このシナリオにおける最適なセキュリティ対策は、IEEE 802.1Xを実装することです。これはポートベースのネットワークアクセスコントロール（NAC）プロトコルであり、デバイスがネットワーク上でトラフィックを送信する前に認証を行います。これにより、許可されたユーザー/デバイスのみが、有線または無線接続を介してネットワークにアクセスできるようになります。
CEH v13公式コースウェアには次のように記載されています。
「802.1Xは、LANポートに接続されたデバイスの認証と認可を行うためのフレームワークを提供し、ポートベースのネットワークアクセス制御を強制します。これにより、特にネットワークジャックへの物理的なアクセスを完全に制御できない環境において、不正なユーザーが内部ネットワークに接続するのを防ぐことができます。」 誤った選択肢:
* A. 未使用のポートを無効にすることは良い方法ですが、学生は許可された担当者向けに開いているポートを依然として使用する可能性があります。この方法は拡張性に乏しく、IDベースのアクセス制御も提供しません。
* B. VLANでユーザーを分離することはセグメンテーションに役立ちますが、ポートへの不正な物理的アクセスを防ぐことはできません。
* D. 学生に無線LANの使用を求めることは、技術的な強制措置ではなく、管理上の措置である。
参考資料 - CEH v13 ガイド:
モジュール04：列挙
トピック：ネットワークアクセス制御（802.1X）とスイッチポートのセキュリティ

正解は、不正なMACアドレスでパケットを送信するPingメソッドです。CEHのスニッフィング資料では、プロミスキャスモードで動作するネットワークインターフェイスカードを検出する古典的な方法の1つとして、偽装または不正なMACアドレスを宛先として使用して疑わしいシステムにpingリクエストを送信することが挙げられています。通常の状態では、プロミスキャスモードではないNICは、自分宛てではないフレームを無視します。しかし、すべてのトラフィックをキャプチャしているホストは、パケットを処理して応答する可能性があり、意図した宛先範囲外のフレームを受け入れていることが明らかになります。これはまさに、レイチェルがテストしようとしている動作です。ARPメソッドも既知の検出手法ですが、ARPキャッシュの操作とそれに続くブロードキャストプロービングを含む別のシーケンスに依存しています。この問題では、明示的に宛先として指定されていないトラフィックを受信するホストから異常な応答を引き出すために、細工されたパケットを送信することが特に強調されており、これは不正なMACアドレスを使用したping手法に直接対応しています。CEHの資料では、これは古く信頼性の低い方法であるとも指摘されていますが、プロミスキャスモードのスニッファを検出するための試験解答として認められています。

正解はHTTPレスポンス分割攻撃です。CEHのWebサーバーセキュリティ資料では、HTTPレスポンス分割は入力検証の脆弱性であり、攻撃者が制御する入力を使用して単一のHTTPレスポンスを複数の部分に分割するもので、多くの場合、サーバーが生成するヘッダーまたは関連する出力にキャリッジリターンとラインフィードの区切り文字を挿入することによって行われます。問題では、細工された1つのリクエストが2つの別々のリクエストとして処理されると述べており、この脆弱性をXSS、CSRF、SQLインジェクションと同じ広範な入力検証ファミリーに位置付けています。この枠組みはレスポンス分割と非常によく一致しており、レスポンス分割は、サーバー通信構造に挿入される前にユーザー提供データの不適切な検証に依存しています。パスワードクラッキングはWebレスポンスの形成とは無関係であり、ディレクトリトラバーサルはファイルパスの悪用を伴い、Webキャッシュポイズニングは他のユーザーに提供されるキャッシュされたレスポンスの破損に焦点を当てています。CEHの資料では、HTTPレスポンス分割は、悪意のあるリダイレクト、ヘッダーインジェクション、キャッシュ操作、または攻撃者が制御するコンテンツの配信につながる可能性のある古典的なWebサーバー攻撃として扱われています。細工された入力によって、サーバーは本来単一の通信であるべきものを複数の応答セグメントに分割してしまうため、最も正確な分類はHTTP応答分割攻撃である。

