XSS 脆弱性が悪用されるのを防ぐための最善の推奨事項は、ソース コードに補正コントロールを実装し、WAF で仮想パッチを使用して脆弱性を修正することです。補正コントロールとは、入力検証、出力エンコード、HTML サニタイズなどの追加のセキュリティ対策を追加することで脆弱性のリスクを軽減する手法です。仮想パッチとは、アプリケーション コードを変更せずに、WAF レベルで悪意のある要求や応答をブロックまたは変更するルールです。これらの推奨事項は効果的で効率的であり、他のオプションよりも混乱が少なくなります。参照: CompTIA CySA+ 学習ガイド: 試験 CS0-003、第 3 版、第 4 章: セキュリティ運用と監視、156 ページ、クロス サイト スクリプティング防止チート シート、セクション: XSS 防御哲学。

このプロキシに関して企業が従うべきベストプラクティスは、プロキシを廃止することです。
プロキシの廃止には、プロキシをラックおよびネットワークから削除または廃棄すること、およびプロキシ上のデータや構成を削除または消去することが含まれます。プロキシの廃止により、プロキシの脆弱性が排除されるだけでなく、攻撃対象領域、複雑さ、またはネットワークの保守コストが削減されます。プロキシの廃止により、会社で使用中または必要な他のデバイスやシステム用のスペースやリソースが解放されることもあります。

管理制御は、リスク管理プロセスの仕組みに重点を置いた手順メカニズムです。管理制御の例には、定期的なリスク評価、セキュリティ計画の演習、組織の変更管理、サービス取得、プロジェクト管理の実践へのセキュリティの組み込みなどがあります。

マイクロセグメンテーションでは、ネットワークをより小さな分離されたセグメントに分割して、ネットワーク内での横方向の移動を制限します。これは、いかなるエンティティ (内部または外部) も本質的に信頼できないと想定するゼロ トラスト アーキテクチャでは非常に重要です。マイクロセグメンテーションは、必要なネットワーク セグメントのみにアクセスを制限することで、潜在的な侵害を限定された領域内に封じ込め、その影響を軽減します。CompTIA は、最小権限の原則に基づいてリソースを分離することでリスクを最小限に抑え、セキュリティ体制を向上させる効果的な戦略としてマイクロセグメンテーションを強調しています。

SLA (サービス レベル契約) は、サービス プロバイダーと顧客の間で締結される契約または合意であり、サービスの期待されるレベル、パフォーマンス、品質、および可用性を定義します。また、SLA では、契約不履行または契約違反の場合の両当事者の責任、義務、および罰則も規定します。SLA は、組織がセキュリティ サービスがタイムリーかつ効果的に提供され、セキュリティ インシデントや脆弱性が指定された期間内に対処および解決されることを保証するのに役立ちます。SLA は、サービス プロバイダーと顧客の間で明確なコミュニケーション、期待、および説明責任を確立するのにも役立ちます。
MOU (了解覚書) は、共通の目標または目的について 2 つ以上の当事者間で合意または理解を示す文書です。MOU には法的拘束力はありませんが、将来の協力またはコラボレーションの基盤として使用できます。MOU は、SLA と同じレベルの強制力、特定性、または測定可能性がないため、特定の期間内に既知の脅威の修復を要求するのには適さない場合があります。ベスト エフォート パッチは、システムまたはソフトウェアにセキュリティ パッチまたは更新を適用するための非公式でアドホックなアプローチです。ベスト エフォート パッチは、定義されたプロセス、ポリシー、またはスケジュールに従わず、システム管理者またはユーザーの可用性と裁量に依存します。ベスト エフォート パッチは、パッチが正しく、一貫して、または迅速に適用されることを保証しないため、特定の期間内に既知の脅威の修復を要求するのに効果的または効率的ではない場合があります。
ベストエフォートのパッチ適用では、人為的エラー、互換性の問題、テスト不足などにより、新たなリスクや脆弱性が生じる可能性もあります。
組織ガバナンスは、組織の活動と意思決定を導き、指示するルール、ポリシー、手順、プロセスのフレームワークです。組織ガバナンスは、組織内のさまざまな関係者の役割、責任、説明責任、および組織の文化と行動を形成する目標、価値、原則を確立するのに役立ちます。組織ガバナンスは、内部および外部の標準、規制、法律への準拠を保証するのにも役立ちます。組織ガバナンスは、サービス提供またはパフォーマンスの詳細や測定基準を指定しないため、特定の時間枠内で既知の脅威の修復を要求するには不十分な場合があります。組織ガバナンスは、組織の規模、構造、性質によっても異なります。