업데이트된 PDF(신규 2024년) 실제 ISC CISSP 시험 문제 [Q534-Q556]

증거 연쇄는 누가 증거를 입수했는지, 누가 증거를 확보했는지, 누가 증거를 통제했는지를 보여줍니다.

정답은 "실현된 위협 이벤트가 특정 자산에 미칠 수 있는 손실의 비율"입니다. 정답은 "단일 이벤트에 할당된 애드달러 수치"입니다,
"다음 항목의 예상 발생 빈도를 나타내는 숫자입니다.
예상되는 위협'은 ARO이고, '위협으로 인해 조직에 예상되는 연간 재정적 손실'은 ALE입니다.

설명/참조:
설명:
지우기는 데이터 저장 미디어의 생존력을 보호하기 위해 사용되는 미디어 생존력 제어의 예가 아닙니다.
미디어 생존성 제어는 미디어의 적절한 작동 상태를 유지하고, 특히 장애 발생 후 시스템을 적시에 정확하게 복구하기 위해 구현됩니다.
데이터 저장 매체의 생존력을 보호하기 위해 여러 가지 물리적 제어 장치를 사용해야 합니다. 취급 및 운송 중 또는 단기 또는 장기 보관 중에 미디어가 손상되지 않도록 보호하는 것이 목표입니다. 시스템 복구 프로세스가 진행되는 경우 미디어에 적절한 표시와 라벨을 부착해야 합니다:
표시. 모든 데이터 저장 매체는 정확하게 표시하거나 라벨을 붙여야 합니다. 라벨은 다음과 같은 용도로 사용할 수 있습니다.

특별한 취급 지침이 있는 미디어를 식별하거나 시스템 복구 중에 검색할 수 있도록 일련 번호 또는 바코드를 기록할 수 있습니다.
취급. 미디어를 올바르게 취급하는 것이 중요합니다. 미디어 취급과 관련된 몇 가지 문제는 다음과 같습니다.

미디어의 청결 및 아카이브 사이트로의 운송 중 미디어의 물리적 손상으로부터 보호합니다.
스토리지. 미디어 보관은 보안과 환경적 측면에서 매우 중요합니다. 적절한

미디어를 보관할 때는 열과 습기가 없고 깨끗한 보관 환경을 제공해야 합니다. 데이터 미디어는 온도, 액체, 자성, 연기, 먼지에 민감합니다.
오답:
B: 마킹은 데이터 저장 미디어의 생존력을 보호하기 위해 사용되는 미디어 생존력 제어입니다.
C: 취급은 데이터 저장 미디어의 생존력을 보호하기 위해 사용되는 미디어 생존력 제어입니다.
D: 스토리지는 데이터 저장 매체의 생존력을 보호하기 위해 사용되는 미디어 생존력 제어입니다.
참조:
크루츠, 로널드 L. 및 러셀 딘 바인스, CISSP 준비 가이드: CISSP 및 ISSEP 시험 마스터하기, 2판, Wiley Publishing, 인디애나폴리스, 2004, p. 324

CISSP 문서에 따르면 조직 재해 복구 정책 내부에 정의된 실제 정의와 절차는 사적인 성격이 강합니다. 회사에서 근무하고 회사 내부에서 역할을 맡은 사람만 해당 절차에 대해 알아야 합니다. 재해 복구 절차를 외부인에게 공개하는 것은 좋은 관행이 아닙니다. 외부 사람들이 재해 복구 절차에 누가 관여하고 누가 책임이 있는지 알아야 하는 경우가 많습니다. 재해 발생 시 대체 장비를 제공하는 공급업체의 경우가 이에 해당할 수 있습니다.

