SQL インジェクションは、攻撃者がデータベース サーバーで任意の SQL コマンドを実行し、PII を含む機密データにアクセス、変更、または削除できる重大度の高い脆弱性であるため、最初に修正する必要があります。Arachni スキャンの結果によると、Web アプリケーションには SQL インジェクションのインスタンスが 2 つ、ブラインド SQL インジェクションのインスタンスが 3 つ (タイミング攻撃が 2 つ、差分分析が 1 つ) あります。これらの脆弱性は、Web アプリケーションがユーザー入力をデータベース サーバーに渡す前に適切に検証またはサニタイズしていないため、データベースが悪意のあるクエリにさらされていることを示しています12。SQL インジェクションは、データとシステムの機密性、整合性、可用性に深刻な影響を及ぼす可能性があり、権限の昇格、データの流出、リモート コード実行などのさらなる攻撃につながる可能性もあります34。したがって、SQL インジェクションは修正の最優先事項である必要があり、Web アプリケーションは、SQL インジェクション攻撃を防ぐために入力検証、パラメーター化されたクエリ、および最小権限の原則を実装する必要があります5。参考文献:
Arachni を使用した Web アプリケーションのテスト | Infosec、Arachni Web で PDF の生成されたスキャン レポートを作成するにはどうすればいいですか...、コマンド ライン ユーザー インターフェイス Arachni/arachni Wiki GitHub、SQL インジェクション - OWASP、ブラインド SQL インジェクション - OWASP、SQL インジェクション攻撃: その概要と防止方法、SQL インジェクション チート シートとチュートリアル | Veracode

The first action that the analyst should take in this case is to clone the virtual server for forensic analysis. Cloning the virtual server involves creating an exact copy or image of the server's data and state at a specific point in time. Cloning the virtual server can help preserve and protect any evidence or information related to the security incident, as well as prevent any tampering, contamination, or destruction of evidence. Cloning the virtual server can also allow the analyst to safely analyze and investigate the incident without affecting the original server or its operations.

Compensating controls are alternative controls that provide a similar level of protection as the original controls, but are used when the original controls are not feasible or cost-effective. In this case, the CISO implemented compensating controls by reviewing logs and audit trails to mitigate the risk of error and fraud in payroll management, since segregating duties was not possible due to the small staff size