ハニーポットは、脆弱な資産をシミュレートして潜在的な攻撃者を引き寄せ、検出するために設定されたセキュリティ メカニズムです。企業の資産のように見える既知の脆弱性を持つインフラストラクチャの一部をオンラインでホストすることで、企業は偵察を行う攻撃者の行動を観察および分析できます。このアプローチにより、企業はアラートを受信し、潜在的な脅威に関する情報を収集できます。
参考資料 = CompTIA Security+ SY0-701 学習教材、特にハニーポットなどの脅威検出技術に関するもの。

エンゲージメント ルールは、侵入テストなどの情報セキュリティ テストの実行に関する詳細なガイドラインと制約です。テストの範囲、目的、方法、境界、およびテスト担当者とクライアントの役割と責任を定義します。エンゲージメント ルールは、テストが合法的、倫理的、専門的な方法で実施され、結果が正確で信頼できるものであることを保証するのに役立ちます。エンゲージメント ルールには通常、次の要素が含まれます。
テストの種類と範囲 (ブラック ボックス、ホワイト ボックス、グレー ボックスなど)、および対象のシステム、ネットワーク、アプリケーション、データ。
テスト中に問題、インシデント、または緊急事態を報告するためのクライアントの連絡先の詳細と通信チャネル。
テスト チームの資格情報と、使用できる承認済みのツールとテクニック。
テスト中に取得されたデータの保存、転送、破棄方法など、機密データの取り扱いと暗号化の要件。
ステータス会議とレポートのスケジュール、形式、受信者、およびテスト結果の機密保持契約と非開示契約。
テストのタイムラインと期間、および運用時間とテスト期間。
不必要な損害、混乱、情報の漏洩を避けるなど、テスターに​​期待される専門的かつ倫理的な行動。
サプライ チェーン分析、監査権条項、デュー デリジェンスは、サード パーティの侵入テスターに​​よるテストの条件とは関係ありません。サプライ チェーン分析は、ビジネス ネットワーク内のサプライヤーとパートナーのセキュリティとリスクの状況を評価するプロセスです。監査権条項は、契約の条項であり、一方の当事者にもう一方の当事者を監査して契約条件への準拠を確認する権利を与えます。
デューデリジェンスとは、潜在的なベンダーまたはパートナーが組織にもたらすサイバーリスクを特定し、対処するプロセスです。
参考資料 =https://www.yeahhub.com/every-penetration-tester-you-should-know-about-this-rules-of-engageme
https://bing.com/search?q=rules+of+engagement+penetration+testing

ISOW は、セキュリティ会社が顧客にサービスを提供するプロジェクト、コスト、完了までの期間を概説した文書です。ISOW は Information Security Operations Work (情報セキュリティ運用作業) の略で、セキュリティ プロジェクトの範囲、成果物、マイルストーン、支払い条件を指定する契約の一種です。ISOW は通常、目的と結果が明確かつ定義されている 1 回限りまたは短期のプロジェクトに使用されます。
たとえば、ISOW は、セキュリティ評価、侵入テスト、セキュリティ監査、セキュリティ トレーニングに使用できます。
その他の選択肢は、セキュリティ会社が顧客にサービスを提供するプロジェクト、コスト、および完了までの期間を概説した文書ではないため、正しくありません。MSA はマスター サービス契約であり、セキュリティ会社と顧客との長期的または継続的な関係の一般的な条件を確立する契約の一種です。MSA は個々のプロジェクトの詳細を指定するのではなく、個別の作業明細書 (SOW) によって管理される将来のプロジェクトのフレームワークを設定します。SLA はサービス レベル契約であり、セキュリティ会社が顧客に提供するセキュリティ サービスの品質とパフォーマンスの基準を定義する契約の一種です。SLA には通常、サービス レベルを測定して保証するための指標、目標、責任、および罰則が含まれます。BPA はビジネス パートナーシップ契約であり、顧客に共同サービスを提供するために協力する 2 社以上のセキュリティ会社間の戦略的提携の役割と期待を確立する契約の一種です。BPA では通常、パートナーシップの目的、利点、リスク、および義務がカバーされます。参考資料 = CompTIA Security+ 学習ガイド (SY0-701)、第 8 章: ガバナンス、リスク、コンプライアンス、387 ページ。Messer 教授の CompTIA SY0-701 Security+ トレーニング コース、セクション 8.2:
コンプライアンスとコントロール、ビデオ: 契約と合意 (5:12)。

パスワード スプレーは、攻撃者が多数のアカウントに対して少数のよく使用されるパスワードを試すタイプの攻撃です。同じ IP アドレスからの多数のユーザー アカウントへのログイン試行が失敗したことを示すイベント ログは、攻撃者が一般的なパスワードを推測してアクセスを取得しようとしているパスワード スプレー攻撃を示しています。
参考資料 = CompTIA Security+ SY0-701 学習教材、特に ID およびアクセス管理の領域と、パスワード スプレーなどの一般的な攻撃ベクトル。

入力検証は、アプリケーションで処理する前に、ユーザー入力に悪意のあるデータや予期しないデータが含まれていないかチェックするセキュリティ手法です。入力検証により、アプリケーション コードの脆弱性を悪用するインジェクション、クロスサイト スクリプティング、バッファ オーバーフロー、コマンド実行などのさまざまなタイプの攻撃を防ぐことができます。入力検証は、ホワイトリスト、ブラックリスト、フィルタリング、サニタイズ、エスケープ、エンコードなどの方法を使用して、クライアント側とサーバー側の両方で実行できます。組織は、Web アプリケーションのフォームで設定された変数から特殊文字を削除する正規表現をソース コードに含めることで、セキュリティ手法として入力検証を採用しました。正規表現は、特定の文字または文字列のセットに一致するパターンであり、不要な入力や有害な入力を除外するために使用できます。$、|、;、&、`、? などの特殊文字は、攻撃者がアプリケーションにコマンドやスクリプトを挿入して、損害やデータの盗難を引き起こすために使用できます。これらの文字を入力から削除することで、組織はそのような攻撃のリスクを軽減できます。
埋め込みキーの識別、コード デバッグ、静的コード分析は、ポリシーにこの追加を行うことで組織が採用したセキュリティ手法ではありません。埋め込みキーの識別は、ソース コードからハードコードされたキーや資格情報を見つけて削除するプロセスです。これらは、公開されたり侵害されたりするとセキュリティ リスクを引き起こす可能性があります。コード デバッグは、アプリケーションの機能やパフォーマンスに影響を与える可能性のあるソース コード内のエラーやバグを見つけて修正するプロセスです。静的コード分析は、ソース コードを実行せずに分析し、脆弱性、欠陥、コーディング標準違反を特定するプロセスです。これらの手法は、入力から特殊文字を削除する正規表現の使用とは関係ありません。
参考資料 = CompTIA Security+ SY0-701 認定学習ガイド、375 ～ 376 ページ、Messer 教授の CompTIA SY0-701 Security+ トレーニング コース、ビデオ 4.1 - 脆弱性スキャン、8:00 ～ 9:08、アプリケーション セキュリティ - SY0-601 CompTIA Security+: 3.2、0:00 ～ 2:00。