Wondershare EdrawMind
Galleria mappe mentale Note di studio CISSP-Ambito 6 (Valutazione e test della sicurezza)
- 10
Note di studio CISSP-Ambito 6 (Valutazione e test della sicurezza)
Questa è una mappa mentale sulle note di studio del CISSP - Dominio 6 (Valutazione e test della sicurezza). Il contenuto principale include: domande di revisione e punti di conoscenza.
Modificato alle 2024-04-06 10:04:44
Note di studio CISSP-Ambito 6 (Valutazione e test della sicurezza)
- Consigliato per te
- Profilo
Sistema informativo del sistema di conoscenza del project manager (Capitolo 12 Gestione degli appalti di progetto)
- 7
![Istituzione e attuazione del sistema di gestione della sicurezza degli elementi di gestione della sicurezza [Versione pratica]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594747/2024-6-1/1717213881/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
Istituzione e attuazione del sistema di gestione della sicurezza degli elementi di gestione della sicurezza [Versione pratica]
- 6
![Dischi di rottura per impianti di sicurezza [Riepilogo Normativa]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594747/2024-6-1/1717214770/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
![Valvola di sicurezza del dispositivo di sicurezza [versione con principio di funzionamento]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594747/2024-6-1/1717214925/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
Valvola di sicurezza del dispositivo di sicurezza [versione con principio di funzionamento]
- 9
![Valvole di sicurezza per impianti di sicurezza [Riepilogo normativa]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594747/2024-6-1/1717214959/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
![Predisposizione procedure operative [Versione integrata leggi e regolamenti]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594747/2024-6-1/1717246787/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
Note di studio CISSP-Ambito 6 (Valutazione e test della sicurezza)
Punti di conoscenza
6.1 Pianificare e convalidare strategie di valutazione, test e audit
6.1.1 Valutazione, test e audit
6.1.1.1Test
Un'attività tecnica che prevede l'esecuzione di un sistema per confermare che soddisfi requisiti specifici o comportamento previsto. Il test viene spesso utilizzato per individuare problemi ed errori in un sistema. Nel campo della sicurezza, i test includono la scansione delle vulnerabilità, i test di penetrazione, ecc., che vengono utilizzati per scoprire e valutare potenziali rischi per la sicurezza del sistema.
6.1.1.2 Valutazioni
La valutazione è un'attività di valutazione completa per un oggetto, sistema o processo specifico. Può essere basata su standard quantitativi o qualitativi. Ad esempio, la valutazione del rischio consiste nel valutare la possibilità che si verifichi un rischio specifico, oppure può valutarne la qualità il processo di sicurezza dell’organizzazione.
6.1.1.3Verifica
Un audit è un processo più formale e strutturato il cui obiettivo principale è verificare e confermare la conformità di un oggetto o sistema secondo standard o specifiche definite. Gli audit sono generalmente condotti da organizzazioni terze indipendenti per garantire l'imparzialità e l'equità dei risultati dell'audit. Ad esempio, un audit di sistema potrebbe determinare se un sistema è conforme allo standard PCI DSS (Payment Card Industry Data Security Standard).
6.1.2. Controllo interno
Le valutazioni e gli audit interni sono attività di valutazione e audit condotte dal personale di un'organizzazione. Questa attività può essere svolta su base continuativa nell'ambito della gestione della sicurezza dell'organizzazione.
1. Vantaggi e svantaggi dell'auditing interno
•Vantaggi: poiché gli addetti ai lavori hanno una profonda conoscenza delle operazioni e degli affari dell'organizzazione, sono in grado di condurre test o valutazioni in modo più accurato ed efficiente. Inoltre, l’audit interno è anche più flessibile e può essere condotto in qualsiasi momento in base alle esigenze dell’organizzazione.
•Svantaggi: esistono potenziali conflitti di interessi, come ad esempio "Chi fa la politica non dovrebbe essere controllato". Di conseguenza, l’audit interno può mancare di indipendenza e imparzialità.
2. Tipi di test adatti per i test interni
•Scansione delle vulnerabilità: condotta regolarmente per scoprire software senza patch o risorse sconosciute.
•Audit di processi e procedure: come gestione del cambiamento, completamento della formazione dei dipendenti, ecc.
•Simulazione di phishing: verifica la capacità dei dipendenti di riconoscere e rispondere agli attacchi di phishing.
3. Prepararsi per gli audit esterni
Prima di condurre un audit esterno, un'organizzazione può scegliere di condurre un audit preparatorio interno. Ciò contribuirà a migliorare i risultati dell'audit esterno identificando e risolvendo eventuali problemi o carenze esistenti prima dell'inizio dell'audit formale.
6.1.3. Audit esterno
Gli audit esterni sono generalmente condotti da organizzazioni terze indipendenti che non hanno alcun interesse diretto nell'organizzazione sottoposta ad audit. Pertanto, gli audit esterni possono fornire valutazioni e risultati di audit imparziali e indipendenti, che sono particolarmente preziosi per identificare e migliorare i problemi che l’organizzazione potrebbe aver trascurato. Ma potrebbe anche richiedere un investimento di più tempo e risorse. Pertanto, le organizzazioni devono valutare i pro e i contro e considerare le esigenze e le condizioni aziendali specifiche quando decidono di condurre un audit esterno.
Le situazioni in cui è applicabile l'audit esterno includono:
•Audit di conformità: per soddisfare specifici requisiti di conformità, come lo standard di sicurezza dei dati del settore delle carte di pagamento (PCI-DSS), lo standard internazionale del sistema di gestione della sicurezza delle informazioni (IS0 27001), ecc., sono necessari audit esterni.
Requisiti legali o normativi: in alcuni casi, a un'organizzazione potrebbe essere richiesto di condurre un audit esterno a causa di requisiti legali o normativi. Ad esempio, per soddisfare requisiti aziendali specifici, potrebbe essere richiesta una valutazione della maturità basata su un modello di maturità.
6.1.4. Verifica di parte terza
Audit di terzi. Chiamato anche audit della catena di fornitura. È uno strumento importante per valutare e gestire i rischi per la sicurezza della catena di fornitura e può essere condotto dall'organizzazione stessa o da un revisore esterno. Il processo di audit valuterà i controlli e le politiche di sicurezza nella catena di fornitura, identificherà i rischi e proporrà misure di mitigazione. Alcuni fornitori possono fornire report di audit di terze parti, come i report Service Organization Controls 2 (SOC2), che possono aiutare le organizzazioni a comprendere e gestire meglio i rischi della catena di fornitura.
6.2. Effettuare i test di controllo di sicurezza
6.2.1. Valutazione della vulnerabilità
1. Panoramica della strategia
La valutazione delle vulnerabilità è una componente chiave della gestione del rischio, che si concentra sull’identificazione e sulla valutazione delle vulnerabilità delle risorse hardware e software per impedire che vengano sfruttate dagli aggressori.
Le fasi principali della valutazione della vulnerabilità includono:
1) Crea un inventario delle risorse: identifica le risorse critiche della tua organizzazione e dai priorità alle scansioni delle vulnerabilità.
2. Seleziona uno strumento di scansione: scegli uno strumento di scansione delle vulnerabilità appropriato in base a fattori quali requisiti legali, contrattuali o normativi, compatibilità della piattaforma e costi.
2. Domande frequenti sulla valutazione della vulnerabilità
1. Traffico eccessivo e DoS
Descrizione: gli scanner delle vulnerabilità possono generare grandi quantità di traffico, consumare larghezza di banda della rete e potenzialmente causare condizioni DoS poiché reti e sistemi faticano a elaborare le informazioni.
soluzione:
1) Configurazione corretta, come l'implementazione della limitazione delle richieste per limitare il numero di richieste generate dallo scanner in un periodo di tempo specifico
2) Scansione basata su voucher per ottenere informazioni di configurazione ed eseguire la scansione accurata delle porte di destinazione
3) Pianificare le scansioni per garantire che la scansione avvenga nei momenti di scarsa attività dell'utente.
2.Avvisi ed eventi
Descrizione: la scansione degli host simulerà le tattiche comunemente utilizzate dagli aggressori e genererà avvisi di sicurezza.
Soluzione: configurare una policy per filtrare il traffico di prova e contrassegnare le scansioni delle porte dall'indirizzo IP dello scanner di vulnerabilità come non sospette.
3. Proprietà interfunzionale
Descrizione: Se il reparto commerciale non presta attenzione, il tuo allarme di sicurezza potrebbe essere ignorato.
Soluzione: coltivare le relazioni tra i team e formattare i risultati del feedback in modo comprensibile per i proprietari delle risorse;
4.Inquinamento
Descrizione: i dati dei test compilati automaticamente possono inquinare l'ambiente online.
Soluzione: modificare la policy di configurazione per ridurre o ignorare alcune operazioni distruttive, come operazioni sui moduli, invio di e-mail, ecc. Lo scanner può essere configurato per inserire tipi di dati di test riconosciuti che possono essere facilmente ignorati o ripuliti dopo la scansione
5. Segmentazione della rete
Descrizione: l'utilizzo di misure di controllo dell'accesso come firewall per segmentare o isolare diverse parti della rete è una procedura consigliata per la sicurezza, ma potrebbe impedire allo scanner di raggiungere l'indirizzo di destinazione.
Soluzione: la scansione distribuita posiziona l'agente di scansione all'interno di un segmento di rete, consente la scansione degli endpoint del segmento di rete e quindi integra i risultati nell'unità di controllo centrale.
6.2.2. Test di penetrazione
La valutazione delle vulnerabilità cerca i punti deboli che possono teoricamente essere sfruttati, mentre i test di penetrazione (chiamati anche pen testing) fanno un ulteriore passo avanti e dimostrano che questi punti deboli possono essere sfruttati.
1Tipi di test di penetrazione
1) Test di penetrazione della scatola bianca (chiamato anche test della piena conoscenza)
Il team di test comprende appieno l'infrastruttura e la sua architettura, inclusi i sistemi operativi, la segmentazione della rete, i dispositivi e le relative vulnerabilità. Questo tipo di test aiuta a concentrare il team di test su una specifica area di interesse o su una specifica vulnerabilità.
2) Test di penetrazione della scatola nera (chiamato anche test a conoscenza zero)
Il team di test non ha alcuna conoscenza dell'infrastruttura e scopre la struttura della rete e le sue vulnerabilità dal punto di vista di un aggressore
3) Test di penetrazione della scatola grigia (chiamato anche test della conoscenza locale)
Un test di penetrazione che media tra il test della scatola bianca e il test della scatola nera, in cui il team di test ha una conoscenza parziale dell'infrastruttura.
2. Tester di penetrazione
1) Hacker dal cappello bianco (etico)
Un professionista della sicurezza che testa un sistema per determinarne i punti deboli in modo che tali punti deboli possano essere mitigati e il sistema possa essere meglio protetto.
2) Hacker black hat (non etici)
Le entità dannose invadono i sistemi attraverso il ricatto, ottengono dati sensibili o interrompono il funzionamento dell'infrastruttura.
3) Hacker dal cappello grigio
Hacker che si muovono avanti e indietro tra il mondo del cappello bianco e quello del cappello nero. A volte vendono la propria esperienza a vantaggio dell'organizzazione
4) Squadra Rossa
Gruppi di attacco durante test o esercitazioni di sicurezza
5) Squadra Blu
Difensori durante test o esercitazioni di sicurezza
6) Squadra bianca
La squadra che gestisce l'esercizio durante un test o un esercizio di sicurezza
3 Regole per i Penetration Test
I test di penetrazione non dovrebbero mai essere condotti se non adeguatamente autorizzati. Anche le regole dei test dovrebbero essere chiare, inclusa la determinazione dell’ambito del test, l’identificazione dei partecipanti, la definizione dei metodi di test e dei metodi di comunicazione previsti, ecc.
I clienti interni solitamente definiti nei file delle regole includono i seguenti aspetti:
•Quali sistemi, uffici o altri obiettivi rientrano nell'ambito del test?
•Ci sono sistemi, uffici o altri obiettivi specificatamente esclusi dai test?
. Sono vietati metodi di test, come l'ingegneria sociale o il cracking delle password?
. La sicurezza fisica è coperta? Se sì, quali strutture o obiettivi sono inclusi?
•Quale livello di autorità viene concesso ai tester? Ai tester possono essere forniti account per valutare le minacce interne o condurre attività di verifica se riescono ad accedere.
