2023無料ISC SSCP試験練習資料集[Q459-Q482]を取得する

セクションアクセス・コントロール
説明／参照
答え予防的／管理的ペアリング：これらの仕組みには、組織の方針や手続き、雇用前の身元調査、厳格な雇用慣行、雇用契約、友好的・非友好的な従業員の解雇手続き、休暇のスケジュール管理、機密資料のラベル付け、監督強化、セキュリティ意識向上トレーニング、行動意識向上、情報システムやネットワークへのアクセス取得のためのサインアップ手続きなどが含まれる。
出典KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide：The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, 2001, John Wiley & Sons, Page 34.

光ファイバー・ケーブルには、テフロンやPVCでできた外側の絶縁ジャケット、ケーブルを強化し断線を防ぐケブラー繊維、ファイバー・センターのクッションに使われるプラスチック・コーティングがある。ケーブルの中心（コア）は、ガラス繊維またはプラスチック繊維でできています。
出典ANDRESS, Mandy, Exam Cram CISSP, Coriolis, 2001, Chapter 3: Telecommunications and Network Security (page 31).

説明／参照
光ファイバー・ケーブルには、テフロンやPVCでできた外側の絶縁ジャケット、ケーブルを強化し断線を防ぐケブラー繊維、ファイバー・センターのクッションに使われるプラスチック・コーティングがある。ケーブルの中心（コア）は、ガラス繊維またはプラスチック繊維でできています。
出典ANDRESS, Mandy, Exam Cram CISSP, Coriolis, 2001, Chapter 3: Telecommunications and Network Security (page 31).

RFC2828（インターネットセキュリティ用語集）では、SKIP（Simple Key Management for Internet Protocols）を次のように定義している：
IPパケット内のデータを暗号化するために使用されるセッション・キーを伝達するために、ハイブリッド暗号化を使用する鍵配布プロトコル。
SKIPはSSLに似たハイブリッド鍵配布プロトコルであるが、長期鍵を一度確立し、 セッション毎に鍵を確立したり交換したりするために事前の通信を必要としない点が異なる。したがって、コネクションのセットアップのオーバーヘッドは存在せず、 新しい鍵の値が継続的に生成されることもない。SKIPは、自身の秘密鍵または秘密コンポーネントと、宛先の公開コンポーネントの知識を 使用し、両者間でのみ使用可能な一意の鍵を計算する。
IKEはInternet Key Exchangeの略で、内部的にISAKMPとOAKLEYを利用している。インターネット鍵交換（IKEまたはIKEv2）は、IPsecプロトコルスイートでセキュリティアソシエーション（SA）を設定するために使用されるプロトコルである。IKE は OAKLEY プロトコルと ISAKMP をベースにしている。IKEは認証にX.509証明書を使用し、暗号鍵の元となる共有セッションシークレットを設定するためにDiffie-Hellman鍵交換を使用する。
以下は不正解である：
ISAKMP はインターネット IPsec プロトコルで、特定の鍵生成技術、鍵確立プロトコル、暗号化アルゴリズム、認証メカニズムの詳細とは無関係に、セキュリティアソシエーションをネゴシエート、確立、修正、削除し、鍵生成と認証データを交換する。
IKEは、インターネット、IPsec、鍵確立プロトコル(一部はOAKLEYに基づく)であり、ISAKMPやAHやESPなどの他のセキュリティアソシエーションで使用する認証された鍵素材を設置することを目的としている。
IPsecの鍵交換（IKE）はあくまで引き立て役だ。
この質問に使用した参考文献
SHIREY, Robert W., RFC2828: Internet Security Glossary, may 2000. および http://en.wikipedia.org/wiki/Simple_Key-Management_for_Internet_Protocol and http://en.wikipedia.org/wiki/Simple_Key-Management_for_Internet_Protocol

残留リスクとは、「管理策を実施した後に残るセキュリティリスク」 ISO/IEC TR 13335-1 ITセキュリティ管理のためのガイドライン（GMITS）、パート1：ITセキュリティの概念とモデル、1996年「脅威によって悪用される可能性のある資産の弱点」が脆弱性である。「望ましくないインシデントの結果」がインパクトである。リスク分析を行った後に残るリスクはディストラクター（distracter）である。
リスクは決して排除することも回避することもできないが、軽減したり、移したり、受け入れたりすることはできる。例えば、アンチウイルスを導入するなどの対策を施した後でも。しかし、それでもシステムがウイルス対策によって保護されるとは限らない。

階層型ストレージ管理(HSM)は、継続的なオンライン・ストレージ管理を提供します。
WORMに似た光学式またはテープ式の "ジュークボックス "を使ったバックアップ。
出典KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide：をマスターする
10 Domains of Computer Security, 2001, John Wiley & Sons, Page 71.

