Wondershare EdrawMind
Галерея диаграмм связей Учебные заметки CISSP - Домен 5 (Управление доступом к идентификационным данным)
- 1
Учебные заметки CISSP - Домен 5 (Управление доступом к идентификационным данным)
Это интеллектуальная карта учебных заметок CISSP - Домен 5 (Управление доступом к идентификационным данным). Основное содержание включает в себя обзорные вопросы и знания.
Отредактировано в 2024-04-02 12:32:49
- Cent ans de solitude - Tableau des relations entre les personnages
Cent ans de solitude est le chef-d'œuvre de Gabriel Garcia Marquez. La lecture de ce livre commence par l'analyse des relations entre les personnages, qui se concentre sur la famille Buendía et raconte l'histoire de la prospérité et du déclin de la famille, de ses relations internes et de ses luttes politiques, de son métissage et de sa renaissance au cours d'une centaine d'années.
- Cent ans de solitude - Tableau des relations entre les personnages
Cent ans de solitude est le chef-d'œuvre de Gabriel Garcia Marquez. La lecture de ce livre commence par l'analyse des relations entre les personnages, qui se concentre sur la famille Buendía et raconte l'histoire de la prospérité et du déclin de la famille, de ses relations internes et de ses luttes politiques, de son métissage et de sa renaissance au cours d'une centaine d'années.
- Modèle de processus de gestion de projet
La gestion de projet est le processus qui consiste à appliquer des connaissances, des compétences, des outils et des méthodologies spécialisés aux activités du projet afin que celui-ci puisse atteindre ou dépasser les exigences et les attentes fixées dans le cadre de ressources limitées. Ce diagramme fournit une vue d'ensemble des 8 composantes du processus de gestion de projet et peut être utilisé comme modèle générique.
Учебные заметки CISSP - Домен 5 (Управление доступом к идентификационным данным)
- Cent ans de solitude - Tableau des relations entre les personnages
Cent ans de solitude est le chef-d'œuvre de Gabriel Garcia Marquez. La lecture de ce livre commence par l'analyse des relations entre les personnages, qui se concentre sur la famille Buendía et raconte l'histoire de la prospérité et du déclin de la famille, de ses relations internes et de ses luttes politiques, de son métissage et de sa renaissance au cours d'une centaine d'années.
- Cent ans de solitude - Tableau des relations entre les personnages
Cent ans de solitude est le chef-d'œuvre de Gabriel Garcia Marquez. La lecture de ce livre commence par l'analyse des relations entre les personnages, qui se concentre sur la famille Buendía et raconte l'histoire de la prospérité et du déclin de la famille, de ses relations internes et de ses luttes politiques, de son métissage et de sa renaissance au cours d'une centaine d'années.
- Modèle de processus de gestion de projet
La gestion de projet est le processus qui consiste à appliquer des connaissances, des compétences, des outils et des méthodologies spécialisés aux activités du projet afin que celui-ci puisse atteindre ou dépasser les exigences et les attentes fixées dans le cadre de ressources limitées. Ce diagramme fournit une vue d'ensemble des 8 composantes du processus de gestion de projet et peut être utilisé comme modèle générique.
- Рекомендовано вам
- Структура
Знания в области безопасности электричества, воды и безопасности экспериментов по органической химии.
- 2
![Создание и внедрение системы управления безопасностью элементов управления безопасностью [Практическая версия]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594754/2024-6-20/1718877328/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
Создание и внедрение системы управления безопасностью элементов управления безопасностью [Практическая версия]
- 3
![Разрывные мембраны для средств безопасности [Сводка правил]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594754/2024-6-20/1718878055/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
![Предохранительный клапан предохранительного устройства [версия принципа работы]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594754/2024-6-20/1718878190/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
![Предохранительные клапаны для средств безопасности [Сводка правил]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594754/2024-6-20/1718878219/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
![Подготовка операционных процедур [Комплексная версия законов и нормативных актов]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594754/2024-6-20/1718905427/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
Учебные заметки CISSP - Домен 5 (Управление доступом к идентификационным данным)
Очки знаний
5.1. Контроль физического и логического доступа к активам.
5.1.1. Информация
5.1.1.1 Обзор управления идентификацией и доступом
Управление идентификацией и доступом (IAM или IDAM) — это основа информационной безопасности, ориентированная на идентификацию и аутентификацию объектов, запрашивающих доступ к ресурсам, и обеспечение ответственного поведения. Сущностью может быть пользователь, система, приложение или процесс.
IAM состоит из четырех основных элементов: идентификация, аутентификация, авторизация и аудит (IAAAA).
5.1.1.2 Логический и физический контроль доступа
1 Контроль физического доступа: включая двери, шторы, заборы и т. д. для контроля физического доступа в здание.
2 Логический контроль доступа: включает пароли, PIN-коды или общие симметричные ключи и т. д., используемые для доступа к системе.
3. Стратегия контроля: необходимо понять активы организации и приоритеты доступа, принять строгие меры контроля физического доступа к ценным физическим активам и требованиям конфиденциальности, а также принять логические меры контроля для информационных систем со строгими требованиями к целостности данных.
5.1.1.3 Определение контроля доступа
•Объект:
Объект, к которому субъект пытается получить доступ, например файл, приложение, объект или база данных. Объекты должны соответствовать требованиям конфиденциальности, целостности, доступности, неотказуемости и аутентичности (CIANA).
•Основная часть:
Это могут быть пользователи-люди или нечеловеческие объекты, такие как системы, программы и устройства. Субъекту необходим доступ к объекту, и контроль доступа определяет, как этот доступ предоставляется, используется и контролируется.
•доступ:
Операции, которые субъекту разрешено выполнять с объектом.
5.1.1.4 Информация
Информация (включая необработанные данные) может находиться в системах, устройствах, носителях данных, приложениях и т. д., где она может передаваться, храниться или обрабатываться.
Разная информация требует разных типов или уровней защиты. Необходимо оценивать потребности в защите на основе жизненного цикла информации и принимать соответствующие меры.
5.1.2. Система
5.1.2.1 Определение системы
Система — это любая совокупность оборудования, программного обеспечения, людей, политик, процедур и других ресурсов, обычно используемых в CISSP для обсуждения электронных информационных систем.
5.1.2.2 Реализация контроля доступа к системе CIANA
• Конфиденциальность: необходимо обеспечить безопасность информации в системе во избежание несанкционированного доступа. Средства контроля физического доступа, такие как запертые сейфы, и элементы управления логическим доступом, такие как полное шифрование диска (FDE).
• Целостность: предотвращение изменения информации неавторизованными пользователями посредством контроля доступа.
• Доступность. Например, запертые серверные шкафы не позволяют неавторизованным пользователям злонамеренно или случайно выключить систему.
· Аутентичность: используйте аутентификацию в IAM, чтобы доказать, что убеждения, команды или другая информация в системе заслуживают доверия. После успешной идентификации можно оценить достоверность субъекта или доказательств, которые он или она предоставляет.
• Неотказуемость: полагается на способность системы IAM однозначно идентифицировать и аутентифицировать участников, а также записи действий системы и идентифицирующую информацию.
5.1.2.3 Централизованное IAM
Централизованное управление IAM имеет специальную функцию контроля доступа (например, группу или конкретный отдел), отвечающую за управление всеми средствами контроля доступа, обеспечивая преимущества строгого надзора и мониторинга. Недостатком является то, что может быть одна точка отказа.
5.1.2.4 Распределенное IAM
Децентрализованное управление IAM децентрализует функциональность, часто назначая решения по контролю доступа владельцам системы или информации. Это обеспечивает большую свободу и гибкость, но имеет недостаток, заключающийся в непоследовательном правоприменении и отсутствии единого надзора.
5.1.3. Оборудование
Для некоторых устройств могут потребоваться уникальные меры безопасности для предотвращения кражи или повреждения. К ним относятся блокировка экрана, удаленное удаление данных, разделение приложений и информации (контейнеризация) и различные другие физические и логические меры.
Цель IAM устройства — защитить конечные точки, ограничить доступ к незащищенным устройствам и обеспечить доступ только авторизованным пользователям.
5.1.4. Услуги
5.1.4.1 Система контроля физического доступа (PACSS)
Системы контроля физического доступа включают в себя объекты, обеспечивающие физическую безопасность, такие как ворота, заборы, турникеты, бейджи безопасности и охрана.
Кроме того, включены административные процедуры, необходимые для осуществления этих мер контроля, такие как: графики наблюдения охранников, требования к пропускам, процедуры погрузочной площадки, а также регистрация и сопровождение посетителей.
Меры предосторожности:
• При разработке PACSS также необходимо учитывать чрезвычайные ситуации, поскольку человеческая жизнь является главной заботой.
•Поставщики облачных услуг (CSP) и личные смартфоны стали новыми активами, которые многие организации должны защищать.
•Сложность выбранных средств контроля должна быть пропорциональна стоимости защищаемых активов.
5.1.4.2 Элементы системы контроля физического доступа
1. Идентификация пользователя и устройства.
Людей обычно идентифицируют по удостоверениям личности, наклейкам или бейджам, а предметы можно идентифицировать с помощью RFID-меток, штрих-кодов или кодов быстрого ответа (QR).
2. Заборы и ворота
Заборы предотвращают нежелательный вход и направляют людей к контролируемым точкам входа. Шлюз предоставляет возможность осуществлять дополнительные проверки, такие как показ идентификационного бейджа или ввод пароля, при которых происходит идентификация и аутентификация.
3. Защитная дверь
Разрешайте вход только тем, кто предъявит соответствующие учетные данные, такие как смарт-карта, приложение для смартфона или PIN-код.
4. Замки и ключи
5. Датчик обнаружения вторжения.
Эти датчики являются средствами обнаружения и могут обнаруживать несанкционированный доступ. Например, инфракрасные, акустические датчики и датчики веса или давления могут обнаруживать злоумышленников по температуре тела, звуку бьющегося стекла или движению злоумышленника.
6 вращающихся дверей или двойных ворот
Там, где турникеты обычно пропускают одновременно только одного человека, двойные ворота требуют от пользователей предоставления одного набора учетных данных для входа в безопасное пространство тамбура, а затем требуют другого набора учетных данных для входа в основное пространство из тамбура.
7. Видеонаблюдение
8. Безопасность
Охрана — одна из самых полезных, гибких и дорогих форм контроля физического доступа.
5.1.5. Приложение.
1. Принцип наименьших привилегий
Доступ к приложениям должен соответствовать принципу наименьших привилегий, предоставляя соответствующий и неизбыточный доступ на основе модели управления доступом на основе ролей (RBAC).
2. Знайте принцип того, что вам нужно (вы можете знать, что вам нужно)
Доступ приложения к конкретным данным должен осуществляться по принципу знания того, что ему нужно. Например, в управлении мобильными устройствами (MDM) технология контейнеризации может предотвратить доступ неавторизованных приложений к данным организации посредством логической изоляции.
