Wondershare EdrawMind
心智圖資源庫 CISSP學習筆記-網域5（身分存取管理）
- 10
CISSP學習筆記-網域5（身分存取管理）
這是一篇關於CISSP學習筆記-域5（身分存取管理）的心智圖，主要內容包括：複習題，知識點。
編輯於2024-04-02 12:32:49
- Microbiologia medica Infezione batterica e immunità
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
- teoria cinetica dei gas
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
- Breve História do Tempo
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
CISSP學習筆記-網域5（身分存取管理）
- Microbiologia medica Infezione batterica e immunità
Microbiologia medica, Infezioni batteriche e immunità riassume e organizza i punti di conoscenza per aiutare gli studenti a comprendere e ricordare. Studia in modo più efficiente!
- teoria cinetica dei gas
La teoria cinetica dei gas rivela la natura microscopica dei fenomeni termici macroscopici e le leggi dei gas trovando la relazione tra quantità macroscopiche e quantità microscopiche. Dal punto di vista del movimento molecolare, vengono utilizzati metodi statistici per studiare le proprietà macroscopiche e modificare i modelli di movimento termico delle molecole di gas.
- Breve História do Tempo
Este é um mapa mental sobre uma breve história do tempo. "Uma Breve História do Tempo" é um trabalho científico popular com influência de longo alcance. Ele não apenas introduz os conceitos básicos da cosmologia e da relatividade, mas também discute os buracos negros e a expansão. Do universo. questões científicas de ponta, como inflação e teoria das cordas.
- 推薦給您
- 大綱
CISSP學習筆記-網域5（身分存取管理）
知識點
5.1. 控制對資產的物理和邏輯訪問
5.1.1. 訊息
5.1.1.1 身分和存取管理概述
身分和存取管理(IAM 或IDAM)是資訊安全的基礎，專注於識別和驗證請求存取資源的實體並確保對行為負責。實體可以是使用者、系統、應用程式或流程。
IAM 包括四個基本要素：識別、認證、授權和稽核 (IAAAA)
5.1.1.2 邏輯和實體存取控制
1 實體存取控制：包括門、窗簾、柵欄等，控制對建築物的實體存取。
2 邏輯存取控制：涉及密碼、PIN 碼或共用對稱金鑰等，用於存取系統。
3 控制策路：需了 解組織的資產和存取優先級，針對有價值的實體資產和對保密性要求採用強大的實體存取控制，針對對資料完整性要求嚴格的資訊系統採用邏輯控制
5.1.1.3 存取控制定義
•對象：
主體試圖存取的實體，如檔案、應用程式、設施或資料庫。物件需滿足保密性、完整性、可用性、不可否認性和真實性 （CIANA)的要求。
•主體：
可以是人類使用者或非人類實體，如係統、程式和設備。主體需要存取對象，存取控制定義如何授予、使用和監控這種存取。
•訪問：
主體被允許對物件執行的操作。
5.1.1.4 訊息(Information)
資訊（包括原始資料）可出現在系統、裝置、儲存媒體、應用程式等處，並在這些地方進行傳輸、 儲存或處理。
不同的資訊需要不同類型或等級的保護，需根據資訊的生命週期評估保護需求並採取相應措施。
5.1.2. 系統
5.1.2.1 系統的定義
系統是任何硬體、軟體、人員、政策、程序和其他資源的集合，CISSP 中通常用於討論電子資訊系統。
5.1.2.2 系統存取控制實現 CIANA
•保密性：需確保系統中的資訊安全，避免未經授權的存取。實體存取控制如上鎖的保險箱，邏輯存取控制如全磁碟加密 (FDE)。
•完整性：透過存取控制防止未經投權的使用者對資訊進行修改。
•可用性 ：例如，上鎖的伺服器機櫃可防止未經授權的使用者惡意或意外地關閉系統。
· 真實性：使用IAM 中的認證證明系統中的信想、命令或其他資訊可信賴。成功證明身分後，可以對主體或其提供的教據的可信度進行評估。
•不可否認性：依賴 IAM 系統唯一識別和認證主體的能力，以及系統行動和識別資訊的記錄。
5.1.2.3 集中式 IAM
集中式 IAM 管理由專門的存取控制功能（如一個團隊或特定部門） 負責管理所有存取控制，帶來嚴格監督和監控優勢。缺點是可能有單點故障。
5.1.2.4 分散式 IAM
分散式 IAM 管理將功能分散，通常將存取控制決策分配給系統或資訊擁有者。這提供了更大的自由和靈活性，但缺點是執行不一致和缺乏統一的監督。
5.1.3.設備
某些設備可能需要獨特的安全措施來防止被盜或損壞。這些措施包括螢幕鎖、遠端擦除、應用程式和資訊分離 （容器化），以及其他各種實體和邏輯措施。
設備IAM 的目標是確保端點安全，限制不安全設備的訪問，並確保僅授權使用者能夠存取。
5.1.4. 設施
5.1.4.1 實體存取控制系統 (PACSS)
實體存取控制系統包括實施實體安全的設施，例如：大門、圍欄、旋轉門、安全徽章和警衛。
此外，還包括操作這些控制所需的管理程序，例如：警衛監視時間表、徽章要求、裝貨區程序以及訪客登記和護送。
注意事項：
•在設計 PACSS 時，也必須考慮緊急情況，因為人命是首要考慮的問題。
•雲端服務供應商（CSP） 和個人擁有的智慧型手機己成為許多組織需要保護的新財產
•所選控制措施的複雜性必須與被保護資產的價值成正比。
5.1.4.2 實體存取控制系統要素
1.用戶和設備識別
人員通常透過身分證、貼紙或徽章進行識別，物品可以使用 RFID 標籤、條碼或快速回應 (QR)碼進行識別。
2.柵欄和大門
柵欄可以防止不必要的進入，並引導人們到受控入口點。大門提供實施額外檢查的能力，例如出示 ID 徽章或輸入密碼，在那裡進行識別和認證。
3.安全門
只允許出示適當憑證的人進入，例如使用智慧卡、智慧型手機應用程式或 PIN碼。
4.鎖和鑰匙
5.入侵偵測感測器
這些感測器屬於探測控制，可以偵測不正當進入。例如，紅外線、聲波和重量或壓力感測器，可根據體溫、玻璃破碎聲音或人侵者行動來偵測入侵者。
6旋轉門或雙閘門
旋轉門一次通常只允許一個人通過，雙閘門則要求使用者在進入一個安全前庭空間時出示一套憑證，然後需要另一套憑證才能從前庭進入主空間。
7.閉路電視監控
8.保安
警衛人員是最有用、最靈活、也是最昂費的實體存取控制形式之一。
5.1.5. 應用
1.最小特權原則
應用程式的存取應遵循最小特權原則，根據角色的存取控制 (RBAC)模型授予適當且非過度的存取權限。
2.知其所需原則（因需可知）
應用程式對特定資料的存取應遵循知其所需原則。例如，在行動裝置管理(MDM)中，容器化技術可透過邏拚隔離防止未經投權的應用程式存取組織資料。
3存取權限粒度
應用程式通常提供多層次的使用者存取權限。粒度描述了 可控制存取的層級。高粒度應用程式支援自訂每個使用者對特定物件的訪問，而低粒度應用程式僅允許對應 用程式及其包含的所有資料的基本允許/拒絕存取。不充分的粒度可能導致安全漏洞。