正解はCです。不正なDHCPサーバー攻撃です。なぜなら、Priyaがラップトップを接続した直後、LAN上のクライアントマシンが誤ったネットワーク構成パラメータ（具体的には、変更されたデフォルトゲートウェイとDNSサーバーアドレス）を受信し始めるという影響が観測されるからです。CEHに準拠したLAN攻撃の概念では、不正なDHCP攻撃は、攻撃者が正規のDHCPサーバーよりも速くDHCP検出要求に応答する、許可されていないDHCPサービスを導入したときに発生します。その結果、エンドポイントは攻撃者が提供するリースオプションを受け入れ、攻撃者が制御するインフラストラクチャを介してトラフィックをリダイレクトすることができます。
「プリヤのマシンでホストされている偽のログインポータル」へのリダイレクトは、悪意のあるDHCPオプションの悪用と一致しています。不正なDNSサーバーを提供（またはDNS関連のオプションを変更）することで、攻撃者は内部ホスト名（イントラネットURLなど）を攻撃者のIPに解決し、偽装ポータルを介して認証情報を収集できます。不正なデフォルトゲートウェイを提供することで、攻撃者は被害者のトラフィックのネットワークパスとして自身を配置し、中間者攻撃のような傍受、トラフィック操作、セッションハイジャックを可能にします。
「一時的なIPアドレスの競合」は、不正なDHCPの動作をさらに助長します。なぜなら、攻撃者のDHCPサーバーは、正当な範囲と重複するアドレスを割り当てたり、重複した割り当てを引き起こしたりして、競合や不安定性を生み出す可能性があるからです。
他の選択肢が正確でない理由：DHCP枯渇とは、偽装したMACアドレスでリクエストを大量に送信することで正規のDHCPプールを枯渇させる行為であり、多くの場合、不正なDHCPサーバーを立ち上げる前段階として行われます。このシナリオでは、クライアントが悪意のある設定（ゲートウェイ/DNS）を積極的に受信していることが強調されていますが、これは単なる枯渇ではなく、不正サーバー段階の特徴です。DNSキャッシュポイズニングはDNSリゾルバ/キャッシュを標的としており、それ自体でクライアントが突然新しいゲートウェイ/DNS構成を取得する原因にはなりません。
パケットスニッフィングは受動的な手法であり、クライアントが再構成されたりリダイレクトされたりした理由を説明するものではありません。
したがって、プリヤはエンドポイントを再構成し、ユーザーをフィッシングサイトにリダイレクトするために、不正なDHCPサーバー攻撃を実行した可能性が最も高い。

正解は IMDS 攻撃です。CEH のクラウドセキュリティ資料では、クラウドインスタンスは、仮想マシン上で実行されているワークロードに ID およびロールベースのアクセス詳細を提供するインスタンスメタデータサービス (IMDS) から一時的な認証情報を取得することが多いと説明しています。攻撃者が、別の Web アプリケーションの脆弱性などを介してインスタンス上でコード実行権を取得した場合、攻撃者はローカルでメタデータエンドポイントにクエリを実行し、インスタンスロールに関連付けられた一時的な認証情報を取得する可能性があります。このシナリオではまさにそれが発生します。テスターは VM 上でスクリプトを実行し、一時的なロール認証情報を抽出し、それらを使用して同じクラウドアカウント内のストレージやその他のサービスを列挙します。ラッピング攻撃は SOAP メッセージの操作をターゲットとしていますが、クラウドスヌーパーや CP DoS は、ローカルのクラウドメタデータからロール認証情報を収集する動作とは一致しません。CEH は、過剰な権限を持つインスタンスロールと公開されたメタデータアクセスによって、攻撃者が単一の侵害されたワークロードからより広範なクラウドサービスへのアクセスへと移行できると強調しています。重要なステップはインスタンスメタデータサービスから一時的な認証情報を取得することであるため、最も適切なのは IMDS 攻撃です。