3 Детализация разрешений доступа
Приложения часто предоставляют несколько уровней доступа пользователей. Детализация описывает уровень контролируемого доступа. Приложения с высокой степенью детализации поддерживают настройку доступа каждого пользователя к конкретным объектам, в то время как приложения с низкой степенью детализации разрешают только базовый доступ или запрет доступа к приложению и всем содержащимся в нем данным. Недостаточная детализация может привести к уязвимостям безопасности.
5.2. Идентификация и аутентификация управленческого персонала, оборудования и услуг.
5.2.1. Реализация управления идентификацией (IdM).
Несколько ключевых функций управления идентификацией (IdM):
1. Создать. Установите личность, обработав запрос и поддержав процесс проверки и утверждения.
2. Удаление. Внедрите процесс удаления пользователя, чтобы обеспечить своевременное удаление личных данных и прав доступа.
3. Управление идентификацией и учетными записями. Обеспечьте централизованные или децентрализованные функции управления учетными записями для эффективного управления идентификационными данными пользователей.
4. Управление инвестиционными правами. После создания удостоверения IdM отвечает за назначение первоначальных прав доступа к удостоверению.
5. Проверка личности. Контролируйте и проверяйте личность пользователя и права доступа для обеспечения безопасности и соответствия требованиям.
5.2.2. Однофакторная и многофакторная аутентификация (МФА).
5.2.2.1 Факторы аутентификации личности
1. Три основных типа факторов аутентификации:
• Что вы знаете (фактор знания, тип 1): пароли, пароли или ответы на секретные вопросы и т. д.
• Что у вас есть (фактор владения, тип 2): мобильный телефон, USB-ключ, карта доступа и т. д.
• Кем вы являетесь (биометрические факторы, тип 3): отпечаток пальца, сканирование радужной оболочки глаза и т. д.
При однофакторной аутентификации используется один фактор аутентификации, а при многофакторной аутентификации — два или более. Тип 1 — самый слабый, а тип 3 — самый сильный, но тип 3 также можно легко обойти. Поэтому рекомендуется использовать многофакторную аутентификацию.
2 новых типа факторов аутентификации
Рассмотрим, где и как аутентифицируются пользователи. Например, вход в систему с нового устройства или незнакомого места, запуск запроса многофакторной аутентификации (MFA).
5.2.2.2 Что вы знаете (Тип 1)
Достоинства: Простота использования и простота реализации.
Недостатки: легко забыть и легко уничтожить злоумышленникам.
1. Последние рекомендации NIST SP 800-63B по политике паролей:
Отдавайте предпочтение удобству использования, а не сложности: сложные пароли может быть трудно запомнить, что позволяет совершать больше попыток ввода из-за опечаток.
Увеличьте длину, а не сложность: разрешите более длинные пароли (например, 1PassedTheCISspcertifrcation) без увеличения сложности (например, iP@ss3dTh3C1sSp). Первый пароль легче запомнить, а второй может привести к более случайной блокировке.
Меньше изменений. Пароли сложнее угадать или взломать, поэтому текущие рекомендации требуют их изменения только в том случае, если они были скомпрометированы.
2. Общие предложения по паролям:
•Длина пароля: не менее 8 символов.
• Сложность пароля: включает прописные и строчные буквы, цифры и специальные символы.
• Срок действия пароля: регулярно меняйте пароли.
• Хранение пиримидного кода: зашифрованное хранилище, нетекстовое хранилище.
•Восстановление пароля: эффективные стратегии борьбы с забывчивостью и потерей.
• Проверка пароля: проверьте, использовался ли он ранее.
• Оценка надежности пароля: предложите пользователям выбрать более надежные пароли.
Организациям следует разработать собственную политику паролей, основанную на отраслевых и нормативных требованиях.
5.2.2.3 Что у вас (Тип 2)
Например, цифровые сертификаты, идентификационные бейджи или смарт-карты, жетоны физической аутентификации и приложения для аутентификации на смартфоне. Обычно не используется отдельно, может быть использован совместно или позаимствован.
1. Цифровой сертификат: электронный сертификат, подтверждающий личность владельца и открытый ключ.
2. Номерной бейдж или смарт-карта: на физическом носителе, идентифицирующем личность пользователя. Ввод пароля на смарт-карте или проверка отпечатка пальца
3. Токен физической аутентификации: физическое устройство, генерирующее одноразовый код аутентификации.
• Токен синхронизированного динамического пароля (TOTP): синхронизируйте время со временем сервера и регулярно генерируйте пароли.
• Токен асинхронного динамического пароля (HOTP): вручную инициируйте получение динамических паролей, используя nonce (номер одноразового использования), чтобы гарантировать одноразовое использование пароля. TOTP использует стандарт одноразового пароля, основанный на времени. HOTP использует стандарт одноразового пароля, основанный на алгоритме HMAC.
4. Приложение для аутентификации на смартфоне: мобильное приложение, которое генерирует одноразовые коды аутентификации и проверяет личность пользователя через смартфон.
5.2.2.4 Кто вы (Тип 3)
Биометрические факторы используются для идентификации или проверки личности. Используется в качестве второго или третьего фактора MFA, не часто используется отдельно.
Распространенные биометрические методы:
• Распознавание отпечатков пальцев: отсканируйте отпечаток пальца, чтобы разблокировать устройство.
· Распознавание сетчатки: сканирует структуру кровеносных сосудов сетчатки с высокой точностью, ее трудно взломать, и это может привести к утечке медицинской информации (PHI) и проблемам с безопасностью.
• Распознавание радужной оболочки: сканируйте образцы радужной оболочки с высокой точностью, обеспечивая распознавание на большом расстоянии.
• Распознавание лиц: сканируйте черты лица, чтобы разблокировать устройства и поймать преступников.
• Распознавание голоса: технология распознавания голоса для идентификации личности.
• Распознавание рукописного ввода: сканируйте следы почерка, чтобы идентифицировать вашу личность.
• Идентификация электрокардиограммы: отсканируйте электрокардиограмму, чтобы идентифицировать человека.
5.2.2.5 Распространенные ошибки контроля доступа
· Частота ложных отклонений (FRR): ошибки типа 1. Действительные биометрические данные не могут быть проверены и используются в средах с высокими требованиями безопасности.
Ложноотрицательный результат, отклоняющий правильного пользователя
• Коэффициент ложного принятия (FAR): ошибки типа 2. Недействительные биометрические данные ошибочно идентифицируются как действительные удостоверения личности и используются в средах с низкими требованиями безопасности.
Ложное срабатывание, разрешен неправильный пользователь
• Частота ошибок пересечения (CER) представляет собой точку пересечения FRR и FAR и используется в качестве стандартного оценочного значения. Сравнивая точность биометрических устройств, устройства с более низким CER более точны, чем устройства с более высоким CER.
5.2.2.6 Многофакторная аутентификация (MFA)
Сами по себе пароли можно легко угадать, одни только токены могут быть потеряны или украдены, а одна только биометрия может вызвать ложные срабатывания. Используется в сочетании для увеличения силы и точности.
5.2.3. Подотчетность
Подотчетность — это механизм, который гарантирует, что пользователи или программы берут на себя ответственность за действия, которые они выполняют, и решения, которые они принимают. Эффективная подотчетность требует четкой идентификации и документирования того, кто (пользователь или программа) какое действие (поведение) выполнил. Для этого необходимо предоставить каждому пользователю или программе уникальный идентификатор и проверить подлинность его личности.
5.2.4. Управление сеансом.
Управление сеансом начинается с идентификации и аутентификации пользователя и заканчивается отключением от приложения или системы. Защита данных и данных, которыми обмениваются во время сеанса, имеет ключевое значение. Сеансы также должны соответствовать требованиям безопасности, например, ограничивать их продолжительность и проводиться только между определенными хостами.
1. Для обеспечения безопасного управления сеансами примите следующие меры:
• Мощный механизм аутентификации.
• Высоконадежные сеансовые ключи.
•Отличные алгоритмы и механизмы шифрования.
• Ограничить время ожидания сеанса.
•Неактивные сеансы автоматически отключаются.
• Меры контроля для обнаружения аномальной активности
2. Уязвимости безопасности, связанные с сеансами:
• Перехват сеанса: злоумышленник выдает себя за одну из взаимодействующих сторон с целью получения или подделки информации.
• Перехват на стороне сеанса: пользователи в одной сети перехватывают сеансы посредством перехвата пакетов, крадут информацию файлов cookie сеанса и выдают себя за законных пользователей.
• Фиксация сеанса: атаки на веб-приложения, которые повторно используют идентификаторы сеансов, когда злоумышленник использует существующий идентификатор сеанса, чтобы обманом заставить браузер пользователя пройти аутентификацию и украсть учетные данные.
3. Практика безопасности управления сеансами
•Руководство по передовому опыту управления сеансами, опубликованное OWASP: https://shorturl.ac/owasp_session.
предположение:
• Используйте длинные и сложные строки идентификатора сеанса, чтобы избежать очевидной идентифицируемой информации.
-Установите соответствующие атрибуты безопасности, такие как атрибут Secure, при хранении токенов сеанса в форме файлов cookie, чтобы принудительно использовать HTTPS.
• Следуйте рекомендациям по разработке, избегайте включения идентификаторов сеансов в URL-адреса, не передавайте идентификаторы сеансов и оперативно удаляйте ненужные идентификаторы сеансов.
5.2.5. Регистрация, сертификация и идентификация.
Управление идентификацией связано с проверкой информации пользователя и созданием учетных записей пользователей или учетных данных для установления личности. Необходимо учитывать безопасность системы и ее данных, включая подлинность, конфиденциальность и целостность.
1. Уровень обеспечения идентификации NIST (IALS) разделен на 3 уровня:
• IAL1 (самостоятельно подтвержденная личность)
Самый низкий уровень требует, чтобы пользователи самостоятельно подтверждали свою личность. Нет необходимости связывать человека с проверенной реальной личностью. Применяется к системам, где реальные последствия не предполагают ответственности.
•IAL2 (предоставить документы, удостоверяющие личность и доказательства):
Пользователи должны предоставить документы, удостоверяющие личность, и сертификаты лично или удаленно для аутентификации по настоящему имени. Часто используется в сценариях трудоустройства, когда работодателю необходимо предоставить действительные документы, удостоверяющие личность.
•IAL3 (Подтверждение физического присутствия и официальная проверка):
На самом высоком уровне требуется личное удостоверение личности с надежными доказательствами (например, удостоверение личности государственного образца) и формальная проверка личности и документации обученным персоналом CSP. Персональная проверка повышает доверие.
2. Требуемый уровень гарантии зависит от требований безопасности системы и ее данных, а также конфиденциальности работы пользователя.
Например: В операциях авиакомпаний могут существовать разные требования к идентификации для разных сотрудников в зависимости от деликатности работы. Встречающие, которые предоставляют рекомендации по пассажировместимости, оказывают меньшее влияние на жизнь, здоровье и безопасность и, следовательно, требуют только механиков и обслуживающего персонала IAL2, возможно, потребуется более строгий контроль;
3. После того, как идентификационная информация будет отправлена, проверена и подтверждена на соответствующем уровне, личность пользователя может быть установлена.
5.2.6. Федеративное управление идентификацией (FIM).
