무료 온라인 액세스 CompTIA.CAS-005.v2026-01-20.q248 모의 시험 (Page 23)

CAS-005 문제 106

시뮬레이션
귀하는 회사의 특권 네트워크에서 Nmap 스캔 결과를 해석하는 업무를 맡은 보안 분석가입니다.
회사의 강화 지침은 다음과 같습니다.
- 장치당 하나의 기본 서버 또는 서비스가 있어야 합니다.
- 기본 포트만 사용해야 합니다.
- 보안되지 않은 프로토콜은 비활성화해야 합니다.
지침
Nmap 출력을 사용하여 네트워크의 장치와 해당 역할, 그리고 닫아야 할 열려 있는 포트를 식별합니다.
Nmap에서 찾은 각 장치에 대해 다음 정보와 함께 장치 항목을 '발견된 장치' 목록에 추가합니다.
- 장치의 IP 주소
- 장치의 기본 서버 또는 서비스(각 IP는 하나의 서비스/포트에만 연결되어야 함)
- 강화 지침에 따라 비활성화해야 하는 프로토콜(강화 지침을 준수하기 위해 여러 포트를 닫아야 할 수도 있음) 언제든지 시뮬레이션의 초기 상태로 되돌리려면 모두 재설정 버튼을 클릭하세요.

CAS-005 문제 107

한 조직에서 클라우드 제공업체가 관리하는 무료 키 대신 자체 관리 암호화 키를 사용해 왔습니다. 최고정보보안책임자(CISO)는 월별 청구서를 검토한 결과, 자체 관리 키 비용이 예상보다 더 높다는 것을 알게 되었습니다. 강력한 보안 태세를 유지하면서 비용을 절감하기 위해 CISO가 권고해야 할 사항은 무엇입니까?