5.2. 管理人員、設備和服務的識別和認證
5.2.1. 身分管理 (IdM)的實施
身分管理 (IdM)的幾個關鍵功能：
1.創建：透過處理請求來建立身份，支援審查和批准過程。
2搬銷：實現使用者刪除流程，確保身分和存取權限的及時移除。
3.身分和帳戶管理：提供集中或分散的帳戶管理功能，以便於有效管理使用者身分。
4投權管理：在身分建立之後，IdM 負責為此身分指派初始存取權限。
5.身分審查：對使用者身分和存取權限進行監督和審核，以確保安全和合規性。
5.2.2. 單因素與多因素認證(MFA)
5.2.2.1 身份認證因素
1. 三類主要的身份驗證因素：
•你知道什麼（知識因素，類型 1）：密碼、口令或安全問題的答案等。
•你有什麼（佔有因素，類型2）：手機、USB-Key、門禁卡等。
•你是什麼（生物因素，類型3)：指紋、虹膜掃描等。
單因素身份驗證使用一種認證因素，多因素身份驗證使用兩種或更多。類型1最弱，類型3最強，但類型3 也容易被繞過。因此，建議採用多因素身份驗證。
2 新類型的身份驗證因素
考慮使用者認證的位置和方式。如來自新設備或陌生地點的登錄，觸發多重認證(MFA)提示。
5.2.2.2 你知道什麼（類型1）
優點：簡單易用，易於實現。
缺點：容易忘記，容易被攻擊者破壞。
1.NIST SP 800-63B 最新的密碼原則建議：
重視可用性而非複雜性 ：複雜密碼會難以記憶，允許更多的輸入嘗試，以考慮到使用者打錯宇的情況。
增加長度而不是複雜性：允許使用較長的口令(如1PassedTheCISspcertifrcation) 而不增加複雜度(如：iP@ss3dTh3C1sSp),前者對用戶來說更容易記住，而後者可能會導致更多意外的用戶鎖定。
更少的更改 口令更難猜測或破解，所以目前的指導意見要求只有在密碼被洩露時才進行更改。
2.常規的密碼建議：
•密碼長度：不少於8個字元。
•密碼複雜度：包含大寫宇母、小寫字母、數宇和特殊宇符。
•密碼生存期間：定期更改密碼。
•嘧碼存儲：加密存儲，不明文存儲。
•密碼復原：有效原則處理遺忘和遺失。
•密碼檢查：檢查是否有使用自我。
•密碼強度評估：提示使用者選擇更強密碼。
組織應根據行業及合規要求制定符合自身的密碼策略。
5.2.2.3 你有什麼（類型 2）
如數宇證書、身分徵章或智慧卡、實體認證令牌和基於智慧型手機的認證器應用程式。通常不單獨使用，可能存在共享或借用。
1.數宇證書：電子證明，證明擁有者的身分和公鑰。
2.號份徽章或智慧卡：具有識別使用者身分的實體媒體。智慧卡器輸人密碼或指紋驗
3.物理認證令牌：產生一次性認證代碼的實體設備。
•同步動態密碼令牌(TOTP)：與伺服器時間同步，定期產生密碼。
•非同步動態密碼令牌(HOTP)：手動觸發取得動態密碼，使用nonce （一次性使用的數字）確保密碼的一次性。 TOTP 使用基於時間的一次性密碼標準。 HOTP 使用基於 HMAC 演算法的一次性密碼標準。
4.基於智慧型手機的認證器應用程式：行動應用，產生一次性認證代碼，並透過智慧型手機驗證使用者身分。
5.2.2.4 你是什麼(類型 3）
生物辨識因素用於識別或驗證身分。作為MFA 的第二或第三因素使用，不常單獨使用。
常見生物辨識方法：
•指紋辨識：掃描手指紋，用於裝置解鎖。
·視網膜辨識：掃描視網膜血管圖案，高準確性，難以破解，可能洩漏健康資訊（PHI) 和安全問題。
•虹膜辨識：掃描虹膜圖案，準確度高，可實現遠距離辨識。
•臉部辨識：掃描臉部特徵，用於設備解鎖和抓捕罪犯。
•語音辨識：辨識身分的語音辨識技術。
•手寫辨識：掃描手寫宇跡辨識身分。
•電圖辨識 ：掃描心電圖辨識身分。
5.2.2.5 常見的存取控制錯誤
·錯誤拒絕率（FRR）：類型1錯誤。 有效的生物特徵無法通過驗證，用於安全要求高的環境。
假陰性，拒絕了正確用戶
•錯誤接受率 (FAR)：類型 2錯誤。 無效的生物特徵被錯誤地識別為有效身份，用於安全要求低的環境。
假陽性，允許了錯誤用戶
•交叉錯誤率(CER）是FRR 和 FAR 交叉點，用作標準評估值。比較生物辨識設備的準確性，具有較低 CER 的設備比具有較高 CER 的設備更準確。
5.2.2.6 多因素身份驗證 (MFA)
單獨使用密碼容易被猜測，單獨使用令牌容易遺失或被竊，單獨使用生物辨識會有誤報。組合使用可提高強度和準確度。
5.2.3. 問責制
問責制 (Accountability）是確保使用者或程序對其所執行的操作和所作出的決策負責的機制。要實現有效的問責制，需要明確識別和記錄誰（使用者或程式）進行了什麼操作 （行為）。這要求為每個使用者或程式提供唯一的標識，並驗證其身份的真實性。
5.2.4.會話管理
會話管理從使用者識別和認證開始，結束於斷開與應用程式或系統的連線。保護會話期間交換的資料和先據是關鍵。會話也需要遵循安全要求，例如限制時間長度和僅在特定主機間進行。
1. 為實現安全會話管理，請採取以下措施：
•強大的認證機制
•高強度會話金鑰
•優秀的加密演算法和機制
•限制會話逾時時間
•非活動會話自動斷開
•偵測異常活動控制措施
2.會話相關安全漏洞：
•會話劫持：攻擊者冒充通訊雙方之一，目的在於取得或竄改資訊。
•會話側劫持：同網使用者透過封包嗅探劫持會話，竊取會話 cookie 資訊並冒充合法使用者。
•會話固定：針對重複使用會話ID 的 Web 應用程式的攻擊，攻擊者使用現有會話ID 誘導使用者瀏覽器進行身份驗證並竊取憑證。
3. 會話管理安全性實踐
•OWASP 發布的會話管理最佳實務指南：https://shorturl.ac/owasp_ session。
建議：
•使用長且複雜的會話ID 宇符串，避免明顯的可識別資訊。
-以 Cookie 形式儲存會話令牌時設定適當安全性屬性，如Secure 屬性，強制使用HTTPS。
•道循開發最佳實踐，避免在URL中包含會話ID，不共享會話 ID，及時刪除不需要的會話 ID。
5.2.5. 註冊、證明和確定身份
身份管理專注於驗證使用者資訊並建立使用者帳戶或憑證以建立身份，需要考慮系統及其資料的安全性，包括真實性、保密性和完整性
1.NIST 的身分保證等級(IALS）分為 3個等級：
•IAL1 （自我證明身分）
最低級別，只需使用者自證身分。無需將個人與驗證過的現實生活中的身份關聯。適用於現實世界後果不涉及問責制的系統。
•IAL2（提交身分證明文件和證明）：
要求使用者親自或遠端提交身分文件和證明進行實名認證。常應用於僱用場景，需要向雇主提供有效身分文件。
•IAL3(實際存在身分證明及正式審查）：
最高級別，需親自出示可靠證據(如政府簽發身份證）進行身份證明，並經過培訓的CSP 工作人員正式審查身份和文件。親自驗證提高了信任度。
2.保證水平需求取決於系統及其資料的安全要求以及使用者工作敏感度。
如：在航空公司營運中，根據工作敏感性，可能對不同員工有不同識別要求。為乘容提供指引的迎賓員對生命、健康和安全影響較小，因此只需IAL2；而機械師和維修人員可能需要更嚴格的審查。
3,在身分資訊提交、核實並驗證至適當水準後，即可為使用者建立身分。
5.2.6. 聯合身分管理 (FIM)
聯合身分識別管理（FIM) 透過在參與聯合的系統間共用使用者認證和存取權限，實現減少管理開銷和簡化多套憑證管理。 FIM 與單一登入 (sSO）類似，旨在降低帳戶創建和管理成本，為用戶提供便利訪問，並帶來安全優勢。然而，也需認真評估聯合帶來的風險，如果聯合中的某個組織的安全實踐不足，可能會對整個聯合中的其他系統造成安全風險。
5.2.7. 憑證管理系統 (CMS)
憑證管理系統讓組織能集中管理使用者 ID 和密碼。這類系統可以作為商業軟體產品獲取，並在企業內部或雲端環境中部署。
CMS 的主要職責是為使用者建立帳戶，並在各個系統和集中式身分識別管理系統（例如 LDAP或Microsoft Active Directory）中按需分發憑證。憑證管理系統可以作為獨立應用程式存在，或成為 IAM 系統的一個元件。
5.2.8.單一登入 (SSO)
SSO 是一種認證方法，允許使用者一次認證存取多個資源。實作 SSO 的技術包括Kerberos 和 Windows Active Directory。 將 SSO 與聯合身分管理結合，可利用第三方身分提供者驗證使用者存取多個組織和網站等資源。
SSO 優勢：
•減輕使用者密碼管理負擔，降低弱密碼風險。
•快速偵測並回應可疑行為。
SSO 缺點：
•—損俱損：SSO帳戶被入侵時，所有支援 SSO 的應用程式均受影響。
