コマンド nmap -sX は、いわゆる Xmas Scan を開始します。このタイプのスキャンは、ターゲットシステムが異常なフラグの組み合わせを持つ TCP パケットにどのように応答するかを分析するために使用され、攻撃者が完全な TCP ハンドシェイクを完了することなく、稼働中のホストと開いているポートを特定するのに役立ちます。
クリスマススキャンでは、パケット内に3つの特定のTCPフラグが設定されます。
* 緊急
* PSH（プッシュ）
* FIN（仕上げ）
この組み合わせにより、パケットは「クリスマスツリーのように光り輝く」ように見えるため、「クリスマススキャン」と呼ばれます。これらのパケットは、システムの動作、特にRFC 793の標準動作に従わない場合の動作を監視するために、ターゲットポートに送信されます。
* 閉じられたポートは通常、RST（リセット）信号で応答します。
* オペレーティングシステムや設定によっては、開いているポートが全く応答しない場合があります。
この方法は、通常のTCPトラフィックパターンを想定しているファイアウォールや侵入検知システムによる検出を回避するために一般的に使用されます。
参考資料 - CEH v13 公式学習ガイド：
モジュール03：ネットワークのスキャン、セクション：「TCPスキャンタイプ」、サブセクション：「クリスマスツリースキャン」、ページ参照：通常、TCPフラグスキャン技術の下に記載されています。
CEH v13 iLabsおよびCEH Engageの実践的なガイダンスでは、偵察シミュレーションにおけるこのスキャンについても解説しています。
* 間違った選択肢の説明：
* A. SYNスキャン（-sS）はSYNフラグのみを設定します。
* C. ACKスキャン（-sA）はACKフラグを設定します。
* D. SYNフラグとACKフラグはTCPハンドシェイクで使用され、Xmasスキャンでは使用されません。

ホストベースの脆弱性評価（VA）ソリューションは、監査担当者が定期的にシステムをレビューする必要が生じたことから生まれました。インターネットが普及する以前から存在していたこれらのツールは、管理者が利用できるすべての情報を評価することで、通常「管理者の視点」で環境を把握します。
UsesHost VAツールは、システム構成、ユーザーディレクトリ、ファイルシステム、レジストリ設定、およびその他すべての形式の情報を検証して、対象に関する情報を取得します。次に、侵害の可能性を評価します。また、年次監査に対応するため、事前に定義された企業ポリシーに準拠している必要があります。管理者アクセス権限があれば、コンピュータコードがシステム全体の構成を確認するために必要なアクセス権を持つため、スキャンが従来の業務を妨害する可能性は低くなります。
測定対象ホスト
VAツールは、ネイティブ構成テーブルとレジストリを調査し、明らかな脆弱性だけでなく、「潜在的な」脆弱性、つまり環境への最初の侵入時に悪用される可能性のある脆弱なシステムや設定、または構成ミスのあるシステムや設定も検出します。ホストVAソリューションは、ユーザーアカウントテーブルのセキュリティ設定、機密ファイルやデータに関連付けられたアクセス管理リスト、および他のシステムに適用される特定の信頼レベルを評価します。ホストVAソリューションは、特定の攻撃がどのように実行可能になるかを決定する要素によって、脅威の範囲をより正確に検証します。
脆弱性評価の種類 ホストベースの評価は、システム構成、ユーザーディレクトリ、ファイルシステム、レジストリ設定、その他のパラメータを特定するために構成レベルのチェックを実行し、侵害の可能性を評価するセキュリティチェックの一種です。ホストベースのスキャナは、ネイティブ構成テーブル、不適切なレジストリまたはファイル権限、ソフトウェア構成エラーなどの脆弱性を特定するためにシステムを評価します。（528/512ページ）

