Wondershare EdrawMind
Mindmap-Galerie CISSP-Studiennotizen – Domäne 6 (Sicherheitsbewertung und -tests)
- 7
CISSP-Studiennotizen – Domäne 6 (Sicherheitsbewertung und -tests)
Dies ist eine Mindmap über CISSP-Studiennotizen – Bereich 6 (Sicherheitsbewertung und -tests). Der Hauptinhalt umfasst: Überprüfungsfragen und Wissenspunkte.
Bearbeitet um 2024-04-06 10:04:44
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Projektmanagement-Prozess-Vorlage
Projektmanagement ist der Prozess der Anwendung von Fachwissen, Fähigkeiten, Werkzeugen und Methoden auf die Projektaktivitäten, so dass das Projekt die festgelegten Anforderungen und Erwartungen im Rahmen der begrenzten Ressourcen erreichen oder übertreffen kann. Dieses Diagramm bietet einen umfassenden Überblick über die 8 Komponenten des Projektmanagementprozesses und kann als generische Vorlage verwendet werden.
CISSP-Studiennotizen – Domäne 6 (Sicherheitsbewertung und -tests)
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Projektmanagement-Prozess-Vorlage
Projektmanagement ist der Prozess der Anwendung von Fachwissen, Fähigkeiten, Werkzeugen und Methoden auf die Projektaktivitäten, so dass das Projekt die festgelegten Anforderungen und Erwartungen im Rahmen der begrenzten Ressourcen erreichen oder übertreffen kann. Dieses Diagramm bietet einen umfassenden Überblick über die 8 Komponenten des Projektmanagementprozesses und kann als generische Vorlage verwendet werden.
- Für Sie empfohlen
- Gliederung
CISSP-Studiennotizen – Domäne 6 (Sicherheitsbewertung und -tests)
Wissenspunkte
6.1 Bewertungs-, Test- und Auditierungsstrategien planen und validieren
6.1.1. Bewertung, Prüfung und Auditierung
6.1.1.1Tests
Eine technische Aktivität, bei der ein System ausgeführt wird, um zu bestätigen, dass es bestimmte Anforderungen oder erwartetes Verhalten erfüllt. Tests werden häufig verwendet, um Probleme und Fehler in einem System zu finden. Im Sicherheitsbereich umfasst das Testen Schwachstellenscans, Penetrationstests usw., mit denen potenzielle Sicherheitsrisiken des Systems entdeckt und bewertet werden.
6.1.1.2Bewertungen
Die Bewertung ist eine umfassende Bewertungsaktivität für ein bestimmtes Objekt, System oder einen bestimmten Prozess. Sie kann auf quantitativen oder qualitativen Standards basieren. Bei der Risikobewertung geht es beispielsweise darum, die Möglichkeit des Auftretens eines bestimmten Risikos zu bewerten den Sicherheitsprozess der Organisation.
6.1.1.3Audit
Ein Audit ist ein formellerer, strukturierter Prozess, dessen Hauptziel darin besteht, die Konformität eines Objekts oder Systems gemäß definierten Standards oder Spezifikationen zu überprüfen und zu bestätigen. Audits werden in der Regel von unabhängigen Drittorganisationen durchgeführt, um die Unparteilichkeit und Fairness der Auditergebnisse sicherzustellen. Beispielsweise könnte eine Systemprüfung feststellen, ob ein System dem Payment Card Industry Data Security Standard (PCI DSS) entspricht.
6.1.2. Internes Audit
Interne Beurteilungen und Audits sind Beurteilungs- und Prüfungsaktivitäten, die vom eigenen Personal einer Organisation durchgeführt werden. Diese Aktivität kann im Rahmen des Sicherheitsmanagements der Organisation fortlaufend durchgeführt werden.
1. Vor- und Nachteile der Internen Revision
•Vorteile: Da Insider über ein tiefes Verständnis der Abläufe und Geschäfte der Organisation verfügen, können sie Tests oder Bewertungen genauer und effizienter durchführen. Darüber hinaus ist die interne Revision flexibler und kann jederzeit entsprechend den Bedürfnissen der Organisation durchgeführt werden.
•Nachteile: Es gibt potenzielle Interessenkonflikte, wie zum Beispiel „Wer die Richtlinie erstellt, sollte nicht geprüft werden.“ Infolgedessen kann es der internen Revision an Unabhängigkeit und Unparteilichkeit mangeln.
2. Arten von Tests, die für interne Tests geeignet sind
•Schwachstellenscan: Wird regelmäßig durchgeführt, um ungepatchte Software oder unbekannte Assets zu entdecken.
•Prozess- und Verfahrensaudits: z. B. Änderungsmanagement, Abschluss der Mitarbeiterschulung usw.
•Phishing-Simulation: Testen Sie die Fähigkeit Ihrer Mitarbeiter, Phishing-Angriffe zu erkennen und darauf zu reagieren.
3. Bereiten Sie sich auf externe Audits vor
Vor der Durchführung eines externen Audits kann sich eine Organisation dafür entscheiden, ein internes vorbereitendes Audit durchzuführen. Dies kann dazu beitragen, das Ergebnis externer Audits zu verbessern, indem bestehende Probleme oder Mängel vor Beginn des formellen Audits identifiziert und behoben werden.
6.1.3. Externes Audit
Externe Audits werden in der Regel von unabhängigen Drittorganisationen durchgeführt, die kein direktes Interesse an der geprüften Organisation haben. Daher können externe Audits unvoreingenommene und unabhängige Bewertungen und Auditergebnisse liefern, die besonders wertvoll für die Identifizierung und Verbesserung von Problemen sind, die die Organisation möglicherweise übersehen hat. Es kann jedoch auch eine Investition von mehr Zeit und Ressourcen erforderlich sein. Daher müssen Unternehmen die Vor- und Nachteile abwägen und ihre spezifischen Geschäftsanforderungen und -bedingungen berücksichtigen, wenn sie sich für die Durchführung eines externen Audits entscheiden.
Zu den Situationen, in denen eine externe Prüfung anwendbar ist, gehören:
•Compliance-Audit: Um bestimmte Compliance-Anforderungen zu erfüllen, wie z. B. den Payment Card Industry Data Security Standard (PCI-DSS), den International Information Security Management System Standard (IS0 27001) usw., sind externe Audits erforderlich.
Gesetzliche oder behördliche Anforderungen: In einigen Fällen kann eine Organisation aufgrund gesetzlicher oder behördlicher Anforderungen verpflichtet sein, ein externes Audit durchzuführen. Um beispielsweise spezifische Geschäftsanforderungen zu erfüllen, kann eine Reifegradbewertung auf Basis eines Reifegradmodells erforderlich sein.
6.1.4. Prüfung durch Dritte
Audits Dritter. Auch Supply-Chain-Audit genannt. Es ist ein wichtiges Mittel zur Bewertung und Verwaltung von Sicherheitsrisiken in der Lieferkette und kann von der Organisation selbst oder einem externen Prüfer durchgeführt werden. Im Rahmen des Auditprozesses werden Sicherheitskontrollen und -richtlinien in der Lieferkette bewertet, Risiken identifiziert und Abhilfemaßnahmen vorgeschlagen. Einige Anbieter stellen möglicherweise Auditberichte von Drittanbietern zur Verfügung, z. B. SOC2-Berichte (Service Organization Controls 2), die Unternehmen dabei helfen können, Risiken in der Lieferkette besser zu verstehen und zu verwalten.
6.2. Führen Sie Sicherheitskontrolltests durch
6.2.1. Schwachstellenbewertung
1. Strategieüberblick
Die Schwachstellenbewertung ist eine Schlüsselkomponente des Risikomanagements, das sich auf die Identifizierung und Bewertung der Schwachstellen von Hardware- und Softwareressourcen konzentriert, um zu verhindern, dass diese von Angreifern ausgenutzt werden.
Zu den Hauptschritten der Schwachstellenbewertung gehören:
1) Erstellen Sie ein Asset-Inventar: Identifizieren Sie die kritischen Assets Ihres Unternehmens und priorisieren Sie Schwachstellenscans.
2. Wählen Sie ein Scan-Tool: Wählen Sie ein geeignetes Schwachstellen-Scan-Tool basierend auf Faktoren wie rechtlichen, vertraglichen oder behördlichen Anforderungen, Plattformkompatibilität und Kosten.
2. Häufig gestellte Fragen zur Schwachstellenbewertung
1. Übermäßiger Datenverkehr und DoS
Beschreibung: Schwachstellenscanner können große Mengen an Datenverkehr erzeugen, Netzwerkbandbreite verbrauchen und möglicherweise DoS-Zustände in Netzwerken und Systemen verursachen, da diese Probleme bei der Verarbeitung von Informationen haben.
Lösung:
1) Korrekte Konfiguration, z. B. Implementierung der Anforderungsdrosselung, um die Anzahl der vom Scanner in einem bestimmten Zeitraum generierten Anforderungen zu begrenzen
2) Belegbasiertes Scannen, um Konfigurationsinformationen zu erhalten und Zielports genau zu scannen
3) Planen Sie Scans, um sicherzustellen, dass der Scan zu Zeiten geringer Benutzeraktivität erfolgt.
2. Warnungen und Ereignisse
Beschreibung: Beim Scannen von Hosts werden häufig von Angreifern verwendete Taktiken simuliert und Sicherheitswarnungen generiert.
Lösung: Konfigurieren Sie eine Richtlinie, um Ihren eigenen Testverkehr zu filtern und Port-Scans von der IP-Adresse des Schwachstellenscanners als nicht verdächtig zu markieren.
3. Funktionsübergreifendes Eigentum
Beschreibung: Wenn die Geschäftsabteilung nicht aufpasst, wird Ihr Sicherheitsalarm möglicherweise ignoriert.
Lösung: Pflegen Sie die Beziehungen zwischen Teams und formatieren Sie Feedback-Ergebnisse so, dass sie für Asset-Eigentümer verständlich sind.
4. Umweltverschmutzung
Beschreibung: Automatisch ausgefüllte Testdaten können die Online-Umgebung verschmutzen.
Lösung: Ändern Sie die Konfigurationsrichtlinie, um einige destruktive Vorgänge wie Formularvorgänge, das Senden von E-Mails usw. zu reduzieren oder zu ignorieren. Der Scanner kann so konfiguriert werden, dass er erkannte Testdatentypen einfügt, die nach dem Scannen einfach ignoriert oder bereinigt werden können
5. Netzwerksegmentierung
Beschreibung: Die Verwendung von Zugriffskontrollmaßnahmen wie Firewalls zur Segmentierung oder Isolierung verschiedener Teile des Netzwerks ist eine bewährte Sicherheitsmethode, kann jedoch dazu führen, dass der Scanner die Zieladresse nicht erreicht.
Lösung: Verteiltes Scannen platziert den Scan-Agenten innerhalb eines Netzwerksegments, ermöglicht das Scannen der Endpunkte des Netzwerksegments und integriert die Ergebnisse dann in die zentrale Steuereinheit.
6.2.2. Penetrationstests
Bei der Schwachstellenbewertung wird nach Schwachstellen gesucht, die theoretisch ausgenutzt werden können. Penetrationstests (auch Pentests genannt) gehen noch einen Schritt weiter und beweisen, dass diese Schwachstellen ausgenutzt werden können.
1Arten von Penetrationstests
1) White-Box-Penetrationstest (auch Vollwissenstest genannt)
Das Testteam versteht die Infrastruktur und ihre Architektur vollständig, einschließlich Betriebssysteme, Netzwerksegmentierung, Geräte und deren Schwachstellen. Diese Art von Tests hilft dabei, das Testteam auf einen bestimmten Interessenbereich oder eine bestimmte Schwachstelle zu konzentrieren.
2) Black-Box-Penetrationstests (auch Zero-Knowledge-Tests genannt)
Das Testteam hat keine Kenntnis der Infrastruktur und entdeckt die Netzwerkstruktur und ihre Schwachstellen aus der Sicht eines Angreifers
3) Gray-Box-Penetrationstest (auch lokaler Wissenstest genannt)
Ein Penetrationstest, der zwischen White-Box-Tests und Black-Box-Tests vermittelt, wobei das Testteam teilweise über Kenntnisse der Infrastruktur verfügt.
2. Penetrationstester
1) White-Hat-Hacker (ethisch)
Ein Sicherheitsexperte, der ein System testet, um seine Schwachstellen zu ermitteln, sodass diese Schwachstellen gemindert und das System besser geschützt werden können.
2) Black-Hat-Hacker (unethisch)
Schädliche Entitäten dringen durch Erpressung in Systeme ein, erbeuten sensible Daten oder stören den Betrieb der Infrastruktur.
3) Gray-Hat-Hacker
Hacker, die zwischen der White-Hat- und der Black-Hat-Welt hin und her pendeln. Manchmal verkaufen sie ihr Fachwissen zum Nutzen der Organisation
4) Rotes Team
Greifen Sie Gruppen während Sicherheitstests oder Übungen an
5) Blaues Team
Verteidiger bei Sicherheitstests oder Übungen
6) Weißes Team
Das Team, das die Übung während eines Sicherheitstests oder einer Sicherheitsübung leitet
3 Regeln für Penetrationstests
Penetrationstests sollten niemals ohne entsprechende Genehmigung durchgeführt werden. Auch die Testregeln sollten klar sein, einschließlich der Festlegung des Testumfangs, der Identifizierung der Teilnehmer, der Definition von Testmethoden und erwarteten Kommunikationsmethoden usw.
Interne Kunden, die normalerweise in Regeldateien definiert werden, umfassen die folgenden Aspekte:
•Welche Systeme, Büros oder andere Ziele werden getestet?
•Sind Systeme, Büros oder andere Ziele ausdrücklich von Tests ausgeschlossen?
. Sind Testmethoden wie Social Engineering oder das Knacken von Passwörtern verboten?
. Ist die physische Sicherheit abgedeckt? Wenn ja, welche Einrichtungen oder Ziele sind enthalten?
•Welches Maß an Autorität wird den Testern gewährt? Den Testern können Konten zur Verfügung gestellt werden, um Insider-Bedrohungen zu bewerten oder Verifizierungsaktivitäten durchzuführen, wenn sie Zugang erhalten.
•Was ist der erwartete Kommunikationsstil und die erwartete Häufigkeit? Einige Organisationen verlangen möglicherweise eine sofortige Benachrichtigung über potenziell kritische Sicherheitsprobleme, während andere möglicherweise damit zufrieden sind, auf einen Abschlussbericht zu warten.
