Erhalten Sie 2023 freie ISC SSCP Prüfung Praxis Materialien Sammlung [Q459-Q482]

Abschnitt: Zugangskontrolle
Erläuterung/Referenz:
Die Antwort: Vorbeugende/administrative Maßnahmen: Zu diesen Mechanismen gehören Organisationsrichtlinien und -verfahren, Hintergrundüberprüfungen vor der Einstellung, strenge Einstellungspraktiken, Arbeitsverträge, Verfahren zur freundlichen und unfreundlichen Beendigung des Arbeitsverhältnisses, Urlaubsplanung, Kennzeichnung sensibler Materialien, verstärkte Überwachung, Schulungen zum Sicherheitsbewusstsein, Verhaltensbewusstsein und Anmeldeverfahren für den Zugang zu Informationssystemen und Netzwerken.
Quelle: KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, 2001, John Wiley & Sons, Seite 34.

Glasfaserkabel haben einen äußeren Isoliermantel aus Teflon oder PVC, Kevlarfasern, die das Kabel verstärken und einen Bruch verhindern, und Kunststoffbeschichtungen, die das Faserzentrum abfedern. Das Zentrum (Kern) des Kabels besteht aus Glas- oder Kunststofffasern.
Quelle: ANDRESS, Mandy, Exam Cram CISSP, Coriolis, 2001, Kapitel 3: Telekommunikation und Netzwerksicherheit (Seite 31).

Erläuterung/Referenz:
Glasfaserkabel haben einen äußeren Isoliermantel aus Teflon oder PVC, Kevlarfasern, die das Kabel verstärken und einen Bruch verhindern, und Kunststoffbeschichtungen, die das Faserzentrum abfedern. Das Zentrum (Kern) des Kabels besteht aus Glas- oder Kunststofffasern.
Quelle: ANDRESS, Mandy, Exam Cram CISSP, Coriolis, 2001, Kapitel 3: Telekommunikation und Netzwerksicherheit (Seite 31).

RFC 2828 (Internet Security Glossary) definiert Simple Key Management for Internet Protocols (SKIP) als:
Ein Schlüsselverteilungsprotokoll, das hybride Verschlüsselung verwendet, um Sitzungsschlüssel zu übermitteln, die zur Verschlüsselung von Daten in IP-Paketen verwendet werden.
SKIP ist ein hybrides Schlüsselverteilungsprotokoll, das SSL ähnelt, mit dem Unterschied, dass es einmalig einen langfristigen Schlüssel erstellt und dann keine vorherige Kommunikation für die Erstellung oder den Austausch von Schlüsseln auf Sitzungsbasis erfordert. Daher gibt es keinen Overhead für den Verbindungsaufbau und es werden nicht ständig neue Schlüsselwerte erzeugt. SKIP verwendet die Kenntnis des eigenen geheimen Schlüssels oder der privaten Komponente und der öffentlichen Komponente des Ziels, um einen eindeutigen Schlüssel zu berechnen, der nur zwischen ihnen verwendet werden kann.
IKE steht für Internet Key Exchange, es verwendet intern ISAKMP und OAKLEY. Internet Key Exchange (IKE oder IKEv2) ist das Protokoll, das zur Einrichtung einer Sicherheitsassoziation (SA) in der IPsec-Protokollsuite verwendet wird. IKE baut auf dem Oakley-Protokoll und ISAKMP auf. IKE verwendet X.509-Zertifikate zur Authentifizierung und einen Diffie-Hellman-Schlüsselaustausch, um ein gemeinsames Sitzungsgeheimnis einzurichten, aus dem kryptografische Schlüssel abgeleitet werden.
Die folgenden Antworten sind falsch:
ISAKMP ist ein Internet-IPsec-Protokoll zum Aushandeln, Herstellen, Ändern und Löschen von Sicherheitsassoziationen und zum Austausch von Schlüsselerzeugungs- und Authentifizierungsdaten, unabhängig von den Einzelheiten einer bestimmten Schlüsselerzeugungstechnik, eines Schlüsselherstellungsprotokolls, eines Verschlüsselungsalgorithmus oder eines Authentifizierungsmechanismus.
IKE ist ein Internet-, IPsec- und Schlüsselaufbauprotokoll (teilweise auf der Grundlage von OAKLEY), das dazu dient, authentifiziertes Schlüsselmaterial für die Verwendung mit ISAKMP und für andere Sicherheitsvereinigungen, wie AH und ESP, zu erstellen.
Der IPsec-Schlüsselaustausch (IKE) ist nur ein Ablenkungsmanöver.
Für diese Frage verwendete(r) Verweis(e):
SHIREY, Robert W., RFC2828: Internet Security Glossary, Mai 2000. und http://en.wikipedia.org/wiki/Simple_Key-Management_for_Internet_Protocol und http://en.wikipedia.org/wiki/Simple_Key-Management_for_Internet_Protocol

