SOCマネージャーが新入社員に会社のポリシー遵守の責任を負わせるために推奨できる最善の策は、すべての新入社員に会社のセキュリティポリシーを承認するユーザー契約への署名を求めることです。ユーザー契約とは、会社のシステム、ネットワーク、またはリソースの使用に関するユーザーの権利と責任、そして会社のセキュリティポリシーに違反した場合の結果を規定した文書です。ユーザー契約に署名することで、新入社員が会社のセキュリティポリシーを理解し、遵守することに同意していることを保証し、また、彼らの行動または不作為によって引き起こされた違反やインシデントに対する責任を負わせることができます。

ゼロトラストアーキテクチャの重要な要素は、厳密な認証と認可を確保するために、強力かつ一元化されたユーザーIDソースを持つことです。ゼロトラストは、
「決して信頼せず、常に検証する」という考え方では、ユーザーがネットワークの内外を問わず、ユーザーの ID、役割、コンテキストに基づいてリソースへのアクセスが継続的に評価されます。

脆弱性2は、影響度指標が最も高く、特に攻撃ベクトル（AV）と攻撃複雑度（AC）の値が最も高くなっています。これは、この脆弱性が悪用される可能性が高く、修復がより困難であることを意味します。

最初にパッチ適用を優先すべきシステムは54.74.110.228です。これは、脆弱性レポートに記載されている4つのシステムの中で、脆弱性の数と深刻度が最も高いためです。レポートによると、このシステムには12件の脆弱性があり、そのうち8件が「重大」、3件が「高」、1件が「中」と評価されています。「重大」と評価された脆弱性には、CVE-2019-0708（BlueKeep）、CVE-2019-1182（DejaBlue）、CVE-2017-0144（EternalBlue）、CVE-2017-0145（EternalRomance）が含まれます。これらはいずれもリモートコード実行の脆弱性であり、攻撃者はユーザーの操作や認証なしにシステムを侵害することができます。これらの脆弱性はシステムに高いリスクをもたらすため、早急にパッチを適用する必要があります。

正解はA。バックドアを埋め込んだ。
バックドアとは、システムやネットワークの所有者の許可や知識なしに、権限のないユーザーがアクセスできるようにする方法です。バックドアは、ソフトウェアの脆弱性を悪用したり、マルウェアを使用したり、デバイスのハードウェアやファームウェアを物理的に改変したりすることでインストールされます。バックドアは、データの窃取、マルウェアのインストール、コマンドの実行、システムの制御など、さまざまな悪意のある目的で使用される可能性があります。
このケースでは、コンサルタントはHTMLとPHPのコードスニペットを用いてウェブサイトにバックドアを埋め込み、シャットダウンボタンの画像と「終了」という警告メッセージを表示させました。しかし、このコードはサーバーのリモートアドレスもエコーするため、訪問者のIPアドレスが攻撃者に送信されてしまいます。こうして攻撃者はウェブサイトの訪問者を特定し、標的にすることで、そのIPアドレスを利用してさらなる攻撃を開始したり、デバイスにアクセスしたりすることが可能になります。
このコードスニペットはクリックジャッキング攻撃の一例です。クリックジャッキング攻撃はインターフェースベースの攻撃の一種で、ユーザーを誘導してウェブページ上の隠された要素や偽装された要素をクリックさせます。しかし、クリックジャッキングはコンサルタントの主な目的ではなく、バックドアを埋め込むための手段です。したがって、選択肢Cは誤りです。
選択肢Bも不正解です。権限昇格とは、攻撃者がシステムまたはネットワーク上で本来持つべき権限よりも高い権限、あるいはより多くの権限を取得できる攻撃手法です。権限昇格は、ソフトウェアの脆弱性を悪用したり、マルウェアを使用したり、不適切な設定や脆弱なアクセス制御を悪用したりすることで実現されます。しかしながら、コンサルタントがウェブサイト上で権限昇格を実装したり、昇格した権限を取得したという証拠はありません。
選択肢Dも不正解です。パッチ適用とは、ソフトウェアにアップデートを適用してエラーを修正したり、パフォーマンスを向上させたり、セキュリティを強化したりするプロセスです。パッチ適用は、エクスプロイト、マルウェア感染、サービス拒否攻撃など、様々な種類の攻撃を防止または軽減することができます。しかし、コンサルタントがウェブサーバーにパッチを適用したり、セキュリティを強化したりしたという証拠は見当たりません。
参考文献:
1 バックドアとは何か？バックドア攻撃を防ぐ方法（2023年）
2 クリックジャッキングとは？チュートリアルと事例 | Web Security Academy
3 権限昇格とは何か、そしてそれがWebセキュリティとどう関係するのか | Acunetix
4 パッチとは？ | パッチ管理のベストプラクティス - cWatchブログ