セクションアクセス・コントロール
説明／参照
すべての秘密鍵が保持され、認証はKerberos TGSと認証サーバーで実行されるため、これらのサーバーは物理的攻撃と悪意のあるコードからの攻撃の両方に対して脆弱である。
クライアントのパスワードはサービスプロトコルのKerberosリクエストの開始時に使用されるので、パスワードの推測はクライアントになりすますために使用できる。
出典KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide：The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, 2001, John Wiley & Sons, Page 42.

セクションアクセス・コントロール
説明／参照
Radius、TACACS、およびDIAMETERは、認証、認可、およびアカウンティング（AAA）サーバーに分類される。
出典TIPTON, Harold F. & KRAUSE, MICKI, Information Security Management Handbook, 4th Edition, Volume 2, 2001, CRC Press, NY, Page 33.
も参照のこと：
AAA」という用語がよく使われるが、これは［AICの3要素の］Authentication（認証）、Authorization（認可）、Accountability（説明責任）という基本概念を表している。AAA の頭字語から抜けているのは、3 つの「A」が続く前に必要な Identification である。Identityは主張であり、AuthenticationはIdentityを証明し、AuthorizationはIdentificationとAuthenticationが行われた後にシステム上で実行できるアクションを記述し、Accountabilityはユーザがそのアクションに対して責任を持つことを示す。
参考文献CISSP Study Guide, Conrad Misenar, Feldman p. 10-11, (c) 2010 Elsevier.

セクションアクセス・コントロール
説明／参照
ベル-ラパデュラ・モデルは、データの軍事的分類に基づく情報セキュリティの機密性モデルであり、クリアランスを持つ人々や、分類または機密性モデルを持つデータに関するものである。Bibaモデル、Clark-Wilsonモデル、Brewer-Nashモデルは完全性に関するモデルである。
出典HARE, Chris, Security Architecture and Models, Area 6 CISSP Open Study Guide, January 2002.

説明／参照
最小特権の原則とは、ユーザーに必要なアクセスだけを許可し、それ以 上は許可しないというものである。したがって、特定のユーザーは、特定のシステム上のどのファイルにもアクセスする必要がないかもしれません。
以下の答えは間違っている：
ユーザーはすべてのシステムにアクセスできる。最小特権の原則は、ユーザーがアクセスできるものとシステムを制限しますが、すべてのユーザーがすべてのシステムにアクセスするために知る必要があるわけではありません。最良の答えは、ユーザが知る必要のある情報のみにアクセスできるということです。
ポジションが変わると、ユーザーは新しい権限を得る。ユーザが新しい特権を必要とすることは事実であるが、これは絶対的な事実ではなく、実際にはユーザは新しいポジションに対してより少ない特権しか必要としないかもしれない。最小特権の原則は、そのポジションに必要な権限を綿密に評価し、可能であれば権限を取り消すことを要求する。
権限のクリープ。オーソライゼーションのクリープは、新しい役職や責任に伴い、ユーザが追加的な権限を与えられた場合に発生する。最小特権の原則は、実際には権限クリープを防ぐべきである。
この問題を作成するために、以下の参考文献を使用しました：
ISC2 OIG 2007 p.101,123
ション・ハリス AIO v3 p148, 902-903

説明／参照
MD5は、入力メッセージから128ビットのメッセージダイジェストを生成する一方向ハッシュ関数で、4ラウンドの変換を経る。MD5はインターネット標準（RFC1312）として規定されている。
この質問に使用した参考文献
TIPTON、Hal、(ISC)2、CISSP試験プレゼンテーション入門。

セクションアクセス・コントロール
説明／参照
Kerberosチケットは、信頼できる第三者によって発行される。これは暗号化されたデータ構造であり、サービス暗号鍵を含む。その意味では公開鍵証明書に似ている。ただし、チケットは鍵ではありません。
以下の答えは間違っている：
公開鍵である。Kerberosのチケットは公開されないので、PKIの公開鍵とは違う。
秘密鍵。Kerberosチケットは公には共有されないが、秘密鍵ではない。秘密鍵は、Kerberosでは使用されない非対称暗号システムに関連付けられている。Kerberosは対称暗号システムのみを使用する。
秘密鍵証明書。これは欠点である。秘密鍵証明書などというものは存在しない。