Das Restrisiko ist "das Sicherheitsrisiko, das nach der Durchführung von Kontrollen verbleibt" ISO/IEC TR 13335-1 Guidelines for the Management of IT Security (GMITS), Part 1: Konzepte und Modelle für IT-Sicherheit, 1996. "Schwachstelle einer Anlage, die von einer Bedrohung ausgenutzt werden kann" ist die Verwundbarkeit. "Das Ergebnis eines unerwünschten Vorfalls" ist die Auswirkung. Ein Risiko, das nach der Durchführung der Risikoanalyse verbleibt, ist ein Ablenkungsfaktor.
Risiken lassen sich nie ausschalten oder vermeiden, aber sie können gemildert, verlagert oder in Kauf genommen werden. Selbst nach der Anwendung von Gegenmaßnahmen wie z.B. der Installation eines Antivirus. Dennoch ist es nicht 100%, dass Systeme durch Antivirus geschützt werden.

Hierarchische Speicherverwaltung (HSM) bietet eine kontinuierliche Online
Datensicherung mit Hilfe von optischen oder Band-"Jukeboxen", ähnlich wie WORMs.
Quelle: KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide: Die Beherrschung der
Ten Domains of Computer Security, 2001, John Wiley & Sons, Seite 71.

Abschnitt: Zugangskontrolle
Erläuterung/Referenz:
Da alle geheimen Schlüssel auf dem Kerberos-TGS und den Authentifizierungsservern aufbewahrt werden und die Authentifizierung dort erfolgt, sind diese Server sowohl für physische Angriffe als auch für Angriffe durch bösartigen Code anfällig.
Da das Kennwort eines Clients bei der Initiierung der Kerberos-Anfrage für das Dienstprotokoll verwendet wird, kann das Erraten des Kennworts dazu verwendet werden, sich als Client auszugeben.
Quelle: KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, 2001, John Wiley & Sons, Seite 42.

Abschnitt: Zugangskontrolle
Erläuterung/Referenz:
Radius, TACACS und DIAMETER werden als Authentifizierungs-, Autorisierungs- und Abrechnungsserver (AAA) eingestuft.
Quelle: TIPTON, Harold F. & KRAUSE, MICKI, Information Security Management Handbook, 4th Edition, Volume 2, 2001, CRC Press, NY, Seite 33.
siehe auch:
Der Begriff "AAA" wird häufig verwendet und beschreibt die Eckpfeiler [der AIC-Trias] Authentifizierung, Autorisierung und Verantwortlichkeit. Aus dem Akronym AAA wird die Identifizierung ausgeklammert, die erforderlich ist, bevor die drei "A's" folgen können. Identität ist eine Behauptung, Authentifizierung beweist die Identität, Autorisierung beschreibt die Aktion, die Sie in einem System durchführen können, sobald Sie identifiziert und authentifiziert sind, und Verantwortlichkeit macht Benutzer für ihre Aktionen verantwortlich.
Referenz: CISSP Study Guide, Conrad Misenar, Feldman S. 10-11, (c) 2010 Elsevier.

