システム ファームウェアの更新とハードウェアの再イメージ化は、デバイスをクリーンで安全な状態に復元し、マルウェアの痕跡を確実に削除するのに役立つため、感染したデバイスを修復するために実行する最善のアクションです。ファームウェアは、マザーボード、ハードドライブ、ネットワークカードなどのハードウェアデバイスの低レベル機能を制御するソフトウェアの一種です。ファームウェアを更新またはフラッシュして、バグの修正、パフォーマンスの向上、またはセキュリティの強化を行うことができます。再イメージングは​​、オペレーティング システム、アプリケーション、設定、ファイルのコピーを含むイメージ ファイルを使用して、ハード ドライブやソリッド ステート ドライブなどのストレージ デバイス上のデータを消去および復元するプロセスです。再イメージングは​​、システム障害、データ破損、マルウェア感染からの回復に役立ちます。システム ファームウェアを更新し、ハードウェアを再イメージ化すると、マルウェアによって行われた可能性のある悪意のあるコードや構成変更が削除され、また、マルウェアの影響を受けた可能性がある欠落または破損したファイルや設定が復元されるため、感染したデバイスを修復するのに役立ちます。マルウェア。これは、デバイスやネットワークのさらなる損傷、データ損失、侵害を防ぐのに役立ちます。他のアクションは、感染の根本原因に対処したり、デバイスが完全にクリーンアップされて安全になったりすることを保証しないため、システム ファームウェアの更新やハードウェアの再イメージ化ほど効果的または適切ではありません。アナリストに電子メール アラートを送信する追加のマルウェア スキャナーをインストールすると、一部の種類のマルウェアを検出して削除できる場合がありますが、すべてのマルウェアの亜種を検出したり、完全に削除したりできるわけではありません。また、デバイス上の他のセキュリティ ツールやシステムとの競合やパフォーマンスの問題が発生する可能性もあります。インターネット アクセスにプロキシ サーバーを使用するようにシステムを構成すると、一部の種類の悪意のあるトラフィックやリクエストをフィルタリングまたは監視するのに役立つ場合がありますが、すでにデバイスに感染しているマルウェアや、他の通信方法や伝播方法を使用するマルウェアを防止または削除できない場合があります。ユーザー プロファイルを削除し、バックアップからデータを復元すると、マルウェアの影響を受けた可能性のある一部のデータや設定を回復できる可能性がありますが、システムの他の部分に感染したマルウェアやデバイス上に残ったマルウェアは削除できない可能性があります。

産業用制御システム (ICS) は、発電、水処理、製造、輸送などの物理プロセスを監視および制御するシステムです。ICS は多くの場合、公共の安全と国家安全保障にとって重要であるため、サイバー攻撃の主な標的となります。ICS に関する最大のセキュリティ上の懸念の 1 つは、システムを再構築しない限り、システムの問題を元に戻すことができないことです。これは、攻撃によって引き起こされる損害や混乱は、物理的インフラストラクチャと人命に長期にわたる壊滅的な影響を与える可能性があることを意味します。他のオプションは正しくないか、ICS に固有ではありません。参考資料: CompTIA サイバーセキュリティ アナリスト (CySA+) 認定試験の目的 (CS0-002)、13 ページ。https://www.us-cert.gov/ics/What-are-Industrial-Control-Systems

Web サーバー ログ内の疑わしい行は、サーバー上でコマンドを実行しようとしているものであり、コマンド インジェクション攻撃を示しています。参考資料: CompTIA CySA+ スタディ ガイド: Exam CS0-003、第 3 版、章
5、197ページ。CompTIA CySA+ CS0-003 認定学習ガイド、第 5 章、205 ページ。

セキュリティ管理者は、次に shtml.exe を調査する必要があります。これは、Web サーバー上でリモート コードが実行される可能性がある潜在的な脆弱性です。Nikto スキャンの結果は、Web サーバーが Windows 上で Apache を実行していること、および /scripts/ ディレクトリにある shtml.exe ファイルにアクセスできることを示しています。このファイルは、Web ページ上での動的なコンテンツの生成を可能にするサーバー サイド インクルード (SSI) 機能の一部です。ただし、SSI 機能が適切に設定されていない場合、攻撃者が URL または Web ページに悪意のあるコードを挿入することにより、Web サーバー上で任意のコマンドを実行できる可能性があります12。したがって、セキュリティ管理者は SSI の構成と権限を確認し、不要な場合は shtml.exe ファイルを削除または無効にする必要があります。参考文献:
Nikto 浸透テスト。はじめに、Nikto を使用した Web アプリケーションのスキャン