5.2.9. 及時（JIT） 身分與存取管理
及時 (JIT)）存取控制在執行特定任務時為應用程式或資源提供臨時訪問，以實施最小特權原則。
常見場景：
•鑰匙庫：：作為特權帳號管理元素，由中央保管庫儲存共用帳戶憑證，特定時間內提升權限。
·臨時建立帳戶 ：根據需要動態建立具有所需權限的臨時帳戶；使用後立即自動刪除。
·臨時提升特權：帳號在有限時間內被賦子提升權限，時間過後自動刪除。
5.3. 與第三方服務的聯合身份
5.3.1. 身分即服務 (IDaas)
IDaas是聯合身分（FIM）的延伸，用於滿足不同團隊、部門和組織間合作需求。
通常實作瞭如 SAML和 OAuth 等聯合解決方案，以滿足內部和外部系統中的IAM 需求。
第三方 IDaas 的主要風險：
•單點故障：若 IDaas 故障，相關係統將無法使用。
•控制權喪失：身分識別是存取控制基礎，將其外包存在高風險。若 IDaaS 供應商資料洩露，企業的身份和存取管理資訊可能會受影響。
5.3.2. 企業內部
企業內部身分管理（IdM)解決方案的主要優勢在於對IAM 系統中使用的硬體和軟體的完全控制，例如託管在企業辦公室或資料中心的輕量級目錄存取協定(LDAP） 或微軟活動目錄(AD ）系統。
5.3.3.雲
1基於雲端的身份服務由第三方的身份即服務 (IDaas)提供，負責識別、授權和存取管理。常用於組織內部客戶使用的雲端服務供應商的 Saas 應用程序，如與 ActiveDirectory 整合的 Microsoft Office 365 和 Azure 雲端。
2雲端解決方案可能需要雲端存取安全代理(CASB） 來控制和過濾對雲端服務的存取。 CASB 提供存取控制、稽核和問責服務。
3.基於雲端的服務具有較高的可靠性和可用性，因為雲端服務供應商的資料中心具有多重冗餘。與本地服務相比，基於雲端的服務可顯著降低成本，減少設備購買和維護以及專業人員的需求。
5.3.4. 混合型
混合式身分識別服務解決方案結合了基於雲端和內部的身分管理方案。混合模式為企業提供最佳選擇，既保留一定程度的控制，同時享受基於雲端的方案的優勢，如彈性和成本效益。
混合型的風險：
•需要足夠資源維護雙重 IAM 實施。儘管遷移到雲端能減少內部維護需求，但混合方法並未完全消除此需求。
•混合方法帶來了與基於雲端的IAM 相同的風險，因為第三方管理身分。
•若IDaaS遭受破壞，將產生額外風險，因為內部資源依賴與IDaaS供應商同步的內部 IAM。
5.4. 實施與管理授權機制
5.4.1. 理解授權機制
5.4.1.1 權限、權力和特權的比較
•權限 (permission)
技術層面上，使用者對資源的存取權限，如可讀取、可讀寫、可執行等。
•權利 (right)
現實層面的權利，例如，您有權查看資料庫的數據，前提是您有讀取權限。
對比
•特權 (privilege)
權限和權利的組合稱為特權。
•權益 (Entitlement)
權利指的是授予使用者特權的數量，通常在首次分配帳戶時指定。
5.4.1.2 理解授權機制
1隱式拒絕（白名單機制）
對於不在白名單上的訪問，按照拒絕處理。例如：未被認證的使用者不能造訪網站。
2.能力表（關注主體能力）
考慮主體，確定主體能夠存取的客體和執行的操作。例如：普通員工可以存取文件共享，但不能修改。
3門存取控制清單 （關注客體被存取情況）
考慮客體，確定客體能夠被存取的使用者和執行的操作。例如：私密文件只能被管理員存取。
4.存取控制矩陣（能力表和存取控制清單組成）
組合能力表和存取控制列表， 如防火牆的存取控制。例如：透過防火牆限制不合法的存取。
5.約束介面（限制使用者操作)
限制使用者的操作和視圖。例如：系統選單不能被普通使用者修改。
6.依賴內容的控制（根據客體內容限制)
根據容體內客限制用戶。例如：根據資料庫中的視圖限制使用者的存取。
7.依賴上下文的控制 （根據主體動作或時間限制）
根據主體動作或時間限制使用者。例如：只有在工作時間才能存取文件服務
8.知其所需（限制主體只存取工作所需內容）
因需可知
9.最小特權（授予主體僅執行工作所需權限）
10.職責分離（敏感任務分多人執行)
11.縱深防禦（多層保護機制，包括物理、技術、管理控制)
5.4.1.3 使用安全策略定義需求
組織的安全策略決定存取控制需求並指導實施。現代資訊系統和「環境通常實施混合的存取控制模式，包括基於規則)的防火牆、具有動態存取控制的共享系統，以及確定基於角色的存取控制所器的特定工作職能和相關權限的人力資源部門。
5.4.2. 基於規則的存取控制(RUBAC)
基於規則的存取控制(RUBAC)是一種根據預先定義的規則清單來決定授權的方法。為避免與基於角色的存取控制混淆，通常簡寫為RUBAC。 如同宴會的賓客名單，名單上的人允許進入，其他人則被拒絕。
在資訊系統中，存取控制清單(ACL) 通常用於實作 RUBAC， 如防火牆規則集，決定允許或封鎖哪些 IP 位址或連接埠。
基於規則的系統有兩種方式：
1.隱式允許 ：所有存取預設允許。除非存在明確禁止訪問的規則。例如，商店向所有公眾開放，但拒絕已知會偷竊的特定顧客。
2.隱式拒絕：僅批准名單上的人被允許訪問，其他人默認拒絕。有時稱為全部拒絕或例外允許，這種方法是基本的安全最佳實踐，因為它威少了未經授權存取的機會。
5.4.3. 基於角色的存取控制 (RBAC)
基於角色的存取控制(RBAC) 是一種以組織內使用者角色為依據來控制資源存取的方法。
RBAC 的優點：
•根據工作職能分配權限：RBAC 透過為每個角色分配所需權限，降低未經授權人員存取敏感資訊的風險。
•角色級別的權限管理：管理員可以在角色層級管理權限，而非針對每個用戶，從而簡化存取控制管理流程，提高效率。
•支援審計和問責制：RBAC 記錄誰具有何種資源的存取權及何時獲得存取權的審計跟踪，以便進行安全事件調查和確保適當的存取控制。
•實施最小特權原則：透過 RBAC 分配權限，確保使用者僅獲得完成工作所需的權限，從而遵循最小特權原則。
注意：在安全領域公認的慣例是，RBAC 的縮寫只與基於角色的存取控制相關。
5.4.4. 強制存取控制 (MAC)
強制性存取控制(MAC)是一種嚴格的存取控制模式，常應用於軍事和政府組織。
在 MAC模式下，安全管理員負責指派存取權限，而非資料擁有者。
透過為主體和容體分配安全標籤來實作 MAC。例如，使用者擁有「秘密」 安全標籤時．將無法存取標為「最高機密」的文件，但可存取「秘密」或「非機密」的文件。
MAC 在保密性和完整性模型 （如 Bell-LaPadula、Biba 和 Clark-Wilson 模型）中應用廣泛。總之，MAC 是一種嚴格且非自由裁量的存取控制方法，適用於高安全需求的組織。
5.4.5.自主存取控制 (DAC)
自主存取控制 (DAC) 是一種存取控制模型，由系統或資料擁有者自行決定哪些主體可以存取某個資源。 DAC 為分散式存取控制，具有靈活性，但管理較為困難。
以微信朋友圈為例：發布者可以決定內容是否對其他使用者公開，或僅限於特定使用者群體（如親密的朋友或家人）存取。
5.4.6.基於屬性的存取控制 (ABAC)
基於屬性的存取控制 （ABAC)結合了使用者、主機、網路和設備等方面的屬性，依據策略做出存取決策。 ABAC 靈活地控制存取權限，例如基於星期、時間、登入地點等。
狀態防火牆是一個例子，透過評估主體屬性來決定存取請求。 ABAC 提供了一種根據屬性和策略進行細緻控制的方式。
5.4.7. 基於風險的存取控制
基於風險的存取控制模式將風險視為動態變化，並調整授權。與RBAC 和RUBAC等模式不同，它利用威脅情報、系統日誌和使用者行為等參數進行動態認證。
例如，當部門受到網路釣魚攻擊時，IAM 系統可暫時增加 MFA 登入頻率以減輕威脅。金融機構也採用此模式偵測個人帳戶欺詐，因風險狀況會隨用戶行為和活動變化。
5.5. 管理身分和存取供應的生命週期
5.5.1. 存取管理的生命週期
5.5.2. 帳戶存取和使用審查
5.5.2.1 帳戶存取審查
•查對象：使用者帳戶（與個人相關） 和系統帳戶（非人類帳戶，如自動備份、API呼叫等）。
•審查內容：檢查使用者對系統、資料和權限的存取是否合適，申查不活躍或休眠帳戶、過多權限和有毒存取組合。
•審查頻率：由組織依據法律、監管義務和潛在損害決定。
•自動化審查：利用 SIEM 或SOAR 等安全工具進行自動審查。
5.5.2.2 帳戶使用審查
•審查使用者和系統帳戶的行為，識別不需要或不適當的使用權限，並實施問責。
