説明
VPN は、パブリック ネットワーク上で 2 つ以上のデバイス間に安全なトンネルを作成する仮想プライベート ネットワークです。VPN は、データの暗号化と認証を行うだけでなく、デバイスの IP アドレスと場所を隠すことができます。ジャンプ サーバーは、ユーザーと実稼働サーバーなどのターゲット サーバーの間の仲介者として機能するサーバーです。ジャンプ サーバーは、セキュリティとアクセス制御の追加レイヤー、およびログ記録と監査機能を提供できます。ファイアウォールは、事前定義されたルールに基づいて不要なネットワーク トラフィックをフィルタリングしてブロックするデバイスまたはソフトウェアです。ファイアウォールは、内部ネットワークを外部の脅威から保護し、機密性の高いサービスやポートの公開を制限できます。セキュリティ アナリストは、運用ネットワークへのリモート デスクトップ アクセスのセキュリティを向上させるために、VPN を設定し、ファイアウォール内にジャンプ サーバーを配置することを推奨する必要があります。こうすることで、リモート デスクトップ サービスはパブリック ネットワークに公開されなくなり、VPN 資格情報を持つ承認されたユーザーのみがジャンプ サーバーにアクセスし、次に運用サーバーにアクセスできるようになります。参考資料: CompTIA Security+ スタディ ガイド: 試験 SY0-701、第 9 版、第 8 章: 安全なプロトコルとサービス、ページ
382-383 1; 第 9 章: ネットワーク セキュリティ (441 ～ 442 ページ) 1

CVSS は Common Vulnerability Scoring System の略で、脆弱性の重大度とリスクを評価して伝達するための標準化された方法を提供するフレームワークです。CVSS は、一連のメトリックと式を使用して 0 から 10 の範囲の数値スコアを計算します。スコアが高いほど重要度が高くなります。
CVSS は、組織が修復作業に優先順位を付け、さまざまなシステムやベンダー間で脆弱性を比較するのに役立ちます。他のオプションは、脆弱性の重大度を測定するために使用されるのではなく、脆弱性を識別、分類、または報告するために使用されます。参考資料: CompTIA Security+ スタディ ガイド: 試験 SY0-701、第 9 版、39 ページ

説明
ジェイルブレイクは、iPhone や iPad などのモバイル デバイスにメーカーまたは通信事業者によって課された制限を解除するプロセスです。ジェイルブレイクにより、ユーザーは未承認のアプリケーションのインストール、システム設定の変更、root 権限へのアクセスが可能になります。ただし、ジェイルブレイクすると、マルウェア、スパイウェア、不正アクセス、データ損失、保証の無効など、デバイスが潜在的なセキュリティ リスクにさらされることになります。したがって、組織は、これらの脆弱性を防止し、企業データとネットワークを保護するために、従業員がモバイル デバイスをジェイルブレイクすることを禁止する場合があります。参考資料: CompTIA Security+ スタディ ガイド: 試験 SY0-701、
第 9 版、第 10 章: モバイル デバイスのセキュリティ、507 ページ 2

説明
ISOW は、セキュリティ会社がクライアントにサービスを提供するためのプロジェクト、コスト、完了期間の概要を記載した文書です。ISOW は Information Security Operations Work の略で、セキュリティ プロジェクトの範囲、成果物、マイルストーン、支払い条件を指定する契約の一種です。ISOW は通常、明確で定義された目的と結果を持つ 1 回限りのプロジェクトまたは短期プロジェクトに使用されます。
たとえば、ISOW はセキュリティ評価、侵入テスト、セキュリティ監査、またはセキュリティ トレーニングに使用できます。
他のオプションは不正解です。これらは、セキュリティ会社がクライアントにサービスを提供するためのプロジェクト、費用、完了までの期間を概説する文書ではないからです。MSA はマスター サービス契約であり、セキュリティ会社とクライアントとの間の長期または継続的な関係に関する一般的な契約条件を確立する契約の一種です。MSA は、個々のプロジェクトの詳細を指定するのではなく、個別の作業明細書 (SOW) によって管理される将来のプロジェクトのフレームワークを設定します。SLA はサービス レベル アグリーメントであり、セキュリティ会社がクライアントに提供するセキュリティ サービスの品質とパフォーマンスの基準を定義する契約の一種です。通常、SLA には、サービス レベルを測定および保証するための指標、目標、責任、ペナルティが含まれます。BPA はビジネス パートナーシップ契約であり、クライアントに共同サービスを提供するために協力する 2 つ以上のセキュリティ会社間の戦略的提携における役割と期待を確立する一種の契約です。BPA は通常、パートナーシップの目的、利益、リスク、義務をカバーします。参考文献 = CompTIA Security+ スタディ ガイド (SY0-701)、第 8 章: ガバナンス、リスク、およびコンプライアンス、387 ページ。メッサー教授の CompTIA SY0-701 Security+ トレーニング コース、セクション 8.2:
コンプライアンスと管理、ビデオ: 契約と合意 (5:12)。

誤検知とは、脆弱性または問題がないにもかかわらず、それを示す結果です。この場合、脆弱性スキャン レポートは、ポート 23 の Telnet サービスが開いており、安全でないネットワーク プロトコルを使用していることを示しています。ただし、セキュリティ アナリストは、nmap と Telnet 暗号化のサポートをチェックするスクリプトを使用してテストを実行します。結果は、Telnet サーバーが暗号化をサポートしていることを示しています。これは、クライアントとサーバーの間で送信されるデータを盗聴から保護できることを意味します。したがって、報告された脆弱性は誤検知であり、サーバーの実際のセキュリティ体制を反映していません。セキュリティ アナリストは、Telnet サーバーとクライアントの暗号化設定を検証し、それらが適切に構成されていることを確認する必要があります3。参考資料: 3: Telnet プロトコル - Telnet を暗号化できますか?