무료 온라인 액세스 ISC.SSCP.v2022-12-02.q996 모의 시험 (Page 126)

SSCP 문제 623

다음 모델 중 데이터 무결성 또는 이해 상충이 포함되지 않은 모델은 무엇입니까?

A. 비바

B. 클락-윌슨

C. 벨라파둘라

D. 브루어-내쉬

SSCP 문제 624

메모리 카드와 스마트 카드는 어떻게 다른가요?

A. 메모리 카드는 일반적으로 스마트 카드보다 더 많은 메모리를 보유합니다.

B. 스마트 카드는 이중 인증을 제공하지만 메모리 카드는 그렇지 않습니다.

C. 메모리 카드에 처리 능력이 없습니다.

D. ATM 카드는 스마트카드만 사용 가능

정답: C

섹션: 액세스 제어
설명/참조:
메모리 카드와 스마트 카드의 주요 차이점은 정보를 처리하는 능력입니다. 메모리 카드는 정보를 보유하지만 정보를 처리할 수 없습니다. 스마트 카드는 정보를 보유하고 해당 정보를 실제로 처리하는 데 필요한 하드웨어와 소프트웨어를 가지고 있습니다.
메모리 카드에는 사용자의 인증 정보가 들어 있어 이 사용자는 사용자 ID나 PIN만 입력하면 시스템에 메모리 카드를 제시할 수 있습니다. 입력한 정보와 저장된 정보가 일치하여 인증기관의 승인을 받으면 사용자 인증에 성공한 것입니다.
메모리 카드의 일반적인 예는 건물 입구를 제공하는 데 사용되는 스와이프 카드입니다. 사용자는 PIN을 입력하고 카드 리더기를 통해 메모리 카드를 밉니다. 이것이 올바른 조합이면 판독기가 녹색으로 깜박이고 개인이 문을 열고 건물에 들어갈 수 있습니다.
메모리 카드는 컴퓨터에서도 사용할 수 있지만 정보를 처리하려면 판독기가 필요합니다. 리더는 특히 모든 컴퓨터에 필요한 경우 프로세스에 비용을 추가합니다. 또한 PIN 및 카드 생성 오버헤드는 전체 인증 프로세스에 추가적인 오버헤드와 복잡성을 추가합니다.
그러나 메모리 카드는 공격자가 카드를 가져와 정확한 PIN을 알아야 하기 때문에 암호만 사용하는 것보다 더 안전한 인증 방법을 제공합니다.
관리자와 경영진은 메모리 카드 구현의 비용과 이점은 물론 조직의 보안 요구 사항을 비교하여 해당 환경에 적합한 인증 메커니즘인지 판단해야 합니다.
메모리 카드의 가장 일반적인 약점 중 하나는 카드에 저장된 데이터가 보호되지 않는다는 것입니다.
카드(또는 마그네틱 스트립에 저장)의 암호화되지 않은 데이터를 추출하거나 복사할 수 있습니다. 보안 제어 및 논리가 집적 회로에 내장된 스마트 카드와 달리 메모리 카드는 데이터가 노출되지 않도록 보호하는 고유한 메커니즘을 사용하지 않습니다.
메모리 카드에 있는 정보의 기밀성 및 무결성과 관련된 신뢰는 거의 없습니다.
다음 답변은 올바르지 않습니다.
"스마트 카드는 이중 인증을 제공하지만 메모리 카드는 그렇지 않습니다"는 잘못된 것입니다. 이것은 반드시 사실은 아닙니다. 메모리 카드는 핀 또는 비밀번호와 결합하여 가지고 있는 것과 알고 있는 것이 요소에 사용되는 두 가지 요소 인증을 제공할 수 있습니다.
"메모리 카드는 일반적으로 스마트 카드보다 더 많은 메모리를 보유합니다"는 올바르지 않습니다. 메모리 카드가 스마트 카드보다 더 많은 메모리를 가질 수도 있고 없을 수도 있지만 이것이 질문에 대한 최선의 대답은 아닙니다.
"ATM 카드에는 스마트 카드만 사용할 수 있습니다"가 올바르지 않습니다. 이는 특정 기관의 결정에 따라 달라지며 질문에 대한 최선의 답변은 아닙니다.
이 질문에 사용된 참조:
Shon Harris, CISSP All In One, 6th edition, Access Control, Page 199 그리고 책의 Kindle 판을 사용하는 사람들은 Locations 4647-4650을 볼 수 있습니다.
슈나이터, 앤드류 (2013-04-15). 공식(ISC)2 CISSP CBK 가이드, 제3판: 액세스 제어((ISC)
2) (Kindle Locations 2124-2139)를 누릅니다. 아우어바흐 간행물. 킨들 에디션.

SSCP 문제 625

다음 중 IPv6 주소에 대한 올바른 표기법이 아닌 것은 무엇입니까?