•Wer führt die Tests durch, welche Geräte und Software sind erlaubt und wann finden die Tests statt?
•Welche Verfahren werden beim Umgang mit sensiblen Daten wie internen Netzwerkkonfigurationen, Kundendatensätzen usw. angewendet?
•Wie werden sensible Daten nach dem Test sicher behandelt?
•Wie hoch ist das erwartete Serviceniveau? Führen Tester beispielsweise unmittelbar nach der Implementierung eines Fixes einen erneuten Test durch oder warten sie eine vorgeschriebene Zeit für erneute Tests ab?
•Was sind die Erwartungen an die Dokumentation, insbesondere Einzelheiten zu allen festgestellten Problemen, die Darstellung der zur Überprüfung der Testergebnisse durchgeführten Arbeit und das Format etwaiger Berichte?
4. Penetrationstestprozess
5. Physische Penetrationstests
Bei einem physischen Penetrationstest versucht ein Tester, sich unbefugten Zutritt zu einer Einrichtung wie einem Büro oder einem Rechenzentrum zu verschaffen, mit dem Ziel, potenzielle Schwachstellen in den physischen Sicherheitskontrollen aufzudecken. Zu den gängigen Social-Engineering-Taktiken gehört es, sperrige Gegenstände mit sich zu führen und jemanden zu bitten, die Tür zu öffnen, oder als Beamter zu erscheinen.
6.2.3. Protokollüberprüfung
Die Protokollüberprüfung ist ein wichtiger Teil des Informationssicherheitsmanagements. Sie umfasst die Analyse und Überprüfung von Protokollen, die von Systemen, Terminals, Geräten und Anwendungen generiert werden. Ziel ist es, aussagekräftige Informationen in diesen Protokollen zu erfassen und zu analysieren, um die Erkennung und Reaktion auf Sicherheitsvorfälle zu erleichtern. .
1 Die Bedeutung der Protokollüberprüfung
Protokolle liefern detaillierte Informationen über Systemverhalten, Benutzerverhalten, Sicherheitsereignisse, Systemfehler und mehr. Durch die Überprüfung und Analyse von Protokollen können Unternehmen den Status und das Verhalten ihrer Systeme sowie mögliche Sicherheitsprobleme besser verstehen.
2) Prüfung und Bewertung des Protokollmanagements
Auch die Generierung, Sammlung, Speicherung und Verarbeitung der Protokolle selbst muss überprüft und bewertet werden. Dazu gehört die Sicherstellung der Protokollintegrität, -verfügbarkeit und -vertraulichkeit sowie der Compliance. Dies erfordert möglicherweise den Verweis auf geltende gesetzliche Anforderungen, Branchenkodizes und internationale Standards, um sicherzustellen, dass Protokolle konform verwaltet werden.
3) Protokollüberprüfungsstrategie
Organisationen müssen Richtlinien, Verfahren und technische Konfigurationen für die Protokollüberprüfung entwickeln, um die Wirksamkeit der Protokollüberprüfung sicherzustellen. Dies kann die Festlegung der Häufigkeit der Protokollüberprüfung, der Tiefe der Überprüfung, der zu verwendenden Tools und Techniken sowie des Umgangs mit den Ergebnissen der Überprüfung umfassen.
6.2.4 Synthetische Transaktionen
Unter synthetischen Transaktionen versteht man automatisierte Prozesse zum Testen und Überwachen der Systemleistung, die bestimmte Benutzerverhalten oder -aktionen simulieren, um die Leistung und Zuverlässigkeit einer Anwendung, eines Systems oder eines Netzwerks zu überprüfen.
6.2.4.1 Häufige Nutzungsszenarien synthetischer Transaktionen:
•Service Level Agreement (SLA)-Überwachung: Synthetische Transaktionen können verwendet werden, um zu überwachen, ob ein Host- oder Cloud-basierter Dienst vereinbarte Service Level-Standards erfüllt.
•Überwachung der Datenintegrität: Durch die Simulation von Geschäftslogikregeln und die Verarbeitung von Testdaten können synthetische Transaktionen Warnungen auslösen, wenn die Ergebnisse der Datenverarbeitung nicht den Erwartungen entsprechen.
•System- oder Dienstüberwachung: Auch ohne SLA können Systeme oder Dienste durch synthetische Transaktionen überwacht werden, um sicherzustellen, dass sie online sind und reagieren.
6.2.4.2Real User Monitoring (RUM)
RUM ist eine Überwachungstechnologie, die Benutzerinteraktionen mit einer Anwendung oder einem Dienst in Echtzeit überwacht. Diese Überwachung kann verwendet werden, um potenzielle Probleme wie langsame oder nicht reagierende Seiten zu erkennen. Allerdings kann RUM Datenschutzbedenken aufwerfen und erfordert bei der Verwendung besondere Sorgfalt.
6.2.5. Codeüberprüfung und -tests
Software besteht aus Code, daher sind die Überprüfung und das Testen von Code zur Identifizierung und Behebung von Fehlern wichtige Sicherheitskontrollen.
1. Testklassifizierung
Black-Box-Tests: Der Tester berührt nicht den Quellcode oder das interne Funktionsprinzip der Anwendung, sondern simuliert und testet aus der Perspektive eines externen Angreifers oder Benutzers.
White-Box-Tests: Tester haben Zugriff auf den Quellcode oder die interne Struktur der Anwendung, um mögliche Schwachstellen und Fehler durch eine eingehende Analyse zu entdecken.
2.Testmethode
•Code-Peer-Review: Dies ist eine manuelle Methode, bei der Entwickler den Code des anderen überprüfen, um mögliche Fehler und Verbesserungen zu finden.
•Statische Codeanalyse: Dies ist eine automatisierte Codeüberprüfungsmethode, die mithilfe spezieller Software die Ausführung von Code simuliert, um mögliche Schwachstellen wie Pufferüberläufe usw. zu identifizieren.
• Dynamische Analysetests: Dies ist eine Laufzeittestmethode, die das Programm ausführt und sein Verhalten beobachtet, um mögliche Probleme und Schwachstellen zu identifizieren.
3.Testziele
•Abdeckung: Das Ziel des Testens sollte darin bestehen, den gesamten Code und die Funktionalität so weit wie möglich abzudecken, um sicherzustellen, dass keine Mängel oder Fehler übersehen werden.
•Automatisierung: Um Entwicklungsgeschwindigkeit und Sicherheit in Einklang zu bringen, sollte der Testprozess so weit wie möglich automatisiert werden. Beispielsweise können einige gängige Test- und Behebungsaufgaben durch SOAR-Tools (Security Orchestration Automation and Response) automatisiert werden.
6.2.6. Missbrauchsfallprüfung
6.2.6.1 Missbrauchsfall
Wird auch als negatives Testen (neoatives Testen) bezeichnet. Der Zweck besteht darin, die Reaktion eines Systems oder einer Anwendung auf unerwartete Eingaben oder Situationen zu bewerten und Schwachstellen zu identifizieren, die in diesen unerwarteten Situationen ausgenutzt werden können.
Wenn der Benutzer beispielsweise einen Benutzernamen eingibt, das Kennwort jedoch leer lässt, kann dies zum Absturz der Anwendung führen oder den direkten Zugriff auf das System ermöglichen.
6.2.6.2 Missbrauchsfall
Missbrauchsfalltests sind ein integraler Bestandteil der Bedrohungsmodellierung. Sie modellieren, wie ein System oder eine Funktion missbraucht werden kann, und beschreiben konkret, wie ein Angreifer diese Schwachstelle ausnutzen könnte.
6.2.7. Analyse der Testabdeckung
1. Testabdeckung = (Anzahl der getesteten Komponenten/Gesamtzahl der Komponenten) x 100 %
2. Sechs gemeinsame Standards:
1) Zweigabdeckung: Stellen Sie sicher, dass jeder Zweig in der Steueranweisung ausgeführt wird.
2) Bedingungsabdeckung: Eine Bedingung, die erfordert, dass jeder boolesche Ausdruck im Code als wahr und falsch überprüft wird.
3) Western Digital-Abdeckung (Funktionsabdeckung): Stellen Sie sicher, dass jede Western Digital-Funktion im Programm aufgerufen wird.
4) Anweisungsabdeckung: Überprüft die Ausführung jeder Codezeile im Programm.
5) Entscheidungsabdeckung: Eine Kombination aus West- und Filialabdeckung wurde verifiziert, um verschiedene Eingabe- und Ausgabesituationen zu testen
6) Parameterabdeckung: Testen Sie das Verhalten von Western Digital, das Parametereingaben akzeptiert
Hinweis: Die ideale Situation ist eine 100-prozentige Abdeckung. Aus Kostengründen ist es jedoch unmöglich, alle Tests innerhalb eines bestimmten Zeitraums abzuschließen, um eine ausreichende Testabdeckung für wichtige Systemfunktionen sicherzustellen.
6.2.8. Schnittstellentest
Schnittstellentests sind eine Schlüsselkomponente des Systemtests. Sie konzentrieren sich hauptsächlich auf die Punkte, an denen das System mit externen Elementen interagiert.
Zu den wichtigsten Schnittstellentypen gehören:
•Benutzeroberfläche (U): Dies ist die Hauptmethode für die Interaktion des Benutzers mit dem System und kann entweder eine grafische Benutzeroberfläche (GU) oder eine Befehlszeilenschnittstelle (CLI) sein.
•Anwendungsprogrammierschnittstelle (API): Auf diese Weise interagiert das System mit anderer Software, z. B. der REST-API für Webanwendungen oder der API für Interprozesskommunikation (IPC) und Remote-Prozeduraufrufe (RPC).
Das Ziel von Schnittstellentests besteht darin, sicherzustellen, dass Daten zwischen Entitäten korrekt übertragen und konvertiert werden und dass alle Fehlerbedingungen angemessen behandelt werden. Dazu gehört die Überprüfung, ob die Daten korrekt formatiert sind, die Überprüfung der Wirksamkeit von Fehlerbehandlungsmechanismen und die Sicherstellung, dass während der Übertragung korrekte Zugriffskontrollen durchgesetzt werden. Dadurch können Datenintegrität, Systemstabilität und -sicherheit gewährleistet und Datenverluste oder -schäden aufgrund von Schnittstellenfehlern verhindert werden.
6.2.9． Simulation eines Schwachstellenangriffs
6.2.9.1 Breach Attack Simulation (BAS)
Die Simulation von Schwachstellenangriffen ist eine neue automatisierte Sicherheitstesttechnologie, deren Hauptziel darin besteht, das Verhalten eines echten Angreifers zu simulieren, um sich unbefugten Systemzugriff zu verschaffen. Es kombiniert die Elemente des Schwachstellenscans und des automatisierten Penetrationstests und nutzt die neuesten Angriffsmethoden und neu entdeckte Schwachstellen, um die Verteidigungsfähigkeiten eines Unternehmens gegen neue Bedrohungen zu testen. Mit einer BAS-Lösung können diese Tests häufiger durchgeführt werden, um mögliche Sicherheitslücken schneller aufzudecken als herkömmliche regelmäßige Schwachstellenscans oder Penetrationstests.
6.2.9.2 BAS-Angriffskategorien
•Endpoint-Angriffe
BAS führt Aktionen an oder gegen Netzwerkendpunkte aus, wie z. B. das Erstellen von Dateien oder Prozessen, die mit bekannten Malware-Signaturen übereinstimmen, um die Endpoint Detection and Response (EDR)-Funktionen zu testen. Dies kann über ein BAS-Gerät oder Steuergerät oder über einen auf dem Endpunkt laufenden Software-Agenten erfolgen.
•Netzwerkangriffe
BAS sendet Netzwerkverkehr, der blockiert werden sollte, und löst Warnungen aus, wenn bekanntermaßen bösartiger Datenverkehr nicht von Geräten wie Firewalls oder Routern blockiert wird
•E-Mail-Angriffe
BAS generiert und versendet Test-E-Mails, um die Wirksamkeit von Spam-Filtern, E-Mail-Betrugskontrollen und Inhaltsfiltern zu testen. Wenn die Nachricht erfolgreich den Posteingang erreicht oder vom Benutzer geöffnet wird, weist dies auf eine Schwachstelle in den E-Mail-Sicherheitskontrollen hin
•Verhaltensbasierte Angriffe
Erweiterte BAS-Funktionen können auch verhaltensbasierte Sicherheitskontrollen testen, z. B. die Erkennung schädlicher Netzwerk-Scan-Aktivitäten oder komplexer Interaktionen mit Anwendungen, die normalerweise von einer Web Application Firewall (WAF) blockiert werden sollten.
6.2.10. Compliance-Prüfungen
Compliance ist nicht gleichbedeutend mit Sicherheit, aber sie ist ein wichtiger Ausgangspunkt für das Risikomanagementprogramm einer Organisation. Ein Compliance-Framework deckt in der Regel eine Reihe branchen- oder regionalspezifischer Risiken ab, und die implementierten Sicherheitskontrollen sind darauf ausgelegt, diese Risiken zu mindern.
Compliance-Überprüfungen sind Teil des Regulierungsprozesses. Ziel ist es, Kontrollen zu identifizieren, die aufgrund von Veränderungen im Risikoumfeld unzureichend oder unwirksam geworden sind oder nicht mehr ordnungsgemäß funktionieren. Typischerweise wird diese Überprüfung durch ein Audit durchgeführt, zum Beispiel:
•PCI-DSS (Payment Card Industry Data Security Standard): Dies ist ein Sicherheitsstandard für Organisationen, die Kreditkarteninformationen verarbeiten, speichern oder übertragen. PCI-DSS verlangt von Organisationen die Durchführung eines jährlichen Compliance-Audits.
SOC2 (Service Organization Control 2): Dies ist ein Standard, der die Kontrollen einer Serviceorganisation über Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz bewertet. SOC 2 verlangt von Organisationen, ein jährliches Compliance-Audit durchzuführen.
- S027001 Dies ist ein internationaler Standard zum Informationssicherheitsmanagement. 1S027001 verlangt von Organisationen, alle drei Jahre ein Compliance-Audit durchzuführen.
