ドメイン4の試験です。
70%以上で合格になります。
#1. ロバートは、インターネット接続を介して機密情報にアクセスする際の共通のアーキテクチャを実装する責任があります。このタイプのアーキテクチャを最もよく表しているのはどれでしょうか。
〇:3層アーキテクチャ
3層アーキテクチャとは、クライアントには入力や結果の表示を担当するユーザーインターフェイス(プレゼンテーション層)、サーバーにはデータ処理を担当する機能プロセスロジック(アプリケーション層)、データベースにアクセスするデータストレージ(データ層)があり、3層を明確に区別するものです。ユーザーインターフェイスの役割を担うのは、一般的にはユーザーが対話するフロントエンドWebサーバーです。静的コンテンツとキャッシュされた動的コンテンツの両方を処理できます。 機能プロセスロジックは、要求が再フォーマットされ処理される場所です。 これは、一般的に動的コンテンツ処理および生成レベルアプリケーションサーバです。データストレージは、機密データが保持される場所です。 これは、バックエンドデータベースであり、データと、データへのアクセスを管理し、提供するために使用されるデータベース管理システムソフトウェアの両方を保持します。
おそらくあなたは3層アーキテクチャという言葉を知らないでしょう。このように試験の途中で知らない単語に出会ってしまうかもしれません。このときあなたがすることは、完璧な正解を選ぶことではなく数回に一度なら正解しそうな回答を探すことです。アーキテクチャは、システム構成を指します。そのため、システム構成を示していない用語を排除することで正解に近づくことができます。例えば、「スクリーンサブネット」は”サブネット”という言葉が入っています。ここで、ネットワークの区分を設けるためのサブネットを指していると予想できれば、少なくとも「スクリーンサブネット」は正解になりにくそうです。同じ理由で「パブリックおよびプライベートDNSゾーン」もドメインネームサーバーの話であり、アーキテクチャの話からは遠そうです。最後にあなたは「2層アーキテクチャ」と「3層アーキテクチャ」で迷うところまでは正解に近づくことができます。
×:2段モデル
2階層、すなわちクライアント/サーバは、サーバがそれらのサービスを要求する1つまたは複数のクライアントにサービスを提供するアーキテクチャを記述しているため、誤りです。
×:スクリーンサブネット
スクリーンサブネットアーキテクチャとは、1つのファイアウォールが1つのサーバ(基本的には1層アーキテクチャ)を保護するためのものであるためのものです。外部の公開側のファイアウォールは、インターネットのように信頼できないネットワークからの要求を監視します。 唯一のファイアウォールである1つの層が侵害された場合、攻撃者はサーバー上に存在する機密データに比較的容易にアクセスできます。
×:パブリックおよびプライベートDNSゾーン
DNSサーバーをパブリックサーバーとプライベートサーバーに分離すると保護が提供されますが、これは実際のアーキテクチャではありません。
#2. 外部から送信元を内部IPアドレスされたアクセスし、応答要求により内部アクセスを狙う攻撃はどれでしょうか。
〇:LAND攻撃
LAND攻撃とは、悪いリクエストをブロックするFirewallを貫通する攻撃です。Fraggle攻撃と似ていますが、送信元を攻撃対象にしたリクエストをファイヤーウォールに送ります。本来は内部を守るべきのファイヤーウォールが攻撃に利用されるため盲点となるわけです。
×:Teardrop
Teardropとは、IPパケットの分割前に戻すときのオフセットを偽造することでシステムを停止させる攻撃です。
×:クリスマスツリー攻撃
クリスマスツリー攻撃とは、パケットにいくつものフラグ(URG、ACK、PSH、RST、SYN、FIN)を立てて送り、応答を観察する攻撃です。
×:CHARGEN攻撃
CHARGEN(ポート19)とは、適当な文字列を返すプロトコルです。
#3. ネットワークにQuality of Service(QoS)を実装しています。QoSの主な利点の1つはどれですか?
