CISA 시험 문제 업데이트 [2023년] 정답 [Q99-Q116]을 확인하세요.

섹션: 정보 자산 보호
설명/참조:

설명/참조:
설명:
프로젝트 팀은 모든 프로젝트에서 배울 점이 있습니다. 위험 평가는 프로젝트 관리의 핵심 문제이므로 조직이 배운 교훈을 축적하고 이를 향후 프로젝트에 통합하는 것이 중요합니다. 시스템을 구현하기 전에 운영 그룹 및 기타 전문가와 함께 잠재적인 다운타임에 대한 평가를 수행해야 합니다. 제어가 제대로 작동하는지 확인하는 것은 승인 테스트 단계에서 다루어야 하며, 구현 후 검토에서도 다룰 수 있습니다. 향후 회귀 테스트를 위해 테스트 데이터를 보관해야 합니다.

설명/참조:
설명:
발신자가 개인 키로 암호화된 메시지와 메시지 해시를 모두 보내면 수신자는 발신자의 공개 키를 해시에 적용하여 메시지 해시를 얻을 수 있습니다. 수신자는 수신한 메시지에 해싱 알고리즘을 적용하여 해시를 생성할 수 있습니다. 수신자는 생성된 해시와 수신된 해시를 일치시킴으로써 특정 발신자가 메시지를 보냈는지, 즉 진위 여부와 메시지가 도중에 변경되지 않았는지 확인할 수 있습니다. 먼저 발신자의 개인 키를 사용한 다음 수신자의 공개 키를 사용하여 메시지를 암호화함으로써 진위성과 개인정보 보호가 보장됩니다. 수신자의 공개 키를 사용하여 메시지를 암호화하고 메시지 해시/해독을 전송하면 개인 정보 보호 및 무결성을 보장할 수 있습니다. 발신자의 개인 키를 사용하여 메시지를 암호화하면 부인 방지만 보장할 수 있습니다. 누구나 사용할 수 있는 발신자의 공개 키는 메시지를 해독할 수 있으므로 프라이버시를 보장하지 않습니다.

정보는 비즈니스 목표를 달성하는 데 있어 민감도와 중요도가 다양합니다. 정보 리소스에 등급 또는 민감도 및 중요도 수준을 할당함으로써 경영진은 할당해야 하는 액세스 제어 수준에 대한 가이드라인을 설정할 수 있습니다. 최종 사용자 관리자와 보안 관리자는 위험 평가 프로세스에서 이러한 분류를 사용하여 각 자산에 지정된 등급을 할당합니다.

설명/참조:
NOT은 질문에 사용된 키워드입니다. PBX와 관련이 없는 위험을 찾아야 합니다. 옵션에 나열된 모든 위험은 PBX와 연관되어 있습니다.
PBX 전화 시스템의 위협은 공격자의 목표에 따라 다양하며 다음과 같은 것들이 있습니다:
서비스 도용 - 통행료 사기는 공격자의 가장 일반적인 동기 중 하나입니다.
정보 공개 - 고의 또는 우발적인 사고로 인해 승인 없이 공개되는 데이터입니다.
대화 도청, 라우팅 및 주소 데이터에 대한 무단 액세스 등이 그 예입니다.
데이터 수정 - 데이터를 기록, 삭제 또는 수정하여 의미 있는 방식으로 변경한 경우. 예를 들어 침입자가 청구 정보를 변경하거나 시스템 테이블을 수정하여 추가 서비스를 받을 수 있습니다.
무단 액세스 - 권한이 없는 사용자가 시스템 리소스 또는 권한에 액세스할 수 있도록 허용하는 행위입니다.
서비스 거부 - 시스템이 의도된 목적에 따라 작동하지 못하게 하는 행위. 장비 또는 개체가 작동하지 않거나 성능이 저하된 상태로 작동하도록 강제할 수 있으며, 적시성에 의존하는 작업이 지연될 수 있습니다.
트래픽 분석 - 침입자가 발신자와 수신자 번호, 메시지 빈도 및 길이 등 통화 관련 정보를 관찰하고 추론하는 수동적 공격의 한 형태입니다. 예를 들어, 침입자가 회사의 법무 부서와 특허 사무소 간의 통화량이 많은 것을 관찰하고 특허가 출원되고 있다고 결론을 내릴 수 있습니다.
다음은 오답입니다:
옵션에 제시된 모든 위험은 PBX와 관련이 있습니다. 따라서 다른 옵션은 유효하지 않습니다.
이 질문을 만드는 데 사용된 참조 자료는 다음과 같습니다:
CISA 검토 매뉴얼 2014 페이지 번호356