6.3. Erhebung von Sicherheitsprogrammdaten (z. B. technische und administrative)
6.3.1. Technische Kontrollen und Verfahren
1 Datenquelle
Die technische oder logische Kontrolle wird durch elektronische Systeme erreicht, was häufig zu nativen Aufzeichnungen führt. Zu diesen technischen Daten können Informationen gehören, die Teil der Protokollierungs- und Überwachungsrichtlinien der Organisation sind, sowie Daten, die aus der Analyse dieser Protokolldaten generiert werden. Zum Beispiel die Zugriffsprotokolle der Anwendung und die Protokolle von Netzwerkgeräten (wie Routern oder Firewalls).
2. Sammelphase
Durch die Implementierung und Überwachung der folgenden Kontrollen und Prozesse können Unternehmen nützliche Kennzahlen und Daten über ihren Sicherheitsstatus sammeln, damit sie die notwendigen Schritte zum Schutz ihrer Daten und Systeme ergreifen können:
1) Schadensverhütungsprozesse: Das Ziel dieser Prozesse ist die Abwehr von Sicherheitsbedrohungen. Dazu können technische Kontrollen wie Datenverschlüsselung, Netzwerkzugriffskontrolle und Endpunktkontrolle gehören.
2) Erkennungsprozesse: Ziel dieser Prozesse ist die Erkennung von Sicherheitsvorfällen oder abnormalem Verhalten. Dazu können technische Kontrollen wie Endpoint Detection and Response (EDR) und Security Information and Event Management (SIEM) gehören.
3) Reaktionsprozesse: Das Ziel dieser Prozesse ist die Lösung von Sicherheitsproblemen. Dazu können technische Kontrollen wie Endpoint Detection and Response (EDR) und Intrusion Prevention Systems (IPS) gehören.
6.3.2. Administrative Kontrollen
Administrative Kontrollen steuern das angemessene Verhalten von Mitarbeitern und anderen Benutzern, indem sie Richtlinien und Verfahren festlegen und durchsetzen. Diese Kontrollen können verschiedene Verhaltenskodizes, Arbeitsabläufe und Richtlinien umfassen. Die Messung der Wirksamkeit administrativer Kontrollen erfordert häufig die Sammlung und Analyse von Daten im Zusammenhang mit der Umsetzung politischer Maßnahmen.
Nehmen Sie zum Beispiel eine Organisationsrichtlinie, die die Nutzung sozialer Medien auf Organisationsgeräten verbietet. Daten können gesammelt werden von:
• Geltungsbereich der Richtlinie: Wie viele Benutzer haben die Richtlinie gelesen und verstanden und ihr Verständnis und ihre Einhaltung durch Unterzeichnung bestätigt?
•Pädagogische Wirksamkeit: Wie viele Benutzer haben versucht, auf eingeschränkte Inhalte zuzugreifen? Dies kann das Ausmaß widerspiegeln, in dem die Mitarbeiter die Richtlinie verstehen, sowie die Verbreitung und pädagogische Wirksamkeit der Richtlinie.
. Technische Verfügbarkeit: Wie viele Benutzer können basierend auf dem Netzwerkverkehr auf eingeschränkte Inhalte zugreifen? Dies spiegelt möglicherweise die Wirksamkeit technischer Kontrollen bei der Durchsetzung von Richtlinien wider.
6.3.3. Kontoverwaltung
Die Kontoverwaltung ist ein wichtiger Bestandteil der Sicherheit von Informationssystemen, da sie sich direkt auf die Implementierung von Zugriffskontrollen auswirkt. Kontoverwaltungsdaten sind ein wichtiger Schwerpunkt bei der Erhebung von Daten über Sicherheitsprozesse.
Hier sind einige wichtige Daten, die Sie möglicherweise während des Kontoverwaltungsprozesses erfassen müssen:
•Zeitnahe Kontoverwaltung: Wenn sich beispielsweise die Rolle eines Benutzers ändert oder das Unternehmen verlässt, können seine Zugriffsrechte innerhalb eines bestimmten Zeitrahmens angepasst oder widerrufen werden.
• Benachrichtigungen über die Bereitstellung oder Aufhebung der Kontobereitstellung: Beispielsweise, ob Benutzer innerhalb von 24 Stunden benachrichtigt werden können, wenn sie einer Organisation beitreten oder diese verlassen.
•Kontoüberprüfungen: Werden geeignete Kontoüberprüfungen gemäß dem von der Organisation festgelegten Zeitplan durchgeführt, um sicherzustellen, dass alle Konten weiterhin erforderlich sind und über die richtigen Berechtigungsstufen verfügen?
• Korrekte Ausführung von Verfahren: Beispielsweise, ob beim Zurücksetzen oder Senden von Passwörtern eine ordnungsgemäße Überprüfung erfolgt oder ob die Netzwerkzugriffskontrollen korrekt konfiguriert sind.
6.3.4. Überprüfung und Genehmigung durch das Management
Die Überprüfung und Genehmigung durch das Management ist ein wichtiger Sicherheitsprozess, der die Bewertung, Berichterstattung und Genehmigung verschiedener sicherheitsrelevanter Dokumentationen umfasst. Diese Dokumentation ist nicht nur für Audits und Abstimmungen von entscheidender Bedeutung, sondern zeigt auch die Zustimmung des Managements und die Beteiligung am Sicherheitsprogramm. Darüber hinaus können diese Aufzeichnungen die gebotene Sorgfalt und Sorgfalt bei allen Problemen im Zusammenhang mit Sand- und Sicherheitsprozessen belegen.
Das folgende Rahmenwerk definiert formal den sicherheitsbezogenen Managementbewertungs- und Genehmigungsprozess:
• ISO 27001
Das Management muss regelmäßig die „fortdauernde Eignung, Angemessenheit und Wirksamkeit“ des Informationssicherheitsprogramms überprüfen.
•NIST und FedRAMP
Diese Frameworks definieren Managementrollen für die Bewertung und Autorisierung sowie die laufende Überwachung. Das Management muss die Pläne und Ergebnisse der Bewertung des Informationssystems überprüfen und dann eine formelle Entscheidung treffen, die die Verwendung des Systems genehmigt. Das Management nutzt außerdem kontinuierliche Überwachungsdaten, um die Wirksamkeit von Maßnahmen zur Risikobehebung sicherzustellen.
• Zertifizierung und Akkreditierung
Dabei handelt es sich um ähnliche Beurteilungs- und Genehmigungsprozesse. Bei der Zertifizierung handelt es sich um eine formelle Bewertung eines Systems oder Prozesses anhand einer Reihe von Standards, während es sich bei der Akkreditierung um eine formelle Feststellung handelt, ob ein System für die Ausführung einer bestimmten Funktion geeignet ist. Dieser Ansatz hilft Unternehmen bei der Entwicklung von Governance-Prozessen, um Systeme auf der Grundlage ihrer Sicherheitsfähigkeiten und -bedürfnisse offiziell zu bewerten und zu genehmigen.
• SOC 2
Dieser Rahmen verlangt vom Management, „Leistungskennzahlen“ festzulegen und „relevante, qualitativ hochwertige Informationen zur Unterstützung des Betriebs interner Kontrollen“ zu generieren und zu nutzen.
•Kontrollziele für Informationstechnologie (COBIT)
Hierbei handelt es sich um einen Managementrahmen für Informationstechnologie und Cybersicherheit, der die Verantwortung des Managements bei der Planung von Ressourcen, Fähigkeiten und Überwachungsaufgaben sowie die Aufgabe der Überprüfung organisatorischer Kontrollpläne hervorhebt.
6.3.5. Wichtige Leistungs- und Risikoindikatoren
Key Performance Indicators (KPIs) und Key Risk Indicators (KRIs) sind wichtige Instrumente zur Messung und Verfolgung der Wirksamkeit des Risikomanagements einer Organisation. KPIs werden verwendet, um die Wirksamkeit bestehender Risikominderungsmaßnahmen zu überwachen, während KRIs Organisationen dabei helfen können, Risiken, die in der Zukunft auftreten könnten, vorherzusehen und sich darauf vorzubereiten. Verschiedene Organisationen legen ihre eigenen KPIs und KRl entsprechend ihrer spezifischen Situation fest.
1. Key Performance Indicators (KPIs)
Hier sind einige häufige und wichtige KPIs:
•Mittlere Zeit bis zur Erkennung (MTTD): Misst die durchschnittliche Zeit, die benötigt wird, um einen Sicherheitsvorfall oder eine Bedrohung zu erkennen.
•Mittlere Wiederherstellungszeit (MTTR): Misst die durchschnittliche Zeit, die zur Behebung eines Sicherheitsvorfalls erforderlich ist.
• Sicherheitsbewertung: Viele Anbieter bieten eine Sicherheitsbewertung oder -bewertung an, die als wichtiger Indikator für den Reifegrad der Sicherheitsleistung eines Unternehmens verwendet werden kann.
•Return on Investment (ROI): Misst die Wirksamkeit von Kontrollen bei der Risikoreduzierung im Verhältnis zu den Kosten.
2. Key Risk Indicators (KRI): Hier sind einige wertvolle KRIs:
• Eine Zunahme der Sicherheitsvorfälle kann darauf hindeuten, dass sich die Bedrohungsumgebung geändert hat, was möglicherweise stärkere Sicherheitstools oder zusätzliches Personal zur Bewältigung erfordert.
-Anzahl der entdeckten Probleme: Eine Zunahme der Audit- und Bewertungsergebnisse kann auf Lücken im Sicherheitsprogramm hinweisen, deren Behebung möglicherweise zusätzliche Aufmerksamkeit oder Ressourcen erfordert.
• Anzahl der entdeckten oder gemeldeten Phishing-Versuche: Ein Anstieg der Phishing-Versuche weist häufig auf einen laufenden Angriff hin, da Angreifer versuchen, gültige Anmeldeinformationen für den Zugriff auf die Ressourcen einer Organisation zu erhalten. In diesem Zusammenhang müssen Unternehmen möglicherweise Überwachungssysteme hinzufügen, eine Multi-Faktor-Authentifizierung einführen, die Benutzerschulung verstärken und andere Maßnahmen ergreifen
6.3.6. Verifizierungsdaten sichern
Backup-Verifizierungsdaten können aus schriftlichen Protokollen von Backup-Vorfällen stammen, die von IT-Mitarbeitern manuell aufgezeichnet wurden, häufiger stammen sie jedoch aus Protokollen, die von der Backup-Anwendung oder dem Backup-System erstellt wurden. Alle kritischen Informationen sollten gesichert werden, falls ein Vorfall auftritt, der die Daten unbrauchbar macht oder das System beschädigt. Die Ereignisse, die zum Datenverlust führen, sollten zusammen mit dem vollständigen Wiederherstellungsprozess der gesicherten Daten gut dokumentiert werden. Die Backup-Strategie wird in Kapitel 7 ausführlich vorgestellt.
6.3.7. Schulung und Sensibilisierung
Die Einrichtung und Aufrechterhaltung eines Programms, das Sicherheitsbewusstsein, Aufklärung und Schulung bietet, ist von entscheidender Bedeutung, da Benutzer sowohl eine wichtige Verteidigungslinie gegen Angriffe als auch hochwertige Angriffsziele darstellen.
Im Folgenden sind wichtige Kennzahlen zur Beurteilung der Wirksamkeit solcher Programme aufgeführt:
•Schulungsabschlussquote: Mitarbeiter, die die Schulung nicht abschließen, neigen möglicherweise dazu, potenzielle Bedrohungen zu übersehen.
•Informationsspeicherung und Verhaltensänderung: Eine erfolgreiche Schulung setzt voraus, dass sich die Mitarbeiter das erlernte Wissen langfristig merken und anwenden.
•Kontinuierliche Aktualisierungen: Schulungsinhalte müssen aktualisiert werden, wenn sich Bedrohungen und Risiken ändern.
•An das Publikum anpassen: Schulungsmaterialien und -methoden müssen an das Qualifikationsniveau und die Lernbedürfnisse der Mitarbeiter angepasst werden.
6.3.8. Disaster Recovery (DR) und Business Continuity (BC)
DR- und BC-Daten sollten Details wie Ziele für kritische Wiederherstellungspunkte, Ziele für die Wiederherstellungszeit und die maximal zulässige Ausfallzeit enthalten. Am wichtigsten ist es zu beurteilen, wie gut die Organisation diese Ziele bei tatsächlichen Veranstaltungen erreicht.
Bei der Bewertung und Überwachung der Wirksamkeit von Disaster Recovery (DR)- und Business Continuity (BC)-Plänen sollten die folgenden Kernfragen berücksichtigt werden:
•Anpassbarkeit und Aktualität des Plans: Gibt es einen vollständigen BCDR- und Betriebskontinuitätsplan? Werden sie regelmäßig aktualisiert, um organisatorischen Änderungen Rechnung zu tragen?
• Bewusstsein und Bereitschaft des Personals: Verstehen wichtige Mitarbeiter ihre Rollen und Verantwortlichkeiten im Plan?
•Zugänglichkeit des Plans: Ist die neueste Version des Plans leicht verfügbar und sicher gespeichert?
•Umfassendheit des Plans: Deckt der Plan die aktuellen kritischen Funktionen der Organisation ab?
Rechtzeitige Aktualisierungen des Plans: Gibt es größere organisatorische Änderungen, die nicht im Plan berücksichtigt sind, wie etwa größere IT-Strukturänderungen oder Geschäftsaktivitäten?
Geplante Tests und Verbesserungen: Wird der Plan regelmäßig getestet und festgestellte Mängel behoben?
• Management von Abhängigkeiten von Drittanbietern: Wenn die Organisation auf kritische Drittanbieter oder Dienste angewiesen ist, werden diese Abhängigkeiten getestet?
•Integration mit anderen Prozessen: Sind andere Prozesse, wie z. B. das Übergabemanagement, in den BCDR-Plan integriert, um sicherzustellen, dass Änderungen in der Organisation angemessen neu bewertet werden?
6.4 Testausgabe analysieren und Berichte erstellen
6.4.1. Typischer Auditberichtsinhalt
Auditberichte umfassen normalerweise die folgenden Abschnitte:
•Zusammenfassung: Bietet einen Überblick über die Testaktivitäten und -ergebnisse.
-Annahmen und Einschränkungen: Zeigen Sie Einschränkungen und Voraussetzungen im Bewertungsprozess auf und stellen Sie einen Kontext für das Verständnis der Ergebnisse bereit.
•Umfang: Klären Sie den von der Bewertung abgedeckten Umfang.