시스템 재인증 및 재인증이 필요한 주된 이유는 특히 시스템의 중요한 변경 또는 업데이트 후에도 시스템의 보안 보호가 조직의 보안 정책에 적합한지 확인하기 위해서입니다. 재인증은 시스템의 보안 제어가 여전히 효과적이고 보안 정책을 준수하는지 확인하기 위해 시스템의 보안 제어를 검토하고 테스트하는 프로세스입니다. 재인증은 재인증 결과에 따라 시스템을 운영할 수 있도록 승인하는 프로세스입니다. 다른 옵션은 시스템의 보안 보호와 관련이 없거나(A 및 D), 재인증 및 재인증을 포함하지 않기 때문에 시스템 재인증 및 재인증의 주된 이유는 아닙니다(B). 참조: CISSP 올인원 시험 가이드, 8판, 10장, 633페이지; 공식 (ISC)2 CISSP CBK 참조, 5판, 10장, 695페이지.

높은 곳에서 낮은 곳으로의 정보 흐름은 * -프로퍼티로 처리됩니다.
의 벨0라파둘라 모델의 경우, 피사체는 다음을 쓸 수 없습니다.
더 높은 수준의 분류에서 더 낮은 수준의
분류. 이 속성은 감금 속성 또는 쓰기 금지 속성이라고도 합니다.
* "은밀한 채널"이라는 답변에서 은밀한 채널은 모델에서 다루지 않습니다. The Bell-
라파둘라 모델은 정상적인 채널을 통한 정보 흐름을 다루며 의도하지 않은 경로를 통한 은밀한 정보 전달은 다루지 않습니다.
"주체와 객체의 생성과 소멸"이라는 답은 이 모델에서 다루지 않습니다.
* 답변 "보안 상태 전환의 정의"는 모델에서 한 보안 상태에서 다른 보안 상태로의 보안 전환에 대해 설명하지만 보안 전환의 정의는 제공하지 않는다는 사실을 의미합니다.

설명/참조:
설명:
빨간색 상자는 공중전화에 동전을 넣는 것처럼 보이도록 신호음을 발생시켜 시스템을 속여 무료 통화를 완료하는 장치입니다. 미국에서 1달러는 두 개의 톤으로, 1니켈은 하나의 톤으로, 25센트는 5개의 톤으로 표시됩니다. 녹음된 소리를 재생할 수 있는 모든 기기는 잠재적으로 빨간색 상자로 사용될 수 있습니다.
일반적으로 사용되는 장치로는 개조된 라디오 쉑 톤 다이얼러, 개인용 MP3 플레이어, 오디오 녹음 인사말 카드 등이 있습니다. 블루박스 초기 도청 도구인 블루박스는 전화 교환원의 다이얼링 콘솔을 모방한 전자 장치입니다. 장거리 통화를 전환하는 데 사용되는 톤을 복제하고 이를 사용하여 일반적인 전환 메커니즘을 우회하여 사용자의 통화를 라우팅하는 방식으로 작동합니다.
블루박스의 가장 일반적인 용도는 무료 전화를 거는 것이었고, 반대로 블랙박스는 발신자에게 무료로 걸려오는 전화를 받을 수 있게 해 주었습니다. 현대 스위칭 시스템은 이제 디지털화되어 더 이상 블루박스가 에뮬레이션하는 인밴드 신호를 사용하지 않기 때문에 대부분의 서구 국가에서는 더 이상 블루박스가 작동하지 않습니다. 대신 발신자가 사용 중인 회선에서는 액세스할 수 없는 대역 외 채널에서 신호가 발생합니다(공통 채널 구내 신호(CCIS)라고 함). 블랙박스 블랙박스(블루박스 및 레드박스와 구별됨)는 애그뉴라고도 하며(별명의 유래는 스피로(장치) 참조), 1960년대와 1970년대에 전화 사기꾼들이 장거리 전화 통화 요금을 피하기 위해, 특히 전화를 받는 쪽에서 전화를 받을 때 수화기에서 보내는 감시 신호를 차단하기 위해 만든 장치였습니다. 전화 수화기를 들면 전화선에 부하가 걸리기 때문에 전화 연결이 끊어졌을 때의 약 45볼트 이하로 전화선의 DC 전압이 떨어지게 됩니다.
블랙박스는 전화기와 직렬로 연결된 대형 커패시터로 구성되어 있어 직류 전류는 차단하지만 교류 전류(예: 벨소리 신호 및 오디오 신호)는 통과할 수 있었습니다. 블랙박스를 전화선에 연결하면 전화 시스템이 알지 못한 채 수화기를 들고 요금 청구 프로세스를 시작할 수 있었습니다. 즉, 블랙박스가 전화 회사를 속여 수신 측에 아무도 응답하지 않았다고 생각하도록 하여 통화 요금 청구가 시작되지 않았습니다.
화이트 박스 화이트 박스는 휴대용 터치 톤 키패드입니다.
참조:
해리스, 숀, 올인원 CISSP 자격증 시험 가이드, 맥그로힐/오스본, 2001, 654페이지.
http://en.wikipedia.org/wiki/Red_box_(phreaking)
http://en.wikipedia.org/wiki/Blue_box
http://www.bombshock.com/archive/Phreaking_and_Phone_Systems/Box_Plans/

