Wondershare EdrawMind
Mindmap-Galerie CISSP-Studiennotizen – Domäne 4 (Kommunikation und Netzwerksicherheit)
- 1
CISSP-Studiennotizen – Domäne 4 (Kommunikation und Netzwerksicherheit)
Dies ist eine Mindmap über CISSP-Studiennotizen – Bereich 4 (Kommunikation und Netzwerksicherheit). Der Hauptinhalt umfasst: Übungsfragen und Wissenspunkte.
Bearbeitet um 2024-03-31 11:18:11
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Projektmanagement-Prozess-Vorlage
Projektmanagement ist der Prozess der Anwendung von Fachwissen, Fähigkeiten, Werkzeugen und Methoden auf die Projektaktivitäten, so dass das Projekt die festgelegten Anforderungen und Erwartungen im Rahmen der begrenzten Ressourcen erreichen oder übertreffen kann. Dieses Diagramm bietet einen umfassenden Überblick über die 8 Komponenten des Projektmanagementprozesses und kann als generische Vorlage verwendet werden.
CISSP-Studiennotizen – Domäne 4 (Kommunikation und Netzwerksicherheit)
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Projektmanagement-Prozess-Vorlage
Projektmanagement ist der Prozess der Anwendung von Fachwissen, Fähigkeiten, Werkzeugen und Methoden auf die Projektaktivitäten, so dass das Projekt die festgelegten Anforderungen und Erwartungen im Rahmen der begrenzten Ressourcen erreichen oder übertreffen kann. Dieses Diagramm bietet einen umfassenden Überblick über die 8 Komponenten des Projektmanagementprozesses und kann als generische Vorlage verwendet werden.
- Für Sie empfohlen
- Gliederung
CISSP-Studiennotizen – Domäne 4 (Kommunikation und Netzwerksicherheit)
Wissenspunkte
4.1 Bewerten und implementieren Sie Sicherheitsdesignprinzipien in der Netzwerkarchitektur
4.1.1 OSI- und TCP/IP-Modelle
4.1.1.1 Vergleich zwischen OSI und TCP/IP
4.1.1.2 Angriffsvektoren für jede Schicht des Netzwerkmodells
1. Physikalische Schicht
•Passives Schnüffeln
•Elektrische Störungen
•Schneiden Sie das Kabel durch
2. Datenverbindungsschicht
•Gefälschte MAC-Adresse (z. B. ARP-Spoofing)
3. Netzwerkschicht
•MITM-Angriff
•Denial of Service (DoS)-Angriff
4. Transportschicht
•SYN-Flood-Angriff
• Session-Hijacking
5. Sitzungsschicht
• Fallstricke im Secure Sockets Layer (SSL)-Protokoll
•Weniger sichere Version von Transport Layer Security (TLS)
6. Präsentationsebene
•Angriffe auf Verschlüsselungsschemata
7. Anwendungsschicht
•Schwächen von Protokollen der Anwendungsschicht (wie HTTP, FTP usw.)
•SQL-Injektion
•Häufige Webangriffe wie Cross-Site-Scripting-Angriffe (XSS).
4.1.2. Internet Protocol (IP)-Netzwerke
Unter Verwendung von Kernprotokollen wie IP, ARP, ICMP und IGMP ist die Internetschicht für die Adressierungs-, Verpackungs- und Routingfunktionen von Datenpaketen verantwortlich, die das Internet Wirklichkeit werden lassen. Es gibt zwei Versionen von IP: IPv4 (Version 4) ist die heute am häufigsten verwendete Version und IPv6 (Version 6) ist die Version, die sich für mit dem Internet verbundene Geräte weiterentwickelt.
4.1.2.1 IP v4
IP v4 verwendet 32-Bit-Adressen, was theoretisch schon vor Jahren ausgeschöpft war. Allerdings wurde die Lebensdauer von IPv4 durch die Einführung von Network Address Translation (NAT), privaten IP-Adressen und anderen Technologien verlängert.
1. IPv4-Bereich
2.NAT
NAT ist eine Technologie, mit der eine oder mehrere lokale (interne) IP-Adressen einer oder mehreren globalen (externen) IP-Adressen zugeordnet werden und umgekehrt.
4.1.2.2 IP V6
IPv6 erweitert die begrenzte 32-Bit-Adresse von IPv4 auf 128 Bit für die Adressierung. Es umfasst außerdem Funktionen wie Adressbereich, automatische Konfiguration, Sicherheit und Quality of Service (Q0S).
4.1.2.3 Cyberangriffe
4.1.2.3.1 Distributed-Denial-of-Service-Angriff
Ein typischer DDoS-Angriff besteht aus einer großen Anzahl einzelner Maschinen, die so gesteuert werden, dass sie ein Ziel für kurze Zeit mit überwältigendem Datenverkehr bombardieren.
4.1.2.3.2 SYN-Flooding
SYN-Flood ist ein DoS-Angriff, der unter Ausnutzung der Eigenschaften des TCP-Protokolls gestartet wird. Der Angreifer sendet eine große Anzahl von SYN-Paketen an das Ziel, antwortet jedoch nicht mit SYN-ACK-Paketen, was dazu führt, dass die Ressourcen des Zielsystems erschöpft sind und die Software abstürzt. Zu den Schutzmaßnahmen gehören: Erweiterung der Backup-Warteschlange, halboffene Verbindungen an Recyclingtagen und Verwendung der SYN-Cookie-Technologie
4.1.2.3.3 Man-in-the-Middle-Angriff (MTM)
Bei einem MITM-Angriff fängt der Angreifer das Signal ab und leitet die Kommunikation heimlich weiter (und verändert sie möglicherweise), bevor er die Übertragung stoppt oder zulässt, dass die Nachricht ihren beabsichtigten Empfänger erreicht.
Verteidigungsmethoden: Authentifizierung, Manipulationserkennung
4.1.2.3.4 Paket-Sniffing
Bei Paketdiebstahl kann es sich um das Ergreifen von Paketen während der Übertragung und den Versuch handeln, aus dem Inhalt nützliche Informationen zu extrahieren.
Einige Pakete enthalten Benutzernamen, Passwörter, IP-Adressen, Kreditkartennummern und andere wertvolle Nutzdaten. Die Verschlüsselung sensiblen Datenverkehrs ist der beste Weg, Netzwerkdiebstahl zu verhindern.
4.1.2.3.5 Hijacking-Angriff
Hijacking-Angriffe sind böswillige Eingriffe in die Netzwerkkommunikation. Sie werden in Verbindungs-Hijacking (wie ARP-Spoofing und DNS-Hijacking) und Sitzungs-Hijacking (wie Man-in-the-Middle-Angriff) unterteilt Erhalten Sie vertrauliche Informationen und geben Sie sich als Opfer aus.
4.1.2.3.6 MITRE ATT&CK Framework
MITRE ATT&CK wurde von der MITRE Corporation entwickelt, um Sicherheitsexperten eine Grundlage für die Entwicklung von Bedrohungsmodellen und -methoden in ihren Organisationen sowie die Bereitstellung von Taktiken und Techniken zu bieten.
4.1.3. Sicherheitsprotokolle
4.1.3.1 SSH (Secure Shell Protocol)
••Eine Alternative zu Telnet für verschlüsselte interaktive Textkommunikation über TCP
•Verhindern Sie Session-Hijacking und MITM-Angriffe
•SSH-1 ist nicht sicher, SSH-2 ist sicher
4.1.3.2TLS (Transport Layer Security)
• SSL als primäres Protokoll für sicheren Netzwerkverkehr ersetzt
•Sichere HTTP-Sitzungen und andere End-to-End-Verschlüsselungsanforderungen
•Unterstützung der Serverauthentifizierung und der gegenseitigen Authentifizierung zwischen Client und Server
Es wurde festgestellt, dass SSL3.0 anfällig für den POODLE-Angriff ist und nicht mehr sicher ist
4.1.3.3 Kerberos
• Kommunikationsprotokoll zum Schutz der Anmeldeinformationen
•Verwendet das Ticketkonzept, um Systemen in ungesicherten Netzwerken den sicheren Identitätsnachweis zu ermöglichen
4.1.3.4. IPSec (P-Sicherheitsprotokoll)
IPSec ist eine Reihe von Protokollen, die Vertraulichkeit, Integrität und Authentifizierung für über IP-Netzwerke gesendete Daten gewährleisten sollen.
•IPSec besteht hauptsächlich aus folgenden Teilen:
1Authentication Header (AH): Bietet Datenquellenauthentifizierung und Schutz der Datenintegrität. Es kann jede Manipulation von Daten während der Übertragung erkennen und die Identität des Absenders bestätigen.
2. Encapsulated Security Payload (ESP): Bietet Datenquellenauthentifizierung, Schutz der Datenintegrität und Verschlüsselung. Durch die Verschlüsselung der Nutzdaten stellt ESP die Vertraulichkeit der Kommunikationsinhalte sicher.
3. Security Association (SA): Stellt Parameter für das IPSec-Protokoll bereit, einschließlich Schlüssel und Verschlüsselungsalgorithmen. SA definiert, wie Daten während der Übertragung gehandhabt werden und wie AH und ESP gehandhabt werden.
•IPSec verfügt über zwei Arbeitsmodi:
1. Transportmodus: Nur die Nutzlast (Datenteil) des IP-Pakets wird verschlüsselt und authentifiziert. Geeignet für End-to-End-Kommunikationssicherheit zum Schutz der Datenintegrität und -vertraulichkeit.
2 Tunnelmodus: Verschlüsseln und authentifizieren Sie das gesamte IP-Paket, einschließlich Daten und IP-Header-Informationen. Dieser Modus wird verwendet, um einen sicheren Kommunikationstunnel, beispielsweise ein VPN, zu erstellen, der zwei Netzwerkknoten verbindet und den gesamten Datenübertragungsprozess schützt.
4.1.3.5 Internet Key Exchange (IKE)
– Teil der IPSec-Suite, die zum Aufbau eines sicheren Kommunikationskanals zwischen zwei Einheiten verwendet wird
• Verwendet normalerweise ein X.509-PK-Zertifikat zur Authentifizierung und nutzt das Dittie-Hellman-Merkle-Schlüsselaustauschprotokoll, um einen gemeinsamen Sitzungsschlüssel einzurichten
•Zwei Versionen: IKEV1 und 1KEv2, beide sind anfällig für Offline-Angriffe und erfordern einen Passwortschutz mit hoher Entropie
4.1.4. Auswirkungen mehrschichtiger Protokolle
1. Einleitung
•Mehrschichtige Netzwerkkommunikationsprotokolle ermöglichen die Kommunikation verschiedener Systeme miteinander
•Gemeinsame mehrschichtige Protokolle: TCP/IP-Netzwerkprotokollsuite
•Beispiel: Distributed Network Protocol (DNP3) für Industrial Control Systems (ICS) und Supervisory Control and Data Acquisition (SCADA)-Netzwerke, einschließlich Datenrahmenschicht, Transportschicht und Anwendungsschicht.
2. Vorteile mehrschichtiger Protokolle
•Verschiedene Protokolle können auf höheren Ebenen verwendet werden
• Die Verschlüsselung kann auf verschiedenen Ebenen erfolgen
•Unterstützung von Flexibilität und Belastbarkeit in komplexen Netzwerkstrukturen
3. Nachteile mehrschichtiger Protokolle
•Gewähren Sie verdeckten Durchgang
•Filter können umgangen werden
•Logisch auferlegte Segmentgrenzen können überwunden werden
4.1.5. Fusionsprotokoll
Fusionsprotokolle kombinieren proprietäre und Standardprotokolle (z. B. die TCP/P-Protokollsuite) und sollen die Abhängigkeit von teurer proprietärer Hardware verringern und je nach verwendetem Fusionsprotokoll unterschiedliche Leistung bieten. Hier sind einige der wichtigsten Konvergenzprotokolle:
4.1.5.1 Fibre Channel over Ethernet (FCOE)
•Anwendung: Storage Area Network (SAN)-Lösungen
•Technologie: Verwendet Fibre-Channel-Protokolle und spezielle Netzwerkgeräte
•Geschwindigkeit: Hochgeschwindigkeitsbetrieb (mindestens 10 Gbit/s)
•OS1-Modellstandort: zweite Ebene
• Entwicklung: Fibre Channel over IP (FCIP) als Nachfolgetechnologie, geeignet für ein breiteres Spektrum an Netzwerkumgebungen
4.1.5.2 Internet Small Computer System Interface (iSCSI)
•Anwendung: Kostengünstige Alternative zu Fibre Channel
•Technologie: IP-basierte Netzwerkspeicherstandards
•Vorteile: Einfache Verbindung zu Remote-Speichervolumes über das Netzwerk
4.1.5.3 Multiprotokoll-Label-Switching (MPLS)
•Anwendung: Hochleistungsnetzwerktechnologie zur Erstellung virtueller privater Schaltkreise
•Technologie: Leiten Sie Daten anhand von Kurzpfadbezeichnungen, um die Weiterleitungsgeschwindigkeit zu verbessern
•0S1-Modellstandort: Schicht 2.5 (zwischen Datenverbindungsschicht und Netzwerkschicht)
4.1.5.4 Voice over Internet Protocol (VoP)
•Anwendung: Kostengünstige Telefonielösung
Technologie: Verwendet eine Vielzahl von Technologien, um Sprachkommunikation und Multimediasitzungen über IP-Netzwerke zu kapseln
• Vorteile: Entwicklung einer Mainstream-Telefonlösung für Unternehmen und Privatpersonen
4.1.6. Mikrosegmentierung
Mikrosegmentierung ist eine Methode zum Erstellen von Zonen in einem Netzwerk, die Ressourcen isolieren und unabhängigen Schutz für jedes Netzwerksegment bieten. Die Mikrosegmentierung erfordert eine erneute Authentifizierung, wenn Zugriff auf zonenübergreifende Ressourcen erforderlich ist. Hier sind einige Techniken im Zusammenhang mit der Mikrosegmentierung:
4.1.6.1 Softwaredefiniertes Netzwerk (SDN)
1. Verwaltungsmethode: Zentrale Verwaltung des Netzwerks, um eine einheitliche Verwaltung aller Lieferanten, Anwendungen und Technologien zu erreichen
2. Standard: OpenFlow (einer der frühesten SDN-Standards)
3. Architekturebene:
. Infrastrukturschicht (Datenebene): umfasst Netzwerk-Switches, Router und Datenweiterleitungsprozesse
. Kontrollschicht: Bestimmen Sie den Verkehrsfluss und treffen Sie Entscheidungen basierend auf dem Status der Infrastrukturschicht und den Anforderungen der Anwendungsschicht
•Anwendungsschicht: Netzwerkdienste, Dienstprogramme und Anwendungen, die mit der Kontrollschicht kommunizieren
4.1.6.2 Softwaredefinierte Sicherheit (SDS)
•Sicherheitsmodus: ein Sicherheitsmechanismus, der von Sicherheitssoftware gesteuert und verwaltet wird
•Funktionen: Richtliniengesteuert, einschließlich Netzwerksegmentierung, Erkennung und Verhinderung von Eindringlingen, Benutzer- und Geräteidentifizierung, Anwendungskontrolle usw.