•Quali sono lo stile e la cadenza di comunicazione previsti? Alcune organizzazioni potrebbero richiedere la notifica immediata di eventuali problemi di sicurezza potenzialmente critici, mentre altre potrebbero accontentarsi di attendere un rapporto finale.
•Chi sta conducendo i test, quali apparecchiature e software sono consentiti e quando avranno luogo i test?
•Quali procedure verranno utilizzate durante la gestione di dati sensibili come configurazioni di rete interna, record dei clienti, ecc.?
•Come verranno gestiti in modo sicuro i dati sensibili dopo il test?
•Qual è il livello di servizio previsto. Ad esempio, i tester ripetono il test immediatamente dopo aver implementato una correzione o attendono il tempo di ripetizione prescritto?
•Quali sono le aspettative riguardo alla documentazione, in particolare ai dettagli di eventuali problemi riscontrati, che mostrino il lavoro svolto per verificare i risultati dei test e il formato di eventuali rapporti?
4. Processo di test di penetrazione
5. Test di penetrazione fisica
I test di penetrazione fisica si verificano quando un tester tenta di ottenere un ingresso non autorizzato in una struttura come un ufficio o un data center con l'obiettivo di scoprire potenziali punti deboli nei controlli di sicurezza fisica. Le tattiche comuni di ingegneria sociale includono trasportare oggetti ingombranti e chiedere a qualcuno di aprire la porta o apparire vestiti da funzionario.
6.2.3. Revisione del registro
La revisione dei registri è una parte importante della gestione della sicurezza delle informazioni. Implica l'analisi e la revisione dei registri generati da sistemi, terminali, dispositivi e applicazioni. L'obiettivo è acquisire e analizzare informazioni significative in questi registri per facilitare il rilevamento e la risposta agli incidenti di sicurezza. .
1 L'importanza della revisione dei log
I registri forniscono informazioni dettagliate sul comportamento del sistema, sul comportamento dell'utente, sugli eventi di sicurezza, sugli errori di sistema e altro ancora. La revisione e l'analisi dei log possono aiutare le organizzazioni a comprendere lo stato e il comportamento dei propri sistemi, nonché eventuali potenziali problemi di sicurezza.
2) Audit e valutazione della gestione dei log
Anche la generazione, la raccolta, l’archiviazione e l’elaborazione dei registri stessi devono essere verificate e valutate. Ciò implica garantire l’integrità, la disponibilità e la riservatezza dei registri, nonché la conformità. Ciò potrebbe richiedere il riferimento ai requisiti legali applicabili, ai codici di settore e agli standard internazionali per garantire che i registri siano gestiti in modo conforme.
3) Strategia di revisione dei registri
Le organizzazioni devono sviluppare politiche, procedure e configurazioni tecniche di revisione dei log per garantire l'efficacia della revisione dei log. Ciò può includere la determinazione della frequenza della revisione dei registri, della profondità della revisione, degli strumenti e delle tecniche da utilizzare e di come gestire i risultati della revisione.
6.2.4 Operazioni sintetiche
Le transazioni sintetiche si riferiscono a processi automatizzati utilizzati per testare e monitorare le prestazioni del sistema che simulano comportamenti o azioni specifici dell'utente per verificare le prestazioni e l'affidabilità di un'applicazione, sistema o rete.
6.2.4.1 Scenari di utilizzo comuni delle transazioni sintetiche:
•Monitoraggio del contratto di servizio (SLA): le transazioni sintetiche possono essere utilizzate per monitorare se un servizio host o basato su cloud soddisfa gli standard di livello di servizio concordati.
•Monitoraggio dell'integrità dei dati: simulando regole di logica aziendale ed elaborando dati di test, le transazioni sintetiche possono generare avvisi quando i risultati dell'elaborazione dei dati non soddisfano le aspettative.
•Monitoraggio del sistema o del servizio: anche in assenza di uno SLA, i sistemi oi servizi possono essere monitorati attraverso transazioni sintetiche per garantire che siano online e reattivi.
6.2.4.2Monitoraggio degli utenti reali (RUM)
RUM è una tecnologia di monitoraggio che monitora le interazioni dell'utente con un'applicazione o un servizio in tempo reale. Questo monitoraggio può essere utilizzato per rilevare potenziali problemi come pagine lente o che non rispondono. Tuttavia, RUM può sollevare problemi di privacy e richiede cure speciali quando utilizzato.
6.2.5. Revisione e test del codice
Il software è costituito da codice, quindi la revisione e il test del codice per identificare e correggere i difetti sono controlli di sicurezza fondamentali.
1. Classificazione delle prove
Test della scatola nera: il tester non tocca il codice sorgente o il principio di funzionamento interno dell'applicazione, ma simula e testa dal punto di vista di un utente malintenzionato o utente esterno.
Test white-box: i tester hanno accesso al codice sorgente o alla struttura interna dell'applicazione per scoprire possibili difetti ed errori conducendone un'analisi approfondita.
2. Metodo di prova
•Revisione peer del codice: si tratta di un metodo manuale in cui gli sviluppatori esaminano il codice degli altri per individuare possibili errori e miglioramenti.
•Analisi statica del codice: si tratta di un metodo di revisione automatizzata del codice che utilizza un software specializzato per simulare l'esecuzione del codice per identificare possibili vulnerabilità, come buffer overflow, ecc.
• Test di analisi dinamica: si tratta di un metodo di test in fase di esecuzione che esegue il programma e ne osserva il comportamento per identificare possibili problemi e vulnerabilità.
3. Obiettivi del test
• Copertura: l'obiettivo del test dovrebbe essere quello di coprire il più possibile tutto il codice e le funzionalità per garantire che nessun difetto o errore venga trascurato.
•Automazione: per bilanciare velocità di sviluppo e sicurezza, il processo di test dovrebbe essere automatizzato il più possibile. Ad esempio, alcune attività comuni di test e correzione possono essere automatizzate tramite strumenti SOAR (Security Orchestration Automation and Response).
6.2.6. Test dei casi di abuso
6.2.6.1 Caso di abuso
Conosciuto anche come test negativo (test neoativo). Lo scopo è valutare la risposta di un sistema o un'applicazione a input o situazioni imprevisti e identificare le vulnerabilità che potrebbero essere sfruttate in queste situazioni impreviste.
Ad esempio, se l'utente inserisce un nome utente ma lascia vuota la password, ciò potrebbe causare l'arresto anomalo dell'applicazione o consentire l'accesso diretto al sistema.
6.2.6.2 Caso di abuso
Il testing dei casi di abuso è parte integrante della modellazione delle minacce, poiché modella il modo in cui un sistema o una funzionalità può essere utilizzata in modo improprio e descrive in modo specifico come un utente malintenzionato potrebbe sfruttare questa vulnerabilità.
6.2.7. Analisi della copertura del test
1. Copertura del test = (numero di componenti testati/numero totale di componenti) x 100%
2. Sei standard comuni:
1) Copertura dei rami: garantire che ogni ramo nell'istruzione di controllo venga eseguito.
2) Copertura della condizione: una condizione che richiede che ogni espressione booleana nel codice venga verificata come vera e falsa.
3) Copertura Western Digital (copertura delle funzioni): assicurarsi che venga richiamata ogni funzione Western Digital nel programma.
4) Copertura delle istruzioni: verifica l'esecuzione di ogni riga di codice nel programma.
5) Copertura delle decisioni: è stata verificata una combinazione di copertura occidentale e di filiali per testare varie situazioni di input e output
6) Copertura dei parametri: testare il comportamento di Western Digital che accetta l'input dei parametri
Nota: la situazione ideale è una copertura del 100%, ma a causa dei costi è impossibile completare tutti i test entro un certo periodo di tempo per garantire una copertura di test sufficiente per le funzioni chiave del sistema.
6.2.8. Test dell'interfaccia
Il test dell'interfaccia è una componente chiave del test del sistema. Si concentra principalmente sui punti in cui il sistema interagisce con elementi esterni. Questi elementi possono essere altri sistemi, utenti o processi.
I principali tipi di interfaccia includono:
•Interfaccia utente (U): questo è il modo principale in cui l'utente interagisce con il sistema e può essere un'interfaccia utente grafica (GU) o un'interfaccia a riga di comando (CLI).
•Application Programming Interface (API): è il modo in cui il sistema interagisce con altri software, come l'API REST per applicazioni web o l'API per la comunicazione tra processi (IPC) e le chiamate di procedure remote (RPC)
L'obiettivo del test dell'interfaccia è garantire che i dati vengano trasferiti e convertiti correttamente tra le entità e che tutte le condizioni di errore siano gestite in modo appropriato. Ciò include la verifica che i dati siano formattati correttamente, il controllo dell'efficacia dei meccanismi di gestione degli errori e la garanzia che vengano applicati controlli di accesso corretti durante la trasmissione. Ciò può garantire l'integrità dei dati, la stabilità e la sicurezza del sistema e prevenire la perdita o il danneggiamento dei dati dovuti a errori dell'interfaccia.
6.2.9． Simulazione di attacchi di vulnerabilità
6.2.9.1 Simulazione di attacchi di violazione (BAS)
La simulazione degli attacchi di vulnerabilità è una tecnologia emergente di test di sicurezza automatizzata il cui obiettivo principale è simulare il comportamento reale di un aggressore nel tentativo di ottenere un accesso non autorizzato al sistema. Combina gli elementi della scansione delle vulnerabilità e dei test di penetrazione automatizzati, utilizzando i più recenti metodi di attacco e le vulnerabilità appena scoperte per testare le capacità di difesa di un'organizzazione contro le nuove minacce. Con una soluzione BAS, questi test possono essere eseguiti più frequentemente per scoprire possibili vulnerabilità della sicurezza più velocemente rispetto alle tradizionali scansioni periodiche di vulnerabilità o test di penetrazione.
6.2.9.2 Categorie di attacco BAS
•Attacchi agli endpoint
BAS esegue azioni su o contro gli endpoint di rete, come la creazione di file o processi che corrispondono a firme malware note, per testare le capacità di rilevamento e risposta degli endpoint (EDR). Ciò può essere fatto tramite un dispositivo BAS o un'unità di controllo oppure tramite un agente software in esecuzione sull'endpoint.
•Attacchi alla rete
BAS invia il traffico di rete che dovrebbe essere bloccato, attivando avvisi se il traffico dannoso noto non viene bloccato da dispositivi come firewall o router
•Attacchi tramite posta elettronica
BAS genera e invia e-mail di prova per testare l'efficacia dei filtri antispam, dei controlli antifrode e-mail e dei filtri dei contenuti. Se il messaggio raggiunge con successo la posta in arrivo o viene aperto dall'utente, indica una vulnerabilità nei controlli di sicurezza della posta elettronica
•Attacchi basati sul comportamento
Le funzionalità BAS avanzate possono anche testare controlli di sicurezza basati sul comportamento, come il rilevamento di attività di scansione di rete dannose o interazioni complesse con applicazioni che normalmente dovrebbero essere bloccate da un web application firewall (WAF).
6.2.10 Controlli di conformità
La conformità non è sinonimo di sicurezza, ma è un importante punto di partenza per il programma di gestione del rischio di un'organizzazione. Un quadro di conformità copre in genere una serie di rischi specifici del settore o della regione e i controlli di sicurezza implementati sono progettati per mitigare tali rischi.
Le revisioni della conformità fanno parte del processo normativo e l’obiettivo è identificare i controlli che sono diventati insufficienti o inefficaci a causa di cambiamenti nell’ambiente di rischio o che non funzionano più correttamente. In genere, questa revisione viene condotta attraverso un audit, come ad esempio:
•PCI-DSS (Payment Card Industry Data Security Standard): si tratta di uno standard di sicurezza per le organizzazioni che elaborano, archiviano o trasmettono informazioni sulle carte di credito. PCI-DSS richiede alle organizzazioni di condurre un audit di conformità annuale.
SOC2 (Service Organization Control 2): questo è uno standard che valuta i controlli di un'organizzazione di servizi su sicurezza, disponibilità, integrità dell'elaborazione, riservatezza e privacy. SOC 2 richiede alle organizzazioni di condurre un audit di conformità annuale.
- S027001 Si tratta di uno standard internazionale sulla gestione della sicurezza delle informazioni. 1S027001 richiede alle organizzazioni di condurre un audit di conformità ogni tre anni.
