システム要求事項分析プロセス
JIS X 0160（ソフトウェアライフサイクルプロセス）は、国際規格 ISO/IEC 12207 を基にした日本の規格であり、ソフトウェアの開発、運用、保守に関するプロセスを体系的に定めている。
システム要求事項分析プロセスとは？
JIS X 0160 におけるシステム要求事項分析プロセスは、システムの要件を明確化し、開発の指針となる仕様を定義するための重要なプロセスである。
主な目的
- 利用者やステークホルダーのニーズを整理し、システムに求められる機能要件や非機能要件を明確にする。
- システム全体の仕様を定義し、ソフトウェア開発の範囲を決定する。
- 要求事項の矛盾や不整合を特定し、解決する。
主要な活動
- 要求の識別
- システムの目的やユーザーの期待を明確にする。
- 法規制や業界標準を考慮した要件を特定する。
- 要求の分析
- 機能要求（システムが提供すべき機能）と非機能要求（性能、セキュリティ、可用性など）を整理する。
- 要求間の矛盾や曖昧さを排除し、実現可能性を評価する。
- 要求の仕様化
- 要求を文書化し、システム開発の基準を明確にする。
- 関係者（開発者、設計者、ユーザーなど）と合意を形成する。
- 要求の検証
- 文書化した要求が正しく、完全であるかを確認する。
- ユーザーや関係者とレビューを行い、最終的な要件を確定する。
成果物
- システム要求仕様書（System Requirements Specification, SRS）
- 要求トレーサビリティマトリックス（RTM: Requirement Traceability Matrix）
このプロセスを適切に実施することで、後の開発工程での手戻りを減らし、効率的なシステム開発が可能となる。
JIS X 0160では、システム要求事項は次の基準を考慮して評価するとしている。これは共通フレーム2013でも同様である。
- 取得ニーズの追跡可能性
- 取得ニーズとの一貫性
- テスト可能性
- システム方式設計の実現可能性
- 運用及び保守の実現可能性
システム要件定義は、要件定義プロセスで定義された利害関係者の要件を基に、システムで実現する機能を明らかにする工程である。したがって、まとめられたシステム要件を評価する際には、利害関係者の要件を満たすことができるかどうか、取得ニーズとの一貫性や整合性があるかなどがチェックポイントとなる。
取得ニーズとは？
取得ニーズ（Acquisition Needs） とは、システムやソフトウェアを開発・導入する際に、そのシステムを取得（調達・導入）する目的や背景に基づいて定義される要求や必要事項を指す。
取得ニーズの特徴
取得ニーズは、システムの導入を検討する発注者（顧客・企業・政府機関など）が、システムに期待する機能や性能、運用上の要件を含んでいる。これらのニーズは、開発プロジェクトの最上位レベルの要求として具体的なシステム要求やソフトウェア要求へと落とし込まれていく。
取得ニーズには以下のような要素が含まれる。
- ビジネス上の目的（業務の効率化、コスト削減、新規サービスの提供など）
- 業務要件（特定の業務プロセスを自動化する機能など）
- 法規制やコンプライアンス要件（個人情報保護法対応、金融業界規制準拠など）
- 技術的な制約（クラウド環境での運用、既存システムとの連携など）
- 運用・保守要件（高可用性、24時間365日稼働など）
取得ニーズを適切に整理し、システム要求に落とし込むことが、適切なシステム設計の第一歩となる。
ハフマン符号化方式
ハフマン符号化方式は、可変長の符号化方式であり、出現確率が高いデータには短い符号を、低いデータには長い符号を割り当てることで圧縮を効率よく行う方法である。特に、出現確率に差がある場合には固定長の符号化よりも高い圧縮率を実現できる。
ハフマン符号化方式の特徴
- 可変長符号（短いコードと長いコードを使い分ける）
- 最適なプレフィックス符号（どの符号も他の符号の先頭にならない）
- 出現頻度の高いデータに短い符号を割り当て、圧縮効率を高める