4.1.6.3 Software-Defined Wide Area Network (SD-WAN)
•Anwendungen: Unterstützung der WAN-Architektur, insbesondere im Zusammenhang mit Cloud-Umgebungen
•Funktionen: Verwenden Sie Software zur Steuerung der Verbindungs- und Verwaltungsdienste zwischen dem Rechenzentrum und dem Remote-Netzwerk
•Vier von Gartner erwähnte Merkmale:
1) Muss mehrere Verbindungstypen unterstützen (wie Internet, MPLS, LTE usw.)
2) Eine dynamische Pfadauswahl kann durchgeführt werden, um die Lastverteilung über WAN-Verbindungen zu unterstützen
3) Stellen Sie eine einfache Schnittstelle zur Verwaltung des WAN bereit
4) VPN und andere Dienste von Drittanbietern müssen unterstützt werden
4.1.6.4 Virtuelles erweiterbares LAN (VxLAN)
•Technologie: Netzwerkvirtualisierungstechnologie, die die zweite Schicht in große Netzwerkrahmen im UDP-Datagramm der vierten Schicht einkapselt
•Vorteile: Ermöglicht eine größere Partitionierung von Netzwerken (im Vergleich zu VLANs) und erfüllt so die Anforderungen großer Multi-Tenant-Public-Cloud-Anbieter
4.1.7. Drahtloses Netzwerk
3. Drahtloser Zugangspunkt (WAP)
Ein Wireless Access Point (WAP), manchmal auch nur Access Point (AP) genannt, ist ein Netzwerkgerät, das es Wireless-fähigen Geräten ermöglicht, eine Verbindung zu einem kabelgebundenen Netzwerk herzustellen. Ein WAP stellt eine direkte Verbindung zu einem kabelgebundenen lokalen Netzwerk her und nutzt dann Wi-Fi oder andere drahtlose Technologien (z. B. Li-Fi), um eine drahtlose Konnektivität zu diesem kabelgebundenen LAN bereitzustellen.
4.1.7.11 Sicherung drahtloser Zugangspunkte
1.
Standortuntersuchung
•Zweck: Identifizierung unerwünschter APs und Bestimmung des AP-Standorts und der AP-Konfiguration.
•Wichtigkeit: Stellen Sie regelmäßig Compliance und Sicherheit sicher.
2. Bestimmen Sie den Standort des WLAN-Zugangspunkts
• Optimieren Sie den Signalabdeckungsbereich: Nutzen Sie einen zentralen Standort.
• Westbrook-Signaldämpfung: Vermeiden Sie Hindernisse, Störungen und Reflexionen.
3 Wählen Sie den entsprechenden Antennentyp
•Omnidirektionale Antenne: große Abdeckung.
•Richtantennen: Fokussieren Sie die Abdeckung in eine bestimmte Richtung.
4. Wählen Sie den entsprechenden WLAN-Kanal aus
•Hinweis: Verschiedene Länder haben eine unterschiedliche Anzahl von Kanälen.
5. Wählen Sie das entsprechende Bereitstellungsmodell
•Basismodus: einschließlich unabhängiger Modus (drahtlose Clients verbinden sich), kabelgebundene Erweiterung (drahtlose Clients verbinden sich mit kabelgebundenen Netzwerken), Unternehmenserweiterung (mehrere WAPs bieten Abdeckung für dieselbe ESSID) und Bridge (Verbindung zweier kabelgebundener Netzwerke).
6. Service Set Identifier (SSIDs) einrichten und verwalten
•Ad-hoc-Modus: Drahtlose Geräte kommunizieren ohne zentrale Steuerung.
•ESSID: Name des drahtlosen Netzwerks im Infrastrukturmodus.
°B5S10: Name des drahtlosen Netzwerks im Ad-hoc-Modus.
• Verbesserte Sicherheit: SSID nicht übertragen und WPA3 verwenden.
7. Verwenden Sie eingeschränkte Portale zur Authentifizierung
•Szenario: Öffentliches drahtloses Netzwerk, z. B. Hotels, Flughäfen usw.
•Methode: Erfordert die Eingabe von Anmeldeinformationen, Zahlungs- oder Zugangscode.
8. Implementieren Sie MAC-Filter
•Funktion: Liste der autorisierten Geräte, die auf den WAP zugreifen dürfen.
•Nachteile: Schwierig zu verwalten und auf große Umgebungen zu skalieren.
4. Drahtlose Angriffe
4.1.7.12 Signalstörungen
Übersicht: Schädliche Aktivität, die WAP überlastet und die Verarbeitung legitimen Datenverkehrs verhindert.
Vorbeugende Maßnahmen: Geräte mit Anti-Interferenz-Technologie verwenden, Signalüberwachung durchführen, Störquellen rechtzeitig erkennen und beseitigen usw.
4.1.7.13 Kriegsfahren
Überblick: Es handelt sich um das Verhalten von Angreifern, von unterwegs aus drahtlose Netzwerke zu durchsuchen und zu lokalisieren, um Schwachstellen zu finden. Diese Netzwerke sind für Angreifer in der Regel nicht zugänglich.
Vorsichtsmaßnahmen: Verwenden Sie starke Verschlüsselungsprotokolle, geben Sie SSIDs nicht weiter, beschränken Sie die Netzwerkzugriffsberechtigungen usw.
5. Drahtlose Übertragungstechnologie
4.1.7.14 LiFi
Überblick: Drahtlose Kommunikationstechnologie, die Licht zur Übertragung von Daten mithilfe von sichtbarem, ultraviolettem oder infrarotem Licht nutzt.
Vorteile: Sicherheitsvorteile, hohe Geschwindigkeit, 100-fache Bandbreite im Vergleich zu WLAN.
4.1.7.15 Bluetooth
Übersicht: Drahtloser Technologiestandard, der drahtlose Punkt-zu-Punkt-Übertragung über kurze Distanzen unterstützt.
Vorteile: Es ist keine Basisstation erforderlich und die Geräte werden direkt angeschlossen.
Nachteile: Fehlende Verschlüsselung; langsame Geschwindigkeit.
4.1.7.16 ZigBee
Überblick: Kostengünstiger drahtloser Kommunikationsstandard mit geringem Stromverbrauch und geringer Latenz, basierend auf IEEE 802,15.4, angewendet auf das Internet der Dinge.
Sicherheitsfunktionen: Zugriffskontrolllisten (ACLs); Frame-Zähler; Verschlüsselung (mit 123-Bit-AES-Schlüsseln).
4.1.8. Mobilfunknetz
Ein Mobilfunknetz ist ein drahtloses Kommunikationssystem, das über innerhalb eines geografischen Gebiets verteilte Zellen und Basisstationen kommuniziert. Benutzer stellen über tragbare Geräte auf bestimmten Funkfrequenzen eine Verbindung zu Mobilfunkstandorten, anderen Mobilfunkgeräten oder dem Internet her.
Eines der Angriffsszenarien für Mobilfunknetze sind Man-in-the-Middle-Angriffe, bei denen Mobilfunkmasten zur Erfassung des Datenverkehrs genutzt werden. Diese Bedrohungen sollten bei der Entwicklung oder Verwaltung der Bring-Your-Own-Device-Richtlinie (BYOD) Ihres Unternehmens berücksichtigt werden.
4.1.9. Content Delivery Network (CDN)
Ein Content Delivery Network (CDN), auch Content Delivery Network genannt, ist eine geografisch verteilte Sammlung von Ressourcendiensten, Proxyservern und Rechenzentren. Die Natur dieses Architekturmodells besteht darin, niedrige Latenzzeiten, hohe Leistung und hohe Verfügbarkeit für Inhalte bereitzustellen, insbesondere für Multimedia-, E-Commerce- und soziale Netzwerkseiten.
Der Inhalt wird so nah wie möglich am anfordernden Client abgerufen, was zu einer geringeren Latenz und einem höheren Durchsatz führt. Da Daten in mehreren Gerichtsbarkeiten gespeichert oder verarbeitet werden, müssen CDNs und ihre Benutzer verstehen, wie sich lokale Vorschriften auf ihr Unternehmen und ihre Kunden auswirken.
4.2. Sichere Netzwerkkomponenten
4.2.1. Hardware-Bedienung
1. Sicherheit und korrekter Betrieb der Netzwerkhardware
•Standards, Richtlinien und Verfahren
Unternehmen sollten Standards für die Sicherheitsbasis von Hardwaregeräten festlegen, Richtlinien für den Betrieb und die Verwaltung dieser Geräte festlegen und tägliche Betriebsabläufe formalisieren, um eine konsistente Geräteverwaltung zu unterstützen.
•Ausbildung
Netzwerkadministratoren und andere Personen, die Hardware verwalten oder bedienen, sollten regelmäßig über den ordnungsgemäßen und sicheren Betrieb geschult werden.
•Änderungsmanagement
Konfigurationen, Patches und andere Änderungen sollten ordnungsgemäß dokumentiert werden und den standardmäßigen Änderungsmanagementverfahren der Organisation folgen.
•Redundante Stromversorgung
Stellen Sie redundante Netzteile in kritischer Netzwerkinfrastruktur bereit, um die Verfügbarkeit im Falle eines Stromausfalls sicherzustellen.
•Monitor
Überwachen Sie Netzwerkgeräte auf Ausfälle, Anomalien oder andere sicherheitsrelevante Ereignisse.
•Garantie und Support
Für alle Netzwerkgeräte sollte eine gültige Garantie bestehen, um im Falle eines Systemausfalls Schutz zu bieten.
2. Internet-Terminologie
4.2.1.1 Datenkollision
Wenn zwei Systeme gleichzeitig senden und versuchen, das Netzwerkmedium gleichzeitig zu nutzen, kommt es zu einer Datenkollision, was dazu führen kann, dass eine oder beide Nachrichten beschädigt werden.
4.2.1.2 Broadcast-Domäne
Ist eine logische Aufteilung eines Computernetzwerks, in dem alle Knoten einander über Broadcasts auf der Datenverbindungsschicht (Schicht 2) erreichen können.
4.2.1.3 Kollisionsdomäne (Kollisionsdomäne)
Besteht aus allen Geräten, die über gemeinsame Medien verbunden sind. Es kann jederzeit zu Kollisionen zwischen Geräten kommen.
3. Netzwerkkomponenten
4.2.1.4 Firewall
Firewalls werden verwendet, um zu verhindern, dass unbefugte Daten von einem Bereich des Netzwerks in einen anderen fließen.
Firewall-Typ:
1. Statische Paketfilter-Firewall: Das früheste und einfachste Firewall-Design, das auf der Netzwerkschicht (Schicht 3) des OSI-Modells arbeitet und jedes Paket gemäß festgelegten Regeln überprüft. Diese Art von Firewall bietet keinen Authentifizierungsmechanismus und ist möglicherweise anfällig für Spoofing.
2 Feuerblockierung auf Anwendungsebene: Arbeitet auf der Anwendungsebene (Schicht 7) und führt eine eingehende Prüfung von Datenpaketen und Netzwerkverkehr durch. Diese Firewall fungiert als Barriere zwischen Endbenutzern und dem externen Netzwerk und fungiert als Proxy. Eine gründliche Inspektion braucht Zeit, daher ist diese Art von Firewall die langsamste aller Arten.
3 Stateful Inspection Firewall: Arbeitet auf der Netzwerk- und Transportschicht (Schicht 3 bzw. 4) des OSI-Modells und überwacht den Status von Netzwerkverbindungen. Basierend auf dem TCP-Betriebsmodus werden der Verbindungsstatus und andere Attribute aufgezeichnet und diese Attribute gefiltert.
4 Firewall auf Schaltungsebene: Funktioniert nur auf der Sitzungsebene (Schicht 5) des OSI-Modells und stellt sicher, dass der TCP-Handshake abgeschlossen ist. Es werden weder tatsächliche Pakete überprüft, noch werden einzelne Pakete verworfen. Der Vorteil dieser Art von Firewall besteht darin, dass sie Sitzungen authentifiziert und gleichzeitig alle Details über das geschützte Netzwerk maskiert.
5 Firewall der nächsten Generation (NGFW): Kombiniert traditionelle Firewall-Funktionen mit den erweiterten Funktionen anderer netzwerkbasierter Sicherheitsgeräte wie IDS oder IPS. Arbeitet auf mehreren Ebenen des OSl-Modells.
6. Multi-Interface-Firewall: Eine Firewall mit zwei oder mehr Netzwerkschnittstellen verwendet eine Reihe softwaredefinierter Regeln, um zu bestimmen, welcher Datenverkehr zwischen den Netzwerken, mit denen sie verbunden ist, passieren kann, wodurch das Risiko einer unbeabsichtigten Datenübertragung zwischen den beiden Netzwerken verringert wird. Wechselkursrisiken.
7 Bastion Host/Screened Host: Eine spezielle Firewall oder ein Host, der sich hinter Diensten auf der Routing-Ausrüstung des Kernnetzwerks oder in der DMZ befindet. Trennen Sie interne private Netzwerke von nicht vertrauenswürdigen Netzwerken (möglicherweise dem Internet). Fungiert als Proxy als einziges Gerät, das von externen Quellen aus erreichbar ist, maskiert die Identität interner Knoten und fügt eine Schutzschicht hinzu.
Architektur der Firewall-Bereitstellung:
. Wählen Sie den Firewall-Typ aus: einschließlich statischer Paketfilterung, Anwendungsebene, Zustandsprüfung, Schaltungsebene, nächste Generation
•Bestimmen Sie den Bereitstellungsort: z. B. Netzwerkperimeter, interne Netzwerksegmentierung, DMZ oder Kernnetzwerk.
•Wählen Sie die Firewall-Form: Hardware-Firewall oder Software-Firewall.
•Wählen Sie die Technologie: Open-Source-Firewall-Technologie oder proprietäre Firewall-Technologie.