Abschnitt: Zugangskontrolle
Erläuterung/Referenz:
Das Bell-LaPadula-Modell ist ein Vertraulichkeitsmodell für die Informationssicherheit, das auf der militärischen Klassifizierung von Daten, auf Personen mit Berechtigungen und Daten mit einem Klassifizierungs- oder Empfindlichkeitsmodell beruht. Die Modelle Biba, Clark-Wilson und Brewer-Nash befassen sich mit der Integrität.
Quelle: HARE, Chris, Security Architecture and Models, Area 6 CISSP Open Study Guide, Januar 2002.

Erläuterung/Referenz:
Das Prinzip der geringsten Privilegien bedeutet, dass Benutzer nur den Zugriff erhalten, den sie benötigen, und nicht mehr. So kann es vorkommen, dass bestimmte Benutzer keinen Zugriff auf bestimmte Dateien auf bestimmten Systemen benötigen.
Die folgenden Antworten sind falsch:
Die Benutzer können auf alle Systeme zugreifen. Obwohl das Prinzip der geringsten Privilegien den Zugang und die Systeme, zu denen Benutzer berechtigt sind, einschränkt, müssen nicht alle Benutzer wissen, dass sie auf alle Systeme zugreifen können. Die beste Antwort ist immer noch, dass die Benutzer nur auf die Informationen zugreifen können, für die sie ein Bedürfnis haben, da einige der Benutzer möglicherweise kein Bedürfnis haben, auf ein System zuzugreifen.
Benutzer erhalten neue Berechtigungen, wenn sie ihre Position wechseln. Es ist zwar richtig, dass ein Benutzer neue Privilegien benötigen kann, aber das ist keine Selbstverständlichkeit, und in Wirklichkeit kann ein Benutzer für eine neue Position weniger Privilegien benötigen. Der Grundsatz des geringsten Rechtsanspruchs würde erfordern, dass die für die Stelle erforderlichen Rechte genau geprüft werden und, wenn möglich, Rechte entzogen werden.
Ausweitung der Befugnisse. Zu einer schleichenden Ausweitung der Berechtigungen kommt es, wenn Benutzern mit neuen Positionen und Verantwortlichkeiten zusätzliche Rechte übertragen werden. Das Prinzip des geringsten Privilegs sollte eigentlich eine schleichende Ausweitung der Berechtigungen verhindern.
Die folgende(n) Referenz(en) wurde(n) zur Erstellung dieser Frage verwendet:
ISC2 OIG 2007 S.101,123
Shon Harris AIO v3 p148, 902-903

Erläuterung/Referenz:
MD5 ist eine Einweg-Hash-Funktion, die aus der Eingabemeldung über 4 Transformationsrunden einen 128-Bit-Message-Digest erzeugt. MD5 ist als Internet-Standard spezifiziert (RFC1312).
Für diese Frage verwendete(r) Verweis(e):
TIPTON, Hal, (ISC)2, Einführung in die Präsentation der CISSP-Prüfung.

Abschnitt: Zugangskontrolle
Erläuterung/Referenz:
Ein Kerberos-Ticket wird von einer vertrauenswürdigen dritten Partei ausgestellt. Es ist eine verschlüsselte Datenstruktur, die den Verschlüsselungscode des Dienstes enthält. In diesem Sinne ist es ähnlich wie ein Public-Key-Zertifikat. Das Ticket ist jedoch nicht der Schlüssel.
Die folgenden Antworten sind falsch:
öffentliche Schlüssel. Kerberos-Tickets werden nicht öffentlich zugänglich gemacht, sie sind also nicht mit einem öffentlichen PKI-Schlüssel vergleichbar.
private Schlüssel. Obwohl ein Kerberos-Ticket nicht öffentlich zugänglich ist, handelt es sich nicht um einen privaten Schlüssel. Private Schlüssel sind mit dem asymmetrischen Kryptosystem verbunden, das von Kerberos nicht verwendet wird. Kerberos verwendet nur das symmetrische Kryptosystem.
Privatschlüssel-Zertifikate. Dies ist ein Nachteil. So etwas wie ein Zertifikat mit privatem Schlüssel gibt es nicht.