#4. アンジェラは、ネットワークリソースを共有しながら、部署ごとのグループにおいて一緒に利用できるコンピュータ環境を望んでいます。論理的にネットワークをグループ化する技術はどれか?
〇:VLAN
仮想LAN(VLAN)をシステムの標準的な物理的な場所にもかかわらず、リソース要件、セキュリティ、またはビジネスニーズに基づいて、コンピュータの論理的な分離とグループ化を可能にします。同じVLANネットワーク上に設定された同じ部署内のコンピュータは、すべてのユーザーが同じブロードキャストメッセージを受信することができ、物理的な場所に関係なく、同じ種類のリソースにアクセスできるようにします。
×:オープン・ネットワーク・アーキテクチャ
オープンなネットワークアーキテクチャは、ネットワークを構成することができる技術を記述しているので間違っています。OSIモデルは、オープン・ネットワーク・アーキテクチャ内で動作する製品を開発するためのフレームワークを提供します。
×:イントラネット
イントラネットは、内部ネットワークにおいてインターネットとWebベースの技術を使用したいときに会社が使用するプライベートネットワークであるため、正しくありません。
×:VAN
付加価値通信網(VAN)は、サービスビューローによって開発され、維持された電子データ交換(EDI)インフラストラクチャであるため、正しくありません。
#5. あなたは開発者に対してアプリケーション処理とセッション処理が分かれていることを明確に伝えたい。どのネットワークモデルに従うべきか?
〇:OSI参照モデル
OSI参照モデルはネットワーク通信を7層で区分したものである。アプリケーション通信とセッションという概念を分けているため、OSI参照モデルを基に明確に伝えられるだろう。よって正解は、「OSI参照モデル」になります。
×:TCP/IPモデル
TCP/IPモデルとは、OSI参照モデルよりもシステムの概念に近いレイヤーデザインです。TCP/IPモデルでは、OSI参照モデルのアプリケーション層、プレゼンテーション層、セッション層は、一つのアプリケーション層で表現されます。
×:データリンクモデル
そのようなモデルはありません。
×:Bibaモデル
Bibaモデルとは、データが勝手に変更されないことを示すセキュリティモデルの一つです。
#6. DNSポイズニング、なりすましなどの攻撃を減らすことができるDNSクライアント(リゾルバ)に対して、DNSデータの発信元の認証を提供するDNSの拡張機能はどれでしょうか。
〇:DNSSEC
DNSSECは、DNSポイズニング、なりすまし、および同様の攻撃タイプの脅威を減らすためにDNSクライアント(リゾルバ)がDNSデータの発信元の認証を提供するDNSの拡張セットです。DNSSECは、IPネットワーク上で使用されるようにDNSによって提供されるサービスを確保するためのIETF(Internet Engineering Task Force)の仕様です。
×:リソースレコード
DNSサーバーはリソースレコードと呼ばれているIPアドレスにホスト名をマップするレコードが含まれています。回答としては、正しくありません。ユーザーのコンピュータは、ホスト名をIPアドレスに解決する必要がある場合、そのDNSサーバーを見つけるために、そのネットワーク設定に見えます。そして、コンピュータは解決のためにDNSサーバにホスト名を含む要求を送信します。DNSサーバはそのリソースレコードを見て、この特定のホスト名を持つレコードを見つけ、アドレスを取得し、対応するIPアドレスを持つコンピュータに応答します。
×:ゾーン転送
プライマリおよびセカンダリDNSサーバは、ゾーン転送を介して自分の情報を同期させます。回答としては、正しくありません。変更がプライマリDNSサーバに行われた後、これらの変更はセカンダリDNSサーバーにレプリケートする必要があります。ゾーン転送は、特定のサーバー間の場所を取ることができるようにDNSサーバーを設定することが重要です。
×:リソース転送
DNSのリソースレコードを転送することに相当しますが、回答としては正しくありません。
#7. Webコンテンツの近位トポロジカルを構成するルーティングをするために、クライアントのIPアドレスに基づいて地理的位置を決定し、コンテンツの配信を最適化する技術はどれですか?