セクションネットワークと電気通信
説明／参照
リンク暗号化を使用する場合、パケットは各ホップで復号化され、再度暗号化されなければならない。
情報が旅の端から端まで暗号化され続けるのは、リンク暗号化ではなくエンド・ツー・エンド暗号化の特徴である。
リンク暗号化とエンド・ツー・エンド暗号化の比較
リンク暗号化は、ヘッダやトレーラを含むパケット全体を暗号化し、各ホップで復号化する必要がある。
エンド・ツー・エンドの暗号化はIPプロトコル・ヘッダを暗号化しないので、各ホップで復号化する必要はない。
参考文献オール・イン・ワン、735ページおよび用語集
そして
出典WALLHOFF, John, CBK#5 Cryptography (CISSP Study Guide), April 2002 (page 6)。

説明／参照
メモリーカードとスマートカードの主な違いは、情報処理能力である。メモリーカードは情報を保持するが、情報を処理することはできない。スマートカードは情報を保持し、その情報を実際に処理するのに必要なハードウェアとソフトウェアを持っている。
メモリーカードは、ユーザーの認証情報を保持しており、ユーザーはユーザーIDや暗証番号を入力し、メモリーカードをシステムに提示するだけでよい。入力された情報と記憶された情報が一致し、認証サービスによって承認されれば、そのユーザーは認証される。
メモリーカードの一般的な例は、ビルへの入館に使われるスワイプカードである。利用者は暗証番号を入力し、メモリーカードをカードリーダーに通す。この組み合わせが正しければ、リーダが緑色に点滅し、ドアを開けて建物に入ることができる。
メモリーカードもコンピューターで使用できるが、情報を処理するためのリーダーが必要だ。リーダは、特に各コンピュータに1つずつ必要な場合、プロセスにコ ストを追加する。さらに、PIN とカード生成のオーバーヘッドが、認証プロセス全体にさらなるオーバー ヘッドと複雑さを加える。しかし、メモリー・カードは、攻撃者がカードを入手し、正しいPINを知る必要があるため、パスワードのみを使用するよりも安全な認証方法を提供する。
管理者と経営陣は、メモリ・カード導入のコストとメリット、および組織のセキュリティ・ニーズを比較検討し、それが自分たちの環境に適した認証メカニズムであるかどうかを判断する必要がある。
メモリーカードの最も一般的な弱点のひとつは、カードに保存されたデータが保護されないことだ。
カード上の暗号化されていないデータ（または磁気ストリップに保存されているデータ）は、抜き取られたりコピーされたりする可能性がある。セキュリティ・コントロールとロジックが集積回路に組み込まれているスマート・カードとは異なり、メモリー・カードは、データを暴露から保護する固有のメカニズムを採用していない。
メモリーカード上の情報の機密性と完全性については、ほとんど信頼できない。
以下の答えは間違っている：
「スマート・カードは二要素認証を提供するが、メモリー・カードは提供しない」は誤りである。これは必ずしも正しくない。メモリーカードは、暗証番号やパスワードと組み合わせることで、「持っているもの」と「知っているもの」の二要素認証を実現することができる。
「メモリーカードは通常、スマートカードよりも多くのメモリーを搭載している」は誤りです。メモリーカードはスマートカードより多くのメモリーを搭載しているかもしれないし、搭載していないかもしれませんが、これは問題に対する最良の答えではないことは確かです。
「ATMカードに使用できるのはICカードのみ」は誤り。これは特定の機関の決定によるものであり、質問のベストアンサーではない。
この質問に使用した参考文献
Shon Harris, CISSP All In One, 6th edition, Access Control, Page 199, また、Kindle版をお使いの方は、Locations 4647-4650をご覧ください。
Schneiter, Andrew (2013-04-15).Official (ISC)2 Guide to the CISSP CBK, Third Edition : Access Control ((ISC)2 Press) (Kindle Locations 2124-2139).Auerbach Publications.Kindle 版.