6.3 Raccolta dei dati del programma di sicurezza (ad esempio tecnici e amministrativi)
6.3.1 Controlli e procedure tecniche
1 origine dati
Il controllo tecnico o logico viene ottenuto tramite sistemi elettronici, che spesso danno luogo a registrazioni native. Questi dati tecnici possono includere informazioni che fanno parte delle politiche di registrazione e monitoraggio dell'organizzazione, nonché dati generati dall'analisi di tali dati di registro. Ad esempio, i log di accesso dell'applicazione e i log dei dispositivi di rete (come router o firewall).
2. Fase di raccolta
Implementando e monitorando i seguenti controlli e processi, le organizzazioni possono raccogliere parametri e dati utili sul loro livello di sicurezza in modo da poter adottare le misure necessarie per proteggere i propri dati e sistemi:
1) Processi di prevenzione delle perdite: l'obiettivo di questi processi è prevenire le minacce alla sicurezza. Possono includere controlli tecnici come la crittografia dei dati, il controllo dell'accesso alla rete e il controllo degli endpoint.
2) Processi di rilevamento: l'obiettivo di questi processi è rilevare incidenti di sicurezza o comportamenti anomali. Possono includere controlli tecnici come il rilevamento e la risposta degli endpoint (EDR) e la gestione delle informazioni e degli eventi di sicurezza (SIEM).
3) Processi di risposta: l'obiettivo di questi processi è risolvere problemi di sicurezza. Possono includere controlli tecnici come rilevamento e risposta degli endpoint (EDR) e sistemi di prevenzione delle intrusioni (IPS).
6.3.2. Controlli amministrativi
I controlli amministrativi guidano il comportamento appropriato dei dipendenti e degli altri utenti stabilendo e applicando politiche e procedure. Questi controlli possono comportare vari codici di condotta, processi di lavoro e linee guida. Misurare l’efficacia dei controlli amministrativi spesso richiede la raccolta e l’analisi dei dati relativi all’attuazione delle politiche.
Prendiamo, ad esempio, una politica organizzativa che vieta l'uso dei social media sui dispositivi aziendali. I dati possono essere raccolti da:
• Ambito della politica: quanti utenti hanno letto e compreso la politica e hanno confermato la loro comprensione e conformità firmandola?
•Efficacia educativa: quanti utenti hanno tentato di accedere a contenuti riservati? Ciò può riflettere la misura in cui i dipendenti comprendono la politica e la sua diffusione ed efficacia educativa.
. Disponibilità tecnica: in base al traffico di rete, quanti utenti possono accedere ai contenuti riservati? Ciò potrebbe riflettere l’efficacia dei controlli tecnici nell’attuazione delle politiche.
6.3.3. Gestione del conto
La gestione degli account è una componente critica della sicurezza del sistema informativo perché influisce direttamente sull'implementazione dei controlli di accesso. I dati di gestione dell'account sono un aspetto importante quando si raccolgono dati sui processi di sicurezza.
Ecco alcuni dati chiave che potresti dover raccogliere durante il processo di gestione dell'account:
•Gestione tempestiva dell'account: ad esempio, quando il ruolo di un utente cambia o lascia l'azienda, se i suoi diritti di accesso possono essere modificati o revocati entro un periodo di tempo specificato.
• Notifiche di provisioning o deprovisioning dell'account: ad esempio, se gli utenti possono essere informati entro 24 ore quando entrano o lasciano un'organizzazione.
•Revisioni dell'account: vengono condotte adeguate revisioni dell'account secondo la pianificazione definita dall'organizzazione per garantire che tutti gli account siano ancora necessari e abbiano i livelli di autorizzazione corretti.
• Corretta esecuzione delle procedure: ad esempio, se viene eseguita la verifica corretta durante la reimpostazione o l'invio della password o se i controlli di accesso alla rete sono configurati correttamente.
6.3.4 Riesame e approvazione della direzione
Il riesame e l'approvazione della direzione sono un processo critico per la sicurezza che prevede la valutazione, la rendicontazione e l'approvazione di una serie di documenti relativi alla sicurezza. Questa documentazione non è solo fondamentale per gli audit e le riconciliazioni, ma dimostra anche l'approvazione e il coinvolgimento della direzione nel programma di sicurezza. Inoltre, questi registri possono stabilire la dovuta diligenza e la dovuta attenzione per qualsiasi problema relativo alla sabbia e ai processi di sicurezza.
Il seguente framework definisce formalmente il processo di revisione e approvazione della gestione relativo alla sicurezza:
•ISO27001
La direzione deve rivedere regolarmente la "continua idoneità, adeguatezza ed efficacia" del programma di sicurezza delle informazioni
•NIST e FedRAMP
Questi quadri definiscono i ruoli di gestione per la valutazione e l'autorizzazione, nonché il monitoraggio continuo. La direzione deve rivedere i piani e i risultati della valutazione del sistema informativo e quindi prendere una decisione formale che autorizza l'uso del sistema. La direzione utilizza inoltre dati di monitoraggio continuo per garantire l’efficacia delle azioni di rimedio al rischio.
• Certificazione e accreditamento
Ciò comporta processi simili di valutazione e autorizzazione. La certificazione è una valutazione formale di un sistema o processo rispetto a una serie di standard, mentre l'accreditamento è una decisione formale sull'idoneità di un sistema a svolgere una funzione specifica. Questo approccio aiuta le organizzazioni a sviluppare processi di governance per valutare e approvare formalmente i sistemi in base alle proprie capacità ed esigenze di sicurezza.
• SOC2
Questo quadro richiede che il management stabilisca “misure di performance” e generi e utilizzi “informazioni pertinenti e di alta qualità per supportare il funzionamento dei controlli interni”.
•Obiettivi di controllo per l'Information Technology (COBIT)
Si tratta di un quadro di gestione per la tecnologia dell'informazione e la sicurezza informatica che enfatizza la responsabilità del management nella pianificazione delle risorse, delle capacità e dei compiti di monitoraggio, nonché il compito di rivedere i piani di controllo organizzativo.
6.3.5.Indicatori chiave di prestazione e di rischio
Gli indicatori chiave di prestazione (KPI) e gli indicatori chiave di rischio (KRI) sono strumenti importanti per misurare e monitorare l'efficacia della gestione del rischio di un'organizzazione. I KPI vengono utilizzati per monitorare l’efficacia delle misure di mitigazione del rischio esistenti, mentre i KRI possono aiutare le organizzazioni a prevedere e prepararsi ai rischi che potrebbero sorgere in futuro. Diverse organizzazioni imposteranno i propri KPI e KRl in base alle proprie situazioni specifiche.
1. Indicatori chiave di prestazione (KPI)
Ecco alcuni KPI comuni e importanti:
•Tempo medio di rilevamento (MTTD): misura il tempo medio necessario per rilevare un incidente o una minaccia alla sicurezza.
•Tempo medio di ripristino (MTTR): misura il tempo medio necessario per risolvere un incidente di sicurezza.
• Punteggio di sicurezza: molti fornitori forniscono una scorecard o una valutazione di sicurezza, che può essere utilizzata come indicatore importante della maturità delle prestazioni di sicurezza di un'organizzazione.
•Ritorno sull'investimento (ROI): misura l'efficacia dei controlli nel ridurre il rischio rispetto al costo.
2. Indicatori chiave di rischio (KRI): ecco alcuni KRI preziosi:
• Numero di incidenti di sicurezza. Un aumento degli incidenti di sicurezza può indicare che l'ambiente delle minacce è cambiato, il che potrebbe richiedere strumenti di sicurezza più forti o personale aggiuntivo per affrontarlo.
-Numero di problemi rilevati: un aumento dei risultati di audit e valutazione può indicare lacune nel programma di sicurezza, che potrebbero richiedere ulteriore attenzione o risorse per essere corrette.
• Numero di tentativi di phishing scoperti o segnalati: un aumento dei tentativi di phishing spesso indica un attacco in corso poiché gli aggressori tentano di ottenere credenziali valide per accedere alle risorse di un'organizzazione. A questo proposito, le organizzazioni potrebbero dover aggiungere sistemi di monitoraggio, adottare l’autenticazione a più fattori, rafforzare la formazione degli utenti e altre misure
6.3.6 Eseguire il backup dei dati di verifica
I dati di verifica del backup possono provenire da registri scritti degli eventi di backup registrati manualmente dal personale IT, ma più comunemente provengono da registri prodotti dall'applicazione o dal sistema di backup. È necessario eseguire il backup di tutte le informazioni critiche nel caso in cui si verifichi un incidente che renda i dati inutilizzabili o danneggi il sistema. Gli eventi che portano alla perdita di dati dovrebbero essere ben documentati, insieme al processo di ripristino completo dei dati sottoposti a backup. Le strategie di backup verranno introdotte in dettaglio nel Capitolo 7.
6.3.7. Formazione e sensibilizzazione
Stabilire e mantenere un programma che fornisca consapevolezza, istruzione e formazione sulla sicurezza è fondamentale perché gli utenti rappresentano sia un'importante linea di difesa contro gli attacchi che obiettivi di alto valore per gli attacchi.
Di seguito sono riportati i parametri chiave per valutare l’efficacia di tali programmi:
• Tasso di completamento della formazione: i dipendenti che non completano la formazione potrebbero essere inclini a trascurare potenziali minacce.
•Conservazione delle informazioni e cambiamento del comportamento: una formazione di successo richiede che i dipendenti ricordino e applichino le conoscenze apprese a lungo termine.
•Aggiornamenti continui: i contenuti della formazione devono essere aggiornati man mano che le minacce e i rischi cambiano.
•Adattamento al pubblico: i materiali e i metodi di formazione devono essere personalizzati in base al livello di competenza e alle esigenze di apprendimento dei dipendenti.
6.3.8. Disaster Recovery (DR) e continuità operativa (BC)
I dati DR e BC devono includere dettagli quali obiettivi dei punti di ripristino critici, obiettivi dei tempi di ripristino e tempi di inattività massimi consentiti. La cosa più critica è valutare quanto bene l’organizzazione raggiunga questi obiettivi durante eventi reali.
Quando si valuta e si monitora l'efficacia dei piani di disaster recovery (DR) e di continuità operativa (BC), è necessario considerare le seguenti domande fondamentali:
•Adattabilità e tempestività del piano: esiste un piano completo di BCDR e di continuità operativa? Vengono aggiornati regolarmente per riflettere i cambiamenti organizzativi?
• Consapevolezza e preparazione del personale: il personale chiave comprende i propri ruoli e responsabilità nel piano?
•Accessibilità del piano: l'ultima versione del piano è facilmente disponibile e archiviata in modo sicuro?
•Completezza del piano: il piano copre le attuali funzioni critiche dell'organizzazione?
Aggiornamenti tempestivi al piano: ci sono importanti cambiamenti organizzativi che non si riflettono nel piano, come importanti cambiamenti strutturali IT o attività aziendali?
Test e miglioramenti pianificati: il piano viene testato regolarmente e gli eventuali difetti riscontrati vengono risolti?
• Gestione delle dipendenze da terze parti: se l'organizzazione fa affidamento su terze parti o servizi critici, queste dipendenze vengono testate?
•Integrazione con altri processi: gli altri processi, come la gestione del passaggio di consegne, sono integrati con il piano BCDR per garantire che le modifiche all'organizzazione siano opportunamente rivalutate?
6.4 Analizzare l'output del test e generare report
6.4.1 Contenuto tipico del rapporto di audit
I rapporti di audit solitamente includono le seguenti sezioni:
•Riepilogo esecutivo: fornisce una panoramica delle attività e dei risultati dei test.
-Presupposti e limitazioni: rivelare vincoli e presupposti nel processo di valutazione, fornendo il contesto per comprendere i risultati.
•Ambito: chiarire l'ambito coperto dalla valutazione.
•Riepilogo delle attività: fornisce una panoramica di tutte le attività di test e audit eseguite dal team di valutazione.
•Risultati e problemi: elencare tutti i risultati, i difetti o i problemi e fornire la loro posizione, gravità e prove associate
• Suggerimenti: forniscono soluzioni e suggerimenti per i problemi rilevati, generalmente includendo passaggi di soluzione e comandi di configurazione specifici che potrebbero essere richiesti.
•Appendici: la banda passante dell'appendice contiene informazioni dettagliate al di fuori del corpo principale del rapporto, rendendo il rapporto più facile da leggere e comprendere e fornendo ai tecnici le informazioni dettagliate di cui hanno bisogno.
