インシデント管理の手順を列挙して説明します。 CISSP のセキュリティ運用ドメインには、検出、対応、封じ込め、報告、回復、修復、教訓などのインシデント管理手順がリストされています。インシデントが検出され証明された後の最初の対応は、証拠を保護しながらインシデントの範囲を制限または封じ込めることです。関連する法律によっては、組織は関連当局にインシデントを報告する必要がある場合があります。個人識別情報 (PII) が侵害された場合は、関係者に状況を通知する必要があります。修復と教訓の段階では、原因を特定し、インシデントの再発を防ぐための解決策を提案するための根本原因分析の実施が含まれます。
基本的な注意事項を学びましょう。基本的な予防策を講じることで、多くの事故の発生を防ぐことができます。これには、システムを最新の状態に保つこと、不要なプロトコルやサービスを削除または無効にすること、侵入検知および防御システムの使用、最新のシグネチャを備えたマルウェア対策プログラムの使用、ホストおよびネットワークベースのファイアウォールの有効化などが含まれます。
ホワイトリストとブラックリストの違いを理解します。ソフトウェア ホワイトリストは、リストにない他のソフトウェアがシステムにインストールされるのを防ぐために、承認されたソフトウェアのリストを提供します。ブラックリストは、リストにあるソフトウェアがシステムにインストールされるのを防ぐために、未承認のソフトウェアのリストを提供します。
サンドボックスについて学びます。サンドボックスは、サンドボックス内で実行されるコードがサンドボックス外の要素と対話するのを防ぐ分離された環境を提供します。
サードパーティが提供するセキュリティ サービスについて説明します。サードパーティのセキュリティ サービスは、組織が社内スタッフによって提供されるセキュリティ サービスを強化するのに役立ちます。多くの組織は、内部セキュリティを強化するためにクラウドベースのソリューションを使用しています。
ボットネット、ボットネット コントローラー、妨害者について学びます。ボットネットは多数のコンピュータを動員して攻撃を開始し、大きな脅威となる可能性があるため、ボットネットとは何かを理解する必要があります。ボットネットは、侵害されたコンピューティング デバイス (パペットまたはゾンビと呼ばれることが多い) の集合であり、ネットワークを形成し、ゾンビ ハーダーと呼ばれる犯罪者によって制御されます。ゾンビ飼育者は、C&C サーバーを通じてゾンビをリモート制御し、多くの場合、ボットネットを使用して他のシステムに攻撃を仕掛けたり、スパムやフィッシングメールを送信したりします。ゾンビ飼育者は、ボットネットへのアクセスを他の犯罪者にも貸し出します。
サービス拒否 (DoS) 攻撃について学びます。 DoS 攻撃は、システムが正当なサービス要求に応答することを妨げます。 TCP スリーウェイ ハンドシェイクを破壊する SYN フラッド攻撃は、一般的な DoS 攻撃手法です。基本的な予防策のおかげで、昔ながらの攻撃は現在ではあまり一般的ではなくなっていますが、新しい攻撃の多くは古い手法の単なるバリエーションであることが多いため、この分野では依然として疑問に直面するでしょう。 smurf 攻撃は、Fang Dawang を使用して、被害者に大量の応答パケットを送信します。 Ping of Death 攻撃は、非常に大きな ping パケットを多数の被害者に送信し、被害者のシステムをフリーズ、クラッシュ、または再起動させます。
ゼロデイエクスプロイトについて学びましょう。ゼロデイエクスプロイトとは、攻撃者以外には知られていない、限られた人だけが知っている脆弱性を悪用する攻撃です。表面的には、これは防ぐことができない未知のエクスプロイトのように見えますが、基本的なセキュリティ手順はゼロデイ エクスプロイトを防ぐのに非常に役立ちます。不要なプロトコルやサービスを削除または無効にすることで、システムの攻撃対象領域を減らすことができます。ファイアウォールは多くのアクセス ポイントをブロックでき、侵入検出および防御システムは潜在的な攻撃を簡単に検出してブロックできます。さらに、ハニーポットなどのツールを使用すると、アクティブなネットワークの保護にも役立ちます。
中間者攻撃について学びます。中間者攻撃は、意図的なユーザーが通信回線の 2 つのエンドポイント間の論理位置を占有することができる場合に発生します。攻撃者は中間者攻撃を完了するために多くの複雑なことを行う必要がありますが、攻撃から取得するデータの量も非常に多くなります。
侵入検知と侵入防御について学びます。 IDS と IPS は、攻撃に対する重要な検出および防止ツールです。知識ベースの検出 (Anti-Aware Signature Library と同様のデータベースを使用) と動作ベースの検出の違いを理解する必要があります。動作ベースの検出では、まず正常な動作を識別するためのベースラインを作成し、次にさまざまなアクティビティをベースラインと比較して異常なアクティビティを検出します。ネットワークが変化するとベースラインが古くなる可能性があるため、環境が変化したらすぐにベースラインを更新する必要があります。
