Wondershare EdrawMind
Mindmap-Galerie CISSP-Studiennotizen – Domäne 5 (Identity Access Management)
CISSP-Studiennotizen – Domäne 5 (Identity Access Management)
Dies ist eine Mindmap zu CISSP-Studiennotizen – Bereich 5 (Identity Access Management). Der Hauptinhalt umfasst: Überprüfungsfragen und Wissenspunkte.
Bearbeitet um 2024-04-02 12:32:49
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Projektmanagement-Prozess-Vorlage
Projektmanagement ist der Prozess der Anwendung von Fachwissen, Fähigkeiten, Werkzeugen und Methoden auf die Projektaktivitäten, so dass das Projekt die festgelegten Anforderungen und Erwartungen im Rahmen der begrenzten Ressourcen erreichen oder übertreffen kann. Dieses Diagramm bietet einen umfassenden Überblick über die 8 Komponenten des Projektmanagementprozesses und kann als generische Vorlage verwendet werden.
CISSP-Studiennotizen – Domäne 5 (Identity Access Management)
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Hundert Jahre Einsamkeit Charakter-Beziehungsdiagramm
Einhundert Jahre Einsamkeit ist das Meisterwerk von Gabriel Garcia Marquez. Die Lektüre dieses Buches beginnt mit der Klärung der Beziehungen zwischen den Figuren. Im Mittelpunkt steht die Familie Buendía, deren Wohlstand und Niedergang, interne Beziehungen und politische Kämpfe, Selbstvermischung und Wiedergeburt im Laufe von hundert Jahren erzählt werden.
- Projektmanagement-Prozess-Vorlage
Projektmanagement ist der Prozess der Anwendung von Fachwissen, Fähigkeiten, Werkzeugen und Methoden auf die Projektaktivitäten, so dass das Projekt die festgelegten Anforderungen und Erwartungen im Rahmen der begrenzten Ressourcen erreichen oder übertreffen kann. Dieses Diagramm bietet einen umfassenden Überblick über die 8 Komponenten des Projektmanagementprozesses und kann als generische Vorlage verwendet werden.
- Für Sie empfohlen
- Gliederung
Vorlage für Geographiefragen und Beantwortungsfähigkeiten für die Hochschulaufnahmeprüfung
Techniken zur Beantwortung von Frage- und Beantwortungsfragen für die Aufnahmeprüfung in Chinesisch
CISSP-Studiennotizen – Domäne 5 (Identity Access Management)
Wissenspunkte
5.1. Kontrolle des physischen und logischen Zugriffs auf Vermögenswerte
5.1.1. Informationen
5.1.1.1 Übersicht über Identitäts- und Zugriffsverwaltung
Das Identitäts- und Zugriffsmanagement (IAM oder IDAM) ist die Grundlage der Informationssicherheit und konzentriert sich auf die Identifizierung und Authentifizierung von Entitäten, die Zugriff auf Ressourcen anfordern, sowie auf die Gewährleistung verantwortungsvollen Verhaltens. Eine Entität kann ein Benutzer, ein System, eine Anwendung oder ein Prozess sein.
IAM besteht aus vier Grundelementen: Identifizierung, Authentifizierung, Autorisierung und Prüfung (IAAAA).
5.1.1.2 Logische und physische Zugangskontrolle
1 Physische Zugangskontrolle: einschließlich Türen, Vorhänge, Zäune usw., um den physischen Zugang zum Gebäude zu kontrollieren.
2 Logische Zugriffskontrolle: umfasst Passwörter, PIN-Codes oder gemeinsame symmetrische Schlüssel usw., die für den Zugriff auf das System verwendet werden.
3 Kontrollstrategie: Es ist notwendig, die Vermögenswerte und Zugriffsprioritäten der Organisation zu verstehen, strenge physische Zugangskontrollen für wertvolle physische Vermögenswerte und Vertraulichkeitsanforderungen einzuführen und logische Kontrollen für Informationssysteme mit strengen Datenintegritätsanforderungen einzuführen.
5.1.1.3 Definition der Zugriffskontrolle
•Objekt:
Die Entität, auf die das Subjekt zuzugreifen versucht, z. B. eine Datei, Anwendung, Einrichtung oder Datenbank. Objekte müssen die Anforderungen an Vertraulichkeit, Integrität, Verfügbarkeit, Nichtabstreitbarkeit und Authentizität (CIANA) erfüllen.
•Hauptkörper:
Dies können menschliche Benutzer oder nichtmenschliche Einheiten wie Systeme, Programme und Geräte sein. Ein Subjekt benötigt Zugriff auf ein Objekt, und die Zugriffskontrolle definiert, wie dieser Zugriff gewährt, verwendet und überwacht wird.
•Zugang:
Die Operationen, die das Subjekt am Objekt ausführen darf.
5.1.1.4 Informationen
Informationen (einschließlich Rohdaten) können auf Systemen, Geräten, Speichermedien, Anwendungen usw. auftreten und dort übertragen, gespeichert oder verarbeitet werden.
Unterschiedliche Informationen erfordern unterschiedliche Arten oder Ebenen des Schutzes. Der Schutzbedarf muss anhand des Lebenszyklus der Informationen bewertet und entsprechende Maßnahmen ergriffen werden.
5.1.2. System
5.1.2.1 Definition des Systems
Ein System ist eine Sammlung von Hardware, Software, Personen, Richtlinien, Verfahren und anderen Ressourcen, die üblicherweise in CISSP zur Diskussion elektronischer Informationssysteme verwendet werden.
5.1.2.2 Implementierung der Systemzugriffskontrolle CIANA
•Vertraulichkeit: Die Sicherheit der Informationen im System muss gewährleistet sein, um unbefugten Zugriff zu verhindern. Physische Zugangskontrollen wie verschlossene Safes und logische Zugangskontrollen wie Full Disk Encryption (FDE).
•Integrität: Verhindern Sie durch Zugriffskontrolle, dass unbefugte Benutzer Informationen ändern.
•Verfügbarkeit: Verschlossene Serverschränke verhindern beispielsweise, dass unbefugte Benutzer das System böswillig oder versehentlich herunterfahren.
· Authentizität: Verwenden Sie die Authentifizierung in IAM, um zu beweisen, dass Überzeugungen, Befehle oder andere Informationen im System vertrauenswürdig sind. Nach erfolgreicher Identifizierung kann die Glaubwürdigkeit des Probanden bzw. der von ihm erbrachten Beweise beurteilt werden.
•Nichtabstreitbarkeit: Verlässt sich auf die Fähigkeit des IAM-Systems, Prinzipale eindeutig zu identifizieren und zu authentifizieren, sowie auf Aufzeichnungen von Systemaktionen und identifizierenden Informationen.
5.1.2.3 Zentralisiertes IAM
Das zentralisierte IAM-Management verfügt über eine dedizierte Zugriffskontrollfunktion (z. B. ein Team oder eine bestimmte Abteilung), die für die Verwaltung aller Zugriffskontrollen verantwortlich ist und die Vorteile einer strengen Aufsicht und Überwachung bietet. Der Nachteil besteht darin, dass es einen einzigen Fehlerpunkt geben kann.
5.1.2.4 Verteiltes IAM
Dezentrales IAM-Management dezentralisiert die Funktionalität und weist häufig Zugriffskontrollentscheidungen System- oder Informationseigentümern zu. Dies bietet mehr Freiheit und Flexibilität, hat jedoch den Nachteil einer inkonsistenten Durchsetzung und des Fehlens einer einheitlichen Aufsicht.
5.1.3. Ausrüstung
Einige Geräte erfordern möglicherweise spezielle Sicherheitsmaßnahmen, um Diebstahl oder Beschädigung zu verhindern. Dazu gehören Bildschirmsperren, Fernlöschung, Anwendungs- und Informationstrennung (Containerisierung) und verschiedene andere physische und logische Maßnahmen.
Das Ziel von Geräte-IAM besteht darin, Endpunkte zu sichern, den Zugriff auf ungesicherte Geräte zu beschränken und sicherzustellen, dass nur autorisierte Benutzer Zugriff haben.
5.1.4. Einrichtungen
5.1.4.1 Physisches Zugangskontrollsystem (PACSS)
Zu den Systemen für die physische Zugangskontrolle gehören Einrichtungen, die physische Sicherheit gewährleisten, beispielsweise Tore, Zäune, Drehkreuze, Sicherheitsausweise und Wachen.
Darüber hinaus sind Verwaltungsverfahren enthalten, die für die Durchführung dieser Kontrollen erforderlich sind, wie z. B. Wachüberwachungspläne, Anforderungen an Ausweise, Laderampenverfahren sowie Besucherregistrierung und -begleitung.
Vorsichtsmaßnahmen:
•Notfälle müssen bei der Entwicklung von PACSS ebenfalls berücksichtigt werden, da das Leben von Menschen im Vordergrund steht.
•Cloud-Service-Provider (CSPs) und private Smartphones sind zu neuen Vermögenswerten geworden, die viele Unternehmen schützen müssen
•Die Komplexität der gewählten Kontrollen muss im Verhältnis zum Wert der zu schützenden Vermögenswerte stehen.
5.1.4.2 Elemente des physischen Zugangskontrollsystems
1. Benutzer- und Geräteidentifikation
Personen werden in der Regel durch Ausweise, Aufkleber oder Abzeichen identifiziert, und Gegenstände können mithilfe von RFID-Tags, Barcodes oder QR-Codes (Quick Response) identifiziert werden.
2. Zäune und Tore
Zäune verhindern unerwünschtes Eindringen und leiten Menschen zu kontrollierten Zugangspunkten. Das Gate bietet die Möglichkeit, zusätzliche Kontrollen durchzuführen, wie z. B. das Vorzeigen eines Ausweises oder die Eingabe eines Passworts, bei denen die Identifizierung und Authentifizierung erfolgt.
3.Sicherheitstür
Gewähren Sie den Zutritt nur Personen, die entsprechende Zugangsdaten vorweisen, z. B. eine Smartcard, eine Smartphone-App oder einen PIN-Code.
4. Schlösser und Schlüssel
5. Einbrucherkennungssensor
Diese Sensoren sind Erkennungskontrollen und können unbefugten Zugriff erkennen. Beispielsweise können Infrarot-, Akustik- und Gewichts- oder Drucksensoren Eindringlinge anhand der Körpertemperatur, des Geräuschs von Glasbruch oder der Bewegung des Eindringlings erkennen.
6 Drehtüren oder Doppeltore
Während Drehkreuze in der Regel jeweils nur eine Person durchlassen, müssen Benutzer bei Doppeltoren einen Ausweis vorlegen, um einen sicheren Vorraum zu betreten, und dann einen weiteren Ausweis benötigen, um vom Vorraum aus den Hauptraum zu betreten.
7. CCTV-Überwachung
8. Sicherheit
Wachen sind eine der nützlichsten, flexibelsten und teuersten Formen der physischen Zugangskontrolle.
5.1.5. Anwendung
1. Prinzip der geringsten Privilegien
Der Zugriff auf Anwendungen sollte dem Prinzip der geringsten Rechte folgen und angemessenen und nicht übermäßigen Zugriff auf der Grundlage des rollenbasierten Zugriffskontrollmodells (RBAC) gewähren.
2. Kennen Sie das Prinzip dessen, was Sie brauchen (Sie können wissen, was Sie brauchen)
Der Zugriff einer Anwendung auf bestimmte Daten sollte dem Grundsatz folgen, zu wissen, was sie benötigt. Beispielsweise kann die Containerisierungstechnologie beim Mobile Device Management (MDM) durch logische Isolierung verhindern, dass nicht autorisierte Anwendungen auf Unternehmensdaten zugreifen.
3 Granularität der Zugriffsberechtigungen
Anwendungen bieten oft mehrere Ebenen des Benutzerzugriffs. Die Granularität beschreibt den Grad des kontrollierbaren Zugriffs. Anwendungen mit hoher Granularität unterstützen die individuelle Anpassung des Zugriffs jedes Benutzers auf bestimmte Objekte, während Anwendungen mit niedriger Granularität nur den grundlegenden Zugriff auf die Anwendung und alle darin enthaltenen Daten zulassen/verweigern. Unzureichende Granularität kann zu Sicherheitslücken führen.
5.2. Identifizierung und Authentifizierung von Managementpersonal, Ausrüstung und Dienstleistungen
5.2.1. Implementierung des Identitätsmanagements (IdM).
Mehrere Schlüsselfunktionen des Identitätsmanagements (IdM):
1. Erstellen: Stellen Sie die Identität her, indem Sie die Anfrage bearbeiten und den Überprüfungs- und Genehmigungsprozess unterstützen.
2. Entfernung: Implementieren Sie den Benutzerlöschprozess, um sicherzustellen, dass Identität und Zugriffsrechte rechtzeitig entfernt werden.
3. Identitäts- und Kontoverwaltung: Stellen Sie zentrale oder dezentrale Kontoverwaltungsfunktionen bereit, um Benutzeridentitäten effektiv zu verwalten.
4. Verwaltung von Investitionsrechten: Nach der Erstellung der Identität ist der IdM für die Zuweisung erster Zugriffsrechte für die Identität verantwortlich.
5. Identitätsüberprüfung: Überwachen und überprüfen Sie Benutzeridentitäten und Zugriffsrechte, um Sicherheit und Compliance zu gewährleisten.
5.2.2. Ein-Faktor- und Multi-Faktor-Authentifizierung (MFA)
5.2.2.1 Faktoren zur Identitätsauthentifizierung
1. Drei Haupttypen von Authentifizierungsfaktoren:
•Was Sie wissen (Wissensfaktor, Typ 1): Passwörter, Passwörter oder Antworten auf Sicherheitsfragen usw.
•Was haben Sie (Besitzfaktor, Typ 2): Mobiltelefon, USB-Stick, Zugangskarte usw.
•Was Sie sind (biometrische Faktoren, Typ 3): Fingerabdruck, Iris-Scan usw.