6.4.2
1. Processo di azione correttiva:
1) Identificare i problemi: scoprire lacune o problemi nel controllo di sicurezza.
2) Creare un piano: creare un piano di riparazione per risolvere il problema.
3) Eseguire la riparazione: seguire il piano per risolvere il problema.
4) Ripetere il test: ripetere il test per confermare l'efficacia del rimedio.
2. Elementi di un piano di riparazione:
•Dettagli problema: descrivere il problema riscontrato in dettaglio.
• Misure di mitigazione: azioni o misure correttive pianificate.
•Priorità: dare priorità ai problemi in base alla loro gravità e rischio.
•Tempo di risoluzione: il tempo totale stimato necessario per risolvere il problema.
•Requisiti in termini di risorse: le risorse necessarie per eseguire azioni di riparazione.
••Pietre miliari e aspettative: imposta le date di completamento chiave e i risultati desiderati.
3. L'importanza di ripetere il test:
Il nuovo test è un passaggio fondamentale per confermare che le misure correttive sono efficaci, cosa che in genere viene verificata tramite scansioni periodiche delle vulnerabilità.
6.4.3. Gestione delle eccezioni
1. Definizione:
Si riferisce alla gestione dei problemi scoperti durante un audit o una valutazione della sicurezza che non possono essere risolti attraverso misure correttive convenzionali.
2. Scopo:
Concedere eccezioni temporaneamente per risolvere problemi che non possono essere risolti direttamente. Tali eccezioni dovrebbero essere concesse solo su base temporanea e non dovrebbero esserci richieste permanenti di eccezioni. Se necessario a lungo termine, le politiche pertinenti dovrebbero essere aggiornate per adattarsi alle nuove esigenze.
3. Informazioni registrate:
• Dettagli del rischio: includere dettagli specifici del rischio, della carenza o del problema e quando e da chi è stato scoperto.
•Motivi delle anomalie: la direzione deve spiegare perché un particolare rischio non può essere mitigato.
. Controlli compensativi: se un rischio non può essere affrontato direttamente per raggiungere il valore di rischio dell'organizzazione, prendere in considerazione la possibilità di mitigare parzialmente il rischio attraverso controlli compensativi (come un maggiore monitoraggio).
. Approvazione delle eccezioni: la direzione deve decidere chiaramente di assumersi rischi aggiuntivi e documentare il processo di revisione e approvazione per chiarire le responsabilità.
•Durata dell'eccezione: la maggior parte delle eccezioni dovrebbe essere concessa su base temporanea, con un chiaro periodo di validità per l'autorità che effettua l'eccezione.
6.4.4. Divulgazione etica
1. Migliori pratiche per la divulgazione etica
Le organizzazioni dovrebbero essere preparate a ricevere informazioni etiche sulle vulnerabilità. Ciò include lo sviluppo di una politica di divulgazione, la ricezione di informazioni sulle vulnerabilità e il non adottare un atteggiamento ostile. In qualità di ricercatore di sicurezza o hacker etico, dovresti rispettare queste politiche e agire entro i limiti della legge.
2. Tipo di vulnerabilità comunicata:
• Non divulgazione: la divulgazione di una vulnerabilità può essere vietata a causa di obblighi contrattuali o legali, ad esempio, la divulgazione della vulnerabilità potrebbe danneggiare un'indagine penale in corso.
•Divulgazione completa: quando viene scoperta una vulnerabilità, deve essere segnalata in modo completo e trasparente il più rapidamente possibile all'organizzazione responsabile della riparazione. Tuttavia, molti fornitori possono essere ostili nei confronti dei ricercatori che tentano di segnalare le vulnerabilità.
•Divulgazione responsabile: questo principio afferma che gli scopritori dovrebbero segnalare tempestivamente le vulnerabilità all'organizzazione e dare all'organizzazione il tempo di porre rimedio alla vulnerabilità prima della divulgazione pubblica.
•Segnalazione obbligatoria: in alcuni casi, la segnalazione delle vulnerabilità scoperte alle forze dell'ordine o ad altri enti può essere obbligatoria.
• Whistleblowing: nel caso in cui venga scoperta una vulnerabilità della sicurezza, se l'informatore segue i canali appropriati per rivelare la vulnerabilità scoperta, può essere legalmente protetto da procedimenti giudiziari per violazione del copyright o altre leggi pertinenti.
6.5 Condurre o promuovere controlli di sicurezza
6.5.1. Quadri comuni di audit
I professionisti della sicurezza possono utilizzare gli audit per valutare la conformità di un'organizzazione a vari standard di sicurezza. Il piano di audit deve avere il supporto della direzione, risorse adeguate, una supervisione efficace e calendari realistici. Ecco alcuni quadri di controllo comuni:
1)SSAE 18 (SOC 2): si concentra sui controlli di un'organizzazione di servizi su sicurezza, disponibilità, integrità del trattamento, riservatezza e privacy.
2) ISO/EC 15408-1:2009: fornisce un quadro generale per la valutazione delle funzioni di sicurezza dei prodotti e dei sistemi informatici.
3) 1SO/EC 18045:2008: fornisce metodi per eseguire valutazioni ISO/EC 15408.
4) 1SO/EC 27006:2015: Specifica i requisiti per l'esecuzione della certificazione del sistema di gestione della sicurezza delle informazioni (ISMS) ISO/EC 27001.
5) NIST SP 800-53A: fornisce un metodo per valutare i controlli di sicurezza per i sistemi informativi federali.
6) NIST CSF: fornisce un quadro di gestione del rischio per migliorare la sicurezza delle reti e dei sistemi informativi di un'organizzazione.
7 FedRAMP SAF: quadro di valutazione della sicurezza del programma federale di gestione dei rischi e delle autorizzazioni per prodotti e servizi cloud del governo federale.
Durante un audit, viene spesso eseguito un campionamento per ridurre il carico di lavoro garantendo al tempo stesso la comprensione delle possibili carenze. Il campione deve essere rappresentativo dell'insieme oggetto dell'audit.
6.5.2. Controllo interno
Gli audit interni sono audit eseguiti da persone all'interno di un'organizzazione. Ha le seguenti caratteristiche:
•Familiarità: gli auditor interni hanno una conoscenza approfondita dei processi, degli strumenti e delle persone dell'organizzazione, che consente loro di comprendere e valutare meglio i controlli interni e l'efficacia operativa dell'organizzazione.
•Rischio di parzialità: gli auditor interni potrebbero trascurare o interpretare erroneamente alcuni aspetti delle operazioni dell'organizzazione a causa della loro eccessiva familiarità con le operazioni dell'organizzazione. Pertanto, devono cercare di rimanere obiettivi o chiedere il parere di osservatori esterni
. Problemi di indipendenza: poiché i revisori interni fanno parte dell'organizzazione, possono essere soggetti a pressioni che influiscono sul loro giudizio indipendente e sulla loro rendicontazione imparziale.
• Preparazione per gli audit esterni: gli audit interni vengono spesso utilizzati per pre-scoprire e risolvere i problemi che possono essere scoperti durante gli audit esterni al fine di ottenere risultati migliori durante l'audit esterno formale.
6.5.3. Audit esterno
Un audit esterno è un audit eseguito da un revisore esterno all'organizzazione. Le sue caratteristiche principali includono:
. Indipendenza: gli auditor esterni non sono influenzati dalle pressioni all'interno dell'organizzazione e pertanto possono condurre l'audit in modo obiettivo e imparziale. Possono visualizzare le operazioni e i controlli di un'organizzazione senza pregiudizi e fornire un'opinione imparziale.
• Competenze specializzate: i revisori esterni di solito hanno competenze ed esperienza altamente specializzate, come i contabili pubblici certificati (CPA). Possono eseguire attività di audit complesse come gli audit SOC 2.
•Costi e tempi: gli audit esterni in genere costano più degli audit interni, in parte a causa del tempo necessario per comprendere le operazioni e i processi dell'organizzazione. Inoltre, potrebbero perdere alcuni dettagli a causa della scarsa familiarità con l'organizzazione.
•Requisiti di conformità: molti quadri e regolamenti di conformità richiedono alle organizzazioni di condurre regolari audit esterni per dimostrare l'efficacia dei propri controlli interni.
6.5.4. Verifica di parte terza
L'audit di terze parti è un processo di valutazione del rischio per i fornitori o partner esterni di un'organizzazione, che include principalmente quanto segue:
•Strumenti di gestione del rischio: l'audit di terza parte è uno strumento chiave per la gestione dei rischi nei rapporti con terze parti come fornitori, partner, ecc. Aiuta a identificare e mitigare i rischi che potrebbero avere un impatto sull'organizzazione.
• Protezione dei dati sensibili: è estremamente importante condurre controlli di sicurezza di terze parti che hanno accesso ai dati sensibili dell'organizzazione. Ciò può aiutare le organizzazioni a ridurre la responsabilità legale derivante da incidenti di sicurezza causati da terze parti.
•Audit comuni di terze parti: gli audit comuni di terze parti includono gli audit SOC2 e gli audit CSA STAR. Durante il processo di audit, è necessario prestare attenzione agli standard di audit, alla condivisione dei dati, all'individuazione dei rischi, ai metodi di risposta ai rischi di terze parti e ai relativi piani di riparazione.
•Complessità della catena di fornitura: a causa della complessità delle moderne catene di fornitura, il processo di valutazione del rischio da parte di terzi è diventato sempre più complesso. Le organizzazioni devono identificare tutti i fornitori nella propria catena di fornitura e garantire che siano adeguatamente controllati e valutati per ridurre al minimo i rischi che devono affrontare.
Rivedi le domande
1. Durante l'esecuzione di una scansione delle porte, Susan ha trovato un sistema che esegue servizi sulle porte TCP e UDP 137-189 e TCP 445 e 1433. Se fosse connessa a questa macchina, che tipo di sistema troverebbe probabilmente? R. Un server di posta elettronica Linux B. Un server SQL di Windows C. Un file server Linux D. Workstation Windows uno in uno
B
139\445
2. Quale dei seguenti è un metodo per progettare automaticamente test per nuovo software e garantire la qualità dei test? A. Verifica del codice B. Analisi del codice statico C. Test di regressione D.Test di mutazione
D
3. Durante l'esecuzione di una scansione delle porte, Naomi ha scoperto che la porta TCP 443 era aperta su un sistema. Quale strumento è migliore per scansionare i servizi che potrebbero essere in esecuzione su questa porta? A.ZZUf B. Nikto C.Metasploit D. sqlmap
B
Penetrazione WEB: FireBug, Autoproxy, nmap, sqlmap, metasploit, Wireshark Il test fuzz fornisce al software un input non valido (input generato casualmente o costruito appositamente) zzuf Scansione delle vulnerabilità del database sqlmap Scansione delle vulnerabilità web: Nikto Scansione delle porte di rete: nmap
4. Quale standard di registrazione dei messaggi viene comunemente utilizzato dalle apparecchiature di rete, dai sistemi Linux e Unix e da molti altri dispositivi aziendali? A. Syslog B. NetLog C. Registro eventi D. Protocollo di registrazione remota (RLP)
UN
5 Alex desidera utilizzare strumenti automatizzati per compilare i moduli delle applicazioni Web per verificare le vulnerabilità delle stringhe di formato. Che tipo di strumenti dovrebbe utilizzare? A. Scatola nera B. Strumenti di cracking a forza bruta C. Fuzzer D. Strumenti di analisi statica
C
P579 Fuzz testing: testa i limiti del software, aggiungi stringhe alla fine ed esegui altri metodi di manipolazione dei dati
6. Susanna deve eseguire una scansione delle vulnerabilità su un sistema e desidera utilizzare uno strumento open source per testare il sistema in remoto. Quale dei seguenti strumenti soddisfa i suoi requisiti e consente la scansione delle vulnerabilità? A. Nmap B.OpenVAS C.MBSA D Nesso
B
OpenVAS, che sta per OpenVulnerability AssessmentScanner, è uno strumento open source altamente affidabile. Le sue ricche funzionalità e l'interfaccia facile da usare consentono agli utenti di rilevare e correggere facilmente le vulnerabilità note della sicurezza. Microsoft Baseline Security Analyser (MBSA) può verificare la disponibilità di aggiornamenti del sistema operativo e di SQL Server. MBSA può anche eseguire la scansione dei computer per individuare configurazioni non sicure. Nessus è il software di scansione e analisi delle vulnerabilità dei sistemi più utilizzato al mondo. Nel 2002, Renaud, Ron Gula e Jack Huffard fondarono un'organizzazione chiamata Tenable Network Security. Quando fu rilasciata la terza versione di Nessus, l'organizzazione riprese il copyright e il codice sorgente del programma di Nessus (originariamente open source) e lo registrò come sito web dell'organizzazione. Questa istituzione si trova a Columbia, nel Maryland, negli Stati Uniti.
