Wondershare EdrawMind
マインドマップギャラリー CISSP 学習ノート - ドメイン 7 (セキュリティ運用)
- 15
CISSP 学習ノート - ドメイン 7 (セキュリティ運用)
これは、CISSP 学習ノート - ドメイン 7 (セキュリティ オペレーション) に関するマインド マップです。主な内容には、復習の質問と知識ポイントが含まれます。
2024-04-07 15:17:20 に編集されました
- おすすめ
- アウトライン
CISSP 学習ノート - ドメイン 7 (セキュリティ運用)
知識のポイント
7.1. 調査の理解と遵守
7.1.1. 調査を理解し、遵守する
調査は通常、セキュリティ インシデント対応 (インシデント対応。IR) の後に実施され、何が起こったのか、また同様のインシデントの再発を防ぐ方法を決定するための証拠を収集および分析することが主な目的です。
フォーカスポイント：
1. 専門スキル:
調査、証拠の収集と処理、デジタルフォレンジックなどはすべて、特定の専門スキルを必要とします。間違いがあると証拠が損傷または破壊される可能性があるため、これらのプロセスには正確さと詳細が必要です。
2. 調整と協力:
CISSP 保有者の場合、調査および法医学のプロセスをサポートするために、適切な専門家と調整および協力する必要がある場合があります。これは、これらのプロセスには、証拠の完全性と有効性を確保するための専門的なスキルとトレーニングが必要であるためです。
3. 証拠の処理:
捜査において証拠をどのように扱うかは非常に重要です。法廷での有効性を確保するには、法律や規制を遵守しながら、証拠の信頼性、完全性、入手可能性を確保する必要があります。
7.1.2. データの収集と処理
1. 証拠の収集と処理
•デジタル証拠: ログ、記録、コンピュータ ファイル、コンピュータ システム コンポーネントなど。メモリやハードドライブなど。
·ハードコピー資料: 印刷された文書、手書きのメモ、紙のレポートなど。
• 刑事犯罪が関与している場合は、法執行の経験を持つ専門家を配置する必要があり、CISSP の役割は、これらの専門家からの要求をサポートし、遵守することです。
2. デジタル証拠を収集する
インシデント対応を行う際には、デジタル証拠を収集することが非常に重要です。デジタル証拠は一時的なものであることが多いため、証拠の完全性を確保するにはできるだけ早く収集する必要があります。
証拠の完全性を確保するためのベスト プラクティスをいくつか示します。
•すべての情報を記録します。これには、作戦の日付、時刻、場所、収集された証拠の状況、および関係者が含まれます。これは、証拠の完全性と信頼性を確保するのに役立ちます。
• 証拠のコピーを作成する: 証拠を分析または調査するときは、元の証拠の完全性を保護するために、可能な限り証拠のコピーを作成する必要があります。
•書き込み保護ツールを使用する: これにより、証拠に対する不必要な変更や修正が防止されます。
•ハッシュを使用した検証: これは、分析または調査に使用されたデータが最初に収集されたデータと一致していること、およびプロセス中にデータに変更が加えられていないことを確認するためです。
3. デジタル証拠を処理する
•デジタル フォレンジックおよびインシデント対応 (DFIR) は、セキュリティ インシデントを調査して対応するためのデジタル証拠の収集と分析を含むプロセスです。
•デジタル証拠を扱うには、ISO/EC 27037:2012 や NISTSP 800-86 などの特定のプロセスと規格に従う必要があります。
•証拠の完全性と信頼性を確保するために、証拠の収集から分析までのすべてのプロセスを記録するなど、良好な連鎖または保管を維持することが非常に重要です。
4. クラウドコンピューティングの課題
クラウド コンピューティングの分散型の性質とグローバルな範囲は、デジタル フォレンジックに特有の課題をもたらします。クラウド環境から証拠を収集する場合、データ主権と管轄権に関連する問題を含む、法的および技術的問題を考慮する必要があります。
7.1.3. レポートと文書
証拠や文書を扱う際には、従うべき重要な町の原則があります。これらの原則は法廷だけでなく、証拠の収集と報告を伴う他の状況にも当てはまります。
•正確さ：
証拠や文書に間違いが含まれていないことを確認することが重要です。これには、証拠が他の証拠と一致していること、および証拠が完全であることのチェックが含まれます。
•信憑性：
証拠は信頼できる情報源から得られたものでなければならず、この情報源は保管過程を通じて検証可能である必要があります。これが証拠の信頼性を確保するための鍵です
•わかりやすさ:
証拠および関連文書は、非技術者を含むすべての関係者が理解する必要があります。したがって、可能な限り、専門用語はよりわかりやすい言語に翻訳される必要があります。
•説得力:
証拠は法廷やその他の場で受け入れられるように、完全で説得力のある一連の証拠を形成する必要があります。
•客観的：
証拠は意見や主張を独立して裏付けるものでなければならず、偏見や主観の影響を受けてはなりません。
•許容される:
証拠が法廷で認められるためには、特定の法的要件を満たさなければなりません。証拠の収集、処理、保存の方法によって証拠能力が影響を受ける可能性があります。
7.1.4. 調査手法
セキュリティ担当者が知っておくべき 4 つの主要な調査手法:
1. データのキャプチャ
監査ログ、ネットワーク トラフィック、その他の関連データを収集するための自動プロセスと手動プロセスが含まれます。自動キャプチャは、大量のデータ内の異常な動作を自動的に検出してフラグを立てることができる SIEM などのシステムを通じて実行できます。手動データ収集には、現場での写真、ビデオ録画、またはその他の物理的証拠の収集が含まれる場合があります。
2.面接
これは、関連する情報を知っている人から証拠を入手することを目的とした情報収集手法です。これには、証人、容疑者、その他の関係者が含まれる場合があります。インタビューでは、インタビュー対象者の権利が尊重される必要があります。面接を拒否または中止できることも含みます。許可されている場合は、インタビューを録音する必要があります。
3.尋問
より正式な形式の面接で、通常は法執行機関またはその他の権限のある捜査官によって実施されます。臨床試験では、結果の公平性と妥当性を確保するために、より厳格な手順要件が設けられることがよくあります。
4. 外部からの要請
調査の過程で、インターネット サービス プロバイダー (ISP) や政府機関などの第三者から情報を取得する必要がある場合があります。これには、必要な情報を合法的に取得するために、捜索令状やその他の法的文書の取得など、正式な法的手続きが必要になる場合があります。
7.1.5. デジタルフォレンジックツール、戦略および手順
1. ツール
•フォレンジックツール: これらのツールには、事件の追跡と管理のためのソフトウェアと機器、捜査中の証拠の汚染を防ぐために隔離されフォレンジック作業専用のワークステーションと作業エリアが含まれます。特定のツールには、書き込みブロッカー、ドライブ イメージャ、ファラデー コンテナ、ビデオおよびオーディオ録音ツールなどがあります。
•分析ツール: これらのツールは、ネットワーク トラフィック分析ツール (Wireshark など) や SIEM ツールなど、収集されたデータを処理および分析するために使用されます。
•データ回復ツール: これらのツールは、削除または上書きされたデータの回復に役立ちます。
• 実験環境: 安全な観察と分析のために、疑わしいマルウェアを他のシステムから隔離された仮想環境で実行できます。
• コード分析ツール: これには、悪意のあるコードの動作と目的の理解と分析に役立つ逆コンパイラーやバイナリ分析ツールが含まれます。
•ハッシュツール: これらのツールは、証拠の可用性と信頼性を確保するために重要なデータの整合性を確認するのに役立ちます。
• ツールキット: デジタル フォレンジックなどの特定のタスクを実行するための特定のツール セットを含むソフトウェア スイートです。
2. 技術と手順
フォレンジック分析の一般的な手順は次のとおりです。
1) 優先順位を定義する
組織はインシデントに対応する際、できるだけ早く通常業務に戻ること、被害を最小限に抑えること、インシデントに関する詳細情報を最大限に保持することという 3 つの優先事項がある場合があります。
2) データソースを決定する
すべてのデータ ソースを迅速に特定し、収集の優先順位を付ける必要があります。たとえば、一部のログ データは一時的なものであるため、いっぱいになる前にキャプチャする必要があります。
3) データ収集と実行の計画
データ ソースを特定したら、計画を作成し、必要な情報を収集するための措置を講じる必要があります。
4) 完全性を記録して保存する
データ収集は保管過程の最初のリンクであり、証拠が収集された時間と証拠に対して実行された処理を含む詳細を記録する必要があります。
5) 隠されたデータまたは削除されたデータを見つける
調査に必要な重要な情報が削除されたり、上書きされたり、隠しディレクトリに存在したりする可能性があります。
6) 分析を実行する
データが収集されたら、法医学的に調査する必要があります。
3. クラウドでの証拠収集
クラウド コンピューティングの性質上、証拠収集がより困難になり、管轄権の問題が発生する可能性があります。
7.1.6. 成果物 (コンピュータ、ネットワーク、モバイルデバイスなど)
デジタル フォレンジックにおける物理的証拠は通常、ユーザーまたはプログラムがデバイスと対話したときに残されるデジタル トレースです。デジタル フォレンジックの主な目的の 1 つは、これらの活動の痕跡が事件の重要な証拠となるため、これらのデジタル痕跡を見つけることです。
1) デジタル トレースの一般的なソース: コンピューター (Windows/MacOS/Linux)、ブラウザ、ローカル ストレージ、クラウド ストレージ
2) NetFlow 分析、パケット分析、既知の悪意のあるネットワーク トラフィックなどのネットワーク デジタル トレースのソース。スマートフォンのメーカーは強力な暗号化を使用してデバイス内の個人データを保護しているため、モバイルデバイスのデジタルトレースを取得することは必ずしも簡単ではありません。モバイル デバイスのデジタル トレースをキャプチャするには、専用のツール セットと専門家の支援が必要です。組織向けのモバイル デバイス管理 (MDM) は、これを行う効果的な方法です。モバイル デバイスには、遠隔消去を防ぐために携帯電話や WiFi などの信号がデバイスに到達しないように、ファラデー I にデバイスを置き、適切にシールドされた部屋で分析を行うなど、特別な取り扱いが必要です。
7.2. 記録および監視活動の実施
7.2.1. 侵入の検出と防止
7.2.1.1 侵入検知システム (IDS)
主にアラートの検出と生成を行います。
7.2.1.2 侵入防御システム (IPS)
侵入が検出されると、ファイアウォール ルールを実装して悪意のあるトラフィックをブロックしたり、ファイルを破損前の状態に復元したり、さらなる侵入を防ぐためにアプリケーション、サービス、サーバーをシャットダウンしたりするなど、さまざまな事前対応策が講じられます。
7.2.1.3 ネットワークベースおよびホストベースの IDS および IPS
IDS および IPS は、ネットワーク ベース (NIDS および NIPS) またはホスト ベース (HIDS および HIPS) のバリアントとして展開できます。
•ネットワークベースのシステムは通常、すべてのネットワーク トラフィックをスキャンして攻撃の兆候を見つける特殊なデバイスです。
• ホストベースのシステムは、通常はソフトウェア エージェントの形式で、サーバーやワークステーションなどの特定のネットワーク端末に展開されます。
7.2.1.4 IDSおよびIPSの検出方法
• 動作パターンに基づく検出、つまり、トラフィックが予想されるベースラインから逸脱しているかどうかを観察します。
• シグネチャ ベースの検出。ネットワーク トラフィックまたはホスト アクティビティをスキャンして既知の攻撃パターンを検出します。
7.2.1.5 誤検知
誤検知が多すぎるのは良くありません。したがって、IDS と IPS を使用する場合は、特定の組織のベースライン アクティビティに従って IDS と IPS を調整し、偶発的な DoS 攻撃を可能な限り回避する必要があります。
7.2.2. セキュリティ情報およびイベント管理 (SIEM)
SIEM (セキュリティ情報およびイベント管理) は、複数のツールと機能を組み合わせたテクノロジーであり、その主な目的は、さまざまなシステムに散在するログ データを中央ライブラリに収集し、分析して、潜在的なセキュリティ インシデントを特定するための貴重な情報を抽出することです。 SIEM の主なサービスには以下が含まれます。
1. 一元化: 分析と監視のために、さまざまなシステムに散在するログ ファイルを中央ライブラリに集約します。
2. 標準化: さまざまなシステムで生成されたログ データを、検索と関連付けのために一貫した形式に変換します。
3 相関と検出: システム内で運用されているセキュリティ会社に対して、システム内の境界を検出するための特別なデータを介した相関。
4. アラート: データが分析および処理されると、SIEM はアナリストに調査を促すアラートを自動的に生成し、セキュリティ インシデントの検出と対応の効率を向上させます。
7.2.3. 継続的な監視
継続的監視は情報セキュリティ戦略であり、その目標は、セキュリティ制御の有効性を定期的かつ自動的にチェックすることにより、リスクをタイムリーに検出して軽減することです。この戦略の中心的な目的は、テクノロジーや脅威環境の変化による制御障害や障害が発生した場合に組織が迅速に対応できるように、タイムリーな情報を提供することです。
主な考慮事項:
基準点の定義: 効果的なモニタリングには、継続的に比較するための一連のベースライン測定が必要です。これは、認知されたコンプライアンス フレームワーク (PCI-DSS、NIST SP 800 など) またはシステム ベースライン (CIS など) に基づく場合があります。
