模擬試験(ドメイン4)

CISSP総合学習サイト

ドメイン4の試験です。

70%以上で合格になります。

 

Results

すばらしい!

まだ見ていないコンテンツがあるかも。

#1. Diameterによって解消されたRADIUSの問題点とは何か。

Diameterとは、RADIUSの後継となるAAA(Authentication, Authorization, Accounting)サービスを実装する認証プロトコルです。RADIUSの問題点の一つとしては、再送機能により発生しやすくなる輻輳を制御する機能がありません。これにより、パフォーマンスの低下やデータ損失が懸念されます。

#2. 通信速度が問題となりWi-Fiを一新したい。障害物の少ない環境で利用を想定しているため、電波干渉が少なく安定した高速通信を優先します。その中でもより速度の速いものを選びたい。どのWi-Fiの規格を使うべきか。

IEEE 802.11とは、IEEEにより策定された無線LAN規格の一つです。IEEE 802.11の規格ごとの最大速度と周波数は以下の通りになります。

種類   最大速度   周波数

802.11     2Mbps      2.4GHz

802.11a  54Mbps     5GHz

802.11b  11Mbps      2.4GHz

802.11g  54Mbps     2.4GHz

802.11n  600Mbps  2.4GHz or 5GHz

802.11ac    1.3Gbps    5GHz

 

周波数には、2.4GHz帯と5GHz帯があります。2.4GHzは障害物に強い一方で、5GHzは障害物は弱い側面があります。ただ、5GHzの方が安定した高速通信を行うことができます。

障害物の少ない環境で利用を想定しているため、5GHzに誘導しています。その中でもっとの速い規格は802.11aになります。

#3. IP電話のセキュリティの説明として誤っているものはどれでしょうか。

〇:ソフトフォンはIP電話よりも安全である。 

IPソフトフォンは、注意して使用する必要があります。ソフトフォンは、ユーザーがインターネット経由でコンピュータを介して通話を行うことができるソフトウェアアプリケーションです。専用のハードウェアの代用となるソフトフォンは、従来の電話のように動作できます。ソフトフォンは、他のインタラクティブなインターネットアプリケーションよりも悪いわけではありませんが、IP電話がそうであるように音声トラフィックを行うため、マルウェアはより簡単にソフトフォンを介してネットワークに侵入することができます。よって正解は、「ソフトフォンはIP電話よりも安全である。 」になります。

誤っているものを選択する問題です。試験のテクニックとして、何の問題もない・セキュリティ対策を講じる必要はないということは基本的に正解でない場合が多いでしょう。

 

×:VoIPネットワークはデータネットワーク上で使用されるのと同じセキュリティコントロールで保護する必要がある。

VoIPも、他と同じセキュリティコントロールを講じる必要があります。

 

×:エンドポイントとしてIP電話は攻撃の対象になる。

IP電話は攻撃対象になる可能性があります。

 

×:音声が伝送される現在のインターネットアーキテクチャでは、物理的な電話回線よりも安全である。 

物理的な電話回線ほどクローズな環境ではないため、安全とは言い切れません。

#4. ブラッドは、インスタントメッセージング(IM)の企業ネットワーク上での使用を禁止したい。次のうち、彼のプレゼンテーションに含まれるべきではない内容はどれでしょうか?

〇:IMの使用は、単にネットワークファイアウォールの特定のポートをブロックすることによって停止させることができる。

インスタントメッセージング(IM)は、人々がリアルタイムおよび個人的なチャットルームのタイプを介して互いに通信することを可能にします。これらの技術には、ファイル転送する機能を有しているでしょう。ユーザーがIMクライアントををインストールし、一意の識別子が割り当てられています。IM経由で通信したい人には、この一意の識別子を提供します。IMトラフィックが共通ポートを使用することができるため、ファイアウォールで特定のポートをブロックすることは通常は効果的ではありません。