7. Morgan sta implementando un sistema di punteggio e valutazione delle vulnerabilità che utilizza componenti basati su standard per assegnare un punteggio e valutare le vulnerabilità scoperte. sistema di gestione. Quale dei seguenti è più comunemente utilizzato per fornire un punteggio di gravità per una vulnerabilità? A.CCE B.CVSS СРЕ D.OVALE
B
•Vulnerabilità ed esposizioni comuni (CVE): fornisce un sistema di denominazione per descrivere le vulnerabilità della sicurezza. •Common Vulnerability Scoring System (CVSS): fornisce un sistema di punteggio standardizzato che descrive la gravità delle vulnerabilità della sicurezza. •Common Configuration Enumeration (CCE): fornisce un sistema di denominazione per i problemi di configurazione del sistema. •Common Platform Enumeration (CPE): fornisce un sistema di denominazione per sistemi operativi, applicazioni e dispositivi. •Formato di descrizione della checklist di configurazione estensibile (XCCDF): fornisce un linguaggio per descrivere le checklist di sicurezza. •Open Vulnerability and Assessment Language (OVAL): fornisce un linguaggio per descrivere il processo di test di sicurezza.
Descrizione della vulnerabilità •Protocollo di automazione dei contenuti di sicurezza (SCAP): SCAP è uno standard comune per la descrizione e la valutazione delle vulnerabilità fornito dal NIST alla comunità della sicurezza, promuovendo l'automazione delle interazioni tra diversi sistemi di sicurezza. I componenti SCAP includono: •Vulnerabilità ed esposizioni comuni (CVE): fornisce un sistema di denominazione per descrivere le vulnerabilità della sicurezza. •Common Vulnerability Scoring System (CVSS): fornisce un sistema di punteggio standardizzato che descrive la gravità delle vulnerabilità della sicurezza. •Common Configuration Enumeration (CCE): fornisce un sistema di denominazione per i problemi di configurazione del sistema. •Common Platform Enumeration (CPE): fornisce un sistema di denominazione per sistemi operativi, applicazioni e dispositivi. •Formato di descrizione della checklist di configurazione estensibile (XCCDF): fornisce un linguaggio per descrivere le checklist di sicurezza. •Open Vulnerability and Assessment Language (OVAL): fornisce un linguaggio per descrivere il processo di test di sicurezza.
8.Jim è stato incaricato di condurre test di penetrazione della filiale principale di una banca. Per rendere il test il più realistico possibile, sulla banca principale non gli è stata fornita alcuna informazione oltre al nome e all'indirizzo. Che tipo di test di penetrazione Jim accetta di condurre? A. Test di penetrazione della scatola di cristallo B. Test di penetrazione della scatola grigia C. Test di penetrazione della scatola nera D. Test di penetrazione della scatola bianca
C
9. In risposta a una richiesta di proposta, Susen ha ricevuto un rapporto SSAE 18 SOC. Se vuole che il rapporto includa dettagli sull'efficacia dell'operazione, su quali basi e perché dovrebbe porre a Susan domande di follow-up? R. Un rapporto SOC 2Tipo II perché il Tipo I non copre l'efficacia operativa B. Un rapporto SOC 1 di tipo I perché SOC 2 non copre l'efficacia operativa C. Un rapporto SOC2 di Tipo I perché SOC2 di Tipo II non copre l'efficacia operativa D. Un report sOC3 perché i report SOC1 e SOC2 sono obsoleti
UN
P563 Le dichiarazioni SSAE 18 e ISAE 3402 sono comunemente denominate audit SOC (Service Organization Controls) e sono disponibili in tre forme. Dichiarazione SOC1: Valutare i controlli organizzativi che possono influenzare l'accuratezza del reporting finanziario. Dichiarazione SoC2: valutare i controlli dell'organizzazione che influiscono sulla sicurezza (riservatezza, integrità e disponibilità) e sulla privacy delle informazioni archiviate nel sistema. I risultati degli audit SOC2 sono riservati e generalmente vengono condivisi solo in base a un accordo di riservatezza. Dichiarazione SOC3: valutare i controlli dell'organizzazione che influiscono sulla sicurezza (riservatezza, integrità e disponibilità) e sulla privacy delle informazioni archiviate nel sistema. Tuttavia, i risultati dell'audit SOC3 sono destinati alla divulgazione pubblica.
•Rapporto di tipo I I rapporti di tipo I descrivono i controlli forniti dall'organizzazione sottoposta ad audit e il giudizio del revisore basato su tale descrizione. I rapporti di tipo I riguardano un determinato momento e non comportano l'effettiva verifica dei controlli da parte del revisore. •Relazione di tipo II I rapporti di tipo II coprono un periodo minimo di 6 mesi e includono anche il giudizio del revisore sull'efficacia di tali controlli sulla base dei risultati effettivi dei test. I rapporti di Tipo II sono generalmente considerati più affidabili dei rapporti di Tipo I perché i rapporti di Tipo II includono test indipendenti sui controlli. I report di tipo I consentono semplicemente al fornitore di servizi di dimostrare che i controlli sono stati implementati come descritto.
10. Durante un test di penetrazione della rete wireless, Suson utilizza un file di password per eseguire alrcrack-ng sulla rete. Quale dei seguenti fattori potrebbe aver contribuito al suo fallimento nel tentativo di decifrare il codice? R. Utilizza la crittografia WPA2 B. Esecuzione della modalità Enterprise in WPA2 C. Utilizzare la crittografia WEP Porta. Esecuzione della modalità PSK in WPA2
C
11. Nel corso di una giornata lavorativa è apparsa una vulnerabilità zero-day in un popolare server web Apache. In qualità di analista della sicurezza informatica, Jacob deve scansionare rapidamente la sua rete per determinare quali server sono interessati dal problema. Jacob Qual è il modo più rapido per identificare un sistema vulnerabile a una vulnerabilità? R Eseguire immediatamente una scansione Nessus di tutti i server per determinare quali sistemi sono vulnerabili. B. Controllare il database CVE per informazioni sulla vulnerabilità e informazioni sulla patch. C. Creare una firma IDS o IPS personalizzata. D. Determinare la versione interessata e utilizzare uno strumento di scansione automatizzata per verificare il numero di versione del sistema.
D
12. Che tipo di test viene utilizzato per garantire che i moduli software sviluppati individualmente scambino i dati correttamente? A.Fuzzing (test fuzz) B. Test dinamico C.Test dell'interfaccia Checksum D.API
C
13. Salen desidera fornire informazioni sulla valutazione della sicurezza ai clienti che desiderano utilizzare i servizi cloud dell'organizzazione locale. Quale dei seguenti Dovrebbero essere selezionate opzioni per garantire che il maggior numero possibile di clienti sia soddisfatto delle informazioni sulla valutazione? A utilizza il team quattro di audit interno per condurre autovalutazioni basate su parametri interni. B. Utilizzare un revisore esterno. C. Utilizzare personale tecnico interno che comprenda il sistema. D. Utilizzare il team di audit interno per condurre autovalutazioni rispetto agli standard comunemente utilizzati come COBIT.
B
14. A Yasmine è stato chiesto di prendere in considerazione un sistema di simulazione di intrusioni e attacchi. Che tipo di sistema dovrebbe cercare? R. Un sistema di ticketing e gestione delle modifiche progettato per aiutare a gestire gli incidenti B. Un sistema per eseguire simulazioni di risposta agli incidenti per i team blu per testare le proprie capacità C. Un sistema automatizzato che combina le tecnologie della squadra rossa e della squadra blu D. Un sistema di operazioni e risposta di sicurezza (SOAR).
C
15.Monica desidera raccogliere informazioni sulla consapevolezza della sicurezza dell'organizzazione. Tecniche più comuni per valutare la consapevolezza della sicurezza Che cos'è? A. Simulatore di pesca B. Applicazioni gamificate C. Prova di valutazione D. Questionario
D
16.Jim è stato incaricato di condurre un test di penetrazione della scatola grigia e il suo cliente gli ha fornito le seguenti informazioni sulla loro rete in modo che potesse scansionarla: Centro dati: 10.10.10.0/24 Vendite: 10.10.11.0/24 Fatturazione: 10.10.12.0/24 Rete wireless: 192.168.0.0/16 Quali problemi incontrerebbe se gli venisse affidata la scansione dall'esterno? R. L'intervallo IP è troppo ampio e non può essere scansionato in modo efficiente. B. L'indirizzo IP fornito non può essere scansionato. C. Gli intervalli IP duplicati causeranno problemi di scansione. D. L'indirizzo IP fornito è un indirizzo RFC 1918.
D
17. L'azienda di Mark è stata informata che la sua applicazione web era vulnerabile. Lo ha informato l'anonimo , hanno due settimane per risolverlo prima di rilasciare i dettagli della vulnerabilità e un esempio di codice di exploit. Collegare Quale codice di settore ha violato un individuo dell'azienda di Mark? A. Reporting zero-day B. Divulgazione etica C. Hacking etico D.(SC)2 Dichiarazione etica sulla divulgazione delle vulnerabilità
B
Per le domande 18-20, considerare il seguente scenario: L'azienda di Jennifer ha implementato un'infrastruttura di registrazione centralizzata, come mostrato nella figura seguente. utilizzo Utilizza questo diagramma e la tua conoscenza dei sistemi di registrazione per rispondere alle seguenti domande. 18.Jennifer deve garantire che tutti i sistemi Windows forniscano le stesse informazioni di registro al SIEM. Come può garantire al meglio che tutti i sistemi desktop Windows abbiano le stesse impostazioni di registrazione? A. Condurre controlli regolari della configurazione. B. Utilizzare Criteri di gruppo. C. Utilizzare le politiche locali. D. Distribuire il client syslog di Windows. 19. Durante le normali operazioni, il team di Jennifer utilizza un dispositivo SIEM per monitorare le anomalie tramite syslog. Quale sistema mostra una situazione che non supporta gli eventi syslog? A. Punto di accesso wireless aziendale B. Sistema desktop Windows Server Web C.Linux D.Attrezzature firewall aziendali 20. Per ciascun dispositivo mostrato nel diagramma, quali tecniche dovrebbe utilizzare l'organizzazione per garantire che la registrazione in sequenza temporale possa essere eseguita nell'intera infrastruttura? A. Syslog B.NTP C.Logsync D. SCATTO
B
B
P582 Windows deve installare un client di terze parti per supportare syslog e Criteri di gruppo di Windows
B
21. Durante un penetration test, Hetele deve identificare il sistema, ma non ha ancora ottenuto i permessi sufficienti per generare pacchetti grezzi sul sistema utilizzato. Quale tipo di scansione dovrebbe eseguire per verificare i servizi più aperti? A. Scansione della connessione TCP B. Scansione SYN TCP C. Scansione UDP Scansione D.ICMP
UN
22. Durante l'utilizzo di nmap per eseguire una scansione delle porte, Josezoh ha trovato un sistema che mostrava due porte aperte. bocca, che subito lo preoccupò: 21/aperto 23/aperto Quali servizi potrebbero essere in esecuzione su queste porte? A.SSH e FTP B. FTP e Telnet C. SMTP e Telnet D. POP3 e SMTP
B
23.Aaron vuole verificare la conformità della sua azienda allo standard PCI-DSS. La sua azienda è una grande organizzazione commerciale con milioni di dollari di transazioni all'anno. Qual è il modo più comune utilizzato dalle grandi organizzazioni per condurre questo tipo di test? A. Autovalutazione B. Condurre una valutazione di COBIT da parte di terzi C. Collaborare con un'altra azienda e condurre uno scambio di valutazioni tra le due organizzazioni D. Utilizzare un valutatore della sicurezza qualificato per condurre una valutazione di terze parti
D
24. Qual è un metodo comune utilizzato per valutare la copertura dei test del software per il potenziale utilizzo di un'applicazione? A. Analisi della copertura del test B. Revisione del codice sorgente C. Analisi fuzzy D. Rapporto di revisione del codice
UN
25. I test che si concentrano su funzionalità che il sistema non dovrebbe consentire sono esempi di quale tipo di test? A. Test dei casi d'uso B. Test manuale C. Test sui casi di abuso D.Test dinamici
C
26. Che tipo di monitoraggio utilizza il traffico simulato verso un sito Web per monitorare le prestazioni? A. Analisi del registro B. Monitoraggio completo delle prestazioni C. Monitoraggio passivo D. Analisi delle transazioni simulate
B
27.Perek vuole garantire che la sua organizzazione tenga traccia di tutte le modifiche apportate a tutti gli account durante il loro ciclo di vita. In che tipo di strumenti dovrebbe investire la sua organizzazione? R. Servizio di directory come LDAP Sistema B.IAM C. Sistema SIEM Sistema D.EDR
B
Lightweight Directory Access Protocol (inglese: Lightweight Directory Access Protocol, abbreviazione: LDAP) è un protocollo applicativo aperto, neutrale e standard del settore che fornisce il controllo degli accessi e mantiene le informazioni sulla directory delle informazioni distribuite tramite il protocollo IP. Piattaforma di gestione dell'autenticazione dell'identità unificata (IAM) La gestione delle informazioni e degli eventi di sicurezza (SIEM) è una soluzione di sicurezza che aiuta le organizzazioni a identificare e risolvere potenziali minacce e vulnerabilità alla sicurezza prima che abbiano la possibilità di interrompere le operazioni aziendali. I sistemi SIEM aiutano i team di sicurezza aziendali a rilevare anomalie nel comportamento degli utenti e a utilizzare l'intelligenza artificiale (AI) per automatizzare molti processi manuali relativi al rilevamento delle minacce e alla risposta agli incidenti. La piattaforma SIEM originale è uno strumento di gestione dei registri che combina la gestione delle informazioni di sicurezza (SIM) e la gestione degli eventi di sicurezza (SEM) per consentire il monitoraggio e l'analisi in tempo reale degli eventi relativi alla sicurezza, nonché il monitoraggio e la registrazione dei dati di sicurezza per conformità o audit scopi. (Gartner ha coniato il termine SIEM nel 2005 per riferirsi alla combinazione delle tecnologie SIM e SEM.) Il software SIEM si è evoluto nel corso degli anni per incorporare l'analisi del comportamento degli utenti e delle entità (UEBA) e altre analisi avanzate di sicurezza, intelligenza artificiale e funzionalità di apprendimento automatico. , utilizzato per identificare comportamenti anomali e indicatori avanzati di minaccia. Oggi, SIEM è un punto fermo nei moderni centri operativi di sicurezza (SOC) per i casi d'uso di monitoraggio della sicurezza e gestione della conformità. Il rilevamento e la risposta degli endpoint (EDR) è una forma di tecnologia che fornisce monitoraggio e risposta continui alle minacce avanzate alla sicurezza informatica contro reti e sistemi aziendali. L'EDR è un sottoinsieme della sicurezza degli endpoint che adotta un approccio olistico alla protezione delle reti e dei dati aziendali quando i dipendenti accedono alla rete in remoto tramite laptop, smartphone e altri dispositivi mobili. Poiché queste risorse si trovano alla fine della catena che collega gli utenti allo stack tecnologico dell'azienda, vengono chiamate endpoint.