〇:コンテンツ配信ネットワーク(CDN)
コンテンツ配信ネットワーク(CDN)は、大域的な位相関係に基づいて、クライアントにコンテンツの配信を最適化するように設計されています。このような設計では、インターネット上の存在の多くのポイントでホストされている複数のWebサーバは、グローバルに同期して同じコンテンツが含まれており、クライアントは通常のためのジオロケーションアルゴリズムに基づいて、DNSレコードの操作を介し、最も近いソースに向けることができます。
×:分散ネームサービス(DNS)
分散ネームサービスというプロトコルが存在しないことで、間違っています。DNSはドメインネームサービスプロトコルを指します。
×:分散型Webサービス(DWS)
分散型Webサービスも不正解の答えですので、間違っています。分散Webサービス・ディスカバリー・アーキテクチャの概念は、IEEE等によって議論がされていますが、正式なプロトコルではありません。
×:コンテンツドメインの分布(CDD)
コンテンツドメインの分布(CDD)という用語はCISSPのCBKの用語では登場しません。
#8. 安全なリモート管理を可能にするためのガイドラインに従います。 次のうち、そのガイドラインの1つではないものはどれですか?
〇:コマンドとデータを送信するには、Telnetを使用する必要があります。
Telnetは、管理者の資格情報を含むすべてのデータを平文で送信するため、リモート管理は許可しないでください。 この種の通信は、SSHのように、より安全なプロトコルを経由する必要があります。
×:少数の管理者がリモート機能を実行できるようにする必要があります。
少数の管理者だけがリモート機能を実行できるはずであるということが真実であるため、間違っています。 これにより、ネットワークにかかるリスクを最小限に抑えることができます。
×:重要なシステムは、リモートではなくローカルで管理することも検討しましょう。
クリティカルなシステムをリモートではなくローカルで管理する必要があることは事実であるため、間違っています。 パブリックネットワークを介して行うよりも、内部のプライベートネットワーク上で管理コマンドを送信する方が安全です。
×:強力な認証が必要です。
どんな管理活動のためにも強力な認証が必要であるということが真実であるため、間違っています。 パスワードなどの強力な認証よりも弱いものは、攻撃者が侵入して管理アクセス権を得るのは簡単です。
#9. ネットワークルーティングにおいて、送信元と宛先の間の最適なパスを選択する独自の内部プロトコルはどれでしょうか。
〇:IGRP
内部ゲートウェイルーティングプロトコル(IGRP)は、米シスコシステムズ(Cisco Systems)社によって開発されたディスタンスベクタルーティングプロトコルであり、かつ、シスコシステムズ独自のものです。ルーティング情報プロトコル(RIP)は、送信元と宛先の間の最適なパスを見つけるために、1つの基準を使用するのに対し、IGRPは、「最適ルート」決定を行うために5つの基準を使用しています。プロトコルは、その特定の環境で最適に動作するようにネットワーク管理者は、これらの異なるメトリックに重みを設定することができます。
この問題では、”独自”がキーワードでした。独自というキーワードから特定の製品でしか使われていない技術に紐づけられるかがポイントでした。RIPやOSPFは、独自ではないため選択肢から外すことができます。
×:RIP
ルーティング情報プロトコル(RIP)は、独自ではないため正しくありません。RIPは、ルータがルーティングテーブルデータを交換し、発信元と宛先の間の最短距離を算出します。これは、パフォーマンスの低下や機能の不足のため、レガシープロトコルであると考えられます。小さなネットワークで使用されるべきです。
×:BGP
ボーダーゲートウェイプロトコル(BGP)は、エクステリアゲートウェイプロトコル(EGP)であるため、正しくありません。BGPは、異なるASのルータは、異なるネットワーク間の効果的かつ効率的なルーティングを確保するためのルーティング情報を共有することができます。BGPは、インターネットサービスプロバイダによって使用されます。
×:OSPF
OSPFは、独自ではないため正しくありません。OSPFルーティングテーブルの情報を送信するために、リンクステートアルゴリズムを使用します。より小さく、より頻繁にルーティングテーブルの更新が行われます。
#10. ウェルノンポートの範囲はどれか。
#11. OSI参照モデルのレイヤー5~7に対する脅威はどれですか?