自動化: 継続的に監視するには、エンドポイント検出と応答 (EDR) ツールやユーザーおよびエンティティ動作分析 (UEBA) ツールなどの自動化ツールを利用します。
頻度: 監視の頻度は、制御の優先順位と評価されたコストに基づいて決定する必要があります。これには、リスクとリソースの使用量を比較検討する必要があります。
適切な指標: 継続的な監視プログラム用に定義された指標は、制御の有効性に関する実用的な情報を提供する必要があります。これには、メトリクスを追跡して改善できるように測定可能であることを保証する必要があります。
明確な行動計画: 監視中に問題が発見された場合、それらを解決するための明確な行動計画が必要です。これには、問題のトラブルシューティング、解決策、フォローアップが含まれます。
コストと価値のバランス: 継続的なモニタリング プログラムのコストは、そこから得られる価値とバランスを取る必要があります。これには、投資が正当であることを確認するために、期待されるメリットと実装コストを包括的に評価する必要があります。
7.2.4. 終了監視
1) データ漏洩とその手口：
データ侵害とは、機密情報が違法に送信され、ネットワークから流出することです。攻撃者は、電子メール、FTP、HITTP などの標準ポート、プロトコル、サービスを利用してデータを送信する可能性があります。場合によっては、データを HTTP トラフィックなどの一般的な高トラフィック データ ソースとして偽装することで、自分たちのアクティビティを偽装することもあります。
2) データ漏洩防止 (DLP) ツール
DLP ツールは、ネットワーク上に保存されている未知の機密データをネットワーク上でスキャンしたり、ネットワーク上で転送されている機密データを特定したり、共有ファイルからファイルをコピーしようとしたときにアラートを生成したりするなど、特定の種類のデータを識別して管理できます。これらのツールは、そのような操作を一時的にブロックし、ユーザーに本当にファイルを送信するかどうかの確認を求めることができます。また、そのような操作を完全に阻止することもできます。
3)個体数モニタリング
人口統計監視の目的は、ネットワークに入るデータを特定し、電子メールなどの機密データを含むメッセージがネットワークに入るのを防ぐことです。
4) 物理的な入退室監視
物理的な出入りの監視戦略には、施設に出入りする物理メディアを検査して、データの送信が組織のポリシーに違反していないことを確認することが含まれます。
7.2.5. ログ管理
1. ログの重要性:
Brix は、継続的な監視やインシデント対応 (IR) などのセキュリティ執行活動のための重要な情報源です。 IS027001 や NIST SP 800-53 などのフレームワークを使用して、ロギング戦略を開発できます。 NIST SP 800-92 は、セキュリティ ログ データ管理と、収集された情報を標準化および細分化するためのプロセスの中核となる要件を提供します。
2. 監査イベントと国家的価値の定義:
企業または組織は、どのイベントをログに記録する必要があるか、どのイベントを無視してもよいかを決定する必要があります。これをリスクとセキュリティ戦略と比較して、ログ データが冗長でないか、重要な情報が欠けていないことを確認する必要があります。
3. ログ内の主要なデータ ポイント:
ログには、情報システム上の操作を再構築するために、誰が操作を実行したか、何を行ったのか、いつ実行されたのかなど、十分な詳細を記録する必要があります。一般的なデータ ポイントには、ユーザーまたはプロセス ID、タイムスタンプ、デバイス識別子、オブジェクト名、ポリシー識別子などが含まれます。
4 ログデータの保護:
ログ データには機密情報が含まれる場合があるため、その機密性と完全性を確保する必要があります。 WORM ディスクなどの整合性の高いストレージ メディアにログ ファイルを書き込むことで、データ ストレージ メディアの整合性を保護できます。機密情報が含まれる可能性のあるアプリケーション ログについては、データの機密性を保護するためにアクセスを制限する必要があります。
5. ログデータの利用可能性:
ログ データの量は時間の経過とともに増加するため、容量計画が必要になります。サーバーに保存されるローカル ログの場合は、保存期間を短くしてスペースを節約できます。 SIEM ツールに保存されたログは、数か月、数年、さらには永久に保持できます。ログ データは、オフラインの低コストのストレージ方法を使用してアーカイブすることもでき、コストを削減し、アクセスを遅くすることもできます。
7.2.6. 脅威インテリジェンス
1. 脅威インテリジェンス:
脅威インテリジェンスは、セキュリティ担当者が組織を標的とする可能性のある脅威や攻撃者を特定して予測するのに役立つ予防戦略です。このインテリジェンスは SIEM および SOAR と統合でき、ソースには商用脅威インテリジェンス ベンダー、政府機関 (米国の CISA など)、業界情報共有分析センター (ISAC)、ディープ Web、ダークウェブなどが含まれますが、これらに限定されません。ウェブ、ソーシャルメディア、ブログなど。
2. 脅威ハンティング:
脅威ハンティングは、手動分析と自動ツールを使用して脅威データを検索および分析し、組織内外の脅威を積極的に検出して防御するプロアクティブな防御戦略です。これは次の 3 つのレベルで実行できます。
1) 戦略レベル: このレベルには、組織のセキュリティ プログラムを指導するために最高情報セキュリティ責任者 (CISO) が必要かどうかなどの高レベルの問題が含まれます。
2) 戦術レベル: 特定の戦術の詳細が含まれ、多くの場合脅威指標 (loC) と呼ばれます。これらのインジケーターは、特定の脅威が他のシステムを標的とする可能性がある攻撃を検出するために使用されます。
3) 運用レベル: このレベルには、攻撃者のツール、技術、および手順 (TTPS) の理解が含まれます。
7.2.7. ユーザーおよびエンティティの動作分析 (UEBA)
•UEBAの定義
UEBA は、機械学習および統計分析モデルを使用して、情報システムを使用するユーザーおよびエンティティの通常の動作または予想される動作のベースラインを定義するセキュリティ ソリューションです。この予想されるベースラインからの逸脱は疑わしいものとしてフラグが立てられ、さらなる分析のための他のセキュリティ ツールへの入力として使用されます。
•エンティティとユーザー:
この文脈では、エンティティとは、ハードウェア (ルーターやサーバーなど) だけでなく、ソフトウェア プロセス、スレッド、デーモンなど、ネットワーク内の人間以外のアクターを指します。ユーザーは、情報システムにログインして対話する人間のユーザーです。
•UEBAの利点:
UEBA は、より詳細なセキュリティの監視と適応性を提供し、各組織の固有のニーズに基づいてセキュリティ ポリシーをカスタマイズできるようにします。このアプローチにより、不必要な制限や正当なビジネス活動への影響を回避しながら、セキュリティ ツールの費用対効果を向上させることができます。
•UEBA出力：
UEBA によって生成された監視結果は、SOAR や IPS などの他のセキュリティ ツールへの有用な入力として機能し、自動応答やセキュリティ制御をトリガーできます。たとえば、感染した可能性のあるマシンが検出された場合、ネットワーク隔離措置をトリガーしたり、ユーザーのアクセス資格情報を一時停止したりして、悪意のあるアクティビティが組織に与える可能性のある損害を制限することができます。
7.3. 構成管理 (CM) の実行
7.3.1. 構成管理
構成管理 (CM) は、情報システム構成の一貫性とセキュリティを確保するために使用される重要な組織プロセスです。構成から始まり、資産インベントリを経てベースラインを設定し、自動化で終わる論理プロセスを通じて、システムの一貫性とセキュリティを維持します。
1. プロビジョニング:
構成は構成管理の最初のステップです。これには通常、ハードウェアとソフトウェアのセットアップに対する組織のニーズを満たす事前承認されたベースライン イメージを使用することが含まれ、オペレーティング システムとソフトウェアの迅速な展開が可能になります。これにより、インストールにかかる時間が短縮され、発生する可能性のあるエラーが軽減されます。
2. 資産目録:
効果的にプロビジョニングするには、組織はハードウェア、ソフトウェア、クラウド サービスなどを含むすべての資産を明確に理解する必要があります。これは、プロアクティブおよびリアクティブな資産在庫管理を通じて実現できます。プロアクティブな在庫管理では、ハードウェアとソフトウェアの購入時に詳細情報が記録されますが、リアクティブな在庫管理では、未知の資産が発見されると在庫に追加されます。
3. ベースライン設定:
すべての資産を理解した後、組織はベースラインを設定できます。ベースラインは、システムが標準を満たすように構成されているかどうかを確認するために使用される確立された組織標準のセットです。ただし、ベースラインは静的ではありません。システム機能、システム バージョン、パッチ適用、および動作環境が変化すると、ベースラインの調整が必要になる場合があります。これには、ベースラインへの変更が慎重に計画、テスト、実装されるように、慎重に設計された変更管理プロセスが必要です。
参照ベースライン標準:
•国防情報システム庁セキュリティ技術導入ガイド (DISA STIG)
•CISベンチマーク
•サプライヤーによって提供されるガイダンス (例: Microsoft、Alibaba Cloud など)
•オートメーション：
インフラストラクチャ内のシステムは多くの場合複雑で、セキュリティと機能を維持するために維持する必要がある構成設定が多数あるため、自動化ツールは構成管理において重要な役割を果たします。たとえば、Windows Server の Active Directory (AD) は、変更管理管理者が AD ドメインの構成ベースラインを管理できるようにするグループ ポリシー設定を提供します。
7.4 基本的な安全操作概念を適用する
7.4.1 ニーズと最低限の権限を理解する
7..4.1.1 知っておくべきこと
これは、職務上の責任または任務要件により特定の情報にアクセスする必要がある人のみがその情報へのアクセスを許可されるべきであるという考えを中心とした情報セキュリティ原則です。簡単に言うと、職務上その情報を使用する必要がない人は、その情報にアクセスすべきではありません。
7..4.1.2 最低特権
これは、ユーザーのアクセスを可能な限り制限し、業務を遂行するために絶対に必要な最小限の権限のみをユーザーに付与することを強調するもう 1 つの情報セキュリティ原則です。そうすることで、特権の悪用やシステムが侵害された場合に発生する可能性のあるリスクが軽減されます。
試験のヒント: これら 2 つの原則の主な違いは、「必要なものを知る」原則はユーザーがアクセスできる情報に焦点を当てているのに対し、「最小権限」原則はユーザーが実行できるアクションに焦点を当てていることです。
7.4.2. 職務の分離
7.4.2.1 職務の分離 (SOD)
これは、1 人が過剰な権限や機能を持たないようにするために、ビジネス プロセスのさまざまなステップを複数人で分離することを指し、それによって内部関係者の脅威や不正行為のリスクが軽減されます。
7.4.2.2 マルチプレイヤーコントロール
マルチプレイヤー制御とは、アクションまたはタスクを実行するために複数の人が必要であることを意味します。これは、これらの人々が同じまたは異なる権限を持っているという意味ではなく、バランスをとるために、アクションまたはタスクを複数の人が実行する必要があるということだけです。
7.4.2.3M-of-N 制御
M-Of-N 制御も複数人制御に似ていますが、関連タスクを実行できる N 人中 M 人が協力してプロセスを完了するだけで済みます。
7.4.3. 特権アカウントの管理
7.4.3.1 特権
通常、システム内でユーザーに与えられる操作権限（パーミッション）。これらの権限には、ファイルの読み取り、書き込み、変更、プログラムの実行、特定のリソースへのアクセスなどが含まれる場合があります。
7.4.3.2 特権アカウント
これはシステム内で特に高い権限を持つアカウントで、通常はシステム管理者またはスーパーユーザー アカウントです。これらのアカウントの権限には、システム設定の変更、ソフトウェアのインストール、ユーザー アカウントの管理などが含まれる場合があります。
7.4.3.3 特権アカウントのセキュリティ制御
• 構成: 特権アクセスを必要とするユーザーは、正当なニーズがあり、信頼できることを確認するために厳格な審査を受ける必要があります。
•使用法: 特権アカウントには、必須の多要素認証などの追加の認証手順が必要であり、アカウントの使用は期限付きで自動的に期限切れになり、すべての操作がログに記録される必要があります。
•監査: 異常または不審な動作を検出するために、特権アカウントの自動または手動のログ チェックを定期的に実行する必要があります。
プロビジョニング解除: 特権アカウントのプロビジョニングを解除する場合は、最初にアカウントを一時停止または非アクティブ化してから、レビューを実施してアカウントを永久にプロビジョニング解除する必要があるかどうかを判断することをお勧めします。
7.4.4.ジョブローテーション
従業員間のジョブローテーションには、次の 2 つの主な利点があります。
1) クロストレーニングの機会を提供し、従業員にスキルを向上させる機会を与え、組織にさらなる柔軟性をもたらします。
2) 詐欺などの内部関係者の脅威を軽減します。
7.4.5. サービスレベル契約 (SLA)
7.4.5.1 サービスレベル契約 (SLA)
これは、組織とサプライヤーの間で署名される契約であり、サプライヤーが提供する製品またはサービスが満たす必要がある可用性とパフォーマンスの指標、および両当事者の責任と義務を規定しています。通常、SLA には、サプライヤーが約束を確実に履行できるようにするため、また、より良い製品やサービスの提供を奨励するために、罰則条項が含まれています。
7.4.5.2 覚書 (MOU) および相互接続セキュリティ契約 (ISA)
•MOU と ISA は協力と相互信頼にもっと注意を払っており、通常は和解条項は含まれていません。
•MOUは主に、二者間の協力の範囲、目標、方法を規制するために使用されます。