Федеративное управление идентификацией (FIM) снижает административные издержки и упрощает управление несколькими наборами учетных данных за счет совместного использования аутентификации пользователей и прав доступа между системами, участвующими в федерации. FIM аналогичен системе единого входа (sSO) и предназначен для снижения затрат на создание и управление учетными записями, предоставления пользователям легкого доступа и обеспечения преимуществ безопасности. Однако риски, создаваемые федерацией, также необходимо тщательно оценить. Если методы обеспечения безопасности одной организации в федерации недостаточны, это может создать угрозу безопасности для других систем во всей федерации.
5.2.7. Система управления учетными данными (CMS).
Системы управления учетными данными позволяют организациям централизованно управлять идентификаторами пользователей и паролями. Такие системы доступны в виде коммерческих программных продуктов и развертываются локально или в облачной среде.
Основная обязанность CMS — создавать учетные записи для пользователей и распределять учетные данные по требованию между различными системами и централизованными системами управления идентификацией, такими как LDAP или Microsoft Active Directory. Система управления учетными данными может существовать как отдельное приложение или быть компонентом системы IAM.
5.2.8.Единый вход (SSO)
SSO — это метод аутентификации, который позволяет пользователям получать доступ к нескольким ресурсам с помощью одной аутентификации. Технологии, реализующие единый вход, включают Kerberos и Windows Active Directory. Сочетание единого входа с федеративным управлением идентификацией позволяет использовать сторонних поставщиков удостоверений для аутентификации пользователей на таких ресурсах, как несколько организаций и веб-сайтов.
Преимущества системы единого входа:
• Уменьшите нагрузку на управление паролями пользователей и уменьшите риск использования слабых паролей.
• Быстро обнаруживать подозрительное поведение и реагировать на него.
Недостатки системы единого входа:
• — Ничего страшного: взлом учетной записи единого входа затрагивает все приложения с поддержкой единого входа.
5.2.9. Своевременное управление идентификацией и доступом (JIT).
Контроль доступа «точно в срок» (JIT) реализует принцип наименьших привилегий, предоставляя временный доступ к приложению или ресурсу во время выполнения определенной задачи.
Распространенные сценарии:
• Хранилище ключей. В качестве элемента управления привилегированными учетными записями центральное хранилище хранит учетные данные общих учетных записей и повышает привилегии в течение определенного периода времени.
·Создание временной учетной записи: динамически создавайте временные учетные записи с необходимыми разрешениями, автоматически удаляйте их сразу после использования;
·Временное повышение привилегий: учетной записи предоставляются повышенные привилегии на ограниченный период времени и автоматически удаляются по истечении этого времени.
5.3. Федеративные удостоверения со сторонними службами.
5.3.1. Идентификация как услуга (IDaas).
IDaas является расширением Federated Identity (FIM) и используется для удовлетворения потребностей совместной работы различных команд, отделов и организаций.
Часто интегрированные решения, такие как SAML и OAuth, реализуются для удовлетворения потребностей IAM во внутренних и внешних системах.
Ключевые риски сторонних IDaas:
•Единая точка отказа: в случае сбоя IDaas связанные системы станут непригодными для использования.
•Потеря контроля: Распознавание личности является основой контроля доступа, и передача его на аутсорсинг сопряжена с высокими рисками. Если данные поставщика IDAaS будут взломаны, это может повлиять на идентификацию предприятия и информацию управления доступом.
5.3.2. Внутри предприятия.
Основным преимуществом локального решения управления идентификацией (IdM) является полный контроль над аппаратным и программным обеспечением, используемым в системе IAM, например, протоколом облегченного доступа к каталогам (LDAP) или Microsoft Active Directory (AD), размещенным в корпоративном офисе или центр обработки данных.) система.
5.3.3.Облако
1 Облачные службы идентификации предоставляются сторонней компанией Identity as a Service (IDaas), которая отвечает за идентификацию, авторизацию и управление доступом. Обычно используется в приложениях Saas для поставщиков облачных услуг, используемых клиентами внутри организации, таких как Microsoft Office 365 и облако Azure, интегрированное с Active Directory.
Для решений 2Cloud может потребоваться брокер безопасности доступа к облаку (CASB) для контроля и фильтрации доступа к облачным сервисам. CASB предоставляет услуги контроля доступа, аудита и отчетности.
3. Облачные сервисы обладают высокой надежностью и доступностью, поскольку центр обработки данных поставщика облачных услуг имеет множество резервов. Облачные услуги могут значительно снизить затраты по сравнению с локальными услугами, сокращая закупку и обслуживание оборудования, а также потребность в специализированном персонале.
5.3.4. Смешанный тип.
Решения гибридных служб идентификации сочетают в себе облачные и локальные решения по управлению идентификацией. Гибридная модель предоставляет предприятиям лучший вариант сохранить определенный уровень контроля, одновременно пользуясь преимуществами облачного подхода, такими как эластичность и экономическая эффективность.
Смешанные риски:
• Для поддержки двойной реализации IAM требуются достаточные ресурсы. Хотя переход в облако может снизить требования к внутреннему обслуживанию, гибридный подход не устраняет эту необходимость полностью.
• Гибридный подход несет в себе те же риски, что и облачный IAM, поскольку идентификацией управляет третья сторона.
• Если IDaaS будет скомпрометирован, возникнет дополнительный риск, поскольку внутренние ресурсы полагаются на внутренний IAM, синхронизированный с поставщиком IDaaS.
5.4. Внедрение и управление механизмами авторизации.
5.4.1. Понять механизм авторизации.
5.4.1.1 Сравнение разрешений, полномочий и привилегий
•разрешение
На техническом уровне пользователи имеют права доступа к ресурсам, например, доступным для чтения, доступным для чтения и записи, исполняемым и т. д.
•верно
Реальные права, например, вы имеете право просматривать данные в базе данных при условии, что у вас есть разрешение на чтение.
В сравнении
• привилегия
Сочетание разрешений и прав называется привилегией.
• Право
Права — это количество привилегий, предоставленных пользователю, которое обычно указывается при первом назначении учетной записи.
5.4.1.2 Понимание механизма авторизации
1Неявное отрицание (механизм белого списка)
Доступы, не входящие в белый список, будут отклонены. Например: неаутентифицированные пользователи не могут получить доступ к веб-сайту.
2. Таблица способностей (ориентировавшись на способности субъекта)
Рассмотрим субъект и определим объекты, к которым субъект имеет доступ, и операции, которые он может выполнять. Например: Обычные сотрудники могут получать доступ к общим файлам, но не могут их изменять.
3 Список контроля доступа (обращайте внимание на статус доступа объекта)
Рассмотрите объект и определите пользователей, которые могут получить доступ к объекту, и операции, которые можно выполнить. Например: доступ к личным файлам имеют только администраторы.
4. Матрица контроля доступа (состоящая из таблицы возможностей и списка контроля доступа)
Объедините таблицы возможностей и списки управления доступом, например, управление доступом через брандмауэр. Например: ограничение несанкционированного доступа через брандмауэры.
5. Ограничение интерфейса (ограничение действий пользователя)
Ограничьте действия и просмотры пользователей. Например: системное меню не может быть изменено обычными пользователями.
6. Управление зависимым контентом (ограничено контентом объекта)
Ограничивайте пользователей на основе контента. Например: ограничение доступа пользователей на основе представлений в базе данных.
7. Контекстно-зависимое управление (на основе действий субъекта или временных ограничений).
Ограничивайте пользователей на основе действий субъекта или времени. Например: доступ к файловым службам возможен только в рабочее время.
8. Знать, что им нужно (ограничить доступ субъектов только тем, что им нужно для работы)
Надо знать
9. Наименьшие привилегии (предоставление субъектам только тех разрешений, которые им необходимы для выполнения их работы)
10. Разделение обязанностей (деликатные задачи выполняются несколькими людьми)
11. Глубокоэшелонированная защита (многоуровневый механизм защиты, включая физический, технический и управленческий контроль)
5.4.1.3 Определение требований с помощью политик безопасности
Политика безопасности организации определяет потребности в управлении доступом и направляет реализацию. Современные информационные системы и среды часто реализуют гибридную модель управления доступом, включая брандмауэры на основе правил, общие системы с динамическим контролем доступа и отделы кадров, которые определяют управление доступом на основе ролей для конкретных функций работы и связанных с ними разрешений.
5.4.2. Управление доступом на основе правил (RUBAC).
Управление доступом на основе правил (RUBAC) — это метод определения авторизации на основе заранее определенного списка правил. Чтобы избежать путаницы с контролем доступа на основе ролей, его часто сокращают до RUBAC. Подобно списку гостей на банкете, тем, кто в списке, разрешен вход, а остальным вход запрещен.
В информационных системах для реализации RUBAC часто используются списки управления доступом (ACL), такие как наборы правил брандмауэра, чтобы определить, какие IP-адреса или порты разрешены или заблокированы.
Существует два подхода к системам, основанным на правилах:
1. Неявно разрешено: весь доступ разрешен по умолчанию. Если только нет правил, специально запрещающих доступ. Например, магазин открыт для всех представителей общественности, но отвергает некоторых клиентов, которые, как известно, воруют.
2. Неявный отказ: доступ разрешен только людям из утвержденного списка, остальным по умолчанию запрещен доступ. Этот подход, который иногда называют «запретить все» или «разрешить с исключениями», является базовым передовым методом обеспечения безопасности, поскольку он снижает вероятность несанкционированного доступа.
5.4.3. Управление доступом на основе ролей (RBAC).
Управление доступом на основе ролей (RBAC) — это метод управления доступом к ресурсам на основе ролей пользователей внутри организации.
Преимущества RBAC:
• Назначайте разрешения в зависимости от должностных функций: RBAC снижает риск несанкционированного доступа персонала к конфиденциальной информации, назначая необходимые разрешения для каждой роли.
• Управление разрешениями на уровне ролей. Администраторы могут управлять разрешениями на уровне ролей, а не для каждого пользователя, тем самым упрощая процесс управления контролем доступа и повышая эффективность.
•Поддерживает аудит и подотчетность: RBAC записывает контрольный журнал о том, кто и когда имеет доступ к каким ресурсам, что позволяет проводить расследование инцидентов безопасности и обеспечивать соответствующий контроль доступа.
• Обеспечьте соблюдение принципа наименьших привилегий. Следуйте принципу наименьших привилегий, назначая разрешения через RBAC, чтобы пользователи получали только те разрешения, которые им необходимы для выполнения своей работы.
ПРИМЕЧАНИЕ. В сообществе безопасности принято считать, что аббревиатура RBAC относится только к управлению доступом на основе ролей.
5.4.4. Обязательный контроль доступа (MAC).
Мандатный контроль доступа (MAC) — это строгая модель контроля доступа, обычно используемая в военных и правительственных организациях.
В режиме MAC за назначение прав доступа отвечает администратор безопасности, а не владелец данных.
MAC реализуется путем назначения меток безопасности принципалам и томам. Например, когда у пользователя есть «секретная» метка безопасности. Документы с пометкой «Совершенно секретно» не будут доступны, но документы с пометкой «Секретно» или «Неконфиденциально» будут доступны.
