랫폼 간의 데이터 연계를 표준화한다.

APIキーに対してアクセス可能なリソースや操作を最小限に制限する設計。キーごとにIP制限やリソースパスの制約を設けることで、漏洩時の被害範囲を最小限に抑制する。

API 키에 대해 접근 가능한 리소스와 조작을 최소한으로 제한하는 설계. 키마다 IP 제한과 리소스 경로 제약을 설정하여 유출 시 피해를 한정한다.

セキュリティ監視・運用・インシデント対応を外部の専門事業者に委託するサービス。自社でSOCを構築する負担を軽減しつつ、24時間体制のセキュリティ監視体制を実現できるサービスである。

보안 모니터링·운용·인시던트 대응을 외부 전문 사업자에게 위탁하는 서비스이다. 자사에서 SOC를 구축하는 부담을 경감하면서 24시간 체제의 보안 모니터링 체제를 실현할 수 있는 서비스이다.

HTTP通信をTLS/SSLで暗号化したプロトコル。Webサイトとブラウザ間のデータを安全に送受信するために使用され、現在はすべてのサイトで必須とされる。

HTTP 통신을 TLS/SSL로 암호화한 프로토콜. 웹사이트와 브라우저 간의 데이터를 안전하게 송수신하기 위해 사용되며, 현재 모든 사이트에서 필수로 적용된다.

公開鍵暗号基盤（PKI）を利用した認証・暗号化の仕組み全体。デジタル証明書の発行・管理・失効を担うCAや登録局などで構成される。

공개 키 암호화 기반(PKI)을 활용한 인증·암호화 구조 전체. 디지털 인증서의 발급·관리·폐기를 담당하는 CA 및 등록 기관 등으로 구성된다.

セキュリティアナリストが仮説に基づいて能動的に脅威を調査するための統合プラットフォーム。ログ検索、IOC照合、タイムライン分析などの機能を提供して、潜伏する脅威の発見を支援する。

보안 분석가가 가설에 기반하여 능동적으로 위협을 조사하기 위한 통합 플랫폼이다. 로그 검색, IOC 대조, 타임라인 분석 등의 기능을 제공하여 잠복하는 위협의 발견을 지원한다.

クロスサイトリクエストフォージェリ（CSRF）攻撃を防ぐための施策。トークン検証やSameSite Cookie設定などを用いて、悪意あるサイトからの不正リクエストを防止する。

크로스 사이트 요청 위조(CSRF) 공격을 방지하기 위한 조치. 토큰 검증이나 SameSite Cookie 설정 등을 활용해 악의적인 사이트로부터의 불법 요청을 차단한다.

セキュリティテストのカバレッジや脆弱性修正のリードタイム、デプロイ前の検出率などDevSecOpsの成熟度を定量的に評価する指標群であり、継続的な改善を推進する。

보안 테스트의 커버리지나 취약성 수정의 리드타임, 디플로이 전 검출률 등 DevSecOps의 성숙도를 정량적으로 평가하는 지표군이며, 지속적인 개선을 추진한다.

ソフトウェア部品表に基づいてアプリケーションの依存ライブラリを走査し、既知の脆弱性を持つコンポーネントを特定する作業。サプライチェーンセキュリティの確保とライセンスコンプライアンスの両方に寄与する。

소프트웨어 부품표에 기반하여 애플리케이션의 의존 라이브러리를 주사하고 알려진 취약성을 가진 컴포넌트를 특정하는 작업. 공급망 보안 확보와 라이선스 컴플라이언스 양쪽에 기여한다.

クラウド環境における機密データの漏洩を防ぐサービス。個人情報やクレジットカード番号などの機密情報を自動検出し、マスキングや警告などのポリシーを適用できる。

클라우드 환경에서 민감한 데이터의 유출을 방지하는 서비스. 개인정보나 신용카드 번호 등의 민감 정보를 자동으로 탐지하고, 마스킹이나 경고 등의 정책을 적용할 수 있다.

ユーザーやシステムの正当性を確認するプロセス。パスワード、トークン、生体情報などを用いて本人確認を行い、不正アクセスを防ぐ仕組み。

사용자나 시스템의 정당성을 확인하는 프로세스. 비밀번호, 토큰, 생체 정보 등을 사용하여 본인 확인을 수행하고 불법 접근을 방지하는 구조.

GitHubに統合されている、プロジェクトが依存するパッケージ（npmやpipなど）の脆弱性をスキャンし、アップデートのためのPull Requestを自動生成するボットツール。

GitHub에 통합되어 있는 도구로, 프로젝트가 의존하는 패키지(npm이나 pip 등)의 취약점을 스캔하고 업데이트를 위한 Pull Request를 자동으로 생성하는 봇 툴.

CDNなど外部から読み込むJavaScript・CSSファイルのハッシュ値を検証し、改ざんされたリソースの実行を防止するブラウザ機能である。

CDN 등 외부에서 로드하는 JavaScript·CSS 파일의 해시값을 검증하여 변조된 리소스의 실행을 방지하는 브라우저 기능이다.

クラウド環境向けの侵入検知システム。ネットワークトラフィックを監視・分析し、不正アクセスや脅威をリアルタイムで検出するマネージドセキュリティサービス。

클라우드 환경을 위한 침입 탐지 시스템. 네트워크 트래픽을 모니터링·분석하여 비정상 접근 및 위협을 실시간으로 탐지하는 매니지드 보안 서비스.

プルリクエストやコミット時に自動でセキュリティスキャンを実行し、脆弱なコードパターンを開発フローの早期段階で検出するCI/CDへの組み込み手法。修正コストの削減に直結する。

풀 리퀘스트나 커밋 시 자동으로 보안 스캔을 실행하여 취약한 코드 패턴을 개발 흐름의 초기 단계에서 검출하는 CI/CD 내장 기법. 수정 비용 절감에 직결된다.

セキュリティポリシーをコードとして記述しバージョン管理することで、ポリシーの変更履歴を追跡可能にしコンプライアンス監査を自動化する手法である。

보안 정책을 코드로 기술하고 버전 관리함으로써 정책의 변경 이력을 추적 가능하게 하고 컴플라이언스 감사를 자동화하는 기법이다.

システムやアプリケーションのセキュリティ設定を標準化し、設定ミスや不適切な構成を継続的に検出・修正する管理手法である。

시스템이나 애플리케이션의 보안 설정을 표준화하고, 설정 오류나 부적절한 구성을 지속적으로 검출·수정하는 관리 기법이다.

サードパーティアプリがユーザーのパスワードを知らずに、リソースへの限定的なアクセス権を付与するための認可フレームワーク。現在はOAuth 2.0が主流。

서드파티 앱이 사용자의 비밀번호 없이 리소스에 대한 제한적인 접근 권한을 부여하기 위한 인가 프레임워크. 현재는 OAuth 2.0이 주류.

悪意あるソフトウェアの動作原理や通信先、感染経路を静的・動的手法で調査する分析作業。解析結果からシグネチャやIOCを抽出し検知ルールの作成に活用する。

악의적인 소프트웨어의 동작 원리나 통신처, 감염 경로를 정적·동적 기법으로 조사하는 분석 작업이다. 해석 결과에서 시그니처나 IOC를 추출하여 탐지 룰 작성에 활용한다.

SAST・DAST・SCA・コンテナスキャンなどのセキュリティテストをCI/CDパイプラインに統合し、コード変更のたびに自動実行する包括的なテスト基盤。品質と安全性を同時に担保する。

SAST·DAST·SCA·컨테이너 스캔 등의 보안 테스트를 CI/CD 파이프라인에 통합하여 코드 변경 시마다 자동 실행하는 포괄적인 테스트 기반. 품질과 안전성을 동시에 담보한다.

フォーム送信時にサーバーが生成した一意なトークンを検証し、外部サイトからの不正なリクエストを防止するセキュリティ機構である。

폼 전송 시 서버가 생성한 고유한 토큰을 검증하여 외부 사이트로부터의 부정한 요청을 방지하는 보안 메커니즘이다.

セキュリティポリシーを宣言的に定義し、リアルタイムで評価・適用するエンジン。OPAやCedarなどが代表例で、アプリケーションのビジネスロジックからアクセス制御ロジックを分離して管理する。

보안 정책을 선언적으로 정의하고 실시간으로 평가·적용하는 엔진이다. OPA나 Cedar 등이 대표적이며 애플리케이션의 비즈니스 로직에서 접근 제어 로직을 분리하여 관리한다.

SWG、CASB、ZTNAを統合したSecurity Service Edgeプラットフォームであり、クラウドベースでユーザーのWebアクセスとSaaSアプリケーション利用のセキュリティを一元的に提供する。

SWG, CASB, ZTNA를 통합한 Security Service Edge 플랫폼이며, 클라우드 기반으로 사용자의 웹 접근과 SaaS 애플리케이션 이용의 보안을 일원적으로 제공한다.

暗号鍵の生成・保管・管理を物理的に保護された専用ハードウェアで行うデバイス。FIPS 140-2認証を取得した製品が多く、鍵の外部流出リスクを極小化する。

암호 키의 생성·보관·관리를 물리적으로 보호된 전용 하드웨어에서 수행하는 디바이스이다. FIPS 140-2 인증을 취득한 제품이 많으며 키의 외부 유출 위험을 극소화한다.

ファイルパスの操作によりウェブサーバー上の意図しないファイルにアクセスする攻撃手法で、パス検証の不備を突くものである。

파일 경로 조작으로 웹 서버상의 의도하지 않은 파일에 접근하는 공격 기법으로, 경로 검증의 미비점을 노리는 것이다.

複数のセキュリティツールやプロセスを統合的に連携させ、インシデント対応を自動化・効率化する仕組み。SOARプラットフォームを活用することで対応時間の大幅な短縮を図れる。

여러 보안 도구와 프로세스를 통합적으로 연계하여 인시던트 대응을 자동화하고 효율화하는 구조. SOAR 플랫폼을 활용하여 대응 시간 단축을 도모한다.