•ISA は主にネットワーク セキュリティの分野で使用され、ネットワーク セキュリティと情報セキュリティを保護する際の双方の責任と義務を規定します。
7.5. アプリケーションリソースの保護
7.5.1. メディア管理
メディア管理では、組織がデータ ストレージ メディアを分類、ラベル付けし、さまざまな分類レベルでデータを適切に処理する方法を従業員が理解できるようにする必要があります。
1) メディアの種類: 紙の記録、ハードディスク ドライブ (HDD)、ソリッド ステート ドライブ (SSD)、クラウド環境のストレージなど。
2) データ分類: 組織の分類ポリシーに従ってデータを分類し、適切な管理手段を選択するための基礎を築きます。
3) ラベルとマーキング: すべてのメディアには、含まれるデータの分類レベルを示すラベルを付ける必要があります。さまざまな状況下では、透かし、ファイル ヘッダー/フッター、またはメタデータをマーキングに使用できます。
4 処理: ユーザーは分類レベルとメディア処理手順についてトレーニングを受ける必要があります。処理手順には、機密データの取り扱い方法、破棄要件の遵守方法などが含まれる場合があります。
デジタル メディアの課題: 複数のファイルやストレージ デバイスを含む情報システムに正しくラベルを付けるのは難しい場合があります。ポリシーは、最高レベルのデータを含む分類にメディアを割り当てるなどの解決策を提供する必要があります。
7.5.2. メディア保護技術
メディア保護技術には、セキュリティ管理の実装、最小特権の原則の適用、物理的保護の重視、輸送中のメディアのセキュリティの確保、適切な消毒と廃棄方法の選択が含まれます。同時に、データのセキュリティを確保するには、破棄業者の適切な管理も必要です。
・セキュリティ管理の実施：データの分類に応じて必要なセキュリティ管理措置を適用し、対応するプロセスと手順を記録し、ユーザーをトレーニングします。
• 最小特権の原則: メディアへのアクセスを制限し、物理的なセキュリティ対策を実装します。
•物理的保護: 機器の紛失や盗難などの潜在的なリスクに対処するために、物理的保護に重点を置きます。ディスク暗号化などの補償制御により、データの機密性が保証されます。
•Transport Butterfly: 暗号化、ハッシュ検証、物理的保護手段により、転送中のメディアのセキュリティを確保します。
●消毒と廃棄：被覆、消磁、物理的破壊、暗号破砕など、ニーズに応じて適切な消毒と廃棄方法を選択してください。クラウド ストレージ ソリューションでは、暗号による消去が唯一の実行可能なセキュリティ方法である可能性があります。
• ベンダー管理: 破壊ベンダーが物理的なセキュリティ基準や保険要件を含む契約およびサービス レベル アグリーメントを遵守していることを確認します。
7.6. イベント管理を行う
7.6.1. 送別会イベントの管理
1. 事件と事故の違い
•イベント: 定期的な操作などの監視可能な項目。通常、追加のアクションは必要ありません。
• インシデント: 組織に悪影響を及ぼし、IT、運用、セキュリティ担当者が共同で調査して修復する必要がある計画外のイベント。
2. インシデント管理計画:
•インシデントの影響を特定、分類、修復するために必要なツール、リソース、プロセスを文書化します。
•インシデントタイプの定義、インシデント対応チームの人員、役割と給与、必要なリソース、インシデント管理プロセスが含まれます。
• インシデント対応フレームワークは、インシデントを事前に計画し、適切な対応戦略を開発することに重点を置いています。例: TL、NIST、ISACA
•重要度、影響、緊急性に基づいて分類し、優先順位を付けます。
多くの組織は (P0 ～ P5) を利用してインシデントを分類します。 P0 は最も重要であり、P5 は最も重要ではないインシデント対応テストおよび演習です。
3. インシデント対応の検知と訓練
•緊急時以外の状況で計画をテストし、ギャップ、見落とし、または問題を特定します。
• 訓練を通じてインシデント対応チームのメンバーの責任について訓練することで、実際のインシデント発生時の混乱や無駄を削減します。
4. サードパーティに関する考慮事項:
•組織が運営を継続できるように、外部サービスプロバイダーとの適切な調整を確保します。
• インシデント対応計画では、主要な外部サービスプロバイダーまたはサードパーティを特定し、連絡先情報を文書化する必要があります。
•社内チームとサードパーティが協力してインシデントに対処できるように、サードパーティの役割と責任を明確にします。
7.6.2. 検出
•インシデント検出は、組織が対応を開始する前の重要なステップであり、自動統合 (SIEM ツールなど)、セキュリティ ツール (マルウェア対策ソフトウェアなど)、および人間の検出が必要です。
組織のロギングと監視の戦略は、検出機能が向上して適応し、自動化されたツールとアラートがより正確になるにつれて、潜在的なインシデントをできるだけ早く特定して警告することに重点を置く必要があります。
• インシデントが検出された場合、関連する取り組みと意思決定を追跡し、インシデント対応プロセスをトリガーし、調査を開始するための適切なリソース (サービス チケットやチェックリストなど) を開始するための文書が自動的に作成される必要があります。
• アナリストは検出中にイベントをレビューし、イベントが正当なものであるか誤検知であるかを判断するための基礎調査を実行します。
イベントが有効であるとみなされると、応答プログラムが開始されます。
7.6.3. 応答
•トリアージは、インシデントの重大度と分類を決定する早期対応プロセスであり、SOAR ツールはこの対応を自動化できます。インシデントを SOAR で完全に制御できない場合は、インシデントの影響を判断し、適切なリソースを備えた IR チームを設立する必要があります。
計画には、シナリオのガイダンス、文書化された手順に従うこと、および調整された対応を確実にするためのチェックが含まれています。 IR コーディネーターまたはチーム リーダーは、入手可能な情報に基づいて意思決定を行い、チームの対応を調整する必要があります。
•IR チームは、収集した情報が後日使用できることを保証するための厳格な基準に従って、直ちに証拠を収集および保存する必要があります。レポートには、インシデント検出の概要、詳細な手順、収集された情報、TTP (戦術、技術、手順) の証拠などを含め、インシデントの発生前、発生中、発生後に何が起こったかを正確に記録する必要があります。
拡張機能: Verizon の VERIS フレームワークは、IR チームの活動をガイドするために IR データを取得および管理するための構造化されたアプローチを提供します。詳細については、veriscommunity.net をご覧ください。
7.6.4. 軽減策
•緩和フェーズの目的は、インシデントを修復することです。理由を理解し、必要なリソースを展開します。
•緩和は、インシデントを迅速に封じ込め、影響の拡大を防ぐことに重点を置きます。短期および長期の修正が含まれる場合があります。
• インシデントの隔離または封じ込めには、通常、インシデントの種類に応じて、問題のあるシステムまたはコンポーネントを無効にすることが含まれます。
•緩和措置は、意思決定のストレスを軽減し、効率を高めるために、事前に確立された対応ガイドラインに従う必要があります。
•緩和プロセス中に行われたアクションの記録と報告は、インシデントの影響を評価し、その後の意思決定をサポートするのに役立ちます。
•定期的なチェックインミーティングにより、関係者が現状を理解し、それに応じて行動できるようになります。
7.6.5. 報告
•報告はIRプロセス全体を通じて継続され、さまざまな利害関係者が関与します。
• 内部報告。インシデントの状況と意思決定情報を IR チームのメンバーと経営陣に提供するための非公式および公式の報告が含まれます。
•外部報告。政府機関、業界規制当局、法執行機関、ビジネスパートナー、サプライヤー、サービスプロバイダー、ユーザー、顧客、一般の人々が関与する場合があります。
• データ侵害の報告。さまざまな法律 (GDPR など)、規制、セキュリティ フレームワーク (PCI など) の対象となり、通常は一定の期間内に規制当局に報告する必要があり、影響を受ける個人への直接通知が必要になる場合もあります。
7.6.6. 回復
• 復旧の主な目的は通常の運用を回復することであり、復旧作業は発見後すぐに開始され、インシデントが完全に終了するまで継続されます。組織が通常のサービス運用レベルに戻ると、回復フェーズは終了します。
•単に従業員の懲戒処分につながる安全方針違反など、すべてのインシデントに回復が必要なわけではありません。
インシデントにより BC/DR 請求が発生した場合、その請求が解決されるまで回復フェーズが継続される場合があります。
7.6.7. 救済策
•修復は、インシデントの根本原因を排除し、脆弱性を解決することを目的とした長期的な戦略的活動です。
。修復には、トレーニングの強化、悪意のある電子メール送信者のブロック、電子メール セキュリティ ツールの導入などが含まれる場合があります。セキュリティ担当者やリソースの追加など、長期的な組織的措置も是正措置として機能する可能性があります。
•修復期間中、規制当局、顧客、または影響を受けるユーザーに金銭的な手数料/補償金が支払われる場合があります。
7.6.8. 教訓
学んだ教訓は、インシデントが解決された後に IR プロセスを見直し、改善する上で重要な部分です。
その目的は 2 つあります。
1) 改善が必要な IR プロセスを特定します。
2) 根本的な原因に対処し、インシデントの再発を防ぎます。
通常、事後分析または事後報告は、改善の取り組みをサポートするために事実と指標が適切に記録されていることを確認するために、中立的な当事者によって促進される必要があります。
7.7. 運用、保守点検および予防措置
7.7.1. ファイアウォール (次世代、Web アプリケーション、ネットワーキングなど)
ファイアウォールは、ネットワークのさまざまな部分への情報の流れを隔離して制御するために使用されるアクセス制御デバイスです。トラフィックを分析し、ルールを適用して、トラフィックを転送する (許可する) かドロップする (拒否する) かを決定します。
7.7.1.1 ファイアウォールの種類
1•静的パケット検査 (ステートレス): これは、パケット ヘッダー情報のルールベースのフィルタリングに焦点を当てた第一世代のファイアウォールです。
2. ステートフル ファイアウォール: 第 1 世代をベースにした第 2 世代のファイアウォールは、通信コンテキスト (状態) の理解を追加し、より柔軟でインテリジェントな保護を提供します。
3. Web アプリケーション ファイアウォール (WAF) と API ゲートウェイ: これらの特定の種類のファイアウォールは、特定の世代のファイアウォールに直接対応するわけではありませんが、特定のアプリケーション シナリオ (Web アプリケーションや API など) 専用のソリューションです。
4. ホストベースのファイアウォール: これも、特定の世代のファイアウォールに直接対応するものではありませんが、ネットワーク ファイアウォールを超えた追加のセキュリティ層を提供するために単一のホストに展開される保護です。
5. 次世代ファイアウォール (NGFW): 多くの場合、第 3 世代のファイアウォールとみなされ、複数のセキュリティ機能が統合されています。ステートフル ファイアウォール、API ゲートウェイ、侵入検知、VPN サービスなど、より包括的なネットワーク セキュリティ ファイアウォールを提供します。
7.7.1.2 セキュリティグループ
この概念は、ソフトウェア定義ネットワーキング (SDN) およびクラウド環境で発生し、特定のファイアウォールの世代には直接関係しません。機能的にはファイアウォールと似ていますが、仮想化環境ではより柔軟でスケーラブルです。
7.7.2. 侵入検知システム (DS) と侵入防御システム (IPS)
7.7.2.1 侵入検知システム (IDS)
1. 機能: システム侵入の試みを検出します。
2. 次のように入力します。
•ネットワーク侵入検知システム (NIDS): ネットワーク内に配置され、すべてのトラフィックを監視するために使用されます。
•ホスト侵入検知システム (HIDS): トラフィックを監視するために特定のホストに導入されます。
3. 仕組み: トラフィックまたはアクティビティを分析し、悪意のあるパターンに一致するアクティビティ、または通常または予期されるシステム動作から逸脱するアクティビティを検出する受動的デバイス。
4. 応答: 人間のアクションを必要とするアラートを生成します。
7.7.2.2 侵入防御システム (IPS)
1. 機能: システム侵入の試みを検出し、対応します。
2. 次のように入力します。
•ネットワーク侵入防御システム (NIPS): ネットワーク内に設置され、すべてのトラフィックを監視します。
•ホスト侵入防止システム (HIPS): トラフィックを監視するために特定のホストに導入されます。
3. 仕組み: トラフィックまたはアクティビティを分析し、既知の悪意のあるパターンに一致するアクティビティ、または通常または予期されるシステム動作から逸脱するアクティビティを検出するアクティブなデバイス。
7.7.2.3 導入モデルと場所
• 対応: 新しいファイアウォール ルールの実装などの予防措置を自動的に実行します。
1. NIDS/NIPS
場所: 最適な可視性を実現するネットワーク境界。
短所: 仮想マシン間のトラフィックがスイッチを通過しないため、仮想化環境への対応が難しい場合がある
2.HIDS/ヒップ
長所: 交通可視性の問題の解決に役立ちます。
短所: 追加のライセンスコスト、処理オーバーヘッド、エンドポイントとの互換性の問題。
7.7.3. ホワイトリストとブラックリスト
許可リスト/拒否リストとも呼ばれ、アプリケーション、IP アドレス、ネットワーク エンドポイント、特定の国から発信されたネットワーク トラフィックなど、明示的に許可または明示的に拒否されるエンティティのリスト。
実装方法: ネットワーク技術 (ファイアウォール、VPN など) およびその他のツール (オペレーティング システム、アプリ ストア、電子メール クライアントなど)
