Erstellen Sie Sicherheitsbewertungs- und Testszenarien

Führen Sie eine Schwachstellenbewertung durch

Überprüfung und Test des Testsoftware-Codes

Implementieren Sie Sicherheitsmanagementprozesse

Verstehen Sie die Bedeutung von Sicherheitsbewertungs- und Testprogrammen. Sicherheitsbewertungs- und Testprogramme sind wichtige Mechanismen zur Überprüfung, ob Sicherheitskontrollen weiterhin wirksam sind. Zu den Sicherheitsbewertungs- und Live-Testmethoden gehören verschiedene Tools wie Schwachstellenbewertungen, Penetrationstests, Softwaretests, Audits und Sicherheitsmanagementaufgaben zur Überprüfung der Wirksamkeit von Kontrollen. Jede Organisation sollte über ein definiertes und umsetzbares Sicherheitsbewertungs- und Testprogramm verfügen.

Führen Sie Schwachstellenbewertungen und Penetrationstests durch. Die Schwachstellenbewertung nutzt automatisierte Tools, um bekannte Schwachstellen in Systemen, Anwendungen und Netzwerken zu erkennen. Zu diesen Schwachstellen können durchgesickerte Patches, Fehlkonfigurationen oder fehlerhafter Code gehören, wodurch Unternehmen Sicherheitsrisiken ausgesetzt werden. Obwohl Penetrationstests und Schwachstellenscans dieselben Tools verwenden, ergänzen Penetrationstests die Tools durch Angriffstechniken, mit denen der Prüfer versucht, Schwachstellen auszunutzen und Systemprivilegien zu erlangen.

Führen Sie Softwaretests durch, um den in der Produktion bereitgestellten Code zu validieren. Software-Testtechnologie überprüft, ob Codefunktionen den Designanforderungen entsprechen und ob Sicherheitslücken vorliegen. Codeüberprüfungen verwenden einen Peer-Review-Prozess, um Code vor der Bereitstellung in der Produktion formell oder informell zu validieren. Schnittstellentests bewerten die Interaktion zwischen Komponenten und Benutzern durch API-Tests, Benutzeroberflächentests und physische Schnittstellentests.

Verstehen Sie die Unterschiede zwischen statischen Softwaretests und dynamischen Softwaretests. Statische Testtechniken wie die Codeüberprüfung bewerten die Sicherheit von Software, indem sie Quellcode oder kompilierte Programme analysieren, ohne die Software auszuführen. Dynamische Testtechniken bewerten die Sicherheit von Software während der Ausführung und sind oft die einzige Option für Unternehmen, die von anderen entwickelte Anwendungen bereitstellen.

Erklären Sie das Konzept des Fuzz-Tests. Fuzz-Tests verwenden modifizierte Eingaben, um zu testen, wie sich Software unter unerwarteten Bedingungen verhält. Mutations-Fuzz-Tests generieren synthetische Eingaben durch Modifizieren bekannter Eingaben, was zu abnormalem Softwareverhalten führen kann. Vorgenerierte Fuzz-Tests generieren Eingaben basierend auf dem erwarteten Eingabemodell und führen dieselben Aufgaben aus wie Mutations-Fuzz-Tests.

Führen Sie Sicherheitsmanagementaufgaben durch und überwachen Sie die Umsetzung von Informationssicherheitsplänen. Sicherheitsmanager müssen vielfältige Tätigkeiten ausüben. Sorgen Sie für angemessene Kontrollen des Informationssicherheitsprogramms. Eine Protokollprüfung, insbesondere eine Gegenprüfung der Administratoraktivitäten, kann sicherstellen, dass das System nicht missbraucht wird. Durch die Kontrolle der Kontoverwaltung wird sichergestellt, dass nur autorisierte Benutzer Zugriff auf das Informationssystem behalten. Durch die Backup-Überprüfung wird sichergestellt, dass die Supportprozesse der Organisation ordnungsgemäß funktionieren. Wichtige Leistungs- und Risikoindikatoren bieten einen mehrschichtigen Überblick über die Wirksamkeit Ihres Sicherheitsprogramms.

