무료 온라인 액세스 CompTIA.CAS-003.v2022-07-04.q589 모의 시험 (Page 118)

CAS-003 문제 581

보안 관리자는 Linux 데이터베이스 서버에서 이전에 존재하지 않았던 승인되지 않은 테이블과 레코드를 찾습니다. 데이터베이스 서버는 SELECT 전용 권한이 있는 계정을 통해 데이터베이스 서버에 연결하는 하나의 웹 서버와만 통신합니다. 웹 서버 로그에는 다음이 표시됩니다.
90.76.165.40 - - [08/Mar/2014:10:54:04] "GET calendar.php?create%20table%20hidden HTTP/1.1" 200 5724
90.76.165.40 - - [08/Mar/2014:10:54:05] "GET ../../../root/.bash_history HTTP/1.1" 200 5724
90.76.165.40 - - [08/Mar/2014:10:54:04] "GET index.php?user=<script>Create</script> HTTP/1.1" 200 5724 보안 관리자는 다음 파일 시스템 위치도 검사합니다. 'ls -al /root' 명령을 사용하여 데이터베이스 서버에서 drwxrwxrwx 11 root root 4096 Sep 28 22:45 .
drwxr-xr-x 25 루트 루트 4096 Mar 8 09:30 ..
-rws------ 25 루트 루트 4096 3월 8일 09:30 .bash_history
-rw------- 25 루트 루트 4096 3월 8일 09:30 .bash_history
-rw------- 25 루트 루트 4096 3월 8일 09:30 .profile
-rw------- 25 루트 루트 4096 3월 8일 09:30 .ssh
다음 중 데이터베이스 서버를 손상시키는 데 사용된 공격은 무엇이며 보안 관리자는 향후 이러한 공격을 탐지하기 위해 무엇을 구현할 수 있습니까? (2개 선택).

A. 권한 상승

B. 무차별 대입 공격

C. SQL 인젝션

D. 사이트 간 스크립팅

E. 입력 유효성 검사를 사용하여 다음 문자가 삭제되었는지 확인합니다. <>

F. 다음으로 crontab 업데이트: find / $ -perm -4000 $ -type f -print0 | xargs -0 ls -l | 이메일.sh

G. 다음 PHP 지시문을 구현합니다. $clean_user_input = addlashes($user_input)

H. 계정 잠금 정책 설정

정답: A,F

이것은 권한 상승의 예입니다.
권한 상승은 일반적으로 응용 프로그램이나 사용자로부터 보호되는 리소스에 대한 높은 액세스 권한을 얻기 위해 운영 체제 또는 소프트웨어 응용 프로그램의 버그, 설계 결함 또는 구성 감독을 악용하는 행위입니다.
질문에 따르면 웹 서버는 SELECT 권한만 있는 계정을 통해 데이터베이스 서버와 통신합니다. 그러나 나열된 권한에는 읽기, 쓰기 및 실행(rwx)이 포함됩니다. 이것은 권한이 '상승'되었음을 나타냅니다.
이제 시스템이 공격을 받았다는 것을 알았으므로 시스템에 수행된 작업을 조사해야 합니다.
"다음으로 crontab 업데이트: find / $ -perm -4000 $ -type f -print0 | xargs -0 ls -l | email.sh" 명령은 setuid가 활성화된 모든 파일을 찾는 데 사용됩니다. Setuid는 실행 시 사용자 ID를 설정하는 것을 의미합니다. 파일에 대해 setuid 비트가 켜져 있으면 해당 실행 파일을 실행하는 사용자는 파일을 소유한 개인 또는 그룹의 권한을 얻습니다.
오답:
B: 무차별 대입 공격은 암호를 추측하는 데 사용됩니다. 이것은 무차별 대입 공격의 예가 아닙니다.
C: SQL 주입은 데이터 기반 응용 프로그램을 공격하는 데 사용되는 코드 주입 기술로, 실행을 위해 입력 필드에 악의적인 SQL 문을 삽입합니다(예: 공격자에게 데이터베이스 내용을 덤프). 이것은 SQL 주입 공격의 예가 아닙니다.
D: XSS(교차 사이트 스크립팅)는 일반적으로 웹 응용 프로그램에서 발견되는 일종의 컴퓨터 보안 취약점입니다. XSS를 사용하면 공격자가 다른 사용자가 보는 웹 페이지에 클라이언트측 스크립트를 삽입할 수 있습니다. 이것은 XSS 공격의 예가 아닙니다.
E: <> 문자만 살균한다고 해서 그러한 공격을 막을 수는 없습니다. 이러한 문자는 웹 애플리케이션에서 삭제되어서는 안 됩니다.
G: 사용자 입력에 슬래시를 추가해도 입력이 보호되지 않습니다. 슬래시를 추가할 뿐입니다.
H: 계정 잠금 정책은 암호 공격으로부터 보호하는 데 유용합니다. 비밀번호가 여러 번 틀리면 계정이 잠깁니다. 그러나 이 질문의 공격은 암호 공격이 아니므로 잠금 정책이 도움이 되지 않습니다.