Bei der Ein-Faktor-Authentifizierung wird ein Authentifizierungsfaktor verwendet, während bei der Mehr-Faktor-Authentifizierung zwei oder mehr verwendet werden. Typ 1 ist der schwächste und Typ 3 der stärkste, aber Typ 3 kann auch leicht umgangen werden. Daher wird eine Multi-Faktor-Authentifizierung empfohlen.
2 neue Arten von Authentifizierungsfaktoren
Überlegen Sie, wo und wie Benutzer authentifiziert werden. Wenn Sie sich beispielsweise von einem neuen Gerät oder einem unbekannten Ort aus anmelden, wird eine Aufforderung zur Multi-Faktor-Authentifizierung (MFA) ausgelöst.
5.2.2.2 Was wissen Sie (Typ 1)
Vorteile: Einfach zu bedienen und leicht umzusetzen.
Nachteile: leicht zu vergessen und von Angreifern leicht zu zerstören.
1. NIST SP 800-63B neueste Empfehlungen für Passwortrichtlinien:
Geben Sie der Benutzerfreundlichkeit Vorrang vor der Komplexität: Komplexe Passwörter können schwer zu merken sein, sodass mehr Eingabeversuche erforderlich sind, um Tippfehler auszuschließen.
Erhöhen Sie die Länge statt der Komplexität: Erlauben Sie längere Passwörter (z. B. 1PassedTheCISspertification), ohne die Komplexität zu erhöhen (z. B. iP@ss3dTh3C1sSp), während letzteres zu mehr versehentlichem Sperren führen kann.
Weniger Änderungen Da Passwörter schwerer zu erraten oder zu knacken sind, fordern die aktuellen Leitlinien, dass Passwörter nur dann geändert werden, wenn sie kompromittiert wurden.
2. Allgemeine Passwortvorschläge:
•Passwortlänge: mindestens 8 Zeichen.
•Passwortkomplexität: umfasst Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen.
•Passwort-Lebensdauer: Passwörter regelmäßig ändern.
•Pyrimid-Code-Speicherung: verschlüsselte Speicherung, Untext-Speicherung.
•Passwortwiederherstellung: Effektive Strategien für den Umgang mit Vergesslichkeit und Verlust.
•Passwortprüfung: Überprüfen Sie, ob es schon einmal verwendet wurde.
•Bewertung der Passwortstärke: Fordern Sie Benutzer auf, stärkere Passwörter zu wählen.
Unternehmen sollten ihre eigenen Passwortrichtlinien entwickeln, die auf Branchen- und Compliance-Anforderungen basieren.
5.2.2.3 Was haben Sie (Typ 2)
Zum Beispiel digitale Zertifikate, Identitätsausweise oder Smartcards, physische Authentifizierungstoken und Smartphone-basierte Authentifizierungs-Apps. Normalerweise nicht alleine genutzt, kann geteilt oder ausgeliehen werden.
1. Digitales Zertifikat: elektronisches Zertifikat, das die Identität und den öffentlichen Schlüssel des Eigentümers nachweist.
2. Nummernschild oder Smartcard: mit einem physischen Medium, das die Identität des Benutzers identifiziert. Eingabe des Passworts am Smartcard-Gerät oder Überprüfung des Fingerabdrucks
3. Physischer Authentifizierungstoken: Ein physisches Gerät, das einen einmaligen Authentifizierungscode generiert.
• Synchronisiertes dynamisches Passwort-Token (TOTP): Mit der Serverzeit synchronisieren und regelmäßig Passwörter generieren.
•Asynchrones dynamisches Passwort-Token (HOTP): Lösen Sie manuell die Erfassung dynamischer Passwörter aus, indem Sie eine Nonce (eine Nummer zur einmaligen Verwendung) verwenden, um die einmalige Verwendung des Passworts sicherzustellen. TOTP verwendet einen zeitbasierten Einmalpasswortstandard. HOTP verwendet einen Einmalpasswortstandard, der auf dem HMAC-Algorithmus basiert.
4. Smartphone-basierte Authentifizierungs-App: Mobile App, die einmalige Authentifizierungscodes generiert und die Benutzeridentität über das Smartphone überprüft.
5.2.2.4 Was sind Sie (Typ 3)
Biometrische Faktoren werden zur Identifizierung oder Überprüfung der Identität verwendet. Wird als zweiter oder dritter Faktor der MFA verwendet und nicht oft allein verwendet.
Gängige biometrische Methoden:
•Fingerabdruckerkennung: Scannen Sie Ihren Fingerabdruck, um das Gerät zu entsperren.
·Retina-Erkennung: Scannt Muster von Blutgefäßen in der Netzhaut mit hoher Genauigkeit, ist schwer zu knacken und kann Gesundheitsinformationen (PHI) und Sicherheitsprobleme preisgeben.
•Iris-Erkennung: Scannen Sie Irismuster mit hoher Genauigkeit und ermöglichen Sie so eine Erkennung über große Entfernungen.
•Gesichtserkennung: Scannen Sie Gesichtszüge, um Geräte zu entsperren und Kriminelle zu fangen.
•Spracherkennung: Spracherkennungstechnologie zur Identifizierung von Identitäten.
•Handschrifterkennung: Scannen Sie Handschriftspuren, um Ihre Identität zu identifizieren.
•Elektrokardiogramm-Identifizierung: Scannen Sie das Elektrokardiogramm, um die Person zu identifizieren.
5.2.2.5 Häufige Fehler bei der Zugangskontrolle
· False Rejection Rate (FRR): Fehler vom Typ 1. Gültige biometrische Daten können nicht überprüft werden und werden in Umgebungen mit hohen Sicherheitsanforderungen verwendet.
Falsch negativ, Ablehnung des richtigen Benutzers
•False Acceptance Rate (FAR): Fehler vom Typ 2. Ungültige biometrische Daten werden fälschlicherweise als gültige Identitäten identifiziert und in Umgebungen mit geringen Sicherheitsanforderungen verwendet.
Falsch positiv, falscher Benutzer erlaubt
•Crossover Error Rate (CER) ist der Schnittpunkt von FRR und FAR und wird als Standardbewertungswert verwendet. Beim Vergleich der Genauigkeit biometrischer Geräte sind Geräte mit niedrigerem CER genauer als Geräte mit höherem CER.
5.2.2.6 Multi-Faktor-Authentifizierung (MFA)
Passwörter allein können leicht erraten werden, Token allein können verloren gehen oder gestohlen werden und biometrische Daten allein können zu Fehlalarmen führen. In Kombination verwendet, um Stärke und Genauigkeit zu erhöhen.
5.2.3. Verantwortlichkeit
Verantwortlichkeit ist ein Mechanismus, der sicherstellt, dass ein Benutzer oder ein Programm die Verantwortung für die von ihm ausgeführten Aktionen und die von ihm getroffenen Entscheidungen übernimmt. Eine wirksame Rechenschaftspflicht erfordert eine klare Identifizierung und Dokumentation darüber, wer (Benutzer oder Programm) welche Aktion (Verhalten) ausgeführt hat. Dies erfordert die Bereitstellung einer eindeutigen Identifikation für jeden Benutzer oder jedes Programm und die Überprüfung der Authentizität seiner Identität.
5.2.4. Sitzungsverwaltung
Die Sitzungsverwaltung beginnt mit der Benutzeridentifizierung und -authentifizierung und endet mit der Trennung von der Anwendung oder dem System. Der Schutz der während der Sitzung ausgetauschten Daten und Daten ist von entscheidender Bedeutung. Sitzungen müssen außerdem Sicherheitsanforderungen einhalten, z. B. ihre Länge begrenzen und nur zwischen bestimmten Hosts stattfinden.
1. Um eine sichere Sitzungsverwaltung zu erreichen, ergreifen Sie bitte die folgenden Maßnahmen:
•Leistungsstarker Authentifizierungsmechanismus
• Hochfeste Sitzungsschlüssel
•Ausgezeichnete Verschlüsselungsalgorithmen und -mechanismen
•Sitzungs-Timeout begrenzen
•Inaktive Sitzungen werden automatisch getrennt
•Kontrollmaßnahmen zur Erkennung abnormaler Aktivitäten
2. Sitzungsbezogene Sicherheitslücken:
•Session-Hijacking: Ein Angreifer gibt sich als einer der Kommunikationspartner aus, um an Informationen zu gelangen oder diese zu manipulieren.
• Sitzungsseitiges Hijacking: Benutzer im selben Netzwerk kapern Sitzungen durch Paket-Sniffing, stehlen Sitzungs-Cookie-Informationen und geben sich als legitime Benutzer aus.
•Sitzungsfixierung: Angriffe auf Webanwendungen, die Sitzungs-IDs wiederverwenden, wobei ein Angreifer eine vorhandene Sitzungs-ID verwendet, um den Browser des Benutzers zur Authentifizierung und zum Diebstahl von Anmeldeinformationen zu verleiten.
3. Sicherheitspraktiken für die Sitzungsverwaltung
•Von OWASP veröffentlichte Best-Practice-Anleitungen für das Sitzungsmanagement: https://shorturl.ac/owasp_session.
Anregung:
•Verwenden Sie lange und komplexe Sitzungs-ID-Zeichenfolgen, um offensichtlich identifizierbare Informationen zu vermeiden.
– Legen Sie beim Speichern von Sitzungstokens in Cookie-Form geeignete Sicherheitsattribute fest, z. B. das Secure-Attribut, um die Verwendung von HTTPS zu erzwingen.
• Befolgen Sie die Best Practices für die Entwicklung, vermeiden Sie die Einbeziehung von Sitzungs-IDs in URLs, geben Sie keine Sitzungs-IDs weiter und löschen Sie unnötige Sitzungs-IDs umgehend.
5.2.5. Registrierung, Zertifizierung und Identifizierung
Beim Identitätsmanagement geht es um die Überprüfung von Benutzerinformationen und die Erstellung von Benutzerkonten oder Anmeldeinformationen zur Identitätsfeststellung. Dabei muss die Sicherheit des Systems und seiner Daten berücksichtigt werden, einschließlich Authentizität, Vertraulichkeit und Integrität.
1. Das Identity Assurance Level (IALS) des NIST ist in drei Stufen unterteilt:
•IAL1 (selbstzertifizierte Identität)
Auf der niedrigsten Ebene müssen Benutzer ihre Identität selbst zertifizieren. Es besteht keine Notwendigkeit, einer Person eine verifizierte reale Identität zuzuordnen. Gilt für Systeme, bei denen die Konsequenzen in der realen Welt keine Verantwortlichkeit erfordern.
•IAL2 (Ausweisdokumente und Nachweise einreichen):
Benutzer müssen Ausweisdokumente und Zertifikate persönlich oder aus der Ferne zur Authentifizierung mit echtem Namen einreichen. Wird häufig in Beschäftigungsszenarien verwendet, in denen dem Arbeitgeber gültige Ausweisdokumente vorgelegt werden müssen.
•IAL3 (Nachweis der physischen Anwesenheit und formelle Überprüfung):
Die höchste Stufe erfordert einen persönlichen Identitätsnachweis mit zuverlässigen Beweisen (z. B. einen von der Regierung ausgestellten Personalausweis) und eine formelle Überprüfung der Identität und Dokumentation durch geschultes CSP-Personal. Persönliche Verifizierung steigert das Vertrauen.
2. Das erforderliche Maß an Sicherheit hängt von den Sicherheitsanforderungen des Systems und seiner Daten sowie der Sensibilität der Arbeit des Benutzers ab.
Zum Beispiel: Im Flugbetrieb können je nach Sensibilität der Stelle unterschiedliche Identifizierungsanforderungen für verschiedene Mitarbeiter gelten. Begrüßer, die Ratschläge zur Passagierkapazität geben, haben weniger Auswirkungen auf Leben, Gesundheit und Sicherheit und erfordern daher möglicherweise nur IAL2;
3. Nachdem die Identitätsinformationen übermittelt, überprüft und auf ein geeignetes Niveau überprüft wurden, kann eine Identität für den Benutzer festgestellt werden.
5.2.6. Federated Identity Management (FIM)
Federated Identity Management (FIM) reduziert den Verwaltungsaufwand und vereinfacht die Verwaltung mehrerer Sätze von Anmeldeinformationen, indem die Benutzerauthentifizierung und Zugriffsrechte zwischen den am Verbund teilnehmenden Systemen geteilt werden. FIM ähnelt Single Sign-On (sSO) und ist darauf ausgelegt, die Kosten für die Kontoerstellung und -verwaltung zu senken, Benutzern einen einfachen Zugriff zu ermöglichen und Sicherheitsvorteile zu bieten. Allerdings müssen auch die von der Föderation ausgehenden Risiken sorgfältig bewertet werden. Wenn die Sicherheitspraktiken einer Organisation in der Föderation unzureichend sind, kann dies zu Sicherheitsrisiken für andere Systeme in der gesamten Föderation führen.
5.2.7. Credential Management System (CMS)
Credential-Management-Systeme ermöglichen Unternehmen die zentrale Verwaltung von Benutzer-IDs und Passwörtern. Solche Systeme sind als kommerzielle Softwareprodukte erhältlich und werden vor Ort oder in einer Cloud-Umgebung bereitgestellt.
Die Hauptaufgabe eines CMS besteht darin, Konten für Benutzer zu erstellen und Anmeldeinformationen bei Bedarf über verschiedene Systeme und zentrale Identitätsverwaltungssysteme wie LDAP oder Microsoft Active Directory zu verteilen. Ein Credential-Management-System kann als eigenständige Anwendung existieren oder eine Komponente eines IAM-Systems sein.
5.2.8.Single Sign-On (SSO)
SSO ist eine Authentifizierungsmethode, die es Benutzern ermöglicht, mit einer Authentifizierung auf mehrere Ressourcen zuzugreifen. Zu den Technologien, die SSO implementieren, gehören Kerberos und Windows Active Directory. Durch die Kombination von SSO mit föderiertem Identitätsmanagement können Sie externe Identitätsanbieter nutzen, um Benutzer bei Ressourcen wie mehreren Organisationen und Websites zu authentifizieren.
SSO-Vorteile:
•Reduzieren Sie den Aufwand für die Verwaltung von Benutzerkennwörtern und verringern Sie das Risiko schwacher Kennwörter.