•Bereitstellungsmethode: physisches Gerät oder virtuelles Gerät.
•Verwaltung und Wartung: Konfigurieren, Überwachen, Aktualisieren und Behandeln von Sicherheitsereignissen.
4.2.1.5 Repeater, Konzentratoren und Verstärker
•Funktioniert auf der physischen Ebene
• Erweitern Sie die maximale Übertragungslänge eines Signals auf einem bestimmten Medientyp
• Stellen Sie eine Verbindung zu Netzwerksegmenten her, die dasselbe Protokoll verwenden
4.2.1.6 Hubs
•Funktioniert auf der physischen Ebene
•Verbinden Sie mehrere Netzwerkgeräte mit demselben Protokoll mit derselben Kollisionsdomäne
• Mit der Popularität von Switches wurden Hubs nach und nach abgeschafft
4.2.1.7 Brücken
•Funktioniert auf der Datenverbindungsebene
. Verbinden Sie Netzwerksegmente mit demselben Protokoll und teilen Sie Kollisionsdomänen auf
• Verwenden Sie den Spanning Tree-Algorithmus (STA), um Broadcast-Stürme zu verhindern
•Wurde aufgrund ihrer höheren Leistung durch Schalter ersetzt
4.2.1.8 Schalter
•Funktioniert hauptsächlich auf der Datenverbindungsebene
•Intelligenter Hub, mehrere Geräte verbinden und unabhängige Kollisionsdomänen erstellen
•Erweiterte Switches können auf Netzwerkebene betrieben werden und Routing-Funktionen bereitstellen
•Unterstützt die VLAN-Abteilung, um die Netzwerksicherheit und -effizienz zu verbessern
4.2.1.8 Router
••Funktioniert auf der Netzwerkebene
•Weiterleitung basierend auf IP, verantwortlich für die Entscheidungsfindung und Steuerung des Netzwerkverkehrs
•Fähigkeit zur Verbindung mit verschiedenen Netzwerktypen wie LAN und WAN
4.2.1.9Gateways
•Funktioniert normalerweise auf der Anwendungsebene
•Protokollübersetzer zur Realisierung der Kommunikation zwischen verschiedenen Netzwerken
•Möglichkeit, das Format eines Datenstroms von einem Netzwerk in ein kompatibles Format zu konvertieren, das von einem anderen Netzwerk verwendet werden kann
4.2.1.10 Proxys
• – ein spezielles Gateway
• Als Vermittler, Filter, Repository-Server oder Adressübersetzungsserver zwischen Netzwerken fungieren
•Keine protokollübergreifende Übersetzung, wird häufig in NAT-Servern verwendet
4.2.1.11 LAN-Extender
•Mehrschichtschalter
•Wird verwendet, um ein Netzwerksegment über die Entfernungsgrenzen eines bestimmten Kabeltyps hinaus zu erweitern
•Kann als WAN-Switch, WAN-Router, Repeater oder Verstärker implementiert werden
4.2.1.12 Wireless Access Points (WAPs)
•Funktioniert auf der Datenverbindungsebene
. Bietet drahtlose Netzwerkkonnektivität, sodass Geräte drahtlos eine Verbindung zu kabelgebundenen Netzwerken herstellen können
4.2.2. Übertragungsmedien
1. LAN-Technologie:
4.2.2.1Ethernet
•Broadcast-Technologie basierend auf dem IEEE 802.3-Standard, die es mehreren Geräten ermöglicht, über dasselbe Medium zu kommunizieren
•Geringe Implementierungskosten, einfach zu verstehen, zu implementieren und zu warten
•In der Regel in Stern- oder Bustopologie eingesetzt
•Unterstützt bidirektionale Vollduplex-Kommunikation über Twisted-Pair-Kabel
•Funktioniert auf der physischen und Datenverbindungsebene des OSI-Modells
•Klassifiziert nach Datenübertragungsrate und Entfernung: Fast Ethernet (100 Mbit/s), Gigabit Ethernet (1 Gbit/s), 10 Gigabit Ethernet (10 Gbit/s)
4.2.2.2 Wireless LAN (Wi-Fi)
•Drahtlose Kommunikationstechnologie, die dem IEEE 802.11-Standard entspricht
•Unterteilt in Infrastrukturmodus (Verbindung von Geräten über Zugangspunkte) und Ad-hoc-Modus (direkte Verbindungen zwischen Geräten)
2. Netzwerkverkabelung:
4.2.2.3 Koaxialkabel
•Der zentrale Kern besteht aus Kupferdraht und die äußere Schicht verfügt über eine Isolationsschicht und eine leitende Abschirmschicht
•Ermöglicht bidirektionale Kommunikation und verfügt über Fähigkeiten zum Schutz vor elektromagnetischen Störungen (EMI).
•Teurer und sperriger als Twisted Pair, überträgt Signale aber über größere Entfernungen
4.2.2.4 Basisbandkabel und Breitbandkabel
• Die Namenskonvention folgt dem xxyyyzZ-Muster
xx stellt die maximale Geschwindigkeit dar, die der Kabeltyp bietet, yyy gibt an, ob es sich um ein Basisband- oder Milliband-Kabel handelt, und zZ stellt die maximale Entfernung dar, die das Kabel verwenden kann, oder ist eine Abkürzung für die Kabeltechnologie. 10Base2-Kabel bedeutet beispielsweise: 10Mbps-Basisbandkabel hat eine Übertragungsentfernung von ca. 200 Metern.
STP verfügt über folienumwickelte Drähte für zusätzlichen Schutz vor Übersprechen und elektromagnetischen Störungen
4.2.2.6 Leiter
•Kupferdraht: Kostengünstig und gute Leistung bei Raumtemperatur. Aber mit zunehmendem Widerstand nimmt die Signalstärke ab
• Glasfaserkabel: überträgt Lichtimpulse, schnell, abhör- und störungssicher, große Übertragungsdistanz, aber schwierig zu installieren und hohe Anschaffungskosten
4.2.2.7 Weitere Überlegungen zur Verkabelung
•Vermeiden Sie die Verwendung von mehr als vier Repeatern hintereinander
•Befolgen Sie die 5-4-3-Regel: maximal fünf Netzwerksegmente, verbunden durch maximal vier Repeater und Konzentratoren, von denen nur an drei zusätzliche oder andere Benutzer, Server oder Netzwerkgeräte angeschlossen sein dürfen.
3. Netzwerktopologie
Es gibt vier grundlegende Variationen der physischen Topologie eines Netzwerks: Ring, Bus, Stern und Mesh.
4.2.2.8 Ringtopologie
In einer Ringtopologie werden Geräte verbunden und Pakete in einem unidirektionalen Ringmuster übertragen. Daten werden System für System übertragen, und wenn ein System ausfällt, kommt es zum Ausfall des gesamten Netzwerks.
4.2.2.9 Bustopologie
Jeder Knoten oder jedes System in einer Bustopologie ist durch eine Leitung oder ein Hauptkabel verbunden. Wenn der Bus von einem Segment getrennt wird, wird dieses Segment deaktiviert. Innerhalb des Segments können Knoten jedoch weiterhin miteinander in Kontakt treten.
Es gibt folgende Arten von Bustopologien: linear und baumartig
4.2.2.10 Sterntopologie
•Jeder unabhängige Knoten ist direkt mit einem zentralen Knoten (Switch, Hub oder Konzentrator) verbunden.
•Die gesamte Datenkommunikation muss über den zentralen Knoten erfolgen, was zu einem Engpass oder einem Single Point of Failure führen kann
•Einfach zu installieren und zu warten, Netzwerkfehler lassen sich leicht isolieren und haben keine Auswirkungen auf andere Teile
•Die logische Architektur einer Bus- oder Ringtopologie kann eine Sterntopologie bilden
•Das Ethernet-Netzwerk kann als physischer Stern eingesetzt werden, da es busbasiert ist
4.2.2.11 Mesh-Topologie
Eine Mesh-Topologie ist ein Netzwerk, in dem alle Systeme über separate Pfade miteinander verbunden sind.
Vorteile: Redundante Verbindungen erhöhen die Verfügbarkeit
Nachteile: Komplexes Management und zusätzliche Kosten
4.2.3. Network Access Control Appliances (NAC)
Die NAC-Technologie fängt den Netzwerkverkehr des Geräts ab und überprüft seine Verbindungsberechtigung mithilfe des 802.1x-Authentifizierungsprotokolls. Zu den Zielen von NAC gehören die Durchsetzung von Netzwerkrichtlinien, die Durchsetzung von Sicherheitsrichtlinien sowie die Authentifizierung und Autorisierung von Netzwerkverbindungen. Verhindern/reduzieren Sie Zero-Day-Angriffe indirekt, indem Sie eine Reihe von Netzwerkrichtlinien ausführen.
1. Zwei Phasen der NAC-Implementierung:
•Vor der Zulassung: Überprüfen Sie, ob der Endpunkt der Richtlinie entspricht, z. B. IP, MAC, Identitätsinformationen usw.
•Nach der Zulassung: Gewähren Sie Netzwerkzugriff, steuern Sie das Benutzerverhalten und entscheiden Sie anhand der Regelkonformität, ob der Zugriff storniert werden soll
2. NAC-Implementierungsmethode:
. Proxy NAC: Verwendet einen Proxyserver zur Authentifizierung und Autorisierung. Authentifizierung und Autorisierung können durch Authentifizierungsprotokolle wie 802.1× und RADIUS erreicht werden.
•Agentless NAC: Ermöglicht Authentifizierungs- und Autorisierungsfunktionen auf Netzwerkgeräten. Authentifizierung und Autorisierung können durch Authentifizierungsprotokolle wie 802.1X und RADIUS erreicht werden.
•Out-of-Band-NAC: Trennt Analyse- und Ausführungsfunktionen und berichtet an eine zentrale Konsole. Ohne Sicherheitsmaßnahmen kann die Out-of-Band-Konfiguration jedoch die Netzwerksicherheit gefährden.
• In-Band-NAC: Das Gerät befindet sich mitten im Netzwerkverkehr und entscheidet basierend auf der Anmeldung des Endpunkts, ob der Datenverkehr zugelassen oder eingeschränkt wird. Der Vorteil besteht darin, dass die Authentifizierung und Autorisierung direkt mitten im Verkehrsfluss erfolgen kann, bei Überlastung des Geräts kann es jedoch zu einem Engpass bei der Netzwerkleistung kommen.
3. Reparaturmethode:
Die Sanierung ist ein notwendiger Schritt, um den blockierten Zugriff zu beheben. Es gibt zwei verschiedene Reparaturmethoden:
•Isolation: Endpunkte sind auf ein bestimmtes IP-Netzwerk oder VLAN beschränkt und bieten so einen eingeschränkten Zugriff.
. Capture Portal: Leiten Sie den Webzugriff auf eine bestimmte Webseite um, beispielsweise eine Anmeldeseite oder eine Autorisierungsseite.
4.2.4. Endpunktsicherheit
4.2.4.1 Endpunkt
Zu den Endpunkten gehören Laptops, Desktops, Server, mobile Geräte, IoT-Geräte, industrielle Steuerungssysteme, autonome mobile Systeme, Roboter und mehr
4.2.4.2 Endpoint Detection and Response (EDR)
EDR ermöglicht eine kontinuierliche Überwachung und Reaktion auf komplexe Bedrohungen auf allen Arten von Endpunkten. Erkennen, untersuchen und reagieren Sie auf verdächtige Aktivitäten, indem Sie Endpunkt- und Netzwerkereignisse überwachen und diese Ereignisse analysieren.
4.2.4.3 Endpunkt-Sicherheitsrichtlinie
Eine Defense-in-Depth-Strategie kombiniert Endpunktkontrollen der nächsten Generation wie Zero-Trust-Architektur, lokale Host-Firewalls, erweiterte Bedrohungsschutzanwendungen, Multi-Faktor-Authentifizierung, Auditing (wie UEBA) und clientbasiertes 1DS/IPS zur Isolierung infizierte oder verdächtige Endpunkte außerhalb des Netzwerks.
4.2.4.4 Endpoint-Sicherheitsmaßnahmen
Die Endpunktsicherheit sollte die Wirksamkeit von Antiviren- und Anti-Malware-Software, richtig konfigurierte hostbasierte Firewalls, gehärtete Konfigurationen, die unnötige Dienste deaktivieren, und gepatchte Betriebssysteme umfassen.
4.2.4.5 Mobile Geräte
1. Zu den Sicherheitsrichtlinien für Mobilgeräte gehören:
•Speicher: Minimale Datenaufbewahrung und regelmäßige Löschung von Daten, die über die Datenaufbewahrungsrichtlinie hinausgehen.
•Authentifizierung: Verwenden Sie Multi-Faktor-Authentifizierung wie Passwörter, Biometrie und mehr, um Ihr Gerät zu sperren, wenn es nicht verwendet wird.
•Verschlüsselung: Verschlüsseln Sie ruhende Daten auf mobilen Geräten, kombiniert mit Hardware-Sicherheitsmodulen (HSM), um ein höheres Maß an Sicherheitsmanagement zu gewährleisten.
•Remote Wipe: Löschen Sie den Inhalt eines verlorenen Geräts über das Netzwerk.
2. Mobile Device Management (MDM) und seine Entwicklung:
•MDM: Registrieren und verwalten Sie die Mobilgeräte der Mitarbeiter, einschließlich Asset-Management, Konfigurationsmanagement, Fernlöschung und anderen Funktionen.
•EMM: Eine erweiterte Version von MDM, die eine detailliertere Inhaltskontrolle und den Schutz von Unternehmensdaten ermöglicht.
• UEM: Integrieren Sie MDM und EMM, um den Umfang der Verwaltung und Kontrolle zu erweitern, einschließlich mobiler Geräte, PCs, 1oT, tragbarer Geräte, ICS usw.
3 Strategien für die Verwaltung mobiler Geräte:
•Anwendungskontrolle: Verwalten Sie Anwendungen auf Mobilgeräten im Blacklist- oder Whitelist-Modus.
• Containerisierung und Speichersegmentierung: Bietet sichere verschlüsselte Teile sensibler Unternehmensdaten und ermöglicht Benutzern uneingeschränkten Zugriff auf andere Teile des Geräts.
•Wechselspeicher: Deaktivieren Sie die Verwendung von Wechselspeicher auf dem Gerät, um das Risiko von Datenlecks zu verringern.
•Inhaltsfilterung: Verhindern Sie, dass Benutzer auf ihren Geräten auf nicht autorisierte Inhalte zugreifen.