A. 온프레미스 HSM을 활용하여 키를 로컬로 관리합니다.

B. 공개로 분류된 데이터에 대한 클라우드 공급자 키의 구성을 조정합니다.

C. 클라우드에 배포된 모든 새 리소스에 클라우드 관리 키를 사용하기 시작합니다.

D. 클라우드 공급자가 캐시된 키를 사용할 수 있도록 키 순환 기간을 1년으로 연장합니다.

정답: B

포괄적이고 자세한 단계별 설명
시나리오 이해: 조직은 클라우드에서 고객 관리 암호화 키를 사용하고 있는데, 이는 클라우드 공급업체의 무료 관리 키를 사용하는 것보다 비용이 더 많이 듭니다. CISO는 보안 태세를 크게 약화시키지 않으면서 비용을 절감할 방법을 찾아야 합니다.
답변 선택지 분석:
A: 온프레미스 HSM을 활용하여 키를 로컬로 관리하세요. 온프레미스 HSM은 강력한 보안을 제공하지만, 구매, 유지 관리 등 추가적인 비용과 복잡성을 야기합니다. 이 옵션은 클라우드 기반 키 관리에 비해 비용을 절감하기 어려울 수 있습니다.
B: 공개로 분류된 데이터의 클라우드 제공업체 키 구성을 조정합니다. 이는 가장 실용적이고 비용 효율적인 방법입니다. 공개로 분류된 데이터는 민감한 데이터와 동일한 수준의 보호가 필요하지 않습니다. 클라우드 제공업체의 무료 관리형 키를 공개 데이터에 사용하면 보안을 손상시키지 않고 비용을 크게 절감할 수 있습니다. 데이터는 어차피 공개적으로 접근 가능하도록 설계되었기 때문입니다.
참조:
C: 클라우드에 배포된 모든 신규 리소스에 클라우드 관리 키 사용 시작: 비용 절감은 가능하지만, 데이터의 민감성을 고려하지 않는 광범위한 접근 방식입니다. 민감한 데이터에 클라우드 관리 키를 적용하는 것은 보안 측면에서 용납될 수 없습니다.
D: 클라우드 제공업체가 캐시된 키를 사용할 수 있도록 키 순환 기간을 1년으로 연장합니다. 키 순환 기간을 연장하면 보안이 약화됩니다. 잠재적인 키 손상의 영향을 제한하기 위해 빈번한 키 순환은 보안 모범 사례입니다.
위험 기반 접근 방식: 클라우드 제공업체가 관리하는 키를 공공 데이터에 사용하는 것은 합리적인 위험 기반 결정입니다. 공공 데이터는 정의상 기밀이 아닙니다.
비용 최적화: 클라우드 제공업체가 관리하는 키는 종종 무료이거나 상당히 저렴하기 때문에 이는 CISO의 비용에 대한 우려를 직접적으로 해결합니다.
보안 균형: 적절한 경우 고객 관리 키를 계속 사용하여 민감한 데이터에 대한 강력한 보안 태세를 유지하는 동시에 덜 민감한 데이터에 대한 비용을 최적화합니다.
CASP+ 관련성: 이 접근 방식은 보안 의사 결정에 있어서 위험 관리, 데이터 분류, 비용-편익 분석에 대한 이해를 보여주는데, 이는 모두 CASP+에서 중요한 주제입니다.
데이터 분류에 대한 설명:
데이터 분류 정책: 조직에서는 다양한 수준의 데이터 민감성(예: 공개, 내부, 기밀, 제한)을 정의하는 명확한 데이터 분류 정책을 갖추어야 합니다.
분류에 따른 보안 제어: 암호화 키 관리를 포함한 보안 제어는 데이터 분류 수준에 따라 적용되어야 합니다.
비용-편익 분석: 데이터 분류를 통해 조직은 보다 강력한 보안 제어에 투자해야 할 곳과 비용 최적화가 허용되는 곳에 대한 정보에 입각한 결정을 내리는 데 도움이 됩니다.
결론적으로, 공개로 분류된 데이터에 대해 클라우드 제공업체 관리 키를 사용하도록 구성을 조정하는 것은 강력한 보안 태세를 유지하면서 비용을 절감하는 가장 효과적인 방법입니다. 이는 데이터 분류 원칙 및 비용-편익 고려 사항과 일치하는 실용적이고 위험 기반의 접근 방식이며, 이는 모두 CASP+ 시험 목표에서 다루는 중요한 개념입니다.

CAS-005 문제 108

한 제약 회사가 성장 중인 스타트업을 인수했습니다. 이 제약 회사는 포괄적인 OT 스택을 보유하고 있으며, 스타트업은 직원들이 감독 없이 IoT 기기를 설치할 수 있도록 허용합니다. 두 회사는 일부 시스템은 공유하고 다른 시스템은 분리하여 독립적으로 운영될 예정입니다. 새로운 통합 시스템을 설계할 때 다음 중 가장 중요한 고려 사항은 무엇입니까? (두 가지 선택)

A. 분할

B. 규정

C. 집계

D. 데이터 개인정보 보호

E. 안전 모니터링

F. 환경

CAS-005 문제 109

회사 A가 회사 B를 인수했습니다. 감사 과정에서 보안 엔지니어가 회사 B의 환경에 패치가 제대로 적용되지 않은 것을 발견했습니다. 이에 따라 회사 A는 회사 B의 인프라가 회사 A의 보안 프로그램에 통합될 때까지 두 환경 사이에 방화벽을 설치했습니다. 다음 중 어떤 위험 관리 기법이 사용되었습니까?

A. 수락

B. 피하세요

C. 전송

D. 완화

CAS-005 문제 110

한 조직에서 다양한 운영 체제에서 흔히 사용되는 패키지와 관련된 심각한 취약점을 발견했습니다. 이 조직은 사고 대응 활동을 원활하게 하기 위해 소프트웨어 종속성 레지스트리를 개발합니다. 레지스트리의 일부로, 이 조직은 공식적으로 검증된 패키지의 해시를 생성합니다. 이 레지스트리는 다음 중 어떤 공격 벡터를 해결합니까?
공급망 공격 B. 암호 대체 공격 C. 사이드 채널 분석 D. 경로 내 공격 E. 해시 전달 공격 설명:
단계별 설명:
시나리오 이해: 이 질문은 조직이 소프트웨어 종속성과 해당 해시 값의 레지스트리를 유지하는 사전 예방적 보안 조치에 대해 설명합니다. 이 레지스트리는 소프트웨어 패키지의 무결성을 검증하는 데 사용됩니다.
답변 선택지 분석:

A. 공급망 공격: 이 유형의 공격은 합법적인 소프트웨어 패키지에 악성 코드를 주입하여 소프트웨어 공급망을 손상시키는 것을 포함합니다.
참고: CASP+ 목표는 공급망 보안의 중요성이 커짐에 따라 이를 강조하는 경우가 많습니다. 이 시나리오는 레지스트리가 공급망 프로세스 중에 소프트웨어 패키지가 변조되지 않았는지 확인하는 데 도움이 되므로 이러한 유형의 공격과 직접적으로 관련이 있습니다.

B. 암호 대치 공격: 암호문을 다른 암호문으로 대체하여 키를 유추하는 데 중점을 둔 암호 공격입니다. 이 시나리오와는 관련이 없습니다.

C. 부채널 분석: 이 공격은 알고리즘 자체를 악용하기보다는 시스템의 물리적 구현(예: 타이밍, 전력 소비)으로부터 정보를 수집하는 것을 포함합니다. 여기에는 적용할 수 없습니다.

D. 온패스 공격(이전에는 중간자 공격이라고 함): 이 공격은 두 당사자 간의 통신을 가로채고 잠재적으로 변조하는 것을 포함합니다. 중요하지만 레지스트리의 주요 목표는 아닙니다.

E. 해시 전달 공격: 이 공격은 실제 비밀번호 없이도 사용자 비밀번호의 해시값을 훔쳐 인증하는 방식입니다. 소프트웨어 패키지 무결성과는 무관합니다.

정답: A

A가 정답인 이유:
공급망 공격은 바로 이 조직이 완화하려는 공격입니다. 알려진 소프트웨어 패키지와 그 해시 값을 레지스트리에 저장함으로써, 사용 중인 패키지가 합법적이고 변경되지 않았는지 확인할 수 있습니다.
공격자가 공급망의 소프트웨어 패키지를 손상시킬 경우, 변경된 패키지의 해시값이 해당 기관의 레지스트리에 있는 해시값과 일치하지 않게 됩니다. 이는 해당 기관에 잠재적인 손상 가능성을 즉시 알리는 것입니다.
CASP+ 관련성: 이는 공급망 위험을 포함한 다양한 공격 벡터를 해결하기 위해 위험 관리, 위협 인텔리전스 및 보안 제어 구현의 중요성을 강조하는 CASP+ 시험 목표와 일치합니다.
레지스트리 작동 방식(CASP+ 원칙에 따른 세부 설명):
해싱: 패키지가 검증될 때 암호화 해시 함수(SHA-256 등)를 사용하여 패키지 내용의 고유한 "지문"(해시)을 생성합니다.
검증: 패키지를 설치하거나 사용하기 전에 패키지의 해시값을 계산하여 레지스트리에 저장된 해시값과 비교합니다. 해시값이 일치하면 패키지의 무결성을 확인하고, 일치하지 않으면 변조를 나타냅니다.
사고 대응: 일반적으로 사용되는 패키지에서 취약점이 발견되면 레지스트리는 조직이 종속성 목록과 저장된 해시를 기반으로 영향을 받는 시스템을 신속하게 식별하는 데 도움이 됩니다.
결론적으로, 해시를 사용하여 소프트웨어 종속성 레지스트리를 유지하는 것은 소프트웨어 패키지의 무결성과 신뢰성을 보장함으로써 공급망 공격 위협에 직접적으로 대응하는 중요한 보안 제어 수단입니다. 검증을 위해 해시 함수를 사용하는 것은 보안 분야에서 일반적인 관행이며 CASP+ 자료에서 강조됩니다.