包括的かつ詳細な説明：
ARPポイズニング（アドレス解決プロトコルポイズニング）は、LAN環境における典型的な中間者攻撃（MiTM攻撃）です。この攻撃は、ネットワーク上のデバイスに偽のARP応答を送信することで、攻撃者のMACアドレスを別のホスト（通常はデフォルトゲートウェイ）のIPアドレスに関連付けます。その結果、以下の問題が発生します。
ゲートウェイ宛てのネットワークトラフィックが、代わりに攻撃者に送信される。
* 攻撃者はその後、トラフィックを傍受、変更、または実際の宛先に転送して、完全な中間者攻撃（MiTM）を実行できます。
これにより、攻撃者は以下のことが可能になります。
* 機密データ（認証情報、メールなど）を傍受する
* ハイジャックセッション
悪意のあるペイロードを注入する
CEH v13コースウェアより：
* モジュール8：嗅覚
* トピック：中間者攻撃 # ARPスプーフィング技術
誤った選択肢：
* A. パスワードスニッフィングは中間者攻撃の結果であり、それ自体が技術ではありません。
* C. MACフラッディングは、CAMテーブルをフラッディングしてスイッチをハブのように動作させるスイッチ攻撃です。
* D. DHCPスニッフィングはDHCPメッセージをキャプチャすることに関連しますが、一般的に中間者攻撃には使用されません。
参考資料: CEH v13 学習ガイド - モジュール 8: ARP ポイズニングと MiTM 攻撃 OWASP ネットワーク脅威 - ARP スプーフィング ChatGPT は次のように述べています:

Thomasは恐らく「Follow TCP Stream」を使用しているでしょう。このWiresharkの機能は、TCP接続を介して伝送される双方向のアプリケーションデータを、パケットを順番に再構成して読みやすい会話ビューにすることで再構築します。トラフィックが暗号化されていないHTTPの場合、再構成されたストリームからリクエスト全体を明らかにすることができます。
/レスポンスの内容には、URL、ヘッダー、フォームパラメータ、そしてこのシナリオで特に重要な、平文で送信されるユーザー名とパスワード（たとえば、POSTボディパラメータ内）が含まれます。
シナリオの記述はまさにこれと一致しています。「ブラウザとサーバー間の通信全体を再構築する」そして「パケットデータを読みやすいストリームに再構成する」。Follow TCP Streamはまさにこれを実現します。同じTCPセッションに属するパケットをグループ化し、ペイロードを連続したデータとして表示するため、個々のパケットを手動で検査するよりもはるかに簡単です。これは、評価や調査において、どのようなデータが交換されたかを把握し、機密データが漏洩していないかを確認し、TLSなどの保護が適切に適用されているかを確認するためによく使用されます。
他の選択肢が正しくない理由：
IPアドレスによるフィルタリング（A）は、パケットリストを特定のホストに絞り込むのに役立ちますが、会話を再構築するものではありません。
プロトコルによる表示フィルタリング（B）はHTTPパケットを分離できますが、アナリストは完全な再構成なしに個々のパケットを解釈する必要があります。
特定ポートの監視（C）も同様にトラフィックを絞り込みますが（例：HTTPの場合はTCP/80）、再構成された読み取り可能なセッションは表示されません。
目的はTCP上のHTTPログインセッションを迅速かつ読みやすく再構築することであるため、正解はDです。
TCPストリームを追跡する。

正解はD、暗号文のみの攻撃です。攻撃者は暗号化されたデータのみを所有しており、暗号鍵も元の平文の確認済みサンプルも持っていないからです。CEHに準拠した暗号概念では、暗号解読攻撃は攻撃者が持っている情報と能力によって分類されます。暗号文のみの攻撃は最も制約の多いモデルです。攻撃者は暗号文のみを分析して平文または鍵を推測しようとしますが、多くの場合、暗号化が悪用された場合に情報が漏洩する可能性のある統計的特性、繰り返し、書式設定の仮定、構造パターンを利用します。
このシナリオでは、攻撃者が「暗号化された出力をまとめて調べ」、構造的または統計的なパターンを検出することが強調されています。この表現は、暗号文のみの分析に直接対応しています。つまり、脆弱な動作モード、不適切なIV/nonce処理、決定論的暗号化、繰り返しブロック（ECBモードでよく見られる）、予測可能なヘッダー、または一貫したレコードテンプレートによって引き起こされるパターンを探すということです。ブロック暗号の場合、大規模なデータセットでは、システムが安全でないモードを使用したりIVを再利用したりすると、繰り返し平文ブロックが繰り返し暗号文ブロックを生成する可能性が高まります。これにより、攻撃者はレコードを関連付けたり、フィールドを特定したり、プロトコルやファイル形式の知識と組み合わせることでコンテンツを復元したりすることが可能になります。
その他のオプションでは、プロンプトで提供される以上の攻撃者の能力が求められます。既知平文攻撃では、平文と暗号文のペアがいくつか必要です。選択平文攻撃では、攻撃者が選択した入力を暗号化する能力が必要です。
選択暗号文攻撃には、復号オラクルまたは復号のために暗号文を送信する機能が必要です。ここではどちらも存在しないため、Emmaは暗号文のみの漏洩を評価し、特に暗号モード、IV/nonceの一意性、パディング動作、および保存された患者記録に対する暗号化が意味的に安全であるかどうかを検証する必要があります。

スピアフィッシングは、非常に具体的で文脈に即した知識を活用して、信憑性があり関連性の高いメッセージを作成します。実際の合併の詳細や社内の法的手続きに言及することで、信頼と正当性が構築され、法務担当者は詐欺を疑うことなく機密文書を共有する可能性がはるかに高くなります。

HTTP GET POST攻撃が最も可能性の高い原因です。このシナリオにおける重要な指標は、測定単位と動作、すなわち毎秒3億9800万件のリクエストです。CEHに準拠したDoSおよびDDoS対策では、SYNフラッドのようなボリューム型ネットワーク層攻撃は通常、毎秒のパケット数または毎秒のビット数で議論され、主にレイヤー3およびレイヤー4の接続テーブルまたは帯域幅を枯渇させます。対照的に、HTTPフラッドはレイヤー7を標的とし、攻撃者が大量の一見有効なWebリクエストを送信するため、一般的に毎秒のリクエスト数で測定されます。これにより、Webサーバー、アプリケーションスタック、およびリバースプロキシ、ロードバランサー、APIゲートウェイなどのアップストリームコンポーネントが過負荷になり、パフォーマンスの低下やセッションの切断につながります。これはまさに「アクティブな接続が予期せず切断される」という状況です。「顧客向けプラットフォーム」および「多数の侵害されたデバイス」という記述も、多数の分散ソースが単純なIPベースのブロックを回避するために大量のHTTPリクエストレートを生成する、典型的なボットネット駆動型アプリケーション層フラッド攻撃と一致します。 TCP SACKパニック攻撃は、TCP処理に関連する脆弱性によって引き起こされるクラッシュ状態であり、リクエストレートの急増シナリオとは異なります。RST攻撃は、TCPリセットパケットを送信してセッションを切断する攻撃であり、通常、サーバーログに極端なリクエスト数として記録されることはありません。
したがって、最も有力な証拠は、アプリケーション層DDoS攻撃、すなわちサーバーおよびアプリケーションのリソースを枯渇させ、断続的なサービス停止を引き起こすことを目的としたHTTP GET POSTフラッド攻撃を裏付けている。