ITチームの要件は、事前定義されたルールとトラフィックシグネチャを使用して、異常なセッションアクティビティを自動的かつリアルタイムで検出することです。この要件は、侵入検知システム（IDS）、特にネットワーク侵入検知システム（NIDS）に最も直接的に合致しています。NIDSはトラフィックを監視し、既知のパターン（シグネチャ）や動作ルールと比較し、疑わしいアクティビティが検出されたときにアラートを生成します。セッションハイジャックの試みは、予期しないパケットシーケンス、疑わしいフラグ、異常なインジェクションパターン、リセット、プロトコルの誤用など、認識可能な異常を引き起こすことが多く、IDSルールは、アナリストが各キャプチャを手動で検査することなく、多数のホストとセグメントにわたってこれらの異常を検出するように設計できます。
このシナリオでは、望ましい機能と「手動分析」を明確に対比させており、選択肢Bを排除している。
パケットスニファなどのツールは調査や確認に役立ちますが、それだけでは組織全体にわたる自動アラート機能を提供することはできません。IDS（侵入検知システム）は継続的な監視とアラート生成を目的として構築されているため、レッドチームによるパケットインジェクションやセッション操作の試みを検出するのに適しています。
他の選択肢が適さない理由：
予測可能なセッショントークン（A）のチェックは、アプリケーション層の防御的なレビュー（および優れた強化策）ですが、ネットワーク上でリアルタイムに発生するパケットインジェクション動作を自動的に検出するものではありません。
ACKストーム（C）の監視は、TCP操作や同期解除のシナリオによっては特定の指標となり得るが、対象範囲が狭すぎ、一般的な検出システムとは言えない。求められるのはより広範な監視システムであり、ルールとシグネチャを用いて疑わしいセッションアクティビティを検出するシステムである。IDS（侵入検知システム）はまさにその役割を担う。
手動によるパケット解析（B）は、彼らが明確に避けたいと考えていることである。
したがって、正解はDです。侵入検知システム（IDS）を使用する。

最適な回答は、不要なポート、ICMP トラフィック、NetBIOS や SMB などの不要なプロトコルをすべてブロックすることです。CEH の Web サーバー強化ガイダンスでは、Web 操作に必要のない不要なサービスやプロトコルを無効化またはフィルタリングすることで、インターネットに接続されたサーバーの攻撃対象領域を縮小することを強調しています。このシナリオでは、Apache が古い脆弱性によって侵害されましたが、回答の選択肢では、リストされた選択肢の中から最適な強化戦略を選択するように求められています。オプション C は、公開されているネットワーク サービスを最小限に抑え、Web サーバー上で無関係または危険なプロトコルをブロックすることで、標準的なサーバー強化の実践を反映しています。専用マシンは役割の分離をサポートできますが、サービスの露出に直接対処するものではありません。リスク評価は、優先順位付けに役立ちますが、それ自体が直接的な制御手段ではありません。jar ファイル内の不要なファイルを削除することは、Apache 固有の標準的な強化対策ではありません。CEH の資料では、パッチ適用に加えて、不要なポートを閉じ、不要なプロトコルを無効化し、到達可能なサービスを制限し、全体的な攻撃対象領域を縮小することで、Web サーバーを強化することを一貫して推奨しています。利用可能な選択肢の中で、不要なポートとプロトコルをブロックすることが、最も適切なセキュリティ対策と言えるでしょう。

CEH v13のモジュール05「システムハッキング」およびモジュール14「アクセス制御、ID管理、暗号化」では、シングルサインオン（SSO）は、ユーザーが一度認証するだけで、資格情報を再入力することなく複数のシステムにアクセスできるシステムとして定義されています。
SSOは中央認証サーバー（CAS）を使用します。
一般的な技術：Kerberos、OAuth、SAML、ADフェデレーションサービス。
ユーザーの利便性を向上させ、認証情報を一元管理できるようにします。
参照：
CEH v13 モジュール 14 - アイデンティティおよびアクセス管理の概念
CEH iLabs：SSOアーキテクチャのデモンストレーション