* B. コミット前のコード リンティング: リンティング ツールは、コードがリポジトリにコミットされる前に、コードの構文エラーやコーディング標準への準拠を分析します。これにより、開発プロセスの早い段階で軽微なコードの問題を検出し、デプロイメントの失敗の可能性を減らすことができます。
* D. 自動回帰テスト: 自動回帰テストにより、新しいコード変更によって既存のコードベースにバグや回帰が発生しないことが保証されます。デプロイメント プロセス中にこれらのテストを自動的に実行することで、開発者は問題を早期に検出し、開発環境の安定性を確保できます。
その他のオプション:
* A. ソフトウェア構成分析: これはサードパーティ コンポーネントの脆弱性を特定するのに役立ちますが、コードの品質やデプロイメントの失敗に直接対処するものではありません。
* C. リポジトリ ブランチ保護: これはコード送信プロセスの管理に役立ちますが、コードの問題やセキュリティ チェックの失敗によって発生するデプロイメントの失敗を直接防ぐものではありません。
* E. コード送信承認ワークフロー: これは、誰がコードを送信できるかを管理しますが、送信されるコードの品質には対処しません。
* F. パイプライン コンプライアンス スキャン: セキュリティ ポリシーへの準拠をチェックしますが、構文や回帰の問題には対処しません。
参考文献:
* CompTIA Security+ 学習ガイド
* Jez Humble と David Farley による「継続的インテグレーションと継続的デリバリー」
* 安全なコーディング方法に関する OWASP (Open Web Application Security Project) ガイドライン

報告された問題は、ネットワーク接続、リモート アクセス、および証明書管理に関連する問題を示唆しています。
* A. VPN スループットを確認する: リモート作業中に接続の問題やアプリケーションをダウンロードできない問題は、VPN 帯域幅またはパフォーマンスの問題が原因である可能性があります。VPN スループットを確認して最適化すると、リモート ユーザーが企業リソースにアクセスするための十分な帯域幅を確保できるため、これらの問題を解決するのに役立ちます。
* F. MDM 資産のコンプライアンスを検証する: モバイル デバイス管理 (MDM) システムは、モバイル エンドポイントが企業のセキュリティ ポリシーに準拠していることを確認します。MDM コンプライアンスを検証すると、非準拠のデバイスが特定のリソースにアクセスできない可能性があるため、アプリケーションをダウンロードできないことや証明書エラーに関連する問題に対処するのに役立ちます。
* B. IPS ルールを確認する: セキュリティ上は重要ですが、IPS ルールは、説明した接続性や証明書の問題に直接対処する可能性は低くなります。
* C. CDN 上の静的コンテンツを復元する: このアクションはコンテンツ配信に関連していますが、VPN または証明書関連の問題には対処しません。
* D. NAC を使用して安全な認証を有効にする: ネットワーク アクセス制御 (NAC) はセキュリティを強化しますが、説明した特定の問題に直接対処するものではありません。
* E. 高度な WAF ルールを実装する: Web アプリケーション ファイアウォールは Web アプリケーションを保護しますが、VPN スループットやモバイル デバイスのコンプライアンスには対応していません。
参考文献:
* CompTIA Security+ 学習ガイド
* NIST SP 800-77、「IPsec VPN ガイド」
* CIS コントロール、「コントロール 11: ネットワーク デバイスの安全な構成」

過度の MFA プッシュ通知は、プッシュ通知攻撃の兆候である可能性があります。攻撃者は、ユーザーが誤って承認することを期待して、MFA プロンプトを繰り返し送信します。これを軽減するには、次の操作を行います。
* A. FIDO2 デバイスのプロビジョニング: FIDO2 デバイスは強力な認証を提供しますが、すべてのユーザーにとって実用的ではない可能性があり、過剰なプッシュ通知の問題に直接対処するものではありません。
* B. テキスト メッセージ ベースの MFA の導入: SMS ベースの MFA は、同様のスパム攻撃やフィッシングに対して依然として脆弱です。
* C. 電子メールによる OTP の有効化: 電子メールベースの OTP はセキュリティの層をさらに追加しますが、過剰な通知の問題を直接解決するものではありません。
* D. プロンプト駆動型 MFA の構成: このオプションを使用すると、ユーザーはプロンプトに安全に応答できます。これには、時間制限付きの承認ウィンドウ、追加の検証手順、承認に特定のアクションを要求するなどの機能が含まれることがよくあります。これにより、ユーザーが悪意のある試行を誤って承認するのを防ぐことができます。
プロンプト駆動型 MFA を構成することは、不要な MFA 通知を制限し、セキュリティを向上させるための最適なソリューションです。
参考文献:
* CompTIA Security+ 学習ガイド
* NIST SP 800-63B、「デジタル ID ガイドライン」
* Microsoft による「多要素認証: ベスト プラクティス」

組織が拠点を置いていない国のデータ主権法を確認するのは、規制の執行に関する懸念によるものと考えられます。データ主権法は、国境を越えてデータを保存、処理、転送する方法を規定しています。これらの法律を理解することは、特に組織が外国の規制の対象となる可能性のあるデータを処理している場合、コンプライアンスにとって非常に重要です。
* A. 組織は潜在的な税務問題に対するデューデリジェンスを実施しています。税務問題は通常、データ主権法に直接関係しないため、この可能性は低くなります。
* B. 当該組織は、以下の国において訴訟の対象となっている。
これは可能ではあるが、組織が存在しない国に焦点を当てる理由を説明するものではない。
* C. 組織は他国における新たな規制の施行に関心がある: これは
* 最も可能性の高い理由。新しい規制は、特にこれらの国からのデータ転送やデータ処理を伴う場合、組織の業務に影響を及ぼす可能性があります。
* D. 組織は誤ったメディア報道によってブランドの評判に損害を受けた: これはデータ主権法の見直しの必要性とはあまり関係がありません。
参考文献:
* CompTIA Security+ 学習ガイド
* GDPRおよびその他の世界的なデータ保護規制
* 「データ主権：データ保護の未来？」 マーク・バードン著

Dockerfile に指定されたコマンドを実装すると、コンテナが非ルート ユーザー権限で実行されることが保証されます。非ルート ユーザーとしてアプリケーションを実行すると、攻撃者がアプリケーションを侵害したとしても、権限が制限され、ルート アクセスを必要とするアクションを実行できないため、権限昇格攻撃のリスクが軽減されます。
* A. Dockerfile に次のコマンドを実装します。これにより、アプリケーションが昇格された権限で実行されないようにすることで、権限昇格攻撃対象領域に直接対処します。
* B. コンテナのホストに EDR をインストールする: 脅威の検出には役立ちますが、コンテナ化されたアプリケーション内の権限昇格攻撃対象領域は減少しません。
* C. マルチコンテナ ソリューションの設計: モジュール性と修復には役立ちますが、権限の昇格には特に対処していません。
* D. 分離されたネットワークでコンテナを実行する: これによりネットワーク セキュリティは向上しますが、権限昇格の攻撃対象領域は直接的には減少しません。
参考文献:
* CompTIA Security+ 学習ガイド
* セキュリティのベストプラクティスに関するDockerドキュメント
* NIST SP 800-190、「アプリケーション コンテナ セキュリティ ガイド」