この問題自体がセキュリティについての理解を確認するものであり、そのうえで「プレゼンテーションに含まれるべきではない」ということは、IMが安全で素晴らしい技術であるという主張をしたいわけではありません。

 

×:機密データやファイルをIMを介してシステムからシステムに転送することができます。

メッセージをテキストに加えて、インスタント・メッセージングは​​システムから転送するファイルを可能にしますので、間違っています。これらのファイルは、ビジネスや法的リスクで会社を入れて、機密情報を含む可能性があります。そして、IM経由でファイルを共有することは、ネットワーク帯域幅とインパクトのネットワークパフォーマンスをそれだけ使うことになります。

 

×:ユーザーが情報を含むマルウェアからの正当な送信者を装った攻撃を受けることができます。

真であるため、正しくありません。受信機ではなく、正当な送信者の悪意あるユーザからの情報を受け付けるようにあるため、強力な認証の不足のため、アカウントが偽装させることができます。また、多数のバッファオーバーフローと異なるのIMクライアントで成功している不正な形式のパケット攻撃もあるでしょう。

 

×:セキュリティポリシーは、IMの使用制限を指定して必要とされています。

彼のプレゼンテーションではIM利用制限を指定するセキュリティポリシーの必要性を含むべきであるので、間違っています。これは、IM関連のセキュリティ侵害から環境を保護するためのいくつかのベストプラクティスの1つにすぎません。その他のベストプラクティスは、IMトラフィックをブロックするファイアウォールを構成するより安全なバージョンにIMソフトウェアをアップグレードし、社内の従業員のみが、組織のネットワーク内で通信するように、企業のIMサーバを実装し、すべてのコンピュータに統合されたウイルス対策/ファイアウォール製品を実装含みます。

#5. 旅行先のカフェで無料のWi-Fiを見つけた。あなたのとるべき行動は何か?

無料のWi-Fi、特に知らない土地でのネットワーク接続は通信傍受などのセキュリティの懸念から避けるべきです。

#6. サーバーサイドにWebアプリケーションを実装したい。このWebアプリケーションは主にスマートフォンのブラウザから利用することを想定している。この時に利用するべきプロトコルは何か?

HTTPS(Hypertext Transfer Protocol Secure)は、暗号化通信であるSSL/TLSによってセキュリティを高めたHTTPです。一般的なWebアプリケーションで利用されます。HTTPSを利用することで、通信経路での情報の盗聴や改ざんのリスクを防止できます。

#7. TCPコネクションが確立する際に、TCPスリーハンドシェイクを行う。次のうち、交換されるTCPフラグの順番が正しいものはどれか?

TCPスリーハンドシェイクは、SYN、SYN-ACK、ACKの3つのステップで実行されます。まず、クライアントがランダムに決めたシーケンス番号を付与したSYNパケットを送る。サーバは受け取ったシーケンス番号と1を加えたACK番号を付与したしたSYN ACKパケットを返信する。クライアントが受け取ったシーケンス番号に1を加えたものとACK番号を付与したACKパケットを送信することで接続の確立する。確立された接続は、最終的にRST(接続をリセットまたは切断)またはFIN(接続を正常に終了)で終了します。よって正解は、「SYN、SYN-ACK、ACK」になります。

#8. オニオンルーティングの脆弱性はどれでしょうか。

オニオンルーティングとは、ルータを経由する度に暗号化を施すため、何重にも暗号化が施されるという特徴がある。しかし、ルータの最終地点ではすべての暗号化が復号され、平文となるため最終地点ルータでのセキュリティ機能はありません。

#9. ロバートは、インターネット接続を介して機密情報にアクセスする際の共通のアーキテクチャを実装する責任があります。このタイプのアーキテクチャを最もよく表しているのはどれでしょうか。