4. Verfolgung mobiler Geräte
•Asset-Tracking: Verwalten Sie den gesamten Lebenszyklus des Geräts, einschließlich Geräteanwendung, Bestellung, Empfang, Erstkonfiguration, Anwendung von Sicherheitsrichtlinien, Gerätezuweisung zu Benutzern und Außerbetriebnahme des Geräts.
•Geolocation: Nutzt die GPS-Funktionen Ihres Mobilgeräts, um den Gerätestandort zu bestimmen.
. Geofencing: Richten Sie einen virtuellen Zaun um einen bestimmten Bereich ein und lösen Sie einen Alarm aus, wenn das Gerät den Zaun verlässt
•Müssen sich der Datenschutzprobleme bewusst sein und die rechtliche und ethische Offenlegung der Überwachung und autorisierten Nutzungen gegenüber überwachten Mitarbeitern sicherstellen.
5. Sicherheit mobiler Anwendungen
•Authentifizierung: Erfordert eine Authentifizierung für Anwendungen, die auf Daten oder Ressourcen zugreifen.
•Datenverschlüsselung: Stellen Sie sicher, dass die sensiblen Daten Ihrer Anwendung im Ruhezustand und während der Übertragung verschlüsselt sind, und implementieren Sie eine starke Schlüsselverwaltung.
•Geotagging-Berechtigungen: Stellen Sie sicher, dass die Geotagging-Berechtigungen Ihrer App den Unternehmensanforderungen entsprechen.
6 Durchsetzung der Sicherheit mobiler Geräte
•Vermeiden Sie die Nutzung von App-Stores von Drittanbietern
•Verhindern Sie Jailbreaking oder Rooting, indem Sie Geräte auf Anzeichen eines Jailbreaks überwachen und sicherstellen, dass die Geräte-Firmware auf dem neuesten Stand und gegen bekannte Schwachstellen gepatcht ist.
4.2.4.6 Mobiler Bereitstellungsmodus
1. Bringen Sie Ihr eigenes Gerät mit (BYOD)
Mitarbeiter nutzen persönliche Geräte, um sich mit dem Unternehmensnetzwerk zu verbinden und Arbeitsaufgaben zu erledigen. Dieses Modell verbessert die Arbeitseffizienz, beinhaltet jedoch Datenschutzprobleme und erfordert ein Sicherheitsmanagement und Einschränkungen des Unternehmens.
2 Wählen Sie Ihr eigenes Gerät (CYOD)
Das Unternehmen stellt seinen Mitarbeitern eine Reihe von Geräten zur Auswahl. Dieses Modell bietet Mitarbeitern Freiheit und ermöglicht Unternehmen gleichzeitig die zentrale Verwaltung von Geräten und die Implementierung von Sicherheitskontrollen.
3 Unternehmenseigentum, persönlich aktiviert (COPE)
Das Unternehmen stellt Geräte zur Verfügung, damit Mitarbeiter frei zwischen Arbeit und Privatleben wechseln können. Dieses Modell ist gut für die Work-Life-Balance, erschwert jedoch die Unternehmensführung und -sicherheit.
4 Organisationseigentum, nur Unternehmen (COBO/COMS):
Das Unternehmen kauft mobile Geräte, die den Sicherheitsrichtlinien entsprechen und nur für die geschäftliche Nutzung des Unternehmens bestimmt sind. Dies ist die sicherste Bereitstellung
5 Virtuelle Desktop-Infrastruktur (VDI)
Unternehmen betreiben virtuelle Desktops in Rechenzentren oder in der Cloud, und Mitarbeiter verbinden sich über persönliche Geräte. Die Daten werden stets in der virtualisierten Umgebung gespeichert, wodurch die Sicherheit gewährleistet ist.
7. Zu den typischen Bedenken bei Implementierungsstrategien für Mobilgeräte gehören:
•Geräteverwaltung: Registrierung, Konfiguration, Aktualisierung, Austausch und Rücknahme usw.
•Anwendungsverwaltung: Installation, Aktualisierung, Deaktivierung und Deinstallation usw.
•Datensicherheit: Verschlüsselung, Sicherung, Wiederherstellung und Löschung usw.
•Netzwerksicherheit: Netzwerkverbindungen, Firewalls, VPNs usw.
•Gerätepositionierung: Positionierung, Überwachung und Verriegelung usw.
•Wireless-Sicherheit: Drahtlose Netzwerksicherheit, Wi-Fi-Verschlüsselung und mehr.
•Datenschutz: Schutz der Privatsphäre und Informationen.
•Batteriemanagement: Batterienutzung, Energieverwaltung, Ladestrategie usw.
•Support und Services: Unterstützung bei der Verwaltung mobiler Geräte, Benutzerunterstützung und mehr.
•Verwaltung von Drittanbieteranwendungen: Verwaltung, Überwachung, Deaktivierung von Drittanbieteranwendungen usw.
. Richtlinien und Leitlinien: Entwickeln Sie klare Nutzungsrichtlinien und Leitlinien.
•Mobile Device Management (MDM): Konfiguration, Richtlinien, Sicherheit, Überwachung und mehr.
•User Identity Management (UIM): Stellt sicher, dass nur autorisierte Benutzer auf Unternehmensnetzwerke und -daten zugreifen.
•Multi-Faktor-Authentifizierung: Erhöhen Sie die Sicherheit wie Fingerabdruck, Gesichtserkennung, Passwort usw.
•Nachhaltigkeitsmanagement: Management des Gerätelebenszyklus, einschließlich Kauf, Nutzung, Wartung, Erneuerung und Recycling.
•Disaster Recovery: Entwickeln Sie einen Disaster-Recovery-Plan zur Bewältigung von Geräteausfällen oder -verlusten, die durch Notfälle verursacht werden.
•Protokollverwaltung: Sammeln und analysieren Sie Geräteprotokolle, um die Nutzung zu verstehen und Sicherheitsbedrohungen zu erkennen.
•Zentralisierte Verwaltung: Verbesserung der Verwaltungseffizienz und -sicherheit.
•Benutzerschulung: Verbessern Sie das Sicherheitsbewusstsein und die Fähigkeiten der Benutzer.
•Compliance: Befolgen Sie Gesetze, Vorschriften und Industriestandards.
4.3. Implementieren Sie sichere Kommunikationskanäle durch Design
4.3.1. Stimme
4.3.1.1 Private Branch Exchange (PBX)
PBX (Private Branch Exchange) ist ein Telefonsystem auf Unternehmensebene. Bei Telefonanlagen mit analogen Signalen besteht möglicherweise das Risiko eines Rechnungsbetrugs. Zu den Abhilfemaßnahmen gehören Problemerkennung, Schwachstellenmanagement, Schulung und Überwachung.
4.3.1.2 POTS (Plain Old Telephone Service)
POTS ist ein traditioneller Telefondienst, der PSTN-Leitungen zur Bereitstellung von Anrufdiensten nutzt. Sprachkommunikation über POTS-Verbindungen ist anfällig für Abhören, Abhören usw. Sicherheitskontrollen basieren auf physischen Kontrollen, der Isolierung des Netzwerkverkehrs und der Überwachung gefährdeter Bereiche.
4.3.1.3 Öffentliches Telefonnetz (PSTN)
PSTN (Public Switched Telephone Network) ist ein traditionelles Telefonkommunikationsnetz, das hauptsächlich Sprachanrufdienste bereitstellt. PSTN-Signale können über ein Modem in digitale Signale umgewandelt werden, um DSL- oder ISDN-Internetverbindungen anzuwählen.
4.3.1.4 VolP
VolP (Voice over Internet Protocol) Sprachkommunikation über Internet Protocol. Zu den VoIP-Schwachstellen zählen Phishing, SPIT-Angriffe, Kompromittierung des Call-Manager-Systems, MITM-Angriffe und unverschlüsselte Datenverkehrslecks. Zu den Abhilfemaßnahmen gehören der Einsatz von Verschlüsselungs-, Netzwerksegmentierungs- und Netzwerkzugriffskontrolltechnologien.
4.3.2. Multimediale Zusammenarbeit
Multimedia-Zusammenarbeit ist ein allgemeiner Begriff, der Videokonferenzgespräche, Instant Messaging, E-Mail usw. umfasst. Während der COVID-19-Pandemie sind diese Technologien zu entscheidenden Diensten für die Geschäftsabwicklung geworden. Viele Unternehmen haben Fernarbeit als akzeptable Option akzeptiert.
4.3.2.1 Remote-Konferenz
Remote-Meetings erfordern die Sicherstellung der Authentifizierung, z. B. die Vorregistrierung für das Meeting mit einem eindeutigen Passwort. Sprach-, Daten- oder Videoübertragungen erfordern möglicherweise eine Verschlüsselung, um sie zu schützen. Beim Zoombombing handelt es sich um den Zutritt unbefugter Personen oder Organisationen zu einer Zoom-Videokonferenz. Dazu gehört in der Regel das Posten unangemessener Inhalte oder die Störung des normalen Ablaufs der Videokonferenz.
4.3.2.2 Instant Messaging
•Instant Messaging (IM) wird auch als Private Messaging (PM) bezeichnet. IM kann den folgenden Sicherheitsbedrohungen ausgesetzt sein:
•Konto-Spoofing: Dies gefährdet die Authentizität, wenn IM keine starke Authentifizierung erzwingt.
•Paketdiebstahl: Ohne Verschlüsselung ist Instant Messaging anfällig für Paketdiebstahl und gefährdet seine Integrität.
•Speicherung von Schadcode, Infektion oder Datenexfiltration: Dateiübertragungen und Fernzugriff erhöhen diese Risiken.
•Social-Engineering-Angriffe: IM-Benutzer sind häufig vielen Formen von Social-Engineering-Angriffen ausgesetzt.
•SPIM: Spam-SMS, also das Versenden einer großen Anzahl nutzloser oder nicht autorisierter SMS-Nachrichten.
Hinweis: Das Blockieren von Ports in der Firewall zur Verhinderung von IM-Angriffen ist wirkungslos, da IM normalerweise offene Ports verwendet (z. B. 80/443).
4.3.2.3 E-Mail
E-Mail-Server: Sendmail und Microsoft Exchange sind gängige E-Mail-Server-Software, die das SMTP-Protokoll zum Senden von E-Mails und die POP3- und IMAP-Protokolle zum Empfangen von E-Mails unterstützt. Der SMTP-Server sollte sicherstellen, dass er ordnungsgemäß für die starke Authentifizierung ein- und ausgehender E-Mails konfiguriert ist.
•E-Mail-Sicherheitsziele: Gewährleistung der Vertraulichkeit, Integrität, Verfügbarkeit, Nichtabstreitbarkeit und Authentizität von E-Mails (CIANA).
•E-Mail-Angriffe: Phishing, Spam usw.
•E-Mail-Sicherheitsrichtlinie: Nutzungsrichtlinien, Zugriffskontrolle, Datenschutz, E-Mail-Sicherungs- und Aufbewahrungsrichtlinien.
•E-Mail-Sicherheitslösungen: digitale Signaturen, Anti-Malware-Scans, Blockierung verdächtiger Anhänge und potenziell riskanter Dateinamenerweiterungen, Filter, Verschlüsselung, Benutzerschulung, Antiviren- und Endpunktschutz und mehr.
•E-Mail-Sicherheitsstandards:
Sorgen Sie für Sicherheit, indem Sie die Verwendung von TLS für die E-Mail-Verschlüsselung durchsetzen.
1) S/MIME (Sichere Mehrzweck-Internet-Mail-Erweiterungen)
Ermöglichen Sie E-Mail-Authentifizierung und Vertraulichkeit durch Verschlüsselung mit öffentlichen Schlüsseln und digitale Signaturen. Die Authentifizierung erfolgt mithilfe digitaler X.509-Zertifikate und die PKCS-Verschlüsselung (Public Key Cryptozoology Standard) sorgt für Datenschutz.
2) MOSS (MIME Object Security Service)
Bei den MD2- und MD5-Algorithmen bestehen Sicherheitslücken. MOSS wurde nie weit verbreitet und wurde nun aufgegeben, hauptsächlich aufgrund der Beliebtheit von PGP.
3) PEM (Privacy Enhanced Email)
Bietet E-Mail-Verschlüsselungsmechanismen, einschließlich Authentifizierungs-, Integritäts-, Vertraulichkeits- und Nichtabstreitbarkeitsdiensten. Verwendet RSA, DES und X.509.
4)DKIM (Domain Name Key Identified Mail)
Überprüfen Sie die Domänenidentität, um sicherzustellen, dass die E-Mail von der Organisation stammt, für die sie sich ausgibt. Die Implementierung von DKM basiert auf öffentlichen Schlüsseln und digitalen Signaturen.
5) PGP (Pretty Good Privacy)
Schützen Sie E-Mail-Nachrichten und andere digitale Assets mithilfe verschiedener Verschlüsselungsalgorithmen. PGP ist kein Standard, sondern ein unabhängig entwickeltes Produkt, das im Internet weit verbreitet ist. OpenPGP und GnuPG sind Open-Source-Produkte, die auf PGP basieren.
6) Erzwungene Verschlüsselung
E-Mail-Verschlüsselung über TLS
4.3.3. Fernzugriff
4.3.3.1 Fernzugriffstechnologie
•Fernzugriff auf bestimmte Dienste: Ermöglichen Sie Benutzern den Fernzugriff auf bestimmte Dienste und deren Nutzung, z. B. nur E-Mail
•Fernsteuerung: Ermöglicht einem autorisierten Benutzer den Fernzugriff auf ein anderes System und die physische Kontrolle über das Fernsystem.
•Screen Scraping: Kopieren von in einer Anwendung angezeigten Informationen zur Verwendung oder Anzeige in eine andere Anwendung.
Die Verschlüsselung wird implementiert, um das Risiko einer unbefugten Offenlegung oder Zerstörung zu verringern.
4.3.3.2 Sicherheitsverwaltung für den Fernzugriff
•Multi-Faktor-Authentifizierung: Verwenden Sie mehrere Verifizierungsmethoden für zusätzliche Sicherheit.
. Beschränken Sie den Fernzugriff: Erlauben Sie nur denjenigen, die den Fernzugriff benötigen und häufig nutzen.
•Verschlüsselung der Übertragungsverbindung: Schützen Sie die Datenübertragung mit Technologien wie VPN, SSL, TLS, SSH und IPSec.