Sektion: Netz und Telekommunikation
Erläuterung/Referenz:
Bei der Link-Verschlüsselung müssen die Pakete bei jedem Hop entschlüsselt und erneut verschlüsselt werden.
Informationen, die von einem Ende ihrer Reise zum anderen verschlüsselt bleiben, sind ein Merkmal der Ende-zu-Ende-Verschlüsselung, nicht der Verbindungsverschlüsselung.
Link-Verschlüsselung vs. End-to-End-Verschlüsselung
Bei der Link-Verschlüsselung wird das gesamte Paket verschlüsselt, einschließlich Header und Trailer, und muss bei jedem Hop entschlüsselt werden.
Bei der Ende-zu-Ende-Verschlüsselung werden die IP-Protokoll-Header nicht verschlüsselt und müssen daher nicht bei jedem Hop entschlüsselt werden.
Referenz: All in one, Seite 735 & Glossar
und
Quelle: WALLHOFF, John, CBK#5 Cryptography (CISSP Study Guide), April 2002 (Seite 6).

Erläuterung/Referenz:
Der Hauptunterschied zwischen Speicherkarten und Chipkarten besteht in ihrer Fähigkeit, Informationen zu verarbeiten. Eine Speicherkarte speichert Informationen, kann sie aber nicht verarbeiten. Eine Chipkarte speichert Informationen und verfügt über die notwendige Hardware und Software, um diese Informationen tatsächlich zu verarbeiten.
Auf einer Speicherkarte sind die Authentifizierungsdaten eines Benutzers gespeichert, so dass der Benutzer nur eine Benutzerkennung oder eine PIN eingeben und die Speicherkarte dem System vorlegen muss. Wenn die eingegebenen Informationen und die gespeicherten Informationen übereinstimmen und von einem Authentifizierungsdienst genehmigt werden, wird der Benutzer erfolgreich authentifiziert.
Ein gängiges Beispiel für eine Speicherkarte ist eine Durchzugskarte, die für den Zugang zu einem Gebäude verwendet wird. Der Benutzer gibt eine PIN ein und zieht die Speicherkarte durch einen Kartenleser. Ist dies die richtige Kombination, blinkt das Lesegerät grün und die Person kann die Tür öffnen und das Gebäude betreten.
Speicherkarten können auch mit Computern verwendet werden, aber sie benötigen ein Lesegerät, um die Informationen zu verarbeiten. Das Lesegerät verursacht zusätzliche Kosten, vor allem, wenn für jeden Computer ein solches benötigt wird. Außerdem wird der gesamte Authentifizierungsprozess durch den Aufwand für die PIN- und Kartenerstellung zusätzlich belastet und kompliziert. Eine Speicherkarte bietet jedoch eine sicherere Authentifizierungsmethode als die Verwendung eines Passworts, da der Angreifer sich die Karte beschaffen und die richtige PIN kennen müsste.
Administratoren und die Geschäftsleitung müssen die Kosten und Vorteile einer Speicherkarten-Implementierung sowie die Sicherheitsanforderungen des Unternehmens abwägen, um festzustellen, ob dies der richtige Authentifizierungsmechanismus für ihre Umgebung ist.
Eine der häufigsten Schwachstellen von Speicherkarten ist, dass die auf der Karte gespeicherten Daten nicht geschützt sind.
Unverschlüsselte Daten auf der Karte (oder auf dem Magnetstreifen) können extrahiert oder kopiert werden. Im Gegensatz zu einer Chipkarte, bei der die Sicherheitskontrollen und die Logik in den integrierten Schaltkreis eingebettet sind, verfügen Speicherkarten nicht über einen inhärenten Mechanismus zum Schutz der Daten vor Offenlegung.
Der Vertraulichkeit und Integrität der Informationen auf den Speicherkarten kann nur wenig Vertrauen entgegengebracht werden.
Die folgenden Antworten sind falsch:
"Smartcards bieten eine Zwei-Faktor-Authentifizierung, Speicherkarten dagegen nicht" ist falsch. Dies ist nicht unbedingt richtig. Eine Speicherkarte kann mit einer PIN oder einem Passwort kombiniert werden, um eine Zwei-Faktoren-Authentifizierung zu bieten, bei der etwas, das Sie haben, und etwas, das Sie kennen, als Faktoren verwendet werden.
Die Aussage "Speicherkarten haben normalerweise mehr Speicherplatz als Chipkarten" ist falsch. Zwar kann eine Speicherkarte mehr Speicherplatz haben als eine Chipkarte, aber das ist sicher nicht die beste Antwort auf die Frage.
"Nur Chipkarten können als Geldautomatenkarten verwendet werden" ist falsch. Dies hängt von den Entscheidungen des jeweiligen Instituts ab und ist nicht die beste Antwort auf die Frage.
Für diese Frage verwendete(r) Verweis(e):
Shon Harris, CISSP All In One, 6. Auflage, Zugriffskontrolle, Seite 199, und für Benutzer der Kindle-Ausgabe des Buches können Sie auch die Positionen 4647-4650 einsehen.
Schneiter, Andrew (2013-04-15). Offizieller (ISC)2-Leitfaden zum CISSP CBK, Dritte Ausgabe: Zugriffskontrolle ((ISC)2 Press) (Kindle-Standorte 2124-2139). Auerbach Publications. Kindle Edition.