MAC широко используется в моделях конфиденциальности и целостности, таких как модели Белла-ЛаПадулы, Бибы и Кларка-Уилсона. Таким образом, MAC — это строгий и недискреционный метод контроля доступа, подходящий для организаций с высокими требованиями к безопасности.
5.4.5. Дискреционный контроль доступа (DAC).
Дискреционный контроль доступа (DAC) — это модель управления доступом, в которой система или владелец данных определяет, какие субъекты могут получить доступ к ресурсу. DAC — это децентрализованный контроль доступа, который является гибким, но сложным в управлении.
Возьмем, к примеру, WeChat Moments: издатели могут решать, является ли контент общедоступным для других пользователей или доступен только определенной группе пользователей (например, близким друзьям или семье).
5.4.6.Контроль доступа на основе атрибутов (ABAC)
Управление доступом на основе атрибутов (ABAC) объединяет атрибуты пользователей, хостов, сетей и устройств для принятия решений о доступе на основе политик. ABAC гибко контролирует доступ в зависимости от дня недели, времени суток, места входа и т. д.
Брандмауэры с отслеживанием состояния — это пример брандмауэра, который оценивает атрибуты субъекта для определения запросов на доступ. ABAC предоставляет средства детального контроля на основе атрибутов и политик.
5.4.7. Управление доступом на основе рисков.
Модель управления доступом на основе рисков рассматривает риски как динамические изменения и корректирует авторизацию. В отличие от таких режимов, как RBAC и RUBAC, для динамической аутентификации он использует такие параметры, как анализ угроз, системные журналы и поведение пользователей.
Например, когда отдел подвергается фишинговой атаке, система IAM может временно увеличить частоту входа в систему MFA, чтобы снизить угрозу. Финансовые учреждения также используют эту модель для выявления мошенничества на личных счетах, поскольку профиль риска меняется в зависимости от поведения и активности пользователей.
5.5 Управление жизненным циклом предоставления удостоверений и доступа.
5.5.1. Жизненный цикл управления доступом.
5.5.2. Проверка доступа и использования учетной записи.
5.5.2.1 Проверка доступа к учетной записи
•Проверка объектов: учетные записи пользователей (относящиеся к отдельным лицам) и системные учетные записи (нечеловеческие учетные записи, такие как автоматическое резервное копирование, вызовы API и т. д.).
• Просмотр содержимого: проверьте, имеют ли пользователи соответствующий доступ к системам, данным и разрешениям, а также исследуйте неактивные или неактивные учетные записи, чрезмерные разрешения и токсичные комбинации доступа.
• Частота проверок: определяется организацией на основе юридических, нормативных обязательств и потенциального вреда.
• Автоматические проверки: используйте инструменты безопасности, такие как SIEM или SOAR, для проведения автоматических проверок.
5.5.2.2 Обзор использования учетной записи
•Проверьте поведение учетных записей пользователей и системы, чтобы выявить ненужное или ненадлежащее использование и обеспечить подотчетность.
• Аудит использования может выполняться как часть аудита доступа, с помощью автоматизированных инструментов, таких как SIEM, или посредством выборочного аудита. Это имеет решающее значение для обеспечения безопасности и выявления подозрительных событий, таких как повышение привилегий злоумышленника.
5.5.3 Настройка и деконфигурация.
•Предоставление — это процесс предоставления доступа к системам, данным и ресурсам, а деконфигурация — это отзыв этих прав доступа. Обычно это связано с изменениями сотрудников (такими как присоединение, увольнение, перевод или повышение по службе), для обеспечения безопасного выполнения требуется координация с отделом кадров или ИТ-командой.
•Политики управления доступом должны учитывать изменения в доступе пользователей при враждебных, дружественных изменениях и смене должностей.
• Деконфигурация должна соответствовать правилам конфиденциальности и предусматривать соответствующие методы отключения и удаления пользовательских данных, например, запись выхода из учетной записи.
5.5.4. Определение роли.
Роли — это способ определения доступа на основе отдела, функции или должностных обязанностей пользователя. Он следует принципам управления доступом, таким как минимальные привилегии, и реализует меры безопасности, такие как разделение обязанностей. Роли упрощают процесс подготовки и отмены инициализации, назначая пользователей ролям, а не авторизуя их по одному. Постоянное обновление членства в ролях является важной частью цикла подготовки и отмены подготовки.
5.5.5. Повышение привилегий.
Повышение привилегий — это процесс получения более высоких привилегий.
1. Обычное повышение привилегий:
• Необходимость должна быть рассмотрена, записана и реализована с использованием ролей или групп, насколько это возможно. Общие методы включают временные разрешения (например, команду sudo в Linux или команду runas в Windows) и экстренный доступ.
2. Атака с повышением привилегий:
• Атака вертикальной эскалации: злоумышленник пытается получить более высокие привилегии, например, посредством внедрения SQL.
• Атака горизонтальной эскалации (боковое перемещение): злоумышленник получает больше разрешений учетной записи того же уровня.
3. Профилактические меры:
•Реализовать принцип наименьших привилегий.
· Своевременное устранение уязвимостей.
·Выполнение сканирования уязвимостей
· Мониторинг сетевого трафика и поведения
·Разработать надежную политику паролей
· Обучение по вопросам безопасности
5.6. Реализация системы аутентификации.
5.6.1. Возможность подключения с открытым идентификатором (OIDC) и открытая авторизация (Oauth).
5.6.1.1 Открытая авторизация (OAuth)
OAuth — это открытый протокол, последняя версия которого — 2.0, который позволяет простым и стандартным методом получить безопасную авторизацию из веб-приложений, мобильных и настольных приложений. Он ориентирован на авторизацию, а не на аутентификацию.
Четыре ключевые роли, определенные OAuth:
1) Клиент: Любое приложение, которое отправляет запрос на доступ к защищенному ресурсу.
2) Владелец ресурса: лицо, владеющее защищенным ресурсом и могущее предоставлять разрешение на использование ресурса другим лицам (обычно конечному пользователю), приложению или службе. Эти разрешения обычно предоставляются через диалоговое окно согласия.
3) Сервер авторизации: любой сервер, который выдает токен доступа клиенту после успешной аутентификации, токен используется для получения доступа во всей системе альянса.
4) Сервер ресурсов: Любой сервер, на котором размещены защищенные ресурсы, который принимает запросы доступа и отвечает на них.
5.6.1.2 Возможность подключения OpenID (OIDC)
OIDC добавляет функции аутентификации в версию OAuth 2.0 и объединяет управление идентификацией, чтобы предоставить пользователям возможность аутентификации, аналогичную SSO.
1.ldPs и JWT
В OIDC пользователи могут выбирать поставщиков удостоверений (IdP), таких как WeChat, Weibo, Microsoft, Google и т. д.
Поставщик удостоверений (поставщик OpenlD) предоставляет конечному пользователю токен идентификатора, который закодирован как JWT (Json Web Token).
2. Процесс получения токена
Пользователь выбирает IdP и предоставляет информацию для аутентификации проверяющей стороне с помощью OAuth. Информация аутентификации в OIDC передается от поставщика OIDC (OP) проверяющей стороне (RP) в форме токена (WT), который содержит утверждения о пользователе и аутентификацию личности для их утверждений.
Резюме: Чтобы избежать путаницы, помните, что OAuth — это платформа авторизации, OpenID — это уровень аутентификации, а OpenID Connect (OIDC) — это платформа аутентификации, которая находится поверх OAuth и предоставляет услуги аутентификации и авторизации.
5.6.2. Язык разметки утверждений безопасности (SAML)
Язык разметки утверждений безопасности (SAML) — это стандартный формат данных с открытым исходным кодом, основанный на XML, который обменивается данными аутентификации и авторизации между сторонами, особенно поставщиками удостоверений и поставщиками услуг. Последняя версия — SAML2.0.
1. Процесс взаимодействия SAML
Во-первых, есть субъект (например, веб-браузер), который отправляет запрос поставщику услуг (например, веб-приложению), который полагается на утверждения поставщика удостоверений (IdP) для идентификации, аутентификации и авторизации пользователя.
2 Четыре компонента SAML.
1) Утверждения: определяет, как атрибуты SAML, такие как протоколы или структуры информации аутентификации и авторизации,
Использование сервиса.
2) Привязки: определяет, как осуществляется связь запрос-ответ между различными участниками (такими как пользователи, поставщики удостоверений и поставщики услуг).
3) Протоколы: определяет, как сообщения упаковываются и обмениваются между участниками, включая HTTP и протокол простого доступа к объектам (SOAP).
4) Профили. В конкретной реализации SAML профили представляют собой комбинацию утверждений, привязок и протоколов.
Сравнение SAML, OAuth2, QOIDC
5.6.3.
Kerberos — это популярный протокол аутентификации с открытым стандартом, используемый в различных технологиях, включая Linux и UNIX, наиболее заметно в Microsoft Active Directory. Kerberos был разработан MIT и обеспечивает единый вход и услуги сквозной аутентификации. Это работает путем создания токенов аутентификации, называемых билетами, которые безопасно выдаются пользователям, чтобы они могли получить доступ к ресурсам в сети. Kerberos использует шифрование с симметричным ключом и общие ключи вместо передачи паролей по сети.
1. Несколько важных компонентов Kerberos:
1) Принципал: стороны, использующие Kerberos для идентификации и аутентификации, включая пользователей, службы или приложения.
2) Центр распространения ключей (KDC): используется для регистрации новых пользователей и ведения базы данных секретных ключей.
3) Сервер аутентификации (AS): управляет генерацией и распространением грантовых билетов (TGT) и выполняет проверку путем обмена зашифрованными данными для обеспечения безопасного доступа к серверу.
4) Служба предоставления билетов (TGS): генерирует билеты сеанса, которые предоставляются участникам безопасности, когда им необходимо пройти аутентификацию на ресурсах или друг друга.
Керберос в действии
2. Точки риска Kerberos
•KDC — это единая точка отказа, если не существует резервной установки с несколькими серверами.
• Аутентификация и распространение билетов сильно зависят от синхронизации системного времени в области Kerberos и требуют поддержки NTP, в противном случае в билетах возникнут проблемы с метками времени.
5.6.4. РАДИУС и ТАКАКС.
5.6.4.1 РАДИУС
RADIUS — это протокол доступа, который обеспечивает услуги аутентификации, авторизации и учета (AAA) для удаленных подключений к сети и первоначально использовался для поддержки коммутируемого доступа к крупным интернет-провайдерам. Он поддерживает несколько протоколов аутентификации, таких как PAP, CHAP и MS-CHAP, но шифрует только пароли. Поскольку используется протокол UDP, необходимо потреблять больше ресурсов и должны быть встроены механизмы проверки ошибок, чтобы компенсировать природу UDP без установления соединения.
5.6.4.2 ТАКАКС
Собственный протокол Cisco может размещать AAA (аутентификацию, авторизацию и аудит) на разных серверах, передавать его через порт TCP49 и шифровать всю информацию аутентификации.
TACACS поддерживает многофакторную аутентификацию.
5.6.4.3 Диаметр
Diameter — это протокол двухточечной связи, используемый беспроводными устройствами и смартфонами, разработанный для преодоления ограничений RADIUS, но он не имеет обратной совместимости с RADIUS.