OS、ミドルウェア、クラウドサービスに対する推奨セキュリティ設定を標準化したテンプレートであり、CISベンチマークなどに準拠して全システムの設定を統一的に管理する。

OS, 미들웨어, 클라우드 서비스에 대한 권장 보안 설정을 표준화한 템플릿이며, CIS 벤치마크 등에 준거하여 전체 시스템의 설정을 통일적으로 관리한다.

Next.jsなどのモダンなReactフレームワークと極めて相性が良い、開発者向けの認証・ユーザー管理SaaS。UIコンポーネントが豊富で、数行でパスワードレス認証やSSOが実装できる。

Next.js 등 모던 React 프레임워크와 매우 궁합이 좋은 개발자용 인증 및 사용자 관리 SaaS. UI 컴포넌트가 풍부하여 몇 줄만으로 패스워드리스 인증이나 SSO를 구현할 수 있다.

サーバーとクライアントの双方が証明書を提示して相互に認証するTLSの拡張方式。マイクロサービス間通信やAPIゲートウェイで利用され、ゼロトラストネットワークの実現に不可欠な技術である。

서버와 클라이언트 양쪽이 인증서를 제시하여 상호 인증하는 TLS의 확장 방식. 마이크로서비스 간 통신이나 API 게이트웨이에서 이용되며, 제로 트러스트 네트워크 실현에 불가결한 기술이다.

ユーザーの属性（部署・役職・場所など）に基づいてアクセス権を動的に制御する仕組み。RBACより柔軟できめ細かいポリシー設定が可能で、ゼロトラスト環境で注目される。

사용자의 속성(부서·직책·위치 등)을 기반으로 접근 권한을 동적으로 제어하는 방식. RBAC보다 유연하고 세밀한 정책 설정이 가능하며, 제로 트러스트 환경에서 주목받고 있다.

Vulnerability Exploitability eXchangeの略。SBOMで検出された脆弱性に対して、「実際に自社製品で悪用可能かどうか（影響あり・影響なし等）」のステータスを機械可読な形式で提供する文書。

Vulnerability Exploitability eXchange의 약자. SBOM에서 발견된 취약점에 대해 '실제로 자사 제품에서 악용 가능한지 여부(영향 있음/없음 등)'의 상태를 기계 판독 가능한 형식으로 제공하는 문서.

メールのヘッダー、本文、リンク先URLなどを分析して不正なフィッシングメールを自動検出する技術。機械学習やヒューリスティック分析を活用して、未知のフィッシング攻撃にも対応する。

메일의 헤더, 본문, 링크 URL 등을 분석하여 부정한 피싱 메일을 자동 검출하는 기술이다. 머신러닝이나 휴리스틱 분석을 활용하여 미지의 피싱 공격에도 대응한다.

攻撃者が事前に設定したセッションIDをユーザーに使用させる攻撃への対策で、認証成功時にセッションIDを再生成する手法である。

공격자가 사전에 설정한 세션 ID를 사용자에게 사용하게 하는 공격에 대한 대책으로, 인증 성공 시 세션 ID를 재생성하는 기법이다.

システムやアプリケーションのセキュリティ上の弱点を洗い出す作業。ペネトレーションテストやツールを用いてリスクを評価し、対策を講じるために実施する。

시스템이나 애플리케이션의 보안 취약점을 찾아내는 작업. 침투 테스트나 도구를 활용하여 위험을 평가하고, 대책을 마련하기 위해 수행한다.

各開発チーム内でセキュリティの推進役を担うメンバー。セキュリティチームと開発チームの橋渡し役として、セキュアな開発文化の浸透とセキュリティ施策の現場定着を推進する。

각 개발 팀 내에서 보안 추진역을 담당하는 멤버. 보안 팀과 개발 팀의 가교 역할로 보안 개발 문화를 침투시키는 역할을 갖는다.

個人情報を不可逆的に加工し、特定の個人を識別できない状態にする処理。GDPRなどの法規制への対応やデータ分析利用時のプライバシー保護に必須となる技術である。

개인정보를 비가역적으로 가공하여 특정 개인을 식별할 수 없는 상태로 만드는 처리이다. GDPR 등의 법규제 대응이나 데이터 분석 이용 시 프라이버시 보호에 필수인 기술이다.

APIエンドポイントに対する認証・認可の不備、インジェクション攻撃、データ漏洩などの脆弱性を検出するテスト。OWASP API Top 10を基準にした検証が推奨される。

API 엔드포인트에 대한 인증·인가 미비, 인젝션 공격, 데이터 유출 등의 취약점을 검출하는 테스트. OWASP API Top 10을 기준으로 한 검증이 권장된다.

マルウェアや攻撃コードにおいて、実際に悪意ある動作を実行する部分。ドロッパーやエクスプロイトによって配信され、データの暗号化・窃取・破壊などの最終的な攻撃目的を遂行するコードを指す。

악성코드나 공격 코드에서 실제로 악의적인 동작을 실행하는 부분. 드로퍼나 익스플로잇에 의해 전달되며, 데이터의 암호화·탈취·파괴 등의 최종적인 공격 목적을 수행하는 코드를 가리킨다.

認証局にデジタル証明書の発行を申請するために作成する電子文書。公開鍵と申請者情報を含み、認証局はCSRの内容を検証した上で証明書を発行する。証明書取得の起点となる手続きである。

인증 기관에 디지털 인증서 발행을 신청하기 위해 작성하는 전자 문서이다. 공개 키와 신청자 정보를 포함하며 인증 기관은 CSR 내용을 검증한 후 인증서를 발행한다. 인증서 취득의 기점이 되는 절차이다.

ソフトウェアに含まれるすべてのコンポーネントや依存ライブラリを一覧化した部品表。脆弱性管理やライセンス遵守のために活用される。

소프트웨어에 포함된 모든 컴포넌트와 의존 라이브러리를 목록화한 부품 명세서. 취약점 관리 및 라이선스 준수를 위해 활용된다.

暗号化されたままのデータに対して計算処理を行い、データを復号せずに分析結果を得る技術。準同型暗号やマルチパーティ計算などの手法が含まれ、プライバシー保護に革新をもたらす。

암호화된 상태의 데이터에 대해 계산 처리를 수행하여 데이터를 복호화하지 않고 분석 결과를 얻는 기술. 준동형 암호와 다자간 계산 등의 기법이 포함된다.

PCやサーバーなどのエンドポイントをマルウェアや不正アクセスから保護する統合セキュリティ基盤。従来のウイルス対策に加え、機械学習ベースの振る舞い検知機能を備える。

PC나 서버 등의 엔드포인트를 멀웨어와 부정 접근으로부터 보호하는 통합 보안 기반. 기존 바이러스 대책에 더해 행위 검지 기능을 갖춘다.

正規のアクセス権を持つ内部関係者による不正行為や情報漏洩を検知するセキュリティ対策。通常行動からの逸脱をUEBAで分析し、異常を早期に発見して被害の拡大を防止する。

정규 접근 권한을 가진 내부 관계자의 부정 행위와 정보 유출을 검지하는 보안 대책. 통상 행동에서의 일탈을 UEBA로 분석하여 이상을 조기에 발견한다.

Common Vulnerabilities and Exposuresの略。公開されたセキュリティ脆弱性に一意のID（CVE-YYYY-NNNNN）を付与する国際標準の識別システム。脆弱性管理や対応優先度の判断に活用される。

Common Vulnerabilities and Exposures의 약자. 공개된 보안 취약점에 고유한 ID(CVE-YYYY-NNNNN)를 부여하는 국제 표준 식별 시스템으로, 취약점 관리 및 대응 우선순위 결정에 활용된다.

セキュリティ制御の分類の一つで、システムへの不正アクセスや異常な活動をリアルタイムまたは事後に検知・記録する仕組み。IDS、ログ監視、監査ログなどが該当する。

보안 제어의 분류 중 하나로, 시스템에 대한 무단 접근이나 비정상적인 활동을 실시간 또는 사후에 탐지하고 기록하는 메커니즘. IDS, 로그 모니터링, 감사 로그 등이 해당된다.

EU一般データ保護規則。EU市民の個人データ収集・処理・保管に関する厳格な規制で、違反時には最大2000万ユーロまたは年間売上高の4%の制裁金が科される。

EU 일반 데이터 보호 규정. EU 시민의 개인 데이터 수집·처리·보관에 관한 엄격한 규제로, 위반 시 최대 2,000만 유로 또는 연간 매출액의 4%에 해당하는 제재금이 부과된다.

企業とクラウドサービスの間に位置し、クラウド利用の可視化・コンプライアンス・脅威防御・データセキュリティを提供するセキュリティソリューション。シャドーITの検出にも活用される。

기업과 클라우드 서비스 사이에 위치하여 클라우드 이용의 가시화·컴플라이언스·위협 방어·데이터 보안을 제공하는 보안 솔루션. 섀도 IT의 검출에도 활용된다.

データベースのパスワードやAPIキーなどの機密情報を安全に保存・管理・ローテーションするサービス。AWSやGCPなどのクラウドプロバイダーが提供し、ハードコードを防ぐ。

데이터베이스 비밀번호나 API 키 등 민감한 정보를 안전하게 저장·관리·순환시키는 서비스. AWS, GCP 등 클라우드 프로바이더가 제공하며 하드코딩을 방지한다.

パッチが存在しない未知の脆弱性に対して仮想パッチやネットワーク隔離、実行制御などの緩和策を迅速に適用してリスクを最小限に抑える防御アプローチである。

패치가 존재하지 않는 미지의 취약성에 대해 가상 패치나 네트워크 격리, 실행 제어 등의 완화책을 신속하게 적용하여 리스크를 최소한으로 억제하는 방어 접근법이다.

アプリケーションとデータストア間に配置され、データの暗号化・復号をプロキシとして行う中間装置。アプリケーションコードの変更なしで透過的なデータ暗号化を実現する構成パターンである。

애플리케이션과 데이터 스토어 사이에 배치되어 데이터의 암호화·복호화를 프록시로 수행하는 중간 장치이다. 애플리케이션 코드 변경 없이 투과적인 데이터 암호화를 실현하는 구성 패턴이다.