•使用情況申查可作為存取串查的一部分，以SIEM 等自動工具執行或透過隨機審計。這對維護安全性和識別可疑事件（如攻擊者權限升級）至關重要。
5.5.3. 配置和撤銷配置
•設定是授權存取系統、資料和資源的過程，而撤銷設定是撤銷這些存取權限。通常與員工變動（如入職、離職、調職或升遷）相關，需與人力資源或 IT團隊協調確保安全執行。
•存取管理政策應考慮敵對、友善和工作變動下的使用者存取變更。
•撤銷配置需遵循隱私法規，提供適當的停用和刪除使用者資料方法，如提供帳戶登出入口。
5.5.4.角色定義
角色是根據使用者的部門、職能或工作職責來定義存取權限的一種方式。它遵循存取管理原則，如最小特權，並實施安全控制，如職責分離。角色簡化了配置和撒銷配置過程，只需將使用者指派到角色，而非逐一授權。持續更新角色成員資格是設定和取消設定週期的關鍵環節。
5.5.5. 特權提升
特權提升是取得更高權限的過程。
1.正常特權升級：
•需審查必要性、記錄並儘量使用角色或群組實施。常見方法包括臨時權限（如 Linux的sudo 或 Windows 的runas 命令） 和緊急存取。
2.特權提升攻擊：
•縱向升級攻擊：攻擊者試圖取得更高權限，如透過 SQL注入。
•橫向升級攻擊（橫向移動）：攻擊者取得更多同級帳號權限。
3.防範措施：
•實作最小權限原則
·及時修復漏洞
·執行漏洞掃描
·監控網路流量和行為
·制定強密碼策略
·安全意識培訓
5.6. 實施認證系統
5.6.1. 開放ID連線（OIDC） 和開放授權 (Oauth)
5.6.1.1 開放授權 (OAuth)
OAuth 是一個開放的協議，目前最新的版本是2.0，允許以簡單和標準的方法從網路、行動和桌面應 用程式中獲得安全授權，它專注於授權而不是認證。
OAuth 定義的四個關鍵角色：
1） 客戶端(Client)：任何對受保護資源提出存取請求的應用程式。
2）資源所有者(Resource Owner)：擁有受保護資源並能夠授予他人使用該資源的權限的人,通常是最終用戶，也可以是應用程式或服務。這些權限通常是透過同意對話框授予的。
3)授權伺服器(Authorization Server)：任何在成功認證後向客戶發出存取權杖的伺服器；令牌在整個聯盟系統中用於獲得存取。
4) 資源伺服器(Resource Server) ：託管受保護資源的任何伺服器，它接受並回應存取請求。
5.6.1.2 OpenID 連線 (OIDC)
OIDC 在 OAuth 2.0版本之上增加了認證功能，並聯合了身分管理，為使用者提供似SSO 的認證體驗。
1.ldPs 及JWT
在OIDC中，使用者可以選擇身分提供者(IdPs)，如：微信、微博、微軟、Google等。
身分提供者(OpenlD Provider)向最終使用者提供一個 ID token,該 token 被編碼為JWT(Json Web Token)
2.取得 token 的流程
使用者選擇一個IdP，然後使用 OAuth 向依賴方提供認證資訊。 OIDC 中的認證資訊以令牌（WT)的形式從OIDC 提供者 (OP）傳遞給依賴方 (RP)，令牌中包含關於使用者的主張和對其主張的身份認證。
總結：為了減少混淆，請記住，OAuth 是一個授權框架，OpenID是一個認證層，而 OpenlD Connect (OIDC）是一個認證框架，位於 OAuth 之上，提供認證和授權服務。
5.6.2． 安全斷言標記語言 (SAML)
安全性斷言標記語言（SAML)是基於 XML 的開源標準資料格式，它在當事人之間交換身分驗證和授權數據，尤其是在身分提供者和服務提供者之間交換。最新版本是SAML2.0.
1.SAML 互動過程
首先是主體（如網頁瀏覽器），它向服務提供者（如網頁應用程式）發出請求，服務提供者依靠身分提供者 (IdP） 的斷言來進行使用者識別、認證和授權。
2 SAML 的四個組成部分。
1） 斷言(Assertions)：定義了SAML 屬性，如認證和授權資訊協定或框架如何被
服務使用。
2）綁定(Bindings)：規定了在各參與方（如使用者、身分提供者和服務提供者）之間如何進行請求-回應式的通訊。
3) 協定(Protocols)：規定了在參與者之間如何打包和交換訊息，包括 HTTP 和簡單物件存取協定 (SOAP)。
4) 配置(Profiles) ：在特定的 SAML實作中，配置是斷言、綁定和協定的組合。
SAML、OAuth2、QOIDC比較
5.6.3. Kerberos
kerberos 是一種流行的開放標準認證協議，被廣泛用於各種技術，包括 Linux 和UNIX，其中最突出的是微軟的活動目錄。 kerberos 是由 MIT 開發的，提供 SSO 和端對端的安全認證服務。它的工作方式是產生認證令牌，稱為票證，安全地發放給用戶，以便他們能夠進一步存取網路上的資源。 kerberos 使用對稱金鑰加密法和共用秘鑰，而不是透過網路傳輸密碼。
1.Kerberos 幾個重要的組成部分：
1） 委託人：使用Kerberos 進行識別和認證的各方，包括使用者和服務或應用程式。
2) 金鑰分發中心 (KDC)：用於執行新使用者的註冊，並維護秘密金鑰的資料庫。
3) 認證伺服器 (AS)：管理授予票據（TGT)的產生和分發，透過交換加密資料執行驗證，以確保安全存取伺服器。
4）票據授予服務 (TGS)：產生會話票證，當安全委託人需要對資源或彼此進行認證時，這些票證將提供給他們。
Kerberos at Work
2.Kerberos 風險點
•KDC 單點故障，除非有多個伺服器的冗餘設定。
•認證和票據分發高度依賴 Kerberos 領域的系統時間同步，需要 NTP 支持，否則會在票據上產生時間戳問題
5.6.4. RADIUS 和TACACS
5.6.4.1 RADIUS
RADIUS 是一種存取協議，可為遠端連接到網路提供認證、授權和計費(AAA)服務，最初用於支援拔號到大型 ISP。它支援多種認證協議，如PAP、CHAP 和 MS-CHAP，但只對密碼進行加密。由於使用 UDP 協議，必須消耗更多資源，並需要內建錯誤檢查機制以彌補 UDP 的無連接性。
5.6.4.2 TACACS
Cisco 專有協議，可將AAA(認證、授權和審計)分別託管到不同伺服器，透過TCP49 連接埠傳輸，可加密所有驗證資訊。
TACACS 支援多因子認證。
5.6.4.3 Diameter
Diameter 是為了克服RADIUS 的限製而開發的，是無線設備和智慧型手機使用的點對點協議，但它與 RADIUS 無法向後相容。
複習題
1 下列哪一個功能描述為一種著重於主體並識別每個主體可以存取的物件的存取控制模型？ A. 存取控制列表 B. 隱性拒絕列表 C.能力表 D.權限管理矩陣
C 主體-能力表 客體-存取控制列表 主體客體-矩陣
2,Jim 的組織廣泛支援基於雲端的應用的 IDaaS實施。 Jim 的公司沒有內部身分管理人員，也不使用集中身分服務。相反，他們依賴 Active Directory提供 AAA 服務。下列哪一個選項是Jim 應該推薦的最佳處理公司內部身分需求的方式？ A. 使用OAuth 整合內部系統。 B. 使用本地第三方身分服務。 C.使用 SAML 整合內部系統。 D. 設計一個內部解決方案來處理組織的獨特需求。
B P508 基於雲端的聯合通常使用第三方共享聯合身份
3.以下哪一個不是Kerberos 的弱點？ A.KDC是單點故障。 B.KDC 被攻擊者控制將允許冒充任何使用者。 C. 認證資訊沒有加密。 D.容易受到密碼猜測的攻擊。
C
4. 聲音模式辨識屬於哪一種身分驗證因素類型？ A. 你所知道的東西 B. 你所擁有的東西 C. 你所是的東西 D. 你所在的地方
C
5. 如果Susan 的組織要求她使用使用者名稱、PIN碼、密碼和視網膜掃描來登錄，那麼她使用了多少種不同的驗證因素類型？ A. 一種 B. 兩種 C.三種 D.四種
B
6.Charies 想要部署一個憑證管理系統（CMS)。他希望盡可能保護金鑰的安全性。下列哪一個是他的CMS 實施的最佳設計選項？ A. 使用 AES-256 取代 3DES。 B. 使用長密鑰。 C.使用 HSM（硬體安全模組）。 D.定期更改口令短語。
C 沒找到，記住
7.Bran是一所大學的研究員。 作為他的研究的一部分，他使用自己大學的憑證登入託管在克工所機構的計算集群。一旦登錄，他可以根據自己在研究專案中的角色存取叢集並使用資源：而時還可以使用他所在機構的資源和服務。 Bran的所在大學實施了什麼來實現這一點？ A. 域堆疊 B. 聯合身分管理 C.域嵌套 D.混合登入