- 可逆圧縮（元のデータを完全に復元できる）
ハフマン符号化の手順
- 文字の出現頻度を数える
- 圧縮対象のデータ内で各文字（シンボル）の出現回数をカウントする。
- 優先度付きキュー（最小ヒープ）を作成
- 出現頻度が小さいものほど優先度が高い。
- ハフマン木の構築
- 最も出現頻度の低い2つのノードを統合し、新しいノードを作成する。
- 符号の割り当て
- ハフマン木のルートから各葉（シンボル）までの経路をたどり、左を「0」、右を「1」として符号を割り当てる。
- データを符号化
- 各文字を対応するハフマン符号に置き換える。
ハフマン符号のメリットとデメリット
✅ メリット
- 圧縮率が高い（出現頻度の偏りが大きいほど効果的）
- 実装が比較的容易
- 可逆圧縮であり、元のデータを完全に復元可能
❌ デメリット
- 頻度分布が均等な場合、圧縮率は低下
- 符号化・復号化の処理負荷が発生
- ハフマン木の構築に追加のデータ構造が必要
この方式は ZIP、GZIP、JPEG、PNG などの圧縮アルゴリズムで広く用いられている。
フットプリンティングとは？
フットプリンティング（Footprinting）とは、サイバー攻撃を行う前に、対象のシステムやネットワークに関する情報を収集する行為を指す。攻撃者が標的の脆弱性を特定し、攻撃計画を立てるための事前調査にあたる。
フットプリンティングの目的
- 標的のネットワーク構成を把握する。
- 使用されているOSやサービスの特定を行う。
- 公開されている情報を収集する。
- 潜在的な脆弱性を探索する。
攻撃者だけでなく、セキュリティ専門家やペネトレーションテスター（侵入テストを行う人）も、システムのセキュリティ対策を強化するためにフットプリンティングを活用する。
フットプリンティングの種類
| フットプリンティングの種類 | 説明 |
|---|---|
| パッシブフットプリンティング（Passive Footprinting） | 対象システムに直接アクセスせずに情報を収集する手法。合法的な手段で行われる。 |
| アクティブフットプリンティング（Active Footprinting） | ターゲットシステムに直接アクセスして情報を取得する方法。不正アクセス禁止法に抵触する場合があるため注意が必要。 |
主な手法
パッシブフットプリンティングの手法
- Google検索による企業情報の調査
- Whois検索を用いたドメイン登録情報の取得
- Reverse DNS Lookup によるドメイン特定
- SNSなどを通じたソーシャルエンジニアリング
アクティブフットプリンティングの手法
nmapを使用したポートスキャン- OSフィンガープリンティングによる使用OSの特定
NiktoやBurp Suiteを用いたWebアプリケーションの脆弱性スキャン- SNMP調査による構成情報の取得
C&Cサーバ（コマンド・アンド・コントロール・サーバ）とは？
C&Cサーバ（Command & Control Server, C2サーバ）は、マルウェアやボットネットを遠隔操作するための攻撃者が管理するサーバである。感染したコンピュータ（ボット）やネットワークを制御し、指令を送ったり、データを収集したりする役割を果たす。
C&Cサーバの役割
| 役割 | 説明 |
|---|---|
| マルウェアの指令管理 | 感染した端末に攻撃の指令を送る。 |
| データの収集 | キーロガーやスパイウェアを使用し、機密情報を収集する。 |
| DDoS攻撃の指示 | ボットネットを利用し、標的に対してDDoS攻撃を行う。 |
| 追加マルウェアの配布 | 感染端末に追加のマルウェアを送り、二次感染を引き起こす。 |
| バックドアの管理 | 感染端末にリモートアクセスし、遠隔操作を行う。 |
C&Cサーバは、感染端末側から定期的にサーバへ問い合わせを行い、攻撃指令を受け取る「コネクトバック通信」を活用する。この手法により、ファイアウォールを回避しながら攻撃を継続することが可能となる。
コメント