〇:3層アーキテクチャ

3層アーキテクチャとは、クライアントには入力や結果の表示を担当するユーザーインターフェイス(プレゼンテーション層)、サーバーにはデータ処理を担当する機能プロセスロジック(アプリケーション層)、データベースにアクセスするデータストレージ(データ層)があり、3層を明確に区別するものです。ユーザーインターフェイスの役割を担うのは、一般的にはユーザーが対話するフロントエンドWebサーバーです。静的コンテンツとキャッシュされた動的コンテンツの両方を処理できます。 機能プロセスロジックは、要求が再フォーマットされ処理される場所です。 これは、一般的に動的コンテンツ処理および生成レベルアプリケーションサーバです。データストレージは、機密データが保持される場所です。 これは、バックエンドデータベースであり、データと、データへのアクセスを管理し、提供するために使用されるデータベース管理システムソフトウェアの両方を保持します。

おそらくあなたは3層アーキテクチャという言葉を知らないでしょう。このように試験の途中で知らない単語に出会ってしまうかもしれません。このときあなたがすることは、完璧な正解を選ぶことではなく数回に一度なら正解しそうな回答を探すことです。アーキテクチャは、システム構成を指します。そのため、システム構成を示していない用語を排除することで正解に近づくことができます。例えば、「スクリーンサブネット」は”サブネット”という言葉が入っています。ここで、ネットワークの区分を設けるためのサブネットを指していると予想できれば、少なくとも「スクリーンサブネット」は正解になりにくそうです。同じ理由で「パブリックおよびプライベートDNSゾーン」もドメインネームサーバーの話であり、アーキテクチャの話からは遠そうです。最後にあなたは「2層アーキテクチャ」と「3層アーキテクチャ」で迷うところまでは正解に近づくことができます。

 

×:2段モデル

2階層、すなわちクライアント/サーバは、サーバがそれらのサービスを要求する1つまたは複数のクライアントにサービスを提供するアーキテクチャを記述しているため、誤りです。

 

×:スクリーンサブネット

スクリーンサブネットアーキテクチャとは、1つのファイアウォールが1つのサーバ(基本的には1層アーキテクチャ)を保護するためのものであるためのものです。外部の公開側のファイアウォールは、インターネットのように信頼できないネットワークからの要求を監視します。 唯一のファイアウォールである1つの層が侵害された場合、攻撃者はサーバー上に存在する機密データに比較的容易にアクセスできます。

 

×:パブリックおよびプライベートDNSゾーン

DNSサーバーをパブリックサーバーとプライベートサーバーに分離すると保護が提供されますが、これは実際のアーキテクチャではありません。

#10. IPSecのSA値とは何の略ですか?

各IPSec VPNのデバイスは、それが使用する各セキュアな接続のための少なくとも1つのセキュリティアソシエーション(SA)を持つことになります。IPSecのアーキテクチャにとって重要であるSAは、デバイスがVPN接続を介してIPSec接続をサポートする必要がある構成記録になります。

#11. トラフィックが常に同じパスを使用するようにするとき、どのネットワーク回線を使用しているでしょうか?

回線交換は、ネットワークを介した専用通信チャネルです。この回路は全帯域幅を保証します。回路は、ノードがケーブルで物理的に接続されているかのように機能します。

#12. 攻撃者がウォーダイヤリングを仕掛けるとき、彼らは何をしようとしますか?

ウォーダイヤリング(War Dialing)とは、非公開の社内ネットワーク向けのダイヤルアップ回線などを求めて、無差別にダイヤルアップを繰り返すクラッキング行為のことです。電話番号のリストを自動的にスキャンし、通常はローカルエリアコードのすべての番号にダイアルして、モデム、コンピュータ、掲示板システム、およびFAXマシンを検索します。

#13. ITセキュリティチームは、OSI参照モデルを使用した緩和戦略を提案するように依頼されました。これらのうち、レイヤー7の問題に対処するのはどれですか?