28.Jm utilizza uno strumento per scansionare il sistema alla ricerca di servizi disponibili e quindi si connette a tali servizi per raccogliere informazioni sul banner per determinare la versione del servizio. Fornisce quindi un report che dettaglia ciò che è stato raccolto, in base alle impronte digitali del servizio, alle informazioni del banner e a dettagli simili, combinati con le informazioni CVE per i risultati. Che tipo di strumento usa Jim? A. Scanner del porto B. Validatore del servizio C. Scanner delle vulnerabilità D. Strumenti di gestione delle patch
C
29. Emily scrive uno script per inviare dati a un'applicazione web che sta testando. Ogni volta che lo script viene eseguito, invia una serie di transazioni di dati che corrispondono ai requisiti previsti dell'applicazione web per verificarli Risposte al comportamento tipico del cliente. Che tipo di transazione sta utilizzando e che tipo di test è questo? A. Sorveglianza passiva e completa B. Test completi di casi d'uso C. Monitoraggio reale e dinamico D. Test reali e fuzz
B
30. Quale tecnologia di monitoraggio passivo registra tutte le interazioni dell'utente con un'applicazione o un sito Web per garantire la qualità e prestazioni? A. Test client/server B. Monitoraggio dell'utente reale C. Monitoraggio completo degli utenti D. Registrazione utente passiva
B
31All'inizio di quest'anno, il team di sicurezza informatica del datore di lavoro di Jim ha scoperto una vulnerabilità nel server web della cui manutenzione era responsabile. Ha applicato immediatamente la patch ed era sicuro che fosse stata installata correttamente, ma le scansioni delle vulnerabilità contrassegnavano ancora erroneamente il sistema come vulnerabile. Per risolvere questo problema in modo che non venga più etichettato erroneamente? A. Disinstallare e reinstallare la patch. B. Richiedere al team di sicurezza delle informazioni di contrassegnare il sistema come riparato e che non presenta più quella specifica vulnerabilità. C. Aggiornare le informazioni sulla versione nella configurazione del server web. D. Esaminare il rapporto sulla vulnerabilità e utilizzare altre opzioni di riparazione.
B
32 Anools desidera utilizzare strumenti automatizzati per testare l'elaborazione dei dati esterni da parte dei browser web. Dovrebbe sistemarsi Quale strumento scegliere? A. Nmap B.zzuf C. Nesso D. Nikto
B
Scanner delle vulnerabilità della rete: •Nessus, uno scanner di vulnerabilità ampiamente utilizzato. •QualysGuard, Qualys Corporation. •NeXpose, una società Rapid7. •OpenVAS, uno scanner open source.
Gli strumenti di scansione delle vulnerabilità delle applicazioni Web comunemente utilizzati includono: •Nesso •Scanner commerciale Acunetix •Scanner open source Nikto e Wapiti •Scanner open source Wapiti •Strumento proxy BurpSuite
Scanner per l'individuazione della rete: Nmap Scansione di Natale
Scansione delle vulnerabilità del database: sqlmap
Strumenti di penetrazione: Metaploit
Ricordare
33. STRIDE sta per Impersonation, Tampering, Denial, Information Disclosure, Denial of Service, Elevation of Privilege In quale parte della modellazione delle minacce delle applicazioni è utile? A. Valutazione della vulnerabilità B. Test dei casi di uso improprio C. Classificazione delle minacce D. Pianificazione dei penetration test
C
1. Lo spoofing è un travestimento. Ad esempio, se utilizzo l'ID di qualcun altro per parlare, si tratta di spoofing dell'identità. Ho pensato di cambiare l'IP, che è spoofing IP. 2. Manomettere significa manomettere. Ad esempio, il modo in cui utilizzo l'ID di qualcun altro per parlare è manomettere pacchetti legittimi e il loro server non dispone di misure di controllo corrispondenti. 3. Ripudio significa rifiutarsi di ammetterlo. Ad esempio, se ho compiuto questi attacchi e loro non sapevano che l'ho fatto, e non ci sono prove che l'abbia fatto, non sono obbligato ad ammetterlo. 4. La divulgazione di informazioni è la fuga di informazioni. Ad esempio, la serie di immagini digitali non ha alcuna protezione e le informazioni sulle immagini possono essere facilmente ottenute da altri. 5. La negazione dei servizi è una negazione del servizio. Ad esempio, il mio post automatico lo rende non disponibile agli utenti normali. 6. L'elevazione dei privilegi è l'elevazione dei privilegi. Ad esempio, quando provo a fare cose con i privilegi di amministratore, rientra in questa categoria.
34. Perché dovrebbe essere eseguita la scansione passiva oltre all'implementazione della tecnologia di sicurezza wireless come i sistemi di rilevamento delle intrusioni wireless? R. Può aiutare a identificare i dispositivi non autorizzati. B. Può testare la sicurezza delle reti wireless tramite attacchi di script. C. Rimangono su ciascun canale wireless per un breve periodo e possono acquisire più pacchetti di dati. D. Possono aiutare a testare i sistemi IDS o IPS wireless.
UN
35.Paul sta rivedendo il processo di approvazione per un test di penetrazione e vuole garantire che sia sottoposto a un'adeguata revisione da parte della direzione. Chi dovrebbe assicurarsi di aver approvato la richiesta di condurre un penetration test di un sistema commerciale? A. Comitato consultivo per il cambiamento B. Alta dirigenza C. L'amministratore di sistema del sistema D. Titolare del servizio
B
36. Quale termine descrive i test del software progettati per rivelare nuovi bug introdotti da patch o modifiche alla configurazione? A. Test di non regressione B. Test di evoluzione C. Prova del fumo D Test di regressione
D
37.Quale dei seguenti strumenti non identifica il sistema operativo target per un penetration tester? A. Nmap B. Nesso C. Nikto D. sqlmap
D
38 Susan deve prevedere le aree ad alto rischio per la sua organizzazione e desidera utilizzare parametri per valutare le tendenze del rischio. Cosa dovrebbe fare per affrontare questo problema? A Condurre annualmente valutazioni del rischio. B. Assumere una società di test di penetrazione per testare regolarmente la sicurezza dell'organizzazione. C. Identificare e monitorare gli indicatori chiave di rischio. D. Utilizzare un dispositivo SIEM per monitorare registri ed eventi.
C
39. Quali sono le principali differenze tra il monitoraggio completo e quello passivo? R. Il monitoraggio completo funziona solo dopo che si è verificato un problema. B Il monitoraggio passivo non è in grado di rilevare problemi funzionali. C. Il monitoraggio passivo funziona solo dopo che si verifica un problema. D. Il monitoraggio completo non è in grado di rilevare problemi funzionali.
C
Per le domande 40-42, considera il seguente scenario. Chris ha utilizzato il metodo di test di penetrazione standard mostrato qui. Utilizza questo metodo e le tue conoscenze sui test di penetrazione per rispondere alle domande sull'utilizzo dello strumento durante i test di penetrazione. 40. Quali sono i compiti più importanti nella pianificazione della Fase 1? A. Costruisci un laboratorio di prova B. Ottenere l'autorizzazione C. Raccogliere gli strumenti appropriati D. Determinare se il test è scatola bianca, scatola nera o scatola grigia 41. Quale dei seguenti strumenti è più probabile che venga utilizzato durante la fase di scoperta? A. Nesso B.john C.Nmap D. Nikto 42. Quale delle seguenti questioni è più importante affrontare durante la fase di pianificazione per garantire che non sorgano problemi durante la fase di reporting? A. Quale formato CVE utilizzare B. Come archiviare e inviare dati sulle vulnerabilità C. Quali obiettivi sono vietati D. Quanto tempo dovrebbe durare il rapporto?
B
C
B
•La fase di pianificazione comprende l'accordo sull'ambito e sulle regole del test. La fase di pianificazione è una fase estremamente importante per garantire che il team di test e la direzione concordino sulla natura del test e che sia chiaro che il test è autorizzato. •La fase di raccolta e scoperta delle informazioni combina strumenti manuali e automatizzati per raccogliere informazioni sull'ambiente di destinazione. Questa fase include l'esecuzione Ricognizione di base per determinare la funzionalità del sistema (come l'accesso ai siti Web ospitati sul sistema) ed eseguire scansioni di individuazione della rete per identificare le porte aperte del sistema. •La fase di scansione delle vulnerabilità rileva le vulnerabilità del sistema, combinando la scansione delle vulnerabilità della rete, la scansione delle vulnerabilità del Web e la scansione delle vulnerabilità del database. •La fase di exploit tenta di utilizzare strumenti di sfruttamento delle vulnerabilità manuali e automatizzati per tentare di violare le difese di sicurezza del sistema. •La fase di reporting riassume i risultati del penetration test e formula raccomandazioni per migliorare la sicurezza del sistema.