설명/참조:
설명:
허브는 단일 LAN의 두 세그먼트를 연결하는 장치입니다. 허브는 리피터입니다. 동일한 LAN의 모든 세그먼트에 있는 사용자에게 투명한 연결을 제공합니다. 레벨 1 장치입니다.
오답입니다:
A. 브리지는 OSI 계층의 레벨 2에서 작동하며 서로 다른 프로토콜(예: 이더넷과 토큰 네트워크 가입)을 사용하는 두 개의 LAN을 연결하여 논리적 네트워크를 형성하는 데 사용됩니다.
B. 레벨 7 장치인 게이트웨이는 LAN을 WAN에 연결하는 데 사용됩니다.
C. LAN은 네트워크 계층에서 작동하는 라우터를 사용하여 MAN과 연결됩니다.

섹션: 정보 자산 보호

섹션: 정보 자산 보호
설명:
IT 리스크를 평가하려면 정성적 또는 정량적 리스크를 사용하여 위협과 취약성을 평가해야 합니다.
평가 접근 방식을 선택합니다. 선택 사항 B, C, D는 위험 평가 프로세스에 잠재적으로 유용한 입력입니다,
하지만 그것만으로는 충분하지 않습니다. 과거 손실에 근거한 평가는 다음을 적절히 반영하지 못합니다.
회사의 IT 자산, 프로젝트, 제어 및 전략 환경에 불가피한 변화를 가져올 수 있습니다. 또한
평가할 수 있는 손실 데이터의 범위와 품질에 문제가 있을 가능성이 높습니다. 비교 가능
조직마다 IT 자산, 제어 환경 및 전략적 상황에 차이가 있을 수 있습니다.
따라서 손실 경험은 조직의 IT 리스크를 직접 평가하는 데 사용할 수 없습니다. 제어
감사 중에 식별된 취약점은 위협 노출을 평가하는 데 관련이 있으며 추가 분석이 필요할 수 있습니다.
위협 가능성을 평가하는 데 필요합니다. 감사 범위의 범위에 따라 다음 사항이 포함되지 않을 수 있습니다.
모든 중요한 IT 자산과 프로젝트는 최근에 감사를 받았을 것이며, 충분한 양의
전략적 IT 위험 평가