7.7.4. 第三者が提供するセキュリティサービス
サードパーティのセキュリティ サービスを検討する場合は、長所と短所を比較検討し、強力な社内セキュリティ プログラムを備えたサービス プロバイダーを選択するようにしてください。
1. サードパーティのセキュリティ サービスの利点:
•コストの削減
•専門知識
2. サードパーティのセキュリティ サービスの欠点:
・ロワーコントロール
•第三者が標的となるリスク
•サードパーティの管理による追加のオーバーヘッド
3. 一般的なサードパーティのセキュリティ サービス:
•セキュリティ オペレーション センター (SOC): SOC 業務の一部または完全なアウトソーシング
•デジタルフォレンジックおよびインシデント対応 (DFIR): 継続的な監視の延長として、MSSP によって提供されます。
脅威インテリジェンス: 継続的な監視、リスク評価、SOAR テクノロジーと組み合わせて、組織に対する潜在的な脅威に関する情報を提供します。
7.7.5. サンドボックス化
1. サンドボックスの基本概念:
は、サンドボックス外のリソースに接続する機能が制限された分離された環境です。
2. サンドボックス アプリケーション シナリオ:
•ウイルス分析: 隔離された仮想マシンでマルウェアを実行します。他のシステムへの感染を防ぐ
•概念実証: 本番システムのデータ整合性に影響を与えることなく、隔離された環境で実験します。
3. ソフトウェア強制サンドボックス:
一連の制限されたルールを通じてアプリケーションの実行時の動作を制御する
例: Apple の iOS システムは、アプリがデータや機能にアクセスすることを制限します
4. モバイル デバイス管理 (MDM) とサンドボックス化:
スマートフォンに追加のセキュリティ層を追加する
特定のアプリケーションがユーザーの電話にインストールされており、組織データへのアクセスは許可されますが、外部データへのアクセスは制限されます。
7.7.6. ハニーポットとハニーポットネットワーク
1. ハニーポット/ハニーネットの定義:
•データおよび情報システムへの不正アクセスの試みを検出または収集するために使用される情報
ハニーポットは貴重なリソースのように見えますが、実際には重要なデータは含まれていません。
2. ハニーポット/ハニーネットの役割:
•攻撃者の注意をそらし、価値の高いターゲットを保護します
・IPアドレスなどの攻撃者情報の収集
3. 法的問題:
•さまざまな管轄区域でのハニーポット/ハニーネットの使用、特に罠に関して法的問題が存在します。
4. ハニーポット/ハニーネットは、ターゲットを引き寄せたり、悪者を捕まえたりするために設定されるべきではなく、受動的な観察ツールとして使用されるべきです。
サードパーティのハニーポット サービス:
• ハニーポットデバイスを展開および監視する簡単な方法を提供します。
•ハニーポット関連の法的問題に対処し、罠の問題を回避する
•生成されたアラートはSIEMまたはSOARツールに統合可能
7.7.7. マルウェア対策
1. マルウェア対策の開発:
脅威が進化するにつれて、初期のウイルス対策 (A/V) ソフトウェアは徐々にマルウェア対策 (A/M) ソフトウェアに置き換えられました
2. 導入方法：
多層防御モデルを採用し、トラフィックとアクティビティを徹底的にスキャンして望ましくない動作を検出します。
電子メール サーバー、ファイル共有サーバー、ネットワーク監視ツールなどの重要なリソースに導入可能
3. 最新の進化:
•エンドポイント検出および応答 (EDR) ソリューション: A/M 機能、ホスト ファイアウォール、ファイル整合性監視、UEBA を組み合わせます。
•マネージド検出および対応 (MDR) サービス: 検出機能とサードパーティのセキュリティ サービスを組み合わせて、エンドポイントのセキュリティ リスクに対処します。
4. 検出および対応方法:
• シグネチャベースのツール: 既知のマルウェアに関連する特定のファイルまたはアクティビティのパターンを検索します。
•ヒューリスティック検出: アクティビティ パターンの統計分析に基づいて、潜在的に悪意のある動作を検出します。
• 検出後のアクション: 影響を受けるファイルまたはシステムを隔離し、アラートを生成します。
•アラートの統合: SIEM ツールと統合して一元的な監視と対応を行うか、SOAR と統合して自動インシデント対応を行います。
7.7.8. 機械学習 (ML) と人工知能 (AI) に基づくツール
1. セキュリティ ツールにおける Al と ML の利点:
• インシデントをより迅速に検出して対応する
•正しく設定されていれば、意思決定から人的エラーを排除できます。
2.Al と ML の潜在的な欠点:
意思決定のブラックボックス的な性質: エラーを検出したり、出力を理解したりするのが難しいため、新しいテクノロジーを扱うときは注意が必要です。
7.8. パッチと脆弱性管理の実装とサポート
7.8.1. パッチ管理
パッチは、特定のソフトウェアの脆弱性またはパッチ管理に対処するために使用されるソフトウェア アップデートです。
•複数の関係者: 研究者、開発者、サポート スタッフ。
• 一般的なセキュリティ パッチ プロセスには、脆弱性の検出、パッチのリリース、パッチの適用性評価、パッチ テスト、パッチの適用と追跡、ロールバック (問題がある場合)、システム ドキュメントの更新が含まれます。
• パッチ管理には、内部プロセスとサードパーティのサービスが関与する場合があります。
• ソフトウェア構成分析 (SCA) は、脆弱性とパッチ管理のもう 1 つのサードパーティ要素です。
7.8.2. 脆弱性の管理
脆弱性管理の実践:
• 脅威ハンティング: 未知の脆弱性を悪用する可能性のある脅威を探します。
•脆弱性スキャン: 安全でない構成やパッチが適用されていないソフトウェアなどの既知の脆弱性を自動的に検出します。
•赤と青の対決: 赤のチームは特定の資産に対してターゲット テストを実行し、青のチームは防御を実行します。
•侵入テストとバグ報奨金: 脆弱性を見つけるための手動テスト。
•SOAR ツールを使用して脆弱性管理プロセスとワークフローを自動化します。
7.9. 変更管理プロセスを理解し、参加する
7.9.1. 変更管理
1. 変更管理の手順:
1) 変更リクエストを作成します。変更の目的、根拠、責任者、必要なリソース、および予想される変更の影響を文書化します。
2) 変更レビュー: 変更管理委員会または変更諮問委員会 (CCB または CAB) は、変更のビジネス価値、影響、および潜在的なリスクを評価するためのレビューを実施します。
3) 変更承認：記録された計画に従って責任者が実行します。
4) セキュリティ問題の調整: 新しいハードウェアの調達および展開中に関連プロセスが確実に実行されるようにします。
2. 変更の種類:
•標準的な変更: リスクは低く、悪影響を与える可能性は低く、事前承認されています。たとえば、標準パッチを適用し、標準資産を追加し、承認されたソフトウェアをインストールします。
•通常の変更: 完全な変更管理プロセスが必要です。実施は変更委員会の定例会議に従ってスケジュールされます。
•緊急の変更:セキュリティインシデントなどの緊急事態に対応します。セキュリティと速度のバランスをとるために、簡素化された意思決定または軽量プロセスが採用される場合があります。
7.10. 回復戦略の実施
7.10.1. 回復戦略の実施
1- 回復戦略を実行します。
可用性セキュリティ目標に関連して、ビジネス影響分析 (B/A) を通じて重要な資産と機能を特定し、可用性のニーズとコストのバランスをとる回復戦略を設計します。
2 つの主要な回復指標:
•目標復旧時間 (RTO): 緊急手順を使用してシステムまたはプロセスを復元するのに必要な時間。
•目標復旧時点 (RPO): 災害発生時に許容できるデータ損失の量。
•最大許容ダウンタイム (MTD または MAD): 資産またはプロセスが使用可能にならずに組織が存続できる時間。
3. バックアップストレージ戦略:
•完全バックアップ: すべてのデータのバックアップには最も時間がかかり、最大のスペースが必要になります。
• 増分バックアップ: 最後の完全バックアップまたは増分バックアップ以降に変更されたデータをバックアップします。これは最も高速ですが、復元に最も時間がかかります。
• 差分バックアップ: 前回の完全バックアップ以降に変更されたすべてのデータを、より高速かつ少ないストレージ要件でバックアップします。
4.3-2-1 バックアップ戦略:
データのコピーを少なくとも 3 つ保持します。マスター データ コピーを含む 2 つのコピーはローカルまたはオンサイトに保存され、1 つのコピーはオフライン リモート バックアップに保存されます。
バックアップの整合性と機密性:
•バックアップデータの整合性チェックを実行します。
•データの整合性を検証するためにテストリカバリを定期的に実施します。
•実稼働環境と同じまたはそれ以上のレベルのセキュリティ制御をバックアップ メディアに実装します。
5. RAID (ディスクの冗長アレイ)
6. クラウドバックアップ:
•高可用性、自動データ複製、データ永続性を実現するように構成された Software as a Service (SaaS) などのクラウド サービス
•バックアップストレージソリューションとしてサービスとしてのインフラストラクチャ (laas) またはサービスとしてのプラットフォーム (paas) を使用します。
•クラウド サービスを使用する場合、物理的なデータ制御の喪失とコスト削減の間のトレードオフを評価します。データをクラウド環境に保存する前に暗号化することは、効果的なセキュリティ対策となります。
7.10.2. 復旧サイト戦略
1. 復旧サイトの構成と場所の選択: 費用対効果の分析、復旧速度、プライマリ サイトからの距離。
2. ミラー サイト: 短期的な RTO および MTD のニーズを満たすために、従業員、リソース、プロセスを複数のサイト間で恒久的に割り当てますが、コストは高くなります。
3. リカバリ サイトの種類:
•コールドサイト: 施設が空であり、機器とユーティリティの構成が必要ですが、復旧時間が長くなり、コストが低くなります。
•暖かいサイト：ある程度の設備があり、ある程度の工事が必要です。
·ホット サイト: メイン サイトと同じ設備とデータがあり、コストはかかりますが、短期の RTO または RPO を満たすのに役立ちます。
4. サードパーティのサプライヤー: ウォーム サイトおよびホット サイトの校正サービスを提供し、建設およびメンテナンスの費用の一部を負担します。
5. モバイルサイト：自然災害などの緊急時に適した、コンテナ内のサーバーラックなど、迅速に配備可能な情報処理施設。
6. クラウドサイト：災害発生時の復旧のために一時的にクラウドサービスを利用します。コードとしてのインフラストラクチャ (lac) および同様のコンテナ化テクノロジに基づいて、新しい仮想インフラストラクチャをクラウドに迅速に展開します。
7.10.3. マルチサイト
1 複数の処理サイト: 組織は、地理的に分散した複数の処理サイトにわたるプロセスや機能を事前に設計することで、同じ災害が複数のサイトに影響を与えるのを防ぐことができます。
· 利点: 複数処理サイト用の組み込みメタデータ。高い信頼性を持っています。
•デメリット: 家賃、人件費、設備費が高くなります。
2. 技術的な課題: 複数の処理サイト間でデータを複製および同期するには、ディスクまたはデータベースのミラーリングなどのソリューションを使用できます。
3. クラウド サービスのサポート: 多くのクラウド サービスは、マルチプロセシング サイトのアプリケーション シナリオを当然サポートしており、即時に複製されるデータ ストレージは多くのクラウド データベースや SaaS ツールの標準機能です。これにより、サイト間のデータ同期とレプリケーションのリスクが解決されます。
リスク: クラウドまたはアウトソーシング サービス プロバイダーに移行すると、データの制御を失うリスクが高まる可能性があります。
7.10.4. システムの復元力、高可用性 (HA)、サービス品質 (QoS)、およびフォールト トレランス
1. システムの柔軟性:
障害に耐えるシステムの能力を指し、障害を考慮して修正措置を組み込んだ設計に依存します。
2. 高可用性:
ロード バランサやクラスタリングなどのテクノロジを通じて冗長性と動的な再ルーティングを提供し、システムの継続的な可用性を確保します。
3. サービス品質 (QoS):
ミッションクリティカルなデータや時間に敏感なデータなど、重要なトラフィックを優先するネットワーク テクノロジの機能。
4. 耐障害性:
Uptime Institute の階層によると、データセンターのレベルが異なると、障害が発生した場合に保証される稼働時間の程度も異なります。
5. フォールトトレラントシステム:
RAID やデータベース システムなど、ハードウェア、ソフトウェア、またはデータ処理の障害に耐えて動作を継続できるシステム。
7.11. 災害復旧 (DR) プロセスの実装
7.11.1. 応答
災害復旧は、まず人命救助と個人への危害の防止に重点を置き、次に機器、システム、施設、さらにはデータの復元または回収に重点を置きます。
ディザスタリカバリはビジネス継続性の一部であり、災害発生時に IT サービスと機能を復元することに重点を置いています。事業継続性は、組織の事業運営の継続性に焦点を当てています。
災害が抑制または解決されたら、災害復旧計画を使用して、元の場所または選択した新しい主な場所に業務を復元するために必要な手順を特定し、実行します。
対応プロセス:
1. セキュリティ担当者は多くの場合、災害状況への初期対応を担当します。
2. 災害発生時に必要な対応は、災害の種類によって異なります。ストレスの多い状況では人々の意思決定能力は限られているため、災害復旧計画や事業継続計画で対応計画と行動計画を事前に承認しておくことが最善です。
3. 計画で対処する必要があるタスクには、次のようなものがあります。
1) 従業員の生命、健康、安全が最大の関心事です。
2) 重点を置くために、指定された災害または危機コーディネーターと連携した対応業務を実施します。
3) 従業員、上級管理職、場合によっては公務員や法執行官を含むさまざまな利害関係者に、明確かつ一貫したコミュニケーションを提供します。