•Aktivitätszusammenfassung: Bietet einen Überblick über alle vom Bewertungsteam durchgeführten Test- und Auditaktivitäten.
•Befunde und Probleme: Listen Sie alle Befunde, Mängel oder Probleme auf und geben Sie deren Standort, Schweregrad und zugehörige Beweise an
• Vorschläge: Stellen Sie Lösungen und Vorschläge für die erkannten Probleme bereit, im Allgemeinen einschließlich Lösungsschritten und spezifischen Konfigurationsbefehlen, die möglicherweise erforderlich sind.
•Anhänge: Der Anhang-Passband enthält detaillierte Informationen außerhalb des Hauptteils des Berichts, wodurch der Bericht einfacher zu lesen und zu verstehen ist und Technikern gleichzeitig die detaillierten Informationen zur Verfügung gestellt werden, die sie benötigen.
6.4.2. Abhilfemaßnahmen
1. Abhilfemaßnahmenprozess:
1) Identifizieren Sie Probleme: Entdecken Sie Lücken oder Probleme in der Sicherheitskontrolle.
2) Erstellen Sie einen Plan: Erstellen Sie einen Behebungsplan, um das Problem zu lösen.
3) Behebung durchführen: Befolgen Sie den Plan zur Behebung des Problems.
4) Erneuter Test: Erneuter Test, um die Wirksamkeit des Mittels zu bestätigen.
2. Elemente eines Sanierungsplans:
•Problemdetails: Beschreiben Sie das gefundene Problem im Detail.
• Minderungsmaßnahmen: geplante Abhilfeschritte oder -maßnahmen.
•Priorität: Priorisieren Sie Probleme basierend auf ihrer Schwere und ihrem Risiko.
•Lösungszeit: Die geschätzte Gesamtzeit, die zur Lösung des Problems erforderlich ist.
•Ressourcenanforderungen: Die Ressourcen, die zur Durchführung von Behebungsmaßnahmen erforderlich sind.
••Meilensteine und Erwartungen: Legen Sie wichtige Abschlusstermine und gewünschte Ergebnisse fest.
3. Die Bedeutung von Wiederholungstests:
Ein erneuter Test ist ein entscheidender Schritt zur Bestätigung, dass Abhilfemaßnahmen wirksam sind, was in der Regel durch regelmäßige Schwachstellenscans überprüft wird.
6.4.3. Ausnahmebehandlung
1. Definition:
Bezieht sich auf den Umgang mit Problemen, die während einer Prüfung oder Sicherheitsbewertung entdeckt wurden und nicht durch herkömmliche Abhilfemaßnahmen behoben werden können.
2.Zweck:
Gewähren Sie vorübergehend Ausnahmen, um Probleme zu beheben, die nicht direkt gelöst werden können. Diese Ausnahmen sollten nur vorübergehend gewährt werden und es sollte keine dauerhaften Ausnahmeanträge geben. Bei langfristigem Bedarf sollten relevante Richtlinien aktualisiert werden, um sie an neue Bedürfnisse anzupassen.
3. Aufgezeichnete Informationen:
• Risikodetails: Geben Sie spezifische Details zum Risiko, Mangel oder Problem an und geben Sie an, wann und von wem es entdeckt wurde.
•Gründe für Anomalien: Das Management muss erklären, warum ein bestimmtes Risiko nicht gemindert werden kann.
. Kompensierende Kontrollen: Wenn ein Risiko nicht direkt angegangen werden kann, um den Risikowert der Organisation zu erreichen, erwägen Sie eine teilweise Minderung des Risikos durch kompensierende Kontrollen (z. B. eine verstärkte Überwachung).
. Ausnahmegenehmigung: Das Management muss klar entscheiden, zusätzliche Risiken einzugehen und den Überprüfungs- und Genehmigungsprozess dokumentieren, um die Verantwortlichkeiten zu klären.
•Ausnahmedauer: Die meisten Ausnahmen sollten vorübergehend gewährt werden, mit einer klaren Gültigkeitsdauer für die Ausnahmebehörde.
6.4.4. Ethische Offenlegung
1. Best Practices für ethische Offenlegung
Organisationen sollten darauf vorbereitet sein, ethische Offenlegungen über Schwachstellen zu erhalten. Dazu gehört die Entwicklung einer Offenlegungsrichtlinie, die Entgegennahme von Offenlegungen über Schwachstellen und das Vermeiden einer feindseligen Haltung. Als Sicherheitsforscher oder ethischer Hacker sollten Sie sich an diese Richtlinien halten und im Rahmen des Gesetzes handeln.
2. Art der offengelegten Schwachstelle:
• Geheimhaltung: Die Offenlegung einer Sicherheitslücke kann aufgrund vertraglicher oder gesetzlicher Verpflichtungen verboten sein. Beispielsweise kann die Offenlegung der Sicherheitslücke einer laufenden strafrechtlichen Untersuchung schaden.
•Vollständige Offenlegung: Wenn eine Schwachstelle entdeckt wird, sollte sie so schnell wie möglich vollständig und transparent der für die Behebung verantwortlichen Organisation gemeldet werden. Allerdings können viele Anbieter gegenüber Forschern, die Schwachstellen melden, ablehnend reagieren.
•Verantwortungsvolle Offenlegung: Dieser Grundsatz besagt, dass Entdecker Schwachstellen unverzüglich der Organisation melden und der Organisation Zeit geben sollten, die Schwachstelle zu beheben, bevor sie öffentlich bekannt gegeben werden.
•Meldepflicht: In manchen Fällen kann es Pflicht sein, entdeckte Schwachstellen den Strafverfolgungsbehörden oder anderen Behörden zu melden.
• Whistleblowing: Falls eine Sicherheitslücke entdeckt wird und der Whistleblower die geeigneten Kanäle nutzt, um die entdeckte Schwachstelle offenzulegen, kann er rechtlich vor einer Strafverfolgung wegen Urheberrechtsverletzung oder anderen relevanten Gesetzen geschützt sein.
6.5. Durchführung oder Förderung von Sicherheitsaudits
6.5.1. Gemeinsame Prüfungsrahmen
Sicherheitsexperten können mithilfe von Audits die Einhaltung verschiedener Sicherheitsstandards durch ein Unternehmen bewerten. Der Prüfungsplan muss über Managementunterstützung, angemessene Ressourcen, eine wirksame Aufsicht und realistische Zeitpläne verfügen. Hier sind einige gängige Audit-Frameworks:
1) SSAE 18 (SOC 2): Konzentriert sich auf die Kontrollen einer Serviceorganisation über Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.
2) ISO/EC 15408-1:2009: Bietet einen allgemeinen Rahmen für die Bewertung der Sicherheitsfunktionen von Produkten und Systemen der Informationstechnologie.
3) 1SO/EC 18045:2008: Bietet Methoden zur Durchführung von ISO/EC 15408-Bewertungen.
4) 1SO/EC 27006:2015: Spezifiziert die Anforderungen für die Durchführung der Zertifizierung des Informationssicherheits-Managementsystems (ISMS) nach ISO/EC 27001.
5) NIST SP 800-53A: Bietet eine Methode zur Bewertung von Sicherheitskontrollen für Bundesinformationssysteme.
6) NIST CSF: Bietet ein Risikomanagement-Framework zur Verbesserung der Sicherheit der Netzwerke und Informationssysteme einer Organisation.
7 FedRAMP SAF: Sicherheitsbewertungsrahmen des Federal Risk and Authorization Management Program für Cloud-Produkte und -Dienste der Bundesregierung.
Während eines Audits werden häufig Stichproben durchgeführt, um den Arbeitsaufwand zu reduzieren und gleichzeitig ein Verständnis für mögliche Mängel sicherzustellen. Die Stichprobe sollte für die Gesamtheit der Prüfung repräsentativ sein.
6.5.2. Internes Audit
Interne Audits sind Audits, die von Personen innerhalb einer Organisation durchgeführt werden. Es weist folgende Eigenschaften auf:
•Vertrautheit: Interne Prüfer verfügen über umfassende Kenntnisse der Prozesse, Tools und Mitarbeiter der Organisation, wodurch sie die internen Kontrollen und die betriebliche Wirksamkeit der Organisation besser verstehen und bewerten können.
•Risiko der Voreingenommenheit: Interne Prüfer übersehen oder interpretieren möglicherweise bestimmte Aspekte der Abläufe der Organisation falsch, weil sie mit den Abläufen der Organisation übermäßig vertraut sind. Daher müssen sie versuchen, objektiv zu bleiben oder die Meinung externer Beobachter einzuholen
. Unabhängigkeitsprobleme: Da interne Prüfer Teil der Organisation sind, können sie einem Druck ausgesetzt sein, der ihr unabhängiges Urteil und ihre unparteiische Berichterstattung beeinträchtigt.
• Vorbereitung auf externe Audits: Interne Audits werden oft genutzt, um Probleme, die bei externen Audits entdeckt werden könnten, vorab zu entdecken und zu lösen, um bessere Ergebnisse während des formellen externen Audits zu erzielen.
6.5.3. Externes Audit
Ein externes Audit ist ein Audit, das von einem Prüfer außerhalb der Organisation durchgeführt wird. Zu seinen Hauptmerkmalen gehören:
. Unabhängigkeit: Externe Prüfer werden nicht durch den Druck innerhalb der Organisation beeinflusst und können daher die Prüfung objektiv und unparteiisch durchführen. Sie können die Abläufe und Kontrollen einer Organisation unvoreingenommen betrachten und eine unvoreingenommene Meinung abgeben.
•Spezialisierte Fähigkeiten: Externe Wirtschaftsprüfer verfügen in der Regel über hochspezialisierte Fähigkeiten und Erfahrungen, beispielsweise zertifizierte Wirtschaftsprüfer (CPA). Sie können komplexe Auditaufgaben wie SOC 2-Audits durchführen.
•Kosten und Zeit: Externe Audits kosten in der Regel mehr als interne Audits, was teilweise auf die Zeit zurückzuführen ist, die erforderlich ist, um die Abläufe und Prozesse der Organisation zu verstehen. Darüber hinaus kann es sein, dass ihnen einige Details entgehen, weil sie mit der Organisation nicht vertraut sind.
•Compliance-Anforderungen: Viele Compliance-Rahmenwerke und -Vorschriften verlangen von Unternehmen die Durchführung regelmäßiger externer Audits, um die Wirksamkeit ihrer internen Kontrollen nachzuweisen.
6.5.4. Prüfung durch Dritte
Beim Third-Party-Audit handelt es sich um einen Risikobewertungsprozess für die externen Lieferanten oder Partner einer Organisation, der im Wesentlichen Folgendes umfasst:
•Risikomanagement-Tools: Die Prüfung durch Dritte ist ein wichtiges Instrument für das Risikomanagement in Beziehungen mit Dritten wie Lieferanten, Partnern usw. Es hilft, Risiken zu erkennen und zu mindern, die sich auf die Organisation auswirken können.
• Schutz sensibler Daten: Es ist äußerst wichtig, Sicherheitsüberprüfungen bei Dritten durchzuführen, die Zugriff auf die sensiblen Daten der Organisation haben. Dies kann Organisationen dabei helfen, die rechtliche Haftung aufgrund von Sicherheitsvorfällen zu reduzieren, die von Dritten verursacht werden.
•Gemeinsame Audits durch Dritte: Zu den gängigen Audits durch Dritte gehören SOC2-Audits und CSA STAR-Audits. Während des Auditprozesses muss auf Auditstandards, Datenaustausch, Risikoerkennung, Risikoreaktionsmethoden Dritter und deren Reparaturpläne geachtet werden.
•Komplexität der Lieferkette: Aufgrund der Komplexität moderner Lieferketten ist der Prozess der Risikobewertung durch Dritte immer komplexer geworden. Unternehmen müssen alle Lieferanten in ihrer Lieferkette identifizieren und sicherstellen, dass sie angemessen geprüft und bewertet werden, um die Risiken, denen sie ausgesetzt sind, zu minimieren.
Rezensionsfragen
1. Bei der Durchführung eines Port-Scans hat Susan ein System gefunden, das Dienste auf den TCP- und UDP-Ports 137–189 sowie TCP 445 und 1433 ausführt. Wenn sie mit dieser Maschine verbunden wäre, welche Art von System würde sie wahrscheinlich vorfinden? A. Ein Linux-E-Mail-Server B. Ein Windows SQL-Server C. Ein Linux-Dateiserver D. Eins-in-eins-Windows-Workstation
B
139\445
2. Welche der folgenden Methoden ist eine Methode zum automatischen Entwerfen von Tests für neue Software und zum Sicherstellen der Testqualität? A. Code-Audit B. Statische Codeanalyse C. Regressionstests D. Mutationstests
D
3. Bei der Durchführung eines Port-Scans stellte Naomi fest, dass der TCP-Port 443 auf einem System geöffnet war. Welches Tool eignet sich am besten zum Scannen von Diensten, die möglicherweise auf diesem Port ausgeführt werden? A. ZZUf B. Nikto C. Metasploit D. sqlmap
B
WEB-Penetration: FireBug, Autoproxy, nmap, sqlmap, metasploit, Wireshark Fuzz-Tests liefern Software ungültige Eingaben (zufällig generierte oder speziell erstellte Eingaben) zzuf Scannen von Sicherheitslücken in der SQLMAP-Datenbank Scannen von Web-Schwachstellen: Nikto Netzwerk-Port-Scan: nmap
4. Welcher Nachrichtenprotokollierungsstandard wird üblicherweise von Netzwerkgeräten, Linux- und Unix-Systemen und vielen anderen Unternehmensgeräten verwendet? A. Syslog B. Netlog C. Ereignisprotokoll D. Remote Logging Protocol (RLP)
A
5 Alex möchte automatisierte Tools zum Ausfüllen von Webanwendungsformularen verwenden, um sie auf Schwachstellen in Formatzeichenfolgen zu testen. Welche Art von Werkzeug sollte er verwenden? A. Blackbox B. Brute-Force-Cracking-Werkzeuge C. Fuzzer D. Statische Analysetools
C
P579 Fuzz-Tests – Softwaregrenzen testen, Zeichenfolgen am Ende anhängen und andere Datenmanipulationsmethoden durchführen
6. Susan muss einen Schwachstellenscan auf einem System durchführen und möchte ein Open-Source-Tool verwenden, um das System aus der Ferne zu testen. Welches der folgenden Tools erfüllt ihre Anforderungen und ermöglicht das Scannen von Schwachstellen? A. Nmap B.OpenVAS C.MBSA D Nessus
B
OpenVAS, das für OpenVulnerability AssessmentScanner steht, ist ein äußerst vertrauenswürdiges Open-Source-Tool. Dank der umfangreichen Funktionalität und der benutzerfreundlichen Oberfläche können Benutzer bekannte Sicherheitslücken einfach erkennen und beheben. Microsoft Baseline Security Analyzer (MBSA) kann nach Betriebssystem- und SQL Server-Updates suchen. MBSA kann Computer auch auf unsichere Konfigurationen scannen. Nessus ist die weltweit am häufigsten verwendete Software zum Scannen und Analysieren von Systemschwachstellen. Im Jahr 2002 gründeten Renaud, Ron Gula und Jack Huffard eine Organisation namens Tenable Network Security. Als die dritte Version von Nessus veröffentlicht wurde, nahm die Organisation das Urheberrecht und den Programmquellcode von Nessus (ursprünglich Open Source) zurück und registrierte ihn als Website der Organisation. Diese Einrichtung befindet sich in Columbia, Maryland, USA.