4.3.3.3 Authentifizierungsmethode
4.3.3.4 VPN
Ist ein Kommunikationstunnel, der eine sichere Punkt-zu-Punkt-Verbindung über ein nicht vertrauenswürdiges Netzwerk (z. B. das Internet) aufbaut. Die meisten VPNs verwenden Verschlüsselung, um den gekapselten Datenverkehr zu schützen. Eine Verschlüsselung ist jedoch keine Voraussetzung dafür, dass eine Verbindung als VPN betrachtet wird.
•Tunneltechnologie
Das ursprüngliche Paket wird durch die Kapselung mit einem anderen Protokoll geschützt, sodass der Datenverkehr nur für Systeme an beiden Enden des Tunnels sichtbar und vor nicht vertrauenswürdigen Netzwerken verborgen bleibt.
Gängige VPN-Protokolle:
1 PPTP: Point-to-Point Tunneling Protocol, das aus dem PPP-Einwahlprotokoll entwickelt wurde, dient zur Kapselung des Datenverkehrs auf der Datenverbindungsebene und wird in IP-Netzwerken verwendet. Der Authentifizierungsverkehr wird mit denselben Authentifizierungsprotokollen geschützt, die auch von pPP unterstützt werden. Gilt heute als unsicher und veraltet.
2 L2TP: Layer-2-Tunneling-Protokoll, das zum Erstellen von Punkt-zu-Punkt-Tunneln zur Verbindung verschiedener Netzwerke verwendet wird. L2TP selbst bietet keine Verschlüsselung und bietet daher keine Vertraulichkeit oder starke Authentifizierung, kann jedoch mit IPSec kombiniert werden, um diese Dienste bereitzustellen. L2TP unterstützt TACACS und RADIUS. Die L2TPV3-Version verfügt über verbesserte Sicherheitsfunktionen, einschließlich verbesserter Kapselung und Unterstützung für weitere Kommunikationstechnologien wie Frame Relay, Ethernet und ATM.
3 IPSec: Ein Sicherheitsprotokoll auf Netzwerkebene, das IP-Datenpaketen Verschlüsselungs- und Authentifizierungsinformationen hinzufügen kann.
4 OpenVPN: Ein Open-Source-VPN-Protokoll, das auf dem SSLITLS-Protokoll basiert und mehrere Verschlüsselungsalgorithmen unterstützt.
5 SSTP: Ein auf HTTPS basierendes Tunnelprotokoll, das durch Firewalls übertragen werden kann.
4.3.4.1 Frame Relay
•Eine schnelle Datenübertragungstechnologie basierend auf der Paketvermittlungstechnologie
•Verwenden Sie virtuelle Schaltkreise statt dedizierter physischer Schaltkreise
•Verschlüsseln Sie den Datenverkehr auf gemeinsam genutzten virtuellen Verbindungen über VPN, um die Vertraulichkeit zu gewährleisten
•Wide Area Network (WAN)-Leitungen, die hauptsächlich in kleinen und mittleren Unternehmen verwendet werden
•Nach und nach ersetzt durch ATM, IP und andere Protokolle (einschließlich VPN)
4.3.4.2 Asynchroner Übertragungsmodus (ATM)
•Eine Hochgeschwindigkeits-Datenübertragungstechnologie, die hauptsächlich zur Bereitstellung von Hochgeschwindigkeits-Datenübertragungen und verschiedenen Arten von Informationsübertragungsdiensten verwendet wird
•Verwenden Sie Dateneinheiten (Zellen) mit fester Größe (53 Byte) für die Datenübertragung
•Unterstützt Hochgeschwindigkeitsübertragung, hohe Flexibilität und hohe Zuverlässigkeit
•Mit der Popularität von IP-Netzwerken werden Geldautomaten nach und nach ersetzt
4.3.4.3 Multiprotokoll-Label-Switching (MPLS)
Weitere Informationen finden Sie unter 4.1.5.3 Einführung in das Fusionsprotokoll in MPLS
4.3.4. Datenkommunikation
4.3.5.Virtualisiertes Netzwerk
Die Netzwerkvirtualisierung integriert Hardware- und Software-Netzwerkressourcen zu einer einheitlichen Einheit, wobei Software verschiedene Netzwerkfunktionen steuert. Dies erleichtert die sensible Netzwerksegmentierung und Host-Isolierung. Die Netzwerksicherheit kann durch den Einsatz virtueller lokaler Netzwerke (VLANs) und die Anwendung unterschiedlicher Sicherheitsrichtlinien verbessert werden. Die Netzwerkvirtualisierung kann das Netzwerk im Falle eines Angriffs oder einer Katastrophe auch dynamisch neu konfigurieren und so die Ausfallsicherheit verbessern.
4.3.6. Verbindungen Dritter
1. Zu den Verbindungen Dritter zählen:
•Daten- und Telekommunikationsanbieter (z. B. ISPs)
•Cloud-Dienstanbieter
•Lieferanten, Kunden, Partnerorganisationen usw.
2 Risiken
Das Hauptrisiko ist das Compliance-Risiko. Als Dateneigentümer sind Organisationen dafür verantwortlich, sicherzustellen, dass die Datenverwaltungs- und -schutzpraktiken von Drittpartnern den gesetzlichen und behördlichen Anforderungen entsprechen. Dazu gehören Aspekte wie der Standort von Servern und Systemen, die Daten hosten und verarbeiten.
3 Best Practices
•Verwenden Sie Compliance-Berichte (z. B. SOC2-Berichte), um Sicherheits- und Compliance-Risiken im Zusammenhang mit Verbindungen Dritter zu bewerten.
• Stellen Sie die Verantwortlichkeit Dritter durch Service Level Agreements (SLAs) sicher.
•Schützen Sie Daten durch Transportverschlüsselung, strenge Zugriffskontrollverfahren und E-Mail-Filterung.
. Überwachen Sie kontinuierlich die Verbindungen von Drittanbietern, um neue Bedrohungen, anomales Verhalten oder Abweichungen von SLAs zu erkennen.
Übungsfragen
1.Gary möchte eine große Datei verteilen und bevorzugt die Verwendung eines Peer-to-Peer-Content-Delivery-Netzwerks (CDN). Welches der folgenden ist das häufigste Beispiel für diese Art von Technologie? A.CloudFlare B. BitTorrent C. Amazon CloudFront D. Akamai Edge
B
2. Bei der Durchführung einer Sicherheitsbewertung von drahtlosen Netzwerken entdeckte Jim, dass ein Netzwerk WPA nutzte SPRUNG. Welchen Rat sollte Jlim geben? A Verwenden Sie weiterhin LEAP. Für WPA-Netzwerke bietet es eine bessere Sicherheit als TKIP. B. Verwenden Sie andere Protokolle wie PEAP oder EAP-TLS und implementieren Sie WPA2, sofern unterstützt. C. Um Authentifizierungsprobleme zu vermeiden, verwenden Sie weiterhin LEAP, wechseln Sie jedoch zu WPAz. D. Verwenden Sie andere Protokolle wie PEAP oder EAP-TLS und implementieren Sie Wired Equivalent Privacy um drahtlose Sicherheitsprobleme zu vermeiden.
B Bücher nachschlagen P410 Es gibt zwei Arten der WAP-Identitätsauthentifizierung: OSA (Klartext) und SKA (Authentifizierung vor der Kommunikation). Der kabelgebundene äquivalente Datenschutz in Option D ist WEP
3.Ben hat seinen Laptop und sein Tablet über 802.11ac verbunden. Welchen drahtlosen Netzwerkmodus verwendet er, um diese Geräte zu verbinden? A. Infrastrukturmodell B. Kabelgebundener Erweiterungsmodus C. Ad-hoc-Netzwerkmodus D. Unabhängiger Modus
C
4. Die PCs von Selah und Nick senden gleichzeitig Datenverkehr, was dazu führt, dass sie gleichzeitig Daten senden. Welcher der folgenden Netzwerkbegriffe beschreibt die Reihe von Systemen in einem Netzwerk, die von demselben Problem betroffen sein können? A. Subnetz B. Supernet C.Conflict-Domäne D.Broadcast-Domäne
C
5. Sarah überprüft manuell eine Paketerfassung des TCP-Verkehrs und stellt fest, dass ein System über einen kurzen Zeitraum wiederholt TCP-Pakete sendet, wobei das RST-Flag gesetzt ist. Was bedeutet dieses Flag im TCP-Paketheader? Das A.RST-Flag steht für „Rest“. Der Server erfordert, dass der Datenverkehr für einen kurzen Zeitraum angehalten wird. Das B.RST-Flag steht für „Relais gesetzt“. Das Paket wird an die im Paket festgelegte Adresse weitergeleitet. Das C.RST-Flag steht für „Resume Standard“. Die Kommunikation kehrt zum normalen Format zurück. D. RST steht für „Reset“. Die TCP-Sitzung wird getrennt.
D
6.Gary stellt ein drahtloses Netzwerk bereit und möchte die schnellste drahtlose Technologie bereitstellen. Welcher der folgenden WLAN-Standards sollte verwendet werden? A. 802.11a B. 802.11g C. 802.11n D. 802.11ac
D
7Michele hofft, den FTP-Verkehr durch ein sicheres Protokoll zu ersetzen. Welches Sicherheitsprotokoll sollte sie wählen? A.TFTP B. HFTPS C.SecFTP D.SFTP
D
8.Jake wird darüber informiert, dass in seinem Netzwerk ein Layer-3-Problem vorliegt. Welche der folgenden Aussagen bezieht sich auf Nr. 3 im OSI-Modell? Layerbezogen? A.IP-Adresse B.TCP- und UDP-Protokolle C.MAC-Adresse Port. Senden und Empfangen von Bits über Hardware
A
9. Frank ist dafür verantwortlich, sicherzustellen, dass seine Organisation über zuverlässige, unterstützte Netzwerkhardware verfügt. Welches der folgenden Probleme ist kein häufiges Problem, mit dem Netzwerkadministratoren konfrontiert sind, wenn sie versuchen, den kontinuierlichen Betrieb ihrer Netzwerke sicherzustellen? A. Wird das Gerät vom Anbieter unterstützt? B. Befindet sich das Gerät innerhalb der Garantiezeit? C. Ob das Hauptgerät eine redundante Stromversorgung unterstützt D. Ob alle Geräte redundante Netzteile unterstützen
D
10.Brian wählt ein Authentifizierungsprotokoll für eine PPP-Verbindung aus. Er wollte eine Option, die Benutzernamen und Passwörter verschlüsselt und Replay-Angriffe durch Challenge/Response-Gespräche verhindert. Außerdem möchte er das Remote-System regelmäßig neu zertifizieren. Welches Protokoll sollte er verwenden? A.PAP B.CHAP C. EAP D. SPRING
B
11. Welches der folgenden Protokolle wird üblicherweise zur Bereitstellung von Backend-Authentifizierungsdiensten für VPNs verwendet? A. HTTPS B. RADIUS C.ESP D.AH
B
12. Issca möchte sicherstellen, dass die Initialisierung seiner VoIP-Sitzung sicher ist. Welches Protokoll sollte er unbedingt aktivieren und erfordern? A. SVOIP B.PBSX C. SIPS D.SRTP
C P405 In den ursprünglichen Worten des Buches überträgt RTP oder SRTP das Session Initiation Protocol (SIP) wieder, nachdem die Kommunikationsverbindung zwischen den Endpunkten übernommen wurde Verwenden Sie SIPS für die Initialisierungssicherheit
Für die Fragen 13–15 beziehen Sie sich bitte auf das folgende Szenario und Diagramm: Coris entwirft ein hierarchisches Netzwerk für seine Organisation 13. Welches Firewall-Design ist im Diagramm dargestellt? A. Einschichtige Firewall B. Doppelschicht-Firewall C. Dreischichtige Firewall D. Vierschichtige Firewall 14. Welche Sicherheitsfrage sollte Chris stellen, wenn das VPN dem Remote-Benutzer den gleichen Zugriff auf Netzwerk- und Systemressourcen gewährt wie der lokalen Workstation? A.VPN-Benutzer können nicht auf den Webserver zugreifen. B. Keine zusätzlichen Sicherheitsprobleme; der logische Netzwerkstandort des VPN-Aggregators ist derselbe wie das logische Netzwerk der Workstation Standortübereinstimmung. C. Der Webserververkehr wird nicht zustandsüberprüft. D. VPN-Benutzer sollten sich nur von kontrollierten PCs aus verbinden. 15. Wenn Chris Cross-Site-Scripting-Angriffe auf einen Webserver verhindern möchte, welches ist das beste Gerät für diesen Zweck und wo sollte er es platzieren? A. Firewall, Standort A B. Intrusion Detection System (1DS), Standort A C. Intrusion Prevention System (IPS), Standort B D.Web Application Firewall (WAF), Standort C
B
D
C
16. Susan stellt ein Routing-Protokoll bereit, das eine Liste von Zielnetzwerken verwaltet, die die Anzahl der Hops zum Erreichen des Zielnetzwerks und die Richtung enthält, in die der Datenverkehr gesendet werden soll. Welche Art von Protokoll verwendet sie? A. Link-State-Protokoll B. Link Distance Protocol C. Zielmetrikprotokoll D. Distanzvektorprotokoll
D
17.Ben hat sein Netzwerk so konfiguriert, dass die SSID nicht gesendet wird. Aus welchem Grund hat Ben die SSID-Übertragung deaktiviert und wie wurde seine SSID entdeckt? A. Durch die Deaktivierung der SSID-Übertragung wird verhindert, dass Angreifer Verschlüsselungsschlüssel entdecken. Die SSID kann aus entschlüsselten Paketen wiederhergestellt werden. B. Durch die Deaktivierung der SSID-Übertragung kann das Netzwerk vor unbefugtem Personal verborgen bleiben. Die SSID kann mithilfe eines WLAN-Sniffers ermittelt werden. C. Das Deaktivieren der SSID-Übertragung kann Probleme mit Beacon-Frames verhindern. Die SSID kann durch Neuerstellung der BSSID wiederhergestellt werden. D. Das Deaktivieren der SSID-Übertragung hilft, SSID-Konflikte zu vermeiden. SSDs können erkannt werden, indem versucht wird, eine Verbindung zum Netzwerk herzustellen.