4 災害後のレビューをサポートし、保険や訴訟に必要な証拠を提供するために、すべての業務を文書化します。
7.11.2. 職員
対応チームのメンバーとして選ばれた組織担当者は、DRP に詳述されているすべての活動を実行するための訓練を受け、資格を持っている必要があります。これらの活動には、一般的な緊急手順だけでなく、災害復旧チームの担当者は、施設や設備の損傷評価、復旧および回収作業、事業運営の再開などの活動についても訓練を受ける必要があります。
7.11.3. コミュニケーション
ステークホルダーに情報を提供し続けることが重要であり、危機コミュニケーションでは動的な環境を考慮し、明確な情報を提供する必要があります。
1. 社内の関係者とコミュニケーションをとる:
•インシデントに関する情報と対応への参加方法を知る必要がある従業員と経営陣が含まれます。
•コミュニケーション方法には、アクティブ (電話ツリーなど) またはパッシブ (Web サイトに投稿されるメッセージなど) があります。
2. 外部の関係者とコミュニケーションをとる:
•選択するコミュニケーション方法は、それを受け取る人の重要性と、伝えられるメッセージを考慮する必要があります。
•組織の緊急事態の影響を受ける顧客、一般大衆、ビジネスパートナー、サプライヤーが含まれます。
•法的または契約上の義務により、データ侵害が発生した場合のプライバシー通知など、外部の利害関係者とのコミュニケーションの実施方法が規定される場合があります。
•顧客に積極的に通知したり、新しい問い合わせを発行したりするなど、能動的および受動的コミュニケーション方法を必要に応じて使用します。
• コミュニケーションは一声の原則に従う: 組織は外部の利害関係者 (メディアや一般大衆など) とコミュニケーションする際に統一された意見を持つべきであり、この原則はトレーニングの一部として組み込まれるべきです。
7.11.4. 評価
1. 災害評価:
•リスク評価と同様に、主な目標は影響を特定し、対応に優先順位を付けることです。
• 災害の性質と原因 (人災か自然かなど)、および復旧措置の優先順位 (人員の避難や正常な停止とバックアップ施設への機器の移転など) を決定する必要があります。
•評価プロセスは進行中の可能性があり、対応チームは事象または災害の現在および将来起こり得る影響を特定する必要があります。
2. 評価結果：
•行動の正しい方向性を決定するために、経営陣および意思決定者に伝達する必要があります。
• 適切な BCDR 計画が存在する場合、対応は特定の手順またはステップに従い、特定の災害に合わせて調整される必要があります。
• これらの手順では、生命、健康、安全を優先すると同時に、顧客への影響、規制上の義務、直接的および間接的なコスト（収益の損失や風評被害など）も考慮する必要があります。
3. 事後評価:
•復旧後、災害や出来事の全体的な影響を評価します。
• 評価には、組織の全体的な財務コスト (復旧コスト、ビジネスや生産性の損失を含む) と、将来の災害時および継続性の運用を改善する方法に関する情報が含まれる必要があります。
•学んだ教訓の記録と適用については、後続の章で詳しく説明します。
7.11.5. 回復
回復段階:
• 災害の影響を受けた元の場所または施設を復旧します。
•重要なビジネス機能を回復します。
•主要会場での通常のサービスレベルの再開。
7.11.6. トレーニングと意識向上
BC および DR 計画を作成してテストし、主要な担当者をトレーニングします。すべての従業員は、基本的な生活、健康、安全計画に関するトレーニングを受けることが義務付けられています。
1. 高度なトレーニング:
•C プランと DR プランの特定のキノコ採取者からのテキスト。
•IT サービスを復元し、セキュリティ管理を確保するセキュリティ チームの役割。
•人事、財務、法務チームは、特定の種類の災害において重要な役割を果たす可能性があります。
2. 定期的なトレーニングと意識向上:
•知識が常に最新の状態に保たれるようにします。
•定期的に火災訓練または避難訓練を実施します。
•主要担当者の相互トレーニングと知識の更新のために、BC または DR 計画の定期的なテストと訓練を実施します。
7.11.7. 教訓
1. 継続的な改善と見直し
•BCおよびDR計画の定期的な見直し
・回収完了後の正式審査
•学んだ教訓を活用して計画とプロセスを最適化する
2. レビューと評価
•計画の長所と短所を特定する
•従業員の行動が回復プロセスに与える影響を分析する
•事後分析と根本原因分析の実施
3. 戦略を変更する
•計画または対応における長所を特定する
•潜在的な改善の機会を特定する
•収集した情報をBCDRプログラムとプロセスの改善に適用する
7.12. 火災災害復旧計画 (DRP) のテスト
7.12.1. 災害復旧のテスト
1.リードスルー/テーブルトップ
•最も簡単なBCDRテスト
•さまざまな関係者と計画について話し合う
• 重要な情報とプロセスを確認する
2. ウォークスルー
•現実のシナリオで演習を行う
•主要プレイヤーとの現場での活動
•潜在的な問題と仮定を特定する
3.シミュレーション
• 消防訓練に似ている
• 特定のシナリオに対応する
•目標復旧時間 (RTO) と目標復旧時点 (RPO) を検証する
4. 並列テスト（並列）
•アクティブ システムとバックアップ システムを同時にテストする
•バックアップシステムが実際の負荷に耐えられることを確認する
•設定エラーやデータバックアップの問題を発見する
5.完全中断
•実際の災害をシミュレーションする
•コストが高く、通常の動作に影響を与える可能性があります
•BCDR計画とプロセスにおけるすべての問題を特定する
7.13. 事業継続（BC）計画および演習に参加する。
7.13.1.1. 事業継続計画および演習に参加する。
事業継続性の計画と実行におけるセキュリティ担当者と CISSP の主なタスクには、次のようなものがあります。
1. 緊急作業中の安全要件の変更。新しい要件に対応するための対策を実施または管理するための安全要件の変更に関する提案を提供します。
2. BC・DR計画変更のご案内
•計画に反映する必要がある変更を特定する（スタッフ、プロセス、以前のインシデントから学んだ教訓など）
•更新された計画ファイルの整合性と可用性を確保する
3. テストと訓練のシナリオを設計する
• 関係者に計画の新しいコピー (オフライン コピーを含む) を提供し、古いコピーを破棄します。
• セキュリティインシデントは、ランサムウェア攻撃などの災害宣言につながる可能性があります。
•セキュリティ専門家は実践シナリオを開発し、ファシリテーターとして機能するのに適しています。
•理解を助けるためにシミュレーション中に質問に答えます。
7.14. 物理的セキュリティの実装と管理
7.14.1. 外部セキュリティ制御
1. 境界を区別する:
•公共エリア: 道路、歩道、ロビー、駐車場
・会場の出入り口：受付、正面玄関、搬入搬出場
・外部設備：予備発電機、光熱費、駐車場設備
•運営施設：オフィススペース、会議室
2.物理制御タイプ:
•高度なセキュリティ施設: データセンター、保管庫、SCIF
•予防的コントロール: セキュリティインシデントの発生を防ぐために設計されたコントロール。たとえば、アクセス制御システム、フェンス、錠前によって、権限のない人が施設に入るのを防ぐことができます。
• 脅威の制御: 潜在的な脅威を作成することで、潜在的な攻撃者は攻撃を恐れるようになり、セキュリティ インシデントが発生する可能性が低くなります。たとえば、セキュリティ カメラや警告標識は、潜在的な攻撃者に監視されていると感じさせ、犯罪を犯す可能性を減らすことができます。
•検出制御: セキュリティインシデントをタイムリーに検出するために使用される制御手段。たとえば、セキュリティ カメラ、侵入検知システム (IDS)、およびモーション センサーは、不正な侵入や異常な動作を検出できます。
• 補償コントロール: 他のコントロールがセキュリティ インシデントを完全に防止または検出できない場合に、追加の保護を提供するコントロール。たとえば、アクセス制御システムに障害が発生した場合、セキュリティ担当者を使用して一時的なパトロールを実施できます。
回復制御: セキュリティ インシデントの後に通常の操作を復元するのに役立つ制御。たとえば、バックアップ発電機と災害復旧計画により、インシデント発生後に重要な施設の稼働を回復できます。
•指示的統制: ルールや手順を規定することによって組織内の行動を指示する統制。たとえば、安全トレーニング、ポリシー、操作手順は、従業員が安全な慣行に従うように導くことができます。
•修正管理: セキュリティインシデントの発生後に、損傷を修復したりエラーを修正したりするための措置を講じる管理。たとえば、イベント後の調査、セキュリティ監査、是正措置は、組織がセキュリティの問題を解決し、同様のインシデントの再発を防ぐのに役立ちます。
3. 物理的制御の実装:
•物理的制御: 障壁、フェンス
•技術制御: IDカードリーダー
•管理上の制御: ポリシーと手順
4. 防犯環境設計 (CPTED) の原則:
•景観を活用して物理的な安全を確保する
•照明は犯罪行為を抑止する上で重要な役割を果たします
・施設のセキュリティニーズに応じて窓の位置や材質を検討する
7.14.2. 内部セキュリティ管理
内部セキュリティ管理は、組織が直接管理できる領域です。これらのエリアの制御された植栽は、データとシステムのセキュリティを保護するように設計されています。同時に、従業員の安全にも注意を払う必要があります。
1. 運営設備：
これらの施設には通常、従業員が常駐しており、組織の物理的セキュリティ管理の対象となります。人員や設備の安全を確保するために、防火や環境管理などの管理措置に注意を払う必要があります。
●火災検知と消火：火災検知道路や煙検知道路を設置し、水噴霧やガス消火などの方法を使用して、火災による人員や設備への影響を軽減します。
• アクセス制御: 従業員の許可に基づいて施設内のさまざまなエリアへのアクセスを分割し、アクセス カードまたはロックを使用してアクセスを制御します。
• 方針と手順: デスクの清掃やスクリーンのロックなどの安全手順に従うように従業員を訓練し、緊急避難やその他の側面を開発します。 材料: 安全性を向上させるために、安全要件に従って壁、ドア、窓などの適切な建築材料を使用します。
2. 高度なセキュリティ設備：
これらの施設には、高額または機密資産が保管されているため、証拠保管室、安全な区画情報施設 (SCIF)、サーバー ルームまたはデータ センターが含まれることがよくあります。
•高度なセキュリティ施設では、入退室設備の検査、複数レベルの物理的アクセス制御など、追加のセキュリティ管理措置を実装する必要があります。
•データセンターは、設計と保守に専門的なスキルを必要とする特別な高セキュリティ施設です。これらの施設にはより高いレベルのセキュリティが必要であり、多くの場合、より多くのセキュリティ予算が必要になります。
• ASHRAE のデータセンター熱管理ガイドラインや Uptime Institute のデータセンター機器の可用性評価などの参照設計標準。
7.15. 従業員の安全とセキュリティの問題への対処
7.15.1.出張
1. 出張時の従業員の安全
従業員が出張する場合、企業は保険や医療保険の提供などを含め、従業員の安全とセキュリティを確保する必要があります。リスクの高い地域では、警備員の配置や安全な輸送など、追加の安全対策が必要になる場合があります。同時に、従業員は企業データの漏洩を防ぐためにデバイスのセキュリティに関するトレーニングを受ける必要があります。
7.15.2. セキュリティのトレーニングと意識向上
従業員の安全意識を向上させる方法には、広報（ポスターなどによる基本情報の提供）、研修（従業員に職務に応じた具体的なスキルの提供）、教育（理論的知識と実践的応用の深い理解）などがあります。これら 3 つの方法は、従業員がセキュリティの脅威をよりよく理解し、対応するのに役立ちます。
7.15.3. 緊急事態管理
1. 緊急事態への対応
緊急時には、企業は緊急対応当局 (医療、消防、法執行機関など) と連携する必要があります。同時に、通常の通信チャネルがブロックされた場合に重要な情報を配信できるバックアップ通信方法を開発する必要があります。緊急事態では、事業継続計画や災害復旧計画の発動が必要になる場合もあります。
7.15.4. 強制
1. 強制を防ぐ
強制とは、従業員が脅迫により会社のポリシーに違反する行動を強制されることです。
特別な強制コードまたはコードワードは強制状況を検出するために使用され、これらのコードまたはコードワードは隠蔽され、定期的に変更される必要があります。また、リスクの高い従業員に対して、これらのコードやコードワードの使用方法に関するトレーニングを提供します。
レビュー質問
1 ここに示されているシステム アーキテクチャでは、データベース サーバーのフォールト トレランスを提供する技術は何ですか? A. フェールオーバー クラスター B. 無停電電源装置 (UPS) C. テープバックアップ D. コールドサイト
あ
2. Joe は、エンタープライズ リソース プランニング (ERP) システムのセキュリティ管理者です。彼は数人の新入社員のアカウントを作成する準備をしています。アカウントを作成するときに、すべての新入社員にデフォルトでどのようなアクセス権を付与する必要がありますか? A. 読み取り専用権限 (読み取り専用) B. 編集権限（編集者） C. 管理者権限（Administrator） D. アクセス不可
D
3. ティムは、組織用に特権アカウント管理ソリューションを構成しています。スーパーユーザーのアクション ログに自動的に送信されるべき特権管理アクティビティではないものは次のうちどれですか? A. ログエントリをクリアする B. バックアップからシステムを復元する C. ワークステーションにログインする D. ユーザーアカウントの管理
C
ほとんどの組織はワークステーションへのログイン試行をログに記録したいと考えていますが、これは権限管理アクティビティではないため、スーパーユーザーのアクション ログに自動的に送信される必要があります。
