脆弱性スキャンは、システム構成とソフトウェアバージョンをデータベースと比較することで、既知の脆弱性を特定します。これは基本的に受動的なものであり、脆弱性が悪用可能かどうかを確認するものではありません。
しかし、侵入テストは現実世界の攻撃をシミュレートするものです。脆弱性を積極的に悪用し、権限を昇格させ、機密データにアクセスすることで、より現実的なリスク像を把握することができます。
参考資料 - CEH v13 公式学習ガイド：
モジュール1：倫理的ハッキング入門
引用：
「侵入テストは、脆弱性の特定にとどまらず、弱点を積極的に悪用して、組織に対する実際のリスクと潜在的な影響を評価します。」 間違った選択肢:
A) スキャンはポートスキャン以上のことを行います。
C) 侵入テストは多くの場合、手作業で詳細に行われます。
D) 違いはデータベースの規模だけではなく、方法論にある。

CEH v13ガイドからの包括的かつ詳細な説明：
ネットワークタイムプロトコル（NTP）は、Linuxサーバーを含むシステムがタイムサーバーと時刻を同期するために使用されます。NTPが失敗すると、時刻のずれが生じ、ログ記録が不正確になり、セキュリティ監視に影響が出る可能性があります。
CEH v13 リファレンス:
モジュール17：IDS、ファイアウォール、ハニーポットの回避 - ログ改ざん
「正確な時刻管理は、適切なログ記録と相関分析に不可欠です。NTPは、ホスト間でシステム時刻が同期されることを保証します。」

正解はBです。リクエストレート制限のないAPIでは、自動化されたクライアント、ボット、またはスクリプトがアプリケーションエンドポイントから大量のデータを繰り返しリクエストできてしまうためです。CEHのWebアプリケーションハッキングの概念では、Webアプリケーションはフロントエンドとバックエンドの処理を通じてクライアントにサービスを公開し、APIはアプリケーションデータへの直接インターフェースとしてよく使用されます。レート制限、スロットリング、ページネーション制御、クォータの強制、または異常検出が存在しない場合、攻撃者はレコードを列挙したり、ユーザープロファイルを収集したり、製品データを取得したり、価格情報を抽出したり、機密性の高いビジネスデータを大規模にスクレイピングしたりすることができます。この脆弱性は、クライアント側のスクリプトインジェクションが説明されていないため、XSSではありません。悪意のあるデータベースクエリ入力がないため、SQLインジェクションでもありません。攻撃者が被害者のブラウザに認証済みリクエストの送信を強制していないため、CSRFでもありません。欠落している制御により、自動化されたAPIアクセスが繰り返し可能になるため、データスクレイピングが最適な回答となります。レート制限は、クライアントコードだけでなく、サーバー側でも強制する必要があります。