43. Quali quattro tipi di criteri di copertura vengono comunemente utilizzati quando si verifica il lavoro di una suite di test del codice? A. Copertura di input, dichiarazioni, rami e condizioni B. Numeri occidentali, dichiarazioni, rami e copertura delle condizioni C. Copertura AP, ramo, confine e condizione D. Confini, diramazioni, anelli e copertura delle condizioni
B
44. Nell'ambito del suo ruolo di responsabile della sicurezza, Jacob fornisce la seguente tabella al team di gestione dell'organizzazione. Che tipo di misurazione fornisce loro? A. Misurazione della copertura B. Indicatori chiave di prestazione C. Indicatore del tempo di sopravvivenza D. Indicatori di importanza aziendale
B
45. Quando si esaminano i log, cosa offre l'utilizzo di un ID utente univoco per tutti gli utenti? A. Riservatezza B. Integrità C.Disponibilità D. Responsabilità contabile
D
46. Durante il test del software, quale delle seguenti non è un'interfaccia comunemente testata? A.API B.Interfaccia di rete C. Interfaccia utente D.Interfaccia fisica
B
P580 Tre tipi: Interfaccia di programmazione dell'applicazione API interfaccia utente interfaccia fisica
47. L'organizzazione di Alan utilizza il Security Content Automation Protocol (SCAP) per standardizzare le proprie procedure di gestione delle vulnerabilità. Quale componente di SCAP può utilizzare Alan per riconciliare le identità delle vulnerabilità generate da diversi strumenti di valutazione della sicurezza? A.OVALE B.XCCDF C. CVE D.SCE
C
Descrizione della vulnerabilità •Protocollo di automazione dei contenuti di sicurezza (SCAP): SCAP è uno standard comune per la descrizione e la valutazione delle vulnerabilità fornito dal NIST alla comunità della sicurezza, promuovendo l'automazione delle interazioni tra diversi sistemi di sicurezza. I componenti SCAP includono: •Vulnerabilità ed esposizioni comuni (CVE): fornisce un sistema di denominazione per descrivere le vulnerabilità della sicurezza. •Common Vulnerability Scoring System (CVSS): fornisce un sistema di punteggio standardizzato che descrive la gravità delle vulnerabilità della sicurezza. •Common Configuration Enumeration (CCE): fornisce un sistema di denominazione per i problemi di configurazione del sistema. •Common Platform Enumeration (CPE): fornisce un sistema di denominazione per sistemi operativi, applicazioni e dispositivi. •Formato di descrizione della checklist di configurazione estensibile (XCCDF): fornisce un linguaggio per descrivere le checklist di sicurezza. •Open Vulnerability and Assessment Language (OVAL): fornisce un linguaggio per descrivere il processo di test di sicurezza.
48. Susanna sta esaminando i dati sulla copertura dei test del software e vede le informazioni mostrate nel grafico seguente. Cosa può determinare riguardo a questo processo di test? (Seleziona tutte le risposte pertinenti.) R. I test non sono completamente coperti. B. Il test 4 non ha fallito. C Il test 2 non è stato eseguito correttamente. D. È richiesta una quinta esecuzione del test.
AVANTI CRISTO.
49. Quale delle seguenti strategie non è un approccio ragionevole per correggere le vulnerabilità scoperte dagli scanner delle vulnerabilità? A. Installare la patch. B. Utilizzare soluzioni temporanee. C. Aggiorna banner o numero di versione. D. Utilizzare il livello di applicazione
C
50. Durante il penetration test, Selah chiamò l'help desk della società presa di mira e affermò di essere l'assistente di un socio senior della società. Ha chiesto all'help desk di reimpostare la password del collaboratore senior perché stavano riscontrando problemi con il portatile durante il viaggio ed è stata convinta con successo a farlo. Che tipo di attacco ha completato con successo? A. Attacco a conoscenza zero B. Aiutare e ingannare C. Attacchi di ingegneria sociale D. Test della scatola nera
C
51. In questa immagine, quali problemi potrebbero sorgere a causa della configurazione dell'elaborazione dei log? R. I registri potrebbero andare persi durante l'archiviazione. B. I dati di registro potrebbero essere sovrascritti. C. I dati di registro potrebbero non contenere le informazioni richieste. D. I dati di registro potrebbero riempire il disco di sistema.
D
52. Quale dei seguenti non è un rischio associato ai penetration test? R. L'applicazione si blocca B. Negazione del servizio C. Interruzione di corrente D.Corruzione dei dati
C
53. Quale pubblicazione speciale del NIST copre la valutazione dei controlli di sicurezza e privacy? A.800-12 B.800-53A C.800-34 D.800-86
B
54 Michelle sta conducendo una valutazione quantitativa dell'impatto aziendale e desidera raccogliere dati per determinare il costo dei tempi di inattività. Quali informazioni deve raccogliere dalle interruzioni dell'anno precedente per calcolare il costo di tali interruzioni per l'azienda? (Seleziona tutte le risposte pertinenti.) A. Tempi di inattività aziendali totali B. Numero di ore del personale necessarie per recuperare dal guasto C. Perdita di affari all'ora durante le interruzioni (in dollari USA) D. Salario medio orario dei dipendenti
ABCD
55. Se la preoccupazione principale di Kara è prevenire attacchi di intercettazione, quale porta dovrebbe bloccare? A.22 B.80 C.443 D.1433
B
56. Se la preoccupazione principale di Kara è impedire le connessioni amministrative al server, quale porta dovrebbe bloccare? A.22 B.80 C.443 D.1433
UN
57. Nel corso di un audit di terze parti, la società di Jim ha ricevuto una scoperta. afferma: "Gli amministratori dovrebbero esaminare quotidianamente i registri dei backup riusciti e falliti e intraprendere azioni tempestive per risolvere le anomalie segnalate. Di quale potenziale problema è indicativo questo risultato?" R. L'amministratore non ha modo di sapere se il backup è riuscito o meno. B. Il backup potrebbe non essere stato registrato correttamente. Il backup C potrebbe non essere disponibile. D. I registri di backup potrebbero non essere stati esaminati correttamente.
C
58.Jim sta aiutando la sua organizzazione a decidere quali standard di audit utilizzare nella sua organizzazione internazionale. Quale dei seguenti non lo è Quali standard IT potrebbe utilizzare l'organizzazione di Jim nella revisione? A. COBIT B.SSAE-18 C.ITIL D.ISO 27001
C
59 Nicole desidera condurre un audit basato su standard della sua organizzazione. Quale dei seguenti è comunemente utilizzato per descrivere i requisiti comuni per i sistemi informativi? A.IEC B. COBIT C.FISA D.DMCA
B
60.Il team di Kelly conduce test di regressione con ogni patch rilasciata. Quale indicatore chiave di prestazione dovrebbero mantenere per misurare l'efficacia dei loro test? A. Tempo di correzione della vulnerabilità B. Indicatore del tasso di ricorrenza dei difetti C. Andamento del rischio ponderato D. Misurazione della copertura specifica dei test
B
61. Quale dei seguenti tipi di revisioni del codice non viene generalmente eseguito da esseri umani? A. Controllo del software B. Programmazione in coppia C. analisi statica del programma D.Procedura dettagliata sul software
C
Per le domande 62-64, considerare il seguente scenario: Susan è il leader del team di controllo qualità della sua azienda. Il team è stato incaricato di condurre test per una versione importante del prodotto software principale dell'azienda. 62.Il team di testing del software di Susan deve testare ogni percorso di codice, compresi i percorsi utilizzati solo quando si verificano condizioni di errore. Di che tipo di ambiente di test ha bisogno il suo team per garantire la copertura completa del codice? A. Test della scatola bianca B. Test della scatola grigia C. Test della scatola nera D. Test dinamico 63. Nell'ambito dei test in corso sulla loro nuova applicazione, il team di controllo qualità di Susan ha progettato una serie di casi di test per una serie di test black-box. Vengono quindi eseguiti questi test funzionali e viene preparato un rapporto che spiega cosa è successo. Che tipo di report vengono generalmente generati durante questo processo di test per indicare le metriche di test? A. Rapporto sulla copertura del test B. Rapporto sul test di penetrazione C. Rapporto sulla copertura del codice D. rapporto sulla copertura delle righe 64. Nell'ambito dei test sulla copertura del codice, il team di Susan utilizza strumenti di registrazione e tracciabilità per l'analisi in un ambiente non di produzione. Quali dei seguenti tipi di problemi di codifica potrebbero essere trascurati a causa dei cambiamenti nell'ambiente operativo? A. Controllo dei limiti errato B. Convalida dell'input Condizione di gara C Operazioni con il puntatore D
UN
UN
C
65.Robin ha recentemente condotto una scansione delle vulnerabilità e ha scoperto una vulnerabilità critica su un server che gestisce informazioni sensibili. Cosa dovrebbe fare Bobin dopo? Una patch B. Rapporto C.Correzione D.Verifica
D
P574 Rileva --- Verifica --- Ripara
66. I test e le integrazioni automatizzate del codice che Andrea esegue nel processo CI/CD della sua organizzazione falliscono. Cosa dovrebbe fare Andrea se l'azienda avesse bisogno di rilasciare immediatamente il codice? A. Bypassare manualmente il test. B. Controllare il registro degli errori per determinare il problema. C. Eseguire nuovamente il test per vedere se funziona correttamente. D. Inviare il codice allo sviluppatore per la correzione.
B
67. Michelle vuole confrontare le vulnerabilità che trova nel suo data center in base a parametri quali sfruttabilità delle vulnerabilità, presenza di codice exploit e difficoltà di risoluzione. Quale sistema di punteggio dovrebbe utilizzare per confrontare questi indicatori di vulnerabilità? A.CSV B.NVD C.VSS D.CVSS
D
I componenti SCAP includono: •Vulnerabilità ed esposizioni comuni (CVE): fornisce un sistema di denominazione per descrivere le vulnerabilità della sicurezza. •Common Vulnerability Scoring System (CVSS): fornisce un sistema di punteggio standardizzato che descrive la gravità delle vulnerabilità della sicurezza. •Common Configuration Enumeration (CCE): fornisce un sistema di denominazione per i problemi di configurazione del sistema. •Common Platform Enumeration (CPE): fornisce un sistema di denominazione per sistemi operativi, applicazioni e dispositivi. •Formato di descrizione della checklist di configurazione estensibile (XCCDF): fornisce un linguaggio per descrivere le checklist di sicurezza. •Open Vulnerability and Assessment Language (OVAL): fornisce un linguaggio per descrivere il processo di test di sicurezza.
68. Durante l'esecuzione di una scansione delle porte sulla sua rete, Alex ha scoperto che le porte TCP 80, 443, 515 e 9100 rispondevano su più host in vari uffici dell'azienda. Che tipo di dispositivo potrebbe aver scoperto Alex? R. Server Web B. File server C. Punto di accesso senza fili D.Stampante
D
69 Che tipi di strumenti sono Nito, Burp Sure e Woot? A.Strumenti di scansione delle vulnerabilità delle applicazioni Web B. Strumenti di revisione del codice C. Strumenti di scansione delle vulnerabilità Strumento di scansione D.Port
UN
70 Il team di Frank sta testando le nuove API che gli sviluppatori dell'azienda stanno creando per la loro infrastruttura applicativa. Quale dei seguenti non è un problema API comune che il team di Frank potrebbe riscontrare? R. Crittografia errata B. Problemi di autorizzazione a livello di oggetto C. Problemi di autenticazione dell'utente D. Mancanza di limiti di velocità
UN
La crittografia non è a livello di applicazione
71Jim sta lavorando con un appaltatore di test di penetrazione che ne consiglia l'utilizzo Metaploit. Cosa dovrebbe aspettarsi che accada Jim quando utilizza Metasploit? R. Scansionerà il sistema alla ricerca di vulnerabilità. B. Sfruttare le vulnerabilità note nel sistema. C. Rileva overflow del buffer e altri difetti sconosciuti nel servizio. D. Condurre test di vulnerabilità zero-day sul sistema.
B
72 Susanna deve garantire che le interazioni tra i vari componenti della sua applicazione di e-commerce siano gestite correttamente. Intende convalidare le funzionalità di comunicazione, gestione degli errori e gestione delle sessioni in tutta l'infrastruttura. Che tipo di test intende eseguire? A. Test dei casi di abuso B. Test fuzz C. Test di regressione D.Test dell'interfaccia
D
73. Jim sta progettando il sistema di gestione dei log dell'organizzazione e sa di dover pianificare attentamente la gestione dei dati di log dell'organizzazione. Quale dei seguenti non è un fattore di cui Jim dovrebbe preoccuparsi? A. Quantità di dati di registro B. Mancanza di fonti di registro sufficienti C. Requisiti di sicurezza per l'archiviazione dei dati D.Larghezza di banda della rete
B
74. L'organizzazione di Ryan vuole garantire un'adeguata gestione degli account ma non dispone di uno strumento centralizzato di gestione delle identità e degli accessi. Rvan Qual è l'opzione migliore quando si effettua la verifica dei processi di gestione dell'account durante un audit interno? AVerificare tutte le modifiche all'account negli ultimi 90 giorni. B. Selezionare per verificare gli account amministratore di alto valore. C. Verificare tutte le modifiche all'account negli ultimi 180 giorni. D. Condurre verifiche dei conti a campione casuale.