Ein Kerberos-Ticket wird von einer vertrauenswürdigen dritten Partei ausgestellt. Es ist eine verschlüsselte Datei
Struktur, die den Verschlüsselungscode des Dienstes enthält. In diesem Sinne ist es ähnlich wie ein öffentlicher Schlüssel
Zertifikat. Das Ticket ist jedoch nicht der Schlüssel.
Die folgenden Antworten sind falsch:
öffentliche Schlüssel. Kerberos-Tickets werden nicht öffentlich zugänglich gemacht, sie sind also nicht wie ein öffentlicher PKI-Schlüssel.
Schlüssel.
private Schlüssel. Obwohl ein Kerberos-Ticket nicht öffentlich zugänglich ist, handelt es sich nicht um einen privaten Schlüssel.
Private Schlüssel sind mit dem asymmetrischen Kryptosystem verbunden, das von Kerberos nicht verwendet wird.
Kerberos verwendet nur das symmetrische Kryptosystem.
Privatschlüssel-Zertifikate. Dies ist ein Nachteil. So etwas wie einen privaten Schlüssel gibt es nicht
Zertifikat.

Sektion: Netz und Telekommunikation
Erläuterung/Referenz:
Der Einsatz einer Firewall ist eine Voraussetzung für den Schutz eines lokalen Netzwerks (LAN) mit externen Verbindungen, ohne die Sie keinen wirklichen Schutz vor Betrügern haben.
Die folgenden Antworten sind falsch:
Einwahl. Das ist nicht richtig, denn wenn die Verbindung erst einmal hergestellt ist, bietet sie nur wenig Schutz.
Passwörter. Das ist falsch, denn es gibt Tools zum Knacken von Kennwörtern, und sobald ein Benutzer authentifiziert ist und sich mit den externen Verbindungen verbindet, bieten Kennwörter keinen Schutz vor eingehenden TCP-Paketen.
Lichtwellenleiter. Dies ist falsch, da dies keinen Schutz vor der externen Verbindung bietet.

Erläuterung/Referenz:
Betriebskontrollen sind Kontrollen der Hardware, der verwendeten Medien und der Bediener, die diese Ressourcen nutzen.
Operative Kontrollen sind Kontrollen, die von Menschen implementiert und ausgeführt werden, meist sind es Verfahren.
Backup und Wiederherstellung, Notfallplanung und Betriebsverfahren sind operative Kontrollen.
Auditing wird als Verwaltungs-/Detektivkontrolle betrachtet. Die tatsächlichen Prüfmechanismen in den Systemen werden jedoch als operative Kontrollen betrachtet.