•Verdächtiges Verhalten schnell erkennen und darauf reagieren.
SSO-Nachteile:
• – Nichts geht schief: Wenn ein SSO-Konto kompromittiert wird, sind alle SSO-aktivierten Anwendungen betroffen.
5.2.9. Just-in-Time (JIT) Identitäts- und Zugriffsverwaltung
Die Just-in-Time-Zugriffskontrolle (JIT) setzt das Prinzip der geringsten Rechte durch, indem sie während der Ausführung einer bestimmten Aufgabe vorübergehenden Zugriff auf eine Anwendung oder Ressource gewährt.
Häufige Szenarien:
•Key Vault: Als privilegiertes Kontoverwaltungselement speichert ein zentraler Tresor gemeinsame Kontoanmeldeinformationen und eskaliert Berechtigungen innerhalb eines bestimmten Zeitraums.
·Vorübergehend Konten erstellen: Erstellen Sie bei Bedarf dynamisch temporäre Konten mit den erforderlichen Berechtigungen. Löschen Sie diese automatisch sofort nach der Verwendung.
·Vorübergehende Erhöhung der Berechtigungen: Dem Konto werden für einen begrenzten Zeitraum erhöhte Berechtigungen gewährt und nach Ablauf der Zeit automatisch gelöscht.
5.3. Verbundidentitäten mit Diensten Dritter
5.3.1. Identität als Service (IDaas)
IDaas ist eine Erweiterung von Federated Identity (FIM) und wird verwendet, um die Zusammenarbeitsanforderungen verschiedener Teams, Abteilungen und Organisationen zu erfüllen.
Häufig werden Verbundlösungen wie SAML und OAuth implementiert, um IAM-Anforderungen in internen und externen Systemen zu erfüllen.
Hauptrisiken von Drittanbieter-IDaas:
•Single Point of Failure: Wenn IDaas ausfällt, werden die zugehörigen Systeme unbrauchbar.
•Kontrollverlust: Die Identitätserkennung ist die Grundlage der Zugangskontrolle und ihre Auslagerung birgt hohe Risiken. Wenn die Daten eines IDaaS-Anbieters verletzt werden, können die Identitäts- und Zugriffsverwaltungsinformationen eines Unternehmens beeinträchtigt werden.
5.3.2. Innerhalb des Unternehmens
Der Hauptvorteil einer lokalen Identitätsmanagementlösung (IdM) ist die vollständige Kontrolle über die im IAM-System verwendete Hardware und Software, wie z. B. Lightweight Directory Access Protocol (LDAP) oder Microsoft Active Directory (AD), das in der Unternehmenszentrale oder gehostet wird Rechenzentrum.
5.3.3.Cloud
1 Cloudbasierte Identitätsdienste werden vom Drittanbieter Identity as a Service (IDaas) bereitgestellt, der für die Identifizierung, Autorisierung und Zugriffsverwaltung verantwortlich ist. Wird häufig in Saas-Anwendungen für Cloud-Dienstanbieter verwendet, die von Kunden innerhalb einer Organisation verwendet werden, z. B. Microsoft Office 365 und Azure Cloud, integriert mit Active Directory.
2Cloud-Lösungen erfordern möglicherweise einen Cloud Access Security Broker (CASB), um den Zugriff auf Cloud-Dienste zu kontrollieren und zu filtern. CASB bietet Zugangskontroll-, Audit- und Rechenschaftsdienste an.
3. Cloud-basierte Dienste weisen eine hohe Zuverlässigkeit und Verfügbarkeit auf, da das Rechenzentrum des Cloud-Dienstanbieters über mehrere Redundanzen verfügt. Cloud-basierte Dienste können die Kosten im Vergleich zu Diensten vor Ort erheblich senken, indem sie den Kauf und die Wartung von Geräten sowie den Bedarf an Fachpersonal reduzieren.
5.3.4. Gemischter Typ
Hybride Identitätsdienstlösungen kombinieren cloudbasierte und lokale Identitätsmanagementlösungen. Ein Hybridmodell bietet Unternehmen die beste Möglichkeit, ein gewisses Maß an Kontrolle zu behalten und gleichzeitig die Vorteile eines cloudbasierten Ansatzes wie Elastizität und Kosteneffizienz zu nutzen.
Gemischte Risiken:
•Ausreichende Ressourcen sind erforderlich, um eine duale IAM-Implementierung aufrechtzuerhalten. Während der Wechsel in die Cloud den internen Wartungsaufwand reduzieren kann, wird dieser Bedarf durch einen Hybridansatz nicht vollständig beseitigt.
•Ein hybrider Ansatz birgt die gleichen Risiken wie cloudbasiertes IAM, da ein Dritter die Identität verwaltet.
•Wenn das IDaaS kompromittiert wird, entsteht ein zusätzliches Risiko, da interne Ressourcen auf internes IAM angewiesen sind, das mit dem IDaaS-Anbieter synchronisiert ist.
5.4. Autorisierungsmechanismen implementieren und verwalten
5.4.1. Verstehen Sie den Autorisierungsmechanismus
5.4.1.1 Vergleich von Berechtigungen, Befugnissen und Privilegien
•Erlaubnis
Auf technischer Ebene haben Benutzer Zugriffsrechte auf Ressourcen, z. B. lesbar, lesbar und beschreibbar, ausführbar usw.
•Rechts
Realistische Rechte: Sie haben beispielsweise das Recht, die Daten in der Datenbank einzusehen, sofern Sie über eine Leseberechtigung verfügen.
Verglichen
•Privileg
Die Kombination von Berechtigungen und Rechten wird als Privileg bezeichnet.
•Anspruch
Berechtigungen beziehen sich auf die Anzahl der einem Benutzer gewährten Berechtigungen und werden normalerweise bei der ersten Zuweisung eines Kontos angegeben.
5.4.1.2 Den Autorisierungsmechanismus verstehen
1Implizite Ablehnung (Whitelist-Mechanismus)
Zugriffe, die nicht auf der Whitelist stehen, werden abgelehnt. Beispiel: Nicht authentifizierte Benutzer können nicht auf die Website zugreifen.
2. Fähigkeitstabelle (Fokus auf die Fähigkeiten des Subjekts)
Betrachten Sie das Subjekt und bestimmen Sie die Objekte, auf die das Subjekt Zugriff hat, und die Operationen, die es ausführen kann. Beispiel: Normale Mitarbeiter können auf Dateifreigaben zugreifen, diese jedoch nicht ändern.
3 Zugriffskontrollliste (Achten Sie auf den Zugriffsstatus des Objekts)
Betrachten Sie das Objekt und bestimmen Sie die Benutzer, die auf das Objekt zugreifen können, sowie die Vorgänge, die ausgeführt werden können. Beispiel: Auf private Dateien können nur Administratoren zugreifen.
4. Zugriffskontrollmatrix (bestehend aus Fähigkeitstabelle und Zugriffskontrollliste)
Kombinieren Sie Funktionstabellen und Zugriffskontrolllisten, z. B. Firewall-Zugriffskontrolle. Beispiel: Beschränkung illegaler Zugriffe durch Firewalls.
5. Einschränkungsschnittstelle (Benutzeroperationen einschränken)
Beschränken Sie Benutzeraktionen und -ansichten. Beispiel: Das Systemmenü kann von normalen Benutzern nicht geändert werden.
6. Kontrolle abhängiger Inhalte (begrenzt durch Objektinhalt)
Beschränken Sie Benutzer basierend auf Inhalten. Beispiel: Einschränken des Benutzerzugriffs basierend auf Ansichten in der Datenbank.
7. Kontextabhängige Steuerung (basierend auf Subjektaktionen oder Zeitbeschränkungen)
Beschränken Sie Benutzer basierend auf den Aktionen des Betreffs oder der Zeit. Beispiel: Auf Dateidienste kann nur während der Geschäftszeiten zugegriffen werden
8. Wissen, was sie brauchen (beschränken Sie den Fachzugriff nur auf das, was sie für den Job brauchen)
Muss es wissen
9. Geringste Privilegien (Subjekten nur die Berechtigungen gewähren, die sie zur Ausführung ihrer Arbeit benötigen)
10. Aufgabentrennung (sensible Aufgaben werden von mehreren Personen ausgeführt)
11. Tiefenverteidigung (mehrschichtiger Schutzmechanismus, einschließlich physischer, technischer und Managementkontrollen)
5.4.1.3 Definieren Sie Anforderungen mithilfe von Sicherheitsrichtlinien
Die Sicherheitsrichtlinie einer Organisation bestimmt die Anforderungen an die Zugriffskontrolle und leitet die Umsetzung. Moderne Informationssysteme und -umgebungen implementieren häufig ein hybrides Zugriffskontrollmodell, einschließlich regelbasierter Firewalls, gemeinsam genutzter Systeme mit dynamischer Zugriffskontrolle und Personalabteilungen, die die rollenbasierte Zugriffskontrolle für bestimmte Jobfunktionen und zugehörige Berechtigungen festlegen.
5.4.2. Regelbasierte Zugriffskontrolle (RUBAC)
Die regelbasierte Zugriffskontrolle (RUBAC) ist eine Methode zur Bestimmung der Autorisierung auf der Grundlage einer vordefinierten Liste von Regeln. Um Verwechslungen mit der rollenbasierten Zugriffskontrolle zu vermeiden, wird sie oft mit RUBAC abgekürzt. Wie bei einer Gästeliste bei einem Bankett haben die auf der Liste aufgeführten Personen Zutritt, anderen wird der Zutritt verweigert.
In Informationssystemen werden Zugriffskontrolllisten (ACLs) häufig zur Implementierung von RUBAC, beispielsweise Firewall-Regelsätzen, verwendet, um zu bestimmen, welche IP-Adressen oder Ports zugelassen oder blockiert werden.
Es gibt zwei Ansätze für regelbasierte Systeme:
1. Implizit erlaubt: Standardmäßig ist jeder Zugriff zulässig. Es sei denn, es gibt Regeln, die den Zugang ausdrücklich verbieten. Beispielsweise ist ein Geschäft für die gesamte Öffentlichkeit zugänglich, weist jedoch bestimmte Kunden ab, von denen bekannt ist, dass sie stehlen.
2. Implizite Verweigerung: Nur Personen auf der genehmigten Liste erhalten Zugriff, anderen wird der Zugriff standardmäßig verweigert. Dieser Ansatz wird manchmal auch „Alle verweigern“ oder „Mit Ausnahmen zulassen“ genannt und ist eine grundlegende bewährte Sicherheitsmethode, da er das Risiko eines unbefugten Zugriffs verringert.
5.4.3. Rollenbasierte Zugriffskontrolle (RBAC)
Rollenbasierte Zugriffskontrolle (RBAC) ist eine Methode zur Steuerung des Zugriffs auf Ressourcen basierend auf Benutzerrollen innerhalb einer Organisation.
Vorteile von RBAC:
•Zuweisen von Berechtigungen basierend auf der Jobfunktion: RBAC verringert das Risiko, dass unbefugtes Personal auf vertrauliche Informationen zugreift, indem es jeder Rolle die erforderlichen Berechtigungen zuweist.
•Berechtigungsverwaltung auf Rollenebene: Administratoren können Berechtigungen auf Rollenebene statt für jeden Benutzer verwalten, wodurch der Zugriffskontrollverwaltungsprozess vereinfacht und die Effizienz verbessert wird.
•Unterstützt Prüfung und Verantwortlichkeit: RBAC zeichnet einen Prüfpfad darüber auf, wer wann Zugriff auf welche Ressourcen hat, was die Untersuchung von Sicherheitsvorfällen ermöglicht und angemessene Zugriffskontrollen gewährleistet.
•Erzwingen Sie das Prinzip der geringsten Rechte: Befolgen Sie das Prinzip der geringsten Rechte, indem Sie Berechtigungen über RBAC zuweisen, um sicherzustellen, dass Benutzer nur die Berechtigungen erhalten, die sie für ihre Arbeit benötigen.
HINWEIS: Es ist eine akzeptierte Konvention in der Sicherheitsgemeinschaft, dass sich die Abkürzung RBAC nur auf die rollenbasierte Zugriffskontrolle bezieht.
5.4.4. Obligatorische Zugangskontrolle (MAC)
Mandatory Access Control (MAC) ist ein strenges Zugangskontrollmodell, das häufig in Militär- und Regierungsorganisationen verwendet wird.
Im MAC-Modus ist der Sicherheitsadministrator für die Zuweisung von Zugriffsrechten verantwortlich, nicht der Dateneigentümer.
MAC wird durch die Zuweisung von Sicherheitskennsätzen an Prinzipale und Volumes implementiert. Zum Beispiel, wenn ein Benutzer über ein „geheimes“ Sicherheitsetikett verfügt. Auf Dokumente, die als „Streng geheim“ gekennzeichnet sind, ist kein Zugriff möglich, Dokumente mit der Kennzeichnung „Geheim“ oder „Nicht vertraulich“ sind jedoch zugänglich.
MAC wird häufig in Vertraulichkeits- und Integritätsmodellen wie Bell-LaPadula-, Biba- und Clark-Wilson-Modellen verwendet. Zusammenfassend ist MAC eine strenge und nicht diskretionäre Zugriffskontrollmethode, die für Organisationen mit hohen Sicherheitsanforderungen geeignet ist.
5.4.5. Diskretionäre Zugangskontrolle (DAC)
Discretionary Access Control (DAC) ist ein Zugriffskontrollmodell, bei dem das System oder der Dateneigentümer bestimmt, welche Subjekte auf eine Ressource zugreifen können. DAC ist eine dezentrale Zugangskontrolle, die flexibel, aber schwer zu verwalten ist.
Nehmen Sie WeChat Moments als Beispiel: Herausgeber können entscheiden, ob Inhalte für andere Benutzer öffentlich sind oder auf eine bestimmte Benutzergruppe (z. B. enge Freunde oder Familie) beschränkt sind.