7. Morgan implementiert ein System zur Bewertung und Bewertung von Schwachstellen, das standardbasierte Komponenten verwendet, um entdeckte Schwachstellen zu bewerten und zu bewerten. Management System. Welche der folgenden Methoden wird am häufigsten zur Angabe des Schweregrads einer Schwachstelle verwendet? A. CCE B.CVSS С. СРЕ D.OVAL
B
•Common Vulnerabilities and Exposures (CVE): Bietet ein Benennungssystem zur Beschreibung von Sicherheitslücken. •Common Vulnerability Scoring System (CVSS): Bietet ein standardisiertes Bewertungssystem, das den Schweregrad von Sicherheitslücken beschreibt. •Common Configuration Enumeration (CCE): Bietet ein Benennungssystem für Systemkonfigurationsprobleme. •Common Platform Enumeration (CPE): Bietet ein Benennungssystem für Betriebssysteme, Anwendungen und Geräte. •Extensible Configuration Checklist Description Format (XCCDF): Stellt eine Sprache zur Beschreibung von Sicherheitschecklisten bereit. •Open Vulnerability and Assessment Language (OVAL): Stellt eine Sprache zur Beschreibung des Sicherheitstestprozesses bereit.
Beschreibung der Sicherheitslücke •Security Content Automation Protocol (SCAP): SCAP ist ein allgemeiner Standard für die Beschreibung und Bewertung von Schwachstellen, der von NIST der Sicherheitsgemeinschaft zur Verfügung gestellt wird und die Automatisierung von Interaktionen zwischen verschiedenen Sicherheitssystemen fördert. Zu den SCAP-Komponenten gehören: •Common Vulnerabilities and Exposures (CVE): Bietet ein Benennungssystem zur Beschreibung von Sicherheitslücken. •Common Vulnerability Scoring System (CVSS): Bietet ein standardisiertes Bewertungssystem, das den Schweregrad von Sicherheitslücken beschreibt. •Common Configuration Enumeration (CCE): Bietet ein Benennungssystem für Systemkonfigurationsprobleme. •Common Platform Enumeration (CPE): Bietet ein Benennungssystem für Betriebssysteme, Anwendungen und Geräte. •Extensible Configuration Checklist Description Format (XCCDF): Stellt eine Sprache zur Beschreibung von Sicherheitschecklisten bereit. •Open Vulnerability and Assessment Language (OVAL): Stellt eine Sprache zur Beschreibung des Sicherheitstestprozesses bereit.
8.Jim wurde beauftragt, Penetrationstests in der Hauptfiliale einer Bank durchzuführen. Um den Test so realitätsnah wie möglich zu gestalten, wurden ihm außer Name und Adresse keine Angaben zur Mutterbank gemacht. Welche Art von Penetrationstests willigt Jim ein? A. Crystal-Box-Penetrationstest B. Gray-Box-Penetrationstests C. Black-Box-Penetrationstests D. White-Box-Penetrationstests
C
9. Als Antwort auf eine Angebotsanfrage erhielt Susen einen SSAE 18 SOC-Bericht. Wenn sie möchte, dass der Bericht Details über die Wirksamkeit der Operation enthält, auf welcher Grundlage und warum sollte sie Susan weitere Fragen stellen? A. Ein SOC 2Typ II-Bericht, da Typ I die betriebliche Wirksamkeit nicht abdeckt B. Ein SOC 1-Typ-I-Bericht, da SOC 2 die betriebliche Wirksamkeit nicht abdeckt C. Ein SOC2-Typ-I-Bericht, da SOC2-Typ-II die betriebliche Wirksamkeit nicht abdeckt D. Ein sOC3-Bericht, da die SOC1- und SOC2-Berichte veraltet sind
A
P563 SSAE 18- und ISAE 3402-Anweisungen werden allgemein als Service Organization Controls (SOC)-Audits bezeichnet und gibt es in drei Formen. SOC1-Erklärung: Bewerten Sie organisatorische Kontrollen, die sich auf die Genauigkeit der Finanzberichterstattung auswirken können. SoC2-Erklärung: Bewerten Sie die Kontrollen der Organisation, die sich auf die Sicherheit (Vertraulichkeit, Integrität und Verfügbarkeit) und den Datenschutz der im System gespeicherten Informationen auswirken. Die Ergebnisse des SOC2-Audits sind vertraulich und werden im Allgemeinen nur im Rahmen einer Vertraulichkeitsvereinbarung weitergegeben. SOC3-Erklärung: Bewerten Sie die Kontrollen der Organisation, die sich auf die Sicherheit (Vertraulichkeit, Integrität und Verfügbarkeit) und den Datenschutz der im System gespeicherten Informationen auswirken. Die Ergebnisse der SOC3-Prüfung sind jedoch zur öffentlichen Offenlegung bestimmt.
•Geben Sie „Ich melde“ ein Berichte vom Typ I beschreiben die von der geprüften Organisation bereitgestellten Kontrollen und die auf dieser Beschreibung basierende Stellungnahme des Prüfers. Typ-I-Berichte beziehen sich auf einen bestimmten Zeitpunkt und beinhalten keine tatsächliche Prüfung der Kontrollen durch den Prüfer. •Berichterstattung vom Typ II Berichte vom Typ II decken einen Zeitraum von mindestens 6 Monaten ab und enthalten auch die Meinung des Prüfers zur Wirksamkeit dieser Kontrollen auf der Grundlage tatsächlicher Testergebnisse. Berichte vom Typ II gelten im Allgemeinen als zuverlässiger als Berichte vom Typ I, da Berichte vom Typ II unabhängige Tests von Kontrollen umfassen. Mit Berichten vom Typ I kann die Serviceorganisation lediglich nachweisen, dass die Kontrollen wie beschrieben implementiert wurden.
10. Während eines Penetrationstests für ein drahtloses Netzwerk verwendet Suson eine Passwortdatei, um alrcrack-ng für das Netzwerk auszuführen. Welcher der folgenden Faktoren könnte dazu beigetragen haben, dass ihr Versuch, den Code zu knacken, scheiterte? A. Verwenden Sie WPA2-Verschlüsselung B. Ausführen des Enterprise-Modus in WPA2 C. Verwenden Sie WEP-Verschlüsselung Port. PSK-Modus in WPA2 ausführen
C
11. Im Laufe eines Arbeitstages trat in einem beliebten Apache-Webserver eine Zero-Day-Sicherheitslücke auf. Als Informationssicherheitsanalyst muss Jacob sein Netzwerk schnell scannen, um festzustellen, welche Server von dem Problem betroffen sind. Jacob Wie kann man am schnellsten ein System identifizieren, das für eine Schwachstelle anfällig ist? A Führen Sie sofort einen Nessus-Scan aller Server durch, um festzustellen, welche Systeme anfällig sind. B. Überprüfen Sie die CVE-Datenbank auf Informationen zu Schwachstellen und Patches. C. Erstellen Sie eine benutzerdefinierte IDS- oder IPS-Signatur. D. Ermitteln Sie die betroffene Version und verwenden Sie ein automatisiertes Scan-Tool, um die Versionsnummer des Systems zu überprüfen.
D
12. Durch welche Art von Tests wird sichergestellt, dass individuell entwickelte Softwaremodule korrekt Daten austauschen? A.Fuzzing (Fuzz-Test) B. Dynamisches Testen C. Schnittstellentests D.API-Prüfsumme
C
13. Salen möchte Kunden, die die Cloud-Dienste der lokalen Organisation nutzen möchten, Informationen zur Sicherheitsbewertung zur Verfügung stellen. Welche der folgenden Sollen Optionen ausgewählt werden, um sicherzustellen, dass möglichst viele Kunden mit den Bewertungsinformationen zufrieden sind? A nutzt das interne Revisionsteam 4, um Selbstbewertungen auf der Grundlage interner Kennzahlen durchzuführen. B. Beauftragen Sie einen externen Prüfer. C. Setzen Sie internes technisches Personal ein, das das System versteht. D. Nutzen Sie das interne Auditteam, um Selbstbewertungen anhand häufig verwendeter Standards wie COBIT durchzuführen.
B
14. Yasmine wurde gebeten, über ein Einbruchs- und Angriffssimulationssystem nachzudenken. Nach welcher Art von System sollte sie suchen? A. Ein Ticketing- und Änderungsmanagementsystem zur Unterstützung bei der Bewältigung von Vorfällen B. Ein System zur Durchführung von Incident-Response-Simulationen für blaue Teams, um ihre Fähigkeiten zu testen C. Ein automatisiertes System, das Red-Team- und Blue-Team-Technologien kombiniert D. Ein SOAR-System (Security Operations and Response).
C
15.Monica möchte Informationen über das Sicherheitsbewusstsein der Organisation sammeln. Die gebräuchlichsten Techniken zur Bewertung des Sicherheitsbewusstseins Was ist es? A. Angelsimulator B. Gamifizierte Anwendungen C. Bewertungstest D. Fragebogen
D
16.Jim wurde beauftragt, einen Gray-Box-Penetrationstest durchzuführen und sein Kunde stellte ihm die folgenden Informationen über sein Netzwerk zur Verfügung, damit er es scannen konnte: Rechenzentrum: 10.10.10.0/24 Verkauf: 10.10.11.0/24 Abrechnung: 10.10.12.0/24 Drahtloses Netzwerk: 192.168.0.0/16 Auf welche Probleme würde es stoßen, wenn man ihm das Scannen von außen anvertrauen würde? A. Der IP-Bereich ist zu groß und kann nicht effizient gescannt werden. B. Die angegebene IP-Adresse kann nicht gescannt werden. C. Doppelte IP-Bereiche führen zu Scanproblemen. D. Die angegebene IP-Adresse ist eine RFC 1918-Adresse.