#12. スパムメールに対する効果的な対策ではないものはどれですか?
〇:誰でも利用可能なメールリレーサーバーを用意する。
効果的で”ない”ものを選ぶ問題です。オープンなメールリレーサーバーは、スパムに対する有効な対策ではありません。実際、スパム発信者は、攻撃者が自分の身元を隠すことができるため、スパムを配布するためにスパマーをよく使用します。オープンメールリレーサーバは、誰からもインターネット上の誰かからインバウンドSMTP接続を許可するように設定されたSMTPサーバーであり、攻撃者が迷惑メールやポルノを配布するのを防ぐため、多くのリレーが適切に設定されています。よって正解は、「誰でも利用可能なメールリレーサーバーを用意する。」になります。
×:適切に構成されたメールリレーサーバーを構築する。
適切に設定されたメールリレーサーバーはスパムメールも抑制できます。
×:電子メールゲートウェイでのフィルタリングを行う。
ゲートウェイにてスパムメールと思われるメールをフィルタリングすることでスパムメールへの対策になります。
×:クライアントでのフィルタリングを行う。
クライアントつまり、Outlookなどのメーリングアプリケーションにて、スパムメールを仕分けすることはスパムメールへの対策と考えられます。
#13. TCPコネクションが確立する際に、TCPスリーハンドシェイクを行う。次のうち、交換されるTCPフラグの順番が正しいものはどれか?
#14. スパムメール対策のアプローチの1つは、電子メール検証システムであるSender Policy Frameworkを使用することです。この機能を実装し、要求を受け取り、応答するシステムのタイプは何ですか。
Sender Policy Framework(SPF)は、電子メールのなりすましを検出してスパムや悪意のある電子メールを防止する電子メール検証システムです。 攻撃者は、通常、電子メールアドレスを偽装して、受信者がメッセージが既知の信頼できる発信元から来たものだと考えさせるようにします。 SPFを使用すると、ネットワーク管理者は、ドメインネームシステム(DNS)にSPFレコードを実装することで、特定のドメインからメールを送信できるホストを指定できます。 電子メールサーバーは、特定のドメインから送信された電子メールが、送信ドメインの管理者によって認可されたIPアドレスから送信されたことを確認するために、DNSサーバーで確認するように構成されています。
間違えた方は落ち込まないでください。問題文に”電子メール”と入っていっているため、これはとても意地悪な問題です。あなたの試験に対する勘所は正しいと思います。
#15. ITセキュリティチームは、OSI参照モデルを使用した緩和戦略を提案するように依頼されました。これらのうち、レイヤー7の問題に対処するのはどれですか?
#16. 次のうちソフトウェア定義ネットワーク(SDN)技術を意図しているものはどれですか?