5.4.6.Attributbasierte Zugriffskontrolle (ABAC)
Die attributbasierte Zugriffskontrolle (ABAC) kombiniert Attribute von Benutzern, Hosts, Netzwerken und Geräten, um Zugriffsentscheidungen auf der Grundlage von Richtlinien zu treffen. ABAC steuert den Zugriff flexibel basierend auf Wochentag, Tageszeit, Anmeldeort usw.
Stateful Firewalls sind ein Beispiel für eine Firewall, die Subjektattribute auswertet, um Zugriffsanforderungen zu ermitteln. ABAC bietet ein Mittel zur granularen Kontrolle basierend auf Attributen und Richtlinien.
5.4.7. Risikobasierte Zugangskontrolle
Ein risikobasiertes Zugangskontrollmodell behandelt Risiken als dynamische Änderungen und passt die Autorisierung an. Im Gegensatz zu Modi wie RBAC und RUBAC verwendet es Parameter wie Bedrohungsinformationen, Systemprotokolle und Benutzerverhalten für die dynamische Authentifizierung.
Wenn beispielsweise eine Abteilung von einem Phishing-Angriff betroffen ist, kann ein IAM-System die Häufigkeit von MFA-Anmeldungen vorübergehend erhöhen, um die Bedrohung einzudämmen. Auch Finanzinstitute nutzen dieses Modell, um Betrug auf Privatkonten zu erkennen, da sich das Risikoprofil mit dem Verhalten und der Aktivität der Nutzer ändert.
5.5. Verwaltung des Lebenszyklus der Identitäts- und Zugriffsbereitstellung
5.5.1. Lebenszyklus der Zugriffsverwaltung
5.5.2. Überprüfung des Kontozugriffs und der Nutzung
5.5.2.1 Überprüfung des Kontozugriffs
•Überprüfen Sie Objekte: Benutzerkonten (bezogen auf Einzelpersonen) und Systemkonten (nicht-menschliche Konten, wie automatische Sicherungen, API-Aufrufe usw.).
• Inhalte überprüfen: Überprüfen Sie, ob Benutzer über angemessenen Zugriff auf Systeme, Daten und Berechtigungen verfügen, und untersuchen Sie inaktive oder ruhende Konten, übermäßige Berechtigungen und toxische Zugriffskombinationen.
•Häufigkeit der Überprüfung: wird von der Organisation auf der Grundlage gesetzlicher, behördlicher Verpflichtungen und potenzieller Schäden festgelegt.
•Automatisierte Überprüfungen: Nutzen Sie Sicherheitstools wie SIEM oder SOAR, um automatisierte Überprüfungen durchzuführen.
5.5.2.2 Überprüfung der Kontonutzung
•Überprüfen Sie das Verhalten von Benutzer- und Systemkonten, um unnötige oder unangemessene Nutzung zu identifizieren und die Verantwortlichkeit durchzusetzen.
• Nutzungsprüfungen können im Rahmen einer Zugriffsprüfung, mithilfe automatisierter Tools wie SIEM oder durch Stichprobenprüfungen durchgeführt werden. Dies ist von entscheidender Bedeutung für die Aufrechterhaltung der Sicherheit und die Identifizierung verdächtiger Ereignisse wie der Eskalation von Angreiferrechten.
5.5.3. Konfigurieren und Dekonfigurieren
•Bereitstellung ist der Prozess der Gewährung von Zugriff auf Systeme, Daten und Ressourcen, während bei der Dekonfigurierung der Widerruf dieser Zugriffsrechte erfolgt. In der Regel im Zusammenhang mit Mitarbeiterveränderungen (z. B. Eintritt, Austritt, Versetzung oder Beförderung) ist eine Abstimmung mit der Personalabteilung oder dem IT-Team erforderlich, um eine sichere Durchführung zu gewährleisten.
•Zugriffsverwaltungsrichtlinien sollten Änderungen des Benutzerzugriffs bei feindseligen, freundlichen und Jobwechseln berücksichtigen.
• Die Dekonfigurierung muss den Datenschutzbestimmungen entsprechen und geeignete Methoden zum Deaktivieren und Löschen von Benutzerdaten bereitstellen, z. B. die Bereitstellung eines Kontoabmeldeeintrags.
5.5.4. Rollendefinition
Rollen sind eine Möglichkeit, den Zugriff basierend auf der Abteilung, Funktion oder Jobverantwortung eines Benutzers zu definieren. Es folgt Zugriffsverwaltungsprinzipien wie der geringsten Berechtigung und implementiert Sicherheitskontrollen wie die Aufgabentrennung. Rollen vereinfachen den Bereitstellungs- und Debereitstellungsprozess, indem sie Benutzern Rollen zuweisen, anstatt sie einzeln zu autorisieren. Die kontinuierliche Aktualisierung der Rollenmitgliedschaft ist ein wichtiger Teil des Bereitstellungs- und Debereitstellungszyklus.
5.5.5. Privilegienerweiterung
Bei der Privilegieneskalation handelt es sich um den Prozess zur Erlangung höherer Privilegien.
1. Normale Rechteausweitung:
•Die Notwendigkeit muss so weit wie möglich unter Verwendung von Rollen oder Gruppen überprüft, aufgezeichnet und umgesetzt werden. Zu den gängigen Methoden gehören temporäre Berechtigungen (z. B. der Befehl sudo von Linux oder der Befehl runas von Windows) und der Notfallzugriff.
2. Angriff zur Erhöhung von Berechtigungen:
•Vertikaler Eskalationsangriff: Ein Angreifer versucht, höhere Berechtigungen zu erlangen, beispielsweise durch SQL-Injection.
•Lateraler Eskalationsangriff (laterale Bewegung): Der Angreifer erhält weitere Kontoberechtigungen derselben Stufe.
3. Vorbeugende Maßnahmen:
•Wenden Sie das Prinzip der geringsten Privilegien an
·Beheben Sie Schwachstellen umgehend
· Führen Sie Schwachstellenscans durch
·Überwachen Sie den Netzwerkverkehr und das Netzwerkverhalten
·Entwickeln Sie eine Richtlinie für sichere Passwörter
·Sicherheitsbewusstseinstraining
5.6. Implementierung eines Authentifizierungssystems
5.6.1. Open ID Connectivity (OIDC) und Open Authorization (Oauth)
5.6.1.1 Offene Autorisierung (OAuth)
OAuth ist ein offenes Protokoll, dessen neueste Version 2.0 ist und eine einfache und standardmäßige Methode zur Erlangung einer sicheren Autorisierung von Web-, Mobil- und Desktop-Anwendungen ermöglicht. Der Schwerpunkt liegt auf der Autorisierung und nicht auf der Authentifizierung.
Vier von OAuth definierte Schlüsselrollen:
1) Client: Jede Anwendung, die eine Zugriffsanforderung auf eine geschützte Ressource stellt.
2) Ressourceneigentümer: Eine Person, die eine geschützte Ressource besitzt und anderen die Erlaubnis zur Nutzung der Ressource erteilen kann, normalerweise einem Endbenutzer oder einer Anwendung oder einem Dienst. Diese Berechtigungen werden normalerweise über ein Zustimmungsdialogfeld erteilt.
3) Autorisierungsserver: Jeder Server, der dem Client nach erfolgreicher Authentifizierung ein Zugriffstoken ausstellt; das Token wird verwendet, um Zugriff auf das gesamte Allianzsystem zu erhalten.
4) Ressourcenserver: Jeder Server, der geschützte Ressourcen hostet und Zugriffsanfragen akzeptiert und darauf antwortet.
5.6.1.2 OpenID-Konnektivität (OIDC)
OIDC fügt der OAuth 2.0-Version Authentifizierungsfunktionen hinzu und kombiniert Identitätsmanagement, um Benutzern ein SSO-ähnliches Authentifizierungserlebnis zu bieten.
1.ldPs und JWT
In OIDC können Benutzer Identitätsanbieter (IdPs) wie WeChat, Weibo, Microsoft, Google usw. auswählen.
Der Identitätsanbieter (OpenID-Anbieter) stellt dem Endbenutzer ein ID-Token zur Verfügung, das als JWT (Json Web Token) kodiert ist.
2. Prozess zum Erhalten des Tokens
Der Benutzer wählt einen IdP aus und stellt der vertrauenden Seite mithilfe von OAuth Authentifizierungsinformationen bereit. Authentifizierungsinformationen in OIDC werden vom OIDC-Anbieter (OP) in Form eines Tokens (WT) an die vertrauende Partei (RP) weitergegeben, das Ansprüche über den Benutzer und die Identitätsauthentifizierung für seine Ansprüche enthält.
Zusammenfassung: Um Verwirrung zu vermeiden, denken Sie daran, dass OAuth ein Autorisierungs-Framework ist, OpenID eine Authentifizierungsebene und OpenID Connect (OIDC) ein Authentifizierungs-Framework, das auf OAuth aufsetzt und Authentifizierungs- und Autorisierungsdienste bereitstellt.
5.6.2. Security Assertion Markup Language (SAML)
Security Assertion Markup Language (SAML) ist ein auf XML basierendes Open-Source-Standarddatenformat, das Authentifizierungs- und Autorisierungsdaten zwischen Parteien, insbesondere Identitätsanbietern und Dienstanbietern, austauscht. Die neueste Version ist SAML2.0.
1.SAML-Interaktionsprozess
Erstens gibt es den Prinzipal (z. B. einen Webbrowser), der eine Anfrage an einen Dienstanbieter (z. B. eine Webanwendung) stellt, der sich zur Benutzeridentifizierung, Authentifizierung und Autorisierung auf Zusicherungen eines Identitätsanbieters (IdP) verlässt.
2 Die vier Komponenten von SAML.
1) Behauptungen: Definiert, wie SAML-Attribute wie Authentifizierungs- und Autorisierungsinformationsprotokolle oder Frameworks sind
Servicenutzung.
2) Bindungen: Gibt an, wie die Anfrage-Antwort-Kommunikation zwischen verschiedenen Teilnehmern (z. B. Benutzern, Identitätsanbietern und Dienstanbietern) durchgeführt wird.
3) Protokolle: Gibt an, wie Nachrichten verpackt und zwischen Teilnehmern ausgetauscht werden, einschließlich HTTP und Simple Object Access Protocol (SOAP).
4) Profile: In einer bestimmten SAML-Implementierung sind Profile eine Kombination aus Behauptungen, Bindungen und Protokollen.
SAML-, OAuth2- und QOIDC-Vergleich
5.6.3. Kerberos
Kerberos ist ein beliebtes Authentifizierungsprotokoll mit offenem Standard, das in einer Vielzahl von Technologien verwendet wird, darunter Linux und UNIX, vor allem im Active Directory von Microsoft. Kerberos wurde vom MIT entwickelt und bietet SSO- und End-to-End-Sicherheitsauthentifizierungsdienste. Die Funktionsweise besteht darin, Authentifizierungstoken, sogenannte Tickets, zu generieren, die sicher an Benutzer ausgegeben werden, damit diese weiterhin auf Ressourcen im Netzwerk zugreifen können. Kerberos verwendet symmetrische Schlüsselkryptographie und gemeinsame Schlüssel, anstatt Passwörter über das Netzwerk zu übertragen.
1. Mehrere wichtige Komponenten von Kerberos:
1) Auftraggeber: Parteien, die Kerberos zur Identifizierung und Authentifizierung verwenden, einschließlich Benutzer und Dienste oder Anwendungen.
2) Key Distribution Center (KDC): Wird zur Registrierung neuer Benutzer und zur Verwaltung einer Datenbank mit geheimen Schlüsseln verwendet.
3) Authentifizierungsserver (AS): Verwaltet die Generierung und Verteilung von Grant Tickets (TGT) und führt die Überprüfung durch den Austausch verschlüsselter Daten durch, um einen sicheren Zugriff auf den Server zu gewährleisten.
4) Ticket Granting Service (TGS): Erstellt Sitzungstickets, die Sicherheitsprinzipalen zur Verfügung gestellt werden, wenn diese sich gegenüber Ressourcen oder untereinander authentifizieren müssen.
Kerberos bei der Arbeit
2. Kerberos-Risikopunkte
•KDC ist ein Single Point of Failure, es sei denn, es liegt ein redundantes Setup mit mehreren Servern vor.
•Authentifizierung und Ticketverteilung hängen stark von der Systemzeitsynchronisierung im Kerberos-Bereich ab und erfordern NTP-Unterstützung, andernfalls treten Zeitstempelprobleme auf Tickets auf
5.6.4. RADIUS und TACACS
5.6.4.1 RADIUS
RADIUS ist ein Zugriffsprotokoll, das Authentifizierungs-, Autorisierungs- und Abrechnungsdienste (AAA) für Remoteverbindungen zu einem Netzwerk bereitstellt und ursprünglich zur Unterstützung von Einwahlverbindungen zu großen ISPs verwendet wurde. Es unterstützt mehrere Authentifizierungsprotokolle wie PAP, CHAP und MS-CHAP, verschlüsselt jedoch nur Passwörter. Da das UDP-Protokoll verwendet wird, müssen mehr Ressourcen verbraucht und Fehlerprüfmechanismen eingebaut werden, um die verbindungslose Natur von UDP zu kompensieren.
5.6.4.2 TACACS
Das proprietäre Protokoll von Cisco kann AAA (Authentifizierung, Autorisierung und Prüfung) auf verschiedenen Servern hosten, über den TCP49-Port übertragen und alle Authentifizierungsinformationen verschlüsseln.
TACACS unterstützt die Multi-Faktor-Authentifizierung.
5.6.4.3 Durchmesser
Diameter ist ein Punkt-zu-Punkt-Protokoll, das von drahtlosen Geräten und Smartphones verwendet wird, um die Einschränkungen von RADIUS zu überwinden. Es ist jedoch nicht abwärtskompatibel mit RADIUS.