D
17. Marks Unternehmen wurde darüber informiert, dass ihre Webanwendung angreifbar sei. Anonymous informierte ihn haben sie zwei Wochen Zeit, das Problem zu beheben, bevor sie Details zur Schwachstelle und einen Beispiel-Exploit-Code veröffentlichen. verbinden Gegen welchen Branchenkodex wurde von einer Person in Marks Unternehmen verstoßen? A. Zero-Day-Reporting B. Ethische Offenlegung C. Ethisches Hacking D.(SC)2 Ethikerklärung zur Offenlegung von Sicherheitslücken
B
Betrachten Sie für die Fragen 18–20 das folgende Szenario: Jennifers Unternehmen hat eine zentralisierte Protokollierungsinfrastruktur implementiert, wie in der folgenden Abbildung dargestellt. verwenden Nutzen Sie dieses Diagramm und Ihr Wissen über Protokollierungssysteme, um die folgenden Fragen zu beantworten. 18.Jennifer muss sicherstellen, dass alle Windows-Systeme dem SIEM dieselben Protokollinformationen bereitstellen. Wie kann sie am besten sicherstellen, dass alle Windows-Desktopsysteme über dieselben Protokollierungseinstellungen verfügen? A. Führen Sie regelmäßige Konfigurationsprüfungen durch. B. Gruppenrichtlinien verwenden. C. Verwenden Sie lokale Richtlinien. D. Stellen Sie den Windows-Syslog-Client bereit. 19. Während des normalen Betriebs verwendet Jennifers Team ein SIEM-Gerät, um Anomalien über Syslog zu überwachen. Welches System zeigt eine Situation an, die keine Syslog-Ereignisse unterstützt? A. Drahtloser Unternehmenszugangspunkt B. Windows-Desktopsystem C.Linux-Webserver D. Enterprise-Firewall-Ausrüstung 20. Welche Techniken sollte die Organisation für jedes im Diagramm dargestellte Gerät verwenden, um eine zeitgesteuerte Protokollierung in der gesamten Infrastruktur sicherzustellen? A. Syslog B.NTP C.Logsync D. SNAP
B
B
P582 Windows muss einen Drittanbieter-Client installieren, um Syslog und Windows-Gruppenrichtlinien zu unterstützen
B
21. Während eines Penetrationstests muss Hetele das System identifizieren, hat aber noch nicht genügend Berechtigungen erhalten, um Rohpakete auf dem verwendeten System zu generieren. Welche Art von Scan sollte sie durchführen, um die offensten Dienste zu überprüfen? A. TCP-Verbindungsscan B. TCP-SYN-Scan C. UDP-Scannen D.ICMP-Scan
A
22. Beim Durchführen eines Port-Scans mit nmap fand Josezoh ein System, das zwei offene Ports anzeigte. Mund, der ihn sofort beunruhigte: 21/geöffnet 23/geöffnet Welche Dienste könnten auf diesen Ports laufen? A.SSH und FTP B. FTP und Telnet C. SMTP und Telnet D. POP3 und SMTP
B
23.Aaron möchte die Einhaltung von PCI-DSS durch sein Unternehmen überprüfen. Sein Unternehmen ist eine große Unternehmensorganisation mit Transaktionen in Millionenhöhe pro Jahr. Wie führen große Unternehmen diese Art von Tests am häufigsten durch? A. Selbsteinschätzung B. Führen Sie eine Bewertung von COBIT durch Dritte durch C. Arbeiten Sie mit einem anderen Unternehmen zusammen und führen Sie einen Bewertungsaustausch zwischen den beiden Organisationen durch D. Beauftragen Sie einen qualifizierten Sicherheitsgutachter mit der Durchführung einer externen Bewertung
D
24. Was ist eine gängige Methode zur Bewertung der Softwaretestabdeckung für die potenzielle Nutzung einer Anwendung? A. Analyse der Testabdeckung B. Überprüfung des Quellcodes C. Fuzzy-Analyse D. Code-Überprüfungsbericht
A
25. Tests, die sich auf Funktionen konzentrieren, die das System nicht zulassen sollte, sind Beispiele für welche Art von Tests? A. Anwendungsfalltests B. Manuelles Testen C. Prüfung von Missbrauchsfällen D.Dynamische Prüfung
C
26. Bei welcher Art der Überwachung wird simulierter Datenverkehr zu einer Website verwendet, um die Leistung zu überwachen? A. Protokollanalyse B. Umfassende Leistungsüberwachung C. Passive Überwachung D. Simulierte Transaktionsanalyse
B
27.Perek möchte sicherstellen, dass seine Organisation alle Änderungen an allen Konten während ihres gesamten Lebenszyklus verfolgt. In welche Art von Tools sollte seine Organisation investieren? A. Verzeichnisdienst wie LDAP B.IAM-System C. SIEM-System D.EDR-System
B
Lightweight Directory Access Protocol (englisch: Lightweight Directory Access Protocol, Abkürzung: LDAP) ist ein offenes, neutrales Anwendungsprotokoll nach Industriestandard, das Zugriffskontrolle bietet und Verzeichnisinformationen verteilter Informationen über das IP-Protokoll verwaltet. Unified Identity Authentication Management Platform (IAM) Security Information and Event Management (SIEM) ist eine Sicherheitslösung, die Unternehmen dabei hilft, potenzielle Sicherheitsbedrohungen und Schwachstellen zu erkennen und zu beheben, bevor sie den Geschäftsbetrieb beeinträchtigen können. SIEM-Systeme helfen Sicherheitsteams in Unternehmen, Anomalien im Benutzerverhalten zu erkennen und künstliche Intelligenz (KI) zu nutzen, um viele manuelle Prozesse im Zusammenhang mit der Erkennung von Bedrohungen und der Reaktion auf Vorfälle zu automatisieren. Die ursprüngliche SIEM-Plattform ist ein Protokollverwaltungstool, das Security Information Management (SIM) und Security Event Management (SEM) kombiniert, um eine Echtzeitüberwachung und -analyse sicherheitsrelevanter Ereignisse sowie die Verfolgung und Aufzeichnung von Sicherheitsdaten für Compliance oder Audits zu ermöglichen Zwecke. (Gartner prägte den Begriff SIEM im Jahr 2005, um sich auf die Kombination von SIM- und SEM-Technologien zu beziehen.) SIEM-Software hat sich im Laufe der Jahre weiterentwickelt, um Benutzer- und Entitätsverhaltensanalysen (UEBA) und andere fortschrittliche Sicherheitsanalysen, künstliche Intelligenz und maschinelle Lernfunktionen zu integrieren , wird verwendet, um anomales Verhalten und erweiterte Bedrohungsindikatoren zu identifizieren. Heute ist SIEM ein fester Bestandteil moderner Security Operations Center (SOCs) für Anwendungsfälle in den Bereichen Sicherheitsüberwachung und Compliance-Management. Endpoint Detection and Response (EDR) ist eine Form der Technologie, die eine kontinuierliche Überwachung und Reaktion auf fortgeschrittene Cybersicherheitsbedrohungen für Unternehmensnetzwerke und -systeme ermöglicht. EDR ist ein Teilbereich der Endpunktsicherheit, der einen ganzheitlichen Ansatz zum Schutz von Unternehmensnetzwerken und -daten verfolgt, wenn Mitarbeiter über Laptops, Smartphones und andere mobile Geräte remote auf das Netzwerk zugreifen. Da sich diese Assets am Ende der Kette befinden, die Benutzer mit dem Technologie-Stack des Unternehmens verbindet, werden sie Endpunkte genannt.
28.Jm scannt das System mithilfe eines Tools nach verfügbaren Diensten und stellt dann eine Verbindung zu diesen Diensten her, um Bannerinformationen zu sammeln und so die Version des Dienstes zu ermitteln. Anschließend wird ein Bericht mit detaillierten Angaben zu den gesammelten Daten bereitgestellt, basierend auf Service-Fingerabdrücken, Bannerinformationen und ähnlichen Details, kombiniert mit CVE-Informationen für die Ergebnisse. Welche Art von Werkzeug verwendet Jim? A. Port-Scanner B. Service-Validator C. Schwachstellenscanner D. Patch-Management-Tools
C
29.Emily schreibt ein Skript, um Daten an eine Webanwendung zu senden, die sie testet. Jedes Mal, wenn das Skript ausgeführt wird, sendet es eine Reihe von Datentransaktionen, die den erwarteten Anforderungen der Webanwendung entsprechen, um sie zu überprüfen Reaktionen auf typisches Kundenverhalten. Welche Art von Transaktion verwendet sie und um welche Art von Test handelt es sich? A. Umfassende, passive Überwachung B. Umfassende Anwendungsfalltests C. Tatsächliche, dynamische Überwachung D. Tatsächliche Fuzz-Tests
B
30. Welche passive Überwachungstechnologie zeichnet alle Benutzerinteraktionen mit einer Anwendung oder Website auf, um die Qualität sicherzustellen? und Leistung? A. Client/Server-Tests B. Echte Benutzerüberwachung C. Umfassende Benutzerüberwachung D. Passive Benutzeraufzeichnung
B
31Anfang dieses Jahres entdeckte das Informationssicherheitsteam von Jims Arbeitgeber eine Schwachstelle im Webserver, für dessen Wartung er verantwortlich war. Er hat den Patch sofort angewendet und war überzeugt, dass er korrekt installiert wurde, Schwachstellenscans haben das System jedoch immer noch fälschlicherweise als anfällig gekennzeichnet. Um dieses Problem zu lösen, damit es nicht mehr falsch beschriftet wird? A. Deinstallieren Sie den Patch und installieren Sie ihn erneut. B. Fordern Sie das Informationssicherheitsteam auf, das System als repariert zu markieren und diese spezifische Schwachstelle nicht mehr zu bergen. C. Aktualisieren Sie die Versionsinformationen in der Webserverkonfiguration. D. Überprüfen Sie den Schwachstellenbericht und nutzen Sie andere Korrekturoptionen.
B
32 Anools will mit automatisierten Tools die Verarbeitung externer Daten durch Webbrowser testen. Sie sollte untergehen Welches Werkzeug soll ich wählen? A. Nmap B.zzuf C. Nessus D. Nikto
B
Netzwerk-Schwachstellenscanner: •Nessus, ein weit verbreiteter Schwachstellenscanner. •QualysGuard, Qualys Corporation. •NeXpose, ein Rapid7-Unternehmen. •OpenVAS, ein Open-Source-Scanner.
Zu den häufig verwendeten Tools zum Scannen von Schwachstellen in Webanwendungen gehören: •Nessus •Kommerzieller Scanner Acunetix •Open-Source-Scanner Nikto und Wapiti •Open-Source-Scanner Wapiti •Proxy-Tool BurpSuite
Netzwerkerkennungsscanner: Nmap Weihnachtsscan
Datenbank-Schwachstellenscan: sqlmap
Penetrationswerkzeuge: Metasploit
erinnern
33. STRIDE steht für Impersonation, Tampering, Denial, Information Disclosure, Denial of Service, Elevation of Privilege. In welchem Teil der Anwendungsbedrohungsmodellierung ist es nützlich? A. Schwachstellenbewertung B. Missbrauchsfalltests C. Bedrohungsklassifizierung D. Planung von Penetrationstests
C
1. Spoofing ist Verschleierung. Wenn ich zum Beispiel die ID einer anderen Person verwende, handelt es sich um Identitätsspoofing, also um IP-Spoofing. 2. Manipulation bedeutet Manipulation. Wenn ich beispielsweise die ID einer anderen Person verwende, um legitime Pakete zu manipulieren, verfügt der Server nicht über entsprechende Überprüfungsmaßnahmen. 3. Ablehnung bedeutet, sich zu weigern, es zuzugeben, wenn ich beispielsweise diese Angriffe durchgeführt habe und sie nicht wussten, dass ich es getan habe, und es keine Beweise dafür gibt, dass ich es getan habe, muss ich es nicht zugeben. 4. Unter Offenlegung von Informationen versteht man die Weitergabe von Informationen. Beispielsweise ist die Reihe digitaler Bilder nicht geschützt und die Informationen auf den Bildern können leicht von anderen eingeholt werden. 5. Denial of Services ist ein Denial of Service. Durch mein automatisches Posten ist es beispielsweise für normale Benutzer nicht verfügbar. 6. Privilegienerweiterung ist die Erweiterung von Privilegien. Wenn ich beispielsweise versuche, Dinge mit Administratorrechten zu erledigen, fällt dies in diese Kategorie.
34. Warum sollte zusätzlich zur Implementierung drahtloser Sicherheitstechnologien wie drahtloser Einbruchmeldesysteme auch passives Scannen durchgeführt werden? A. Es kann dabei helfen, unerwünschte Geräte zu identifizieren. B. Es kann die Sicherheit drahtloser Netzwerke durch Skriptangriffe testen. C. Sie bleiben für kurze Zeit auf jedem Funkkanal und können mehr Datenpakete erfassen. D. Sie können beim Testen drahtloser IDS- oder IPS-Systeme helfen.
A
35. Paul überprüft den Genehmigungsprozess für einen Penetrationstest und möchte sicherstellen, dass dieser einer angemessenen Managementprüfung unterzogen wird. Wer sollte sicherstellen, dass ein Antrag auf Durchführung eines Penetrationstests eines kommerziellen Systems genehmigt wurde? A. Beratender Ausschuss für Veränderungen B. Geschäftsleitung C. Der Systemadministrator des Systems D. Serviceinhaber
B
36. Welcher Begriff beschreibt Softwaretests, die darauf abzielen, neue Fehler aufzudecken, die durch Patches oder Konfigurationsänderungen entstehen? A. Nicht-Regressionstests B. Evolutionstests C. Rauchtest D Regressionstests
D
37.Welches der folgenden Tools identifiziert das Zielbetriebssystem für einen Penetrationstester nicht? A. Nmap B. Nessus C. Nikto D. sqlmap
D
38 Susan muss Hochrisikobereiche für ihre Organisation vorhersagen und möchte Metriken verwenden, um Risikotrends zu bewerten. Was sollte sie tun, um mit diesem Problem umzugehen? A Führen Sie jährlich Risikobewertungen durch. B. Beauftragen Sie ein Penetrationstestunternehmen damit, die Sicherheit Ihres Unternehmens regelmäßig zu testen. C. Identifizieren und verfolgen Sie wichtige Risikoindikatoren. D. Verwenden Sie ein SIEM-Gerät, um Protokolle und Ereignisse zu überwachen.
C
39. Was sind die Hauptunterschiede zwischen umfassender und passiver Überwachung? A. Eine umfassende Überwachung funktioniert erst, wenn ein Problem auftritt. B Durch die passive Überwachung können Funktionsprobleme nicht erkannt werden. C. Passive Überwachung funktioniert erst, wenn ein Problem auftritt. D. Eine umfassende Überwachung kann Funktionsprobleme nicht erkennen.
C
Betrachten Sie für die Fragen 40–42 das folgende Szenario. Chris verwendete die hier gezeigte Standard-Penetrationstestmethode. Nutzen Sie diese Methode und Ihr Penetrationstest-Wissen, um Fragen zur Werkzeugnutzung während des Penetrationstests zu beantworten. 40. Was sind die wichtigsten Aufgaben in der Planungsphase 1? A. Bauen Sie ein Testlabor auf B. Holen Sie die Genehmigung ein C. Stellen Sie die entsprechenden Werkzeuge bereit D. Bestimmen Sie, ob es sich bei dem Test um einen White-Box-, Black-Box- oder Grey-Box-Test handelt 41. Welches der folgenden Tools wird während der Entdeckungsphase am wahrscheinlichsten verwendet? A. Nessus B. John C. Nmap D. Nikto 42. Welches der folgenden Probleme ist in der Planungsphase am wichtigsten, um sicherzustellen, dass während der Berichtsphase keine Probleme verursacht werden? A. Welches CVE-Format soll verwendet werden? B. So speichern und senden Sie Schwachstellendaten C. Welche Ziele sind verboten D. Wie lange sollte der Bericht dauern?
B
C
B
•Die Planungsphase umfasst die Vereinbarung des Testumfangs und der Testregeln. Die Planungsphase ist eine äußerst wichtige Phase, um sicherzustellen, dass sich das Testteam und das Management über die Art des Tests einig sind und klar ist, dass der Test autorisiert ist. •Die Phase der Informationserfassung und -erkennung kombiniert manuelle und automatisierte Tools, um Informationen über die Zielumgebung zu sammeln. Diese Phase umfasst die Ausführung Grundlegende Aufklärung zur Feststellung der Systemfunktionalität (z. B. Zugriff auf auf dem System gehostete Websites) und Durchführung von Netzwerkerkennungsscans zur Identifizierung der offenen Ports des Systems. •Die Schwachstellen-Scan-Phase erkennt Systemschwachstellen und kombiniert Netzwerk-Schwachstellen-Scans, Web-Schwachstellen-Scans und Datenbank-Schwachstellen-Scans. •In der Exploit-Phase wird versucht, mithilfe manueller und automatisierter Tools zur Schwachstellenausnutzung zu versuchen, die Sicherheitsmaßnahmen des Systems zu durchbrechen. •In der Berichtsphase werden die Ergebnisse des Penetrationstests zusammengefasst und Empfehlungen zur Verbesserung der Systemsicherheit abgegeben.