D
75. Che tipo di registro viene generato al riavvio di un sistema Windows? R. Errore B. Avvertimento C. Informazioni D. revisione fallita
C
76. Durante l'indagine, Alex ha notato che Michelle accedeva alla sua postazione di lavoro ogni mattina alle 8 del mattino, ma quel giorno era collegata al server principale delle applicazioni web del dipartimento poco dopo le 3 del mattino. Quale problema di registrazione comune potrebbe riscontrare Alex? A. Formato registro incoerente B. Registro modificato C. Timestamp incoerenti D. Origini di registro multiple
C
77. Quale tipo di scansione di vulnerabilità accede alle informazioni di configurazione ottenute dal sistema su cui viene eseguita la scansione, nonché alle informazioni ottenute tramite i servizi disponibili sulla rete? A. Scansione certificata B. Scansione dell'applicazione Web C. Scansione non autenticata Scansione D.Port
UN
Quali tipi di scansione delle vulnerabilità possono fornire l'accesso alle informazioni di configurazione dei sistemi in esecuzione e dei servizi forniti sulla rete? Scansione autenticata (risposta corretta) Scansione di applicazioni Web Scansione non certificata scansione delle porte Le scansioni autenticate utilizzano l'accesso tramite account di sola lettura ai file di configurazione, consentendo test più accurati delle vulnerabilità. Le scansioni delle applicazioni Web, le scansioni non autenticate e le scansioni delle porte non hanno accesso ai file di configurazione a meno che i file di configurazione non vengano inavvertitamente esposti.
Per le domande 78-80, considera il seguente scenario: L'organizzazione di Ben ha iniziato a utilizzare STRIDE per valutare il proprio software e identificare gli agenti di minaccia e l'impatto che tali minacce potrebbero avere sull'azienda. Stanno ora lavorando per identificare controlli adeguati per affrontare le questioni identificate. 78.Il team di sviluppo di Ben deve risolvere un problema di autorizzazione che potrebbe portare a una minaccia di aumento dei privilegi. Quale dei seguenti controlli sarebbe più appropriato per questo tipo di problema? A. Abilitare il controllo e la registrazione. B. Utilizzare il controllo degli accessi basato sui ruoli per operazioni specifiche. C. Abilita il tipo di dati e il controllo del formato. D. Eseguire il test della whitelist in base all'input dell'utente. 79.Il team di Ben sta cercando di classificare i problemi di identificazione delle transazioni causati da chiavi simmetriche condivise da più server. In quale delle seguenti categorie STRIDE dovrebbe rientrare? A. Perdita di informazioni B. Negazione del servizio C. Manomissione D. Nega 80. Accesso con il traffico più elevato durante un attacco di negazione del servizio Ben Xizhao ha utilizzato un servizio di terze parti per valutare la negazione del servizio. Vulnerabilità assoluta di attacco al servizio. Che tipo di impegno dovrebbe raccomandare all’organizzazione? A. Partecipazione all'ingegneria sociale B. Test di penetrazione C.Carico o stress test D. Testare utilizzando il test fuzz
B
D
C
81 Chris sta risolvendo i problemi di reporting SIEM (Security Information and Event Management) dell'organizzazione. Dopo aver analizzato il problema, riteneva che l'ora delle voci di registro nei diversi sistemi non fosse coerente. Quale protocollo può utilizzare per risolvere questo problema? A.SSH B.FTP C.TLS D.NTP
D
82.Ryan sta valutando la possibilità di utilizzare il fuzz testing nel suo progetto di test delle applicazioni web. Prendere una decisione Quale delle seguenti affermazioni sui test fuzz dovrebbe prendere in considerazione Ryan? R. I test fuzz possono individuare solo guasti complessi. B. I tester devono generare input manualmente. C. Il test fuzz potrebbe non coprire completamente il codice. D. Il test fuzz non è in grado di riprodurre l'errore.
C I test fuzz di solito non possono coprire completamente tutto il codice del programma e generalmente si limitano a rilevare semplici vulnerabilità che non implicano una logica aziendale complessa.
83.Ken sta progettando un processo di test per il software che il suo team sta sviluppando. Ha progettato un test per verificare che ogni riga di codice sia stata eseguita durante il test. Che tipo di analisi sta conducendo Ken? A. Copertura delle filiali B. Copertura delle condizioni C. Copertura delle funzioni D. Copertura della dichiarazione
D
Per le domande 84-86, considerare il seguente scenario. Durante l'esecuzione di una scansione delle porte, Ben ha utilizzato le impostazioni predefinite di nmap e ha visto i seguenti risultati. 84. Se Ben sta conducendo un test di penetrazione, quale dovrebbe essere il suo prossimo passo dopo aver ricevuto questi risultati? A. Utilizzare un browser web per connettersi al server web. B. Utilizzare una connessione Telnet per testare l'account vulnerabile. C. Identificare le porte interessanti per ulteriori scansioni. D. Utilizzare sqlmap sul database aperto. 85. In base ai risultati della scansione, qual è il sistema operativo (SO) più probabile utilizzato dal sistema scansionato? A. Versione desktop di Windows B.Linux C. Apparecchiature di rete D. Windows Server 86. Il manager di Ben è preoccupato per la portata della sua scansione. Di cosa potrebbe preoccuparsi il suo manager? R. Ben non ha testato il servizio UDP. B.Ben non ha trovato porti diversi da quelli "porti noti". C. Ben non ha eseguito il rilevamento delle impronte digitali del sistema operativo. D.Ben ha testato solo un numero limitato di porte.
C
B
D
87.Lucca sta esaminando i dati relativi al processo di ripristino di emergenza della sua organizzazione e nota che il sito Web principale dell'azienda L'MTD è di due ore. Durante il test e la convalida, cosa ha imparato sull'RTO del sito? R. Ci vogliono meno di due ore. B. Ci vogliono almeno due ore. C. Il tempo MTD è breve e richiede più tempo. D. Il tempo RTO è troppo breve e richiederà più tempo.
UN
MTD è il tempo di inattività massimo tollerato. Se è necessario eseguire la verifica MTD, i risultati della verifica le diranno solo il tempo massimo in cui il sistema può rimanere offline.
88.Diana ha assunto un revisore terzo e desidera rilasciare a tale terzo un certificato di audit senza contenere i dettagli dell'audit. Quale tipo di rapporto SOC SSAE 18 dovrebbe richiedere? A.SOC1 B.SOC2 C.SOC3 D.SOC4
C
89. Durante l'esame dell'output del test del software per la nuova applicazione dell'organizzazione, Madhuri ha notato che l'applicazione produceva errori contenenti informazioni su directory e file che venivano visualizzate ai tester dell'applicazione Web. Quale domanda dovrebbe essere inclusa nel suo rapporto? R. Non esegue la corretta gestione delle eccezioni. B. Il software non gestisce correttamente i test dei casi di uso improprio. C. Le istruzioni di debug devono essere cancellate. D. Il codice non è stato testato completamente a causa di errori.
UN
90. Qual è il primo passo da compiere prima di condurre un penetration test? A. Raccolta dati B. Scansione delle porte C. Ottenere il permesso Piano D
C
Il CEO di 91.JOHn è preoccupato per il grave aumento del crypto-malware nel settore. Ha chiesto la garanzia che i dati dell'azienda possano essere recuperati se il malware colpisse e crittografasse i suoi sistemi di produzione. Quale processo è necessario per dirle che l’azienda è preparata? A. Crittografare tutti i dati sensibili. B. Hashing tutti i dati di un'organizzazione per rilevare malware crittografico. C. Eseguire la verifica del backup. D. Utilizzare la tecnologia anticrittografia per impedire al malware di crittografare l'unità.
C
92 Joanna è il CISO dell'organizzazione con un ruolo di supervisione delle operazioni di sicurezza. Vuole garantire che la supervisione da parte del management delle modifiche relative alla sicurezza sia continua. Nella maggior parte delle organizzazioni, su quale sistema dovrebbe concentrarsi il monitoraggio di questo tipo di dati? A. Sistema SIEM Sistema B.IPS Strumenti C.CMS Banco di lavoro D.ITSM
D
93. Henry vuole verificare che il suo backup sia valido. Quale delle seguenti opzioni è il modo migliore per garantire che i backup siano utili in uno scenario di ripristino di emergenza reale? R. Ripristina periodicamente un file casuale per garantire che il backup funzioni correttamente. B. Controllare periodicamente la configurazione e le impostazioni per verificare le impostazioni di backup. C. Controllare il registro di backup per assicurarsi che non si siano verificati errori. D. Eseguire periodicamente ripristini completi dai backup per verificare il successo.
D
94.Quali tipi di scanner di vulnerabilità non riescono a trovare? A. Vulnerabilità locali B. Vulnerabilità del servizio C. Vulnerabilità zero-day D. Vulnerabilità che richiedono l'autenticazione
C
95.Jacinda vorrebbe misurare l'efficacia della sua formazione sulla sicurezza come uno dei suoi indicatori di sicurezza. Quali delle seguenti misure sono più utili per valutare l'efficacia della formazione sulla sensibilizzazione alla sicurezza? (Seleziona tutte le risposte pertinenti.) UN. Numero di persone che partecipano alla formazione B. Livello di consapevolezza della sicurezza prima e dopo l'allenamento C. Durata della formazione (in ore) 口.Numero di eventi formativi a cui ciascuna persona ha partecipato quest'anno
AB
96, Elaine ha scoperto una vulnerabilità critica precedentemente sconosciuta in un prodotto utilizzato dalla sua organizzazione. La sua organizzazione prende molto sul serio la divulgazione etica ed Elaine segue pratiche comuni di divulgazione etica. cosa dovrebbe fare prima? A. Creare misure o controlli di riparazione interni, quindi divulgare pubblicamente la vulnerabilità per indurre i fornitori ad applicare rapidamente le patch alla vulnerabilità B. Creare misure o controlli correttivi interni e quindi informare il fornitore del problema. C. Avvisare il fornitore e concedergli un periodo di tempo ragionevole per risolvere il problema. D. Divulgare pubblicamente le vulnerabilità in modo che i fornitori possano correggerle al momento opportuno.
C
Per le domande 97-99, considerare il seguente scenario. NIST Specral Puolircatton 800-115, Guida tecnica ai test di penetrazione e ai test di penetrazione, fornisce il processo testato dal NIST per i test di penetrazione. Utilizza questa immagine e la tua conoscenza dei test di penetrazione per rispondere alle domande. 97.Quale delle seguenti attività non fa parte della fase di scoperta? A. Raccolta di informazioni sul nome host e sull'indirizzo IP B. Acquisizione delle informazioni sul servizio C. Il cestino può cercare D. Aumento dei privilegi 98. Il NIST specifica quattro fasi della fase di attacco: ottenere l'accesso, aumentare i privilegi, esplorare il sistema e fornire strumenti. Una volta che un utente malintenzionato ha installato strumenti aggiuntivi: a quale fase ritorna in genere un penetration tester? R. Scopri B. Ottieni l'accesso C. Aumento dei privilegi D. Navigazione del sistema 99.Quale delle seguenti non è una parte tipica di un rapporto sui test di penetrazione? A. Elenco delle vulnerabilità identificate B. Tutti i dati sensibili raccolti durante i test C. Valutazione del rischio per ciascun problema scoperto D. Linee guida per la mitigazione dei problemi identificati
D
B
B
100. Alox sta utilizzando nmnao per eseguire una scansione delle porte sul sistema e nei risultati ha ricevuto tre diversi messaggi sullo stato delle porte. Abbina ciascun messaggio di stato numerato alla descrizione del messaggio appropriato. Ogni oggetto può essere utilizzato una sola volta. messaggio di stato 1.Apri 2. Chiudi 3. Filtra descrivere R. La porta sul sistema remoto è accessibile, ma nessuna applicazione accetta connessioni sulla porta. B. La porta sul sistema remoto non è accessibile. C. La porta sul sistema remoto è accessibile e l'applicazione accetta connessioni su quella porta.
CBA