パスワードを一方向性のハッシュ関数で変換し、元の値を復元できない形式で保存するセキュリティ手法。bcryptやArgon2などのアルゴリズムが推奨される。

패스워드를 단방향 해시 함수로 변환하여 원래 값을 복원할 수 없는 형태로 저장하는 보안 기법. bcrypt나 Argon2 등의 알고리즘이 권장된다.

システムへのアクセスや操作を時系列で記録し不正行為の検知や事後調査に利用する監査証跡。改ざん防止のためWORM領域への保存やハッシュチェーンで完全性を担保する。

시스템에 대한 접근이나 조작을 시계열로 기록하여 부정 행위 탐지나 사후 조사에 이용하는 감사 증적이다. 변조 방지를 위해 WORM 영역 저장이나 해시 체인으로 완전성을 담보한다.

正規のサービスや組織になりすましたメール・サイトで、ユーザーのID・パスワード・クレジットカード情報などを詐取するサイバー攻撃手法。

정규 서비스나 조직을 사칭한 이메일·사이트를 통해 사용자의 ID·비밀번호·신용카드 정보 등을 탈취하는 사이버 공격 기법.

申請者の法的実在性を厳格に審査した上で発行される最高水準のSSL/TLS証明書。組織名がブラウザに表示されるため、ユーザーにサイトの信頼性を視覚的に示すことができる証明書である。

신청자의 법적 실재성을 엄격하게 심사한 후 발행되는 최고 수준의 SSL/TLS 인증서이다. 조직명이 브라우저에 표시되므로 사용자에게 사이트의 신뢰성을 시각적으로 보여줄 수 있는 인증서이다.

ベンダーがまだ把握していない、またはパッチが提供されていない脆弱性。発見から修正までの間に攻撃者に悪用されるリスクが非常に高い。

벤더가 아직 파악하지 못했거나 패치가 제공되지 않은 취약점. 발견부터 수정까지의 기간 동안 공격자에게 악용될 위험이 매우 높다.

サイバー攻撃やセキュリティインシデント発生後にデジタル証拠を収集・保全・分析する調査手法。法的に有効な証拠を確保しつつ、攻撃の経路や被害範囲を特定するために実施される。

사이버 공격이나 보안 인시던트 발생 후에 디지털 증거를 수집·보전·분석하는 조사 기법. 법적으로 유효한 증거를 확보하면서 공격 경로나 피해 범위를 특정하기 위해 실시된다.

SOCの監視・分析・対応プロセスをプレイブックやスクリプトで自動化する取り組み。アラートのトリアージやインシデント初動対応を自動化しアナリストの負荷を大幅に削減する。

SOC의 감시·분석·대응 프로세스를 플레이북이나 스크립트로 자동화하는 노력이다. 알림의 트리아지나 인시던트 초동 대응을 자동화하여 분석가의 부하를 대폭 절감한다.

Webアプリケーションにおいて、ブラウザが読み込むリソースの出所を制限するHTTPヘッダーベースのセキュリティ機構。XSSやデータインジェクション攻撃を防ぐために使用される。

웹 애플리케이션에서 브라우저가 로드하는 리소스의 출처를 제한하는 HTTP 헤더 기반의 보안 메커니즘. XSS 및 데이터 인젝션 공격을 방지하기 위해 사용된다.

本番環境に意図的にセキュリティ障害や異常なトラフィックを注入して、監視システムの検知能力やインシデント対応プロセスが正しく機能するかを検証するテスト手法である。

운영 환경에 의도적으로 보안 장애나 비정상 트래픽을 주입하여 감시 시스템의 감지 능력이나 인시던트 대응 프로세스가 올바르게 기능하는지 검증하는 테스트 수법이다.

組織のデータを機密度に応じて公開・社外秘・機密・極秘などに分類する管理手法。分類に応じたアクセス制御や暗号化ポリシーを適用しデータ保護の適正化を図る。

조직의 데이터를 기밀도에 따라 공개·사외비·기밀·극비 등으로 분류하는 관리 기법이다. 분류에 따른 접근 제어나 암호화 정책을 적용하여 데이터 보호의 적정화를 도모한다.

ブラウザがレスポンスのContent-Typeヘッダーを無視してファイル内容から種類を推測する動作を防ぐ設定で、X-Content-Type-Options: nosniffで対策する。

브라우저가 응답의 Content-Type 헤더를 무시하고 파일 내용에서 종류를 추측하는 동작을 방지하는 설정으로, X-Content-Type-Options: nosniff로 대책한다.

ユーザー入力値がOSコマンドとして実行されることを防止するセキュリティ対策。入力値のサニタイズやコマンド実行関数の使用回避、許可リスト方式の採用などの手法で防御する。

사용자 입력값이 OS 명령으로 실행되는 것을 방지하는 보안 대책. 입력값 새니타이즈와 명령 실행 함수 사용 회피 등의 기법으로 방어한다.

組織のセキュリティ対策を体系的に整理・実施するための枠組み。NIST CSFやISO 27001などが代表例で、リスク管理や統制の基準として活用される。

조직의 보안 대책을 체계적으로 정리하고 실행하기 위한 틀. NIST CSF나 ISO 27001 등이 대표적이며, 리스크 관리 및 통제 기준으로 활용된다.

ユーザーの認証情報を検証し、一時的なセキュリティトークンを発行するサービス。AWSのSTSやAzure ADのトークンエンドポイントが代表例で、最小権限の一時認証情報を提供する。

사용자의 인증 정보를 검증하고 일시적인 보안 토큰을 발행하는 서비스이다. AWS의 STS나 Azure AD의 토큰 엔드포인트가 대표적이며 최소 권한의 임시 인증 정보를 제공한다.

一度だけ使用可能な短命のアクセストークンを発行し、リンク共有やパスワードリセットなどのセキュリティが求められる操作に使用する認証方式。有効期限の適切な設定が重要となる。

한 번만 사용 가능한 단명 접근 토큰을 발행하여 링크 공유나 비밀번호 재설정 등 보안이 요구되는 조작에 사용하는 인증 방식.

悪意あるソフトウェアの動作・構造を静的・動的手法で調査し、脅威の特定や対策立案に役立てるセキュリティ分析手法。

악성 소프트웨어의 동작과 구조를 정적·동적 방법으로 조사하여 위협을 식별하고 대응책 수립에 활용하는 보안 분석 기법입니다.

法令・規制・社内規定などへの準拠状況を継続的に監視・管理するプロセス。GDPRやPCI DSSなどの規制対応やリスク低減を目的とする。

법령·규제·사내 규정 등의 준수 상태를 지속적으로 모니터링하고 관리하는 프로세스. GDPR, PCI DSS 등의 규제 대응 및 리스크 감소를 목적으로 한다.

秘密情報を複数の断片に分割して異なる場所に保管し、一定数以上の断片を集めないと復元できないようにする暗号技術であり、単一障害点の排除と内部不正の防止に有効である。

비밀 정보를 복수의 단편으로 분할하여 다른 장소에 보관하고, 일정 수 이상의 단편을 모으지 않으면 복원할 수 없게 하는 암호 기술이며, 단일 장애점의 배제와 내부 부정의 방지에 유효하다.

Software Asset Managementの略。組織内のソフトウェアライセンスを一元管理し、コンプライアンス遵守やコスト最適化を図る管理手法・プロセスのこと。

Software Asset Management의 약어. 조직 내 소프트웨어 라이선스를 일원화하여 관리하고, 컴플라이언스 준수 및 비용 최적화를 도모하는 관리 기법 및 프로세스.

認証済みユーザーのセッションを利用して、意図しないリクエストを送信させる攻撃手法。トークンベースの検証やSameSite属性の設定で対策を講じる必要がある。

인증된 사용자의 세션을 이용하여 의도하지 않은 요청을 송신시키는 공격 기법이다. 토큰 기반 검증이나 SameSite 속성 설정으로 대책을 강구할 필요가 있다.

多数のアカウントに対して少数の一般的なパスワードを試みる攻撃手法。アカウントロックアウトを回避しながら不正アクセスを狙う。ブルートフォース攻撃の一種。

다수의 계정에 대해 소수의 일반적인 패스워드를 시도하는 공격 기법. 계정 잠금을 피하면서 무단 접근을 노린다. 브루트포스 공격의 일종.

機密データを無意味なトークン値に置換して安全に保管し、元データとの対応関係をトークンボールトで厳格に管理することで、万一のデータ漏洩時の被害を最小化する手法である。

기밀 데이터를 무의미한 토큰값으로 치환하여 안전하게 보관하고 원본 데이터와의 대응 관계를 토큰 볼트로 엄격히 관리하여 만일의 데이터 유출 시 피해를 최소화하는 수법이다.

技術的手段ではなく、人間の心理や信頼を利用して機密情報を騙し取ったり、不正アクセスを試みる攻撃手法。フィッシングや成りすましが代表例。

기술적 수단이 아닌 인간의 심리와 신뢰를 이용하여 기밀 정보를 속여 빼내거나 불법 접근을 시도하는 공격 기법. 피싱이나 사칭이 대표적인 사례이다.

SSL/TLS証明書の発行・更新・失効・廃棄までの一連のライフサイクルを一元管理するプロセス。期限切れによる障害防止や、PKIインフラの健全性維持に不可欠な運用管理手法。

SSL/TLS 인증서의 발급·갱신·폐지·폐기까지 일련의 라이프사이클을 통합 관리하는 프로세스. 만료로 인한 장애 방지 및 PKI 인프라의 건전성 유지에 필수적인 운영 관리 기법.

従来のファイアウォールにアプリケーション識別、ユーザー識別、脅威防御などの高度な機能を統合したセキュリティ装置。L7レベルでの通信制御により、より精緻なセキュリティポリシーを適用できる。

기존 방화벽에 애플리케이션 식별, 사용자 식별, 위협 방어 등의 고도 기능을 통합한 보안 장치이다. L7 레벨에서의 통신 제어로 보다 정밀한 보안 정책을 적용할 수 있는 장치이다.

ユーザーのタイピングリズムやマウス操作・歩行パターンなどの行動的特徴を用いて本人認証や不正検知を行うバイオメトリクス技術。

사용자의 타이핑 리듬, 마우스 조작, 보행 패턴 등 행동적 특징을 이용해 본인 인증 및 부정 탐지를 수행하는 바이오메트릭스 기술.