Обзор вопросов
1 Какая из следующих функций описывается как модель управления доступом, которая фокусируется на субъектах и определяет объекты, к которым каждый принципал может получить доступ? А. Список контроля доступа Б. Неявный список запретов C.Таблица способностей D. Матрица управления разрешениями
С Таблица способностей предметов Список управления доступом к объектам Матрица субъект-объект
2. Организация Джима широко поддерживает реализации облачных приложений IdaaS. В компании Джима нет внутреннего персонала по управлению идентификацией, и она не использует централизованную службу идентификации. Вместо этого они полагаются на Active Directory для обеспечения AAA. Служить. Какой из следующих вариантов следует порекомендовать Джиму как лучший способ удовлетворить внутренние потребности компании в идентификации? А. Интегрируйте внутренние системы с помощью OAuth. Б. Используйте местную стороннюю службу идентификации. C. Интегрируйте внутренние системы с использованием SAML. D. Разработайте внутреннее решение для удовлетворения уникальных потребностей организации.
Б P508 Облачная федерация обычно использует третью сторону для обмена федеративной идентификацией.
3. Что из перечисленного не является недостатком Kerberos? A.KDC — это единая точка отказа. B.KDC, контролируемый злоумышленником, позволит выдавать себя за любого пользователя. C. Информация аутентификации не шифруется. D. Уязвимость к подбору пароля.
С
4. К какому типу фактора аутентификации относится распознавание речевых образов? А. Что ты знаешь Б. То, что у вас есть C. Кто ты Д. Где ты?
С
5. Если организация Сьюзан требует, чтобы она входила в систему, используя имя пользователя, PIN-код, пароль и сканирование сетчатки, сколько различных типов факторов аутентификации она использует? А. Своего рода Б. Два вида C. Три вида D. Четыре вида
Б
6.Чариес хочет развернуть систему управления учетными данными (CMS). Он хочет сохранить ключ как можно более безопасным. Что из следующего является лучшим вариантом дизайна для его реализации CMS? А. Используйте AES-256 вместо 3DES. Б. Используйте длинные клавиши. C. Используйте HSM (аппаратный модуль безопасности). D. Регулярно меняйте парольную фразу.
С Не найден, помните
7. Бран учится в университете. В рамках своего исследования он использовал свои университетские учетные данные для входа в вычислительный кластер, размещенный в Технологическом институте. После входа в систему он может получить доступ к кластеру и использовать ресурсы в соответствии со своей ролью в исследовательском проекте, а также ресурсы и услуги своего учреждения. Что для достижения этой цели предпринял университет Брана? А. Объединение доменов Б. Федеративное управление идентификацией C. Вложенность доменов Вход в систему D.Hybrid
Б
8. Расположите следующие шаги в том порядке, в котором они выполняются в процессе аутентификации Kerberos. 1. Создайте билеты клиента/сервера. 2. Создайте TGT (билет на выдачу билета) 3. Создайте ключ клиента/TGS (сервера предоставления билетов). 4. Доступ пользователей к сервисам 5. Пользователь предоставляет учетные данные для аутентификации. А. 5,3,2,1,4 Б. 5,4,2,1,3 С. 3,5,2,1,4 Д.5,3,1,.2,4
А Вариант А должен быть 52314
Процесс аутентификации Kerberos Процесс аутентификации Kerberos представляет собой интерактивный протокол, в котором участвуют клиент, сервер аутентификации (AS) и сервер предоставления билетов службы (TGS). Его основные этапы заключаются в следующем: 1. Клиент отправляет на сервер аутентификации (AS) запрос аутентификации, который обычно содержит имя пользователя и пароль. 2. AS проверяет учетные данные клиента. Если учетные данные действительны, AS генерирует зашифрованный «Билет предоставления билета» (TGT). TGT содержит идентификационную информацию пользователя и сеансовый ключ, и TGT возвращается клиенту. 3. Клиент использует пароль для расшифровки TGT и получения сеансового ключа. Этот сеансовый ключ будет использоваться для последующих коммуникаций. 4. Когда клиенту требуется доступ к определенной сетевой службе, он использует сеансовый ключ для создания «служебного билета» и отправляет его в TGS. 5. TGS проверяет TGT клиента. Если TGT действителен, TGS генерирует зашифрованный билет службы, шифрует билет службы с использованием ключа службы и возвращает его клиенту. 6. Клиент отправляет билет службы в службу, и служба проходит аутентификацию с использованием ключа сеанса в билете службы. Если билет службы действителен, служба позволяет клиенту получить доступ к необходимым службам. Этот процесс гарантирует, что личность клиента проверена и что клиент имеет доступ к запрошенной услуге. В то же время протокол Kerberos использует алгоритмы шифрования с симметричным ключом и временные метки для защиты безопасности данных во время передачи.
9. Каковы основные проблемы, которые часто возникают в результате децентрализованного контроля доступа? О. Может произойти нарушение доступа. Б. Непоследовательный контроль. C. Контроль слишком детальный. D. Затраты на обучение высоки.
Б
10. Примером какого типа фактора аутентификации является обратный вызов на стационарный номер? А. Что ты знаешь Б, где ты C. Чем вы владеете Д. Кто ты?
Б
11. Кэтлин необходимо настроить доверие Active Directory, чтобы разрешить Домен Kerberos K5 для аутентификации. Какой тип доверительных отношений ей необходимо создать? A. Сокращенное доверие Б. Лесной трест C. Внешнее доверие Доверие к царству D.A.
Д
12. Какой из следующих протоколов ААА используется чаще всего? А.ТАКАКС Б. ТАКАКС С. ХТАКАКС D.Супер TACACS
Б
14 Пользователи систем Windows не могут использовать функцию отправки сообщения. Какая модель контроля доступа лучше всего описывает это ограничение? А. Наименьшие привилегии Б. нужно знать C. Ограниченный интерфейс D. Разделение обязанностей
С Проверьте книгу
15. Какой тип управления доступом позволяет владельцу файла предоставлять другим пользователям доступ к файлу с помощью списка управления доступом? А. Ролевой подход Б. Непроизвольный C. Основанный на правилах Д. Независимый
Д
16. Работа Алекса требует от него проверки защищенной медицинской информации (PHI), чтобы обеспечить надлежащее лечение пациентов. Его доступ к медицинским записям пациентов не включал доступ к адресам пациентов или платежной информации. Какая из следующих концепций контроля доступа лучше всего описывает этот тип контроля? А. Разделение обязанностей Б. Ограниченный интерфейс C.Контекстно-зависимое управление Д.нужно знать
Д
По вопросам 17–19 обратитесь к следующей таблице, исходя из вашего понимания процесса входа в систему Kerberos: 17 В точке A на схеме имя пользователя и пароль клиента отправляются в KDC. Как насчет имени пользователя и пароля Защищено? Шифрование A.3DES Б. TLS-шифрование C. SSL-шифрование Шифрование D.AES 18. Какие две важные вещи KDC отправляет клиенту в точке B на диаграмме после проверки правильности имени пользователя? элемент? A. Зашифрованный TGT и открытый ключ Б. Билеты доступа и открытые ключи C Зашифрованный TGT с отметкой времени и симметричным ключом, зашифрованным с помощью хэша пароля пользователя. D Зашифрованный TGT с отметкой времени и токен доступа. 19. Какие задачи должен выполнить клиент перед использованием TGT? А. Он должен сгенерировать хэш TGT и расшифровать симметричный ключ. Б. Он должен принять TGT и расшифровать симметричный ключ. C Он должен расшифровать TGT и симметричный ключ. D. Он должен отправить действительный ответ в KDC с использованием симметричного ключа, и должен быть установлен TGT.
Д Microsoft Active Directory поддерживает шифр Rivest Cipher 4 (RC4), 128-битный стандарт расширенного шифрования (AES-128), 256-битный стандарт расширенного шифрования (AES-256) и шифрование стандарта шифрования данных (DES). Эти алгоритмы шифрования дополняются криптографическими хеш-функциями, такими как алгоритм безопасного хеширования (SHA) и алгоритм дайджеста сообщений 5 (MDA5). Лучше избегать использования шифрования DES, которое считается небезопасным.
С
Б
https://blog.csdn.net/weixin_46944519/article/details/126828074?ops_request_misc=%7B%22request%5Fid%22%3A%22171202843516800213053640%22%2C%22scm%22%3A%2220140713 .130102334..%22 %7D&request_id =171202843516800213053640&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~top_positive~default-1-126828074-null-null.142^v100^pc_search_result_base3&utm_term=K эрберос&s pm=1018.2226.3001.4187 Детальное объяснение
20 Сэм планирует внедрить систему биометрической аутентификации в своей организации и рассматривает возможность использования сканирования сетчатки глаза. Какие опасения могут возникнуть у других сотрудников его организации по поводу сканирования сетчатки? А. Сканирование сетчатки может предоставить информацию о заболеваниях. Б. Сканирование сетчатки болезненно, поскольку требует подачи струи воздуха в глаз пользователя. C. Сканеры сетчатки — самый дорогой тип биометрических устройств. D. Сканеры Retina имеют высокий уровень ложных срабатываний, что может вызвать проблемы с поддержкой.
А
21. На какой модели основан обязательный пропускной режим? А. Дискреционный контроль доступа Б. Групповой контроль доступа C. Контроль доступа на основе сети D. Контроль доступа на основе правил
С
22. Грег хочет контролировать доступ к iPad, используемым в качестве торговых терминалов в его организации. Какой из следующих методов ему следует использовать для реализации логического управления доступом к устройствам в общей среде? А. Используйте общий PIN-код для всех торговых терминалов, чтобы упростить их использование. Б. Разрешить каждому пользователю входить в облако с помощью OAuth. C. Каждому пользователю выдается уникальный PIN-код для iPad, который он использует. D. Используйте Active Directory и учетную запись пользователя для входа в iad, используя идентификатор пользователя и пароль AD.
Д
23. Как лучше всего обеспечить отслеживание использования идентификационных данных? А. Ведение журнала Авторизация Б С. Цифровая подпись D. Сертификация типа 1
А Не найден, помните
24 Последние несколько лет Джим занимал в своей компании должности по управлению персоналом, расчету заработной платы и обслуживанию клиентов. Какой тип процесса должна внедрить его компания, чтобы обеспечить наличие у него соответствующих полномочий? А. Переконфигурация Б. Проверка аккаунта C. Расширение привилегий D. Аннулирование аккаунта
Б
25.К какому типу модели контроля доступа относится Биба? А.МАК Б.DAC C. Роль БАК Д.АБАК
А Р525 Файловая система Windows NTFS использует DAC Операционная система Windows использует RBAC Основанные на правилах брандмауэра Программно-определяемая сеть ABAC P530 MAC основан на сетке и классификационных метках, что означает, что Biba и Bell-~ принадлежат MAC.