43. Welche vier Arten von Abdeckungskriterien werden üblicherweise bei der Überprüfung der Arbeit einer Code-Testsuite verwendet? A. Eingabe-, Anweisungs-, Zweig- und Bedingungsabdeckung B. westliche Zahlen, Aussagen, Zweige und Zustandsüberdeckung C. AP, Zweigstellen-, Grenz- und Bedingungsabdeckung D. Grenzen, Verzweigungen, Schleifen und Bedingungsabdeckung
B
44. Im Rahmen seiner Rolle als Sicherheitsmanager stellt Jacob dem Managementteam der Organisation das folgende Diagramm zur Verfügung. Welche Art von Messung stellt er ihnen zur Verfügung? A. Abdeckungsmessung B. Wichtige Leistungsindikatoren C. Überlebenszeitanzeige D. Indikatoren für die geschäftliche Bedeutung
B
45. Welchen Nutzen bringt die Verwendung einer eindeutigen Benutzer-ID für alle Benutzer bei der Überprüfung von Protokollen? A. Vertraulichkeit B. Integrität C.Verfügbarkeit D. Buchhaltungsverantwortung
D
46. Welche der folgenden Schnittstellen wird beim Softwaretest nicht häufig getestet? A.API B.Netzwerkschnittstelle C. Benutzeroberfläche D.Physische Schnittstelle
B
P580 Drei Typen: API-Anwendungsprogrammierschnittstelle Benutzeroberfläche physische Schnittstelle
47. Alans Organisation verwendet das Security Content Automation Protocol (SCAP), um seine Verfahren zum Schwachstellenmanagement zu standardisieren. Welche Komponente von SCAP kann Alan verwenden, um die Identitäten von Schwachstellen abzugleichen, die von verschiedenen Sicherheitsbewertungstools generiert werden? A.OVAL B. XCCDF C. CVE D. SCE
C
Beschreibung der Sicherheitslücke •Security Content Automation Protocol (SCAP): SCAP ist ein allgemeiner Standard für die Beschreibung und Bewertung von Schwachstellen, der von NIST der Sicherheitsgemeinschaft zur Verfügung gestellt wird und die Automatisierung von Interaktionen zwischen verschiedenen Sicherheitssystemen fördert. Zu den SCAP-Komponenten gehören: •Common Vulnerabilities and Exposures (CVE): Bietet ein Benennungssystem zur Beschreibung von Sicherheitslücken. •Common Vulnerability Scoring System (CVSS): Bietet ein standardisiertes Bewertungssystem, das den Schweregrad von Sicherheitslücken beschreibt. •Common Configuration Enumeration (CCE): Bietet ein Benennungssystem für Systemkonfigurationsprobleme. •Common Platform Enumeration (CPE): Bietet ein Benennungssystem für Betriebssysteme, Anwendungen und Geräte. •Extensible Configuration Checklist Description Format (XCCDF): Stellt eine Sprache zur Beschreibung von Sicherheitschecklisten bereit. •Open Vulnerability and Assessment Language (OVAL): Stellt eine Sprache zur Beschreibung des Sicherheitstestprozesses bereit.
48. Susan überprüft die Daten zur Softwaretestabdeckung und sieht die in der folgenden Tabelle aufgeführten Informationen. Was kann sie über diesen Testprozess feststellen? (Wählen Sie alle zutreffenden.) A. Tests sind nicht vollständig abgedeckt. B. Test 4 ist nicht fehlgeschlagen. C-Test 2 wurde nicht erfolgreich ausgeführt. D. Ein fünfter Testdurchlauf ist erforderlich.
B.C.
49. Welche der folgenden Strategien ist kein sinnvoller Ansatz zur Behebung von Schwachstellen, die von Schwachstellenscannern entdeckt wurden? A. Installieren Sie den Patch. B. Verwenden Sie temporäre Korrekturen. C. Banner oder Versionsnummer aktualisieren. D. Verwenden Sie die Anwendungsschicht
C
50. Während des Penetrationstests rief Selah den Helpdesk des Zielunternehmens an und gab an, Assistent eines leitenden Mitarbeiters des Unternehmens zu sein. Sie bat den Helpdesk, das Passwort des leitenden Mitarbeiters zurückzusetzen, da dieser auf Reisen Probleme mit seinem Laptop hatte, und wurde erfolgreich dazu überredet. Welche Art von Angriff hat sie erfolgreich abgeschlossen? A. Zero-Knowledge-Angriff B. Helfen und Täuschen C. Social-Engineering-Angriffe D. Black-Box-Tests
C
51. Welche Probleme könnten in diesem Bild aufgrund der Einrichtung der Protokollverarbeitung auftreten? A. Protokolle können während der Archivierung verloren gehen. B. Protokolldaten können überschrieben werden. C. Protokolldaten enthalten möglicherweise nicht die erforderlichen Informationen. D. Protokolldaten können die Systemfestplatte füllen.
D
52. Welches der folgenden Risiken stellt kein mit Penetrationstests verbundenes Risiko dar? A. Die Anwendung stürzt ab B. Denial-of-Service C.Stromausfall D.Datenbeschädigung
C
53. Welche NIST-Sonderveröffentlichung befasst sich mit der Bewertung von Sicherheits- und Datenschutzkontrollen? A. 800-12 B. 800-53A Um 800-34 D. 800-86
B
54 Michelle führt eine quantitative Bewertung der Geschäftsauswirkungen durch und möchte Daten sammeln, um die Kosten von Ausfallzeiten zu ermitteln. Welche Informationen muss sie aus den Ausfällen des Vorjahres sammeln, um die Kosten dieser Ausfälle für das Unternehmen zu berechnen? (Wählen Sie alle zutreffenden.) A. Totaler Geschäftsausfall B. Anzahl der Personalstunden, die zur Wiederherstellung nach dem Ausfall erforderlich sind C. Geschäftsverlust pro Stunde während eines Ausfalls (in US-Dollar) D. Durchschnittlicher Arbeitnehmerlohn pro Stunde
A B C D
55. Wenn Karas Hauptanliegen darin besteht, Abhörangriffe zu verhindern, welchen Port sollte sie dann blockieren? A. 22 B. 80 Um 443 D. 1433
B
56. Wenn Karas Hauptanliegen darin besteht, administrative Verbindungen zum Server zu verhindern, welchen Port sollte sie dann blockieren? A. 22 B. 80 Um 443 D. 1433
A
57. Im Rahmen einer Prüfung durch Dritte erhielt Jims Unternehmen eine Entdeckung. heißt es: „Administratoren sollten täglich Protokolle über erfolgreiche und fehlgeschlagene Backups überprüfen und umgehend Maßnahmen ergreifen, um gemeldete Anomalien zu beheben. Auf welches potenzielle Problem weist dieser Befund hin?“ A. Der Administrator hat keine Möglichkeit zu erfahren, ob die Sicherung erfolgreich war oder fehlgeschlagen ist. B. Die Sicherung wurde möglicherweise nicht korrekt protokolliert. C-Backup ist möglicherweise nicht verfügbar. D. Die Sicherungsprotokolle wurden möglicherweise nicht ordnungsgemäß überprüft.
C
58.Jim hilft seiner Organisation bei der Entscheidung über Prüfungsstandards, die in ihrer internationalen Organisation verwendet werden sollen. Welches der folgenden Dinge ist nicht der Fall? Welche IT-Standards könnte Jims Organisation bei der Überprüfung verwenden? A. COBIT B.SSAE-18 C.ITIL D. ISO 27001
C
59 Nicole möchte eine auf Standards basierende Prüfung ihrer Organisation durchführen. Welche der folgenden Aussagen werden üblicherweise verwendet, um allgemeine Anforderungen an Informationssysteme zu beschreiben? A.IEC B. COBIT C. FISA D.DMCA
B
60.Kelys Team führt mit jedem veröffentlichten Patch Regressionstests durch. Welchen wichtigen Leistungsindikator sollten sie beibehalten, um die Wirksamkeit ihrer Tests zu messen? A. Zeit zur Behebung der Sicherheitslücke B. Indikator für die Fehlerwiederauftretensrate C. Gewichtete Risikotrends D. Messung der spezifischen Abdeckung von Tests
B
61. Welche der folgenden Arten von Codeüberprüfungen werden normalerweise nicht von Menschen durchgeführt? A. Software-Check B. Paarprogrammierung C. Statische Programmanalyse D.Software-Komplettlösung
C
Betrachten Sie für die Fragen 62–64 das folgende Szenario: Susan ist die Leiterin des Qualitätssicherungsteams ihres Unternehmens. Das Team wurde beauftragt, Tests für eine Hauptversion des Kernsoftwareprodukts des Unternehmens durchzuführen. 62. Susans Softwaretestteam muss jeden Codepfad testen, einschließlich der Pfade, die nur verwendet werden, wenn Fehlerbedingungen auftreten. Welche Art von Testumgebung benötigt ihr Team, um eine vollständige Codeabdeckung sicherzustellen? A. White-Box-Tests B. Gray-Box-Tests C. Black-Box-Tests D. Dynamisches Testen 63. Im Rahmen der laufenden Tests ihrer neuen Anwendung entwarf Susans Qualitätssicherungsteam eine Reihe von Testfällen für eine Reihe von Black-Box-Tests. Anschließend werden diese Funktionstests durchgeführt und ein Bericht erstellt, in dem erläutert wird, was passiert ist. Welche Art von Berichten werden normalerweise während dieses Testprozesses erstellt, um Testmetriken anzuzeigen? A. Testabdeckungsbericht B. Penetrationstestbericht C. Code-Coverage-Bericht D. Zeilenabdeckungsbericht 64. Im Rahmen ihrer Codeabdeckungstests verwendet Susans Team Protokollierungs- und Tracing-Tools für die Analyse in einer Nicht-Produktionsumgebung. Welche der folgenden Arten von Codierungsproblemen werden aufgrund von Änderungen in der Betriebsumgebung wahrscheinlich übersehen? A. Falsche Grenzüberprüfung B. Eingabevalidierung C-Rennbedingung D-Zeigeroperationen
A
A
C
65.Robin hat kürzlich einen Schwachstellenscan durchgeführt und eine kritische Schwachstelle auf einem Server entdeckt, der vertrauliche Informationen verarbeitet. Was sollte Bobin als nächstes tun? A. Patch B. Bericht C. Korrektur D. Überprüfen
D
P574 Erkennen --- Überprüfen --- Reparieren
66.Die automatisierten Codetests und Integrationen, die Andrea im CI/CD-Prozess ihrer Organisation durchführt, schlagen fehl. Was sollte Andrea tun, wenn das Unternehmen Code sofort veröffentlichen muss? A. Den Test manuell umgehen. B. Überprüfen Sie das Fehlerprotokoll, um das Problem zu ermitteln. C. Führen Sie den Test erneut aus, um zu sehen, ob er ordnungsgemäß funktioniert. D. Senden Sie den Code zur Korrektur an den Entwickler zurück.
B
67. Michelle möchte die Schwachstellen, die sie in ihrem Rechenzentrum findet, anhand von Kennzahlen wie der Ausnutzbarkeit der Schwachstelle, dem Vorhandensein von Exploit-Code und der Schwierigkeit der Behebung vergleichen. Welches Bewertungssystem sollte sie verwenden, um diese Schwachstellenindikatoren zu vergleichen? A.CSV B. NVD C. VSS D.CVSS
D
Zu den SCAP-Komponenten gehören: •Common Vulnerabilities and Exposures (CVE): Bietet ein Benennungssystem zur Beschreibung von Sicherheitslücken. •Common Vulnerability Scoring System (CVSS): Bietet ein standardisiertes Bewertungssystem, das den Schweregrad von Sicherheitslücken beschreibt. •Common Configuration Enumeration (CCE): Bietet ein Benennungssystem für Systemkonfigurationsprobleme. •Common Platform Enumeration (CPE): Bietet ein Benennungssystem für Betriebssysteme, Anwendungen und Geräte. •Extensible Configuration Checklist Description Format (XCCDF): Stellt eine Sprache zur Beschreibung von Sicherheitschecklisten bereit. •Open Vulnerability and Assessment Language (OVAL): Stellt eine Sprache zur Beschreibung des Sicherheitstestprozesses bereit.
68. Während Alex einen Port-Scan in seinem Netzwerk durchführte, stellte er fest, dass die TCP-Ports 80, 443, 515 und 9100 auf mehreren Hosts in verschiedenen Büros im gesamten Unternehmen reagierten. Welche Art von Gerät könnte Alex entdeckt haben? A. Webserver B. Dateiserver C. Drahtloser Zugangspunkt D.Drucker
D
69 Welche Werkzeugtypen sind Nito, Burp Sure und Woot? A. Tools zum Scannen von Schwachstellen in Webanwendungen B. Tools zur Codeüberprüfung C. Tools zum Scannen von Sicherheitslücken D.Port-Scan-Tool
A
70 Franks Team testet neue APIs, die die Entwickler des Unternehmens für ihre Anwendungsinfrastruktur erstellen. Welches der folgenden Probleme ist kein häufiges API-Problem, das Franks Team feststellen könnte? A. Falsche Verschlüsselung B. Autorisierungsprobleme auf Objektebene C. Probleme bei der Benutzerauthentifizierung D. Fehlende Ratenbegrenzung
A
Die Verschlüsselung erfolgt nicht auf der Anwendungsebene
71Jim arbeitet mit einem Penetrationstest-Anbieter zusammen, der die Verwendung empfiehlt Metasploit. Was sollte Jim erwarten, wenn er Metasploit verwendet? A. Scannt das System auf Schwachstellen. B. Bekannte Schwachstellen im System ausnutzen. C. Pufferüberläufe und andere unbekannte Fehler im Dienst erkennen. D. Führen Sie einen Zero-Day-Schwachstellentest für das System durch.
B
72 Susan muss sicherstellen, dass die Interaktionen zwischen den verschiedenen Komponenten ihrer E-Commerce-Anwendung korrekt gehandhabt werden. Sie beabsichtigt, Kommunikations-, Fehlerbehandlungs- und Sitzungsverwaltungsfunktionen in der gesamten Infrastruktur zu validieren. Welche Art von Tests plant sie durchzuführen? A. Missbrauchsfalltests B. Fuzz-Tests C. Regressionstests D. Schnittstellentests
D
73. Jim entwirft das Protokollverwaltungssystem der Organisation und weiß, dass er den Umgang mit den Protokolldaten der Organisation sorgfältig planen muss. Welcher der folgenden Faktoren sollte Jim nicht beunruhigen? A. Menge der Protokolldaten B. Mangel an ausreichenden Protokollquellen C. Sicherheitsanforderungen an die Datenspeicherung D. Netzwerkbandbreite
B
74. Ryans Organisation möchte eine ordnungsgemäße Kontoverwaltung sicherstellen, verfügt jedoch nicht über ein zentralisiertes Identitäts- und Zugriffsverwaltungstool. Rvan Was ist die beste Option bei der Überprüfung von Kontoverwaltungsprozessen während einer internen Prüfung? AÜberprüfen Sie alle Kontoänderungen in den letzten 90 Tagen. B. Wählen Sie diese Option aus, um hochwertige Administratorkonten zu überprüfen. C. Überprüfen Sie alle Kontoänderungen innerhalb der letzten 180 Tage. D. Führen Sie eine Stichprobenüberprüfung der Konten durch.