Kerberosチケットは、信頼できる第三者によって発行される。これは暗号化されたデータ
構造体であり、サービス暗号鍵を含む。その意味では、公開鍵暗号化方式に似ている。
証明書。しかし、チケットは鍵ではない。
以下の答えは間違っている：
公開鍵。Kerberosのチケットは公開されないので、PKIの公開鍵とは異なる。
キーだ。
秘密鍵。Kerberosチケットは公には共有されないが、秘密鍵ではない。
秘密鍵は、Kerberosでは使用されない非対称暗号システムに関連付けられている。
Kerberosは対称暗号システムのみを使用する。
秘密鍵証明書。これは欠点である。秘密鍵というものは存在しない
証明書

セクションネットワークと電気通信
説明／参照
ファイアウォールの使用は、外部接続を持つローカル・エリア・ネットワーク（LAN）を保護するための必須条件であり、これがなければ詐欺師からの真の保護はできない。
以下の答えは間違っている：
ダイヤルアップ。一度接続が確立されると、この方法ではほとんど保護されないからだ。
パスワードを使用することはできません。パスワードをクラックするツールは存在するし、いったんユーザーが認証されて外部接続に接続すれば、パスワードは着信TCPパケットに対する保護にはならないからだ。
光ファイバー。外部接続からの保護がないため、これは正しくない。

説明／参照
運用管理とは、ハードウェア、使用メディア、およびこれらのリソースを使用するオペレーターに対する管理である。
業務管理とは、人によって実施・実行される管理であり、多くの場合手順である。
バックアップとリカバリ、コンティンジェンシープランニング、オペレーション手順はオペレーションコントロールである。
監査は管理統制／検知統制とみなされる。しかし、システム上で実際に実施される監査メカニズムは、運用上の統制とみなされる。

これは有効なクラスAの予約アドレスである。クラスAでは、予約アドレスは10.0.0.0～10.255.255.255です。
以下の答えは間違っている：
11.0.42.5
クラスAの予約アドレスではないので正しくない。
12.0.42.5
クラスAの予約アドレスではないので正しくない。
13.0.42.5
クラスAの予約アドレスではないので正しくない。
プライベートIPアドレスの範囲はRFC1918で定義されている：RFC 1918 プライベートIPアドレス範囲

参考文献3Com http://www.3com.com/other/pdfs/infra/corpinfo/en_US/501302.pdf
AIOv3 テレコミュニケーションとネットワーキングのセキュリティ (438 ページ)

L2TPとPPTPはどちらも個々のクライアントとサーバーの接続用に設計されたもので、セッションごとに1つのポイント・ツー・ポイント接続しかできません。ダイヤルアップVPNではL2TPがよく使われます。L2TPとPPTPはどちらもOSIモデルのデータリンクレイヤー(レイヤー2)で動作します。PPTPはネイティブのPPP認証と暗号化サービスを使い、L2TPはPPTPとレイヤー2転送プロトコル(L2F)を組み合わせたものです。
出典KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide：The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, John Wiley & Sons, 2001, Chapter 3: Telecommunications and Network Security (page 95).

セクションアクセス・コントロール
説明／参照
統制は、機密情報にアクセスする個人に対する説明責任を提供する。この説明責任は、識別と認証を必要とするアクセス制御の仕組み及び監査機能を通じて達成される。これらの管理は、組織のセキュリティポリシーに準拠し、これを正確に表すものでなければならない。保証手順は、情報システムのライフサイクル全体にわたって、管理メカニズムがセキュリ ティポリシーを正しく実装していることを保証する。
出典KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide：The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, 2001, John Wiley & Sons, Page 33.

フォルダのディレクトリの内容を表示すると、リストされた各ファイルの最終アクセス時間が変更されることがあります。
なぜなら、書き込みブロッカーを使用することで、ホスト上のデータを変更することができなくなり、ホストがハードドライブに書き込むことができなくなるからです。
フルディスク・イメージを作成することで、削除されたファイルやファイルの断片を含め、ハードディスク上のすべてのデータを保存することができるからだ。
ログファイル用のメッセージダイジェストを作成するのは間違っています。メッセージダイジェストとは、ファイルの完全性が損なわれていないことを証明する暗号チェックサムのことです（例えば、ログファイルの内容の変更）。
ドメイン法律、規制、コンプライアンス、調査
参考文献AIO 第 3 版、783-784 ページ NIST 800-61 コンピュータセキュリティインシデント処理ガイド 3-18 から 3-20 ページ

ソフトウェアライセンス違反を防止・検出する最善の方法は、使用中のPCをLANから、あるいは直接スキャンして、未許可のソフトウェアコピーがPCにロードされていないことを定期的に確認することである。
他のオプションは検出されない。
企業方針は、必ずしも全従業員に実施され、遵守されるとは限らない。
ソフトウェアは、フロッピーやCD-ROM以外の手段（LANやインターネットからのダウンロード）からもインストールでき、ソフトウェア・メータリングは登録されたアプリケーションにのみ関係する。出典出典：情報システム監査統制協会、公認情報システム監査人 2002 年レビューマニュアル、第 3 章：技術基盤および運用実務（108 ページ）。