Rezensionsfragen
1 Welche der folgenden Funktionen wird als Zugriffskontrollmodell beschrieben, das sich auf Prinzipale konzentriert und die Objekte identifiziert, auf die jeder Prinzipal zugreifen kann? A. Zugriffskontrollliste B. Implizite Ablehnungsliste C.Ability-Tabelle D.Berechtigungsverwaltungsmatrix
C Subjektfähigkeitstabelle Objektzugriffskontrollliste Subjekt-Objekt-Matrix
2. Jims Organisation unterstützt weitgehend IDaaS-Implementierungen cloudbasierter Anwendungen. Jims Unternehmen verfügt über kein internes Identitätsmanagementpersonal und nutzt keinen zentralen Identitätsdienst. Stattdessen verlassen sie sich bei der Bereitstellung von AAA auf Active Directory Aufschlag. Welche der folgenden Optionen sollte Jim als beste Möglichkeit empfehlen, den internen Identitätsanforderungen des Unternehmens gerecht zu werden? A. Integrieren Sie interne Systeme mithilfe von OAuth. B. Verwenden Sie einen lokalen Identitätsdienst eines Drittanbieters. C. Interne Systeme mithilfe von SAML integrieren. D. Entwerfen Sie eine interne Lösung, um den individuellen Anforderungen der Organisation gerecht zu werden.
B P508 Bei der cloudbasierten Föderation wird in der Regel ein Dritter zur Weitergabe der föderierten Identität eingesetzt
3. Welche der folgenden Punkte stellt keine Schwäche von Kerberos dar? A.KDC ist ein Single Point of Failure. Das von einem Angreifer kontrollierte B.KDC würde den Identitätswechsel eines beliebigen Benutzers ermöglichen. C. Authentifizierungsinformationen werden nicht verschlüsselt. D. Anfällig für das Erraten von Passwörtern.
C
4. Zu welcher Art von Authentifizierungsfaktor gehört die Sprachmustererkennung? A. Etwas, das Sie wissen B. Was Sie besitzen C. Was du bist D. Wo Sie sind
C
5. Wenn Susans Organisation verlangt, dass sie sich mit einem Benutzernamen, einer PIN, einem Passwort und einem Netzhautscan anmeldet, wie viele verschiedene Authentifizierungsfaktortypen verwendet sie? A. Eine Art B. Zwei Arten C. Drei Arten D.Vier Arten
B
6.Charies möchte ein Credential Management System (CMS) bereitstellen. Er möchte den Schlüssel so sicher wie möglich aufbewahren. Welche der folgenden ist die beste Designoption für seine CMS-Implementierung? A. Verwenden Sie AES-256 anstelle von 3DES. B. Verwenden Sie lange Tasten. C. Verwenden Sie HSM (Hardware Security Module). D. Ändern Sie Ihr Passwort regelmäßig.
C Nicht gefunden, denken Sie daran
7.Bran ist Forscher an einer Universität. Im Rahmen seiner Forschung nutzte er seine Hochschulzugangsdaten, um sich bei einem Computercluster am Institute of Technology anzumelden. Sobald er eingeloggt ist, kann er auf den Cluster zugreifen und Ressourcen entsprechend seiner Rolle im Forschungsprojekt nutzen: und gleichzeitig die Ressourcen und Dienste seiner Institution. Was hat Brans Universität umgesetzt, um dies zu erreichen? A. Domänenstapelung B. Federated Identity Management C. Domänenverschachtelung D.Hybrid-Login
B
8. Ordnen Sie die folgenden Schritte in der Reihenfolge an, in der sie während des Kerberos-Authentifizierungsprozesses ausgeführt werden. 1. Generieren Sie Client-/Server-Tickets 2. TGT (Ticketgewährungsticket) generieren 3. Generieren Sie den Client-/TGS-Schlüssel (Ticket Granting Server). 4. Benutzerzugriff auf Dienste 5. Der Benutzer gibt Authentifizierungsdaten an A. 5,3,2,1,4 B. 5,4,2,1,3 C. 3,5,2,1,4 D.5,3,1,.2,4
A Option A sollte 52314 sein
Kerberos-Authentifizierungsprozess Der Kerberos-Authentifizierungsprozess ist ein interaktives Protokoll, an dem der Client, der Authentifizierungsserver (AS) und der Service Ticket Granting Server (TGS) beteiligt sind. Seine Hauptschritte sind wie folgt: 1. Der Client sendet eine Authentifizierungsanfrage an den Authentifizierungsserver (AS), die normalerweise einen Benutzernamen und ein Passwort enthält. 2. AS überprüft die Anmeldeinformationen des Kunden. Wenn die Anmeldeinformationen gültig sind, generiert AS ein verschlüsseltes „Ticket Granting Ticket“ (TGT). Das TGT enthält die Identitätsinformationen des Benutzers und einen Sitzungsschlüssel und wird an den Client zurückgegeben. 3. Der Client verwendet das Passwort, um das TGT zu entschlüsseln und den Sitzungsschlüssel zu erhalten. Dieser Sitzungsschlüssel wird für nachfolgende Kommunikationen verwendet. 4. Wenn der Client auf einen bestimmten Netzwerkdienst zugreifen muss, generiert er mithilfe des Sitzungsschlüssels ein „Service-Ticket“ und sendet es an TGS. 5. TGS überprüft das TGT des Clients. Wenn das TGT gültig ist, generiert TGS ein verschlüsseltes Serviceticket, verschlüsselt das Serviceticket mit dem Schlüssel des Services und sendet es an den Client zurück. 6. Der Client sendet das Serviceticket an den Service und der Service authentifiziert sich mithilfe des Sitzungsschlüssels im Serviceticket. Wenn das Serviceticket gültig ist, ermöglicht der Service dem Kunden den Zugriff auf die erforderlichen Services. Dieser Prozess stellt sicher, dass die Identität des Kunden überprüft wird und dass der Kunde Zugriff auf den angeforderten Dienst hat. Gleichzeitig verwendet das Kerberos-Protokoll Verschlüsselungsalgorithmen mit symmetrischen Schlüsseln und Zeitstempel, um die Sicherheit der Daten während der Übertragung zu schützen.
9. Was sind die Hauptprobleme, die sich häufig aus der dezentralen Zutrittskontrolle ergeben? A. Es kann zu Zugriffsstörungen kommen. B. Inkonsistente Kontrollen. C. Die Steuerung ist zu feinkörnig. D. Die Schulungskosten sind hoch.
B
10. Ein Rückruf auf eine Festnetznummer ist ein Beispiel für welche Art von Authentifizierungsfaktor? A. Etwas, das Sie wissen B, wo du bist C. Was Sie besitzen D. Was du bist
B
11. Kathleen muss eine Active Directory-Vertrauensstellung einrichten, um dies zu ermöglichen Kerberos K5-Domäne zur Authentifizierung. Welche Art von Vertrauensverhältnis muss sie aufbauen? A. Eine Shortcut-Vertrauensstellung B. Eine Waldstiftung C. Ein externer Trust D.A Reichsvertrauen
D
12. Welches der folgenden AAA-Protokolle wird am häufigsten verwendet? A.TACACS B. TACACS C. XTACACS D.Super TACACS
B
14 Benutzer auf Windows-Systemen können die Funktion „Nachricht senden“ nicht verwenden. Welches Zugangskontrollmodell beschreibt diese Einschränkung am besten? A. Geringstes Privileg B. müssen es wissen C. Begrenzte Schnittstelle D. Aufgabentrennung
C Schauen Sie sich das Buch an
15. Welche Art der Zugriffskontrolle ermöglicht es dem Eigentümer einer Datei, anderen Benutzern mithilfe einer Zugriffskontrollliste Zugriff auf die Datei zu gewähren? A. Rollenbasiert B. Unfreiwillig C. Regelbasiert D. Unabhängig
D
16. Aufgrund seiner Tätigkeit muss Alex geschützte Gesundheitsinformationen (PHI) überprüfen, um eine angemessene Behandlung der Patienten sicherzustellen. Sein Zugriff auf die Krankenakten der Patienten umfasste keinen Zugriff auf Patientenadressen oder Rechnungsinformationen. Welches der folgenden Zugangskontrollkonzepte beschreibt diese Art der Kontrolle am besten? A. Aufgabentrennung B. Eingeschränkte Schnittstelle C.Kontextsensitive Steuerung D. muss es wissen
D
Für die Fragen 17–19 beziehen Sie sich bitte auf die folgende Tabelle, basierend auf Ihrem Verständnis des Kerberos-Anmeldevorgangs: 17 An Punkt A im Diagramm werden der Benutzername und das Passwort des Clients an das KDC gesendet. Wie wäre es mit Benutzername und Passwort? Geschützt? A.3DES-Verschlüsselung B. TLS-Verschlüsselung C. SSL-Verschlüsselung D.AES-Verschlüsselung 18. An Punkt B im Diagramm sendet der KDC nach der Überprüfung, ob der Benutzername gültig ist, die beiden wichtigen Daten Element? A. Verschlüsseltes TGT und öffentlicher Schlüssel B. Zugangstickets und öffentliche Schlüssel C Verschlüsselter TGT mit Zeitstempel und symmetrischer Schlüssel, verschlüsselt mit Hash des Benutzerkennworts D Verschlüsseltes, zeitgestempeltes TGT und Zugriffstoken 19. Welche Aufgaben muss der Kunde vor der Nutzung von TGT erledigen? A. Es muss den Hash des TGT generieren und den symmetrischen Schlüssel entschlüsseln. B. Es muss das TGT akzeptieren und den symmetrischen Schlüssel entschlüsseln. C Es muss den TGT und den symmetrischen Schlüssel entschlüsseln. D. Es muss eine gültige Antwort mit einem symmetrischen Schlüssel an den KDC senden und das TGT muss installiert sein.
D Microsoft Active Directory unterstützt die Verschlüsselung Rivest Cipher 4 (RC4), Advanced Encryption Standard 128-Bit (AES-128), Advanced Encryption Standard 256-Bit (AES-256) und Data Encryption Standard (DES). Diese Verschlüsselungsalgorithmen werden durch kryptografische Hash-Funktionen wie Secure Hash Algorithm (SHA) und Message Digest Algorithm 5 (MDA5) ergänzt. Vermeiden Sie am besten die Verwendung der DES-Verschlüsselung, die als unsicher gilt.
C
B
https://blog.csdn.net/weixin_46944519/article/details/126828074?ops_request_misc=%7B%22request%5Fid%22%3A%22171202843516800213053640%22%2C%22scm%22%3A%2220140713 .130102334..%22 %7D&request_id =171202843516800213053640&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~top_positive~default-1-126828074-null-null.142^v100^pc_search_result_base3&utm_term=Kerberos& s pm=1018.2226.3001.4187 Ausführliche Erklärung
20 Sam plant die Einführung eines biometrischen Authentifizierungssystems in seiner Organisation und erwägt den Einsatz von Netzhautscans. Welche Bedenken könnten andere in seiner Organisation in Bezug auf Netzhautscans äußern? A. Netzhautscans können Informationen über medizinische Zustände liefern. B. Das Scannen der Netzhaut ist schmerzhaft, da hierfür ein Luftstrahl auf das Auge des Benutzers erforderlich ist. C. Retina-Scanner sind die teuerste Art biometrischer Geräte. D. Retina-Scanner haben eine hohe Fehlalarmrate, was zu Supportproblemen führen kann.
A
21. Auf welchem Modell basiert die obligatorische Zugangskontrolle? A. Ermessensbefugte Zugangskontrolle B. Gruppenbasierte Zugriffskontrolle C. Netzbasierte Zugangskontrolle D. Regelbasierte Zugriffskontrolle
C
22. Greg möchte den Zugriff auf iPads kontrollieren, die in seiner Organisation als Kassenterminals verwendet werden. Welche der folgenden Methoden sollte er verwenden, um die logische Zugriffskontrolle von Geräten in einer gemeinsam genutzten Umgebung zu implementieren? A. Verwenden Sie eine gemeinsame PIN für alle Kassenterminals, um deren Verwendung zu vereinfachen. B. Erlauben Sie jedem Benutzer, sich mit OAuth bei der Cloud anzumelden. C. Jeder Benutzer erhält einen eindeutigen PIN-Code für das iPad, das er verwendet. D. Verwenden Sie Active Directory und ein Benutzerkonto, um sich mit der AD-Benutzer-ID und dem Kennwort bei iad anzumelden.
D
23. Wie lässt sich die Identitätsnutzung am besten nachvollziehen? A. Protokollierung B-Zulassung C. Digitale Signatur D.Typ-1-Zertifizierung
A Nicht gefunden, denken Sie daran
24 Jim war in den letzten Jahren in den Bereichen Personalwesen, Gehaltsabrechnung und Kundenservice in seinem Unternehmen tätig. Welche Art von Prozess sollte sein Unternehmen implementieren, um sicherzustellen, dass er über die entsprechenden Befugnisse verfügt? A. Neu konfigurieren B. Kontoüberprüfung C. Erweiterung der Privilegien D. Kontoauflösung
B
25. Zu welcher Art von Zutrittskontrollmodell gehört Biba? A.MAC B.DAC C. Rolle BAC D.ABAC
A P525 Das Windows NTFS-Dateisystem verwendet DAC Das Windows-Betriebssystem verwendet RBAC Basierend auf Firewall-Regeln Softwaredefiniertes Netzwerk ABAC P530 MAC basiert auf einem Raster und basiert auf Klassifizierungsetiketten, was bedeutet, dass Biba und Bell-~ zu MAC gehören
26. Welches der folgenden ist ein Client/Server-Protokoll, das es einem Netzwerkzugriffsserver ermöglicht, Remotebenutzer zu authentifizieren, indem es Zugriffsanforderungsnachrichten an einen zentralen Server sendet? A. Kerberos B. EAP C. RADIUS D.OAuth
C
27.Henry arbeitet mit dem Webanwendungsentwicklungsteam zusammen, um den Authentifizierungs- und Autorisierungsprozess für die neue Anwendung des Unternehmens zu entwerfen. Das Team möchte Sitzungs-IDs so sicher wie möglich machen. Welche der folgenden Methoden ist keine bewährte Methode, die Henry empfehlen sollte? A. Sitzungs-ID-Tokens sollten vorhersehbar sein. B. Die Sitzungs-ID sollte mindestens 64 Bit Entropie haben. Die Länge der C-Sitzung sollte mindestens 128 Bit betragen. D. Die Sitzungs-ID sollte bedeutungslos sein.