データ暗号鍵でデータを暗号化し、さらにマスター鍵でデータ暗号鍵を暗号化する二重暗号方式で、鍵管理のセキュリティを強化する。

데이터 암호 키로 데이터를 암호화하고, 다시 마스터 키로 데이터 암호 키를 암호화하는 이중 암호 방식으로, 키 관리의 보안을 강화한다.

ランダムまたは半構造化された入力データを大量に投入してプログラムの予期しない挙動やクラッシュを検出するテスト手法であり、CIパイプラインに組み込んで脆弱性を継続発見する。

랜덤 또는 반구조화된 입력 데이터를 대량으로 투입하여 프로그램의 예기치 않은 동작이나 크래시를 검출하는 테스트 기법이며, CI 파이프라인에 통합하여 취약성을 지속 발견한다.

ユーザーが第三者アプリに対して自身のリソースへのアクセス権を安全に委任する認証設計。OAuthのスコープ設計やトークンライフサイクルの適切な管理が設計の中核となる。

사용자가 제3자 앱에 대해 자신의 리소스 접근 권한을 안전하게 위임하는 인증 설계. OAuth의 스코프 설계와 토큰 라이프사이클 관리가 핵심이 된다.

SAML等のプロトコルで認証結果やユーザー属性情報をXML形式で発行する検証可能なステートメントで、IdPとSP間でのシングルサインオンの認証情報連携に使用される。

SAML 등의 프로토콜에서 인증 결과나 사용자 속성 정보를 XML 형식으로 발행하는 검증 가능한 스테이트먼트로, IdP와 SP 간 싱글 사인온의 인증 정보 연계에 사용된다.

組織のセキュリティ状況を可視化し、脆弱性数・インシデント件数・パッチ適用率などの重要指標をリアルタイムで表示する管理画面。経営層への報告や迅速な意思決定に寄与する。

조직의 보안 상황을 가시화하고 취약점 수·인시던트 건수·패치 적용률 등의 지표를 실시간으로 표시하는 관리 화면. 의사결정 신속화에 기여한다.

セキュリティポリシーやコンプライアンス要件をコードとして定義し、インフラやアプリケーションの準拠状態を自動で検証する手法。Policy as Codeとも呼ばれ、継続的なコンプライアンス確認を実現する。

보안 정책이나 컴플라이언스 요건을 코드로 정의하여 인프라나 애플리케이션의 준거 상태를 자동으로 검증하는 기법. Policy as Code라고도 불리며, 지속적인 컴플라이언스 확인을 실현한다.

不審なファイルやプログラムを隔離された仮想環境で実行し、その挙動を安全に観察・分析するセキュリティ手法。マルウェアの動的解析に広く利用され、未知の脅威を検出する能力を持つ。

의심스러운 파일이나 프로그램을 격리된 가상 환경에서 실행하여 그 거동을 안전하게 관찰·분석하는 보안 기법. 악성코드의 동적 분석에 널리 이용되며, 미지의 위협을 검출하는 능력을 가진다.

検出した脅威に対して重大度や影響範囲などの指標を基にリスクスコアを算出する手法。アナリストがスコアに基づいて対応優先度を判断し、限られたリソースで効果的に対処する仕組みである。

검출한 위협에 대해 중대도나 영향 범위 등의 지표를 기반으로 리스크 스코어를 산출하는 기법이다. 분석가가 스코어에 기반하여 대응 우선도를 판단하고 제한된 리소스로 효과적으로 대처하는 구조이다.

ログイン済みユーザーが意図しないリクエストを悪意あるサイト経由で送信させられる攻撃手法。CSRFトークンによる検証が主な対策として用いられる。

로그인된 사용자가 악의적인 사이트를 통해 의도하지 않은 요청을 전송하도록 유도되는 공격 기법으로, CSRF 토큰 검증이 주요 대응책으로 활용된다.

送信者と受信者が同一の鍵を使って暗号化・復号を行う方式。AESやDESが代表例で、処理速度が速い反面、鍵の安全な共有が課題となる。

송신자와 수신자가 동일한 키를 사용하여 암호화·복호화를 수행하는 방식. AES, DES가 대표적이며 처리 속도가 빠른 반면, 키의 안전한 공유가 과제가 된다.

大きな素数の積の素因数分解の困難さに基づく公開鍵暗号方式。鍵交換やデジタル署名に広く利用されるが、量子コンピュータの進展により将来的な移行が検討されている暗号方式である。

큰 소수의 곱의 소인수 분해 어려움에 기반한 공개 키 암호 방식이다. 키 교환이나 디지털 서명에 널리 이용되지만 양자 컴퓨터의 진전에 따라 장래적인 이행이 검토되고 있는 암호 방식이다.

セキュリティインシデント発生時の検知・封じ込め・復旧・事後分析の手順を事前に策定した計画書。定期的な訓練と更新によって実効性を維持し、組織全体の対応力を強化する。

보안 인시던트 발생 시 검지·봉쇄·복구·사후 분석 절차를 사전에 수립한 계획서. 정기적인 훈련과 갱신으로 실효성을 유지한다.

システム設計の初期段階からプライバシー保護を組み込む考え方。後付けではなく、アーキテクチャ・仕様レベルでGDPRなどの要件を満たす設計を実現する。

시스템 설계 초기 단계부터 개인정보 보호를 내재화하는 개념으로, 사후 대응이 아닌 아키텍처 및 사양 수준에서 GDPR 등의 요건을 충족하는 설계를 실현한다.

アプリケーションの実行環境に組み込まれ、リアルタイムで攻撃を検知・遮断するセキュリティ技術。WAFと異なりアプリケーション内部から保護するため、コンテキストを考慮した高精度な防御が可能である。

애플리케이션의 실행 환경에 내장되어 실시간으로 공격을 탐지·차단하는 보안 기술. WAF와 달리 애플리케이션 내부에서 보호하기 때문에 컨텍스트를 고려한 고정밀 방어가 가능하다.

コンテナイメージに含まれる脆弱性や設定ミスを自動検出する手法。CI/CDパイプラインに組み込み、デプロイ前に既知のCVEや不審なパッケージを検知する。

컨테이너 이미지에 포함된 취약점이나 설정 오류를 자동으로 검출하는 방법. CI/CD 파이프라인에 통합하여 배포 전에 알려진 CVE나 의심스러운 패키지를 탐지한다.

複数の外部ソースから収集したサイバー脅威情報を集約・正規化・相関分析・共有するプラットフォームで、攻撃の予測や防御ルールの自動更新などの事前対策準備に活用する。

여러 외부 소스에서 수집한 사이버 위협 정보를 집약·정규화·상관 분석·공유하는 플랫폼으로, 공격 예측이나 방어 규칙 자동 갱신 등의 사전 대책 준비에 활용한다.

クラウド環境全体でのデータの所在・分類・アクセス権限を可視化し、機密データの漏洩リスクを管理するセキュリティソリューション。データガバナンスの強化とコンプライアンス遵守を支援する。

클라우드 환경 전체에서의 데이터 소재·분류·접근 권한을 가시화하여 기밀 데이터의 유출 리스크를 관리하는 보안 솔루션. 데이터 거버넌스의 강화와 컴플라이언스 준수를 지원한다.

実行中のアプリケーションに対して疑似攻撃を行い脆弱性を検出するテスト手法で、ブラックボックス方式でセキュリティを検証する。

실행 중인 애플리케이션에 대해 모의 공격을 수행하여 취약점을 검출하는 테스트 기법으로, 블랙박스 방식으로 보안을 검증한다.

ネットワーク上のトラフィックやログを収集・分析し、セキュリティインシデントの原因究明や証拠保全を行う技術。侵害経路の特定やマルウェア通信の検出に活用される。

네트워크상의 트래픽과 로그를 수집·분석하여 보안 인시던트의 원인 규명 및 증거 보전을 수행하는 기술. 침해 경로 식별과 악성코드 통신 탐지에 활용된다.

ロードバランサーやリバースプロキシでTLS暗号化を終端し、バックエンドサーバーとの通信を平文またはmTLSで行う構成。証明書管理の集中化とバックエンドの処理負荷軽減を実現する手法である。

로드 밸런서나 리버스 프록시에서 TLS 암호화를 종단하고 백엔드 서버와의 통신을 평문 또는 mTLS로 수행하는 구성이다. 인증서 관리의 집중화와 백엔드 처리 부하 경감을 실현하는 기법이다.

DNS問い合わせをHTTPS通信で暗号化して中間者によるDNS盗聴や改ざんを防止する技術であり、企業ネットワークでの導入時にはDNSフィルタリングとの共存設計が必要になる。

DNS 조회를 HTTPS 통신으로 암호화하여 중간자에 의한 DNS 도청이나 변조를 방지하는 기술이며, 기업 네트워크에서의 도입 시에는 DNS 필터링과의 공존 설계가 필요하다.

ユーザーやエンティティの行動パターンを機械学習で分析し、通常と異なる不審な行動を検出する技術。内部不正やアカウント乗っ取りなどの異常を早期に発見するために活用される。

사용자나 엔터티의 행동 패턴을 머신러닝으로 분석하여 통상과 다른 의심스러운 행동을 검출하는 기술. 내부 부정이나 계정 탈취 등의 이상을 조기에 발견하기 위해 활용된다.

複数のセキュリティデバイスやログソースからのイベントを相関付けて分析し、単一ログでは検知困難な複合攻撃を特定する手法。SIEMの中核機能として高度な脅威検出に活用される。

복수의 보안 디바이스나 로그 소스에서의 이벤트를 상관시켜 분석하고 단일 로그로는 감지 곤란한 복합 공격을 특정하는 기법이다. SIEM의 핵심 기능으로서 고도의 위협 검출에 활용된다.

ネットワークに接続する端末の認証・検疫・制御を行う仕組みで、不正端末のアクセスを防止しセキュリティポリシーを強制する。

네트워크에 접속하는 단말의 인증·검역·제어를 수행하는 구조로, 부정 단말의 접근을 방지하고 보안 정책을 강제한다.

