説明
SQLインジェクションは最も一般的なウェブハッキング手法の1つです。SQLインジェクションとは、ウェブページの入力を介してSQL文に悪意のあるコードを挿入することです12。SQLインジェクション攻撃は、挿入または
クライアントからアプリケーションへの入力データによる SQL クエリの「インジェクション」。SQL インジェクション攻撃が成功すると、データベースから機密データを読み取り、データベース データを変更 (挿入/更新/削除)、データベースで管理操作を実行 (DBMS のシャットダウンなど)、DBMS ファイル システムにある特定のファイルの内容を回復し、場合によってはオペレーティング システムにコマンドを発行できます3。
質問で示された疑似コードによると、アプリケーションはユーザーからの表示名の入力を受け取り、それを SQL クエリと連結してユーザーのプロファイルを更新します。これは、攻撃者がクエリに悪意のある SQL コードを挿入し、データベースで実行できる脆弱な方法です。たとえば、攻撃者は表示名として次のようなものを入力する可能性があります。
John'; DROP TABLE ユーザー; --
これにより、次の SQL クエリが実行されます。
UPDATE profile SET displayname = 'John'; DROP TABLE users; --' WHERE userid = 1; セミコロン (;) は元の更新ステートメントを終了し、users テーブルを削除する新しいステートメントを開始します。二重ダッシュ (-) はクエリの残りの部分をコメント アウトします。これにより、アプリケーションのデータが壊滅的に失われることになります。

説明

ログによると、感染の発信元ホストは 192.168.10.22 のようです。このホストには、ポート 443 で実行されている svchost.exe という疑わしいプロセスがありますが、これは Windows サービスとしては珍しいことです。また、ポート 443 にはさまざまな IP アドレスへの多数の送信接続があり、ボットネットの一部であることを示しています。
ファイアウォール ログには、このホストがエンジニアリング ネットワーク上の別の感染ホストである 10.10.9.18 と通信していたことが示されています。このホストには、ポート 443 で実行されている svchost.exe という疑わしいプロセスがあり、ポート 443 上のさまざまな IP アドレスへの多数の送信接続があります。
R&D ネットワーク上の他のホスト (192.168.10.37 および 192.168.10.41) には、疑わしいプロセスや接続がないため、クリーンです。

説明
データ処理業者は、データ管理者に代わって個人データを処理する組織です。このシナリオでは、電子商取引 Web サイトを所有する会社がデータ管理者であり、個人データ (例: クレジットカード情報) の処理目的と手段を決定します。決済会社は、電子商取引会社に代わって個人データを処理する (つまり、クレジットカード取引を処理する) ため、データ処理業者です。
参考資料: CompTIA Security+ 学習ガイド (SY0-601) 第 7 版、Emmett Dulaney、Chuck Easttom 著