4 アリスの会社の従業員の 1 人がサポートを求めたとき、彼女は会社が合意した暗号語を使用して、その従業員が何らかの行動を強制されているということを示しました。この状態は何と呼ばれますか? A. ソーシャルエンジニアリング B. 力 C. 不可抗力 D. ストックホルム症候群
B
5. ヨルダンはサイバーセキュリティ事件の捜査を行った後、法廷に証拠を提出する準備を進めている。彼は、影響を受けるサーバーやモバイル デバイスを含む物的証拠を準備する責任を負っています。次の種類の証拠のうち、法廷に持ち込むことができる有形の物だけで構成されているものはどれですか? 証拠書類 B. 仮釈放の証拠 C. 証言証拠 D.本物の証拠
D
6.Lauren は、ユーザーが組織によって承認されたソフトウェアのみを実行していることを確認したいと考えています。どのテクノロジーを導入すべきでしょうか? A. ブラックリストへの登録 B. 構成管理 C. ホワイトリストへの登録 D. グレーリスト化
C
7.コリンは、組織によるサイバーセキュリティ欺瞞技術の使用を管理する責任を負っています。攻撃者の時間を消費し、管理者に警告するには、ハニーポット システムで次のどれを使用する必要がありますか? A.ハニーネット B. 疑似欠陥 C. 警告バナー D.ダークネット
B
トラップ (疑似脆弱性) は、攻撃者の注意を引く可能性のあるシステム内の偽の脆弱性です。 ハニーポット ネットワークは複数のハニーポットで構成されるネットワークであり、侵入者にとってより複雑な環境を作成します。 ダーク ウェブは、ネットワーク活動が行われていない未使用のネットワーク アドレス空間の一部であるため、違法活動の監視に簡単に使用できます。 警告バナーは、侵入者にシステムへのアクセスが許可されていないことを通知するために使用される合法的なツールです。
8.Toni は、システム アクティビティの遅さを報告するというユーザーからのリクエストに応えました。 Toni は、システムの送信ネットワーク接続をチェックしているときに、システムから大量のソーシャル メディア トラフィックが送信されていることに気づきました。ユーザーは次のような場合にはソーシャルメディアを使用しません。 トニが関連するアカウントをチェックしたところ、暗号化されていると思われる奇妙な情報がいくつか見つかりました。このトラフィックの最も考えられる原因は何ですか? 別のユーザーが、そのユーザーのコンピュータを通じてソーシャル メディア リクエストを中継します。 B. ユーザーのコンピュータはボットネットの一部です。 C. ユーザーはソーシャルメディアの使用について嘘をつきます。 D. ユーザーがいない間に、他の人がユーザーのコンピュータを使用している。
B
9.ジョンは、クラウド インフラストラクチャ サービス プロバイダーを通じて世界中でロード バランサーを使用して Web サイトを配布しています 複数のリージョンにデプロイします。彼はどのユーザビリティのコンセプトを使用していますか? A. 複数の処理サイト B. 暖かい場所 C. コールドサイト D.ハニーネット
あ
10. ジムは、ボットネットに参加している可能性のあるネットワーク内の侵害されたシステムを特定したいと考えています。彼は、既知のコマンド アンド コントロール サーバーと確立されたリンクを監視することでこれを実行することを計画しました。 Jim が既知のサーバーのリストにアクセスできる場合、次の技術のうち、この情報を提供する可能性が最も高いのはどれですか? A. NetFlow レコード B.IDSログ C.認証ログ D.RFC ログ
あ
質問 11 ～ 15 については、次のシナリオを参照してください。 ゲイリーは最近、地方政府機関の初代最高情報セキュリティ責任者 (CISO) として採用されました。同庁は最近セキュリティ侵害に遭い、新しい情報セキュリティプログラムを確立しようとしている。この計画を設計するにあたり、Gary は安全な運用のためのいくつかのベスト プラクティスを適用したいと考えました。 11. 各ユーザーにどのアクセス許可を付与するかを決定するとき、Gary はデフォルトの許可に関する決定を行う際にどの原則に従う必要がありますか? A. 職務の分離 B. 最低限の特権 C. 集計 D. 権限の分離 12. 計画を設計する際、ゲイリーは以下に示すマトリックスを使用しました。このマトリックスが適用するのに最も直接的に役立つ情報セキュリティ原則はどれですか? A. 職務の分離 B. 集計 C. 2 人によるコントロール D. 多層防御 13Gary は、新しいユーザーのアカウントを作成し、HR データベースに権限を割り当てます。このアクセスを許可する前に、Gary が確認する必要がある情報の 2 つの要素は何ですか? A. 資格情報と知っておくべきこと B. セキュリティクリアランスと知っておくべきこと C. パスワードとセキュリティ クリアランス D. パスワードと生体認証スキャン 14. Gary は、ルート暗号化キーにアクセスする際の制御を確立する予定で、非常に機密性の高い操作向けに特別に設計されたセキュリティ ポリシーを適用したいと考えています。どの原則を適用すべきでしょうか? A. 最低限の権限 B. 多層防御 C．曖昧さによるセキュリティ D. 2人でのコントロール 15.Gary と彼のチームは、機密システムへの特権アクセスについてユーザーをどのくらいの頻度でレビューする必要がありますか? （該当するものをすべて選択。） A. 定期的なレビューを実施する B. ユーザーが組織を退職した場合 C. ユーザーが役割を変更したとき D. 毎日のレビューを実施する
B
あ
B
D
ABC
16. 大規模なコレクションでリリースされた無関係なパッチを説明するために一般的に使用される用語は次のどれですか? A. ホットパッチ B. アップデート C. セキュリティ修正 D．サービスパッケージ
D
17. Tonya は、サイバーセキュリティ インシデントに関与した一連のシステムから証拠を収集しています。同僚は、収集プロセス中にコンピューターフォレンジックディスクコントローラーを使用することを提案しました。この装置の機能は何ですか? A ストレージデバイスによって報告されたエラー状態をマスクします。 B. 書き込みコマンドをストレージデバイスに送信する C. ストレージデバイスに送信されたコマンドを傍受、変更、または破棄する D．デバイスに送信された読み取り操作によって返されたブロック データ
C
18. リディアは組織のアクセス制御リクエストを処理しています。彼女は、必要なセキュリティ クリアランスを持っているユーザーのリクエストに遭遇しましたが、このアクセスを必要とするビジネス上の理由はありません。リディアはその要求を断った。彼女はどのような安全原則に従っていますか? A. 知っておく必要があります B. 最低限の特権 C.職務の分離 D. 2人でのコントロール
あ
19.ヘレンは、不正な内部活動を防ぐために組織にセキュリティ管理を導入する責任を負っています。次のメカニズムのうち、彼女の仕事にとって最も実用的でないものはどれですか? A. ジョブローテーション B. 強制休暇 C. インシデント対応 D. 2人でのコントロール
C
20.Matt は、社内の重要な Web トラフィックが Web ブラウジングやソーシャル メディアの使用よりも優先されるようにしたいと考えています。これを達成するために彼はどのようなテクニックを使用できるでしょうか? A.VLAN ビーコス C.VPN D. ISDN
B
21.トムは最近のセキュリティ インシデントに対応しており、システム セキュリティ設定に対する最近の変更の承認プロセスに関する情報を探しています。彼はこの情報をどこで見つける可能性が最も高いでしょうか? A. 変更ログ B. システムログ C. セキュリティログ D.アプリケーションログ
見つからない、覚えておいてください
22.スーザンの会社の従業員は頻繁に海外旅行をするため、仕事のために会社のシステムに接続する必要があります。スーザン氏は、同社が開発中のテクノロジーのせいで、これらのユーザーが企業陰謀の標的になる可能性があると考えており、海外旅行者向けのセキュリティトレーニングに推奨事項を盛り込むことを望んでいる。スーザンはどのネットワーキング手法を採用することを推奨すべきでしょうか? A. 公衆 Wi-Fi にのみ接続してください。 B. すべての接続に VPN を使用します。 C. TLS をサポートする Web サイトのみを使用します。 D. 旅行中はインターネットに接続しないでください。
B
23. Ricky は、アプリケーション、デバイス、オペレーティング システムの情報セキュリティの脆弱性のリストを探しています。次の脅威インテリジェンスのソースのうち、彼にとって最も役立つものはどれですか? A.オワスプ B. バグトラック C. Microsoft セキュリティ情報 D.CVE
D
OWASP (Open Web Application Security Project) はオープン コミュニティの非営利組織で、現在世界中に 82 の支部があり、その主な目的は、Web ソフトウェアのセキュリティ標準、ツール、および技術文書について議論し、解決を支援することです。政府や企業が Web アプリケーションや Web サービスのセキュリティを理解し、改善できるよう支援する長期的な取り組み。 BugTraq は、コンピュータ セキュリティの脆弱性 (脆弱性とは何か、脆弱性を悪用する方法、パッチを適用する方法) に関する発表と詳細な議論を目的とした、完全に管理された公開メーリング リストです。 CVE の正式な英語名は「Common Vulnerabilities & Exposures」です。 CVE は辞書のようなもので、広く認識されている情報セキュリティの脆弱性や、明らかになった弱点に公的名を与えます。
24. 災害復旧を計画する場合、通常、災害の例として考えられるのは次のうちどれですか? （該当するものをすべて選択。） A. ハッカー攻撃事件 B. 洪水 C.ファイアー D. テロ
あいうえお
25.グレンダは災害復旧テストを実施したいと考えており、通常の情報システムの活動を中断することなく計画の見直しが可能で、必要な時間が最小限であるタイプのテストを探しています。彼女はどのテストを選択すべきでしょうか? A. 机上演習 B. 並行テスト C. テストを完全に中断する D. リストレビュー
D
チェックリストのレビューは、最も混乱が少ないタイプの災害復旧テストです。チェックリストのレビュー中に、チームメンバー自身が災害復旧チェックリストの内容をレビューし、必要に応じてシステム変更の推奨事項を作成します。 机上演習では、チームメンバーが集まり、情報システムに変更を加えることなく、システムの稼働状況を判断します。 並行テスト中に、チームは実際にテストのために災害復旧サイトをアクティブ化しましたが、プライマリ サイトは引き続き稼働しました。 完全な停止テスト中に、チームはプライマリ サイトを削除し、災害復旧サイトが通常の運用を処理できることを確認します。完全な停止テストは、最も徹底したテストであり、最も破壊的です。
26. バックアップ テープのローテーション スキームの例ではないものは次のうちどれですか? A. 祖父/父/息子スキーム B. 真ん中で会う C. ハノイの塔 D. 6 本のカセットを毎週ローテーションする
B
27. ヘレンは、会計システムの従業員に管理権限を付与するための新しいセキュリティ メカニズムを実装しています。彼女は、リクエストを承認する前に、従業員のマネージャーと会計マネージャーの両方がリクエストを承認する必要があるプロセスを設計しました。 ヘレンはどの情報セキュリティ原則を実践していますか? A. 最低限の権限 B. 2人でのコントロール C.ジョブローテーション D. 職務の分離
B
28.フランクは、今後の刑事事件でさまざまな種類の証拠を使用することを検討しています。法廷で認められる証拠の要件ではないものは次のうちどれですか? A. 証拠は関連性のあるものでなければなりません。 B. 証拠は実質的でなければなりません。 C. 証拠は具体的でなければなりません。 D. 証拠は適切に取得されなければなりません。
C
29. ハロルドは最近、セキュリティ インシデントのレビューを完了しました。次に彼はどのような書類を準備する必要がありますか? A. トレーニングおよび学習文書 B. リスク評価 C. 訂正リスト D. 緩和チェックリスト
思い出した
30.ベスは新しいサイバーセキュリティ インシデント対応チーム (CSIRT) を創設しており、適切なチーム メンバーを特定したいと考えています。通常、次のグループを含める必要があるのはどれですか? （該当するものをすべて選択。） A. 情報セキュリティ B. 法執行機関 C. 上級管理職 D.広報
ACD
31. サムは会社のプライマリ ファイル サーバーのバックアップを担当しています。彼は、毎週月曜日の午後 9 時に完全バックアップを実行し、他の営業日には同時に差分バックアップを実行するバックアップ プランを構成しました。以下の図に示されている情報に基づいて、水曜日のバックアップにはいくつのファイルがコピーされるでしょうか? ファイルの変更ステータス 月曜日午前 8 時 - ファイル 1 を作成 月曜日午前 10 時 - ファイル 2 の作成 月曜日午前 11 時 - ファイル 3 を作成 来年の月曜日の 4 時 - ファイル 1 を変更します 月曜日の午後 5 時 - ファイル 4 を作成します 火曜日午前 8 時 - ファイル 1 を変更します 火曜日午前 9 時 - ファイル 2 を変更します 火曜日午前 10 時 - ファイル 5 の作成 水曜日午前 8 時 - ファイル 3 を変更します 水曜日午前 9 時 - ファイル 6 の作成 A.2 B.3 C.5 D.6
C
32. 次のセキュリティ ツールのうち、セキュリティ インシデントに対する事前対応を生成しないものはどれですか? A.IPS B. ファイアウォール C.IDS D. ウイルス対策ソフトウェア
C
33.scott は、会社の SAN から取り外したディスク ドライブを廃棄する責任があります。 SAN 上のデータが組織によって非常に機密であるとみなされる場合、次のオプションのうちどれを避けるべきですか? A. 物理的破壊 B. SAN ベンダーと契約して、適切な廃棄を要求し、認証プロセスを提供する C. 組織を離れる前に各ドライブを再フォーマットする D. DBAN などの安全なワイプ ツールを使用する
