多くのIDSは通信ストリームを再構成します。そのため、パケットが適切な期間内に受信されない場合、多くのIDSはそのストリームの再構成と処理を停止します。攻撃対象のアプリケーションが、IDSが再構成に費やす時間よりも長くセッションをアクティブに維持した場合、IDSは停止します。結果として、IDSがセッションの再構成を停止した後のセッションは、攻撃者による悪意のあるデータ窃盗の危険にさらされます。IDSは、スプライシング攻撃が成功した後は、攻撃試行をログに記録しません。攻撃者は、セッションスプライシング攻撃にNessusなどのツールを使用できます。
EC-Councilの試験は、公式テキストをどれだけ理解しているかを示すものだとご存知でしたか？
その中に「Whisker」という単語があります。「IDSの回避」→「セッションスプライシング」の章では、セッションスプライシング攻撃を実行するための推奨ツールとしてNessusが挙げられています。「Whisker」の由来ははっきりしませんが、質問者がWikipediaをコピーしている際に見つけたものと推測します。
https://en.wikipedia.org/wiki/Intrusion_detection_system_evasion_techniques 基本的な手法の 1 つは、攻撃ペイロードを複数の小さなパケットに分割し、IDS が攻撃を検出するためにパケット ストリームを再構成する必要があるようにすることです。パケットを分割する簡単な方法は、パケットをフラグメント化することですが、攻撃者は単に小さなペイロードを持つパケットを作成することもできます。「whisker」回避ツールは、小さなペイロードを持つパケットを作成することを「セッション スプライシング」と呼んでいます。
小さなパケットだけでは、パケットストリームを再構成するIDSを回避することはできません。しかし、小さなパケットをさらに改変することで、再構成と検出を困難にすることができます。回避手法の一つは、攻撃の各部分を送信する間に一時停止を挟むことで、ターゲットコンピュータよりも先にIDSがタイムアウトすることを期待することです。もう一つの回避手法は、パケットを順不同で送信することです。これにより、単純なパケット再構成ツールは混乱しますが、ターゲットコンピュータは混乱しません。
注：はい、2012年に存在したツールに関する断片的な情報は見つけましたが、未確認の情報をお伝えすることはできません。公式チュートリアルによると、正解はNessusですが、Wiskerについて何かご存知でしたら、Q&Aセクションにご記入ください。この質問は近いうちに更新されるかもしれませんが、確証はありません。

正解はAです。設計上の欠陥は、アプリケーションのアーキテクチャに関する開発時の根本的な決定、具体的には(1)脆弱なカスタム暗号化アルゴリズムを選択または作成したこと、および(2)リクエストがアクセス制御を回避できるような方法でセッション検証を実装したことに起因します。CEHに準拠した脆弱性分類では、設計上の欠陥は、実装ミス、サーバー設定の誤構成、ベンダーパッチの欠落によるバグではなく、アプリケーションの設計とロジックに埋め込まれた問題です。多くの場合、それらはシステム的なものであり、コードが「意図どおりに動作」していても、意図自体が安全ではありません。
プロンプトには、問題の原因は「開発段階で行われたシステムロジックの欠陥と暗号化設計の不備に起因する」と明記されています。この説明は、設計上の欠陥に直接対応しています。
検証済みの暗号プリミティブやプロトコルではなく、「独自開発の暗号」を使用することは、典型的な設計ミスです。なぜなら、通常、適切なピアレビュー、脅威モデリング、および暗号解読に対する耐性の実証が欠如しているからです。同様に、アクセス制御を回避できるセッション検証は、アプリケーションの認証/セッションモデルが誤って設計されていることを示しています（例えば、クライアント側の状態を信頼している、サーバー側のチェックを一貫して実施していない、または認証されていないエンドポイントが特権操作にアクセスできるようにしているなど）。
他の選択肢が正確でない理由：アプリケーションの欠陥は、コーディングのバグを含む広範なラベルですが、この質問は、根本原因が狭いコーディングミスではなくアーキテクチャ上の決定にあることを踏まえて、最適なカテゴリを尋ねています。設定ミス/脆弱な構成は通常、アプリケーションに組み込まれたカスタム暗号化アルゴリズムや欠陥のあるセッションロジックではなく、デプロイメントにおける安全でない設定（デフォルトの認証情報、寛容なヘッダー、脆弱なTLS構成）を指します。パッチ管理の不備は、既知の脆弱なコンポーネントの更新を怠ることに関係しますが、ここでは、脆弱性はパッチ未適用のサードパーティの脆弱性ではなく、カスタムロジックにあります。
したがって、これらの開発段階における暗号化およびセッション／認証の脆弱性に対して最も適切な分類は「設計上の欠陥」である。

包括的かつ詳細な説明：
セキュリティ資産記録における矛盾点を特定し、システムが基本セキュリティ基準を満たしていることを確認するためには、脆弱性スキャンとデータ項目（構成設定、ソフトウェアバージョンなど）のチェックが不可欠です。
これは、アナリストが期待されるシステム状態と実際のシステム状態との間のギャップを発見するのに役立ちます。
CEH v13公式カリキュラムより：
モジュール5：脆弱性評価 # セキュリティ評価手法
「自動化された脆弱性スキャナーと資産インベントリは、システムがセキュリティ基準に準拠していることを検証するのに役立ちます。」参照：CEH v13学習ガイド、セキュリティ評価計画のセクション。