アプリケーションファイアウォールは、OSIのレイヤー7を対象とします。アプリケーションファイアウォールの主な利点は、特定のアプリケーションとプロトコルを理解できることです。パケットはレイヤー6まで復号されないため、レイヤー7ではパケット全体を見ることができます。他のファイアウォールはパケットのみを検査でき、ペイロードは検査できません。不要なアプリケーションまたはサービスが、許可されたポートでプロトコルを使用してファイアウォールをバイパスしようとしているかどうかを検出したり、プロトコルが悪意のある方法で使用されているかどうかを検出したりできます。

#14. 人為的に脆弱性のあるネットワークドメインを用意する意図は何か。

〇:攻撃受けた際に早期の検知、もしくは囲うため。

攻撃者は実質的な攻撃を仕掛ける前に調査を行います。そうした場合、脆弱性のあるネットワークを用意することで攻撃者がどこからアクセスしてくるのかなど予防する情報を得ることができます。なぜなら、攻撃者でなければネットワークに侵入するという動機がないからです。ハニーポッドなどの脆弱性のあるネットワークドメインはこういった侵入をしやすくすることで、攻撃者の動作を明確にします。よって正解は、「攻撃受けた際に早期の検知、もしくは囲うため。」になります。

 

×:現行の環境でシステム停止が発生したときのためのデバッグ用環境。

脆弱性のある環境を意図的に作ることに答えていません。環境を作った結果、脆弱性があったという結果にすぎません。

 

×:古い脆弱性によるリグレッションを防ぐ狙い。

古い脆弱性であっても対処するべきであって残留させる意味はありません。

 

×:サポート切れのバージョンの低い製品を動作させるための特殊環境。

脆弱性のある環境を意図的に作ることに答えていません。環境を作った結果、脆弱性があったという結果にすぎません。

#15. 以前は送信元IPアドレスによるアクセス制御を行っていたが、一連の通信の挙動から検知しなければならないことが分かった。この攻撃に対応するためのファイヤーウォールはどれでしょうか。

〇:ステートフルインスペクション

ステートフルインスペクションはリクエストとレスポンスが連動させ、レスポンスだけが別のサーバから返却されるような異常な通信を検知します。よって正解は、「ステートフルインスペクション」になります。

 

×:アプリケーションゲートウェイ

一般的にWAFと呼ばれ、SQLインジェクションなど電文内の文字列によってフィルタリングを行う場合に利用されます。

 

×:パケットフィルタリング

IPアドレスやポートによってフィルタリングを行う場合に利用されます。

 

×:セッションゲートウェイ

そのようなファイヤーウォールのカテゴリーはありません。

#16. オフセットを改ざんされたパケットにより、機器の停止を狙う攻撃はどれでしょうか。

〇:Teardrop

Teardropとは、IPパケットの分割前に戻すときのオフセットを偽造することでシステムを停止させる攻撃です。

 

×:Fraggle攻撃

Fraggle攻撃とは、適当な文字列を生成するCHARGEN機能を使った攻撃です。

 

×:CHARGEN攻撃

そのような名前の攻撃はありません。

 

×:ウォードライビング

ウォードライビングとは、街を車で移動しながら、脆弱な無線LANのアクセスポイントを捜し回ることです。

#17. スパムメールに対する効果的な対策ではないものはどれですか?

〇:誰でも利用可能なメールリレーサーバーを用意する。

効果的で”ない”ものを選ぶ問題です。オープンなメールリレーサーバーは、スパムに対する有効な対策ではありません。実際、スパム発信者は、攻撃者が自分の身元を隠すことができるため、スパムを配布するためにスパマーをよく使用します。オープンメールリレーサーバは、誰からもインターネット上の誰かからインバウンドSMTP接続を許可するように設定されたSMTPサーバーであり、攻撃者が迷惑メールやポルノを配布するのを防ぐため、多くのリレーが適切に設定されています。よって正解は、「誰でも利用可能なメールリレーサーバーを用意する。」になります。

 