DNS問い合わせを監視し、悪意あるドメインへのアクセスをブロックするセキュリティ対策。マルウェアのC2通信やフィッシングサイトへの接続を名前解決の段階で遮断する防御手法である。

DNS 쿼리를 모니터링하고 악의적인 도메인으로의 접근을 차단하는 보안 대책이다. 멀웨어의 C2 통신이나 피싱 사이트로의 접속을 이름 해석 단계에서 차단하는 방어 기법이다.

ネットワーク上の悪意あるトラフィックをリアルタイムで検知し、自動的にブロックするインライン型のセキュリティ装置。IDSの検知機能に加えて通信の遮断機能を持つ積極的な防御手段である。

네트워크상의 악의적인 트래픽을 실시간으로 감지하고 자동으로 차단하는 인라인형 보안 장치이다. IDS의 감지 기능에 더해 통신 차단 기능을 가진 적극적인 방어 수단이다.

コンテナイメージのデプロイ前に署名検証を行うセキュリティ機能。承認されたイメージのみ本番環境へのデプロイを許可し、サプライチェーン攻撃を防止する。

컨테이너 이미지 배포 전 서명 검증을 수행하는 보안 기능. 승인된 이미지만 프로덕션 환경 배포를 허용하여 공급망 공격을 방지한다.

セキュリティ上の設定不備や脆弱性を検出した際に、ポリシーに基づいて自動的に修正を適用する仕組み。クラウド環境のガードレールとして活用され、設定ドリフトの即時修正に役立つ。

보안상의 설정 미비나 취약점을 검출했을 때 정책에 기반하여 자동으로 수정을 적용하는 구조. 클라우드 환경의 가드레일로 활용된다.

EU一般データ保護規則（GDPR）に準拠するための取り組み。個人データの収集・処理・保管に関するポリシー整備、同意取得フロー実装、データ削除対応などが含まれる。

EU 일반 데이터 보호 규정(GDPR)을 준수하기 위한 대응 활동. 개인 데이터 수집·처리·보관 정책 수립, 동의 취득 플로우 구현, 데이터 삭제 대응 등이 포함된다.

Open Policy AgentのRego言語でセキュリティポリシーをコードとして定義し、Kubernetes等のデプロイ時にポリシー準拠を自動検証するアプローチである。

Open Policy Agent의 Rego 언어로 보안 정책을 코드로 정의하고, Kubernetes 등의 배포 시 정책 준수를 자동 검증하는 접근법이다.

低い権限のユーザーがOSやアプリケーションの脆弱性を悪用してシステム管理者などの高い権限を不正に取得する攻撃で、同一権限レベルの水平昇格と上位権限への垂直昇格の二種類がある。

낮은 권한의 사용자가 OS나 애플리케이션의 취약점을 악용하여 시스템 관리자 등의 높은 권한을 부정하게 취득하는 공격으로, 동일 권한 레벨의 수평 상승과 상위 권한으로의 수직 상승 두 종류가 있다.

マイクロサービス間の通信をサービスメッシュで保護する仕組みで、mTLSの自動適用やアクセスポリシーの一元管理を実現する。

마이크로서비스 간 통신을 서비스 메시로 보호하는 구조로, mTLS 자동 적용이나 접근 정책의 일원 관리를 실현한다.

特定のWebサイトやコンテンツへのアクセスを制限・許可する技術。企業ネットワークでの不正サイトブロックやコンプライアンス対応に活用される。URLフィルタリングやコンテンツカテゴリ分類を使って制御する。

특정 웹사이트나 콘텐츠에 대한 접근을 제한하거나 허용하는 기술. 기업 네트워크에서 불법 사이트 차단 및 컴플라이언스 대응에 활용되며, URL 필터링과 콘텐츠 카테고리 분류를 통해 제어한다.

セキュリティインシデントの検知・通知・対応・復旧までの時間目標を定めたサービスレベル合意。脆弱性の深刻度別に対応期限を設定し、組織的な対応品質を保証する仕組みである。

보안 인시던트의 검지·통지·대응·복구까지의 시간 목표를 정한 서비스 수준 합의. 취약점의 심각도별로 대응 기한을 설정하는 것이 일반적이다.

Cloud-Native Application Protection Platformの略。CSPM（設定監視）、CWPP（ワークロード保護）、CIEM（クラウド権限管理）などを統合し、クラウドネイティブアプリのライフサイクル全体を包括的に保護するプラットフォーム。

Cloud-Native Application Protection Platform의 약자. CSPM(설정 모니터링), CWPP(워크로드 보호), CIEM(클라우드 권한 관리) 등을 통합하여 클라우드 네이티브 앱의 전체 라이프사이클을 포괄적으로 보호하는 플랫폼.

クラウド上で実行される仮想マシン・コンテナ・サーバーレス関数などのワークロードに対する包括的なセキュリティ保護基盤。脆弱性管理と実行時保護の両方を統合的に提供する。

클라우드에서 실행되는 가상머신·컨테이너·서버리스 함수 등의 워크로드에 대한 포괄적인 보안 보호. 취약점 관리와 실행 시 보호 양쪽을 제공한다.

リバースプロキシとして動作しWebアプリケーションへのトラフィックを中継しながらSQLインジェクションやXSSなどの攻撃を検知・遮断するセキュリティ装置である。

리버스 프록시로 동작하며 웹 애플리케이션에 대한 트래픽을 중계하면서 SQL 인젝션이나 XSS 등의 공격을 탐지·차단하는 보안 장치이다.

Role-Based Access Controlの略でユーザーにロールを割り当てそのロールに紐づく権限でアクセスを制御するモデルであり、権限管理の複雑さを軽減して組織的なアクセス制御を効率化する。

Role-Based Access Control의 약칭으로 사용자에 역할을 할당하고 그 역할에 연결된 권한으로 접근을 제어하는 모델이며, 권한 관리의 복잡성을 경감하여 조직적인 접근 제어를 효율화한다.

APIキーを定期的に新しいものへ更新して古いキーを段階的に無効化する運用プロセスで、万が一キーが漏洩した場合でも不正利用の影響期間を短縮できるセキュリティ対策である。

API 키를 정기적으로 새로운 것으로 갱신하고 이전 키를 단계적으로 무효화하는 운용 프로세스로, 만일 키가 유출되어도 부정 이용의 영향 기간을 단축할 수 있는 보안 대책이다.

複数のセキュリティ機器やシステムのログを横断的に分析し、単独では検知困難な攻撃パターンを発見する手法。SIEMの中核機能として、高度な脅威検出に不可欠な技術である。

여러 보안 장비와 시스템의 로그를 횡단적으로 분석하여 단독으로는 검지 어려운 공격 패턴을 발견하는 기법. SIEM의 핵심 기능으로 중요하다.

本番データの個人情報や機密情報を非可逆的に変換し、開発・テスト環境で安全に利用するための運用手法のこと。マスキングルールの定義・適用タイミング・データ整合性の維持を管理する。

프로덕션 데이터의 개인 정보나 기밀 정보를 비가역적으로 변환하여 개발·테스트 환경에서 안전하게 이용하기 위한 운용 기법을 말한다. 마스킹 규칙 정의·적용 타이밍·데이터 정합성 유지를 관리한다.

データセットにノイズを加えることで個人情報を保護しつつ統計的有用性を維持する技術。機械学習モデルの学習データ保護にも活用される。

데이터셋에 노이즈를 추가하여 개인 정보를 보호하면서 통계적 유용성을 유지하는 기술로, 머신러닝 모델의 학습 데이터 보호에도 활용된다.

Webアプリケーションのセキュリティ向上を目的とした非営利団体。脆弱性トップ10（OWASP Top 10）などのガイドラインを公開し、セキュリティ対策の標準として広く活用されている。

웹 애플리케이션 보안 향상을 목적으로 하는 비영리 단체. 취약점 상위 10개(OWASP Top 10) 등의 가이드라인을 공개하여 보안 대책의 표준으로 널리 활용되고 있다.

アプリケーション層のプロトコルを理解し、プロキシとして通信を中継するファイアウォール。FTPやHTTPなどのプロトコル固有のコマンドを検査して、不正な操作をブロックする防御機能を提供する。

애플리케이션 계층의 프로토콜을 이해하고 프록시로서 통신을 중계하는 방화벽이다. FTP나 HTTP 등의 프로토콜 고유 명령을 검사하여 부정한 조작을 차단하는 방어 기능을 제공한다.

コンピュータに感染し、自己複製しながら他のファイルやシステムに被害を与える悪意あるプログラム。メールの添付ファイルや不正サイト経由で拡散することが多い。

컴퓨터에 감염되어 자가 복제를 통해 다른 파일이나 시스템에 피해를 주는 악성 프로그램. 이메일 첨부 파일이나 악성 사이트를 통해 확산되는 경우가 많다.

量子コンピュータによる攻撃に耐性を持つ暗号アルゴリズムの総称。現在広く使われているRSAや楕円曲線暗号が量子コンピュータで解読される可能性に備え、NISTを中心に標準化が進められている。

양자 컴퓨터에 의한 공격에 내성을 가지는 암호 알고리즘의 총칭. 현재 널리 사용되는 RSA나 타원 곡선 암호가 양자 컴퓨터로 해독될 가능성에 대비하여 NIST를 중심으로 표준화가 진행되고 있다.

システムやコードに対して脆弱性・マルウェア・不正アクセスのリスクを自動的に検出するプロセス。CI/CDパイプラインに組み込まれることも多い。

시스템이나 코드에 존재하는 취약점, 악성코드, 불법 접근 위험을 자동으로 탐지하는 프로세스. CI/CD 파이프라인에 통합되는 경우도 많다.

透明なiframeを重ねてユーザーのクリックを別サイトに誘導する攻撃への対策で、X-Frame-OptionsやCSPで防止する。

투명한 iframe을 겹쳐 사용자의 클릭을 다른 사이트로 유도하는 공격에 대한 대책으로, X-Frame-Options나 CSP로 방지한다.