C
34. 新しいアカウントの作成時にユーザーに割り当てられるデフォルトの権限セットを表す用語は何ですか? A. 集計 B. 推移性 C. ベースライン D. 権限
D
35. 次の契約のうち、サービスプロバイダーと顧客間の可用性およびその他のパフォーマンスパラメータに対する期待を含む最も正式な文書はどれですか? A. サービス レベル アグリーメント (SLA) B. 運用レベル合意 (OLA) C. 覚書 (MOU) D. 作業明細書 (SOW)
あ
36 Clara は、大規模な組織の最高情報責任者として、標準プロセスを採用して IT 活動を管理したいと考えています。 IT サービス管理に重点を置き、変更管理、構成管理、サービス レベル アグリーメントを含むものは次のうちどれですか? テーマを待っていますか? A.ITIL B. РМВОК C. PCI DSS D.トガフ
あ
TOGAF は、The Open Group Architecture Framework の略称で、TOGAF を継続的に更新および再確認する非営利テクノロジー業界連合である The Open Group によって開発されました。
37.リチャードは、組織のネットワーク上でネットワーク サービス品質の問題を経験しています。主な症状はパケットです 送信元から宛先までの転送時間が長すぎます。この問題は何と呼ばれますか? A. ジッター B. パケットロス C. 千の騒動 D.遅延
D
38. ジョーは、マルウェアが含まれている可能性があるプログラムをテストしたいと考えています。実行中のプログラムを隔離するために、どのような手法を使用できるでしょうか? A.ASLR B. サンドボックス C. クリッピング D. プロセスの分離
B
39 次のうち、自然災害の例ではないものはどれですか? ハリケーン B. 洪水 C. 土砂崩れ D. 変圧器の爆発
D
40.アンは、Windows のセットを収集してセキュリティ設定に関する情報を収集したいと考えています。 組織の資産の全体的なビューを構築するための 10 台のワークステーション。この種の構成管理タスクに最適な Windows ツールはどれですか? A.SCCM B.グループポリシー C.SCOM D. カスタム Powershell スクリプト
あ
sccm (System Center Configuration Manager) は、Microsoft System Center Configuration Manager の内部略語です。これは、ハードウェアとソフトウェアのインベントリを収集し、クライアント コンピュータ上でソフトウェアを公開できる優れたデスクトップ管理ソフトウェアです。また、クライアントの更新を管理したり、パッチを適時に更新していないクライアントへのネットワーク アクセスを拒否したりすることもできます。
41. ハビエルは、IT システム管理者だけが管理目的でサーバーにログインできることを確認しています。彼はどの情報セキュリティ原則を実装していますか? A. 知る必要がある原則 B. 最小特権の原則 C. 2 人による制御の原則 D. 推移的信頼原則
B
42システムやアプリケーションを攻撃から保護するための基本的な予防策ではないものは次のうちどれですか? A 侵入検知および防御システムを実装します。 Bすべてのオペレーティング システムとアプリケーションで現在のパッチ レベルを維持します。 C. 不要なアカウントとサービスを削除します。 D すべてのシステムのフォレンジック マッピングを実行します。
D
43. ティムはハードドライブから情報を取得しようとしています。彼は法医学分析者です。ユーザーはデータを消去しようとしており、Tim はデータを再構築しようとしているようです。ティムはどのような種類の法医学分析を行っていますか? A. ソフトウェア分析 B. メディア分析 C. 組み込みデバイスの分析 D.ネットワーク分析
B
44. コンピュータ セキュリティ インシデントの例は次のうちどれですか? （該当するものをすべて選択） A. バックアップが正しく完了できませんでした B. ログに記録されるシステムアクセス C．ファイルサーバーの不正な脆弱性スキャン D. ウイルス対策シグネチャを更新する
交流
45. ローランドは、大量の高価な実験装置を管理する組織の物理セキュリティの専門家です。 これらのデバイスは施設内で頻繁に移動されます。次のテクノロジーのうち、費用対効果の高い方法で在庫管理プロセスを自動化するのに最も適したテクノロジーはどれですか? A.IPS B. WiFi C. RFID D.イーサネット
C
46. コナーの会社は最近サービス拒否攻撃を受けましたが、コナーは内部関係者によって引き起こされたものだと信じていました。本当の場合、その会社ではどのような種類の事件が発生しましたか? A. スパイ行為 B. 機密保持の侵害 C.妨害行為 D. 完全性違反
C
47.エヴァンは組織のサーバーに対する攻撃を検出し、一連のパケットを検査します TCPフラグ、 以下に示すように。どのタイプの攻撃が発生した可能性が最も高いですか? A. SYN フラッド B. Ping フラッド C.スマーフ D.フラグル
あ
48. Florian は、組織の災害復旧計画を作成しており、深刻な業務中断を引き起こすことなく、特定のサービスをどれくらいの時間停止できるかを判断したいと考えています。 Florian はどの変数を計算していますか? A. RTO (目標復旧時間) B. MTD (最大許容中断時間) C.RPO (目標復旧時点) D. SLA (サービスレベル契約)
B
49. 一般的にゼロデイ攻撃として分類されるのは次のうちどれですか? （該当するものをすべて選択） A. ハッキングの世界に不慣れな攻撃者 B データベース攻撃をデータベース内の日付 000000 に置き換えて、ビジネス ロジックの欠陥を悪用する C. これまでセキュリティ コミュニティに知られていなかった攻撃 D. オペレーティング システムの日付と時刻を 00/00/0000 および 00:00:00 に設定する攻撃
C
50. グラント氏は訴訟の可能性に備えて記録を収集しているが、彼のチームが無関係かもしれない情報の収集に多くの時間を費やしすぎるのではないかと懸念している。コストが利益を上回る場合に、電子証拠開示の一環として追加の時間と費用が追加されないようにするのに役立つ連邦民事訴訟規則 (FCRP) の概念はどれですか? A. ツールを利用したレビュー B. 協力 C. 証拠を隠滅する D.比例の原則
D
51. インシデント調査中、調査員はシステム管理者と面会しました。 事件に関する情報は持っていますが、容疑者ではありません。この会議ではどのような会話が行われましたか？ A.面接 B. 尋問 C. 面接と尋問の両方 D. 面接でも尋問でもない。
あ
53. 事業継続計画 (BCP) 作業の一環として、自治区の洪水のリスクを評価しています。連邦緊急事態管理庁 (FEMA) の洪水地圏について言及しました。これらの地質学的要因に基づいて、この地域は 200 年洪水地帯に位置しています。この地域の年間発生率 (ARO) はどれくらいですか? A.200 B.0.01 C.0.02 D.0.005
D
54. ほとんどの十分に防御された組織において、セキュリティに対して最大のリスクをもたらすのは次の個人のうち誰ですか? A. 政治活動家 B. 悪意のある内部関係者 C. スクリプトキディ D. 楽しみを求める攻撃者
B
55. Veronica は、コンサルタントが推奨したデータベース回復メカニズムの実装を検討しています。推奨されるアプローチでは、データベースのバックアップは、自動化されたプロセスを通じてメイン施設からオフラインの場所に毎晩移動されます。コンサルタントはどのような種類のデータベース回復手法について説明していますか? A. リモートロギング B. リモートミラーリング C. 電子保管庫 D. トランザクションのログ記録
C
電子リンク (問題の電子保管庫): 電子ジャンプ方式では、自動化ツールがスケジュール (通常は毎日) ベースでデータベースのバックアップをメイン データベース サーバーからリモート サイトに移動します。 トランザクション ログは単なる回復テクノロジではなく、データベース上で実行されたすべての変更を保存し、すべての挿入、更新、削除、コミット、ロールバック、およびデータベース スキーマの変更を記録します。 リモート ログは、より頻繁に (通常は 1 時間ごとに) トランザクション ログをリモート サイトに配信します。 リモート ミラーリングは、バックアップ サイトでライブ データベース サーバーを維持し、バックアップ プライマリ サイト サーバー上のすべてのトランザクションをミラーリングします。
56. アクセス制御スキームを設計する際、ヒルダは、同じ人が新しいユーザー アカウントを作成してそのアカウントにスーパーユーザー権限を割り当てることができないように役割を設定しました。ヒルダはどの情報セキュリティ原則に従っていますか? A. 最小特権の原則 B. 職務の分離 C.ジョブローテーション D．あいまいさで安全を確保
B
57.パトリックは、組織の脅威ハンティング プログラムの実装を担当しています。脅威ハンティング計画を計画する際に使用すべき基本的な前提は何ですか? セキュリティ管理には多層防御戦略が採用されています。 B. 監査により管理上の欠陥が見つかる可能性があります。 C. 攻撃者はすでにネットワーク内に存在している可能性があります。 D. 防御メカニズムにはパッチが適用されていない脆弱性がある可能性があります。
C
58. ブライアンは組織の災害復旧計画のためのトレーニング プログラムを開発中で、参加者が災害について確実に理解できるようにしたいと考えています。 回復プロセスはいつ終了しますか。次のイベントのうち、災害復旧プロセスの完了を示すものはどれですか? A. 財産と生命を守る B. バックアップ施設の稼働再開 C. 主要施設の操業再開 D．初期対応者のアラートを解除する
C
災害復旧プロセスの最終目標は、主要な機器で通常の業務運営を復元することです。 他の 3 つのオプションの操作もディザスター リカバリー プロセス中に実行されますが、ディザスター リカバリー作業は基本的に組織の主要機器の業務が通常の運用に戻った場合にのみ完了します。
59 Mevanie は、誰かがマルウェアを使用して会社からコンピューティング リソースを盗んでいるのではないかと疑っています。この種のイベントの検出に最適なセキュリティ ツールは次のうちどれですか? A.NIDS (ネットワーク侵入検知システム) B. ファイアウォール C. HIDS (ホスト侵入検知システム) D、DLP（情報漏洩防止）
C
60. Zhang San は、ネットワーク上の Yiwei Tong の許可ユーザーが最近自分のアカウントを悪用し、システムの脆弱性を悪用して共有サーバーを攻撃し、サーバー上の 100% の権限を取得したことを観察しました。 An はどのような種類の攻撃を実行しましたか? A. サービス拒否 B. 特権の昇格 C.偵察 D. ブルートフォースクラッキング
B
61. カーラは、さまざまな役職で 15 年間、同社で働いてきました。彼女は役職を変えるたびに、その役職に関連する新しい特権を獲得しましたが、それらが剥奪されることはありませんでした。彼女が蓄積してきた一連の特権を表す概念はどれですか? A. 権限 B. 集計 C. 推移性 D.隔離
B
62. インシデント対応プロセスのどの段階で、管理者はインシデントの範囲を制限するための措置を講じますか? A. 検出 B. 対応 C. 軽減 D.復元
C
質問 63 ～ 66 については、次のシナリオを参照してください。 アンは中規模企業のセキュリティ専門家で、通常はログ分析とセキュリティ監視タスクを担当しています。 彼女の責任の 1 つは、組織の侵入検知システムによって生成されるアラートを監視することです。通常、システムは 1 日に数十件のアラートを生成しますが、調査の結果、その多くは誤検知であることが判明しました。 今朝、ネットワークが異常に高レベルの受信トラフィックを受信し始めたため、侵入検知システムが警告を発しました。 アンはこのアラートを受信し、トラフィックの送信元の調査を開始しました。 63. インシデント対応プロセスのこの段階でアンの組織で何が起こっているかを最もよく表す用語は何ですか? A. セキュリティの発生 B. セキュリティインシデント C. セキュリティ イベント D. セキュリティ侵入 64. アンは調査を続け、アラートをトリガーしたトラフィックがポート 53 の異常に多い受信トラフィックであることに気づきました。 UOP トラフィック。通常このポートを使用するサービスは何ですか? A.DNS B. SSH/SCP C. SSL/TLS D.HTTP 65. アンがトラフィックをさらに分析すると、トラフィックが複数の異なるソースから来ており、ネットワークにフラッディングしていることがわかりました。受信パケットは、送信トラフィックで行われなかったクエリに対する応答です。これらの応答は、そのタイプとしては異常に大きいです。アンはどのような種類の攻撃を疑う必要がありますか? A. 偵察 B. 悪意のあるコード C. システムの侵入 D. サービス拒否 66. アンは、組織のセキュリティ ポリシーに違反する攻撃が発生したことを知りました。アンの組織で起こったことを最もよく表す言葉は何ですか? A. セキュリティの発生 B. セキュリティインシデント C. セキュリティ イベント D. セキュリティ侵入
C
あ
D
B
67. フランクはハッカーに対する証拠としてハッカーのラップトップを法廷に持ち込もうとする。このラップトップにはハッカーが犯罪を犯したことを示唆するログが含まれていたが、裁判所は警察がラップトップを発見するきっかけとなった捜索は違憲であるとの判決を下した。フランクがラップトップを証拠として提出することを妨げる許容基準はどれですか? A. マテリアリティ B. 関連性 C. 噂 D.能力
D