두 가지 모두 VPN을 생성하고 보호하는 데 사용할 수 있습니다. L2TP(Layer 2 터널 프로토콜)는 기존 터널링 프로토콜 두 가지의 장점을 결합한 새로운 인터넷 엔지니어링 태스크포스(IETF) 표준입니다: Cisco의 L2F(계층 2 포워딩)와 Microsoft의 PPTP(지점 간 터널링 프로토콜)입니다. L2TP는 VPN의 중요한 구성 요소인 PPP(지점 간 프로토콜)의 확장입니다. VPN을 사용하면 사용자와 재택근무자가 회사 인트라넷 또는 엑스트라넷에 연결할 수 있습니다. IPSec은 인터넷 프로토콜(IP) 통신을 보호하기 위한 일련의 가이드라인입니다. 이는 공용 네트워크를 통해 전송되는 개인 정보를 보호하는 방법을 지정합니다. IPSec에서 지원하는 서비스에는 기밀성(암호화), 신뢰성(발신자 증명), 무결성(데이터 변조 탐지), 재생 보호(데이터 무단 재전송 방어) 등이 있습니다. 이는 OSI 모델의 레이어 3에서 작동하며 VPN을 만드는 데 가장 일반적으로 사용되는 프로토콜입니다.

정답은 "제어 평가자 및 컨설턴트"입니다. 시스템 개발 또는 인수 시 보안 담당자는 보안 제어를 평가하고 프로젝트의 최종 결정을 내리는 책임자에게 강점과 약점에 대해 조언(또는 자문)해야 합니다.
다른 답은 정답이 아니기 때문입니다:
경찰관 - 보안 담당자가 이러한 유형의 역할에 배치되는 것은 결코 좋은 생각이 아닙니다.
(때로는 피할 수 없는 경우도 있지만). 시스템을 개발하거나 인수하는 동안에는 경찰관 역할을 하는 사람이 없어야 합니다.
데이터 소유자 - 이 경우 데이터 소유자는 자신이 책임지고 있는 정보를 관리, 제어 및 보호하기 위해 새 시스템을 요청하는 사람입니다. 보안 담당자가 정보에 대한 책임이 있는 경우 해당 프로젝트의 데이터 소유자가 될 수도 있지만, 다른 사람이 이 역할을 수행할 수도 있습니다.
따라서 가장 좋은 답은 여전히 "제어 평가자 및 컨설턴트"입니다.
애플리케이션 사용자 - 다시 말하지만, 보안 담당자일 수도 있지만 다른 많은 사람이나 그룹일 수도 있습니다. 따라서 이것이 최선의 답은 아닙니다.
참조:
공식 ISC2 가이드 페이지: 555 - 560
올인원 3판 페이지: 832 - 846