26. Какой из следующих протоколов клиент/сервер предназначен для того, чтобы позволить серверу доступа к сети аутентифицировать удаленных пользователей путем отправки сообщений с запросом доступа на центральный сервер? А. Керберос Б. ЕАП C. РАДИУС D.OAuth
С
27.Генри работает с командой разработчиков веб-приложений над разработкой процесса аутентификации и авторизации для нового приложения компании. Команда хочет сделать идентификаторы сеансов максимально безопасными. Что из перечисленного не является лучшей практикой, которую Генри следует порекомендовать? О. Токены идентификатора сеанса должны быть предсказуемыми. Б. Идентификатор сеанса должен иметь не менее 64 бит энтропии. Длина сеанса C должна быть не менее 128 бит. D. Идентификатор сеанса не должен иметь смысла.
А
28.Анжела использует сниффер для мониторинга трафика на RADIUS-сервере, настроенном с настройками по умолчанию. Какой протокол ей следует отслеживать и какой трафик она сможет читать? A.UDP, не может прочитать трафик. Весь трафик RADIUS шифруется. B.TCP Весь трафик доступен для чтения, кроме пароля, который зашифрован. C.UDP Весь трафик можно прочитать, за исключением пароля, который зашифрован. D.TCP, не может прочитать трафик. Весь трафик RADIUS шифруется.
С
29. Какой тип контроля доступа лучше всего описывает функциональность NAC по оценке состояния? А. Обязательный контроль доступа B. Контроль доступа на основе рисков C. Дискреционный контроль доступа D. Управление доступом на основе ролей
Б P532 Помните
30. Каков пример того, когда приложение или система позволяет вошедшему в систему пользователю выполнить определенное действие? Роль Б. Управление группой В. Войти D.Авторизация
Д
31. Алекс проработал в компании более десяти лет и занимал различные должности в компании. Проверка показала, что он имел доступ к общим папкам и приложениям благодаря своей предыдущей должности. Что случилось с компанией Алекса? вопрос? А. Избыточное выделение ресурсов Б. Несанкционированный доступ C. Расширение привилегий D Проверка аккаунта
С
32. Джефф хочет предотвратить атаки с целью повышения привилегий в своей организации. Какая из следующих практик с наибольшей вероятностью предотвратит латеральную эскалацию привилегий? А. Многофакторная аутентификация Б. Ограничить разрешения для групп и учетных записей C. Отключите неиспользуемые порты и службы. D. Обеззараживание пользовательского ввода в приложениях
А
33. Среда Microsoft Exchange Джима включает в себя локальную Серверы в центрах обработки данных и Office 365 для сотрудников, не находящихся в одном из этих офисов. развертывать. Идентификаторы создаются и используются в обеих средах и работают в обеих. Какой суставной системой типа головы управляет Джим? А. Основные облачные системы Б. Первичная локальная система C. Гибридная система D.Мультиарендная система
С
34. В следующей таблице показано, какой тип схемы контроля доступа? А.RBAC Б ЦАП С МАК ДТБАК
С Судя по сетке, субъект и объект имеют атрибуты, поэтому это MAC.
35. Компания Мишель разделяет свой отдел маркетинга и коммуникаций на две отдельные команды, создавая новый отдел. Она хочет создать роли, которые предоставляют каждой команде доступ к ресурсам. Что ей следует сделать, чтобы обеспечить соответствующую безопасность и разрешения? A Поместите команду маркетинга в существующую группу, поскольку у них будут одинаковые требования к доступу. Б. Оставьте маркетинговую команду в существующей группе и создайте новую коммуникационную группу, исходя из их конкретных потребностей. C Оставьте команду по связям с общественностью в текущей группе и создайте новую маркетинговую группу с учетом их конкретных потребностей. D. Создайте две новые группы, оцените разрешения, необходимые им для выполнения своих ролей, и при необходимости добавьте дополнительные разрешения.
Д
36. Какой процесс происходит, когда субъект заявляет о своей личности? А. Вход Б. Определить C.Авторизация D. Презентация токена
Б
37. Собаки, охрана и заборы являются типичными примерами какого типа контроля? А. Тип обнаружения Б. Тип восстановления C. Административный тип D. Физический тип
Д
38.Организация Сьюзен обновляет свою политику паролей и хочет использовать максимально надежные пароли. Какое требование к паролю оказывает наибольшее влияние на предотвращение атак методом перебора? А. Измените максимальное время использования с 1 года на 180 дней. Б. Увеличьте минимальную длину пароля с 8 до 16 символов. C. Увеличьте сложность пароля и потребуйте как минимум три категории символов (например, прописные буквы, строчные буквы, цифры и символы). D. Сохраняйте историю паролей, состоящую как минимум из четырех паролей, чтобы предотвратить повторное использование.
Б Увеличение длины оказывает наибольший эффект.
39. Алайна регулярно проводит плановые проверки сервисных аккаунтов. Какое из следующих событий ее больше всего беспокоит? A. Интерактивный вход в сервисные аккаунты Б. Изменение паролей для сервисных учетных записей C. Ограничения разрешений учетной записи службы D. Локальные операции с использованием сервисных учетных записей
А P508 Исходные слова в книге — Установите учетную запись как неинтерактивную.
40. В каких случаях в организации, использующей биометрию, можно разрешить более высокий FRR, а не более высокий FAR? А. Когда безопасность важнее доступности Б. Когда ложные отклонения не вызывают беспокойства из-за проблем с качеством данных C. Когда ССВ системы неизвестен D. Когда CER системы очень высок
А
41 После недавних сообщений о несанкционированном доступе к рабочим станциям в нерабочее время Дерека попросили найти способ гарантировать, что обслуживающий персонал не сможет войти на рабочие станции в офисе. У обслуживающего персонала есть системы организации в комнатах отдыха и офисах, поскольку им по-прежнему необходим доступ к этим системам. Что должен сделать Дерек, чтобы удовлетворить эту потребность? A требует многофакторной аутентификации и позволяет иметь многофакторные токены только сотрудникам офиса. Б. Используйте контроль доступа на основе правил, чтобы запретить вход в рабочую зону в нерабочее время. C. Используя управление доступом на основе ролей, создайте группу, включающую всех сопровождающих и Предоставляет право входа только на указанную рабочую станцию. D. Используйте геозону, чтобы разрешить вход только в зоны обслуживания.
С
42. Ник хочет реализовать управление сеансами для своего веб-приложения. Что из перечисленного является распространенными методами или методами управления сеансами веб-приложений? (Выбрать все, что подходит.) А. IP-отслеживание Б. Файлы cookie Переписывание C.URL Токен D.TLS
ДО Н.Э. помнить
Для вопросов 43–45 используйте свои знания в области интеграции SAML и проектирования архитектуры безопасности и обратитесь к следующему сценарию и иллюстрации: Алекс отвечает за интеграцию SAML с ключевым сторонним партнером, который предоставляет его организации различные услуги по повышению эффективности бизнеса. 43. Алекс очень обеспокоен подслушиванием трафика SAML и хочет убедиться, что поддельные утверждения не сработают. Что ему следует сделать, чтобы предотвратить эти потенциальные нападения? A. Обеспечьте безопасную аутентификацию с использованием модели безопасности SAML. Б. Внедрите TLS, используя надежные наборы шифров для защиты от обеих атак. C. Внедрите TLS с использованием надежных наборов шифров и цифровых подписей. D. Внедрите TLS и хеширование сообщений с использованием надежных наборов шифров. 44. Если организация Алекса состоит в основном из внешних разъездных пользователей, какие риски доступности создает интеграция критически важных бизнес-приложений в систему аутентификации на месте и как ему следует их решать? О. Сторонним интеграциям нельзя доверять, используя SSL и цифровые подписи; Б. Если местная организация отключится от сети, путешествующие пользователи не смогут получить доступ к сторонним приложениям, внедрив гибридную облачную локальную систему аутентификации. C. Локальные пользователи могут быть неправильно перенаправлены на сторонние службы, реализующие локальный шлюз; Браузеры D могут выполнять перенаправление неправильно; для устранения проблем с перенаправлением используется файл хостов. 45. Какое решение может лучше всего помочь решить проблему перенаправления единого входа, контролируемого третьей стороной, показанного на шаге 2. На вопрос? A. Информационная деятельность в отношении доверенных третьих сторон Б.ТЛС C. Обработка перенаправлений на локальном сайте D. Внедрение IPS для перехвата атак SSO с перенаправлением.
С
Б
Помните
46.Сьюзан попросили порекомендовать, следует ли ее организации использовать решение MAC или решение DAC. Если реализация контроля доступа требует гибкости и масштабируемости, какой вариант ей следует порекомендовать и почему? О. MAC, поскольку он обеспечивает большую масштабируемость и гибкость, просто добавляйте больше по мере необходимости. Просто отметьте B.DAC обеспечивает масштабируемость, позволяя отдельным администраторам выбирать объекты, которые они контролируют. и гибкость C.MAC, поскольку разделение обеспечивает гибкость, добавление разделов сделает его хорошо масштабируемым. секс D.DAC, потому что центральный процесс принятия решений может реагировать быстро и за счет сокращения количества необходимых решений и Передача этих решений в центральный орган обеспечивает масштабируемость и гибкость.
Б
47.Какой из следующих инструментов обычно не используется для проверки того, что процессы обеспечения настроены таким образом, чтобы обеспечить политику безопасности организации? А. Обзор журнала Б. Проверка разрешений вручную C. Обнаружение на основе сигнатур D. Просмотрите записи аудита
С помнить
48.Джессике необходимо отправить в стороннюю организацию информацию об услугах, которые она предоставляет. Какой основанный на стандартах язык разметки ей следует выбрать для создания интерфейса? А. САМЛ Б.МЫЛО С. СПМЛ Д.XACML
С помнить
49. Во время теста на проникновение Крис восстановил файл, содержащий хешированные пароли для систем, к которым он пытался получить доступ. Какой тип атаки, скорее всего, будет успешным против хешированных паролей? А. Жестокое нападение Б. Атака через хеш-значение C Атака по радужной таблице D Атака по восстановлению соли
С
50 Интеграция идентификационной информации Google с различными организациями и приложениями в разных доменах является примером чего из следующего? А.ПКИ Б. Федерация C. Единый вход Д. снабжение
Б помнить
51.Аманда приступает к новой работе и обнаруживает, что у нее есть доступ к различным системам, которые ей не нужны на работе. С какой проблемой она столкнулась? А. Расползание разрешений Б. Конфликт ограничений C. Наименьшие привилегии D. Слишком много разрешений
Д
52. Когда Крис подтверждает личность человека и добавляет уникальный идентификатор, например идентификатор пользователя, в систему идентификации. Какой процесс произошел? А. Проверка личности Б. Регистрация C. Управление каталогом D. Управление сеансами
Б
53.Села хочет обеспечить возможность отслеживания поведения для основного бизнес-приложения своей организации. Какие меры контроля наиболее часто используются в этой ситуации? (Выбрать все, что подходит.) A. Включите ведение журнала аудита. Б. Предоставьте каждому сотруднику уникальную учетную запись и включите многофакторную аутентификацию. C. Включите требования для входа в систему на основе времени и местоположения. D. Предоставьте каждому сотруднику уникальную учетную запись и требуйте пароль, который он выбирает самостоятельно.
