SQL インジェクションは、基盤となるデータベースを操作またはアクセスするために、Web アプリケーションの入力フィールドまたはパラメーターに悪意のある SQL ステートメントを挿入する攻撃の一種です。画像に示されているリクエストには、「UNION SELECT」ステートメントで示されているように、2 つ以上のクエリの結果を結合するために使用される SQL インジェクション試行が含まれています。攻撃者は、元のクエリに悪意のあるクエリを追加して、データベースから情報を抽出しようとしています。

OWASP のベスト プラクティスを使用して定期的にコード レビューを実施することは、アプリケーション開発に関連するリスクを軽減する最も効果的なアクションです。コード レビューは、アプリケーションのソース コードを系統的に検査して、アプリケーションのセキュリティ、機能、パフォーマンスを損なう可能性のあるエラー、脆弱性、弱点を検出して修正することです。コード レビューは、コードの品質とセキュリティを向上させるだけでなく、不十分なロギング機能などの一般的なセキュリティ リスクを特定して修正するのにも役立ちます。OWASP (Open Web Application Security Project) は、Web アプリケーション セキュリティのための無料のオープン リソース、ツール、標準、ベスト プラクティスを提供する世界的な非営利組織です。OWASP のログ記録のベスト プラクティスには、一般的なログ形式とアプローチに従うこと、関連するセキュリティ イベントとデータのログ記録、不正なアクセスや変更からのログ データの保護、セキュリティ インシデントを検出して対応するためのログ分析および監視ツールの使用が含まれます。OWASP のログ記録のベスト プラクティスに従うことで、開発者は Web アプリケーションにセキュリティ上の脅威の防止、検出、軽減に役立つ十分かつ効果的なログ記録機能を確保できます。

補償制御は、主な制御が実行不可能または効果的でない場合に代替または追加のセキュリティ層を提供できるため、古いサーバーが侵害されるリスクを最小限に抑えるための最良のアプローチです。補償制御は、主な制御が実行不可能または効果的でない場合に、脆弱性または攻撃のリスクを軽減するために実装されるセキュリティ対策です。たとえば、サーバーが古いオペレーティング システムを実行していてパッチを適用できない場合、代替制御として、サーバーをネットワークの残りの部分から隔離したり、ファイアウォールや侵入防止システムを実装して、悪意のあるトラフィックを監視してブロックしたりすることが考えられます。サーバーから。補償制御はエクスプロイトの可能性や影響を軽減するのに役立ちますが、リスクを完全に排除するわけではありません。したがって、セキュリティ アナリストは、できるだけ早く古いサーバーをアップグレードまたは交換することも検討する必要があります。

HTTP/404 エラー コードは、要求されたページまたはリソースが Web サーバー上に見つからなかったことを意味します。これは、不正な URL、ページの移動または削除、アセットの欠落、サーバーの構成ミスなど、さまざまな理由によって発生する可能性があります123。アナリストは、まずリクエストのソースを特定し、関連するアクティビティを調査して、リクエストが正当なものか悪意のあるものであるか、また問題を解決するためにどのようなアクションを実行する必要があるかを判断する必要があります。
他のオプションは時期尚早であるか、さらなる調査がなければ無関係です。参考資料: 1: 404 ページが見つかりませんエラー: 原因と修正方法 2: 404 エラー コード: 原因と修正方法 3: 概要
404 エラーとそのトラブルシューティング方法は?

補償制御は、元の制御と同様のレベルの保護を提供する代替手段ですが、元の制御が実現不可能またはコスト効率が悪い場合に使用されます。この場合、CISO は、開発者によって問題が恒久的に修正されるまで、追加の監視、ファイアウォール ルール、または暗号化を実装するなど、ACE ソフトウェアの脆弱性のリスクを軽減するための補償制御を開発する必要があります。参考資料: CompTIA CySA+ スタディ ガイド: 試験 CS0-003、第 3 版、第 5 章、197 ページ。CompTIA CySA+ CS0-003 認定学習ガイド、第 5 章、205 ページ。