설명/참조:
설명:
백업 시설을 선택할 때는 하나의 재해로 인해 두 위치가 모두 파괴되지 않도록 원래 위치에서 충분히 멀리 떨어져 있어야 합니다. 즉, 예를 들어 토네이도 피해가 우려되는 경우 백업 사이트도 영향을 받거나 파괴될 수 있으므로 백업 사이트를 불과 몇 마일 떨어진 곳에 두는 것은 논리적이지 않습니다.
오답:
B: 대체 사이트는 너무 가까워서 하나의 재해로 인해 두 장소가 모두 파괴되지 않도록 해야 합니다.
C: 대체 사이트는 너무 가까워서 하나의 재해로 인해 두 장소가 모두 파괴되지 않도록 해야 합니다.
D: 대체 부지를 고려할 때 대체 도시가 공항과 호텔에 편리한지 여부가 중요한 요소입니다.
참조:
해리스, 숀, 올인원 CISSP 시험 가이드, 6판, 맥그로힐, 2013, p. 924

섹션: 혼합 질문
설명/참조:

"신원 확인은 사용자가 시스템에 신원을 공언하는 행위로, 일반적으로 시스템에 대한 로그온 ID의 형태로 이루어집니다." 49페이지 크러츠 CISSP 준비 가이드.
"식별은 주체(사용자, 프로그램 또는 프로세스)가 자신이 주장하는 실체임을 보장하는 방법을 설명합니다. 사용자 이름 또는 계정 번호를 사용하여 신원을 확인할 수 있습니다. 제대로 인증받으려면 일반적으로 주체는 자격 증명 집합에 두 번째 정보를 제공해야 합니다. 이 조각은 비밀번호, 암호, 암호화 키, 개인 식별 번호(PIN), 해부학적 특성 또는 토큰이 될 수 있습니다." 110페이지 숀 해리스: 올인원 CISSP 인증

컴퓨터 과학에서 보호 링이라고도 하는 계층적 보호 도메인은 결함(내결함성)과 악의적인 동작(컴퓨터 보안)으로부터 데이터와 기능을 보호하는 메커니즘입니다. 이 접근 방식은 기능 기반 보안과는 정반대입니다.
컴퓨터 운영 체제는 리소스에 대한 다양한 수준의 액세스를 제공합니다. 보호 링은 컴퓨터 시스템 아키텍처 내에서 두 개 이상의 계층적 수준 또는 권한 계층 중 하나입니다. 이는 일반적으로 하드웨어 또는 마이크로코드 수준에서 다양한 CPU 모드를 제공하는 일부 CPU 아키텍처에 의해 하드웨어적으로 강화됩니다. 링은 가장 높은 권한(가장 신뢰할 수 있는 권한, 일반적으로 0번)부터 가장 낮은 권한까지 계층 구조로 배열됩니다.
(가장 신뢰도가 낮으며 일반적으로 링 번호가 가장 높음). 대부분의 운영 체제에서 링 0은 가장 많은 권한을 가진 레벨이며 CPU 및 메모리와 같은 물리적 하드웨어와 가장 직접적으로 상호 작용합니다.
링 사이의 특수 게이트는 외부 링이 임의의 사용을 허용하는 대신 미리 정의된 방식으로 내부 링의 리소스에 액세스할 수 있도록 하기 위해 제공됩니다. 링 간 액세스를 올바르게 게이팅하면 한 링 또는 권한 수준의 프로그램이 다른 링의 프로그램을 위한 리소스를 오용하지 못하도록 방지하여 보안을 강화할 수 있습니다. 예를 들어, 링 3에서 사용자 프로그램으로 실행되는 스파이웨어는 하드웨어 액세스가 디바이스 드라이버를 위해 예약된 링 1 기능이어야 하므로 사용자에게 알리지 않고 웹 카메라를 켜지 못하도록 해야 합니다. 높은 번호의 링에서 실행되는 웹 브라우저와 같은 프로그램은 낮은 번호의 링으로 제한된 리소스인 네트워크에 대한 액세스를 요청해야 합니다.
링 아키텍처
다른 모든 답은 비방하는 것이므로 정답이 아닙니다.
참조:
OIG CBK 보안 아키텍처 및 모델(311페이지)
그리고
https://en.wikipedia.org/wiki/Ring_%28computer_security%29

