クラウド ホスティング プロバイダーがデータ センターを新しい海外の場所に拡張する前に最初に考慮すべきことは、現地のデータ保護規制です。データ保護規制とは、個人データや機密データがどのように収集、保存、処理され、国境を越えて転送されるかを規定する法律または標準です。
国や地域によってデータ保護規制が異なる場合があります。たとえば、欧州連合の一般データ保護規則 (GDPR)、カナダの個人情報保護および電子文書法 (PIPEDA)、米国のカリフォルニア州消費者プライバシー法 (CCPA) などです。
クラウド ホスティング プロバイダーは、事業を展開したり顧客にサービスを提供したりする国や地域の現地のデータ保護規制に準拠する必要があります。準拠しない場合、法的処罰、罰金、または評判の失墜に直面する可能性があります。
したがって、クラウド ホスティング プロバイダーは、データ センターを拡張する前に、新しい国際的な場所の現地のデータ保護規制を調査して理解する必要があります。参考資料 = 500 以上の練習テスト問題を含む CompTIA Security+ 学習ガイド: 試験 SY0-701、第 9 版、第 7 章、269 ページ。
CompTIA Security+ SY0-701 試験目標、ドメイン 5.1、14 ページ。

パスワード スプレーは、複数のアカウントで共通のパスワードを試して一致するものを探すブルート フォース攻撃の一種です。これは、アカウント ロックアウト プロトコルを回避できる大規模な試行錯誤のアプローチです。これにより、ハッカーは個人または企業のアカウントや情報にアクセスできます。これは標的型攻撃ではなく、辞書や一般的なパスワードや脆弱なパスワードのリストを使用する大規模な攻撃戦術です12。
ログを見ると、攻撃者が同じパスワード (「password123」) を使用して、同じ Web サーバー上のさまざまなアカウント (「admin」、「user1」、「user2」など) にログインしようとしていることがわかります。これはパスワード スプレーの典型的なパターンで、攻撃者は少なくとも 1 つのアカウントに、試行中のパスワードと一致する弱いパスワードがあることを期待しています。攻撃者は Hydra というツールも使用しています。これは、ネットワーク認証のパスワードをクラッキングする際によく使用される、最も人気のあるブルート フォース ツールの 1 つです3。
アカウント偽造は正しい答えではありません。これは、正当なユーザーまたはエンティティになりすますために偽のアカウントまたは資格情報を作成することを伴うためです。攻撃者は新しいアカウントを作成したり、偽造された資格情報を使用したりしていないため、ログにはアカウント偽造の証拠はありません。
Pass-the-hash は正解ではありません。ハッシュ化されたユーザー認証情報を盗み、それを使用して同じネットワーク上に新しい認証セッションを作成するからです。Pass-the-hash では、攻撃者は保存されたパスワード バージョンを使用して新しいセッションを開始するため、パスワードを知ったり解読したりする必要はありません4。ログには、攻撃者がハッシュではなくプレーン テキスト パスワードを使用して Web サーバーにログインしようとしていることが示されています。
ブルートフォースは正解ではありません。これは、正しいパスワードが見つかるまでさまざまなバリエーションの記号や単語を試す、さまざまな種類の攻撃を包括するより広い用語だからです。パスワード スプレーは、複数のアカウントに対して 1 つの共通パスワードを使用する特定の種類のブルートフォース攻撃です5。ログは、攻撃者が一般的なブルートフォースではなく、パスワード スプレーを使用して Web サーバーにアクセスしようとしていることを示しています。参考文献 = 1: パスワード スプレー: パスワード スプレー攻撃の概要... - Norton、2: セキュリティ: クレデンシャル スタッフィングとパスワード スプレー - Baeldung、3: ブルートフォース攻撃: 定義と知っておくべき 6 つのタイプ | Norton、4: パスザハッシュ攻撃とは何ですか? - CrowdStrike、5: ブルートフォース攻撃とは何ですか? | 定義、タイプ、および仕組み - Fortinet

= 変更管理リクエストとは、システムへの提案された変更、変更の理由、予想される影響、承認プロセス、テスト計画、実装計画、ロールバック計画、およびコミュニケーション計画を記述した文書です。変更管理リクエストは、変更が承認され、文書化され、テストされ、伝達されることを保証するため、特に優先度の高いシステムにパッチを適用する際のベスト プラクティスです。また、変更管理リクエストは、システムのダウンタイム、データ損失、セキュリティ侵害などの意図しない結果のリスクを最小限に抑えます。参考資料 = 500 問を超える模擬試験問題を含む CompTIA Security+ 学習ガイド: 試験 SY0-701、第 9 版、第 6 章、235 ページ。CompTIA Security+ SY0-701 試験目標、ドメイン 4.1、13 ページ。

アプリケーションのソース コードをレビューして、構成ミスや脆弱性を特定することを、静的分析と呼びます。静的分析では、プログラムを実行せずにコードを検査します。コード自体を分析することで、潜在的なセキュリティ問題、コーディング エラー、脆弱性を見つけることに重点を置いています。
静的分析: プログラムを実行せずに、ソース コードまたはコンパイルされたコードの脆弱性を分析します。
動的分析: プログラムの実行中にテストと評価を行い、脆弱性を特定します。
ギャップ分析: 現在の状態と望ましい状態の違いを識別します。コンプライアンスやプロセス改善によく使用されます。
影響分析: システムまたはプロセスの変更による潜在的な影響を評価します。

バグ報奨金は、アプリケーションまたはシステムの脆弱性を発見して報告したセキュリティ研究者に報奨金を与えるプログラムです。バグ報奨金は、セキュリティ体制を改善し、倫理的なハッキングを奨励するために、企業でよく使用されます。バグ報奨金プログラムでは通常、研究者の範囲、ルール、報酬が定義されます。参考資料 = 500 問以上の練習問題を含む CompTIA Security+ 学習ガイド: 試験 SY0-701、第 9 版、第 1 章、10 ページ。CompTIA Security+ (SY0-701) 認定試験の目標、ドメイン 1.1、2 ページ。