ソフトウェア開発においてセキュリティ上の脆弱性を防ぐための規約・指針。SQLインジェクションやXSSなどの攻撃を防ぐ実装ルールを定めたドキュメント。

소프트웨어 개발 시 보안 취약점을 방지하기 위한 규약 및 지침. SQL 인젝션, XSS 등의 공격을 막기 위한 구현 규칙을 정의한 문서.

暗号化や電子署名に使用する秘密鍵をライフサイクル全体を通じて安全に生成・保管・利用するプロセスで、HSMやKMSなどの専用サービスでハードウェアレベルの保護を行う。

암호화나 전자 서명에 사용하는 비밀키를 라이프사이클 전체를 통해 안전하게 생성·보관·이용하는 프로세스로, HSM이나 KMS 등의 전용 서비스로 하드웨어 레벨 보호를 수행한다.

プログラムがバッファの境界を超えてデータを書き込む脆弱性。攻撃者による任意コード実行やシステムクラッシュを引き起こす可能性があり、C/C++で特に注意が必要。

프로그램이 버퍼의 경계를 초과하여 데이터를 쓰는 취약점. 공격자에 의한 임의 코드 실행이나 시스템 충돌을 일으킬 수 있으며, C/C++에서 특히 주의가 필요하다.

ソースコードやGitコミット履歴を自動走査し、APIキー・パスワード・トークン等の機密情報がハードコードされていないかを検出するセキュリティスキャン技術である。

소스 코드나 Git 커밋 이력을 자동 주사하여 API 키·비밀번호·토큰 등의 기밀 정보가 하드코딩되어 있지 않은지 검출하는 보안 스캔 기술이다.

実際のサイバー攻撃の戦術・技術・手順を体系化したナレッジベースで、攻撃者の行動パターンを理解し防御策を設計するために使われる。

실제 사이버 공격의 전술·기술·절차를 체계화한 지식 기반으로, 공격자의 행동 패턴을 이해하고 방어책을 설계하기 위해 사용된다.

通信の状態（コネクションの確立・維持・終了）を追跡しながらパケットを検査するファイアウォール技術。単純なパケットフィルタリングより精密に不正な通信を検出できる防御手法である。

통신 상태(커넥션의 확립·유지·종료)를 추적하면서 패킷을 검사하는 방화벽 기술이다. 단순한 패킷 필터링보다 정밀하게 부정한 통신을 검출할 수 있는 방어 기법이다.

ソフトウェアやハードウェアの動作を解析して内部構造や設計を明らかにする技術。マルウェア解析やセキュリティ研究で活用されるが、知的財産権の観点から法的制約がある場合もある。

소프트웨어나 하드웨어의 동작을 분석하여 내부 구조나 설계를 밝혀내는 기술. 악성코드 분석이나 보안 연구에 활용되지만, 지식재산권의 관점에서 법적 제약이 있는 경우도 있다.

JSON Web Tokenに含まれるクレーム（発行者・有効期限・権限など）を厳密に検証し、トークン改ざんや不正利用を防止する処理である。

JSON Web Token에 포함된 클레임(발행자·유효 기한·권한 등)을 엄밀하게 검증하여 토큰 변조나 부정 이용을 방지하는 처리이다.

パスワードに加え、SMS・認証アプリ・生体認証など複数の要素を組み合わせてユーザーを認証するセキュリティ手法。不正アクセスのリスクを大幅に低減できる。

비밀번호 외에 SMS, 인증 앱, 생체 인증 등 여러 요소를 조합하여 사용자를 인증하는 보안 기법. 무단 접근 위험을 크게 줄일 수 있다.

インターネット通信を暗号化するプロトコル。SSLの後継がTLSで、現在はTLS 1.2/1.3が主流。HTTPS通信やAPIの安全な接続に不可欠な技術。

인터넷 통신을 암호화하는 프로토콜. SSL의 후속이 TLS이며, 현재는 TLS 1.2/1.3이 주류. HTTPS 통신이나 API의 안전한 연결에 필수적인 기술.

サイバー攻撃に関する脅威情報を収集・分析・共有する仕組み。攻撃者の手口やIOCを活用し、インシデント対応や予防的な防御策の強化に役立てる。

사이버 공격에 관한 위협 정보를 수집·분석·공유하는 체계. 공격자의 수법이나 IOC를 활용하여 인시던트 대응 및 예방적 방어 강화에 활용한다.

感染したシステムのファイルを暗号化し、復号と引き換えに身代金を要求する悪意のあるマルウェア。企業や医療機関など重要インフラへの攻撃事例が急増している。

감염된 시스템의 파일을 암호화한 후 복호화 대가로 금전을 요구하는 악성 멀웨어. 기업, 의료기관 등 주요 인프라를 대상으로 한 공격 사례가 급증하고 있다.

ブラウザのバージョン・画面解像度・タイムゾーン・インストール済みプラグイン構成等の多数の属性情報を収集してユーザーを一意に識別する技術で、不正アクセスの検知に活用される。

브라우저 버전·화면 해상도·타임존·설치된 플러그인 구성 등 다수의 속성 정보를 수집하여 사용자를 고유하게 식별하는 기술로, 부정 접근 감지에 활용된다.

任意のデータを固定長の文字列（ハッシュ値）に変換する処理。パスワード保存やデータ整合性確認に使われ、元データへの復元が困難な一方向性が特徴。

임의의 데이터를 고정 길이의 문자열(해시값)로 변환하는 처리. 비밀번호 저장이나 데이터 무결성 확인에 사용되며, 원본 데이터로 복원이 어려운 단방향성이 특징.

ワークロード単位でネットワークセグメントを細分化しアクセス制御ポリシーを自動適用する技術であり、ゼロトラストアーキテクチャの中核としてラテラルムーブメントを防止する。

워크로드 단위로 네트워크 세그먼트를 세분화하여 접근 제어 정책을 자동 적용하는 기술이며, 제로트러스트 아키텍처의 핵심으로 래터럴 무브먼트를 방지한다.

任意のデータを固定長のハッシュ値に変換する関数。パスワード保存やデータ整合性の検証、デジタル署名などに広く使われる不可逆的な変換処理。

임의의 데이터를 고정 길이의 해시 값으로 변환하는 함수. 비밀번호 저장, 데이터 무결성 검증, 디지털 서명 등에 널리 사용되는 단방향 변환 처리.

セキュリティインシデントが発生した際に迅速に対応するための専門チームで、脅威の分析・封じ込め・復旧を担当する組織である。

보안 인시던트가 발생했을 때 신속하게 대응하기 위한 전문 팀으로, 위협의 분석·봉쇄·복구를 담당하는 조직이다.

システム設計・開発の初期段階からセキュリティを組み込む手法。脅威モデリングや脆弱性対策をアーキテクチャレベルで実施し、安全なシステムを構築する。

시스템 설계·개발 초기 단계부터 보안을 내재화하는 방법론. 위협 모델링과 취약점 대책을 아키텍처 수준에서 실시하여 안전한 시스템을 구축한다.

プロジェクトが使用するライブラリやパッケージの既知の脆弱性（CVE）を自動検出するプロセス。SCA（ソフトウェアコンポジション解析）とも呼ばれ、CI/CDパイプラインに組み込むのが一般的。

프로젝트에서 사용하는 라이브러리나 패키지의 알려진 취약점(CVE)을 자동으로 탐지하는 프로세스. SCA(소프트웨어 컴포지션 분석)라고도 하며, CI/CD 파이프라인에 통합하는 것이 일반적이다.

暗号化されたデータを元に戻すこと。Decryption。

암호화된 데이터를 원래대로 되돌리는 것. Decryption.

データを第三者が読めない形式に変換する技術。AESやRSAなどのアルゴリズムを使い、通信や保存データの機密性を保護する。

데이터를 제3자가 읽을 수 없는 형식으로 변환하는 기술. AES나 RSA 등의 알고리즘을 사용하여 통신 및 저장 데이터의 기밀성을 보호한다.

公開鍵基盤（PKI）の日常的な管理・運用業務。証明書の発行・更新・失効、認証局（CA）の管理、鍵管理ポリシーの策定などが含まれる。

공개 키 기반(PKI)의 일상적인 관리·운영 업무로, 인증서 발급·갱신·폐기, 인증 기관(CA) 관리, 키 관리 정책 수립 등이 포함된다.

クラウド環境でユーザーやデバイスのIDを一元管理する仕組み。認証・認可・SSO・MFAなどを統合し、セキュアなアクセス制御を実現するサービスまたは概念。

클라우드 환경에서 사용자 및 디바이스의 ID를 일원 관리하는 체계. 인증·인가·SSO·MFA 등을 통합하여 안전한 액세스 제어를 실현하는 서비스 또는 개념.

組織のセキュリティ対策の現状を包括的に評価し、リスクと改善点を明確にする活動で、定期的な実施により防御力を維持する。

조직의 보안 대책 현황을 포괄적으로 평가하여 리스크와 개선점을 명확히 하는 활동으로, 정기적인 실시를 통해 방어력을 유지한다.

ソフトウェアやシステムの脆弱性を悪用するために作成されたプログラムやスクリプト。概念実証用のPoCコードから実際の攻撃に使われるものまであり、脆弱性の深刻度評価に利用される。

소프트웨어나 시스템의 취약성을 악용하기 위해 작성된 프로그램이나 스크립트. 개념 증명용 PoC 코드부터 실제 공격에 사용되는 것까지 있으며, 취약성의 심각도 평가에 활용된다.

クライアントがサーバーの証明書や公開鍵を事前に固定し、中間者攻撃による証明書のすり替えを防止するセキュリティ手法。モバイルアプリとAPIサーバー間の通信の安全性を高める目的で広く利用される。

클라이언트가 서버의 인증서나 공개키를 사전에 고정하여 중간자 공격에 의한 인증서 교체를 방지하는 보안 기법. 모바일 앱과 API 서버 간의 통신 안전성을 높이는 목적으로 널리 이용된다.

データをどれくらいの期間保存・管理するかを定めた規則。法令遵守やストレージコスト削減のため、保存期間や削除タイミングを明文化したもの。

데이터를 얼마나 오랫동안 저장하고 관리할지를 정한 규칙. 법령 준수 및 스토리지 비용 절감을 위해 보존 기간과 삭제 시점을 명문화한 정책.