CAS-003 문제 582

약국은 고객에게 온라인으로 기록에 대한 액세스 권한과 청구서를 검토하고 지불할 수 있는 기능을 제공합니다.
특정 플랫폼에서 새로운 SSL 취약점이 발견되어 공격자가 최종 사용자와 이러한 서비스를 제공하는 웹 서버 간의 데이터를 캡처할 수 있습니다. 새로운 취약점 이후에 제공된 웹 서비스가 이 새로운 위협의 영향을 받는 것으로 확인되었습니다. 다음 중 이 새로운 위협에 기반하여 노출 위험이 가장 높은 데이터 유형은 무엇입니까? (2개 선택)

A. 기업 재무 데이터

B. 직원 기록

C. 카드 소지자 데이터

D. 지적 재산권

E. 개인 건강 정보

CAS-003 문제 583

관리자는 웹 서버가 때때로 과도한 트래픽으로 넘쳐나고 있다고 생각합니다. 관리자는 이러한 트래픽 홍수가 경쟁업체가 주요 발표를 할 때 해당한다고 의심합니다. 다음 중 이 이론을 증명하기 위해 관리자는 무엇을 해야 합니까?

A. 데이터 분석을 구현하여 발생 시간을 시도하고 연관시킵니다.

B. 허니팟을 구현하여 다음 공격 시 트래픽을 캡처합니다.

C. 추가 대역폭을 처리하기 위해 고가용성을 위해 서버를 구성합니다.

D. 경쟁사의 공용 IP 주소에서 오는 모든 트래픽을 기록합니다.

CAS-003 문제 584

인프라 팀은 조달 프로세스의 마지막 단계에 있으며 공급업체를 선택했습니다. 최종 협상의 일환으로 다음을 포함하여 많은 미해결 문제가 있습니다.
1. 면책 조항은 최대 책임을 식별했습니다.
2. 데이터는 회사의 지리적 위치 외부에서 호스팅 및 관리됩니다.
시스템에 액세스하는 사용자의 수는 적고 민감한 데이터는 솔루션에서 호스팅되지 않습니다.
프로젝트의 보안 컨설턴트로서 다음 중 프로젝트의 보안 컨설턴트가 다음 단계로 추천해야 하는 것은 무엇입니까?

A. 공급업체에 국내 개인 정보 보호 원칙을 수락하도록 요청하여 위험을 완화합니다.

B. 조달 프로세스를 검토하여 배운 교훈을 확인합니다.

C. 솔루션 소유자가 식별된 위험 및 결과를 수용하도록 요구합니다.

D. 보안 정책을 충족하지 않으므로 보안 면제를 개발합니다.

CAS-003 문제 585

인터넷 서비스 제공업체(ISP)의 최고 경영자(CEO)가 전 세계 DDoS(분산 서비스 거부) 공격에 대한 회사의 기여를 제한하기로 결정했습니다. 다음 중 ISP가 구현해야 하는 것은 무엇입니까? (2개 선택).

A. 블랙리스트에 있는 IP로 향하는 ISP 네트워크의 트래픽을 차단합니다.

B. ISP의 고객이 ISP가 호스팅하는 서버 이외의 DNS 서버를 쿼리하지 못하도록 합니다.

C. 최신 취약점 스캐너를 사용하여 ISP의 고객 네트워크를 스캔합니다.

D. 고객이 실행하는 서비스가 공격에 연루되면 고객에게 알립니다.

E. 고객에게 할당되지 않은 IP 소스의 트래픽이 ISP 네트워크를 빠져나가는 것을 차단합니다.

다른 버전: 3830CompTIA.CAS-003.v2022-12-20.q589; 2139CompTIA.CAS-003.v2022-05-09.q215

최근 업로드: 109Oracle.1Z0-908.v2025-09-06.q68; 112Oracle.1Z0-1055-24.v2025-09-05.q29; 275VMware.2V0-13.24.v2025-09-04.q75; 120Qlik.QSBA2022.v2025-09-04.q17; 122Oracle.1Z0-1073-23.v2025-09-03.q29; 120Cisco.300-820.v2025-09-03.q187; 118Oracle.1z0-1060-25.v2025-09-03.q26; 129CIPS.L5M4.v2025-09-02.q13; 141Fortinet.FCP_ZCS-AD-7.4.v2025-09-02.q12; 119PECB.ISO-45001-Lead-Auditor.v2025-09-02.q14