A
28.Angela verwendet einen Sniffer, um den Datenverkehr zu einem RADIUS-Server zu überwachen, der mit Standardeinstellungen konfiguriert ist. Welches Protokoll sollte sie überwachen und welchen Datenverkehr kann sie lesen? A.UDP, es konnte kein Datenverkehr gelesen werden. Der gesamte RADIUS-Verkehr ist verschlüsselt. B.TCP. Der gesamte Datenverkehr kann gelesen werden, mit Ausnahme des Passworts, das verschlüsselt ist. C.UDP. Der gesamte Datenverkehr kann mit Ausnahme des verschlüsselten Passworts gelesen werden. D.TCP, es kann kein Datenverkehr gelesen werden. Der gesamte RADIUS-Verkehr ist verschlüsselt.
C
29. Welche Art der Zugangskontrolle beschreibt die Haltungsbewertungsfunktion von NAC am besten? A. Obligatorische Zugangskontrolle B. Risikobasierte Zugangskontrolle C. Ermessensbefugte Zugangskontrolle D. Rollenbasierte Zugriffskontrolle
B P532 Denken Sie daran
30. Was ist ein Beispiel dafür, dass eine Anwendung oder ein System es einem angemeldeten Benutzer ermöglicht, eine bestimmte Aktion auszuführen? Eine Rolle B. Gruppenleitung C. Anmelden D.Autorisierung
D
31. Alex ist seit mehr als zehn Jahren im Unternehmen und hatte verschiedene Positionen innerhalb des Unternehmens inne. Bei einer Prüfung wurde festgestellt, dass er aufgrund seiner früheren Position Zugriff auf freigegebene Ordner und Anwendungen hatte. Was ist mit Alex‘ Firma passiert? Frage? A. Überbereitstellung B. Unbefugter Zugriff C. Erweiterung der Privilegien Überprüfung des D-Kontos
C
32. Geoff möchte Angriffe zur Privilegienausweitung in seiner Organisation verhindern. Welche der folgenden Vorgehensweisen verhindert am ehesten eine laterale Rechteausweitung? A. Multi-Faktor-Authentifizierung B. Beschränken Sie die Berechtigungen auf Gruppen und Konten C. Deaktivieren Sie nicht verwendete Ports und Dienste D. Bereinigen Sie Benutzereingaben in Anwendungen
A
Die Microsoft Exchange-Umgebung von 33.Jim umfasst eine lokale Umgebung Server in Rechenzentren und Office 365 für Mitarbeiter, die nicht in einem dieser Büros ansässig sind einsetzen. Identitäten werden in beiden Umgebungen erstellt und verwendet und funktionieren in beiden. Welches Kopfgelenksystem verwendet Jim? A. Wichtigste Cloud-Systeme B. Primäres lokales System C.Hybridsystem D. Multi-Tenant-System
C
34. Die folgende Tabelle zeigt, welche Art von Zugangskontrollschema? A.RBAC B DAC C MAC DTBAC
C Basierend auf dem Raster haben Subjekt und Objekt Attribute, es handelt sich also um MAC
35. Michelles Unternehmen teilt seine Marketing- und Kommunikationsabteilung in zwei separate Teams auf und gründet eine neue Abteilung. Sie möchte Rollen schaffen, die jedem Team Zugriff auf Ressourcen ermöglichen. Was sollte sie tun, um angemessene Sicherheit und Berechtigungen aufrechtzuerhalten? A Platzieren Sie das Marketingteam in einer bestehenden Gruppe, da für sie ähnliche Zugriffsanforderungen gelten. B Behalten Sie das Marketingteam in der bestehenden Gruppe und erstellen Sie eine neue Kommunikationsgruppe basierend auf ihren spezifischen Bedürfnissen. C Behalten Sie das Kommunikationsteam in der aktuellen Gruppe und erstellen Sie eine neue Marketinggruppe basierend auf ihren spezifischen Bedürfnissen. D. Erstellen Sie zwei neue Gruppen, bewerten Sie die Berechtigungen, die sie zum Ausführen ihrer Rollen benötigen, und fügen Sie bei Bedarf zusätzliche Berechtigungen hinzu.
D
36. Welcher Prozess findet statt, wenn ein Subjekt eine Identität angibt? A. Anmelden B. Identifizieren C.Autorisierung D. Token-Präsentation
B
37. Hunde, Wachen und Zäune sind gängige Beispiele für welche Art von Kontrolle? A. Erkennungstyp B. Wiederherstellungstyp C. Verwaltungstyp D.Physischer Typ
D
38. Susans Organisation aktualisiert ihre Passwortrichtlinie und möchte möglichst sichere Passwörter verwenden. Welche Passwortanforderung hat den größten Einfluss auf die Verhinderung von Brute-Force-Angriffen? A. Ändern Sie die maximale Nutzungsdauer von 1 Jahr auf 180 Tage. B. Erhöhen Sie die Mindestlänge des Passworts von 8 auf 16 Zeichen. C. Erhöhen Sie die Komplexität des Passworts und erfordern Sie mindestens drei Zeichenkategorien (z. B. Großbuchstaben, Kleinbuchstaben, Zahlen und Symbole). D. Führen Sie einen Passwortverlauf mit mindestens vier Passwörtern, um eine Wiederverwendung zu verhindern.
B Die zunehmende Länge hat den größten Einfluss
39. Alaina führt regelmäßig geplante Überprüfungen des Dienstkontos durch. Über welches der folgenden Ereignisse macht sie sich am meisten Sorgen? A. Interaktive Anmeldung für Dienstkonten B. Passwortänderungen für Dienstkonten C. Einschränkungen der Dienstkontoberechtigungen D. Lokale Vorgänge mit Dienstkonten
A P508 Originalwörter im Buch – Legen Sie das Konto als nicht interaktives Konto fest
40. Wann könnte man in einer Organisation, die biometrische Daten verwendet, eine höhere FRR anstelle einer höheren FAR zulassen? A. Wenn Sicherheit wichtiger ist als Verfügbarkeit B. Wenn falsche Ablehnungen aufgrund von Datenqualitätsproblemen kein Problem darstellen C. Wenn die CER des Systems unbekannt ist D. Wenn der CER des Systems sehr hoch ist
A
41 Nach jüngsten Berichten über unbefugten Zugriff auf Arbeitsstationen außerhalb der Geschäftszeiten wurde Derek gebeten, eine Möglichkeit zu finden, um sicherzustellen, dass sich Wartungspersonal nicht an Arbeitsstationen im Geschäftsbüro anmelden kann. Das Wartungspersonal verfügt in seinen Pausenräumen und Büros über die Systeme der Organisation, da es weiterhin auf diese Systeme zugreifen muss. Was sollte Derek tun, um dieses Bedürfnis zu befriedigen? A erfordert eine Multi-Faktor-Authentifizierung und erlaubt nur Büromitarbeitern den Besitz von Multi-Faktor-Tokens. B. Verwenden Sie eine regelbasierte Zugriffskontrolle, um die Anmeldung außerhalb der Arbeitszeit im Arbeitsbereich zu verhindern. C. Richten Sie mithilfe der rollenbasierten Zugriffskontrolle eine Gruppe ein, die alle Betreuer enthält, und weisen Sie diese zu Gewährt das Recht, sich nur an der angegebenen Arbeitsstation anzumelden. D. Verwenden Sie Geofencing, um die Anmeldung nur in Wartungsbereichen zu ermöglichen.
C
42. Nick möchte Sitzungsverwaltung für seine Webanwendung implementieren. Welche der folgenden sind gängige Sitzungsverwaltungstechniken oder -methoden für Webanwendungen? (Wählen Sie alle zutreffenden.) A. IP-Tracking B. Cookies C.URL-Umschreibung D.TLS-Token
B.C. erinnern
Nutzen Sie für die Fragen 43–45 Ihr Wissen über SAML-Integration und Sicherheitsarchitekturdesign und beziehen Sie sich auf das folgende Szenario und die folgende Abbildung: Alex ist für die SAML-Integration bei einem wichtigen Drittpartner verantwortlich, der seiner Organisation verschiedene Geschäftsproduktivitätsdienste bereitstellt. 43.Alex ist sehr besorgt über das Abhören des SAML-Verkehrs und möchte sicherstellen, dass gefälschte Behauptungen keinen Erfolg haben. Was sollte er tun, um diese potenziellen Angriffe zu verhindern? A. Stellen Sie eine Sicherheitsauthentifizierung mithilfe des SAML-Sicherheitsmodells bereit. B. Implementieren Sie TLS mit starken Verschlüsselungssammlungen, um sich vor beiden Angriffen zu schützen. C. Implementieren Sie TLS mithilfe starker Verschlüsselungssammlungen und verwenden Sie digitale Signaturen. D. Implementieren Sie TLS und Nachrichten-Hashing mithilfe starker Verschlüsselungssammlungen. 44. Wenn Alex‘ Organisation hauptsächlich aus externen reisenden Benutzern besteht, welche Verfügbarkeitsrisiken entstehen durch die Integration geschäftskritischer Anwendungen in die Vor-Ort-Authentifizierung, und wie sollte er ihnen begegnen? A. Integrationen von Drittanbietern sind möglicherweise nicht vertrauenswürdig; sie verwenden SSL und digitale Signaturen. B. Wenn die lokale Organisation offline geht, können reisende Benutzer nicht auf Anwendungen von Drittanbietern zugreifen. Implementieren Sie ein lokales Hybrid-Cloud-Authentifizierungssystem. C. Lokale Benutzer werden möglicherweise nicht korrekt zu Diensten von Drittanbietern umgeleitet; implementieren Sie ein lokales Gateway. D-Browser leiten möglicherweise nicht korrekt um. Verwenden Sie eine Hosts-Datei, um sicherzustellen, dass Umleitungsprobleme behoben werden. 45. Welche Lösung kann am besten dazu beitragen, die in Schritt 2 gezeigte, von Drittanbietern kontrollierte SSO-Umleitung zu beheben? Zur Frage? A. Sensibilisierungsmaßnahmen für vertrauenswürdige Dritte B.TLS C. Weiterleitungen auf der lokalen Website verarbeiten D. Implementieren Sie IPS, um SSO-Redirect-Angriffe abzuwehren
C
B
ARemember
46.Susan wurde gebeten, eine Empfehlung abzugeben, ob ihre Organisation eine MAC-Lösung oder eine DAC-Lösung verwenden sollte. Wenn die Implementierung der Zugangskontrolle Flexibilität und Skalierbarkeit erfordert, welche Option sollte sie empfehlen und warum? A. MAC, da es eine größere Skalierbarkeit und Flexibilität bietet, fügen Sie einfach nach Bedarf weitere hinzu Einfach beschriften B.DAC bietet Skalierbarkeit, indem es einzelnen Administratoren ermöglicht, die von ihnen kontrollierten Objekte auszuwählen. und Flexibilität Da die Partitionierung bei C.MAC eine große Flexibilität bietet, wird sie durch das Hinzufügen von Partitionen gut skalierbar Sex D.DAC, weil der zentrale Entscheidungsprozess schnell reagieren und die Anzahl der erforderlichen Entscheidungen reduzieren kann Die Verlagerung dieser Entscheidungen an eine zentrale Stelle sorgt für Skalierbarkeit und Flexibilität
B
47.Welches der folgenden Tools wird normalerweise nicht verwendet, um zu überprüfen, ob Bereitstellungsprozesse so konfiguriert sind, dass die Sicherheitsrichtlinien einer Organisation gewährleistet sind? A. Protokollüberprüfung B. Manuelle Berechtigungsüberprüfung C. Signaturbasierte Erkennung D. Überprüfen Sie die Audit-Trail-Aufzeichnungen
C erinnern
48.Jessica muss Informationen über die von ihr bereitgestellten Dienste an eine Drittorganisation senden. Welche standardbasierte Auszeichnungssprache sollte sie zum Erstellen der Schnittstelle wählen? A. SAML B. SOAP C. SPML D.XACML
C erinnern
49. Während eines Penetrationstests stellte Chris eine Datei mit gehashten Passwörtern für die Systeme wieder her, auf die er zugreifen wollte. Welche Art von Angriff ist bei gehashten Passwörtern am wahrscheinlichsten erfolgreich? A. Gewalttätiger Angriff B. Angriff über Hashwert C Rainbow-Tischangriff D Ein Salzrückgewinnungsangriff
C
50 Die Identitätsintegration von Google mit einer Vielzahl von Organisationen und Anwendungen über Domänen hinweg ist ein Beispiel für welches der folgenden Dinge? A.PKI B. Föderation C. Einmaliges Anmelden D. liefern
B erinnern
51. Amanda beginnt einen neuen Job und stellt fest, dass sie Zugriff auf verschiedene Systeme hat, die sie bei der Arbeit nicht benötigt. Auf welches Problem ist sie gestoßen? A. Permission Creep B. Begrenzungskonflikt C. Geringstes Privileg D. Zu viele Berechtigungen
D
52. Wenn Chris die Identität einer Person authentifiziert und dem Identitätssystem eine eindeutige Kennung, beispielsweise eine Benutzer-ID, hinzufügt Welcher Prozess ist passiert? A. Identitätsprüfung B. Registrieren C. Verzeichnisverwaltung D. Sitzungsverwaltung
B
53.Selah möchte Verhaltensrückverfolgbarkeit für die primäre Geschäftsanwendung ihrer Organisation bereitstellen. Welche Kontrollmaßnahmen werden in dieser Situation am häufigsten eingesetzt? (Wählen Sie alle zutreffenden.) A. Aktivieren Sie die Audit-Protokollierung. B. Geben Sie jedem Mitarbeiter ein eindeutiges Konto und aktivieren Sie die Multi-Faktor-Authentifizierung. C. Aktivieren Sie zeit- und ortsbasierte Anmeldeanforderungen. D. Geben Sie jedem Mitarbeiter ein einzigartiges Konto und verlangen Sie ein selbst gewähltes Passwort.