Führen Sie interne Audits und Audits durch Dritte durch oder erleichtern Sie diese. Eine Sicherheitsüberprüfung findet statt, wenn ein Dritter die Sicherheitskontrollen einer Organisation zum Schutz ihrer Informationsressourcen bewertet. Interne Audits werden von Personen innerhalb der Organisation ausschließlich zu Managementzwecken durchgeführt. Externe Prüfungen werden von Drittfirmen durchgeführt, in der Regel für das Leitungsgremium eines Unternehmens.

Sammeln Sie Sicherheitsprozessdaten. Viele in der Provinz Anhui beheimatete Informationssicherheitsprogramme akzeptieren Daten, die für den Sicherheitsbewertungsprozess von entscheidender Bedeutung sind. Zu diesen Komponenten gehören Kontoverwaltungsprozesse, Managementüberprüfungen und -genehmigungen, wichtige Leistungs- und Risikoindikatoren, Backup-Verifizierungsdaten, Schulungs- und Sensibilisierungsindikatoren sowie Daten, die durch Notfallwiederherstellungs- und Geschäftskontinuitätspläne generiert werden.

1. Welches der folgenden Tools wird hauptsächlich zur Durchführung von Netzwerkerkennungsscans verwendet? A. nmap B.OpenVAS C. Metasploit-Framework D.Isof

2. Adam hat kürzlich einen Netzwerk-Port-Scan auf einem Webserver durchgeführt, der im Netzwerk der Organisation läuft. Er scannt vom externen Netzwerk aus, um die Scan-Ergebnisse aus der Sicht des Angreifers zu erhalten. Welches der folgenden Ergebnisse löst am wahrscheinlichsten eine Warnung aus? A. 80/offen B. 22/gefiltert C. 443/offen D. 1433/offen

3. Welcher der folgenden Faktoren muss bei der Planung eines Sicherheitstestprogramms für ein bestimmtes System nicht berücksichtigt werden? A. Die Sensibilität der im System gespeicherten Informationen B. Schwierigkeiten bei der Durchführung des Tests C. Lust, neue Testtools auszuprobieren D. Der Wunsch des Angreifers nach dem System

4. Welche der folgenden Punkte sind in einer Sicherheitsbewertung normalerweise nicht enthalten? A. Schwachstellenscan B. Risikobewertung C. Schwachstellenminderung D. Bedrohungsbewertung

5. Wer ist die Zielgruppe des Sicherheitsbewertungsberichts? A.Management B. Sicherheitsprüfer C-Sicherheitsexperten D.Kunde

6 Wendy denkt über den Einsatz von Schwachstellenscannern in Organisationen nach. Was ist die richtige Rolle eines Schwachstellenscanners? A. Aktives Scannen mit Einbruchsversuchen. B. als Lockvogel fungieren. C. Lokalisieren Sie bekannte Sicherheitslücken. D. Baidong wird das System in einen sichereren Zustand umkonfigurieren.

7. Almn scannt den Server mit nnnsp und bestätigt, dass Port 80 auf dem Server geöffnet ist. Welches Tool würde Alan die nützlichsten zusätzlichen Informationen zur Dienstbereitstellung und zur Dienstanbieteridentität liefern? A.SSH B. Webbrowser C.Telnet D. Ping

8. Welcher Port wird normalerweise verwendet, um Verwaltungsverbindungen von einem SSH-Terminal zu empfangen? A. 20 B. 22 C. 25 D. 80

9.Welcher der folgenden Tests liefert die genauesten und detailliertesten Informationen zum Sicherheitsstatus des Servers? A. Nicht authentifiziertes Scannen B. Port-Scanning C. Halboffener Scan D. Scannen nach der Identitätsauthentifizierung