68. ゴードンは、ハッカーが会社のシステムの 1 つに侵入したのではないかと疑っています。このシステムには規制されている情報は含まれていなかったため、ゴードン氏は会社に代わって調査したいと考えていました。彼は上司から調査を行う許可を得た。次の記述のうち正しいものはどれですか? A. ゴードンには、捜査を開始する前に法執行機関に連絡する法的責任があります。 B. ゴードンは内容について独自に調査を行うことができません。 C. ゴードンの調査には、ハード ドライブ、ネットワーク トラフィック、その他の会社のシステムや情報の調査が含まれる場合があります。 D．筆者の身元を確認した後、ゴードンは道徳的に「反撃」できる。
C
69.ソフトウェア ベンダーの障害に対して最高レベルの保護を組織に提供するツールは次のうちどれですか? A. サービスレベル契約 B. エスクロー契約 C. 相互援助協定 D. PCI DSS 準拠契約
B
70. フランは、違法行為を防止するために、銀行の新しい人事政策を検討しています。彼女は強制休暇政策を導入する予定だ。通常、強制休暇の最低有効期間はどれくらいですか? A. 2日 B. 4日間 C. 1週間 D. 1ヶ月
C
71次のイベントのうち、セキュリティ インシデントに該当するものはどれですか? （該当するものをすべて選択。） A. ネットワーク侵入の試み B. データベース侵入の成功 C. マルウェア感染 D. ファイルへのアクセスの成功 E. 機密保持ポリシーの違反 F. 安全な領域から情報を削除する試みの失敗
ABCEF
72. アマンダは、出力フィルタリングを実装するように組織のファイアウォールを構成しています。次のトラフィック タイプのどれですか 組織の出力フィルタリング ポリシーによってブロックされるべきではないでしょうか? （該当するものをすべて選択。） A. ポート 22 で複数の IP アドレスからのトラフィックを迅速にスキャンする B. ブロードキャスト向けのトラフィック C. 送信元アドレスが外部ネットワークであるトラフィック D．外部ネットワークの宛先アドレスを持つトラフィック
ABC
73. エリーは、組織のネットワークの認証ログを確認する責任があります。すべてのログを確認する時間はないため、無効な認証試行が 4 回以上行われたログのみを選択することにしました。エリーはログの範囲を減らすためにどのような手法を使用していますか? A. サンプリング B. ランダムな選択 C. 編集 D.統計分析
C
74. あなたはネットワーク上の潜在的なボット感染を調査しており、ネットワークとインターネットの間でやり取りされる情報のフォレンジック分析を実行したいと考えています。この情報はおそらく暗号化されていると思います。イベント後にアンケートを開始するときに、この情報を入手する最も簡単で最善の方法は何ですか? A. パケットキャプチャ B. NetFlow データ C. 侵入検知システムのログ D. 一元化された認証レコード
B
Netflow データには、すべてのネットワーク通信の送信元アドレス、宛先アドレス、パケット サイズなどの情報が含まれており、この情報を記録することは通常の作業です。 パケット キャプチャは関連情報を提供しますが、通常、このアクティビティは不審なアクティビティの調査中に発生します。不審なアクティビティが終了すると、組織がパケット キャプチャを 100% 完了しない限り、パケット キャプチャを繰り返すことはできませんが、これは非常にまれです。 さらに、暗号化を使用すると、パケット キャプチャの有効性が制限されます。 暗号化されたトラフィックは侵入のシグネチャと一致しない可能性があるため、侵入検知システムのログに関連情報が含まれる可能性はほとんどありません。 集中認証レコードには、ネットワーク トラフィックに関する情報は含まれません。
75 次のツールのうち、オペレーティング システムとアプリケーションに標準のセキュリティ構成テンプレートを提供することで役立つものはどれですか? システム管理者？ A. 安全ガイドライン B. セキュリティポリシー C. ベースライン構成 D. 実行構成
C
76. 次の種類の災害復旧のうち、バックアップ処理施設をバックアップし、プライマリ サイトの稼働を維持しながらトランザクションにそれを使用する必要があるのはどれですか? A. 完全停止テスト B. 並行テスト C. リストアプリケーション D. デスクトップ控除
B
77. インシデント対応プロセスのどの段階で、アナリストは侵入検知システムからアラートを受け取り、そのアラートを確認しますか 正確さ？ 応答 B. 軽減 C. 検出 D.レポート
C
78. Kevin は、組織の継続的なセキュリティ監視戦略を開発しています。評価とモニタリングの頻度を決定する際 通常使用されないものは次のうちどれですか? A. 脅威インテリジェンス B. システムの分類/影響レベル C. セキュリティ管理業務の負担 D. 組織のリスク許容度
C
79. ハンターは組織の監視戦略を見直し、導入される可能性のある新しい技術を特定している。彼の評価では、会社がエンドデバイスでの従業員のアクティビティを監視するために十分な措置を講じていないことがわかりました。彼のニーズに最も適したテクノロジーは次のうちどれですか? A. エンドポイントの検出と応答 (EDR) B. 侵入防御システム (IPS) C. 侵入検知システム (IDS) D. ユーザーおよびエンティティの行動分析 (UEBA)
D
80. ブルースは、ネットワーク上で多くの不審なアクティビティを確認しました。彼の SIEM 記録を確認したところ、外部エンティティがポート 22 の TCP 接続を使用して彼のすべてのシステムに接続しようとしているようです。この部外者はどのような種類のスキャンを実行している可能性がありますか? A. FTPスキャン B. Telnet スキャン C. SSH スキャン D.HTTPスキャン
C
SQL インジェクション攻撃は、81DeLun のアクティブなデータベース サービスで観察されました。攻撃の修復段階でディランが取る可能性が最も高い行動は次のうちどれですか? A. バックアップからデータベースを再構築する B. Web アプリケーションに入力検証を追加する C ファイアウォールのログを確認する D. データベースログを確認する
B
82Roger は最近、IT インフラストラクチャ全体を IaaS 環境に移行する企業のセキュリティ専門家としてのポジションを引き受けました。ロジャー社の責任である可能性が最も高いのは次のうちどれですか? A. ネットワークファイアウォールを構成する B. ハイパーバイザーのアップデートを適用する C. オペレーティング システムにパッチを適用する D. 廃棄する前にドライブを拭く
C
83. アプリケーション開発者が実稼働ネットワークに入れる前に、分離された仮想化環境でアプリケーションをテストするために使用できる手法は次のうちどれですか? A. 侵入テスト B. サンドボックス環境 C. ホワイトボックステスト D. ブラックボックステスト
B
84. Gina は中小企業のファイアウォール管理者で、最近新しいファイアウォールをインストールしました。異常に高いネットワーク トラフィックの兆候を見た後、彼女は侵入検知システムをチェックしたところ、SYN フラッド攻撃が進行中であることを発見しました。 Gina はこの攻撃をより効果的に防ぐためにどのようなファイアウォール構成を行うことができますか? A. 既知の IP からの SYN をブロックする B. 不明な IP からの SYN をブロックする C. ファイアウォールで SYN-ACK スプーフィングを有効にする D. TCPを無効にする
C
85. ナンシーは、組織のマルウェア保護を更新する取り組みを主導しており、エンドポイントの検出と対応 (EDR) 機能を追加したいと考えています。 EDR システムで通常サポートされている操作は次のうちどれですか? （該当するものをすべて選択。） A. エンドポイントのメモリ、ファイル システム、およびネットワーク アクティビティを分析して、悪意のあるアクティビティの兆候がないか確認します。 B. 悪意のある可能性のあるアクティビティを自動的に隔離して、潜在的な損害を制限する C. 模擬漁業活動の実施 D. 脅威インテリジェンス ソースとの統合
ABD
86. アレン氏は、サイバーセキュリティ プログラムで機械学習と人工知能を使用する可能性を評価しています。このテクノロジーから恩恵を受ける可能性が最も高いアクティビティは次のうちどれですか? A. 侵入検知 B. アカウントの設定 C．ファイアウォールルールの変更 D. メディアの除去
あ
87. 木材産業会社は最近、顧客と紛争を起こしました。顧客担当者とのミーティング中に、顧客は立ち上がって、他に解決策はないと言いました。私たちはこれを法廷に持ち出さなければなりません。 °それから彼は部屋を出ていきました。木材産業企業はどの時点から証拠を保持し始める義務がありますか? A. すぐに B. 相手方弁護士から訴訟通知を受け取った後 C. 召喚状を受け取った後 D. 裁判所命令を受けた後
あ
88. キャンディスは、組織のファイル サーバーのバックアップ戦略を設計しています。彼女は毎日バックアップを作成し、必要なストレージ容量を最小限に抑えたいと考えています。どのような種類のバックアップを作成する必要がありますか? A. 増分バックアップ B. 完全バックアップ C. 差分バックアップ D. トランザクションログのバックアップ
あ Cを選択する必要があるようです
増分バックアップ: 前回の完全バックアップまたは増分バックアップ以降に変更されたデータをバックアップします。これは最も高速ですが、復元に最も時間がかかります。 差分バックアップ: 前回の完全バックアップ以降に変更されたすべてのデータをより高速に、より少ないストレージ要件でバックアップします。
89. ダーシーはコンピューター セキュリティの専門家で、ハッカーの訴追に協力しています。検察はダッシーに対し、事件のログやその他の記録がハッキングの試みを示しているかどうかについて法廷で証言するよう求めた。ダーシーはどのような種類の証拠の提出を求められますか? A. 専門家の意見 B. 直接証拠 C. 物的証拠 D. 証拠書類
あ
90.次のテクニックのうち、通常は削除に使用されないものはどれですか? A. 物理的破壊 B. 磁化の除去 C. 上書き D. 再フォーマット 不要な残存データを削除しますか？
D
91. サリーは自分の環境用に新しいサーバーをセットアップしており、RAID レベル 1 を実装する予定です。 ストレージ可用性の制御。このアプローチを実装するために必要な物理ハード ドライブの最小数はいくつですか? エーワン B. 2 C3 D.5
B
92 歳のジェロームはフォレンジック調査を行っており、データベース サーバーのログを調べてクエリの内容を調査し、SQL インジェクション攻撃の証拠を探しています。彼はどのような分析を行っているのでしょうか? A. ハードウェア分析 B. ソフトウェア分析 C.ネットワーク分析 D.メディア分析
B
93. ouigley Corpuing は、バックアップ データのテープを全国の二次施設に頻繁に発送します。テープには機密情報が含まれていました。 Quigley がこれらのテープを保護するために使用できる最も必要なセキュリティ対策は何ですか? A. 施錠された輸送用コンテナ B. 民間宅配会社 C. データの暗号化 D. メディアのローテーション
C
94. キャロリンは、ネットワーク上のユーザーが許可なく、または適切なセキュリティ制御を使用せずに、社会保障番号などの機密情報をハード ドライブに保存している可能性があることを懸念しています。このアクティビティを最大限に検出するには、サードパーティのセキュリティ サービスを実装する必要がありますか? A. 侵入検知システム (IDS) B 侵入防御システム (IPS) C. データ損失防止 (DLP) D. トランスポート層セキュリティ (TLS)
C
95. ギャビンは組織の災害復旧チームのリーダーであり、現在、顧客に大きな影響を与えるインシデントへの対応段階にあります。ギャビンさんはちょうど記者から電話を受けて、根本原因と推定回復時間の詳細を尋ねられたところだった。 Gavin はいつでもこの情報を提供してくれるでしょう。彼は何をすべきか？ A. 記者に情報を提供します。 B. 情報を収集するために数分間待ってから、折り返し電話します。 C. この問題を広報部門に問い合わせます。 D. いかなる情報の提供も拒否する。
C
96. ポーリンは組織の緊急事態管理計画を見直しています。これらの計画を作成する際に、何を最優先にすべきでしょうか? A. ミッションクリティカルなデータを保護する B. オペレーティング システムを維持する C. 証拠を収集する D. セキュリティを保護する
D
97 Barry は、最近、災害復旧計画の発動を必要とする重大な運用上の問題に見舞われた組織の最高情報責任者です。彼はこの事件を再検討するための教訓会議の開催を望んでいる。この会議の最も優れた主催者は誰ですか? A. Barry、最高情報責任者 B 最高情報セキュリティ責任者 C. 災害復旧チームリーダー D.外部コンサルタント
D
98 ブレントは、継続的な停電が発生した場合に組織を保護するための対策を検討しています。次の解決策のどれが彼のニーズに最も適していますか? A. 冗長サーバー B. 無停電電源装置 (UPS) C.ジェネレーター D. RAID
C
99. 番号付きの各用語を正しい定義と一致させます。 用語 1.ハニーポット 2.ハニーネット 3. 疑似脆弱性 4. ダークネット 意味 A. 攻撃者を誘惑するために意図的に設計された脆弱性 B. 意図的な脆弱性を備えたネットワークの設定 C. 意図的な脆弱性を備えたシステムをセットアップする D. ホストのない監視ネットワーク
1C2B3A4D
100. 番号付きの各回復力タイプを正しい定義と一致させます。 用語 1. ホットサイト 2.コールドサイト 3. 暖かいサイト 4. サービスビューロー 意味 A. 災害時にオンサイトまたはオフサイトの IT サービスを提供できる組織の時間内にサービスを復旧する B 専用ストレージとリアルタイム データ レプリケーションを備えたサイト。多くの場合、非常に短時間でサービスを復元できる共有機器が備えられています。 C. 回復のために共有ストレージとバックアップに依存するサイト D. 復旧作業の一環として機器を受け入れることができる、電源、冷却、接続を備えたレンタルスペース
1B2D3C4A