오렌지북에서는 먼저 레벨 B2에서 은밀한 채널 분석에 대한 요구 사항을 도입했으며, 레벨 B2 이상의 모든 레벨에서도 이를 요구하게 됩니다.
AIO는 은밀한 채널을 프로세스가 시스템의 보안 정책을 위반하는 방식으로 정보를 전송할 수 있도록 하는 통신 경로로 정의합니다. 은밀한 채널은 두 개의 협력 프로세스가 시스템의 보안 정책을 위반하는 방식으로 정보를 전송할 수 있도록 허용하는 통신 채널입니다. 보호 메커니즘이 마련되어 있더라도 일반적으로 통신할 수 없는 것으로 간주되는 개체나 객체를 통해 신호 메커니즘을 사용하여 승인되지 않은 정보를 전송할 수 있다면 은밀한 채널이 존재할 수 있습니다.
다음 정답은 올바르지 않습니다:
C2 이상. 오렌지북에서는 레벨 B2 이상부터 은밀한 채널 분석이 필요하며, 레벨 C2는 레벨 B2보다 낮기 때문에 은밀한 채널 분석이 필요하지 않으므로 올바르지 않습니다.
B1 이상. 오렌지북에서는 레벨 B2 이상에서만 은밀한 채널 분석이 필요하며, 레벨 B1은 레벨 B2보다 낮기 때문에 은밀한 채널 분석이 필요하지 않으므로 올바르지 않습니다.
B3 이상. 오렌지 북에는 먼저 은밀한 채널이 필요하므로 올바르지 않습니다.
레벨 B2에서의 분석.
이 질문에 사용된 참조 자료:
에르난데스 CISSP, 스티븐 (2012-12-21). 공식 (ISC)2 CISSP CBK 가이드, 세 번째
에디션 ((ISC)2 Press) (킨들 위치 13347-13350). 아우어바흐 출판물. Kindle
에디션.
그리고
NIST http://csrc.nist.gov/publications/secpubs/rainbow/std001.txt