10. Welcher Netzwerkerkennungsscan nutzt nur die ersten beiden Schritte des TCP-Handshakes? A. TCP-Verbindungsscan B. Weihnachtsscannen C. TCPSYN-Scan D. TCPACK-Scan

11. Matthew möchte das System im Netzwerk auf SQL-Injection-Schwachstellen testen. Welches der folgenden Tools eignet sich hierfür am besten? Aufgabe? A. Port-Scanner B. Netzwerk-Schwachstellenscanner C. Netzwerkerkennungsscanner D.Web Schwachstellenscanner

12. Die Badin Bank betreibt Cheng Yu, eine Webanwendung, die E-Commerce-Bestellungen und Kreditkartentransaktionen abwickelt. Daher unterliegt die Bank dem PCIDSS. Die Bank führte einen Web-Schwachstellenscan der Anwendung durch und erhielt unbefriedigende Ergebnisse. Wie oft müssen Banken Anträge erneut prüfen? A. Nur wenn sich die Anwendung ändert B. Mindestens einmal im Monat C. Mindestens einmal im Jahr D. Es ist kein erneuter Scan erforderlich

13. Grace führt Penetrationstests im Netzwerk eines Kunden durch und hofft, mithilfe von Tools die Ausnutzung häufiger Schwachstellen automatisieren zu können. Welches der folgenden Sicherheitstools erfüllt Ihre Anforderungen am besten? A. nmap B. Metasploit Framework C.OpenVAS D. Nikto

14. Paul möchte die Anwendung mit geringfügigen Änderungen an der vorherigen Eingabe testen. Welche Art von Tests versucht Paul durchzuführen? A. Codeüberprüfung B. Überprüfung der Anwendungsschwachstelle C. Mutations-Fuzz-Test D. Vorgenerierte Fuzz-Tests

15. Bankbenutzer versuchen möglicherweise, Gelder von ihren Konten abzuheben, die nicht vorhanden sind. Entwickler erkennen solche Bedrohungen und entwickeln Code zum Schutz vor ihnen. Wenn der Entwickler die Schwachstelle noch nicht gepatcht hat, bei welcher Art von Softwaretests wird sie dann wahrscheinlich gefunden? A. Missbrauchsfalltests B. SQL-Injection-Tests C. Fuzz-Test D.Code-Rezension

16. Mit welcher Art von Schnittstellentests können Fehler in der Befehlszeilenschnittstelle eines Programms identifiziert werden? A. Testen von Anwendungsprogrammierschnittstellen B. Testen der Benutzeroberfläche C. Physikalischer Schnittstellentest D. Testen der Sicherheitsschnittstelle

17. Bei welchem ​​Penetrationstest haben Tester immer Zugriff auf Systemkonfigurationsinformationen? A. Black-Box-Penetrationstests B. White-Box-Penetrationstests C. Gray-Box-Penetrationstest D. Red-Box-Penetrationstests

18. Welcher Port wird normalerweise auf Systemen geöffnet, auf denen unverschlüsselte HTTP-Server ausgeführt werden? A. 22 B. 80 C. 143 D. 443

19. Robrt hat kürzlich eine SOC-Erklärung mit einem Kunden unterzeichnet und bereitet einen Bericht vor, in dem die Bewertung der Eignung und Wirksamkeit der Sicherheitskontrollen des KGB durch sein Unternehmen nach Abschluss einer sechsmonatigen Bewertung beschrieben wird. Welche Art von Bericht bereitet Robert vor? A. Klasse I Kategorie B.I C Sichuan-Klasse D. Kategorie IV

20. Welche Aufgaben des Informationssicherheitsmanagements sind wirksam, um die Datenschutzanforderungen einer Organisation zu erfüllen? Eine Kontoverwaltung B. Backup-Überprüfung C. Protokollüberprüfung D. Wichtige Leistungsindikatoren