×:適切に構成されたメールリレーサーバーを構築する。

適切に設定されたメールリレーサーバーはスパムメールも抑制できます。

 

×:電子メールゲートウェイでのフィルタリングを行う。

ゲートウェイにてスパムメールと思われるメールをフィルタリングすることでスパムメールへの対策になります。

 

×:クライアントでのフィルタリングを行う。

クライアントつまり、Outlookなどのメーリングアプリケーションにて、スパムメールを仕分けすることはスパムメールへの対策と考えられます。

#18. 組織に新しいネットワークインフラストラクチャを実装しています。新しいインフラストラクチャは、衝突検出(CSMA / CD)を備えたキャリアセンスマルチアクセスを使用しています。これは何によって実装されていますか?

CSMA / CD(Carrier Sense Multiple Access Collision Detection)とは、イーサネットのように同時に送信と受信が可能なシステムに使用されます。 2つのクライアントが同時にリッスンし、回線がクリアであることを確認すると、両方が同時に送信して衝突を引き起こす可能性があります。このシナリオを解決するためにCD(Collision Detection)が追加されています。クライアントは、回線がアイドル状態であるかどうかを確認し、アイドル状態の場合は送信します。使用中の場合、ランダムな時間(ミリ秒)待機します。送信中、彼らはネットワークを監視しており、送信よりも多くの入力が受信された場合、別のクライアントも送信しており、他のノードに送信を停止するように指示するジャム信号を送信し、ランダムな時間待機してから再送信を開始します。

#19. 電子メールのなりすましが容易に実行された理由として真っ当な推論はどれでしょうか。

〇:SMTPが適切な認証機構を欠いている。

Eメールのなりすましは、SMTPは適切な認証メカニズムを欠いている場合、実行するのは簡単です。攻撃者は、メールサーバのポート25にTelnetコマンドを送信することにより、電子メールの送信者アドレスを偽装することができます。スパマーは自分が特定されないように、電子メールのスプーフィングを使用しています。よって正解は、「SMTPが適切な認証機構を欠いている。」になります。

「そんなことない!他の選択肢の可能性もあるじゃないか!そんなものをたかが一文で推測するなど不可能!」と聞こえてきそうです。この意見には同意します。ただこのような問題であっても推論して解かなければなりません。選択肢を簡単にまとめると、「認証機能がない」、「設定忘れ」、「フィルタリング機能不全」、「ブラックリスト機能不全」になります。こう並べてみると、「認証機能がない」という回答が最も包含的な回答になってることに気付けるかと思います。

そのほかの解法では、認証と認可の違いを理解していることでも導くことができます。”なりすまし”を防ぐ技術は認証です。認証というキーワードを求めている問題文であると気付けると良いですね。

 

×:管理者が機能していないドメインのインバウンドSMTP接続を防止する設定を忘れている。

なりすましされている場合には、そのメール送信者も偽装されています。ドメインのインバウンドSMTP接続を防止しても、起こりえます。

 

×:キーワードフィルタリングによって技術的に廃止されている。

なりすましの対策に対して、キーワードフィルタリングはあまり有効ではありません。よって技術的に廃止されていたとしても原因とは考えにくいでしょう。

 

×:ブラックリスト機能が技術的に信頼できるものではない。

なりすましされている場合には、そのメール送信者も偽装されています。フィルタリング機能が信頼できなかったとしても、起こりえます。

#20. 暗号化は、オペレーティングシステムおよびネットワークスタックの異なる層で発生する可能性があります。OSI参照モデルのどこ層でPPTP暗号化が行われていますか?

ポイントツーポイントトンネリングプロトコル(PPTP)は、仮想プライベートネットワーク(VPN)を実装するための方法です。これは、OSIモデルのデータリンク層で動作するマイクロソフト独自のVPNプロトコルです。PPTPは、単一の接続のみを提供することができ、PPP接続上で動作することができます。

Previous
終了