설명/참조:
자동 통화 분배를 통해 수신 통화를 다음 사용 가능한 상담원에게 분배하거나 상담원이 대기 중일 때까지 보류하도록 PBX를 구성할 수 있습니다.
시험을 위해 아래에 언급된 PBX 기능 및 위험에 대해 알아두어야 합니다:
시스템 특징
설명
위험
자동 통화 분배
수신 통화를 사용 가능한 다음 상담원에게 분배하거나 상담원이 대기 중일 때까지 보류하도록 PBX를 구성할 수 있습니다.
트래픽 태핑 및 제어
착신 전환
특정 조건에 따라 착신 전환할 대체 번호 지정 허용 사용자 추적
계정 코드
익숙해졌습니다:
적절한 과금을 위해 특정 사람 또는 특정 프로젝트의 통화 추적 전화 접속 시스템 액세스(사용자가 외부에서 전화를 걸어 PBX의 일반 기능에 액세스) 사용자가 다른 기능 집합에 액세스할 수 있도록 사용자 서비스 클래스 변경(예: 재정의 기능)
사기, 사용자 추적, 비인가 기능
액세스 코드
기존 아날로그 전화기와 같이 간단한 기기를 사용하는 사용자의 경우 특정 기능에 액세스할 수 있는 키입니다.
승인되지 않은 기능
자동 모니터링
다른 통화를 조용히 모니터링
도청
회의
여러 사용자 간의 대화 허용
회의에 원치 않는/알 수 없는 당사자를 추가하여 도청하기
오버라이드(인트루드)
다른 사용자에게 중요한 메시지를 알리기 위해 통화 중인 회선에 침입할 수 있는 가능성 제공 도청
자동 응답
일반적으로 호출 시 계측기가 자동으로 이동하도록 허용하면 감사 또는 시각적 경고가 표시되며 쉽게 끌 수 있습니다.
다양한 목적으로 평소에는 얻을 수 없는 정보 얻기
테넌트
시스템 사용자 액세스를 동일한 테넌트 그룹에 속한 사용자로만 제한 - 한 회사가 건물의 일부를 다른 회사에 임대하고 테넌트가 직원, 간선 등을 공유하는 경우 유용 불법 사용, 사기, 도청 방지
음성 메일
메시지를 중앙에 저장하고 비밀번호를 사용하여 내부 또는 외부 회선에서도 검색할 수 있습니다.
침입자가 사용자의 비밀번호를 알고 있거나 발견한 경우 사용자의 모든 메시지 공개 또는 파괴, 긴 메시지 또는 내장된 코드를 통해 음성 메일 시스템 및 전체 스위치의 비활성화, 외부 회선에 대한 불법 액세스.
개인 정보 공개
여러 장치 간에 공유 확장 프로그램을 지원하여 한 번에 하나의 장치에서만 확장 프로그램을 사용할 수 있도록 합니다. 개인정보 보호 릴리스는 이미 사용 중인 확장 프로그램에 디바이스가 연결할 수 있도록 허용하여 보안을 비활성화합니다.
도청
바쁜 내선 번호 없음
사용 중인 내선 번호가 회의 중이고 이미 통화 연결이 해제된 경우 해당 내선 번호로 걸려온 전화를 회의에 추가할 수 있습니다.
진행 중인 회의 엿듣기
진단
정상적인 통화 제한 절차를 우회할 수 있습니다. 이러한 종류의 진단은 연결된 모든 장치에서 사용할 수 있습니다. 일반적인 유지 관리 단말기 또는 보조 진단 외에 별도의 기능입니다.
사기 및 불법 사용
캠프온 또는 통화 대기
활성화하면 다른 통화를 수신 중인 오프훅 기기에 시각적 청각 경고를 보냅니다.
이 기능의 또 다른 옵션은 통화 중이거나 통화 대기 중인 사람과 회의하여 전화를 받은 사람이 자신도 모르게 회의의 당사자가 되게 하는 것입니다.
전용 연결
일반 다이얼링 시퀀스를 사용하지 않고 PBX를 통해 연결합니다. 장치 간에 핫라인을 만드는 데 사용할 수 있습니다. 즉, 다른 장치가 연결이 끊어지면 한 장치가 울립니다. 또한 장치와 중앙 처리 시설 간의 데이터 연결에도 사용됩니다.
통화 도청
다음은 오답입니다:
착신 전환 - 특정 조건에 따라 착신 전환할 대체 번호를 지정할 수 있습니다.
테넌트 지정 - 한 회사가 건물의 일부를 다른 회사에 임대하고 테넌트가 직원, 간선 등을 공유할 때 유용한 동일한 테넌트 그룹에 속한 사용자로만 시스템 사용자 액세스를 제한합니다.
음성 메일 - 메시지를 중앙에 저장하고 비밀번호를 사용하여 내부 또는 외부 회선에서도 검색할 수 있습니다.
이 질문을 만드는 데 사용된 참조 자료는 다음과 같습니다:
CISA 검토 매뉴얼 2014 페이지 번호 358