AB
54. Chariles möchte Autorisierungsdienste als Teil seiner Webanwendung bereitstellen. Welchen Standard sollte er verwenden, wenn er eine einfache Integration mit anderen Web-Identitätsanbietern wünscht? A.OpenID B. TACACS C. RADIUS D.OAuth
D
55 Camerons Unternehmen nutzt ein System, das es Benutzern ermöglicht, bei Bedarf privilegierten Zugriff auf das System anzufordern. . Camneron beantragte Zugang und aufgrund seiner Rolle wurde der Antrag vorab genehmigt. Er kann dann auf das System zugreifen, um Aufgaben auszuführen. Nach Abschluss werden die Berechtigungen entfernt. Welche Art von System verwendet er? A. Null Vertrauen B. Federated Identity Management C. Einmaliges Anmelden D. Rechtzeitiger Zugriff
D
56. Ene ist für den Aufbau einer Bank-Website verantwortlich. Sie muss die Identität des Benutzers überprüfen, der sich für die Website registriert hat. Was sollte sie tun, um die Identität des Benutzers zu überprüfen? A. Bitten Sie Benutzer, einzigartige Fragen zu erstellen, die nur sie kennen. B. Neue Benutzer müssen ihren Führerschein oder Reisepass persönlich zur Bank bringen. C. Verwenden Sie Informationen, über die sowohl die Bank als auch der Benutzer verfügen, z. B. Fragen aus der Kreditauskunft. D. Rufen Sie die registrierte Telefonnummer des Benutzers an, um zu überprüfen, wer er vorgibt zu sein.
C
57. Susans Organisation ist Teil eines Verbunds, der Benutzern aus mehreren Organisationen den Zugriff auf Ressourcen und Dienste an anderen Verbundstandorten ermöglicht. Welche Dienste soll Susn auf Partnerseiten nutzen? Identitätsanbieter? A. Der Identitätsanbieter von Susans Organisation B. Identitätsanbieter des Dienstanbieters C. Ihr Identitätsanbieter und der Identitätsanbieter des Dienstanbieters D. Der Dienstanbieter erstellt eine neue Identität
A
58. Ein neuer Kunde einer Bank, die Fingerabdruckscanner zur Authentifizierung von Benutzern verwendet, war überrascht, als er beim Scannen seines Fingerabdrucks feststellte, dass er im Konto eines anderen Kunden angemeldet war. Welcher biometrische Fehler ist aufgetreten? A. Registrierungsfehler B. Ein Fehler vom Typ 1 C.A Fehler Typ 2 D. Falsche Nutzungsdauer und Nutzungsmethode
C
· False Rejection Rate (FRR): Fehler vom Typ 1. Gültige biometrische Daten können nicht überprüft werden und werden in Umgebungen mit hohen Sicherheitsanforderungen verwendet.
Falsch negativ, Ablehnung des richtigen Benutzers
•False Acceptance Rate (FAR): Fehler vom Typ 2. Ungültige biometrische Daten werden fälschlicherweise als gültige Identitäten identifiziert und in Umgebungen mit geringen Sicherheitsanforderungen verwendet.
Falsch positiv, falscher Benutzer erlaubt
59. Welche Art der Zugriffskontrolle wird typischerweise bei Firewalls verwendet? A. Ermessensbefugte Zugangskontrolle B. Regelbasierte Zugriffskontrolle C. Aufgabenbasierte Zugriffskontrolle D. Obligatorische Zugangskontrolle
B
60. Welche wichtigen Identitäts- und Zugriffsverwaltungsaktivitäten führen Sie durch, wenn Sie Ihre Benutzer-ID und Ihr Passwort eingeben? A. Autorisierung B. Überprüfen C. Zertifizierung D. Anmelden
C
61.Katleen arbeitet in einer Rechenzentrums-Colocation-Einrichtung, die Einzelpersonen und Organisationen physischen Rechenzentrumsraum zur Verfügung stellt. Bis vor kurzem erhielt jeder Benutzer eine Magnetstreifen-Schlüsselkarte für den Zugang zu dem Teil der Einrichtung, in dem sich sein Server befand, und er erhielt außerdem einen Schlüssel für den Zugang zu dem Käfig oder Rack, in dem sich sein Server befand. In den letzten zwei Monaten wurden einige Server kompromittiert, in den Passprotokollen werden jedoch nur gültige IDs angezeigt. Was ist Keatnleens beste Option, um sicherzustellen, dass Pass-Benutzer diejenigen sind, die sie sein sollen? A Fügen Sie einen Kartenleser hinzu, bei dem Passbenutzer eine PIN eingeben müssen. B. Fügen Sie der Einrichtung ein Kamerasystem hinzu, um zu beobachten, wer auf den Server zugreift. C. Biometrische Faktoren hinzufügen. D. Ersetzen Sie Schlüsselkarten mit Magnetstreifen durch Smartcards.
C
62 Theresa möchte ihren Mitarbeitern ermöglichen, Passwörter für Systeme, einschließlich Dienstkonten und anderer selten verwendeter administrativer Anmeldeinformationen, sicher zu speichern und zu verwalten. Welche Art von Tool sollte sie einsetzen, um dies zu erreichen? A. Einmaliges Anmelden B. Föderiertes Identitätssystem C. Passwort-Manager D. Multi-Faktor-Authentifizierungssystem
C erinnern
63.Olivia möchte die Befehle begrenzen, die ein Benutzer über sudo ausführen kann, um die Möglichkeit von Privilegieneskalationsangriffen zu verringern. Welche Linux-Datei sollte sie ändern, um dies zu erreichen? A.bash .bin-Konfigurationsdatei B.sudoers-Datei C. bashs .allowed-Konfigurationsdatei D.sudont-Datei
B
64. Welche Objekte und Agenten im MAC-Modell haben Labels? A. Objekte und Themen, die als „Vertraulich“, „Vertraulich“ oder „Streng geheim“ eingestuft sind, verfügen über Etiketten. B. Alle Gegenstände haben ein Etikett und alle Fächer haben ein Fach. C. Alle Objekte und Themen haben eine Beschriftung. D. Alle Fächer haben ein Etikett und alle Gegenstände haben ein Fach.
C
Für die Fragen 65–67 beziehen Sie sich bitte auf die folgenden Szenarien und Diagramme: Chris ist der Identitätsarchitekt einer wachsenden E-Commerce-Website. Er und sein Team beabsichtigen, soziale Identitäten zu nutzen, indem sie Benutzern ermöglichen, ihre vorhandenen Google-Konten als primäre Konten auf E-Commerce-Websites zu verwenden. Das bedeutet, dass ein neuer Benutzer, wenn er sich zum ersten Mal mit der eCommerce-Plattform verbindet, wählen kann, ob er sein Google-Konto (mit OAuth 2.0) verwenden oder mit seiner E-Mail-Adresse und einem Passwort seiner Wahl ein neues Konto auf der Plattform erstellen möchte. 65. Wenn eine E-Commerce-Anwendung ein Konto für einen Google-Nutzer erstellt, sollte das Passwort des Nutzers gespeichert werden Wo wird es gespeichert? A. Das Passwort wird in der Datenbank der E-Commerce-Anwendung gespeichert. B. Das Passwort wird im Speicher des E-Commerce-Anwendungsservers gespeichert. C. Passwörter werden im Kontoverwaltungssystem von Google gespeichert. D. Das Passwort wird nicht gespeichert; stattdessen wird ein gesalzener Hash-Wert in Google gespeichert im Kontoverwaltungssystem. 66. Welcher der folgenden Punkte ist für die Benutzerauthentifizierung für Google-Benutzer verantwortlich? A. E-Commerce-Anwendungen. B. Es gibt sowohl E-Commerce-Anwendungen als auch Google-Server. C. Google-Server. D. Das Diagramm bietet nicht genügend Informationen, um dies festzustellen. 67. Welche Art von Angriff soll durch die Erstellung und den Austausch von Status-Tokens verhindert werden? A. XSS B. CSRF C. SQL-Injection D.XACML
D
C
B Cross-Site-Request-Forgery (englisch: Cross-Site-Request-Forgery), auch bekannt als One-Click-Angriff oder Session-Riding, oft abgekürzt als CSRF oder Die Angriffsmethode. Im Vergleich zum Cross-Site-Scripting (XSS), das das Vertrauen des Benutzers in die angegebene Website ausnutzt, nutzt CSRF das Vertrauen der Website in den Webbrowser des Benutzers. Verteidigung: Überprüfen Sie das Feld „Referer“. Im HTTP-Header gibt es ein Referrer-Feld, das zur Angabe der Adresse verwendet wird, von der die Anfrage kommt. Bei der Bearbeitung sensibler Datenanfragen sollte sich das Referrer-Feld im Allgemeinen unter demselben Domänennamen befinden wie die angeforderte Adresse. Am Beispiel des oben genannten Bankvorgangs sollte die Adresse des Referrer-Felds normalerweise die Webadresse sein, unter der sich die Schaltfläche „Überweisen“ befindet, die sich auch unter www.examplebank.com befinden sollte. Wenn es sich um eine Anfrage von einem CSRF-Angriff handelt, enthält das Referrer-Feld eine Adresse mit einer bösartigen URL und befindet sich nicht unter www.examplebank.com. Zu diesem Zeitpunkt kann der Server den böswilligen Zugriff identifizieren. Diese Methode ist einfach und leicht zu implementieren und erfordert nur einen einzigen Verifizierungsschritt an wichtigen Zugangspunkten. Diese Methode hat jedoch auch ihre Grenzen, da sie vollständig darauf angewiesen ist, dass der Browser das richtige Referrer-Feld sendet. Obwohl das http-Protokoll klare Vorschriften für den Inhalt dieses Felds enthält, kann es weder die spezifische Implementierung des besuchenden Browsers garantieren, noch kann es garantieren, dass der Browser keine Sicherheitslücken aufweist, die dieses Feld betreffen. Außerdem besteht die Möglichkeit, dass Angreifer einige Browser angreifen und deren Referrer-Felder manipulieren. Verifizierungstoken hinzufügen Da der Kern von CSRF darin besteht, dass der Angreifer den Benutzer dazu verleitet, auf die von ihm festgelegte Adresse zuzugreifen, muss der Browser des Benutzers Daten bereitstellen, die nicht im Cookie gespeichert sind und vom Angreifer nicht als Verifizierung beim Zugriff auf vertrauliche Daten gefälscht werden können. dann der Angriff Der Angreifer kann keine CSRF-Angriffe mehr ausführen. Diese Daten sind normalerweise ein Datenelement im Formular. Der Server generiert es und hängt es an das Formular an. Sein Inhalt ist eine Pseudozufallszahl. Wenn der Kunde über das Formular eine Anfrage stellt, wird diese Pseudozufallszahl auch zur Überprüfung übermittelt. Während des normalen Zugriffs kann der Client-Browser diese Pseudozufallszahl korrekt abrufen und zurückgeben. Bei betrügerischen Angriffen über CSRF hat der Angreifer jedoch keine Möglichkeit, den Wert dieser Pseudozufallszahl im Voraus zu kennen, und der Server wird dies tun Wenn der Wert des Verifizierungstokens leer oder falsch ist, wird die verdächtige Anfrage abgelehnt.
68. Wie heißt Ihr Haustier? Bei welcher Authentifizierungsart tritt dieses Problem auf? A. Wissensbasierte Zertifizierung B. Dynamische wissensbasierte Authentifizierung C. Out-of-Band-Authentifizierung D. Der dritte Authentifizierungsfaktor
A
69. Madhuri erstellt eine Tabelle mit zugewiesenen Berechtigungen, Objekten und Prinzipalen, um die Zugriffskontrolle für die Systeme zu verwalten, für die sie verantwortlich ist. Immer wenn ein Prinzipal versucht, auf ein Objekt zuzugreifen, überprüft das System die Tabelle, um sicherzustellen, dass der Prinzipal über die entsprechenden Berechtigungen für das Objekt verfügt. Welche Art von Zugangskontrollsystem verwendet Madhuri? A. Fähigkeitstabelle B. Zugriffskontrollliste C. Zugangskontrollmatrix D.Subjekt-/Objektrechteverwaltungssystem
C
70. Bei der Durchsicht von Support-Tickets stellte Bens Organisation fest, dass mehr als ein Viertel der Hilfefälle auf Passwortänderungen zurückzuführen waren. Welche der folgenden Optionen wird diese Zahl am ehesten deutlich reduzieren? A. Zwei-Faktor-Authentifizierung B. Biometrische Authentifizierung C. Self-Service-Passwort-Reset D. Passphrase
C erinnern
71. Brians große Organisation nutzt RADIUS seit vielen Jahren, um AAA-Dienste für Netzwerkgeräte bereitzustellen. und wurde kürzlich auf Sicherheitsprobleme bei den während des Authentifizierungsprozesses übermittelten Informationen aufmerksam. Was sollte Brian tun? RADIUS-Implementierungsverschlüsselung? A. Nutzen Sie die in RADIUS integrierten Verschlüsselungsfunktionen. B. Implementieren Sie RADIUS über sein natives UDP unter Verwendung von TLS, um Schutz zu bieten. C. Implementieren Sie RADIUS über TCP mit TLS, um Schutz zu bieten. D. Verwenden Sie AES256-Pre-Shared-Verschlüsselungen zwischen Geräten. .
C RADIUS selbst verwendet das UDP-Protokoll und nach der Verwendung von TLS das TCP-Protokoll.
72 Jim erlaubt cloudbasierten Anwendungen, in seinem Namen auf Informationen auf anderen Websites zuzugreifen. Welches der folgenden Tools kann dies erreichen? A. Kerberos B.OAuth C.OpeniD D. LDAP
B Es ist ein Autorisierungsprotokoll erforderlich, also OAuth
73. In Bens Organisation kam es während der Mittagspause zu unbefugtem Zugriff auf Anwendungen und Workstations, wenn die Mitarbeiter nicht an ihren Schreibtischen saßen. Welche Sitzungsverwaltungslösung würde Ben am besten empfehlen, um diese Art von Zugriff zu verhindern? A Verwenden Sie Sitzungs-IDs für alle Zugriffe und überprüfen Sie die System-IP-Adressen für alle Arbeitsstationen B. Legen Sie ein Sitzungs-Timeout für die Anwendung fest, verwenden Sie einen passwortgeschützten Bildschirmschoner auf der Workstation und legen Sie ein Inaktivitäts-Timeout fest. C Verwenden Sie Sitzungs-IDs für alle Programme und passwortgeschützte Bildschirmschoner auf Workstations. D. Legen Sie ein Sitzungszeitlimit für die Anwendung fest und überprüfen Sie die System-IP-Adressen aller Arbeitsstationen.
