セキュリティ アナリストが実行できる最善のオプションは、ビジネス パートナーのセキュリティ部門に連絡して、電子メール イベントについて警告することです。この電子メールは、正当な送信者になりすまして従業員を騙し、ログイン資格情報を明らかにさせようとするフィッシング攻撃のようです。ビジネス パートナーのセキュリティ部門に通知して、攻撃のソースと範囲を調査し、システムとユーザーを保護するための適切な措置を講じる必要があります。検証済みの参照: https://www.comptia.org/training/books/casp-cas-004-study-guide 、 https://us-cert.cisa.gov/ncas/tips/ST04-014

説明
Web アプリケーション ファイアウォール (WAF) シグネチャを導入することは、Web サーバー上の Heartbleed 脆弱性を悪用する試みを検出してブロックする方法です。WAF シグネチャは、悪意のあるハートビート要求などの既知の攻撃ベクトルに一致するパターンです。WAF シグネチャを導入することで、企業は根本的な脆弱性が修正されるまで、Web アプリケーションを Heartbleed 攻撃から保護できます。
OpenSSL ライブラリを更新することが、Heartbleed 脆弱性を修正し、軽減する究極の方法です。OpenSSL プロジェクトは 2014 年 4 月 7 日にバージョン 1.0.1g をリリースしました。このバージョンでは、ハートビート関数に境界チェックを追加することでバグを修正しました。Web サーバー上の OpenSSL ライブラリを更新することで、脆弱性を排除し、将来の悪用を防ぐことができます。
B: PHP コードを修正しても、Heartbleed の脆弱性を解決または軽減することはできません。脆弱性は PHP コードではなく、Web サーバーの SSL/TLS 暗号化を処理する OpenSSL ライブラリにあるためです。
C: Web サーバーを HTTPS から HTTP に変更することは、すべての Web トラフィックが攻撃者による盗聴や改ざんの危険にさらされるため、Heartbleed 脆弱性を解決または軽減する方法ではありません。HTTPS は Web 通信の機密性、整合性、および認証を提供するため、セキュリティ上の理由で無効にしないでください。
D: SSLv3 は時代遅れで安全でないプロトコルであり、非推奨となって TLS に置き換えられているため、SSLv3 を使用しても Heartbleed の脆弱性を解決または軽減することはできません。SSLv3 は最新の暗号スイート、暗号化アルゴリズム、またはセキュリティ機能をサポートしておらず、POODLE などのさまざまな攻撃に対して脆弱です。
E: PHP から ColdFusion にコードを変更することは、Heartbleed の脆弱性を解決または軽減する方法ではありません。この脆弱性は、Web アプリケーションのプログラミング言語に関連するものではなく、Web サーバーの SSL/TLS 暗号化を処理する OpenSSL ライブラリに関連するためです。
https://owasp.org/www-community/vulnerabilities/Heartbleed_Bug
https://heartbleed.com/

キーに HMAC (ハッシュベースのメッセージ認証コード) を利用することは、リクエスト文字列でハードコードされた文字列が使用されるのを防ぎながら、データベースへの REST API 接続を保護するための最適なオプションです。HMAC は、秘密キーとハッシュ関数を使用して、メッセージの信頼性と整合性を検証できるコードを生成する技術であり、不正な変更や改ざんを防ぎます。キーに HMAC を利用すると、秘密キーとメッセージ コンテンツに基づいてリクエストごとに一意のコードを動的に生成できるため、偽造や再生が困難になり、リクエスト文字列でハードコードされた文字列が使用されるのを防ぐことができます。すべての API に VPN (仮想プライベート ネットワーク) を実装することは、API リクエストの遅延やパフォーマンスの問題が発生する可能性があり、リクエスト文字列でハードコードされた文字列が使用されるのを防ぐことができないため、データベースへの REST API 接続を保護するための適切なオプションではありません。 DSA (デジタル署名アルゴリズム) でキーに署名することは、データベースへの REST API 接続を保護するための適切なオプションではありません。キーが侵害されたり脆弱になったりすると、攻撃や偽造に対して脆弱になる可能性があり、リクエスト文字列でハードコードされた文字列の使用を防ぐことができないためです。サービス アカウントに MFA (多要素認証) を展開することは、データベースへの REST API 接続を保護するための適切なオプションではありません。API リクエストの使いやすさや機能性に影響を与える可能性があり、リクエスト文字列でハードコードされた文字列の使用を防ぐことができないためです。検証済みのリファレンス: https://www.comptia.org/blog/what-is-hmac https://partners.comptia.org/docs/default-source/resources/casp-content-guide