АБ
54. Чарлилз хочет предоставлять услуги авторизации как часть своего веб-приложения. Если ему нужна простая интеграция с другими поставщиками веб-идентификаторов, какой стандарт ему следует использовать? А.OpenID Б. ТАКАКС C. РАДИУС D.OAuth
Д
55 Компания Кэмерона использует систему, которая позволяет пользователям при необходимости запрашивать привилегированный доступ к системе. . Камнерон запросил доступ, и в связи с его ролью запрос был предварительно одобрен. Затем он может получить доступ к системе для выполнения задач. По завершении разрешения удаляются. Какой тип системы он использует? А. Нулевое доверие Б. Федеративное управление идентификацией C. Единый вход D. Своевременный доступ
Д
56. Эне отвечает за создание веб-сайта банка. Ей необходимо подтвердить личность пользователя, зарегистрировавшегося на сайте. Что ей следует сделать, чтобы подтвердить личность пользователя? А. Попросите пользователей придумать уникальные вопросы, которые знают только они. Б. Новым пользователям необходимо лично принести в банк свои водительские права или паспорт. C. Используйте информацию, имеющуюся как у банка, так и у пользователя, например, вопросы, взятые из их кредитного отчета. D. Позвоните по зарегистрированному номеру телефона пользователя, чтобы проверить, кем он себя выдает.
С
57.Организация Сьюзан является частью федерации, которая позволяет пользователям из нескольких организаций получать доступ к ресурсам и услугам на других федеративных сайтах. Когда Susn хочет воспользоваться услугами партнерских сайтов, какой из них использовать? Поставщик удостоверений? А. Поставщик идентификационной информации организации Сьюзан. B. Поставщик идентификационной информации поставщика услуг C. Их поставщик удостоверений и поставщик удостоверений поставщика услуг D. Поставщик услуг создает новое удостоверение.
А
58. Новый клиент банка, который использует сканеры отпечатков пальцев для аутентификации пользователей, был удивлен, обнаружив, что, отсканировав свой отпечаток пальца, он вошел в учетную запись другого клиента. Какой тип биометрической ошибки произошел? А. Ошибка регистрации Б. Ошибка 1-го типа C.A Ошибка типа 2 D. Неправильное время использования и метод использования.
С
· Частота ложных отклонений (FRR): ошибки типа 1. Действительные биометрические данные не могут быть проверены и используются в средах с высокими требованиями безопасности.
Ложноотрицательный результат, отклоняющий правильного пользователя
• Коэффициент ложного принятия (FAR): ошибки типа 2. Недействительные биометрические данные ошибочно идентифицируются как действительные удостоверения личности и используются в средах с низкими требованиями безопасности.
Ложное срабатывание, разрешен неправильный пользователь
59. Какой тип контроля доступа обычно используется в межсетевых экранах? А. Дискреционный контроль доступа Б. Контроль доступа на основе правил C. Контроль доступа на основе задач D. Обязательный контроль доступа
Б
60. Какие важные действия по управлению идентификацией и доступом вы выполняете, когда вводите свой идентификатор пользователя и пароль? А. Авторизация Б. Проверка С. Сертификация Д. Войти
С
61.Кэтлин работает в колокейшн-центре обработки данных, который предоставляет физическое пространство в центре обработки данных частным лицам и организациям. До недавнего времени каждый пользователь получал ключ-карту с магнитной полосой для доступа к той части объекта, где находился его сервер, а также ключ для доступа к клетке или стойке, в которой находился его сервер. За последние два месяца было взломано несколько серверов, но в журналах проходов указаны только действительные идентификаторы. Какой вариант лучше всего предлагает Китнлин для обеспечения того, чтобы пользователи пропусков были теми, кем они должны быть? A Добавьте устройство чтения карт, которое требует от пользователей ввода PIN-кода, Б. Добавьте на объект систему камер, чтобы наблюдать за теми, кто обращается к серверу. C. Добавьте биометрические факторы. D. Замените ключ-карты с магнитной полосой смарт-картами.
С
62 Тереза хочет позволить своим сотрудникам безопасно хранить и управлять паролями для систем, включая учетные записи служб и другие редко используемые административные учетные данные. Какой тип инструмента ей следует использовать для достижения этой цели? А. Единый вход Б. Федеративная система идентификации C. Менеджер паролей D. Система многофакторной аутентификации
С помнить
63.Оливия хочет ограничить количество команд, которые пользователь может запускать через sudo, чтобы уменьшить вероятность атак с целью повышения привилегий. Какой файл Linux ей следует изменить, чтобы добиться этого? Файл конфигурации A.bash.bin Файл B.sudoers Файл конфигурации .allowed C. bash Файл D.sudont
Б
64. Какие объекты и агенты в модели MAC имеют метки? A. Объекты и субъекты, отнесенные к категории «Конфиденциально», «Конфиденциально» или «Совершенно секретно», имеют метки. Б. У всех предметов есть этикетка, и у всех предметов есть отделение. C. Все объекты и предметы имеют метку. D. У всех предметов есть этикетка, а у всех предметов есть отделение.
С
Для вопросов 65–67 обратитесь к следующему сценарию и диаграмме: Крис — архитектор идентичности растущего веб-сайта электронной коммерции. Он и его команда намерены использовать социальную идентичность, позволяя пользователям использовать существующие учетные записи Google в качестве основной учетной записи на сайтах электронной коммерции. Это означает, что когда новый пользователь первоначально подключается к платформе электронной коммерции, он может использовать свою учетную запись Google (с использованием OAuth 2.0) или создать новую учетную запись на платформе, используя свой адрес электронной почты и пароль по своему выбору. 65. Когда приложение электронной коммерции создает учетную запись для пользователя Google, пароль пользователя должен быть сохранен. Где он хранится? А. Пароль хранится в базе данных приложения электронной коммерции. Б. Пароль хранится в памяти сервера приложений электронной коммерции. C. Пароли хранятся в системе управления учетными записями Google. Д. Вместо этого пароль не сохраняется; вместо этого в Google хранится соленое хеш-значение. в системе управления счетами. 66. Что из следующего отвечает за аутентификацию пользователей Google? А. Приложения электронной коммерции. Б. Существует как приложение для электронной коммерции, так и сервер Google. C. Серверы Google. D. В таблице недостаточно информации для определения этого. 67. Какой тип атаки является целью предотвращения создания и обмена токенами состояния? А. XSS Б. CSRF C. SQL-инъекция Д.XACML
Д
С
Б Подделка межсайтовых запросов (английский: Подделка межсайтовых запросов), также известная как атака в один клик или сессионное управление, часто сокращенно CSRF или метод работы атаки. По сравнению с межсайтовым скриптингом (XSS), который использует доверие пользователя к указанному веб-сайту, CSRF использует доверие веб-сайта к веб-браузеру пользователя. защита: Проверьте поле «Реферер» В HTTP-заголовке есть поле Referer, которое используется для указания адреса, с которого поступает запрос. Вообще говоря, при обработке запросов конфиденциальных данных поле Referer должно находиться под тем же доменным именем, что и запрошенный адрес. Если взять в качестве примера приведенную выше банковскую операцию, то адрес поля Referer обычно должен представлять собой веб-адрес, на котором расположена кнопка перевода, которая также должна находиться на сайте www.examplebank.com. Если это запрос в результате атаки CSRF, поле Referer будет содержать адрес, содержащий вредоносный URL-адрес, и не будет находиться на сайте www.examplebank.com. В это время сервер сможет идентифицировать злонамеренный доступ. Этот метод прост и удобен в реализации, требует минимальной рабочей нагрузки. Требуется всего лишь добавить один этап проверки в ключевых точках доступа. Но этот метод также имеет свои ограничения, поскольку он полностью полагается на то, что браузер отправит правильное поле Referer. Хотя протокол http имеет четкие правила относительно содержимого этого поля, он не может гарантировать конкретную реализацию посещающего браузера, а также не может гарантировать, что браузер не будет иметь уязвимостей безопасности, влияющих на это поле. Также существует вероятность того, что злоумышленники атакуют некоторые браузеры и подделывают их поля Referer. Добавить токен подтверждения Поскольку суть CSRF заключается в том, что злоумышленник обманывает пользователя для доступа к заданному им самому адресу, если браузер пользователя обязан предоставить данные, которые не хранятся в cookie и не могут быть подделаны злоумышленником в качестве проверки при доступе к конфиденциальным данным, затем атака. Злоумышленник больше не может запускать CSRF-атаки. Эти данные обычно представляют собой элемент данных в форме. Сервер генерирует и добавляет его в форму, а его содержимое представляет собой псевдослучайное число. Когда клиент отправляет запрос через форму, это псевдослучайное число также передается на проверку. При обычном доступе клиентский браузер может правильно получить и вернуть это псевдослучайное число. Однако при обманных атаках через CSRF злоумышленник не имеет возможности заранее узнать значение этого псевдослучайного числа, и сервер узнает об этом. значение токена проверки пусто или неверно, подозрительный запрос будет отклонен.
68. Как зовут вашего питомца? При каком типе аутентификации возникает эта проблема? А. Сертификация, основанная на знаниях B. Динамическая аутентификация на основе знаний C. Внеполосная аутентификация D. Третий фактор аутентификации
А
69. Мадхури создает таблицу назначенных привилегий, объектов и принципалов для управления контролем доступа к системам, за которые она отвечает. Всякий раз, когда принципал пытается получить доступ к объекту, система проверяет таблицу, чтобы убедиться, что у принципала есть соответствующие разрешения для объекта. Какой тип системы контроля доступа использует Мадхури? А. Таблица возможностей Б. Список контроля доступа C. Матрица контроля доступа D.Система управления правами субъектов/объектов
С
70. Просматривая заявки в службу поддержки, организация Бена обнаружила, что на смену пароля приходится более четверти обращений за помощью. Какой из следующих вариантов, скорее всего, позволит значительно сократить это число? А. Двухфакторная аутентификация Б. Биометрическая аутентификация C. Сброс пароля самообслуживания D. Парольная фраза
С помнить
71. Крупная организация Брайана уже много лет использует RADIUS для предоставления услуг AAA сетевым устройствам. и недавно стало известно о проблемах безопасности информации, передаваемой в процессе аутентификации. Что должен сделать Брайан? Шифрование реализации RADIUS? А. Используйте возможности шифрования, встроенные в RADIUS. Б. Внедрите RADIUS поверх собственного UDP с использованием TLS для обеспечения защиты. C. Внедрите RADIUS через TCP с использованием TLS для обеспечения защиты. D. Используйте общие шифры AES256 между устройствами. .
С Сам RADIUS использует протокол UDP, а после использования TLS — протокол TCP.
72 Джим позволяет облачным приложениям получать доступ к информации на других веб-сайтах от его имени. Какой из следующих инструментов может достичь этого? А. Керберос B.OAuth C.OpeniD Д. ЛДАП
Б Требуется протокол авторизации, то есть OAuth.