〇:ルータが一元管理され、コントローラの指示に基づいてパケットを制御する方法
ソフトウェア定義ネットワーク(SDN)はルーティングの決定とインタフェースとの間でデータを渡し、その機械的機能を作るのルータの論理機能を分離するために、ルーティングの決定を集中管理しやすくすることを意図しています。SDNアーキテクチャは、スケーラブル、プログラム可能な方法で、ルータの制御ロジックを提供する標準方法であることを意図しています。よって正解は、「ルータが一元管理され、コントローラの指示に基づいてパケットを制御する方法 」になります。
×:MACアドレスとIPアドレスの間のマッピング
ARPテーブルの説明です。
×:動的な方法でルーティングテーブル の更新
ダイナミックルーティングの説明です。
×:イベント発生時、ルータが互いにルーティングテーブルを更新のための通信をする方法
通信不通時のルーティング制御の説明です。
#17. キャプティブポータルの最も正しい活用方法はどれでしょうか。
#18. 以前は送信元IPアドレスによるアクセス制御を行っていたが、一連の通信の挙動から検知しなければならないことが分かった。この攻撃に対応するためのファイヤーウォールはどれでしょうか。
#19. IP電話のセキュリティの説明として誤っているものはどれでしょうか。
〇:ソフトフォンはIP電話よりも安全である。
IPソフトフォンは、注意して使用する必要があります。ソフトフォンは、ユーザーがインターネット経由でコンピュータを介して通話を行うことができるソフトウェアアプリケーションです。専用のハードウェアの代用となるソフトフォンは、従来の電話のように動作できます。ソフトフォンは、他のインタラクティブなインターネットアプリケーションよりも悪いわけではありませんが、IP電話がそうであるように音声トラフィックを行うため、マルウェアはより簡単にソフトフォンを介してネットワークに侵入することができます。よって正解は、「ソフトフォンはIP電話よりも安全である。 」になります。
誤っているものを選択する問題です。試験のテクニックとして、何の問題もない・セキュリティ対策を講じる必要はないということは基本的に正解でない場合が多いでしょう。
×:VoIPネットワークはデータネットワーク上で使用されるのと同じセキュリティコントロールで保護する必要がある。
VoIPも、他と同じセキュリティコントロールを講じる必要があります。
×:エンドポイントとしてIP電話は攻撃の対象になる。
IP電話は攻撃対象になる可能性があります。
×:音声が伝送される現在のインターネットアーキテクチャでは、物理的な電話回線よりも安全である。
物理的な電話回線ほどクローズな環境ではないため、安全とは言い切れません。
#20. 送信先アドレスと送信先でのコンピュータサービスまたはプロトコルの通信方法を示した言葉はどれでしょうか。
〇:ソケット
UDP(User Datagram Protocol)とTCP(Transmission Control Protocol)は、アプリケーションがネットワークを介してデータを取得するために使用するトランスポートプロトコルです。 どちらも、ポートを使用して上位のOSIレイヤと通信し、同時に発生するさまざまな会話を追跡します。 ポートは、他のコンピュータがどのようにサービスにアクセスするかを識別するために使用されるメカニズムでもあります。 TCPまたはUDPメッセージが形成されるとき、送信元および宛先ポートは、送信元および宛先IPアドレスとともにヘッダ情報内に含まれます。このIPアドレスとポート番号をソケットと言います。IPアドレスはコンピュータへの出入口として機能し、ポートは実際のプロトコルまたはサービスへの出入口として機能します。
×:IPアドレス
IPアドレスがサービスやプロトコルとの通信方法をパケットに伝えていないため、間違っています。 IPアドレスの目的は、ホストまたはネットワークインタフェースの識別とロケーションのアドレッシングです。 ネットワーク内の各ノードには一意のIPアドレスがあります。 この情報は、送信元ポートおよび宛先ポートとともに、ソケットを構成します。 IPアドレスはどこに行くべきかをパケットに伝え、ポートは適切なサービスまたはプロトコルとの通信方法を示します。
×:ポート
ポートはパケットに適切なサービスまたはプロトコルとの通信方法のみを通知するため、正しくありません。 それはどこに行くべきかをパケットに伝えません。 IPアドレスはこの情報を提供します。 ポートは、TCPやUDPなどのIPプロトコルで使用される通信エンドポイントです。 ポートは番号で識別されます。
×:フレーム
フレームは、データリンク層にヘッダとトレーラが与えられた後にデータグラムを参照するために使用される用語であるため、間違っています。