지식 기반 IDS는 행동 기반 ID 시스템보다 더 일반적입니다. 출처: KRUTZ, Ronald L. & VINES, Russel D., CISSP 준비 가이드: 컴퓨터 보안의 10가지 영역 마스터하기, 2001, John Wiley & Sons, 63페이지. 애플리케이션 기반 IDS - "애플리케이션의 트랜잭션 로그 파일을 사용하여 애플리케이션에서 일어나는 일을 분석하는 HIDS의 하위 집합". 출처: 공식 ISC2 CISSP CBK 검토 세미나 학생용 교재 버전 7.0, 87페이지 호스트 기반 IDS - "호스트 수준에서 IDS 기능을 구현하는 것입니다. NIDS와의 가장 큰 차이점은 침입 탐지 분석이며, 관련 프로세스는 호스트 경계로 제한됩니다." 출처: CISSP CBK에 대한 공식 ISC2 가이드 - 197페이지 네트워크 기반 IDS - "통합된 네트워크 세그먼트를 통과하는 트래픽을 모니터링하는 네트워크 장치 또는 네트워크에 연결된 전용 시스템". 출처: CISSP CBK에 대한 공식 ISC2 가이드 - 196페이지 초보자를 위한 CISSP 10개 영역에 대한 간략한 개요를 보기 위해 추천하는 책으로, 이 주제에 대해 간결하고 훌륭하게 다루고 있습니다: 침입 탐지는 네트워크 활동과 데이터를 실시간으로 모니터링하고 분석하여 진행 중인 잠재적 취약성과 공격을 탐지하는 것으로 정의됩니다. 현재 침입 탐지 시스템(IDS) 기술의 주요 한계 중 하나는 운영자(시스템 또는 보안 관리자)가 데이터에 압도되지 않도록 허위 경보를 필터링해야 한다는 점입니다. IDS는 능동형과 수동형, 네트워크 기반과 호스트 기반, 지식 기반과 행동 기반 등 여러 가지 방식으로 분류됩니다: 능동형 및 수동형 IDS 능동형 IDS(현재는 침입 방지 시스템(IPS)으로 더 많이 알려져 있음)는 시스템에서
진행 중인 의심되는 공격을 별도의 개입 없이 자동으로 차단하도록 설정되어 있습니다.
운영자에게 필요합니다. IPS는 다음에서 실시간 수정 조치를 제공할 수 있다는 장점이 있습니다.
공격에 대응할 수 있지만 단점도 많습니다. IPS는 다음과 같이 인라인으로 배치해야 합니다.
네트워크 경계를 공격할 수 있으므로 IPS 자체가 공격에 취약합니다. 또한, 허위 경보와 합법적인
트래픽이 제대로 식별 및 필터링되지 않은 경우, 권한이 있는 사용자와 애플리케이션은 다음과 같습니다.
부적절하게 액세스를 거부합니다. 마지막으로, IPS 자체가 서비스 거부(DoS)를 일으키는 데 사용될 수 있습니다.
공격은 의도적으로 시스템에 알람을 넘쳐나게 하여 연결이 차단될 때까지 연결을 차단하는 방식으로 이루어집니다.
연결 또는 대역폭을 사용할 수 있습니다.
패시브 IDS는 네트워크 트래픽 활동을 모니터링하고 분석하기 위해서만 구성된 시스템으로, 네트워크 트래픽 활동과
운영자에게 잠재적인 취약성 및 공격에 대해 경고합니다. 어떤 작업도 수행할 수 없습니다.
자체적으로 보호 또는 수정 기능을 제공합니다. 패시브 IDS의 주요 장점은 다음과 같습니다.
이러한 시스템은 쉽고 빠르게 배포할 수 있으며 일반적으로 공격에 취약하지 않습니다.
스스로.
네트워크 기반 및 호스트 기반 IDS
네트워크 기반 IDS는 일반적으로 네트워크 인터페이스가 있는 네트워크 어플라이언스(또는 센서)로 구성됩니다.
무차별 모드에서 작동하는 카드(NIC) 및 별도의 관리 인터페이스. IDS는
네트워크 세그먼트 또는 경계를 따라 배치하고 해당 세그먼트의 모든 트래픽을 모니터링합니다.
호스트 기반 IDS를 사용하려면 개별 시스템에 작은 프로그램(또는 에이전트)을 설치해야 합니다.
모니터링합니다. 에이전트는 운영 체제를 모니터링하고 로그 파일에 데이터를 쓰거나 다음과 같은 트리거를 트리거합니다.
경보. 호스트 기반 IDS는 에이전트가 있는 개별 호스트 시스템만 모니터링할 수 있습니다.
설치되어 있으며 전체 네트워크를 모니터링하지는 않습니다.
지식 기반 및 행동 기반 IDS
지식 기반(또는 시그니처 기반) IDS는 이전 공격 프로필의 데이터베이스를 참조합니다.
및 알려진 시스템 취약점을 파악하여 활성 침입 시도를 식별합니다. 지식 기반 IDS는
현재 행동 기반 IDS보다 더 많이 사용되고 있습니다.
지식 기반 시스템의 장점은 다음과 같습니다:
행동 기반 IDS보다 오경보율이 낮습니다.
알람은 행동 기반 IDS보다 더 표준화되어 있고 더 쉽게 이해할 수 있습니다.
지식 기반 시스템의 단점은 다음과 같습니다:
서명 데이터베이스는 지속적으로 업데이트하고 유지 관리해야 합니다.
새롭거나 고유하거나 독창적인 공격은 탐지되지 않거나 부적절하게 분류될 수 있습니다.
행동 기반(또는 통계적 이상 징후 기반) IDS는 다음과 같은 기준선 또는 학습된 패턴을 참조합니다.
정상적인 시스템 활동으로 활성 침입 시도를 식별합니다. 이 기준선 또는 패턴에서 벗어난 경우
알람이 트리거되도록 합니다.
행동 기반 시스템의 장점은 다음과 같습니다.
새롭고 독특하거나 독창적인 공격에 동적으로 적응합니다.
특정 운영 체제 취약점을 식별하는 데 덜 의존합니다.
행동 기반 시스템의 단점은 다음과 같습니다.
지식 기반 IDS보다 오경보율이 더 높습니다.
사용 패턴은 자주 변경될 수 있고 정적이 아니기 때문에 효과적인
행동 기반 IDS.