73. В организации Бена произошел несанкционированный доступ к приложениям и рабочим станциям во время обеденного перерыва, когда сотрудники не находились за своими столами. Какое лучшее решение для управления сеансами Бен порекомендовал бы для предотвращения такого типа доступа? A. Используйте идентификаторы сеансов для любого доступа и проверяйте IP-адреса системы для всех рабочих станций. Б. Установите тайм-аут сеанса для приложения, используйте на рабочей станции защищенную паролем заставку и установите тайм-аут бездействия. C Используйте идентификаторы сеансов для всех программ и используйте заставки, защищенные паролем, на рабочих станциях. D. Установите тайм-аут сеанса для приложения и проверьте системные IP-адреса всех рабочих станций.
Б
74 На следующей диаграмме показано, какой тип сценария аутентификации А. Смешанный союз Б. Союз на месте C. Облачная федерация D. Федерация Кербероса
А P508 Облачная федерация обычно использует третью сторону для обмена федеративной идентификацией. Гибридная федерация — это комбинация облачной федерации и локальной федерации.
75. Крис хочет идентифицировать людей, контролируя доступ к объекту. Он также хочет убедиться, что этим людям разрешен вход, и не хочет, чтобы это влекло за собой значительные текущие расходы. Какие решения из следующих вариантов будут отвечать всем этим требованиям? (Выбрать все, что подходит.) A. Сотрудники службы безопасности и удостоверение личности с фотографией B. RFID-бейдж и считыватель с PIN-клавиатурой C. Значок с магнитной полосой и устройство считывания карт с PIN-падом. D. Сотрудники службы безопасности и считыватели магнитных полос
ДО Н.Э.
76. К какому типу второго фактора аутентификации относится такое устройство, как ключ безопасности Yubikey или Titan? А. Токен Б. Биометрические идентификаторы C. Смарт-карта Д. ПИВ
А помнить
77. Какую технологию аутентификации можно объединить с OAuth для аутентификации и получения информации профиля пользователя с помощью RESTful API? А. САМЛ Б.Шибболет C. OpenID Connect Д. Хиггинс
С
78.Джим хочет реализовать схему контроля доступа, чтобы гарантировать, что пользователи не смогут делегировать права доступа. Он также хотел обеспечить контроль доступа на уровне операционной системы. Какой механизм контроля доступа лучше всего соответствует этим требованиям? A. Управление доступом на основе ролей Б. Дискреционный контроль доступа C. Обязательный контроль доступа D. Управление доступом на основе атрибутов
С
79. Администратор безопасности компании Сьюзен настроил рабочую станцию, которую она использует, так, чтобы ей можно было входить в систему только в рабочее время. Какой тип контроля доступа лучше всего описывает это ограничение? А. Ограниченный интерфейс Б. Контекстно-зависимый контроль C. Элементы управления, связанные с контентом D. Наименьшие привилегии
Б
80.Бен использует программный токен, который меняет код каждую минуту. Какой тип токена он использует? А. Асинхронный Б. Смарт-карта В. Синхронизация Д.Статический
С
81. Примером какого типа механизма контроля доступа является брандмауэр? А. Обязательный контроль доступа B. Управление доступом на основе атрибутов C. Дискреционный контроль доступа D. Контроль доступа на основе правил
Д
82. Мишель работает в компании, предоставляющей финансовые услуги, и хочет регистрировать клиентов для своего веб-приложения. Если она хочет быстро и автоматически проверить, является ли человек тем, кем он себя называет при первом входе в систему, без необходимости иметь с ним предварительные отношения, какой тип механизма аутентификации она может использовать? А. Попросите номер социального страхования. Б. Используйте аутентификацию на основе знаний. C. Выполните аутентификацию вручную. D. Используйте биометрические факторы.
Б помнить
83 Компания Меган хочет использовать учетные записи Google для быстрого внедрения своего веб-приложения. Какие общие технологии объединения облаков необходимо внедрить Меган? (выбрать все, что подходит) А. Керберос Б.OpeniD C.OAuth Д. РАДИУС
ДО Н.Э.
84. Длина идентификатора сеанса и размер идентификатора сеанса имеют решающее значение для предотвращения какого типа атаки? А. Отказ в обслуживании Б. Кража файлов cookie C. Разговорное угадывание D. Атака «человек посередине»
С
85. Система контроля доступа организации Наоми проверяет, что ее компьютер полностью подключен к сети, успешно прошел проверку на наличие вредоносных программ и включен брандмауэр, помимо других проверок безопасности, прежде чем разрешить ей подключиться к сети. Если возникнет потенциальная проблема, ей будет заблокировано подключение, и ей придется обратиться в службу поддержки. Какой тип схемы контроля доступа лучше всего описывает этот тип процесса? А.МАК Б. Контроль доступа на основе правил C. Управление доступом на основе ролей Д. Управление доступом на основе рисков
Д
86. Изабель хочет предотвратить атаки с целью повышения привилегий на сервисные учетные записи своей организации. Какие из следующих методов обеспечения безопасности Лучше всего для этой ситуации? А. Удалите ненужные разрешения. B Отключите интерактивный вход в учетную запись службы. C. Ограничьте время входа в учетную запись. D. Используйте бессмысленные или случайные имена учетных записей служб.
А
87. Каковы опасности разрешения доверяющим сторонам OpenID контролировать соединения с провайдерами OpenID? A. Может привести к неправильному выбору поставщика OpenLD. Б. Возможные фишинговые атаки путем отправки данных поддельным поставщикам OpenID. C. Доверяющие стороны могут иметь возможность украсть имена пользователей и пароли клиентов. D. Доверяющая сторона не может отправлять подписанное утверждение.
Б
88. Джим внедряет решение для облачной идентификации для своей организации. Какие технологии он использует? А. Идентичность как услуга Б. Статус сотрудника как услуги C. Облачный RADIUS D.OAuth
А IDaaS
89.Кистен хочет контролировать доступ к приложению в организации на основе должности сотрудника, разрешений приложения, необходимых для каждой группы должностей, времени и местоположения. Какой тип схемы управления ей выбрать? Базовый контроль доступа к атрибутам (ABAC) Б. Дискреционный контроль доступа (DAC) C. Обязательный контроль доступа (MAC) D. Базовый контроль доступа к атрибутам ролей (роль BAC)
А
90. Когда Алекс устанавливает разрешения, показанные на схеме ниже, в качестве пользователя на сервере Linux, какой тип модели управления доступом он использует? $ chmod 7313 др. 1 шиллинг доллара всего 12 drwxr-xr-x 3 корень drwxr-xr-x 3 корень A. Управление доступом на основе ролей Б. Контроль доступа на основе правил C. Обязательный контроль доступа (MAC) D. Дискреционный контроль доступа (DAC)
Д
91. Джоанна возглавляет команду управления идентификацией в своей организации и хочет обеспечить обновление ролей по мере перехода сотрудников на новые должности. На какой проблеме сотрудников ей следует сосредоточиться, чтобы избежать проблем с определением ролей? А. Регистрация Б. Расползание разрешений С. Отмена D. Ответственность за учетную запись
Б
92Какой тип механизма авторизации показан на рисунке ниже? A. Управление доступом на основе ролей (RBAC) B. Базовый контроль доступа к атрибутам (ABAC) C. Обязательный контроль доступа (MAC) D. Дискреционный контроль доступа (DAC)
А
93. Сьюзан устраняет проблему аутентификации Kerberos, которая включает в себя TGT (билет предоставления билета), который не принимается как действительный билет, «и невозможность получить новый билет. Если система, которую она устраняет, правильно настроена для аутентификации Kerberos , ее имя пользователя и пароль верны. С сетевым подключением все в порядке. В чем может быть проблема? О. Сервер Kerberos отключен. Б. Произошло несоответствие протокола. С. TGT клиента помечен как скомпрометированный и неавторизованный. D Часы сервера Kerberos и локального клиента не синхронизированы.
Д
94. Брайан хочет объяснить преимущества местной федерации руководству организации. Какой из следующих вариантов не является общим преимуществом федеративных систем идентификации? А. Упрощение управления учетной записью Б. Единый вход C. Предотвращение атак грубой силы D. Повышение производительности
С
95.Банк Аарона хочет разрешить клиентам использовать новое дополнительное приложение, предоставленное сторонним партнером, с которым он работает. Поскольку не каждый клиент хочет или нуждается в учетной записи, Аарон рекомендует банкам использовать рабочий процесс на основе SAML, который создает учетную запись, когда пользователь загружает приложение и пытается войти в систему. Какой тип системы конфигурации он рекомендует? A. Конфигурация «точно в срок» (JIT) Б.OpeniD C.OAuth Д. Керберос
А
96.Какой протокол аутентификации Windows использует по умолчанию для систем Active Directory? А. РАДИУС Б. Керберос C.OAuth Д. ТАКАКС
Б Kerberos: Kerberos — это служба аутентификации по умолчанию для Active Directory.
97.Валери необходимо контролировать доступ к приложениям, развернутым на мобильных устройствах в среде BYOD. Какой тип решения лучше всего позволит ей осуществлять контроль над приложениями, гарантируя, что они не оставят остаточных данных на устройствах, используемых конечными пользователями? А. Разверните приложение на устройствах BYOD и запросите уникальный PIN-код для каждого устройства. Б развернул приложения на настольной системе и требует от пользователей доступа к ним с использованием корпоративной аутентификации с использованием удаленного интерфейса. C. Используйте контейнер приложения для развертывания рабочего места приложения на устройствах BY0D и требуйте уникальный PIN-код для каждого устройства. D. Использование среды виртуального размещения приложений требует аутентификации с использованием корпоративных учетных данных.
Д
98. Сопоставьте следующие механизмы авторизации с их описаниями: 1. Базовый контроль доступа к атрибутам на основе ролей (Role-BAC) 2. Базовый контроль доступа к атрибутам на основе правил (правило BAC). 3. Дискреционный контроль доступа (DAC). 4. Базовый контроль доступа к атрибутам (ABAC) 5. Обязательный контроль доступа (MAC) А. Модель контроля доступа, реализуемая операционной системой. Б. Предоставление разрешений или прав на основе соответствия требованиям по IP-адресу, времени или другим конкретным деталям. C. Эта модель, которую иногда называют контролем доступа на основе политик, использует информацию об принципале для назначения разрешений. D. Модель, которая предоставляет принципалам соответствующие разрешения назначать или передавать эти разрешения другим принципалам. E. Используется для назначения разрешений в зависимости от задания или функции.
1E2B3D4C5A
99. Сопоставьте технологии цифровой аутентификации с соответствующими категориями. Каждая технология должна быть сопоставлена с категорией. Каждую категорию можно использовать один, несколько раз или не использовать вообще. Технология аутентификации 1. Пароль 2. удостоверение личности 3. Сканирование сетчатки 4. Мобильный токен 5. Анализ отпечатков пальцев категория: A. что-то принадлежащее Б. Что нужно знать С. это что-то
1B2A3C4A5C
100. Сопоставьте следующие средства управления идентификацией и доступом с типами активов, для защиты которых они лучше всего подходят. Каждый вариант можно выбрать только один раз. 1. Информационные активы 2.Система 3. Мобильные устройства 4. Удобства 5. Партнерские заявки А. Дискреционный контроль доступа B. Устройство считывания карт контроля доступа C. Федеративное управление идентификацией Д. Биометрическая аутентификация E. Учетные записи пользователей с многофакторной аутентификацией
1A2E3D4B5C