Attribute-Based Access Controlの略。ユーザー・リソース・環境の属性を組み合わせてアクセス制御を行うモデル。RBACより細粒度なポリシー設定が可能。

Attribute-Based Access Control의 약자. 사용자·리소스·환경의 속성을 조합하여 접근 제어를 수행하는 모델. RBAC보다 세분화된 정책 설정이 가능하다.

暗号化されたデータを復号せずに計算処理を行う技術の総称であり、準同型暗号やセキュアマルチパーティ計算を用いてデータのプライバシーを保ちながら分析を可能にする。

암호화된 데이터를 복호화하지 않고 계산 처리를 수행하는 기술의 총칭이며, 준동형 암호나 시큐어 멀티파티 계산을 사용하여 데이터의 프라이버시를 유지하면서 분석을 가능하게 한다.

脆弱性の深刻度を数値化するための標準スコアリングシステム（CVSS: Common Vulnerability Scoring System）。0〜10のスコアで重大度を評価し、パッチ適用優先度の判断に使われる。

취약점의 심각도를 수치화하는 표준 점수 산정 시스템(CVSS: Common Vulnerability Scoring System). 0~10점 척도로 위험도를 평가하며, 패치 적용 우선순위 결정에 활용된다.

Webサイトへのアクセスが人間によるものか自動化ボットによるものかを識別し、スクレイピングや不正な大量購入などの悪意のあるボットアクセスをブロックする対策である。

웹사이트 접근이 사람에 의한 것인지 자동화 봇에 의한 것인지 식별하고, 스크레이핑이나 부정한 대량 구매 등 악의적인 봇 접근을 차단하는 대책이다.

自己複製機能を持つマルウェアの一種。ホストプログラムを必要とせず、ネットワークを通じて自律的に拡散し、システムリソースの枯渇や情報漏洩を引き起こす。

자기 복제 기능을 가진 악성코드의 일종. 호스트 프로그램 없이 네트워크를 통해 자율적으로 확산되며, 시스템 리소스 고갈이나 정보 유출을 일으킨다.

暗号化されたデータのまま演算処理を行える暗号技術。復号せずに計算結果を得られるため、クラウド上での機密データ処理に活用される。

암호화된 데이터 상태에서 연산 처리를 수행할 수 있는 암호 기술. 복호화 없이 계산 결과를 얻을 수 있어 클라우드 환경에서의 기밀 데이터 처리에 활용된다.

TPMとも呼ばれる、マザーボードに組み込まれたセキュリティチップ。暗号鍵の生成・保存やデバイス認証を担い、BitLockerなどのディスク暗号化機能の基盤となる。

TPM이라고도 불리는 마더보드에 내장된 보안 칩으로, 암호화 키 생성·저장 및 디바이스 인증을 담당하며 BitLocker 등 디스크 암호화 기능의 기반이 된다.

APIキーやパスワードなどの機密情報を安全に保管・管理する仕組み。HashiCorp VaultやAWS Secrets Managerなどが代表例で、アクセス制御や監査ログも提供する。

API 키나 비밀번호 등 민감한 정보를 안전하게 저장·관리하는 시스템. HashiCorp Vault나 AWS Secrets Manager가 대표적이며, 접근 제어 및 감사 로그 기능도 제공한다.

CIS Benchmarks等の業界標準に基づいてOS・ミドルウェア・クラウドサービスのセキュリティ設定を定期的に評価し、組織全体の準拠状況を確認するプロセスである。

CIS Benchmarks 등의 업계 표준에 기반하여 OS·미들웨어·클라우드 서비스의 보안 설정을 정기적으로 평가하고 조직 전체의 준수 상황을 확인하는 프로세스이다.

攻撃者の視点でシステムやネットワークに対して擬似的な攻撃を実施し、セキュリティ上の弱点を発見する手法。脆弱性診断よりも実践的で、実際の攻撃シナリオに基づいて侵入可能性を検証する。

공격자의 시점에서 시스템이나 네트워크에 대해 모의 공격을 실시하여 보안상의 약점을 발견하는 기법. 취약성 진단보다 실전적이며, 실제 공격 시나리오를 기반으로 침투 가능성을 검증한다.

セキュリティツール間の連携を自動化し、インシデント対応のワークフローを統合管理するプラットフォームで、対応時間を大幅に短縮する。

보안 도구 간 연계를 자동화하고, 인시던트 대응 워크플로우를 통합 관리하는 플랫폼으로, 대응 시간을 대폭 단축한다.

コンテナやアプリの実行時に異常な動作やプロセスを検知・遮断するセキュリティ対策。Falcoなどのツールでシステムコールを監視し不審な挙動をリアルタイムで検出する。

컨테이너나 앱 실행 시 이상한 동작이나 프로세스를 탐지·차단하는 보안 대책이다. Falco 등의 도구로 시스템 콜을 감시하여 의심스러운 거동을 실시간으로 검출한다.

実行中のアプリケーション内部にセキュリティエージェントを組み込み、攻撃をリアルタイムで検知・遮断するRuntime Application Self-Protection技術の導入である。

실행 중인 애플리케이션 내부에 보안 에이전트를 내장하여 공격을 실시간으로 감지·차단하는 Runtime Application Self-Protection 기술의 도입이다.

SSL/TLS証明書などの発行・更新・失効・監視を一元管理するプロセス。期限切れによる障害防止や自動更新の仕組み構築が実務上重要となる。

SSL/TLS 인증서 등의 발급·갱신·폐기·모니터링을 일원화하여 관리하는 프로세스. 만료로 인한 장애 방지와 자동 갱신 체계 구축이 실무상 중요하다.

パスワードなどをハッシュ化する際にランダムな文字列（ソルト）を付加する手法。レインボーテーブル攻撃への対策として広く使われる。

비밀번호 등을 해시화할 때 무작위 문자열(솔트)을 추가하는 기법. 레인보우 테이블 공격에 대한 대책으로 널리 사용된다.

正規の認証プロセスを回避して、不正にシステムやリソースへアクセスする攻撃手法。SQLインジェクションやセッション固定攻撃などが代表例。

정규 인증 프로세스를 우회하여 시스템이나 리소스에 비정상적으로 접근하는 공격 기법. SQL 인젝션, 세션 고정 공격 등이 대표적인 사례이다.

エンコーディング変換やペイロード難読化によるWAFルール回避の試みを検知する技術で、リクエストの多段デコードやUnicode正規化処理により難読化された攻撃を検出する。

인코딩 변환이나 페이로드 난독화에 의한 WAF 규칙 회피 시도를 감지하는 기술로, 요청의 다단 디코드나 Unicode 정규화 처리로 난독화된 공격을 검출한다.

ブラウザがHTTPリクエスト時にRefererヘッダーでどの程度の参照元情報を送信するかを制御するセキュリティポリシー。URLに含まれる機密情報の意図しない外部流出を防止するために設定される。

브라우저가 HTTP 요청 시 Referer 헤더로 어느 정도의 참조원 정보를 송신할지 제어하는 보안 정책이다. URL에 포함된 기밀 정보의 의도치 않은 외부 유출을 방지하기 위해 설정된다.

クラウド環境全体のセキュリティ設定を継続的に評価・是正し、セキュリティ態勢を維持する管理手法のこと。設定ミスの自動検出・コンプライアンス準拠状況の可視化・リスクスコアリングを行う。

클라우드 환경 전체의 보안 설정을 지속적으로 평가·시정하여 보안 태세를 유지하는 관리 기법을 말한다. 설정 오류 자동 감지·컴플라이언스 준수 상황 시각화·리스크 스코어링을 수행한다.

正規のウェブサイトのコンテンツを偽装して、ユーザーに虚偽の情報を表示させる攻撃手法で、信頼性の悪用を狙うものである。

정규 웹사이트의 콘텐츠를 위장하여 사용자에게 허위 정보를 표시하는 공격 기법으로, 신뢰성의 악용을 노리는 것이다.

ネットワーク機器やサーバーのログを集約して相関分析を行い、セキュリティインシデントをリアルタイムに検知する管理手法である。

네트워크 장비나 서버의 로그를 집약하여 상관 분석을 수행하고, 보안 인시던트를 실시간으로 탐지하는 관리 기법이다.

システムやアプリケーションの脆弱性を継続的に発見・評価・修正・監視するプロセス。CVSSスコアを基にリスク優先度を決定し、パッチ適用やリスク許容の判断を行う。

시스템 및 애플리케이션의 취약점을 지속적으로 발견·평가·수정·모니터링하는 프로세스. CVSS 점수를 기반으로 리스크 우선순위를 결정하고, 패치 적용 및 리스크 수용 여부를 판단한다.

既存のセキュリティツールでは検出できない潜在的な脅威を、アナリストが能動的に探索・調査する活動。仮説を立てて検証するアプローチにより、高度な攻撃の早期発見を目指す。

기존 보안 도구로는 검출할 수 없는 잠재적인 위협을 분석가가 능동적으로 탐색·조사하는 활동. 가설을 세워 검증하는 접근법으로 고도의 공격을 조기에 발견하는 것을 목표로 한다.

ユーザーの行動パターン、デバイス情報、ログイン場所などからリスクレベルを動的に評価し、認証強度を調整するアクセス制御手法。低リスク時はシームレスに、高リスク時は追加認証を要求する。

사용자의 행동 패턴, 디바이스 정보, 로그인 장소 등에서 리스크 레벨을 동적으로 평가하고 인증 강도를 조정하는 접근 제어 기법이다. 저리스크 시에는 원활하게, 고리스크 시에는 추가 인증을 요구한다.

パスワードのハッシュ化時にユーザーごとに異なるランダムな文字列を付加してからハッシュ化する手法で、レインボーテーブル攻撃や同一パスワードの判別を効果的に防止する。

비밀번호 해시화 시 사용자별로 다른 랜덤 문자열을 추가한 후 해시화하는 수법으로, 레인보우 테이블 공격이나 동일 비밀번호 판별을 효과적으로 방지한다.