인증은 사용자가 시스템에 신원을 공언하는 행위로, 일반적으로 시스템에 대한 로그온 ID의 형태로 이루어집니다.
신원 확인은 자신이 누군지 밝히는 것에 지나지 않습니다. 모르는 사람과 전화로 통화할 때 상대방이 누구와 통화하는지 물어보면 신원을 밝히게 됩니다. "저는 제이슨입니다."라고 말하면 방금 신원을 밝힌 것입니다.
정보 보안 세계에서 이것은 사용자 이름을 입력하는 것과 유사합니다. 비밀번호를 입력하는 것과는 다릅니다. 비밀번호를 입력하는 것은 본인임을 확인하기 위한 방법입니다.
참고: 위에서 사용된 "고백"이라는 단어는 다음과 같은 의미를 가집니다: "다른 사람들이 당신의 말을 의심할 때 당신이 어떤 사람이라고 말하거나, 행동하거나, 느끼는 것"을 의미합니다. 식별자(신분증)를 제공하고 자신이 누구라고 주장하지만 시스템이 이를 믿을 수 없는 경우, 자신이 누구인지 증명하기 위해 시스템에 추가로 인증해야 하는 경우가 바로 이런 경우입니다.
다음은 오답입니다:
인증: 자신이 본인임을 증명하는 방법입니다. 컴퓨터 시스템에 "jsmith"로 로그인하여 제인 스미스라고 주장할 때, 컴퓨터 시스템에서 비밀번호를 물어볼 가능성이 높습니다. 사용자 이름 필드에 이름을 입력하여 본인임을 주장했지만(이는 신원 확인 부분입니다), 이제 자신이 정말 그 사람임을 증명해야 합니다.
많은 시스템이 이를 위해 비밀번호를 사용하는데, 이는 '알고 있는 것', 즉 사용자와 시스템 간의 비밀을 기반으로 합니다.
또 다른 인증 방법은 운전면허증, RSA 토큰 또는 스마트 카드와 같이 소지하고 있는 것을 제시하는 것입니다.
본인임을 인증할 수도 있습니다. 이것이 바로 생체 인식의 기초입니다. 이렇게 하려면 먼저 신원을 확인한 다음 엄지 지문, 망막 스캔 또는 다른 형태의 바이오 기반 인증을 제출합니다.
인증에 성공했다면 이제 두 가지 작업을 완료한 것입니다. 자신이 누군지 주장하고, 자신이 그 사람임을 증명한 것입니다. 이제 남은 것은 시스템에서 허용되는 작업을 결정하는 것뿐입니다.
권한 부여: 개인이 식별되고 인증된 후에 이루어지는 단계로, 시스템에서 수행할 수 있는 작업을 결정하는 단계입니다.
사람으로 비유하자면 밤에 누군가 문을 두드리는 경우를 예로 들 수 있습니다. "누구세요?"라고 말하고 응답을 기다립니다. 상대방은 신원을 밝히기 위해 "존입니다."라고 대답합니다. 불빛으로 뒤로 물러서라고 요청하여 구멍을 통해 상대방을 볼 수 있도록 합니다. 그들이 그렇게 하면 생체 인식 기술을 통해 그들의 생김새를 기반으로 신원을 인증합니다. 이 시점에서 집 안으로 들어와도 된다고 결정합니다.
집에 들어오는 것을 원치 않는 사람이라고 말하고(신원 확인), 그 사람이 맞는지 확인한(인증) 경우 인증 단계에는 집 내부에 대한 접근 권한이 포함되지 않습니다.
기밀 유지: CIA 3원칙의 한 부분입니다. 이는 민감한 정보가 잘못된 사람에게 전달되는 것을 방지하는 동시에 올바른 사람이 실제로 정보를 얻을 수 있도록 합니다. 온라인 쇼핑 시 신용카드 번호를 예로 들면, 판매자는 거래를 완료하기 위해 신용카드 번호가 필요하지만 사용자는 자신의 정보가 네트워크를 통해 노출되는 것을 원하지 않는 경우 SSL, TLS 또는 일부 터널링 도구와 같은 보안 링크를 사용하여 A 지점과 B 지점 사이의 정보를 보호합니다. 데이터 암호화는 기밀성을 보장하는 일반적인 방법입니다.
CIA 트라이어드의 다른 부분은 아래에 나열되어 있습니다:
무결성에는 전체 수명 주기 동안 데이터의 일관성, 정확성, 신뢰성을 유지하는 것이 포함됩니다. 데이터는 전송 중에 변경되어서는 안 되며, 권한이 없는 사람(예: 기밀 위반 등)이 데이터를 변경할 수 없도록 조치를 취해야 합니다. 또한 전자기 펄스(EMP) 또는 서버 충돌과 같은 비인적 사건으로 인해 발생할 수 있는 데이터의 변경을 감지할 수 있는 수단을 마련해야 합니다. 예기치 않은 변경이 발생하면 영향을 받은 데이터를 올바른 상태로 복원할 수 있는 백업 사본이 있어야 합니다.
가용성은 모든 하드웨어를 엄격하게 유지 관리하고, 필요할 때 즉시 하드웨어 수리를 수행하며, 일정 수준의 이중화 및 장애 조치를 제공하고, 적절한 통신 대역폭을 제공하고 병목 현상을 방지하며, 비상 백업 전원 시스템을 구현하고, 필요한 모든 시스템 업그레이드를 최신 상태로 유지하고, 서비스 거부 공격(DoS) 같은 악의적인 행동을 방지함으로써 가장 잘 보장됩니다.
이 질문에 사용된 참조입니다:
http://whatis.techtarget.com/definition/Confidentiality-integrity-and-availability-CIA
http://www.danielmiessler.com/blog/security-identification-authentication-and-authorization
http://www.merriam-webster.com/dictionary/profess
KRUTZ, Ronald L. & VINES, Russel D., CISSP 준비 가이드: 컴퓨터 보안의 10가지 영역 마스터하기, 2001, John Wiley & Sons, 36페이지