B
18. Welches der folgenden Netzwerktools schützt die Identität des Clients und stellt einen Internetzugang bereit, während es eine Client-Anfrage akzeptiert, die Quelladresse der Anfrage ändert, die Anfrage dem Client zuordnet und die geänderte Anfrage an die Zieladresse sendet? Ein Schalter B.Agent C-Router D. Firewall
B P423 Ursprüngliche Wörter im Buch, konzentrieren sich in der Frage auf den Schutz der Kundenidentität
19 Susan möchte den Kommunikationsverkehr sichern, der vom zweiten Standort ihres Unternehmens über mehrere Internetdienstanbieter gesendet wird. Welche Technik sollte sie für einen immer verbundenen Link verwenden, um den Stream zu schützen? A. FCoE B.SDWAN C. Site-to-Site-IPsec-VPN D. Zigbee
C
20. Melissa möchte mehrere physische Netzwerke in ihrer Organisation auf eine Weise konsolidieren, die für Benutzer transparent ist und gleichzeitig eine Ressourcenzuweisung basierend auf den Anforderungen der Netzwerkdienste ermöglicht. Welche Art von Netzwerk sollte sie bereitstellen? A. iSCSI B. Virtuelles Netzwerk C.SDWAN D.CDN
B
21. Welche E-Mail-Sicherheitslösung bietet zwei Hauptnutzungsmodi: (1) Bereitstellung von Integrität, und Vertraulichkeit gekapseltes Nachrichtenmuster? Signierte Nachricht mit Absenderauthentifizierung und Nichtabstreitbarkeit: (2) Bietet Integrität und Absenderauthentifizierung A.S/MIME B. MOOS C.PEM D.DKIM
A Nachschlagen von Büchern PEM bietet E-Mail-Verschlüsselungsmechanismen, einschließlich Authentifizierungs-, Integritäts-, Vertraulichkeits- und Nichtabstreitbarkeitsdiensten. Verwendet RSA, DES und X.509. Aber die Frage besagt, dass es zwei Modi gibt, also wählen Sie A P461
•E-Mail-Sicherheitsstandards:
1) S/MIME (Sichere Mehrzweck-Internet-Mail-Erweiterungen)
Ermöglichen Sie E-Mail-Authentifizierung und Vertraulichkeit durch Verschlüsselung mit öffentlichen Schlüsseln und digitale Signaturen. Die Authentifizierung erfolgt mithilfe digitaler X.509-Zertifikate und die PKCS-Verschlüsselung (Public Key Cryptozoology Standard) sorgt für Datenschutz.
Es stehen zwei Mechanismen (Nachrichtentypen) zur Verfügung: signierte Nachrichten und sichere Umschlagnachrichten. Signierte Nachrichten bieten Integrität, Identitätsauthentifizierung und Nichtabstreitbarkeit, und sichere Umschlagnachrichten bieten Authentifizierung und Vertraulichkeit der Empfängeridentität.
2) MOSS (MIME Object Security Service)
Bei den MD2- und MD5-Algorithmen bestehen Sicherheitslücken. MOSS wurde nie weit verbreitet und wurde nun aufgegeben, hauptsächlich aufgrund der Beliebtheit von PGP.
3) PEM (Privacy Enhanced Email)
Bietet E-Mail-Verschlüsselungsmechanismen, einschließlich Authentifizierungs-, Integritäts-, Vertraulichkeits- und Nichtabstreitbarkeitsdiensten. Verwendet RSA, DES und X.509.
4)DKIM (Domain Name Key Identified Mail)
Überprüfen Sie die Domänenidentität, um sicherzustellen, dass die E-Mail von der Organisation stammt, für die sie sich ausgibt. Die Implementierung von DKM basiert auf öffentlichen Schlüsseln und digitalen Signaturen.
5) PGP (Pretty Good Privacy)
Schützen Sie E-Mail-Nachrichten und andere digitale Assets mithilfe verschiedener Verschlüsselungsalgorithmen. PGP ist kein Standard, sondern ein unabhängig entwickeltes Produkt, das im Internet weit verbreitet ist. OpenPGP und GnuPG sind Open-Source-Produkte, die auf PGP basieren.
6) Implizites SMTPS
SMTP wird über TLS verschlüsselt und verwendet den Port tcp465
7) DMARC
DNS-basiertes E-Mail-Authentifizierungssystem zur Verhinderung von Phishing und anderem Betrug
22. Bei der Durchführung einer Sicherheitsbewertung stellte Jim fest, dass die Organisation, mit der er zusammenarbeitete, mehrere Protokollebenen zur Handhabung von SCADA nutzte Systeme und in jüngerer Zeit die Verbindung des SCADA-Netzwerks mit den übrigen Produktionsnetzwerken der Organisation. Über TCP/IP Welche Bedenken sollte er bezüglich der seriellen Datenübertragung äußern? A. Mit dem Netzwerk verbundene SCADA-Geräte können jetzt über das Netzwerk angegriffen werden. B. Serielle Daten können nicht über TCP/IP verschlüsselt werden. C. Serielle Daten können nicht in TCP-Paketen übertragen werden. D. Der Durchsatz von TCP/IP kann zu einem einfachen Denial-of-Service-Angriff auf ein serielles Gerät führen.
A P404 P292 SCADA-Angriff
23.Ben bietet Netzwerk- und Sicherheitsdienste für eine kleine Kaffeekette. Eine Kaffeekette möchte ihren Kunden kostenloses und sicheres WLAN zur Verfügung stellen. Wenn sich Ben nicht um die Protokollunterstützung kümmern muss, welche der folgenden Optionen eignet sich dann am besten, um Kunden eine sichere Verbindung zu einem drahtlosen Netzwerk zu ermöglichen, ohne dass ein Benutzerkonto erforderlich ist? A. WPA2 im PSK-Modus. B. WPA3 im SAE-Modus. C. Verwenden Sie WPAz im Unternehmensmodus. D. Verwenden Sie ein Captive-Portal.
B P412 SAE verwendet Standardkennwörter sowie Client- und AP-Speicherauthentifizierung und Schlüsselaustausch PSK verwendet feste statische Passwörter zur Identitätsauthentifizierung Offensichtlich ist B sicherer Ergänzen Sie den HNO-Unternehmensmodus und unterstützen Sie RADIUS oder TACACS
24. Alicias Unternehmen hat eine Multi-Faktor-Authentifizierung mithilfe von SMS-Nachrichten implementiert, um digitale Codes bereitzustellen. Was sind die größten Sicherheitsbedenken, die Alicia zu diesem Design äußern könnte? A. SMS-Nachrichten werden nicht verschlüsselt. B. SMS-Nachrichten können vom Absender getarnt werden. C. SMS-Nachrichten können von mehreren Mobiltelefonen empfangen werden. D. SMS-Nachrichten können auf dem empfangenden Mobiltelefon gespeichert werden.
A
Welche Geschwindigkeiten und Frequenzbereiche verwendet 25.802.11n? A. Nur 5 GHz B.900 MHz und 2,4 GHz C.2,4 GHz und 5 GHz D. Nur 2,4 GHz
C
26. Address Resolution Protocol (ARP) und Reverse Address Resolution Protocol (RARP) im OSI-Modell Auf welcher Betriebsebene arbeitet der Typ? A. Stufe 1 B. Stufe 2 C.Stufe 3 D. Stufe 4
B
27.Welches der folgenden ist ein konvergentes Protokoll, das die Speichermontage über TCP ermöglicht und häufig als kostengünstigere Alternative zu Fibre Channel verwendet wird? A. MPLS B.SDN C.VolP D. iSCSI
D
28. Chris baut ein Ethernet-Netzwerk auf und weiß, dass er in einem 1000BaseT-Netzwerk eine Distanz von mehr als 150 Metern überbrücken muss. Welche Netzwerktechnologie sollte er nutzen, um dieses Problem zu lösen? A. Installieren Sie einen Repeater, Switch oder Hub 100 Meter vor dem Gerät. B. Verwenden Sie Kabel der Kategorie 7 mit besserer Bildschirmleistung für höhere Geschwindigkeiten. C. Installieren Sie ein Gateway, um Entfernungsprobleme zu lösen. D. Verwenden Sie STP-Kabel, um Hochgeschwindigkeitsübertragungen über größere Entfernungen zu ermöglichen.
A
Für die Fragen 29-31 beziehen Sie sich bitte auf die folgenden Szenarien und Abbildungen: Selahs Organisation nutzt seit Jahren einen beliebten Messaging-Dienst. In letzter Zeit wurden einige Bedenken hinsichtlich der Verwendung von Nachrichten geäußert 29. Welches Protokoll wird laut Diagramm am wahrscheinlichsten für den Nachrichtenverkehr verwendet? A. SLACK B.HTTP C SMTP D HTTPS 30. Welche Sicherheitsbedenken ergeben sich aus der Übermittlung interner Kommunikation von A nach B? A. Die Firewall kann System B nicht schützen. B. System C kann den Broadcast-Verkehr von System A nach B sehen. C. Die Übertragung erfolgt über ein unverschlüsseltes Protokoll. D. Das Versenden von Nachrichten stellt keine Nichtabstreitbarkeit dar. 31. Wie kann Selahs Unternehmen den Bedarf an sicherem Messaging für Benutzer der internen Systeme A und C am besten erfüllen? A. Verwenden Sie einen Messaging-Dienst eines Drittanbieters. B. Lokal gehostete Dienste implementieren und nutzen. C. Verwenden Sie HTTPS. D. Hören Sie auf, Messaging zu verwenden und verwenden Sie stattdessen sicherere E-Mails
B
C
B erinnern
32. Welcher der folgenden Nachteile gibt Anlass zur Sorge, wenn mehrschichtige Protokolle zugelassen werden? A. Auf höheren Ebenen kann eine Reihe von Protokollen verwendet werden. B. Versteckte Kanäle zulassen. C. Der Filter kann nicht umgangen werden. D. Es gibt keine Möglichkeit, auf mehreren Ebenen zu verschlüsseln.
B
33 Welches der folgenden Protokolle ist kein Fusionsprotokoll? A. MIME B. FCoE C. iSCSI D.VolP
A P404
Konvergente Protokolle: SAN, FCoE, MPLS, iSCSI, VoIP, VPN, SDN, Cloud, Virtualisierung, SOA, Microservices, Infrastructure as Code, serverlose Architektur
34.Chris nutzt einen mobilen Hotspot, um auf Reisen Internetzugang bereitzustellen. Welches Sicherheitsrisiko könnte er verursachen, wenn er eine Hotspot-Verbindung aufrechterhält, während sein persönlicher Computer mit dem Unternehmensnetzwerk der Organisation verbunden ist? A. Der Datenverkehr wird möglicherweise nicht korrekt weitergeleitet, wodurch vertrauliche Daten offengelegt werden. B. Sein System kann als Brücke vom Internet zum lokalen Netzwerk fungieren. C. Sein System könnte ein Einstiegspunkt für einen reflektierten DDoS-Angriff sein. D. Der Sicherheitsadministrator kann seine IP-Adresse möglicherweise nicht ermitteln, wenn ein Sicherheitsproblem auftritt.
B
35. Als Expertin für Informationssicherheit wurde Susan gebeten, Stellen im drahtlosen Netzwerk ihrer Organisation zu identifizieren, auf die potenziell zugegriffen werden könnte, auch wenn dies nicht beabsichtigt war. Was sollte Susan tun, um festzustellen, wo das drahtlose Netzwerk ihrer Organisation Zugriff hat? A. Vor-Ort-Besichtigung B. Geherkennung C. Fahrerkennung D. Entwerfen Sie die Karte
A
36. Welche Möglichkeiten bietet IPsec für sichere Kommunikation? A. Verschlüsselung, Zugriffskontrolle, Nichtabstreitbarkeit und Nachrichtenauthentifizierung B. Protokollkonvergenz, Inhaltsverteilung, Mikrosegmentierung und Netzwerkvirtualisierung C. Verschlüsselung, Autorisierung, Nichtabstreitbarkeit und Überprüfung der Nachrichtenintegrität D. Mikrosegmentierung, Netzwerkvirtualisierung, Verschlüsselung und Nachrichtenauthentifizierung
A P471 unterstützt keine Autorisierung IPsec AH unterstützt Authentifizierung, Zugriffskontrolle und Anti-Replay IPsec ESP unterstützt Verschlüsselung und Identitätsauthentifizierung AH sorgt für Integrität und Nichtabstreitbarkeit. ESP sorgt für Vertraulichkeit und Integrität
37. Casey wurde gebeten, festzustellen, ob der Zigbee-Netzwerkverkehr während der Übertragung geschützt werden kann. Welche Sicherheitsmechanismen nutzt Zigbee zum Schutz des Datenverkehrs? A.3DES-Verschlüsselung B.AES-Verschlüsselung C. ROT13-Verschlüsselung D. Blowfish-Verschlüsselung
B P420 Zigbee nutzt Bluetooth-Technologie, einen geringen Stromverbrauch und eine niedrige Durchsatzrate in der Nähe des Geräts und unterstützt einen 128-Bit-Verschlüsselungsalgorithmus Der P190 3DES-Schlüssel ist 168 Bit oder 112 Bit lang AES unterstützt 128 192 256
38. Sue ändert ihre MAC-Adresse, um Netzwerke zuzulassen, die zur Gewährleistung der Sicherheit MAC-Filterung verwenden. Welche Technik hat Sue verwendet und welches nicht sicherheitsrelevante Problem könnten ihre Handlungen verursachen? A. Auslastung der Broadcast-Domäne, Adresskonflikt B. Betrug, Token-Verlust C. Spoofing, Konflikte ansprechen D. Gefälschte EUI erstellt, Token verloren
C
39.jim möchte 4GLTE als Out-of-Band-Managementlösung an allen Zertifizierungsstandorten einsetzen. Welches der folgenden Dinge ist sicher? Funktion, die bei 4G-Dienstanbietern normalerweise nicht verfügbar ist? A. Verschlüsselungsfunktion B. Gerätebasierte Authentifizierung C. Spezielle Türme und Antennen für Abonnenten von Sicherheitsdiensten D. SIM-Kartenbasierte Authentifizierung
C
40. SMTP, HTTP und SNMP gehören zu welcher Schicht des 0SI-Modells? A. Stufe 4 B. Stufe 5 C-Stufe 6 D.Stufe 7
D
41. Melissa verwendet das Ping-Dienstprogramm im Rahmen eines Penetrationstests, um zu überprüfen, ob ein Remote-System online ist. Wenn sie ihre Ping-Pakete nicht in den Protokollen des Paket-Sniffers sehen möchte, welches Protokoll sollte sie dann herausfiltern? A.UDP B TCP C.IP D. ICMP
D
42.selah möchte in ihrem Netzwerk eine portbasierte Authentifizierung bereitstellen, um sicherzustellen, dass sich Clients authentifizieren müssen, bevor sie das Netzwerk nutzen. Welche der folgenden Technologien ist für diese Anforderung eine geeignete Lösung? A. 802.11a B.802.3 C. 802.15.1 D. 802.1x
D
43. Ben hat ein 1000BaseT-Gigabit-Netzwerk bereitgestellt und muss ein Kabel durch ein Gebäude verlegen. Wenn Ben seine Verbindung direkt von einem Switch zu einem anderen Switch im Gebäude verbindet, wie groß ist die maximale Entfernung, die Ben gemäß der 1000BaseT-Spezifikation zurücklegen kann? A.2 Kilometer B.500 Meter Ca. 185 Meter D.100 Meter
D
44.Welche Sicherheitskontrolle in einem kabelgebundenen Netzwerk versucht das MAC-Klonen zu umgehen? A. Hafensicherheit B. VLAN-Hopping C.802.1q Tausend Straßen D. Etherkiller-Schutz
A
45.Kathleens Unternehmen hat die meisten seiner Mitarbeiter auf Remote-Arbeit umgestellt und möchte sicherstellen, dass ihre Multimedia-Kollaborationsplattform für sprach-, video- und textbasierte Zusammenarbeit sicher ist. Welche der folgenden Sicherheitsoptionen bietet das beste Benutzererlebnis für die Kommunikation und bietet angemessene Sicherheit? A. Erfordert eine Software-VPN-Verbindung zum Unternehmensnetzwerk für die gesamte Kommunikation über die Kollaborationsplattform. B. Fordern Sie die Verwendung von SIPS und SRTP für die gesamte Kommunikation. C. Verwenden Sie TLS für den gesamten Datenverkehr zur Kollaborationsplattform. D. Stellen Sie sichere VPN-Endpunkte an jedem entfernten Standort bereit und verwenden Sie Punkt-zu-Punkt-VPN für die Kommunikation.