IDS/IPS の応答を理解します。 IDS は、ログを記録して通知を送信することによって受動的に応答することも、環境を変更することによって積極的に応答することもできます。アクティブ IDS を IPS と呼ぶ人もいます。ただし、トラフィックを伝送するインライン回線に配置された IPS は、ターゲットに到達する前にトラフィックを傍受する可能性があることを認識することが重要です。
HIDS と NIDS の違いを学びます。ホストベースの IDS (HIDS) は、単一システム上のアクティビティのみを監視できます。欠点は、攻撃者がそれらを発見して無効にする可能性があることです。ネットワークベースの IDS (NIDS) は、ネットワーク上のアクティビティを監視でき、攻撃者には認識されません。
ハニーポットとハニーネットについて説明します。ハニーポットは、多くの場合、偽の欠陥や偽のデータを使用して侵入者をおびき寄せるシステムです。ハニーネットは、ネットワーク内の 2 つ以上のハニーポットです。管理者は、攻撃者がハニーポット内にいる限り、アクティブなネットワーク上には存在しません。
悪意のあるコードをブロックする方法を学びます。いくつかのツールを一緒に使用すると、悪意のあるコードをブロックできます。その中でも、すべてのシステム、ネットワーク境界、電子メール サーバーにインストールされ、最新の定義が装備されているマルウェア対策プログラムが最も明白なツールです。ただし、最小特権の原則などの基本的なセキュリティ原則に基づいたポリシーを使用すると、一般ユーザーが悪意のある可能性のあるソフトウェアをインストールすることを防ぐこともできます。さらに、攻撃者がウイルスを拡散させるために一般的に使用するリスクと手法についてユーザーを教育することは、ユーザーが危険な行動を理解し、回避するのにも役立ちます。
ログ ファイルの種類を理解します。ログデータはデータベースや各種ログファイルに記録されます。一般的なログ ファイルには、セキュリティ ログ、システム ログ、アプリケーション ログ、ファイアウォール ログ、エージェント ログ、および変更ログが含まれます。ログ ファイルは一元的に保存し、アクセス許可を制限して保護する必要があります。一方、アーカイブされたログは改ざんを防ぐために読み取り専用に設定する必要があります。
テストとテスト ツールの使用目的について学びます。検出室は、ログ ファイル データを積極的にレビューする監査形式に重点を置いています。検出は、対象者の行動に対する責任を追及し、異常なアクティビティまたは悪意のあるアクティビティを検出するために使用されます。インストルメンテーションは、システム パフォーマンスの監視にも使用されます。 IDS や SIEM などの監視ツールは、ネットワーク内の状況、ネットワークに入る通信フロー、ネットワークから出る通信フローの監視など、イベントを自動的かつ継続的に監視し、リアルタイムで分析できます。ログ管理には、分析ログとアーカイブ ログが含まれます。
監査証跡を解釈します。監査証跡は、イベントとそれを取り巻く状況に関する情報が 1 つ以上のデータベースまたはログ ファイルに書き込まれるときに作成されるレコードです。監査証跡は、イベントの再構築、イベントに関する情報の抽出、有罪の証明、または告発の反論に使用できます。監査証跡の使用は、検出的なセキュリティ制御を実装する受動的な形式です。監査証跡は犯罪者を訴追するための重要な証拠でもあります。
責任を持ち続ける方法を学びましょう。監査の使用を通じて、個々の関係者に対する説明責任を維持できます。ログにはユーザーのアクティビティが記録され、ユーザーは記録されたアクションに対して責任を負います。これは、ユーザーが正しい行動習慣を身につけ、組織のセキュリティ ポリシーに準拠することを促進する上で直接的な役割を果たします。
サンプリングとせん断について学びます。サンプリングはデータ抽出とも呼ばれ、大量のデータから特定の要素を抽出して意味のある概要や要約を形成するプロセスを指します。統計的サンプリングでは、正確な数学関数を利用して、大量のデータから意味のある情報を抽出します。クリッピングは非統計的サンプリングの形式として機能し、しきい値を超えるイベントのみを記録します。
脅威フィードと脅威ハンティングについて説明します。脅威フィードは、組織に生データの安定したストリームを提供します。脅威フィードを分析することで、セキュリティ管理者は現在の脅威の状況を理解できます。その後、この情報を使用してネットワークを検索し、これらの脅威の兆候を見つけることができます。
機械学習 (ML) と人工知能 (AI) の関係を理解します。 ML は AI のコンポーネントであり、システムの学習能力を指します。 AI は、ML を含む幅広いトピックです。
SOAR について学びましょう。 SOAR テクノロジーはイベントに自動的に応答できます。 SOAR の主な利点の 1 つは、管理者の作業負荷が軽減されることです。また、コンピューター システムの応答性を高めることで、人的エラーも排除します。
Wondershare EdrawMind