"드가우저(벌크 지우개라고도 함)의 주요 기능은 다음과 같습니다.
자화된 매체에 저장된 자속을 거의 0에 가깝게 감소시킵니다. 자속 밀도는
가우스 또는 테슬라 단위로 측정됩니다. 이 작업은 덮어쓰기보다 빠르며 단 한 번의 짧은 작업으로 완료됩니다.
작동합니다. 이는 피사체를 일괄적으로 일련의 번갈아가는 필드에 노출시킴으로써 달성할 수 있습니다.
극성을 띠고 점차 강도가 감소합니다.
패리티 비트 조작은 정답이 아닙니다. 패리티는 디스크 오류와 관련이 있습니다.
데이터 제거가 아닌 감지입니다. 문자 또는 문자 블록에 추가된 비트 또는 일련의 비트
를 사용하여 수신된 정보가 전송된 정보와 동일한지 확인합니다.
제로화. 제로화에는 데이터를 덮어쓰기하여 데이터를 살균하는 작업이 포함됩니다. 시간이 많이 걸리고
완벽합니다. 이 방법을 사용하면 데이터를 복원할 수 있는 가능성이 존재합니다.
버퍼 오버플로. 이는 단점입니다. 많은 운영 체제에서 디스크 버퍼를 사용하지만
는 디스크에서 읽은 데이터를 일시적으로 보관하는 것으로, 데이터 제거와는 관련이 없습니다. An
오버플로는 버퍼에 대해 정의된 제약 조건을 벗어나며 공격자가 다음을 위해 사용하는 방법입니다.
시스템에 대한 액세스를 시도합니다.
이 질문을 만드는 데 사용된 참조 자료는 다음과 같습니다:
숀 해리스 AIO v3. 908페이지
참조: 디가우징이란 무엇인가요?