B
8.將下列步驟依照它們在 Kerberos 認證過程中發生的順序排列。 1. 產生客戶端/伺服器票證 2. 產生TGT （票據授予票證） 3.產生客戶端/TGS（票據授予伺服器）金鑰 4. 用戶訪問服務 5. 用戶提供認證憑證 A. 5,3,2,1,4 B. 5,4,2,1,3 C. 3,5,2,1,4 D.5,3,1,.2,4
A A選項應該是52314
Kerberos 認證流程 Kerberos認證過程是一個涉及客戶端(Client)、認證伺服器(AS)和服務票據授予伺服器(TGS)之間的互動協議，其主要步驟如下： 1.客戶端向認證伺服器(AS)發送一個身分認證請求，這通常包含使用者名稱和密碼。 2. AS驗證客戶端的憑證，如果憑證有效，AS產生一個加密的「票據授權票」(Ticket Granting Ticket, TGT)。 TGT包含使用者的身份資訊和一個會話金鑰，然後TGT被傳回給客戶端。 3. 用戶端使用密碼解密TGT，取得會話金鑰。這個會話密鑰將用於後續的通訊。 4. 當客戶端需要存取特定的網路服務時，使用會話金鑰產生一個「服務票據」(Service Ticket)，並將其傳送給TGS。 5. TGS驗證客戶端的TGT，如果TGT有效，TGS產生一個加密的服務票據，並使用服務的金鑰加密服務票據後回傳給客戶端。 6. 用戶端將服務票據傳送給服務，服務使用服務票據中的會話金鑰進行驗證。如果服務票據有效，服務允許客戶端存取所需的服務。 這個過程確保了客戶端的身份得到驗證，並且客戶端有權存取請求的服務。同時，Kerberos協定使用對稱金鑰加密演算法和時間戳記來保護資料在傳輸過程中的安全性
9. 分散存取控制通常會導致什麼主要問題？ A. 可能發生存取中斷。 B. 控制不一致。 C.控制過於細粒度。 D.培訓成本高。
B
10. 回拔到固定電話號碼是哪種類型的身分驗證因素的例子？ A. 你所知道的東西 B 你所在的地方 C. 你所擁有的東西 D. 你所是的東西
B
11. Kathleen 需要設定一個 Active Directory 信任關係，以允許與現有的 Kerberos K5 網域進行身份驗證。她需要創造哪種類型的信任關係？ A. 快速信任(A shortcut trust) B. 林信任(A forest trust) C. 外部信任(An external trust) D.領域信任(A realm trust)
D
12. 下列哪一種 AAA 協定是最常使用的？ A. TACACS B. TACACS C. XTACACS D. Super TACACS
B
14 Windows系統上的使用者無法使用傳送訊息功能。哪種存取控制模型最能描述這種限制 A. 最小權限 B. 需要知道 C.有限介面 D. 職責分離
C 查書
15. 哪種類型的存取控制允許檔案的擁有者使用存取控制清單授予其他使用者檔案的存取權限？ A. 基於角色的 B. 非自主的 C. 基於規則的 D．自主的
D
16.Alex 的工作要求他查看受保護的健康資訊 （PHI），以確保對患者的適當治療。他對病患的醫療記錄的存取權限不包括存取病患地址或帳單資訊。下列哪一個存取控制概念最適合描述這種控制？ A. 職責分離 B. 受限介面 C.上下文相關控制 D.需要知道
D
對於問題 17-19，請根據您對Kerberos 登入流程的了解並參考下面的因表： 17 在圖表中的A點，客戶端特用戶名和密碼發送給KDC。 使用者名稱和密碼如何 受到保護？ A.3DES 加密 B. TLS 加密 C. SSL 加密 D.AES 加密 18. 在圖表中的B點，在驗證使用者名稱有效後，KDC 向客戶端發送了哪兩個重要 元素？ A. 加密的 TGT 和公鑰 B. 存取票據和公鑰 C 加密的、帶有時間戳記的TGT 和使用使用者密碼的雜湊值加密的對稱金鑰 D 加密的、帶有時間戳記的TGT 和存取令牌 19. 客戶端在使用TGT 之前必須執行哪些任務？ A. 它必須產生 TGT 的雜湊值並解密對稱金鑰。 B.它必須接受TGT 並解密對稱金鑰。 C 它必須解密 TGT 和對稱金鑰。 D.它必須使用對稱金鑰向 KDC 發送有效回應，並且必須安裝 TGT。
D Microsoft Active Directory 支援 Rivest Cipher 4 (RC4)、進階加密標準 128 位元 (AES-128)、進階加密標準 256 位元 (AES-256) 和資料加密標準 (DES) 加密。這些加密演算法透過安全雜湊演算法 (SHA) 和訊息摘要演算法 5 (MDA5) 之類的加密雜湊函數進行了擴充。最好避免使用 DES 加密，此加密被認為不安全。
C
B
https://blog.csdn.net/weixin_46944519/article/details/126828074?ops_request_misc=%7B%22request%5Fid%22%3A%22171202843516800213053640%23207%202320202023200055) 130102334..%22%7D&request_id =171202843516800213053640&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~top_positive~default-1-126828074-blog-2~all~top_positive~default-1-126828074-null-null.142^v. =1018.2226.3001.4187 有詳細解釋
20 sam正在計劃在他的組織中實施生物特徵驗證系統，並考慮使用視網膜掃描，其他人在他組織中可能對視網膜掃描提出什麼擔憂？ A.視網膜掃描可能會揭示有關醫學狀況的資訊。 B.視網膜掃描會因為需要對使用者的眼睛進行一次氣流噴射而帶來痛苦。 C.視網膜掃描儀是最昂貴的生物特徵設備類型。 D.視網膜掃描儀存在高誤報率，會導致支援問題。
A
21. 強制存取控制是基於哪一種類型的模型？ A.自主存取控制 B. 基於群組的存取控制 C.基於格的存取控制 D.基於規則的存取控制
C
22. Greg 希望控制在他組織中用作銷售終端的 iPad 的存取權限。在共享環境中，他應該使用下列哪一種方法來實現設備的邏輯存取控制？ A.對所有銷售終端使用共享的PIN碼，使它們更易於使用。 B. 使用OAuth 允許每個使用者進行雲端登入。 C.為每個用戶領發一個獨特的PIN碼，用於他們所使用的iPad。 D.使用 Active Directory 和使用者帳號登入 iad，使用 AD 使用者 ID和密碼。
D
23. 提供身分使用的可追溯性的最佳方式是什麼？ A. 日誌記錄 B 授權 C. 數位簽名 D.類型1認證
A 沒找到，記住
24 Jim 在過去幾年中在他的公司擔任人力資源、薪資和客戶服務角色。他的公司應該執行下列哪種類型的流程，以確保他擁有適當的權限？ A. 重新配置 B. 帳戶審查 C.特權擴張 D.帳號撤銷
B
25.Biba 屬於哪一種類型的存取控制模型？ A. MAC B. DAC C.角色 BAC D. ABAC
A P525 windows NTFS檔案系統使用了DAC windows 作業系統使用了RBAC 防火牆 基於規則 軟體定義網路 ABAC P530 MAC是基於格子，依賴分類標籤，都說明Biba和Bell-～是屬於MAC
26. 下列哪一個是一個用戶端/伺服器協議，旨在允許網路存取伺服器透過向中央伺服器發送存取請求訊息來對遠端使用者進行身份驗證？ A. Kerberos B. EAP C. RADIUS D. OAuth
C
27.Henry 正在與Web 應用程式開發團隊合作，為公司的新應用程式設計身份驗證和授權過程。團隊希望使會話 ID 盡可能安全。以下哪個不是Henry 應該推薦的最佳做法？ A. 會話ID令牌應可預測。 B. 會話ID 應具有至少64 位元的熵。 C 會話長度應至少為 128 位元。 D.會話ID應無意義。
A
28.Angela 使用一個嗅探器監視配置了預設設定的 RADIUS 伺服器的流量。她應該監視哪個協議，並旦她將能夠讀取哪些流量？ A.UDP，無法讀取任何流量。所有RADIUS 流量都被加密。 B.TCP.除了密碼外，可以讀取所有流量，密碼被加密。 C.UDP. 除了密碼外，可以讀取所有流量，密碼加密。 D.TCP，無法讀取任何流量。所有RADIUS 流量都被加密。