C Interferenzauswahl D, es sollte nicht Punkt-zu-Punkt sein
46.Chris möchte für ein Gerät, das er entwickelt, ein drahtloses Protokoll für ein persönliches Netzwerk mit geringem Stromverbrauch verwenden. Welches der folgenden drahtlosen Protokolle eignet sich am besten für die Kommunikation zwischen kleinen Geräten mit geringem Stromverbrauch, die über relativ kurze Entfernungen zwischen Gebäuden oder Räumen verbunden sind? A. WLAN B. Zigbee C.NFC D.Infrarotstrahl
B
47. Welche der folgenden Optionen enthält Standards oder Protokolle, die auf Schicht 6 des OSI-Modells vorhanden sind? Ein NFS, SQL und RPC B. TCP, UDP und TLS C.JPEG, ASCII und MIDI D.HTTP, FTP und SMTP
C
48.cameron ist besorgt über einen verteilten Denial-of-Service-Angriff auf die Hauptwebanwendung des Unternehmens. Welche der folgenden Optionen bietet die größte Widerstandsfähigkeit gegenüber groß angelegten DDoS-Angriffen? A.CDN B. Erhöhen Sie die Anzahl der Server im Webanwendungsserver-Cluster C. Melden Sie sich über den ISP Ihres Unternehmens für DDoS-Abwehrdienste an D. Erhöhen Sie die von einem oder mehreren ISPs bereitgestellte Bandbreite
A
49. Es gibt vier gängige Protokolle für VPNs. Welche Option unten enthält alle gängigen VPN-Protokolle? A. PPTP, LTP, L2TP, IPsec B. PPP. L2TP C. PPTP. L2TP D. PPTP. L2TP
C
50. Wayne möchte ein sicheres Sprachkommunikationsnetzwerk bereitstellen. Welche der folgenden Technologien sollten in Betracht gezogen werden? (Wählen Sie alle zutreffenden.) A. Verwenden Sie private VLANs für VoIP-Telefone und -Geräte. B. Erfordert SIPS und SRTP. C. Erfordern Sie VPN für alle Remote-VoIP-Geräte. D. Implementieren Sie VoIP IPS.
AB Denken Sie daran
Welche Schicht des 51.0S1-Modells umfasst elektrische Spezifikationen, Protokolle und Schnittstellenstandards? A. Transportschicht B. Geräteschicht C.Physikalische Schicht D. Datenverbindungsschicht
C
52.Ben entwirft ein WLAN-Netzwerk und wird gebeten, den sichersten Netzwerksicherheitsstandard auszuwählen. Welchen WLAN-Sicherheitsstandard sollte er wählen? A.WPA2 B. WPA C.WEP D.WPA3
D
53.Kathleen hat zwei Hauptstandorte in der Stadt und möchte, dass beide Umgebungen wie derselbe Ort aussehen Netzwerk. An jedem Standort werden Router, Switches und Wireless Access Points eingesetzt. Welche der folgenden Techniken eignet sich am besten, um den Eindruck zu erwecken, dass sich die beiden Einrichtungen im selben Netzwerksegment befinden? A.SDWAN B. VXLAN C. VMWAN D. iSCSI
B
54 Segmentierung, Reihenfolge und Fehlerprüfung erfolgen alle innerhalb des OS!I-Modells in Verbindung mit SSL, TLS und UDP -Schicht? Eine theologische Schicht B-Netzwerkschicht C-Sitzungsschicht D. Präsentationsschicht
A
55. Der Windows-Befehl ip-config zeigt die folgenden Informationen an: BC-5F-F4-78-48-7D. Was ist dieser Begriff? Welche Informationen können typischerweise daraus gewonnen werden? Eine IP-Adresse, der Netzwerkstandort des Systems B MAC-Adresse, Hersteller der Netzwerkschnittstellenkarte C. MAC-Adresse, verwendeter Medientyp D.IPV6 Client 1D, Hersteller von Netzwerkschnittstellenkarten
B
56. Chris bat um die Wahl zwischen der Implementierung von PEAP und LEAP für die drahtlose Authentifizierung. er sollte wählen was warum? EIN SPRUNG. Weil es Probleme im Zusammenhang mit TKIP behebt und dadurch für mehr Sicherheit sorgt B. PEAP. Weil es CCMP implementiert, um Sicherheit zu bieten C. LEAP, weil es EAP-TLS für die Ende-zu-Ende-Sitzungsverschlüsselung implementiert D.PEAP. Weil es einen TLS-Tunnel bereitstellen kann, der die EAP-Methode kapselt und so die gesamte Sitzung schützt
D
57.Ben behebt ein Netzwerkproblem und stellt fest, dass das interne Netzwerk des NAT-Routers, mit dem er verbunden ist, nicht funktioniert 192.168.x.x-Subnetz und außerhalb davon 192.168.1.40. Was ist sein Problem? Ein 192.168.x.x ist ein nicht routbares Netzwerk und wird nicht ins Internet übertragen. B.192.168 1.40 ist keine gültige Adresse, da sie durch RFC 1918 reserviert ist. C Double NAT kann nicht mit demselben Bereich ausgewählt werden.• D. Das Upstream-System kann seine Pakete nicht entkapseln und muss stattdessen PAT verwenden.
C
58. Was ist die Standard-Subnetzmaske für ein Klasse-B-Netzwerk? A. 255.0.0.0 B. 255.255.0.0 C. 255.254.0.0 D. 255.255.255.0
B
59.Jims Organisation nutzt eine herkömmliche PBX-Anlage für die Sprachkommunikation. Was sind die häufigsten Sicherheitsprobleme bei der internen Kommunikation? Welche Maßnahmen sollte er empfehlen, um dies zu verhindern? A. Abhören, Verschlüsselung B Man-in-the-Middle-Angriff, Ende-zu-Ende-Verschlüsselung Abhörmaßnahmen, physische Sicherheit D. DFÜ-Scanning und Bereitstellung eines Intrusion Prevention Systems (IPS)
C P452 kann leicht abgehört und abgefangen werden. Die Sicherheit der Sprachkommunikation muss durch physische Sicherheit geschützt werden.
60 Was sind die technischen Unterschiede bei der drahtlosen Kommunikation über WLAN und LiFi? A. LiFi ist nicht anfällig für elektromagnetische Störungen. B.LiFi kann keine Breitbandgeschwindigkeiten bereitstellen. C. WLAN ist nicht anfällig für elektromagnetische Störungen. D.WiFi kann keine Breitbandgeschwindigkeiten bieten.
A
61.Soans Organisation verfügt über VoIP-Telefone, die auf demselben Switch wie die Desktop-Computer installiert sind. Welche Sicherheitsprobleme könnten dadurch entstehen und welche Lösungen könnten zur Lösung beitragen? A. VLAN-Hopping-Angriff; Verwendung physisch getrennter Switches. B. VLAN-Hopping-Angriff; unter Verwendung von Verschlüsselung. C. Spoofing von Rufnummern: Verwenden Sie MAC-Filterung. D. Denial-of-Service-Angriff; Verwendung von Firewalls zwischen Netzwerken.
A
Für die Fragen 62–65 beziehen Sie sich bitte auf das folgende Szenario: Susan entwirft die neue Netzwerkinfrastruktur der Organisation für die Zweigstelle. 62. Susan möchte einen nicht routbaren Satz von IP-Adressen für die interne Netzwerkadresse des Standorts verwenden. Welche der folgenden IP-Adressbereiche könnten basierend auf Ihrem Wissen über sichere Netzwerkdesignprinzipien und IP-Netzwerke für diesen Zweck verwendet werden? (Wählen Sie alle zutreffenden.) A. 172.16.0.0/12 B. 192.168.0.0/16 C. 128.192.0.0/24 D. 10.0.0.0/8 63. Susan weiß, dass sie für ihre Kunden ein WLAN-Netzwerk einrichten muss und möchte die Informationen der Kunden, wie z. B. ihre E-Mail-Adressen, sammeln, ohne ihnen ihre Passwörter oder Schlüssel für das drahtlose Netzwerk mitteilen zu müssen. Welche Art von Lösung bietet diese Kombination von Funktionen? A.NAC B. Ein Gefangenenportal C. Vorinstallierter Schlüssel D. SAE-Modus von WPA3 64. Nachdem sie ihr drahtloses Netzwerk eingerichtet hatte, machte sich Susan daran, sicherzustellen, dass ihr Netzwerk auch bei Ausfällen betriebsbereit bleibt. Wie kann sie bei einem vorübergehenden Ausfall oder einem anderen vorübergehenden Stromproblem am einfachsten sicherstellen, dass ihre Netzwerkgeräte, einschließlich Router, Zugangspunkte und Netzwerk-Switches, eingeschaltet bleiben? A. Kaufen und installieren Sie einen Generator mit Autostart-Funktion. B. Stellen Sie für alle Netzwerkgeräte zwei Netzteile bereit. C. Installieren Sie das USV-System und decken Sie alle Netzwerkgeräte ab, die online bleiben müssen. D. Vertrag mit mehreren verschiedenen Energieversorgern, um redundanten Strom zu erhalten. 65. Susan möchte den Geräten in der neuen Niederlassung eine 10-Gigabit-Netzwerkverbindung zur Verfügung stellen. Welche der folgenden strukturierten Verkabelungsoptionen können diese Geschwindigkeitsanforderungen erfüllen? (Wählen Sie alle zutreffenden.) A. Cat5e B-Glasfaser C Cat6 D-Koaxialkabel
ABD
B
C
B.C.
66 In welchen drei Ebenen des OSl-Modells treten Datenflüsse auf? A. Anwendungsschicht, Präsentationsschicht und Sitzungsschicht B. Präsentationsschicht, Sitzungsschicht und Transportschicht C. Physikalische Schicht, Datenverbindungsschicht und Netzwerkschicht D. Datenverbindungsschicht, Netzwerkschicht und Transportschicht
A erinnern
67.Lucca möchte Endpunkte, die im Produktionseinsatz sind, aber nicht mehr unterstützt werden und nicht gepatcht werden können, vor Cyberangriffen schützen. Welche Maßnahmen sollte er ergreifen, um diese Geräte bestmöglich zu schützen? A. Installieren Sie eine Firewall auf dem Gerät. B. Deaktivieren Sie alle Dienste und öffnen Sie Ports auf dem Gerät. C. Platzieren Sie ein Hardware-Netzwerksicherheitsgerät vor dem Gerät. D. Trennen Sie Geräte vom Netzwerk, da diese Geräte nicht ordnungsgemäß geschützt werden können.
C erinnern
68. Das Netzwerkteam von Selah wurde gebeten, eine Technologie zu finden, die das Netzwerk einer Organisation dynamisch verändern kann, indem sie das Netzwerk als Code behandelt. Welche Art von Architektur sollte sie empfehlen? A. Ein Netzwerk, das der 5-4-3-Regel folgt B. Konvergentes Netzwerk C. Softwaredefiniertes Netzwerk D. Virtualisierungsbasiertes Netzwerk
C
69.Jason weiß, dass Protokolle, die das OSI-Modell verwenden, auf Kapselung basieren, wenn Daten von einer Schicht zur anderen fließen. Was fügt jede Schicht hinzu, wenn Daten durch die OSI-Schichten fließen? A. Der Kopfzeile werden Informationen hinzugefügt. B. Dem Datenkörper werden Informationen hinzugefügt. C. Die Daten werden mit dem neuen geheimen Schlüssel verschlüsselt. D. Ein sicherer Umschlag, der vollständige Vorwärtsgeheimnis gewährleistet.
A
70 Als Alyssa während des Fehlerbehebungsprozesses mit dem technischen Support kommunizierte, gab dieser an, dass es sich bei dem Problem um ein Layer-3-Problem handele. Welches der folgenden möglichen Probleme ist kein Problem der Stufe 3? A. TTL-Nichtübereinstimmung Nichtübereinstimmung zwischen B.MTU C. Falsche Zugriffskontrollliste (ACL) D. Netzwerkkabelfehler
D
71, als Angela eine Prüfung des Netzwerks der Organisation durchführte, stellte sie fest, dass das Netzwerk von einem Broadcast-Sturm betroffen war und dass sich Vorunternehmer, Gäste und Organisationsmanager alle im selben Netzwerksegment befanden. Welches Design sollte Angela empfehlen? A. Von allen Benutzern die Verschlüsselung verlangen B. Installieren Sie Firewalls an Netzwerkgrenzen. C. Aktivieren Sie die Spanning-Tree-Schleifenerkennung. D. Segmentieren Sie das Netzwerk basierend auf funktionalen Anforderungen.