B
74 Das folgende Diagramm zeigt die Art des Authentifizierungsszenarios A. Gemischte Union B. Union vor Ort C. Cloud-Föderation D. Kerberos-Föderation
A P508 Bei der cloudbasierten Föderation wird in der Regel ein Dritter zur Weitergabe der föderierten Identität eingesetzt Der Hybridverbund ist eine Kombination aus Cloud-Verbund und lokalem Verbund
75. Chris möchte Personen identifizieren und gleichzeitig den Zugang zur Einrichtung kontrollieren. Er möchte außerdem sicherstellen, dass diese Personen zugelassen werden, und möchte nicht, dass erhebliche laufende Kosten anfallen. Welche Lösungen aus den folgenden Optionen erfüllen alle diese Anforderungen? (Wählen Sie alle zutreffenden.) A. Sicherheitspersonal und Lichtbildausweis B. RFID-Ausweis und Lesegerät mit PIN-Tastatur C. Magnetstreifen-Ausweis und Kartenleser mit PIN-Pad D. Sicherheitspersonal und Magnetstreifenlesegeräte
B.C.
76. Welcher Art von zweitem Authentifizierungsfaktor unterliegt ein Gerät wie ein Yubikey- oder Titan-Sicherheitsschlüssel? A. Token B. Biometrische Identifikatoren C.Smartcard D. PIV
A erinnern
77. Welche Authentifizierungstechnologie kann mit OAuth kombiniert werden, um Benutzerprofilinformationen mithilfe der RESTful-API zu authentifizieren und abzurufen? A. SAML B. Shibboleth C. OpenID Connect D. Higgins
C
78.Jim möchte ein Zugriffskontrollschema implementieren, um sicherzustellen, dass Benutzer den Zugriff nicht delegieren können. Er wollte auch die Zugriffskontrolle auf Betriebssystemebene durchsetzen. Welcher Zugangskontrollmechanismus erfüllt diese Anforderungen am besten? A. Rollenbasierte Zugriffskontrolle B. Ermessensbefugte Zugangskontrolle C. Obligatorische Zugangskontrolle D. Attributbasierte Zugriffskontrolle
C
79.Der Sicherheitsadministrator in Susans Unternehmen hat den von ihr verwendeten Arbeitsplatz so konfiguriert, dass sie sich nur während der Arbeitszeit anmelden kann. Welche Art der Zugangskontrolle beschreibt diese Einschränkung am besten? A. Eingeschränkte Schnittstelle B. kontextsensitive Steuerung C. Inhaltsbezogene Kontrollen D. Geringstes Privileg
B
80.Ben verwendet einen softwarebasierten Token, der den Code jede Minute ändert. Welche Art von Token verwendet er? A. Asynchron B. Smartcard C. Synchronisierung D.Statisch
C
81. Eine Firewall ist ein Beispiel für welche Art von Zugangskontrollmechanismus? A. Obligatorische Zugangskontrolle B. Attributbasierte Zugriffskontrolle C. Ermessensbefugte Zugangskontrolle D. Regelbasierte Zugriffskontrolle
D
82.Michelle arbeitet für ein Finanzdienstleistungsunternehmen und möchte Kunden für ihre Webanwendung registrieren. Welche Art von Authentifizierungsmechanismus kann sie verwenden, wenn sie schnell und automatisch überprüfen möchte, ob die Person die Person ist, für die sie sich bei der ersten Anmeldung ausgibt, ohne zuvor eine Beziehung zu ihr haben zu müssen? A. Fragen Sie nach ihrer Sozialversicherungsnummer. B. Wissensbasierte Authentifizierung verwenden. C. Führen Sie eine manuelle Authentifizierung durch. D. Biometrische Faktoren verwenden.
B erinnern
83 Megans Unternehmen möchte Google-Konten nutzen, um seine Webanwendung schnell einzuführen. Welche gängigen Cloud-Föderationstechnologien muss Megan implementieren? (Wählen Sie alle zutreffenden) A. Kerberos B.OpeniD C.OAuth D. RADIUS
B.C.
84. Die Länge der Sitzungs-ID und die Größe der Sitzungs-ID sind entscheidend für die Verhinderung welcher Art von Angriff? A. Dienstverweigerung B. Cookie-Diebstahl C. Gesprächsraten D. Man-in-the-Middle-Angriff
C
85. Das Zugangskontrollsystem von Naomis Organisation überprüft neben anderen Sicherheitsüberprüfungen, ob ihr Computer vollständig angeschlossen ist, einen erfolgreichen Anti-Malware-Scan durchgeführt hat und die Firewall aktiviert ist, bevor sie eine Verbindung zum Netzwerk herstellen kann. Wenn ein potenzielles Problem vorliegt, wird ihr die Verbindung verweigert und sie muss sich an den Support wenden. Welche Art von Zugangskontrollschema beschreibt diese Art von Prozess am besten? A.MAC B. Regelbasierte Zugriffskontrolle C. Rollenbasierte Zugriffskontrolle D. Risikobasierte Zugangskontrolle
D
86. lsabelle möchte Privilegieneskalationsangriffe auf die Dienstkonten seiner Organisation verhindern. Welche der folgenden Sicherheitspraktiken Am besten für diese Situation? A. Entfernen Sie unnötige Berechtigungen. B Deaktivieren Sie die interaktive Anmeldung für das Dienstkonto. C. Begrenzen Sie die Anmeldezeit für Ihr Konto. D. Verwenden Sie bedeutungslose oder zufällige Dienstkontonamen.
A
87. Welche Gefahren birgt es, wenn OpenID-Relying-Parties Verbindungen zu OpenID-Anbietern kontrollieren dürfen? A. Kann zu einer falschen Auswahl des OpenID-Anbieters führen. B. Mögliche Phishing-Angriffe durch Senden von Daten an gefälschte OpenID-Anbieter. C. Vertrauende Parteien können möglicherweise Benutzernamen und Passwörter von Kunden stehlen. D. Die vertrauende Partei darf keine signierten Behauptungen senden.
B
88. Jim implementiert eine Cloud-Identitätslösung für sein Unternehmen. Welche Art von Technologie verwendet er? A. Identität als Service B. Mitarbeiterstatus als Dienstleistung C. Cloudbasiertes RADIUS D.OAuth
A IDaaS
89.Kisten möchte den Zugriff auf eine Anwendung in der Organisation basierend auf der Position des Mitarbeiters, den für jede Positionsgruppe erforderlichen Anwendungsberechtigungen, der Zeit und dem Standort steuern. Welche Art von Kontrollsystem sollte sie wählen? Eine Attribut-Baseline-Zugriffskontrolle (ABAC) B. Diskretionäre Zugangskontrolle (DAC) C. Obligatorische Zugangskontrolle (MAC) D. Rollenattribut-Baseline-Zugriffskontrolle (Rolle BAC)
A
90. Welche Art von Zugriffskontrollmodell verwendet Alex, wenn er als Benutzer auf einem Linux-Server die im Diagramm unten gezeigten Berechtigungen festlegt? $ chmod 7313 al $1s-la insgesamt 12 drwxr-xr-x 3 root drwxr-xr-x 3 root A. Rollenbasierte Zugriffskontrolle B. Regelbasierte Zugriffskontrolle C. Obligatorische Zugangskontrolle (MAC) D. Diskretionäre Zugangskontrolle (DAC)
D
91.Joanna leitet das Identitätsmanagementteam ihrer Organisation und möchte sicherstellen, dass die Rollen aktualisiert werden, wenn Mitarbeiter neue Positionen einnehmen. Auf welches Mitarbeiterthema sollte sie sich konzentrieren, um Probleme bei der Rollendefinition zu vermeiden? A. Registrieren B. Permission Creep C. Abschaffung D. Verantwortung für das Konto
B
92Welche Art von Autorisierungsmechanismus ist in der folgenden Abbildung dargestellt? A. Rollenbasierte Zugriffskontrolle (RBAC) B. Attribut-Baseline-Zugriffskontrolle (ABAC) C. Obligatorische Zugangskontrolle (MAC) D. Diskretionäre Zugangskontrolle (DAC)
A
93. Susan behebt ein Kerberos-Authentifizierungsproblem, zu dem ein TGT (Ticket Granting Ticket) gehört, das nicht als gültiges Ticket akzeptiert wird, und die Unfähigkeit, ein neues Ticket zu erhalten. Wenn das System, das sie behebt, ordnungsgemäß für die Kerberos-Authentifizierung konfiguriert wurde , ihr Benutzername und ihr Passwort sind korrekt. Ihre Netzwerkverbindung ist in Ordnung. Was könnte das Problem sein? A. Der Kerberos-Server ist offline. B. Es liegt eine Protokollinkongruenz vor. C. Das TGT des Kunden wird als kompromittiert und nicht autorisiert markiert. D Die Uhrzeiten des Kerberos-Servers und des lokalen Clients sind nicht synchronisiert.
D
94. Brian möchte dem Management der Organisation die Vorteile eines lokalen Verbandes erläutern. Welche der folgenden Optionen ist kein gemeinsamer Vorteil föderierter Identitätssysteme? A. Vereinfachen Sie die Kontoverwaltung B. Single Sign-On C. Verhindern Sie Brute-Force-Angriffe D. Produktivität steigern
C
95.Aarons Bank möchte Kunden die Nutzung einer neuen Zusatzanwendung ermöglichen, die von einem Drittpartner bereitgestellt wird, mit dem sie zusammenarbeitet. Da nicht jeder Kunde ein Konto möchte oder benötigt, empfiehlt Aaron den Banken, einen SAML-basierten Workflow zu verwenden, der ein Konto erstellt, wenn ein Benutzer die App herunterlädt und versucht, sich anzumelden. Welche Art von Konfigurationssystem empfiehlt er? A. Just-In-Time-Konfiguration (JIT) B.OpeniD C.OAuth D. Kerberos
A
96.Welches Authentifizierungsprotokoll verwendet Windows standardmäßig für Active Directory-Systeme? A. RADIUS B. Kerberos C.OAuth D. TACACS
B Kerberos: Kerberos ist der Standardauthentifizierungsdienst für Active Directory
97.Valerie muss den Zugriff auf Anwendungen kontrollieren, die auf mobilen Geräten in einer BYOD-Umgebung bereitgestellt werden. Welche Art von Lösung würde es ihr am besten ermöglichen, die Kontrolle über die Anwendungen auszuüben und gleichzeitig sicherzustellen, dass diese keine Restdaten auf den von Endbenutzern verwendeten Geräten hinterlassen? A. Stellen Sie die Anwendung auf BYOD-Geräten bereit und verlangen Sie eine eindeutige PIN für jedes Gerät. B hat die Anwendungen auf dem Desktop-System bereitgestellt und verlangt von Benutzern, dass sie mithilfe der Unternehmensauthentifizierung über eine Remote-Schnittstelle darauf zugreifen. C. Verwenden Sie einen Anwendungscontainer, um den Anwendungssitz auf BY0D-Geräten bereitzustellen, und erfordern Sie eine eindeutige PIN für jedes Gerät. D. Die Verwendung einer virtuellen gehosteten Anwendungsumgebung erfordert eine Authentifizierung mithilfe von Unternehmensanmeldeinformationen.
D
98. Ordnen Sie die folgenden Autorisierungsmechanismen ihren Beschreibungen zu: 1. Rollenbasierte Attribut-Baseline-Zugriffskontrolle (Role-BAC) 2. Regelbasierte Attribut-Basiszugriffskontrolle (Regel BAC) 3. Diskretionäre Zugangskontrolle (DAC) 4. Attribut Baseline Access Control (ABAC) 5. Obligatorische Zugangskontrolle (MAC) A. Ein vom Betriebssystem erzwungenes Zugriffskontrollmodell. B. Gewähren von Berechtigungen oder Rechten basierend auf übereinstimmenden Anforderungen nach IP-Adresse, Zeit oder anderen spezifischen Details. C. Dieses Modell wird manchmal auch als richtlinienbasierte Zugriffskontrolle bezeichnet und verwendet Informationen über den Prinzipal, um Berechtigungen zuzuweisen. D. Ein Modell, das Prinzipalen die entsprechenden Berechtigungen gewährt, um diese Berechtigungen anderen Prinzipalen zuzuweisen oder an sie weiterzugeben E. Wird verwendet, um Berechtigungen basierend auf Job oder Funktion zuzuweisen.
1E2B3D4C5A
99. Ordnen Sie digitale Authentifizierungstechnologien den entsprechenden Kategorien zu. Jede Technologie sollte einer Kategorie zugeordnet werden. Jede Kategorie kann einmal, mehrmals oder gar nicht verwendet werden. Authentifizierungstechnologie 1. Passwort 2. Personalausweis 3. Retina-Scan 4. Mobiler Token 5. Fingerabdruckanalyse Kategorie: A. etwas im Besitz B. Etwas zu wissen C. ist etwas
1B2A3C4A5C
100. Passen Sie die folgenden Identitäts- und Zugriffskontrollen an die Arten von Vermögenswerten an, die sie am besten schützen sollen. Jede Option kann nur einmal ausgewählt werden. 1. Informationsressourcen 2.System 3. Mobile Geräte 4. Einrichtungen 5. Partnerbewerbungen A. Ermessensbefugte Zugangskontrolle B. Kartenleser für die Zugangskontrolle C. Föderiertes Identitätsmanagement D. Biometrische Authentifizierung E. Benutzerkonten mit Multi-Faktor-Authentifizierung
1A2E3D4B5C