D
75. Welche Art von Protokoll wird beim Neustart eines Windows-Systems generiert? A. Fehler B. Warnung C. Informationen D. fehlgeschlagene Überprüfung
C
76. Während der Untersuchung bemerkte Alex, dass Michelle sich jeden Morgen um 8 Uhr morgens an ihrem Arbeitsplatz anmeldete, an diesem Tag jedoch kurz nach 3 Uhr morgens am Haupt-Webanwendungsserver der Abteilung angemeldet war. Welches häufige Protokollierungsproblem könnte bei Alex auftreten? A. Inkonsistentes Protokollformat B. Geändertes Protokoll C. Inkonsistente Zeitstempel D. Mehrere Protokollquellen
C
77. Welche Art von Schwachstellenscan greift auf Konfigurationsinformationen zu, die von dem System, auf dem der Scan ausgeführt wird, erhalten wurden, sowie auf Informationen, die über im Netzwerk verfügbare Dienste abgerufen wurden? A. Zertifizierter Scan B. Scannen von Webanwendungen C. Nicht authentifizierter Scan D.Port-Scannen
A
Welche Arten von Schwachstellenscans ermöglichen den Zugriff auf Konfigurationsinformationen laufender Systeme und Dienste, die über das Netzwerk bereitgestellt werden? Authentifizierter Scan (richtige Antwort) Scannen von Webanwendungen Nicht zertifizierter Scan Port-Scan Beim authentifizierten Scannen wird ein schreibgeschützter Kontozugriff auf Konfigurationsdateien verwendet, was eine genauere Prüfung von Schwachstellen ermöglicht. Webanwendungsscans, nicht authentifizierte Scans und Portscans haben keinen Zugriff auf Konfigurationsdateien, es sei denn, die Konfigurationsdateien werden versehentlich offengelegt.
Betrachten Sie für die Fragen 78–80 das folgende Szenario: Bens Organisation hat damit begonnen, STRIDE zu nutzen, um ihre Software zu bewerten und Bedrohungsagenten sowie die möglichen geschäftlichen Auswirkungen dieser Bedrohungen zu identifizieren. Sie arbeiten nun daran, geeignete Kontrollen zu identifizieren, um die festgestellten Probleme anzugehen. 78.Bens Entwicklungsteam muss ein Autorisierungsproblem lösen, das zu einer Bedrohung durch die Erhöhung von Berechtigungen führen könnte. Welche der folgenden Kontrollen wäre für diese Art von Problem am besten geeignet? A. Aktivieren Sie die Überwachung und Protokollierung. B. Verwenden Sie eine rollenbasierte Zugriffskontrolle für bestimmte Vorgänge. C. Aktivieren Sie die Datentyp- und Formatprüfung. D. Führen Sie Whitelist-Tests für Benutzereingaben durch. 79.Bens Team versucht, Transaktionsidentifizierungsprobleme zu klassifizieren, die durch symmetrische Schlüssel verursacht werden, die von mehreren Servern gemeinsam genutzt werden. In welche der folgenden STRIDE-Kategorien sollte dies fallen? A. Informationslecks B. Denial-of-Service C. Manipulation D. Leugnen 80. Melden Sie sich während eines Denial-of-Service-Angriffs mit dem höchsten Datenverkehr an. Ben Xizhao nutzt einen Drittanbieterdienst, um bei der Bewertung von Denial-of-Service-Angriffen zu helfen. Absolute Schwachstelle bei Service-Angriffen. Welche Art von Engagement sollte er der Organisation empfehlen? A. Beteiligung am Social Engineering B. Penetrationstests C. Belastungs- oder Stresstest D. Testen Sie mit Fuzz-Tests
B
D
C
81 Chris löst die Berichtsprobleme des Unternehmens im Bereich Security Information and Event Management (SIEM). Nach der Analyse des Problems kam er zu dem Schluss, dass der Zeitpunkt der Protokolleinträge in verschiedenen Systemen inkonsistent war. Mit welchem Protokoll kann er dieses Problem lösen? A.SSH B. FTP C.TLS D.NTP
D
82.Ryan erwägt den Einsatz von Fuzz-Tests in seinem Projekt zum Testen von Webanwendungen. Eine Entscheidung treffen Welche der folgenden Aussagen zum Fuzz-Testen sollte Ryan berücksichtigen? A. Fuzz-Tests können nur komplexe Fehler finden. B. Tester müssen Eingaben manuell generieren. C. Fuzz-Tests decken den Code möglicherweise nicht vollständig ab. D. Fuzz-Tests können den Fehler nicht reproduzieren.
C Fuzz-Tests können in der Regel nicht den gesamten Code des Programms vollständig abdecken und beschränken sich im Allgemeinen auf die Erkennung einfacher Schwachstellen, die keine komplexe Geschäftslogik beinhalten.
83.Ken entwirft einen Testprozess für die Software, die sein Team entwickelt. Er entwarf einen Test, um zu überprüfen, ob jede Codezeile während des Tests ausgeführt wurde. Welche Art von Analyse führt Ken durch? A. Filialabdeckung B. Zustandsdeckung C. Funktionsabdeckung D. Deckungsumfang
D
Betrachten Sie für die Fragen 84–86 das folgende Szenario. Bei einem Port-Scan verwendete Ben die Standardeinstellungen von nmap und sah die folgenden Ergebnisse. 84. Wenn Ben einen Penetrationstest durchführt, was sollte sein nächster Schritt sein, nachdem er diese Ergebnisse erhalten hat? A. Verwenden Sie einen Webbrowser, um eine Verbindung zum Webserver herzustellen. B. Verwenden Sie eine Telnet-Verbindung, um das anfällige Konto zu testen. C. Identifizieren Sie interessante Ports für weitere Scans. D. Verwenden Sie sqlmap für die geöffnete Datenbank. 85. Was ist basierend auf den Scan-Ergebnissen das wahrscheinlichste Betriebssystem, auf dem das gescannte System läuft? A. Windows-Desktopversion B. Linux C. Netzwerkausrüstung D. Windows Server 86. Bens Manager ist besorgt über den Umfang seines Scans. Worüber könnte sich sein Vorgesetzter Sorgen machen? A. Ben hat den UDP-Dienst nicht getestet. B.Ben hat keine anderen Ports als „bekannte Ports“ gefunden. C. Ben hat kein OS-Fingerprinting durchgeführt. D.Ben hat nur eine begrenzte Anzahl von Ports getestet.
C
B
D
87.Lucca überprüft Daten über den Disaster-Recovery-Prozess seiner Organisation und stellt fest, dass die Hauptwebsite des Unternehmens Die MTD beträgt zwei Stunden. Was hat er beim Testen und Validieren über die RTO der Website erfahren? A. Es dauert weniger als zwei Stunden. B. Es dauert mindestens zwei Stunden. C. Die MTD-Zeit ist kurz und dauert länger. D. Die RTO-Zeit ist zu kurz und dauert länger.
A
MTD ist die maximal tolerierte Ausfallzeit. Wenn eine MTD-Verifizierung durchgeführt werden soll, geben die Verifizierungsergebnisse nur Auskunft darüber, wie lange das System maximal offline sein kann.
88.Diana hat einen externen Prüfer beauftragt und möchte dem Dritten ein Prüfungszertifikat ausstellen, ohne die Einzelheiten der Prüfung zu enthalten. Welche Art von SSAE 18 SOC-Bericht sollte sie anfordern? A. SOC 1 B. SOC 2 C. SOC 3 D. SOC 4
C
89. Bei der Überprüfung der Softwaretestergebnisse für die neue Anwendung der Organisation stellte Madhuri fest, dass die Anwendung Fehler mit Verzeichnis- und Dateiinformationen verursachte, die Webanwendungstestern angezeigt wurden. Welche Frage sollte in ihren Bericht aufgenommen werden? A. Es wird keine ordnungsgemäße Ausnahmebehandlung durchgeführt. B. Die Software führt Missbrauchsfalltests nicht ordnungsgemäß durch. C. Debugging-Anweisungen müssen gelöscht werden. D. Der Code wurde aufgrund von Fehlern nicht vollständig getestet.
A
90. Was ist der erste Schritt, der vor der Durchführung eines Penetrationstests erfolgen sollte? A. Datenerfassung B. Port-Scanning C. Holen Sie die Erlaubnis ein D.Plan
C
Der CEO von 91.JOHn ist besorgt über die starke Zunahme von Krypto-Malware in der Branche. Sie bat um die Zusicherung, dass die Daten des Unternehmens wiederhergestellt werden könnten, wenn Schadsoftware die Produktionssysteme befallen und verschlüsseln sollte. Welcher Prozess ist erforderlich, um ihr mitzuteilen, dass das Unternehmen vorbereitet ist? A. Verschlüsseln Sie alle sensiblen Daten. B. Hashen Sie alle Daten einer Organisation, um kryptografische Malware zu erkennen. C. Führen Sie eine Sicherungsüberprüfung durch. D. Verwenden Sie Anti-Verschlüsselungstechnologie, um zu verhindern, dass Malware das Laufwerk verschlüsselt.
C
92 Joanna ist die CISO der Organisation und hat die Aufgabe, den Sicherheitsbetrieb zu überwachen. Sie möchte sicherstellen, dass die Überwachung sicherheitsrelevanter Änderungen durch das Management fortlaufend erfolgt. Auf welches System sollte sie sich in den meisten Unternehmen bei der Verfolgung dieser Art von Daten konzentrieren? A. SIEM-System B.IPS-System C.CMS-Tools D.ITSM-Werkbank
D
93. Henry möchte überprüfen, ob sein Backup gültig ist. Mit welcher der folgenden Optionen stellt er am besten sicher, dass Backups in einem echten Notfallwiederherstellungsszenario nützlich sind? A. Stellen Sie regelmäßig eine zufällige Datei wieder her, um sicherzustellen, dass die Sicherung ordnungsgemäß funktioniert. B. Überprüfen Sie regelmäßig die Konfiguration und Einstellungen, um die Sicherungseinstellungen zu überprüfen. C. Überprüfen Sie das Sicherungsprotokoll, um sicherzustellen, dass keine Fehler aufgetreten sind. D. Führen Sie regelmäßig vollständige Wiederherstellungen aus Sicherungen durch, um den Erfolg zu überprüfen.
D
94.Welche Arten von Schwachstellenscannern können nicht gefunden werden? A. Lokale Schwachstellen B. Schwachstellen im Dienst C. Zero-Day-Schwachstellen D. Schwachstellen, die eine Authentifizierung erfordern
C
95.Jacinda möchte die Wirksamkeit ihres Sicherheitstrainings als einen ihrer Sicherheitsindikatoren messen. Welche der folgenden Maßnahmen eignen sich am besten zur Bewertung der Wirksamkeit von Sicherheitsbewusstseinsschulungen? (Wählen Sie alle zutreffenden.) A. Anzahl der Personen, die an der Schulung teilnehmen B. Sicherheitsbewusstsein vor und nach dem Training C. Trainingsdauer (in Stunden) 口.Anzahl der Schulungsveranstaltungen, an denen jede Person in diesem Jahr teilgenommen hat
AB
96 entdeckte Elaine eine bisher unbekannte kritische Schwachstelle in einem von ihrer Organisation verwendeten Produkt. Ihre Organisation nimmt ethische Offenlegung sehr ernst und Elaine befolgt gängige ethische Offenlegungspraktiken. Was sollte sie zuerst tun? A. Erstellen Sie interne Maßnahmen oder Kontrollen zur Behebung und legen Sie die Schwachstelle dann öffentlich offen, um Anbieter zu veranlassen, die Schwachstelle schnell zu beheben B. Erstellen Sie interne Abhilfemaßnahmen oder Kontrollen und benachrichtigen Sie dann den Lieferanten über das Problem. C. Benachrichtigen Sie den Lieferanten und geben Sie ihm eine angemessene Zeit, um das Problem zu beheben. D. Offenlegung von Schwachstellen, damit Anbieter diese rechtzeitig beheben können.
C
Betrachten Sie für die Fragen 97–99 das folgende Szenario. NIST Specral Puolircatton 800-115, Technischer Leitfaden für Penetrationstests und Penetrationstests, stellt den NIST-geprüften Prozess für Penetrationstests bereit. Verwenden Sie dieses Bild und Ihr Wissen über Penetrationstests, um Fragen zu beantworten. 97.Welcher der folgenden Punkte gehört nicht zur Entdeckungsphase? A. Erfassung von Hostnamen- und IP-Adressinformationen B. Erfassung von Serviceinformationen C. Suche im Papierkorb D. Eskalation von Berechtigungen 98. NIST spezifiziert vier Angriffsphasenschritte: Zugriffserlangung, Privilegienerweiterung, Systemdurchsuchung und Bereitstellung von Tools. Sobald ein Angreifer zusätzliche Tools installiert hat: In welche Phase kehrt ein Penetrationstester normalerweise zurück? A. Entdecken B. Zugang erhalten C. Eskalation von Berechtigungen D. Durchsuchen des Systems 99.Welcher der folgenden Punkte ist kein typischer Teil eines Penetrationstestberichts? A. Liste der identifizierten Schwachstellen B. Alle während des Tests erfassten sensiblen Daten C. Risikobewertung für jedes entdeckte Problem D. Leitlinien zur Schadensbegrenzung für identifizierte Probleme
D
B
B
100. Alox verwendet nmnao, um einen Port-Scan auf dem System durchzuführen und hat als Ergebnis drei verschiedene Port-Statusmeldungen erhalten. Ordnen Sie jede nummerierte Statusmeldung der entsprechenden Meldungsbeschreibung zu. Jeder Artikel kann nur einmal verwendet werden. Statusnachricht 1.Öffnen 2. Schließen 3. Filtern beschreiben A. Der Port auf dem Remote-System ist zugänglich, aber keine Anwendung akzeptiert Verbindungen über den Port. B. Der Port auf dem Remote-System ist nicht zugänglich. C. Der Port auf dem Remote-System ist zugänglich und die Anwendung akzeptiert Verbindungen über diesen Port.
CBA