説明
サービス レベル契約 (SLA) は、サービス プロバイダーと顧客の間の期待と責任を定義する契約の一種です。通常、サービスの品質、可用性、パフォーマンス メトリック、およびプロバイダーがサービス要求、インシデント、苦情に対応する必要がある時間枠が含まれます。SLA は、顧客が希望するレベルのサービスを受けられるようにし、プロバイダーが合意された基準を満たす責任を負うようにするのに役立ちます。
参考文献:
Security+ (Plus) 認定 | CompTIA IT 認定、「試験について」の箇条書き 3:
「ガバナンス、リスク、コンプライアンスの原則を含む、適用される規制とポリシーを認識して運用します。」 CompTIA Security+ 認定キット: 試験 SY0-701、第 7 版、第 1 章、14 ページ: 「サービス レベル契約 (SLA) は、サービス プロバイダーと顧客の間で締結される契約であり、サービス プロバイダーに期待されるサービスのレベルを指定します。」

ピア レビューと承認とは、コードを展開またはリリースする前に、他の開発者や専門家にコードをレビューしてもらうことです。ピア レビューと承認は、開発プロセスにおける悪意のあるコード、エラー、バグ、脆弱性、品質の低さを検出して防止するのに役立ちます。また、ピア レビューと承認により、コーディング標準、ベスト プラクティス、コンプライアンス要件を強制することもできます。ピア レビューと承認は、手動で行うことも、コード分析、コード レビュー、コード署名などのツールを利用して行うこともできます。参考資料:
CompTIA Security+ 学習ガイド: 試験 SY0-701、第 9 版、第 11 章: セキュア アプリケーション開発、543 ページ 2

ホストベースのファイアウォールは、個々のエンドポイントで実行され、一連のルールに基づいて受信および送信ネットワーク トラフィックをフィルタリングするソフトウェア アプリケーションです。ホストベースのファイアウォールは、送信元、送信先、ポート、プロトコル、またはアプリケーションに基づいてトラフィックをブロックまたは許可することで、内部エンドポイント間の疑わしい接続によってもたらされる脅威を軽減するのに役立ちます。ホストベースのファイアウォールは、SQL インジェクション、クロスサイト スクリプティング、セッション ハイジャックなどの一般的な Web ベースの攻撃から Web アプリケーションを保護するファイアウォールの一種である Web アプリケーション ファイアウォールとは異なります。また、ホストベースのファイアウォールは、ファイル、フォルダー、プリンター、ルーターなどのネットワーク リソースへのアクセスを制御するルールのリストであるアクセス制御リストとも異なります。ホストベースのファイアウォールは、エンドポイントでの実行が許可されているアプリケーションのリストであるアプリケーション許可リストとも異なり、許可されていないアプリケーションや悪意のあるアプリケーションの実行を防ぎます。参考資料: CompTIA Security+ 学習ガイド: 試験 SY0-701、第 9 版、254 ページ

Web フィルターは、定義済みのルールやポリシーに基づいて Web トラフィックを監視、ブロック、または許可できるデバイスまたはソフトウェアです。Web フィルタリングの一般的な方法の 1 つは、URL をスキャンして文字列を検索し、一致する文字列が見つかった場合にアクセスを拒否することです。たとえば、Web フィルターは、URL に「ギャンブル」、「ポルノ」、または「マルウェア」という単語が含まれる Web サイトへのアクセスをブロックできます。URL は、Web リソースの場所とプロトコルを識別するユニフォーム リソース ロケーターです。URL は通常、protocol://domain:port/path?query#fragment というコンポーネントで構成されます。プロトコルは、HTTP、HTTPS、FTP、SMTP など、Web リソースへのアクセスに使用される通信方法を指定します。ドメインは、www.google.com や www.bing.com など、Web リソースをホストする Web サーバーの名前です。ポートは、Web サーバーで実行されている特定のサービスまたはアプリケーションを識別するオプションの番号で、HTTP の場合は 80、HTTPS の場合は 443 です。パスは、/index.html や /images/logo.png などの Web リソースの特定のフォルダーまたはファイル名です。クエリは、?q=security や ?lang=en などの Web リソースの追加情報またはパラメーターを含むオプションの文字列です。フラグメントは、#introduction や #summary などの Web リソースの特定の部分またはセクションを識別するオプションの文字列です。
暗号化されていない Web サイトへのアクセスを禁止するには、アナリストは暗号化されていない Web トラフィックのプロトコル (HTTP) に一致する検索文字列を使用する必要があります。HTTP はハイパーテキスト転送プロトコルの略で、Web サーバーと Web ブラウザー間でデータを転送するための標準プロトコルです。ただし、HTTP ではデータの暗号化やセキュリティが提供されないため、Web トラフィックを傍受した人は誰でもデータを読み取ったり変更したりできます。したがって、暗号化されていない Web サイトは、盗聴、改ざん、またはスプーフィング攻撃に対して脆弱です。暗号化されていない Web サイトにアクセスするには、通常、URL は http:// で始まり、その後にドメイン名とオプションでポート番号が続きます。たとえば、http://www.example.com または http://www.example.com:80 です。URL で文字列 http:// をスキャンすることにより、Web フィルターは暗号化されていない Web サイトを識別してブロックできます。
その他のオプションは、暗号化されていない Web トラフィックのプロトコルと一致しないため、正しくありません。Encryption=off は、Web リソースの暗号化ステータスを示すクエリ文字列として考えられますが、標準または必須のパラメータではありません。Https:// は暗号化された Web トラフィックのプロトコルであり、データの暗号化とセキュリティを提供するために HTTPS (Hypertext Transfer Protocol Secure) を使用します。Www.*.com は、www で始まり .com で終わる任意の Web サイトに一致するドメイン名として考えられますが、プロトコルは指定しません。:443 は、暗号化された Web トラフィックのプロトコルである HTTPS のポート番号です。参考資料 = CompTIA Security+ 学習ガイド (SY0-701)、第 2 章: ネットワークのセキュリティ保護、69 ページ。Messer 教授の CompTIA SY0-701 Security+ トレーニング コース、セクション 2.1: ネットワーク デバイスとテクノロジ、ビデオ: Web フィルター (5:16)。

軽減とは、リスクの発生可能性または影響を軽減するリスク管理戦略です。
レガシー アプリケーションが業務運営に不可欠であり、予防的制御がまだ実装されていない場合、企業はまず軽減戦略を採用して、アプリケーションの既存の脆弱性とギャップに対処する必要があります。これには、アプリケーションへのパッチ、更新、または構成変更の適用、またはアプリケーションの周囲にセキュリティ制御のレイヤーの追加が含まれる場合があります。受け入れ、転送、回避もリスク管理戦略ですが、このシナリオでは最適なオプションではありません。受け入れとは、リスクを認識し、何もせずに結果を受け入れることです。転送とは、保険会社やベンダーなどのサードパーティにリスクを移すことです。回避とは、リスクの原因を取り除くかプロセスを変更することでリスクを排除することです。これらの戦略は、業務運営に不可欠であり、予防的制御が実装されていないレガシー アプリケーションでは実行可能または望ましくない場合があります。