オープンソースリサーチとトラフィックスニッフィングは、標的のネットワークやシステムにパケットやリクエストを送信しないため、検知される可能性が極めて低いアクティビティです。オープンソースリサーチは、ウェブサイト、ソーシャルメディア、ブログ、フォーラムなど、公開されている情報源から情報を収集するプロセスです。トラフィックスニッフィングは、無線やイーサネットなどの共有メディアを介して送信されるネットワークパケットをキャプチャして分析するプロセスです。
参考: https://www.sciencedirect.com/topics/computer-science/passive-reconnaissance

APIトラフィックを傍受して分析することで、ペネトレーションテスターはAPIで使用される認証メカニズムとトークンに関する貴重な情報を得ることができます。トークンは通常、APIにアクセスするユーザーまたはアプリケーションの識別と承認に使用されます。ペネトレーションテスターは、この情報を利用して、トークンハイジャック、トークン改ざん、トークンリプレイなどの攻撃を実行できます。その他の攻撃は、APIトラフィックに直接関係するものではなく、アプリケーションロジックやネットワークパフォーマンスに関係します。参考：
* CompTIA PenTest+ 認定試験の目標、ドメイン 2.0 攻撃とエクスプロイト、目標 2.1: シナリオに基づいてネットワークベースの脆弱性をエクスプロイトする、サブ目標 2.1.3: Web サーバー攻撃を比較対照する、サブ目標 2.1.3.2: 認証攻撃。
* 公式 CompTIA PenTest+ インストラクターおよび学生ガイド (PT0-002)、レッスン 4: ネットワークの脆弱性の悪用、トピック 4.2: Web アプリケーションの脆弱性の悪用、トピック 4.2.2: 認証攻撃。

説明
アクセスキーは、GitLabやAWSなどのソースコード管理システム（SCM）へのリクエストをユーザーが認証および承認するための認証情報です。アクセスキーは秘密に保管し、ソースコード内にプレーンテキストで公開しないでください。そうしないと、SCMシステムとそのデータのセキュリティと整合性が損なわれる可能性があります。
組織の SCM ソリューション内でアクセス キーの問題に対処するための可能なオプションは次のとおりです。
SCM システム内のすべての項目に対する秘密管理ソリューションの設定: これは、アクセス キー、パスワード、トークン、証明書などの秘密を安全に保存、管理、配布するツールまたはサービスです。秘密管理ソリューションは、ソース コードまたは構成ファイル内で秘密がプレーン テキストで公開されるのを防ぐのに役立ちます3456。
SCMシステムにコードをコミットするための安全なソフトウェア開発ライフサイクル（SDLC）プロセスの開発：これは、ソフトウェアの開発、テスト、導入、保守の方法を定義するフレームワークまたは方法論です。安全なSDLCプロセスは、コードレビュー、静的解析ツール、脆弱性スキャンツールなど、ソフトウェア開発プロセス全体を通じてセキュリティに関するベストプラクティスが確実に遵守されるようにするのに役立ちます。安全なSDLCプロセスは、SCMシステムにコミットされる前に、アクセスキーがソースコードに含まれることを検出し、防止するのに役立ちます。1