C
29. 哪種類型的存取控制最好描述了 NAC 的姿態評估功能？ A. 強制存取控制 B.基於風險的存取控制 C.自主存取控制 D. 基於角色的存取控制
B P532 記住
30. 當應用程式或系統允許已登入使用者執行特定操作時，這是什麼的例子？ A. 角色 B. 群組管理 C. 登入 D.授權
D
31. Alex 在公司工作了十多年，在公司擔任多個職位。在一次審計中發現，他由於以前的職位而可以存取共用資料夾和應用程式。 Alex 的公司遇到了什麼 問題？ A. 過度配置 B. 未經授權的訪問 C.特權擴張 D 帳戶審查
C
32. Geoff 希望在組織中防止特權升級攻擊。下列哪一種做法最有可能防止橫向特權升級？ A. 多因素身份驗證 B. 限制群組和帳戶的權限 C. 停用未使用的連接埠和服務 D.對應用程式中的使用者輸入進行淨化處理
A
33.Jim 的Microsoft Exchange 環境包括位於世界各地的多個業務辦公室的本地 資料中心中的伺服器，以及適用於不位於這些辦公室之一的員工的 OFFice 365 部署。在這兩個環境中創建和使用身份，並且在兩者中都可以工作。 Jim 正在運行哪種頭型的聯合系統？ A. 主要雲端系統 B. 主要本地系統 C.混合系統 D.多租戶系統
C
34. 下表顯示了哪一種類型的存取控制方案？ A. RBAC B DAC C MAC D TBAC
C 基於格子，主體客體都有屬性，所以是MAC
35. Michelle 的公司正在將行銷和傳播部門拆分為兩個獨立的團隊，創造一個新的部門。她希望創建能夠為每個團隊提供資源存取權限的角色。為了維持適當的安全性和權限，她該怎麼做？ A 將行銷團隊在現有現有的群組中，因為它們將具有類似的存取要求。 B 將行銷團隊保持在現有組中，並根據其特定需求建立新的傳播組。 C 將傳播團隊保持在現看組中，並根據其特定需求創建一個新的行銷組。 D.建立兩個新群組，評估它們執行角色所需的權限，如果需要，新增額外的權限。
D
36. 當主體宣告一個身分時，發生了什麼過程？ A. 登入 B. 識別 C.授權 D.令牌呈現
B
37. 狗、守衛和圍欄都是什麼類型的控制的常見例子？ A. 檢測型 B.恢復型 C.行政型 D.物理型
D
38.Susan 的組織正在更新密碼策略，並希望使用最強大的密碼。哪項密碼要求對防止暴力破解攻擊的影響最大？ A. 將最長使用時間從 1年改為 180天。 B. 將最小密碼長度從8 個字元增加到 16 個字元。 C.增加密碼複雜性，要求至少三個字元類別（例如大寫宇母、小寫宇母、數宇和符號）。 D.保留至少四個密碼的密碼歷史記錄，以防止重複使用。
B 增加長度影響最大
39. Alaina 正在執行定期計劃的服務帳戶審查。她最關心下列哪一項事件？ A. 服務帳戶的互動式登入 B. 服務帳戶的密碼更改 C.對服務帳戶權限的限制 D.使用服務帳戶的本地操作
A P508 書中原話-將帳戶設定為非互動式帳戶
40. 在使用生物特徵辨識的組織中，何時可能選擇允許更高的 FRR 而不是更高的 FAR? A.當安全性比可用性更重要時 B. 當因資料品質問題不擔心錯誤拒絕時 C. 當系統的 CER 未知時 D. 當系統的 CER 非常高時
A
41在最近有關工作改在工作時間以外未經授權存取的報告後，Derek被要來找到一種方法，確保維護人員不能登入商務辦公室的工作站。維護人員確實在他們的休息室和辦公室中擁有組織的系統，因為他們仍然需要存取這些系統。為了滿足這個需求，Derek 該怎麼做？ A要求多因素身份驗證，只允許辦公室員工擁有多因素令牌。 B.使用基於規則的存取控制，在工作區域的非工作時間禁止登入。 C. 使用基於角色的存取控制，設定一個包含所有維護人員的群組，並為該群組 賦予僅登入指定工作站的權限。 D.使用地理圍欄，僅允許在維護區域登入。
C
42. Nick 想為他的 Web 應用程式進行會話管理。下列哪些是常見的 Web 應用程式會話管理技術或方法？ （選擇所有適用項目。） A. IP 追蹤 B. Cookies C.URL重寫 D.TLS令牌
BC 記住
對於問題43-45，請使用您對SAML 集成和安全架構設計的了解，並參考以下情景和圖示：Alex 負責與一家為他的組織提供各種業務生產力服務的重要第三方合作夥伴進行SAML 集成。 43.Alex 對 SAML 流量的竊聽非常擔心，並希望確保偽造的斷言不會成功。為了防止這些潛在的攻擊，他該怎麼做？ A. 使用 SAML 的安全模式提供安全認證。 B. 使用強密碼套件實作 TLS，以保護免受這兩種攻擊。 C.使用強密碼套件實作TLS，並使用數宇簽章。 D.使用強密碼套件實作 TLS 和訊息雜湊。 44. 如果 Alex 的組織主要由外部出差使用者組成，將關鍵業務應用程式整合到現場身分驗證中會產生什麼可用性風險，他該如何解決？ A. 第三方整合可能不可信；使用SSL 和數位簽章。 B. 如果本地組織離線，出差用戶將無法存取第三方應用程式；實施混合雲，本地身份驗證系統。 C.本地用戶可能無法正確重定向到第三方服務；實施本地網關。 D瀏覽器可能無法正確重定向；使用主機檔案以確保解決重定向問題。 45. 哪一個解決方案可以最好地幫助解決步驟2 所示的由第三方控制 SSO 重定 向的問題？ A.關於可信任第三方的意識活動 B. TLS C.在本機站點處理重定向 D.實施IPS 以捕獲 SSO 重定向攻擊
C
B
A記住
46.Susan 被要求推薦她的組織應該使用 MAC 方案還是 DAC 方案。如果實施存取控制需要靈活性和可擴充性，她應該推薦哪種方案，為什麼？ A. MAC， 因為它提供更大的可擴展性和靈活性，只需根據需要添加更多的 標籤即可 B.DAC，因為允許各個管理員對他們控制的物件進行選擇，提供可擴展性 和靈活性 C.MAC， 因為分區化非常適合靈活性，因此添加分區將使其具有良好的可擴展 性 D.DAC， 因為中央決策過程可以快速回應，並透過減少所需的決策數量和 將這些決策移至中央機構提供可擴展性和靈活性
B
47.下列哪一種工具通常不用於驗證依照確保組織安全策略的方式進行了配置的供應過程？ A.日誌審查 B. 手動權限審查 C.基於簽章的偵測 D.審查稽核追蹤記錄
C 記住
48.Jessica 需要向第三方組織發送有關她正在提供的服務的資訊。她應選擇哪一種基於標準的標記語言來建構介面？ A. SAML B. SOAP C. SPML D. XACML
C 記住
49. 在一次滲透測試中，克里斯恢復了一個文件，其中包含他試圖存取的系統的雜湊密碼。哪種類型的攻擊最有可能針對雜湊密碼成功？ A. 暴力攻擊 B.透過哈希值的攻擊 C 彩虹表攻擊 D 一個鹽恢復攻擊
C
50 谷歌與跨領域的各種組織和應用程式進行身份集成，是以下哪種情況的例子？ A. PKI B. 聯邦 C. 單一登入 D. 供應
B 記住
51.Amanda 開始新工作，並發現她可以存取各種她在工作中不需要的系統。她遇到了什麼問題？ A. 權限蔓延 B. 杈限衝突 C.最小權限 D.權限過多
D
52. 當 Chris 驗證一個人的身分並向身分系統新增一個唯一標識符，例如使用者 ID 時，發生了什麼過程？ A. 身份驗證 B. 註冊 C. 目錄管理 D.會話管理
B
53.Selah 希望為她組織的主要業務應用程式提供行為可追蹤性。在這種情況下，最常用的控制措施是什麼？ （選擇所有適用項目。） A. 啟用稽核日誌記錄。 B. 為每位員工提供唯一帳戶並啟用多因素身份驗證。 C. 啟用基於時間和位置的登入要求。 D.提供每位員工唯一帳戶並要求自選密碼。
AB
54. Chariles 希望作為他的web 應用程式的一部分提供授權服務。如果他希望與其他web 身份提供者輕鬆集成，他應該使用哪個標準？ A. OpenID B. TACACS C. RADIUS D. OAuth
D
55 cameron所在的公司使用一種系統，允許使用者在必要時請求對系統的特權存取。 。 Camneron 清求訪問權限，由於他的角色，請求被預先批准。然後，他可以存取系統執行任務。完成後，權限被刪除。他正在使用哪種類型的系統 A. 零信任 B. 聯合身分管理 C. 單一登入 D.及時訪問
D
56. Ene 負責建立一個銀行網站。她需要驗證註冊網站的用戶的身份。她應該加何驗證用戶的身分？ A. 要求使用者創建只有他們知道的唯一問題。 B. 要求新使用者親自攜帶駕照或護照到銀行。 C.使用銀行和使用者都具備的信息，如從他們的信用報告中提取的問題。 D.投打用戶註冊的電話號碼，以驗證他們所聲稱的身份。