暗号学において、ある情報が真であることを、「それが真であること以外の情報を一切明かすことなく」相手に証明する手法。プライバシー保護やブロックチェーンの匿名技術（ZKP）として注目されている。

암호학에서 어떤 정보가 참이라는 것을 '그것이 참이라는 것 이외의 정보를 일절 밝히지 않고' 상대에게 증명하는 기법. 프라이버시 보호나 블록체인의 익명 기술(ZKP)로 주목받고 있다.

個人情報や機密データの一部を伏字や置換文字に変換し、本番データを安全に利用可能にする手法。テスト環境や分析環境でのデータ保護に有効であり、GDPR対応にも活用される。

개인정보나 기밀 데이터의 일부를 복자나 치환 문자로 변환하여 운영 데이터를 안전하게 이용 가능하게 하는 기법. 테스트 환경이나 분석 환경에서의 데이터 보호에 유효하다.

未知の脆弱性を悪用する攻撃を、シグネチャに依存せず行動分析やヒューリスティック手法で検知する技術。EDRやNDRとの連携によって多角的な脅威検知体制を構築することが重要。

미지의 취약점을 악용하는 공격을 시그니처에 의존하지 않고 행동 분석이나 휴리스틱 기법으로 검지하는 기술. EDR과 NDR의 연계가 효과적이다.

APIキーやシークレットを定期的に自動更新する仕組みであり、キーの有効期間を短縮して漏洩時の影響範囲を最小化し、手動管理の運用負荷を解消する。

API 키나 시크릿을 정기적으로 자동 갱신하는 구조이며, 키의 유효 기간을 단축하여 유출 시 영향 범위를 최소화하고 수동 관리의 운용 부하를 해소한다.

システムやネットワークのセキュリティ対策が適切に実施されているかを第三者または内部チームが体系的に検証・評価するプロセス。脆弱性の発見やコンプライアンス準拠の確認が主な目的。

시스템이나 네트워크의 보안 대책이 적절히 시행되고 있는지를 제3자 또는 내부 팀이 체계적으로 검증·평가하는 프로세스. 취약점 발견 및 컴플라이언스 준수 확인이 주요 목적.

端末上で動作してファイルの持ち出しやクリップボード操作を監視・制御するDLPソフトウェアであり、機密データの外部流出をリアルタイムで検知しブロックする。

단말에서 동작하여 파일의 반출이나 클립보드 조작을 감시·제어하는 DLP 소프트웨어이며, 기밀 데이터의 외부 유출을 실시간으로 탐지하고 차단한다.

漏洩したID・パスワードの組み合わせを大量に試行する攻撃への対策。レート制限やCAPTCHAの導入、多要素認証の義務化などの多層的な防御策で不正ログインを防止する。

유출된 ID·비밀번호 조합을 대량으로 시도하는 공격에 대한 대책. 레이트 제한, CAPTCHA, 다요소 인증 도입 등으로 부정 로그인을 방지한다.

クレジットカード番号などの機密データを、元のデータと紐づけのないランダムなトークンに置換して保護する手法。暗号化と異なり元データへの復元が数学的に不可能で、PCI DSSの準拠に有効である。

신용카드 번호 등의 기밀 데이터를 원래 데이터와 연결이 없는 랜덤한 토큰으로 치환하여 보호하는 수법. 암호화와 달리 원래 데이터로의 복원이 수학적으로 불가능하며, PCI DSS 준수에 유효하다.

機密データや個人情報が不正に外部へ流出する事象。内部不正・サイバー攻撃・設定ミスなどが主な原因となり、企業の信頼失墜や法的責任につながるリスクがある。

기밀 데이터나 개인정보가 불법적으로 외부로 유출되는 사고. 내부 비위, 사이버 공격, 설정 오류 등이 주요 원인이며, 기업의 신뢰 손상과 법적 책임으로 이어질 수 있는 리스크가 있다.

ユーザーのログイン時の状況（場所・デバイス・時間帯など）を分析し、リスクレベルに応じて追加認証を要求する認証方式。RBAとも呼ばれる。

사용자 로그인 시 상황(위치·기기·시간대 등)을 분석하여 위험 수준에 따라 추가 인증을 요구하는 인증 방식으로, RBA라고도 불린다.

セキュリティインシデントの痕跡を示すIndicators of Compromiseの略称。不正なIPアドレス・ドメイン・ファイルハッシュなどの情報を収集し、他システムでの同種の攻撃を検知するために共有される。

보안 인시던트의 흔적을 나타내는 Indicators of Compromise의 약칭. 부정한 IP 주소·도메인·파일 해시 등의 정보를 수집하여 타 시스템에서의 동종 공격을 탐지하기 위해 공유된다.

システムやサーバの脆弱性を最小化するため、不要なサービスの無効化やパッチ適用、設定強化などを行うセキュリティ対策のプロセス。

시스템이나 서버의 취약점을 최소화하기 위해 불필요한 서비스 비활성화, 패치 적용, 설정 강화 등을 수행하는 보안 강화 프로세스.

Common Vulnerability Scoring Systemの略。脆弱性の深刻度を0〜10のスコアで定量評価するための業界標準フレームワーク。スコアが高いほど緊急対応が必要。

Common Vulnerability Scoring System의 약자. 취약점의 심각도를 0~10점으로 정량 평가하는 업계 표준 프레임워크. 점수가 높을수록 긴급 대응이 필요하다.

クライアント側にもデジタル証明書を配置し、サーバーとクライアントの双方向認証を行うセキュリティ手法。パスワード認証より強固なデバイス認証を実現し、不正デバイスの接続を防止する。

클라이언트 측에도 디지털 인증서를 배치하고 서버와 클라이언트의 양방향 인증을 수행하는 보안 기법이다. 패스워드 인증보다 강력한 디바이스 인증을 실현하고 부정 디바이스의 접속을 방지한다.

サーバーやコンテナを変更不可能な状態で運用し、更新時は新しいイメージに完全に置き換えるセキュリティ戦略であり、構成ドリフトや不正な変更を根本的に排除する。

서버나 컨테이너를 변경 불가능한 상태로 운용하고 갱신 시에는 새로운 이미지로 완전히 교체하는 보안 전략이며, 구성 드리프트나 부정한 변경을 근본적으로 배제한다.

実際の攻撃者の手法を模擬して防御体制の有効性を検証する演習手法。ATT&CKフレームワークに基づく攻撃シナリオを実行し、検知・対応の改善点を洗い出す。

실제 공격자의 기법을 모의하여 방어 체제의 유효성을 검증하는 연습 기법이다. ATT&CK 프레임워크에 기반한 공격 시나리오를 실행하여 탐지·대응의 개선점을 도출한다.

Webトラフィックを検査し、マルウェアや不正サイトへのアクセスを遮断するクラウド型セキュリティサービス。URLフィルタリングやSSL復号を行い安全なWeb利用を実現する。

웹 트래픽을 검사하여 멀웨어나 부정 사이트 접속을 차단하는 클라우드형 보안 서비스이다. URL 필터링이나 SSL 복호를 수행하여 안전한 웹 이용을 실현한다.

IOC(Indicators of Compromise)を体系的に収集・管理・配信するプロセス。IPアドレスやハッシュ値、ドメイン名などの侵害指標をSIEMやファイアウォールに自動反映する。

IOC(Indicators of Compromise)를 체계적으로 수집·관리·배신하는 프로세스이다. IP 주소나 해시값, 도메인명 등의 침해 지표를 SIEM이나 방화벽에 자동 반영한다.

ファームウェアからOSまでの起動プロセス全体の整合性を暗号的に検証する仕組みであり、各段階で署名検証を行い改ざんされたソフトウェアの実行を防止する。

펌웨어부터 OS까지의 기동 프로세스 전체의 무결성을 암호학적으로 검증하는 구조이며, 각 단계에서 서명 검증을 수행하여 변조된 소프트웨어의 실행을 방지한다.

漏洩したIDとパスワードの組み合わせリストを使い、他のサービスに自動ログインを試行する攻撃手法。パスワードの使い回しを悪用し、大量のアカウントを効率的に乗っ取ることを目的とする。

유출된 ID와 비밀번호 조합 리스트를 사용하여 다른 서비스에 자동 로그인을 시도하는 공격 수법. 비밀번호 재사용을 악용하여 대량의 계정을 효율적으로 탈취하는 것을 목적으로 한다.

ネットワークやシステムへの不正アクセス・攻撃をリアルタイムで検知し、管理者に通知するセキュリティシステム。IPSと異なり、遮断は行わず検知・警告に特化する。

네트워크나 시스템에 대한 불법 접근 및 공격을 실시간으로 탐지하여 관리자에게 알리는 보안 시스템. IPS와 달리 차단은 수행하지 않고 탐지 및 경고에 특화되어 있다.

ソフトウェアに含まれるすべてのコンポーネントとその依存関係を一覧化したリスト。SBOM形式で管理し脆弱性が発見された際に影響範囲を即座に特定できるようにする。

소프트웨어에 포함된 모든 컴포넌트와 그 의존 관계를 일람화한 리스트이다. SBOM 형식으로 관리하여 취약점이 발견된 경우 영향 범위를 즉시 특정할 수 있게 한다.

セキュリティ上の欠陥。Vulnerability。

보안상의 결함. Vulnerability.

組織内のデータを機密度に応じて分類し、各レベルに適切な保護措置を定めるポリシー。公開・社内限定・機密・極秘などの分類基準を明確にし、データライフサイクル全体を統制する。

조직 내 데이터를 기밀도에 따라 분류하고 각 수준에 적절한 보호 조치를 정하는 정책. 공개·사내 한정·기밀·극비 등의 분류 기준을 명확히 한다.

異なるオリジン間でのリソース共有を制御するブラウザのセキュリティ機能。サーバー側でAccess-Control-Allow-Originヘッダーを設定することで、クロスオリジンリクエストを許可できる。

다른 출처 간의 리소스 공유를 제어하는 브라우저 보안 기능. 서버 측에서 Access-Control-Allow-Origin 헤더를 설정하여 크로스 오리진 요청을 허용할 수 있다.