Dies ist eine gültige reservierte Adresse der Klasse A. Für Klasse A sind die reservierten Adressen 10.0.0.0 - 10.255.255.255.
Die folgenden Antworten sind falsch:
11.0.42.5
ist falsch, da es sich nicht um eine reservierte Adresse der Klasse A handelt.
12.0.42.5
ist falsch, da es sich nicht um eine reservierte Adresse der Klasse A handelt.
13.0.42.5
ist falsch, da es sich nicht um eine reservierte Adresse der Klasse A handelt.
Die privaten IP-Adressbereiche sind in RFC 1918 definiert: RFC 1918 privater IP-Adressbereich

Referenzen: 3Com http://www.3com.com/other/pdfs/infra/corpinfo/en_US/501302.pdf
AIOv3 Telekommunikations- und Netzwerksicherheit (Seite 438)

L2TP und PPTP wurden beide für individuelle Client-Server-Verbindungen entwickelt; sie ermöglichen nur eine einzige Punkt-zu-Punkt-Verbindung pro Sitzung. Einwahl-VPNs verwenden häufig L2TP. Sowohl L2TP als auch PPTP arbeiten auf der Datenübertragungsschicht (Schicht 2) des OSI-Modells. PPTP verwendet native PPP-Authentifizierungs- und Verschlüsselungsdienste und L2TP ist eine Kombination aus PPTP und dem Layer 2 Forwarding Protocol (L2F).
Quelle: KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, John Wiley & Sons, 2001, Kapitel 3: Telecommunications and Network Security (Seite 95).

Abschnitt: Zugangskontrolle
Erläuterung/Referenz:
Kontrollen sorgen dafür, dass Personen, die auf sensible Informationen zugreifen, Rechenschaft ablegen müssen. Diese Rechenschaftspflicht wird durch Zugangskontrollmechanismen, die eine Identifizierung und Authentifizierung erfordern, und durch die Audit-Funktion erreicht. Diese Kontrollen müssen mit der Sicherheitspolitik der Organisation übereinstimmen und diese genau wiedergeben. Gewährleistungsverfahren stellen sicher, dass die Kontrollmechanismen die Sicherheitspolitik während des gesamten Lebenszyklus eines Informationssystems korrekt umsetzen.
Quelle: KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, 2001, John Wiley & Sons, Seite 33.

Die Anzeige des Verzeichnisinhalts eines Ordners kann die letzte Zugriffszeit auf jede aufgelistete Datei ändern.
Die Verwendung einer Schreibsperre ist falsch, da sie sicherstellt, dass Sie die Daten auf dem Host nicht ändern können, und sie verhindert, dass der Host auf seine Festplatten schreibt.
Die Erstellung eines vollständigen Festplattenabbilds ist falsch, da bei der Erstellung eines vollständigen Festplattenabbilds alle Daten auf der Festplatte erhalten bleiben können, einschließlich gelöschter Dateien und Dateifragmente.
Die Erstellung eines Message Digest für Protokolldateien ist falsch, da ein Message Digest für Protokolldateien erstellt wird. Ein Message Digest ist eine kryptografische Prüfsumme, die nachweisen kann, dass die Integrität einer Datei nicht beeinträchtigt wurde (z. B. durch Änderungen am Inhalt einer Protokolldatei).
Bereich: RECHT, VORSCHRIFTEN, COMPLIANCE UND ERMITTLUNGEN
Referenzen: AIO 3rd Edition, Seite 783-784 NIST 800-61 Computer Security Incident Handling guide Seite 3-18 bis 3-20

Die beste Möglichkeit, Softwarelizenzverletzungen zu verhindern und zu erkennen, besteht darin, die verwendeten PCs regelmäßig zu scannen, entweder über das LAN oder direkt, um sicherzustellen, dass keine nicht autorisierten Softwarekopien auf den PC geladen wurden.
Andere Optionen sind nicht detektivisch.
Eine Unternehmensrichtlinie wird nicht unbedingt von allen Mitarbeitern durchgesetzt und befolgt.
Software kann auch von anderen Medien als Disketten oder CD-ROMs installiert werden (von einem LAN oder sogar aus dem Internet heruntergeladen), und die Softwaremessung betrifft nur registrierte Anwendungen. Quelle: Information Systems Audit and Control Association, Certified Information Systems Auditor 2002 review manual, Kapitel 3: Technical Infrastructure and Operational Practices (Seite 108).