C
57.Susan 所在的組織是一個聯合體的一部分，允許來自多個組織的使用者存取其他聯合站點的資源和服務。 Susn想在合作夥伴網站使用服務時，使用哪一個 身分提供者？ A. Susan 所在組織的身份提供者 B. 服務提供者的身分提供者 C. 他們的身分提供者和服務提供者的身分提供者 D.服務提供者創建一個新的身份
A
58.一家使用指紋掃描器對使用者進行身份驗證的銀行的新客戶驚訝地發現，當他掃描他的指紋時，登入了另一個客戶的帳戶。發生了哪種類型的生物特徵因素錯誤？ A. 註冊錯誤 B. 一類錯誤 (A Type 1 error ) C.二類錯誤(A Type 2 error) D.使用時間、使用方法錯誤
C
·錯誤拒絕率（FRR）：類型1錯誤。 有效的生物特徵無法通過驗證，用於安全要求高的環境。
假陰性，拒絕了正確用戶
•錯誤接受率 (FAR)：類型 2錯誤。 無效的生物特徵被錯誤地識別為有效身份，用於安全要求低的環境。
假陽性，允許了錯誤用戶
59. 防火牆通常使用哪種類型的存取控制？ A.任意存取控制 B. 基於規則的存取控制 C.基於任務的存取控制 D.強制存取控制
B
60. 當您輸入使用者 ID 和密碼時，您正在執行什麼重要的身分和存取管理活動？ A.授權 B. 驗證 C.認證 D. 登入
C
61.Katleen在一個提供實體資料中心空間給個人和組織的資料中心託管設施工作。直到最近，每個用戶都會收到一張基於磁條的鑰匙卡，用於訪問其伺服器所在的設施部分，他們還會收到一把鑰匙，用於訪問其伺服器所在的籠子或機架。在過去的二個月裡，有一些伺服器被盜，但通行證的日誌只顯示有效的ID。為了確保通行證使用者是他們應該是的人，keatnleen 最好的選擇是什麼？ A 新增需要通行證使用者輸入PIN 的讀卡器， B.在設施中加入攝影系統，以觀察誰正在訪問伺服器。 C.添加生物特徵因素。 D.將基於磁條的鑰匙卡替換為智慧卡。
C
62 Theresa 希望允許她的員工安全地儲存和管理系統的密碼，包括服務帳戶和其他很少使用的管理憑證。她應該實施哪種類型的工具來實現這一目標？ A. 單一登入 B. 聯合身分識別系統 C.密碼管理器 D. 多因素認證系統
C 記住
63.Olivia 想限制使用者可以透過 sudo 執行的命令，以減少權限提升攻擊的可能性。她應該修改哪個 Linux 檔案來實現這一目標？ A.bash 的.bin 設定文件 B.sudoers 文件 C. bash 的.allowed 設定文件 D.sudont 文件
B
64. MAC 模型中哪些物件和主體具有標籤？ A. 被分類為機密、機密或絕密的物件和主體具有標籤。 B.所有物件都有一個標籤，所有主體都有一個隔間。 C.所有物件和主體都有一個標籤。 D. 所有主體都有一個標籤，所有物件都有一個隔間。
C
對於問題 65-67， 請參考以下情境和圖表： Chris 是一位不斷發展的電子商務網站的身份架構師。他和他的團隊打算利用社會身份，允許用戶使用他們現有的Google 帳戶作為在電子商務網站上的主要帳戶。這意味著當新用戶最初連接到電子商務平合時，他們可以選擇使用他們的Google 帳戶（使用 OAuth 2.0）或使用自己的電子郵件地址和自己選擇的密碼在平合上建立新帳戶。 65. 當電子商務應用程式為 Google 使用者建立帳戶時，該使用者的密碼應該存 儲在哪裡？ A．密碼儲存在電子商務應用程式的資料庫中。 B.密碼儲存在電子商務應用程式伺服器的記憶體中。 C.密碼儲存在 Google 的帳戶管理系統中。 D．密碼不會被儲存；相反，一個經過鹽哈希處理的值會被儲存在 Google 的帳戶管理系統中。 66. 下列哪一項負責對 Google 使用者進行使用者認證？ A. 電子商務應用程式。 B. 既有電子商務應用程序，也有Google 伺服器。 C. Google 伺服器。 D.圖表沒有提供足夠的資訊來確定這一點。 67. 建立和交換狀態令牌的目的是為了防止哪種類型的攻擊？ A. XSS B. CSRF C. SQL注入 D. XACML
D
C
B 跨站請求偽造（英語：Cross-site request forgery），也被稱為one-click attack 或session riding，通常縮寫為CSRF 或者XSRF， 是一種挾制用戶在當前已登入的Web應用程式上執行非本意的操作的攻擊方法。跟跨網站腳本（XSS）相比，XSS 利用的是使用者對指定網站的信任，CSRF 利用的是網站對使用者網頁瀏覽器的信任。 防禦： 檢查Referer字段 HTTP頭中有Referer字段，這個字段用以標示請求來自哪個位址。在處理敏感資料請求時，通常來說，Referer欄位應和請求的位址位於同一網域下。以上文銀行操作為例，Referer欄位位址通常應該是轉帳按鈕所在的網頁位址，也應該位於www.examplebank.com之下。而如果是CSRF攻擊傳來的請求，Referer欄位會是包含惡意網址的位址，不會位於www.examplebank.com之下，這時候伺服器就能辨識出惡意的存取。 這種辦法簡單易行，工作量低，只需要在關鍵存取處增加一步校驗。但這種辦法也有其局限性，因其完全依賴瀏覽器來發送正確的Referer欄位。雖然http協定對此欄位的內容有明確的規定，但並無法保證來訪的瀏覽器的具體實現，亦無法保證瀏覽器沒有安全漏洞影響到此欄位。並且也存在攻擊者攻擊某些瀏覽器，篡改其Referer欄位的可能。 新增校驗token 由於CSRF的本質在於攻擊者欺騙使用者去存取自己設定的位址，所以如果要求在存取敏感資料請求時，要求使用者瀏覽器提供不儲存在cookie中，並且攻擊者無法偽造的資料作為校驗，那麼攻擊者就無法再運行CSRF攻擊。這種資料通常是窗體中的一個資料項。伺服器將其產生並附加在窗體中，其內容是一個偽隨機數。當客戶端透過窗體提交請求時，這個偽隨機數也一併提交上去以供校驗。正常的存取時，客戶端瀏覽器能夠正確得到並傳回這個偽隨機數，而透過CSRF傳來的欺騙性攻擊中，攻擊者無從事先得知這個偽隨機數的值，服務端就會因為校驗token的值為空或錯誤，拒絕這個可疑請求。
68.一你的寵物叫什麼名字？這樣的問題展在哪種類型的身份驗證？ A. 基於知識的認證 B.動態基於知識的認證 C. 帶外身份驗證 D.第三種身份驗證因素
A
69. Madhuri 創建了一張包含已分配特權、物件和主體的表格，用於管理她負責的系統的存取控制。每當主體試圖存取物件時，系統會檢查該表格以確保主體具有適當的物件權限。 Madhuri 正在使用哪種類型的存取控制系統？ A. 能力表 B. 存取控制列表 C.存取控制矩陣 D.主體/物件權限管理系統
C
70. 在審查支持票證時，Ben 的組織發現密碼變更佔其幫助案例的四分之一以上。以下選項中，哪一個最有可能顯著減少這個數宇？ A. 雙因素認證 B. 生物辨識認證 C. 自助式密碼重置 D.密碼短語
C 記住
71. Brian 所在的大型組織多年來一直使用 RADIUS 提供網路設備的AAA服務。 並最近意識到在認證過程中傳輸的資訊存在安全問題。 Brian 應該如何為 RADIUS 實施加密？ A. 使用 RADIUS 內建的加密功能。 B.使用TLS 在其本機 UDP 上實現 RADIUS,以提供保護。 C. 使用TLS 在TCP 上實作 RADIUS.以提供保護。 D.在裝置之間使用 AES256 預先共用密碼。 。
C RADIUS本身使用UDP協議，使用TLS後就是TCP協定。
72 jim允許基於雲端的應用程式代表他存取其他網站上的資訊。下列哪一種工具可以實現這一點？ A. Kerberos B. OAuth C.OpeniD D. LDAP
B 需要一個授權協議，所以是OAuth
73.Ben 的組織在午餐時間員工不在座位時出現了 未經授權訪問應 用程序和工作站的問題。對於 Ben 推薦的最佳會話管理解決方案是什麼，以幫助防止這種類型的存取？ A 對所有存取使用會話ID，並驗證所有工作站的系統IP位址 B.為應用程式設定會話逾時，並在工作站上使用密碼保護的螢幕保護程序，並設定不活動逾時。 C 對所有程式使用會話ID，並在工作站上使用密碼保護的螢幕保護程式序列。 D.為應用程式設定會話逾時，並驗證所有工作站的系統IP 位址。
B
74 以下圖表展示了哪種類型的身份驗證場景 A. 混合聯合 B. 在場聯合 C.雲端聯合 D. Kerberos 聯合
