ソーシャルメディアから個人情報をスクレイピングすることで、侵入テスターは、プロフィールに機密情報や秘密情報を掲載している可能性のある経営幹部に対し、パーソナライズされた説得力のあるソーシャルエンジニアリング攻撃を仕掛けることができます。標的企業のドメイン名に類似したドメイン名を登録することは、フィッシング攻撃やタイポスクワッティング攻撃に利用される可能性がありますが、経営幹部を標的とした攻撃には利用できません。企業の技術担当者を特定することは偵察には役立ちますが、ソーシャルエンジニアリングには役立ちません。企業のウェブサイトをクロールして企業情報を探しても、大まかな背景情報は得られますが、経営幹部に関する具体的な情報は得られません。

CI/CDパイプラインにセキュリティスキャンを統合することで、開発プロセス中に脆弱性が確実に検出・対処され、時間の経過とともに問題が蓄積されるのを防ぎます。これは、安全なソフトウェア開発とDevSecOpsの原則に関するCompTIA Pentest+の目標と一致しています。

新しいコンテナがDDoS攻撃に対して適切に設定されているかどうかを確認するために、テスターが最初に実行すべきステップは、コンテナ内の開いているポートをスキャンすることです。開いているポートはネットワーク通信のエントリポイントであり、DDoS攻撃に対して脆弱な可能性のあるサービスやアプリケーションを公開する可能性があります。コンテナ内の開いているポートをスキャンすることで、コンテナ上で実行されているサービスやアプリケーションを特定し、DDoS攻撃を防ぐためにセキュリティ保護または無効化する必要があるサービスやアプリケーションを特定することができます。また、コンテナ内の開いているポートをスキャンすることで、以前の攻撃者や侵害されたコンテナによってコンテナにインストールされた可能性のある、不正または悪意のあるサービスやアプリケーションを発見することもできます。コンテナ内の開いているポートのスキャンは、Nmapなどのツールを使用して実行できます。Nmapは、ホストにパケットを送信し、その応答を分析することで、ネットワークスキャンと列挙を実行できます1。他の方法は、新しいコンテナがDDoS攻撃に対して適切に設定されているかどうかを確認するために、テスターが最初に実行すべきステップではありません。暗号化設定の強度をテストすることは、DDoS攻撃とは無関係です。暗号化はDDoS攻撃を防止または軽減するものではなく、データの機密性と整合性を保護するものです。セキュリティトークンが容易に入手可能かどうかを判断することは、DDoS攻撃とは無関係です。セキュリティトークンは認証と認可に使用されるものであり、DDoS攻撃の防止や軽減には使用されないからです。ハイパーバイザーの脆弱性チェックを実行することは、DDoS攻撃とは無関係です。ハイパーバイザーはネットワークトラフィックに直接さらされるのではなく、その上で実行される仮想マシンやコンテナを管理するためです。