D
72. Auf welcher Ebene des OSI-Modells finden ICMP, RIP und Network Address Translation statt? A. Stufe 1 B. Stufe 2 C. Stufe 3 D.Stufe 4
C
Betrachten Sie für die Fragen 73–75 das folgende Szenario: Ben ist ein Informationssicherheitsexperte, dessen Unternehmen seine physischen Server durch in der Cloud gehostete virtuelle Maschinen ersetzt. Während Unternehmen virtuelle Umgebungen aufbauen, bewegt sie sich in Richtung eines Hybrid-Cloud-Betriebsmodells, bei dem einige Systemdienste in lokalen Rechenzentren verbleiben, während andere Systeme und Dienste in der Cloud gehostet werden. Das Bild unten zeigt die Netzwerk-IP-Bereiche für dieses Rechenzentrum und die Cloud-VPC (es wird dieselbe Adresse, 10.0.0.0/24, verwendet. Sie müssen diese Informationen bei der Beantwortung der Fragen berücksichtigen). 73.Ben möchte sicherstellen, dass der Datenverkehr zwischen Instanzen (System zu System) in seiner in der Cloud gehosteten Infrastructure-as-a-Service-Umgebung sicher ist. Was kann er tun, um vollständig sicherzustellen, dass der virtualisierte Netzwerkverkehr nicht erfasst und analysiert wird? A. Verhindern Sie, dass Paket-Sniffer auf allen Hosts installiert werden. B. Deaktivieren Sie den Promiscuous-Modus für alle virtuellen Netzwerkschnittstellen. C. Die Nutzung eines virtuellen TAP ist untersagt. D. Verschlüsseln Sie den gesamten Datenverkehr zwischen Hosts. 74. Welches Problem tritt am wahrscheinlichsten aufgrund der für das Rechenzentrum und die VPC konfigurierten Subnetze auf? A.IP-Adresskonflikt B. Routing-Schleife C.MAC-Adresskonflikt D. Alles das oben Genannte 75. Ben möchte mehrere Internetdienstanbieter (ISPs) nutzen, um eine Verbindung zu seiner Cloud-VPC herzustellen, um zuverlässigen Zugriff und Bandbreite zu gewährleisten. Mit welchen Techniken kann er diese Verbindungen verwalten und optimieren? A. FCoF B. VXLAN C.SDWAN D.LiFi
D
A
C P406 SDWAN wird hauptsächlich zur Verwaltung und Steuerung von WAN-Links in Cloud-Diensten verwendet.
76. Auf welchem gängigen Verschlüsselungsschema basiert das Counter Mode Cipher Block Chained Message Authentication Mode Protocol (CCMP) von WPA2? A.DES B. 3DES C.AES D.TLS
C P410 AES-CCMP
77. Was passiert als Nächstes, wenn ein Host in einem Ethernet-Netzwerk eine Kollision erkennt und ein Interferenzsignal sendet? A. Der Host, der das Störsignal sendet, darf die Daten erneut senden, während andere Hosts das Senden unterbrechen, bis die Übertragung erfolgreich empfangen wurde. B. Alle Hosts hören auf zu senden und jeder Host wartet eine zufällige Zeitspanne, bevor er versucht, erneut zu senden. C. Alle Hosts hören auf zu senden und jeder Host wartet eine Zeitspanne basierend auf seinem letzten erfolgreichen Versand. D. Der Host wartet auf die Weitergabe des Tokens und setzt dann die Datenübertragung fort, wenn das Token weitergegeben wird.
B erinnern
78. Mark ist besorgt über die physische Sicherheit von Netzwerkkabeln. Welche Art von Netzwerkverbindung ist ohne spezielle Ausrüstung am schwierigsten abzuhören? A. WLAN B.Bluetooth C. Cat5/Cat6 Twisted-Pair D. Glasfaser
D
79.Rich möchte sein Netzwerk mit einem Gebäude verbinden, das eine halbe Meile von seinem aktuellen Standort entfernt ist. Unterwegs gibt es Bäume und Geländemerkmale, aber ein Pfad führt durch die Bäume zu einem anderen Ort. Welches Übertragungsmedium eignet sich am besten für diesen Einsatz? A. Richten Sie den Repeater alle 200 bis 300 Meter des Ethernet-Kabels ein B. WiFi-Richtantenne C. Glasfaserkabel D. LiFi-System
C
80. Was sind die häufigsten Herausforderungen bei der Bereitstellung von Endpunkt-Sicherheitssystemen? A. beschädigt B. Große Datenmenge C Überwachen Sie den verschlüsselten Datenverkehr im Netzwerk D Verarbeitet Nicht-TCP-Protokolle
B P432 Nachdem der erste Absatz zusammengefasst wurde, lautet die Antwort B
81. Welche Art von Adresse ist 127.0.0.1? A. Öffentliche IP-Adresse B. RFC 1918-Adresse C.APIPA-Adresse D. Loopback-Adresse
D
82. Susan schreibt eine Best-Practice-Erklärung für Organisationsbenutzer, die Bluetooth verwenden müssen. Sie weiß, dass Bluetooth potenzielle Sicherheitsprobleme birgt. Welche der folgenden Richtlinien sollten in Susans Aussage enthalten sein? A Nutzen Sie die in Bluetooth integrierte starke Verschlüsselung, ändern Sie die Standard-PIN auf Ihrem Gerät und schalten Sie den Erkennungsmodus und Bluetooth bei inaktiver Nutzung aus. B. Verwenden Sie Bluetooth nur, wenn Sie nicht an vertraulichen Aktivitäten beteiligt sind, ändern Sie die Standard-PIN auf dem Gerät und Schalten Sie den Erkennungsmodus und Bluetooth aus, wenn Sie es verwenden. C. Verwenden Sie die in Bluetooth integrierte starke Verschlüsselung und eine erweiterte Bluetooth-PIN (achtstellig oder länger). Code zum Deaktivieren des Erkennungsmodus und der Bluetooth-Funktionalität bei inaktiver Nutzung. D. Verwenden Sie Bluetooth nur, wenn Sie nicht an vertraulichen Aktivitäten beteiligt sind. Verwenden Sie erweitertes Bluetooth (achtstellig oder länger). PIN-Code zum Deaktivieren des Erkennungsmodus und der Bluetooth-Funktionalität bei inaktiver Nutzung.
B P416 Kein erweitertes Passwort
83. Welcher Netzwerkgerätetyp wird am häufigsten verwendet, um Endpunktsysteme virtuellen LANs (VLANs) zuzuordnen? A. Firewall B. Router C.Schalter D. Nabe
C
84. Steve hat die Aufgabe, ein Netzwerkspeicherprotokoll in einem IP-Netzwerk zu implementieren. Welches speicherzentrierte konvergierte Protokoll verwendet er höchstwahrscheinlich in seiner Implementierung? A. MPLS B. FCoE C.SDN D. VoIP
B
85. Michelle wird mitgeteilt, dass die Organisation, der sie beitritt, eine SD-WAN-Controller-Architektur verwendet, um die WAN-Konnektivität (Wide Area Network) zu verwalten. Welche Annahmen kann sie über die Verwaltung und Kontrolle des Netzwerks treffen? (Alles, was zutrifft.) Ein Netzwerk verwendet vordefinierte Regeln, um die Leistung zu optimieren. B. Das Netzwerk wird kontinuierlich überwacht, um eine bessere Leistung zu unterstützen. C. Das Netzwerk nutzt selbstlernende Technologie, um auf Netzwerkänderungen zu reagieren. D. Alle Verbindungen werden vom primären Internetdienstanbieter der Organisation verwaltet.
ABC erinnern
86 Das folgende Foto zeigt die horizontalen Schichten von 03) in der richtigen Reihenfolge von der Frischbauschicht bis zur 7. Schicht. Bitte bringen Sie die Schichten des hier gezeigten OS1-Modells in die richtige Reihenfolge, von Schicht 1 bis Schicht 7. A Schicht 1 = Datenverbindungsschicht; Schicht 2 = physikalische Schicht, Schicht 3 = Netzwerkschicht 2 Übertragung; Schicht; Schicht 5 = Sitzungsschicht; Schicht 6 – Präsentationsschicht; B. Schicht 1 = physikalische Schicht; Schicht 2 = Datenverbindungsschicht; Schicht 3 = Netzwerkschicht; Schicht; Schicht 5 = Sitzungsschicht; 6 = Präsentationsschicht; C Schicht 1 = Physikalische Schicht: Schicht 2 und Datenverbindungsschicht; 3 = Netzwerkschicht; 4 = Übertragungsschicht; Schicht; Schicht 5 = Sitzungsschicht; Schicht 6 = Anwendungsschicht; 口. Schicht 1 = physikalische Schicht; Schicht 3 = Netzwerkschicht;
B
87. Valerie hat die Portsicherheit auf ihrem Netzwerk-Switch aktiviert. Welche Art von Angriff versucht sie am wahrscheinlichsten zu verhindern? A. IP-Spoofing B.MAC-Aggregation C. Überflutung der CAM-Tabelle D.VLAN-Hopping
C Die P402-Port-Sicherheit blockiert die Kommunikation mit unbekannten, nicht autorisierten und böswilligen Geräten Eine andere Methode sind statische ARP-Einträge
88. Alaina möchte sicherstellen, dass das System ihren Netzwerksicherheitseinstellungen entspricht, bevor es auf das Netzwerk zugreifen darf, und möchte die Systemeinstellungen so weit wie möglich testen und überprüfen. Welche Art von NAC-System sollte sie einsetzen? A. Vorauthentifizierung, kein clientseitiges NAC-System erforderlich B. Client-basiertes NAC-System nach der Authentifizierung C. Vorauthentifiziertes, clientbasiertes NAC-System D. Nach der Authentifizierung ist kein clientseitiges NAC-System erforderlich
C
89． Derek möchte redundante Core-Router bereitstellen, wie in der Abbildung gezeigt. Welches Hochverfügbarkeits-Cluster-Modell bietet ihm den maximalen Durchsatz? A. Master/Master-Modus B. Linieninteraktionsmodus C. Aktiv-/Standby-Modus D. Adjacent-Line-Modus
A
90 Angela möchte zwischen den folgenden Protokollen für die sichere Authentifizierung wählen und keine unnötige technische Komplexität einführen. Welches Authentifizierungsprotokoll sollte sie wählen? Warum? A.EAP, da es standardmäßig eine starke Verschlüsselung bietet B.LEAP, weil es eine häufige Neuauthentifizierung und Änderung der WEP-Schlüssel ermöglicht C.PEAP, weil es Verschlüsselung bietet und nicht von denselben Schwachstellen wie LEAP betroffen ist D. EAP-TLS
C
91. Welche Bedenken ergeben sich häufig bei Systemen, die eine leistungsstarke Internetverbindung erfordern, wenn Satelliteninternet die einzige verfügbare Option ist? Eine Sicherheit B. Kompatibilität mit Protokollen wie LiFi C. Kompatibilität mit Protokollen wie ZigBee D.Verzögerung
D
92.Welche Schicht einer SDN-Implementierung verwendet Programme, um Ressourcenanforderungen über APIs zu kommunizieren? A. Datenebene B. Kontrollebene C. Anwendungsebene D.Überwachungsebene
C API-Anwendung nicht gefunden
93. Welcher der folgenden Punkte ist kein Nachteil von mehrschichtigen Protokollen? A. Sie können Filter und Regeln umgehen. B. Sie können auf höheren OSI-Ebenen ausgeführt werden. C. Sie können eine verdeckte Durchfahrt ermöglichen. D. Sie können Netzwerksegmentgrenzen umgehen.
B
94. Ordnen Sie die folgenden Schichten des TCP/IP-Modells der Reihe nach an, beginnend mit der Anwendungsschicht und nach unten zum Protokollstapel. 1. Anwendungsschicht 2. Netzwerkzugriffsschicht 3. Internetschicht 4. Transportschicht A.1,2.3.4 B. 1,4,2,3 C. 1,4,3,2 D. 4,1,3,2
C
95. Wie hoch ist die Höchstgeschwindigkeit von Kabeln der Kategorie 5e? A. 5 Mbit/s B. 10 Mbit/s C. 100 Mbit/s D. 1000 Mbit/s
D
Was sind die beiden Hauptvorteile des 96,56G-Netzwerks gegenüber dem 4G-Netzwerk? (Wählen Sie alle zutreffenden.) Eine Anti-Interferenz-Funktion B Erweiterter Schutz der Benutzeridentität C Fähigkeit zur gegenseitigen Authentifizierung D. Multi-Faktor-Authentifizierung
B.C. Nicht gefunden, denken Sie daran
97. Welche Funktion spielt VXLAN in einer Rechenzentrumsumgebung? A Es hebt die maximale Entfernungsbeschränkung von Ethernet-Kabeln auf. B Es ermöglicht die Existenz mehrerer Subnetze im selben IP-Bereich unter Verwendung von Hosts mit derselben IP-Adresse. D. Alles das oben Genannte C. Es tunnelt die Layer-2-Verbindung über das Layer-3-Netzwerk und erweitert sie auf das darunter liegende Layer-Netzwerk.
C erinnern
98. Chris richtet ein Hotelnetzwerk ein und muss sicherstellen, dass die Systeme in jedem Zimmer oder jeder Suite miteinander verbunden werden können, die Systeme in anderen Suiten oder Zimmern jedoch nicht. Gleichzeitig muss er sicherstellen, dass alle Systeme im Hotel eine Verbindung zum Internet herstellen können. Welche Lösung sollte er als die effektivste Geschäftslösung empfehlen? A. VPN für jedes Zimmer B.VLAN C.Port-Sicherheit D. Firewall
B
99. Während einer forensischen Untersuchung konnte Charles die MAC-Adressen (Media Access Control) von Systemen ermitteln, die mit dem kompromittierten Netzwerk verbunden waren. Chariles weiß, dass die MAC-Adresse mit dem Hersteller oder Anbieter verknüpft ist und das System ist Teil des Fingerabdrucks. Welche OSI-Schicht ist die MAC-Adresse? A. Anwendungsschicht B. Sitzungsschicht C.Physikalische Schicht D. Datenübertragungsebene
D
100. Mikayla überprüft die VoIP-Umgebungskonfiguration ihrer Organisation und findet ein Diagramm mit dem folgenden Design. Welche Art von Besorgnis sollte sie äußern? A Die Sprachverbindung ist nicht verschlüsselt und kann abgehört werden. B. In diesem Diagramm bestehen keine Sicherheitsbedenken. C. Die Sitzungsinitialisierungsverbindung ist nicht verschlüsselt und kann angezeigt werden. D. Sowohl die Sitzungsinitialisierung als auch die Sprachdatenverbindung sind unverschlüsselt und können erfasst und analysiert werden.
C Die Initialisierung sollte SIPS verwenden