A P508 基於雲端的聯合通常使用第三方共享聯合身份 混合聯合是雲端運算聯合和本地聯合的組合
75. Chris 希望在控制對設施的存取的同時識別個人。他也希望確保這些個人被準許進入的人，而且不希望有重大的持續成本。以下選項中的哪些解決方案將滿足所有這些要求？ （選擇所有適用項目。） A. 安保人員及照片身分證 B. 附PIN碼鍵盤的 RFID 徽章和讀卡機 C. 附PIN碼鍵盤的磁條徽章和讀卡器 D.保全人員與磁條讀卡器
BC
76. 像Yubikey 或 Titan Security key 這樣的設備屬於哪種類型的第2認證因素？ A. 令牌 B.生物辨識標識符 C.智能卡 D. PIV
A 記住
77. 與OAuth 配對可以使用 RESTful API 進行身份驗證和獲取使用者設定檔資訊的身份驗證技術是什麼？ A. SAML B. Shibboleth C. OpenID Connect D. Higgins
C
78.Jim希望實施存取控制方案，以確保使用者無法委派存取權限。他還希望在作業系統層級執行存取控制。哪種存取控制機制最符合這些要求？ A. 基於角色的存取控制 B. 自主存取控制 C.強制存取控制 D.基於屬性的存取控制
C
79.Susan 所在公司的安全管理員已經配置了她使用的工作站，只允許她在工作時間登入。最能描述這種限制的是哪種類型的存取控制？ A. 受限介面 B.上下文相關控制 C.內容相關控制 D.最小特權
B
80.Ben 使用的是每分鐘更改一次程式碼的基於軟體的令牌。他使用的是哪種類型的令牌？ A. 非同步 B. 智能卡 C.同步 D.靜態
C
81. 防火牆是哪一種類型的存取控制機制的例子？ A. 強制存取控制 B. 基於屬性的存取控制 C.自主存取控制 D. 基於規則的存取控制
D
82.Michelle 在一家金融服務公司工作，希望為她的web 應用程式註冊客戶。 如果她希望在初始登入時快速自動驗證該人是否為其所聲稱的人，而不必與其建立先前的關係，她可以使用哪種類型的身份驗證機制？ A. 要求其社會安全號碼。 B. 使用基於知識的身份驗證。 C.執行手動身份驗證。 D.使用生物辨識因素。
B 記住
83 Megan 的公司希望使用 Google帳戶讓使用者快速採用其 Web 應用程式。 Megan 需要實施哪些常見的雲端聯合技術？ （選擇所有適用項目） A. Kerberos B. OpeniD C. OAuth D. RADIUS
BC
84. 會話ID 的長度和會話ID 的嫡對於防止哪種類型的攻擊至關重要？ A. 拒絕服務 B. Cookie 盜取 C. 會話猜測 D. 中間人攻擊
C
85. Naomi 所在組織的存取控制系統在允許她連接到網路之前，會檢查她的電腦是否完全打補於，是否進行了成功的反惡意軟體掃描，以及防火牆是否開啟等其他安全驗證。如果有潛在問題，她將被禁止連接並必須聯繫支援部門。最能描述這種類型過程的是哪種類型的存取控制方案？ A. MAC B. 基於規則的存取控制 C.基於角色的存取控制 D．基於風險的存取控制
D
86. lsabelle 希望透過其組織的服務帳戶防止特權升級攻擊。以下哪一種安全實踐 最適合這種情況？ A. 移除不必要的權限。 B 停用服務帳戶的互動式登入。 C. 限制帳號登入時間。 D.使用無意義或隨機化的服務帳戶名稱。
A
87. 允許OpenlD 依賴方控制與 OpeniD 提供者的連線會產生什麼危險？ A. 可能導致選擇不正確的 OpenlD 提供者。 B. 透過向虛假的 OpenID 提供者發送數據，可能導致釣魚攻擊。 C.依賴方可能能夠竊取客戶的使用者名稱和密碼。 D. 依賴方可能不會傳送已簽署的斷言。
B
88. Jim 正在為他的組織實施一種雲端身分解決方案。他正在採用哪種類型的技術？ A. 身分作為服務 B. 員工身分作為服務 C.基於雲端的 RADIUS D. OAuth
A IDaaS
89.Kisten希望根據員工的職位、每個職位組所需的應用程式權限、時間和位置來控制對組織中的一個應用程式的存取。她應該選擇哪種類型的控制方案？ A 屬性基準存取控制 (ABAC) B.自主存取控制 (DAC) C.強制存取控制 (MAC) D.角色屬性基準存取控制 (Role BAC)
A
90,Alex 作作為Linux 伺服器上的許多使用者設定下面圖表中顯示的權限時，他正在利用哪種類型的存取控制模型？ $ chmod 7313 al $ 1s -la total 12 drwxr-xr-x 3 root drwxr-xr-x 3 root A. 基於角色的存取控制 B. 基於規則的存取控制 C.強制存取控制 (MAC) D. 自主存取控制 (DAC)
D
91.Joanna 領導她所在組織的身份管理因隊，並希望確保在員工變動到新職位時，角色得到更新。她應該關注員工的哪個問題，以避免在角色定義上出現問題？ A. 註冊 B.權限蔓延 C. 廢止 D.帳戶責任
B
92下圖顯示的是哪一種類型的授權機制？ A. 基於角色的存取控制 (RBAC) B. 屬性基準存取控制 (ABAC) C.強制存取控制 (MAC) D.自主存取控制 (DAC)
A
93. Susan 正在解決Kerberos 身份驗證問題，其中包括TGT （票據授予票）不被接受為有效票據，「以及無法獲取新票據。如果她正在解決的系統已經正確配置了Kerberos 身份驗證，她的用戶名和密碼是正確的。 A.Kerberos 伺服器離線。 B. 存在協定不符。 C．客戶端的 TGT 被標記為受損和未授權。 D Kerberos 伺服器和本機用戶端的時間時鐘未同步。
D
94. Brian 希望向組織的管理階層解釋本地聯合身分的好處。下列哪一個選項不是聯合身分系統的常見好處？ A. 簡化帳戶管理 B. 單一登入 C. 防止暴力攻擊 D.提高生產力
C
95.Aaron 所在的銀行希望允許客戶使用與其合作的第三方合作夥伴提供的新附加應用程式。由於不是每個客戶都希望或需要帳戶，Aaron 建議銀行使用基於 SAML 的工作流程，當使用者下載應用程式並嘗試登入時，建立帳戶。他建議使用哪種類型的配置系統？ A. 即時設定 (JIT) B. OpeniD C. OAuth D. Kerberos
A
96.Windows 預設使用哪種驗證協定用於 Active Directory 系統？ A. RADIUS B. Kerberos C. OAuth D. TACACS
B Kerberos:Kerberos是Active Directory的預設驗證服務
97.Valerie 需要控制在BYOD 環境中部署到行動裝置的應用程式的存取。哪種類型的解決方案最能讓她對應用程式行使控制，同時確保它們不會在終端使用者使用的裝置上留下殘留資料？ A. 將應用程式部署到 BYOD 裝置並要求每個裝置使用唯一的PIN。 B 已將應用程式部暑到桌上型系統，並要求使用者使用遠端棠面使用企業認證來存取它們。 C.使用應用程式容器將應用程式程席部署到 BY0D 設備，並要求每個設備使用唯一的PIN。 D.使用虛擬託管應 用程式環境，需使用企業憑證進行驗證。
D
98. 將以下授權機制與其描述配對： 1. 基於角色的屬性基準存取控制 (Role-BAC) 2. 基於規則的屬性基準存取控制 (Rule BAC) 3.自主存取控制 (DAC) 4. 屬性基準存取控制 (ABAC) 5. 強制存取控制 (MAC) A. 由作業系統強制執行的存取控制模型。 B. 根據IP位址、時間或其他特定細節符合要求來授予權限或權利。 C.有時稱為基於策略的存取控制，該模型使用有關主體的資訊來分配權限。 D.一種模型，授予具有適當權限的主體將這些權限分配或傳遞給其他主 E. 用於基於工作或職能分配權限。
1E2B3D4C5A
99. 將數位認證技術與相應的類別進行配對。每種技術應與一個類別相符。每個類別可以使用一次、多次或不使用。 認證技術 1. 密碼 2.ID卡 3. 視網膜掃描 4. 手機令牌 5. 指紋分析 類別： A. 擁有的東西 B. 知道的東西 C. 是的東西
1B2A3C4A5C
100. 將下列身分和存取控制與其最適合保護的資產類型進行配對。每個選項只能選擇一次。 1.資訊資產 2.系統 3. 行動裝置 4. 設施 5. 合作夥伴應用程式 A.自主存取控制 B.門禁讀卡機 C.聯合身分管理 D．生物辨識身份驗證 E. 具有多因素認證的使用者帳戶
1A2E3D4B5C