A. 2001:0db8:0:0:0:0:1428:57ab

B. ABCD:EF01:2345:6789:ABCD:EF01:2345:6789

C. ::1

D. 2001:DB8::8:800::417A

SSCP 문제 626

시스템의 성능 사양에 따라 권한 있는 시스템 엔터티의 요구에 따라 액세스 및 사용할 수 있는 시스템 또는 시스템 리소스의 속성을 ?

A. 기밀

B. 가용성

C. 무결성

D. 신뢰성

SSCP 문제 627

일반적으로 로그온 ID의 형태로 시스템에 ID를 공언하는 사용자의 행위를 무엇이라고 합니까?

A. 인증

B. 신분증

C. 권한 부여

D. 기밀성

정답: B

섹션: 액세스 제어
설명/참조:
식별은 일반적으로 시스템에 대한 로그온 ID의 형태로 시스템에 ID를 공언하는 사용자의 행위입니다.
신원 확인은 당신이 누군가라고 주장하는 것에 불과합니다. 모르는 사람과 통화할 때 자신을 식별하고 상대방이 누구와 통화하는지 묻습니다. "저는 Jason입니다."라고 말하면 자신을 식별한 것입니다.
정보 보안 세계에서 이것은 사용자 이름을 입력하는 것과 유사합니다. 암호를 입력하는 것과 유사하지 않습니다. 비밀번호 입력은 본인임을 확인하는 방법입니다.
참고: 위에 사용된 "고백"이라는 단어는 "다른 사람들이 당신이 말하는 것을 의심할 때 당신이 무엇인가, 행동하거나 느끼는 것을 말하는 것"을 의미합니다. 이것은 정확히 당신이 당신의 식별자(신분증)를 제공할 때 일어나는 일입니다. 당신이 누군가라고 주장하지만 시스템은 당신의 말을 받아들일 수 없습니다. 당신은 당신이 주장하는 사람을 증명하기 위해 시스템에 추가로 인증해야 합니다.
다음은 오답입니다.
인증: 자신이 누구인지 증명하는 방법입니다. 컴퓨터 시스템에 "jsmith"로 로그인하여 Jane Smith라고 주장할 때 암호를 묻는 메시지가 표시될 가능성이 큽니다. 당신은 사용자 이름 필드(식별 부분)에 이름을 입력하여 그 사람이라고 주장했지만 이제 당신이 진짜 그 사람임을 증명해야 합니다.
많은 시스템에서 "당신이 알고 있는 것", 즉 당신과 시스템 사이의 비밀을 기반으로 하는 암호를 사용합니다.
다른 형태의 인증은 운전 면허증, RSA 토큰 또는 스마트 카드와 같이 귀하가 가지고 있는 것을 제시하는 것입니다.
당신은 또한 당신이 무엇인가를 통해 인증할 수 있습니다. 이것은 생체 인식의 기초입니다. 이 작업을 수행할 때 먼저 자신을 식별한 다음 지문, 망막 스캔 또는 다른 형태의 생체 기반 인증을 제출합니다.
인증에 성공했다면 이제 두 가지 작업을 수행한 것입니다. 다른 사람이라고 주장하고 그 사람임을 증명했습니다. 남은 것은 시스템이 사용자가 할 수 있는 작업을 결정하는 것뿐입니다.
권한 부여: 사람이 식별되고 인증된 후에 발생하는 것입니다. 사람이 시스템에서 수행할 수 있는 작업을 결정하는 단계입니다.
사람 용어의 예는 밤에 누군가가 당신의 문을 두드리는 것입니다. "누구세요?"라고 말하고 응답을 기다립니다. 그들은 "존입니다."라고 말합니다. 자신을 식별하기 위해. 엿보는 구멍을 통해 그들을 볼 수 있도록 당신은 그들에게 빛으로 후퇴하도록 요청합니다. 그들은 그렇게 하고 당신은 그들이 어떻게 생겼는지(생체 인식)를 기반으로 그들을 인증합니다. 그 시점에서 당신은 그들이 집 안으로 들어올 수 있다고 결정합니다.
그들이 당신의 집에서 원하지 않는 사람이라고 말했고(신분증) 당신이 그 사람임을 확인했다면(인증), 승인 단계에는 집 내부에 대한 접근이 포함되지 않습니다.
기밀성: CIA 트라이어드의 일부입니다. 민감한 정보가 잘못된 사람에게 도달하는 것을 방지하는 동시에 올바른 사람이 실제로 정보를 얻을 수 있도록 합니다. 좋은 예는 온라인 쇼핑 중 신용 카드 번호입니다. 판매자는 거래를 취소하기 위해 이 번호가 필요하지만 네트워크를 통해 정보가 노출되는 것을 원하지 않는 경우 SSL, TLS 또는 일부 터널링 도구와 같은 보안 링크를 사용하여 보호합니다. A 지점과 B 지점 사이를 엿보는 눈의 정보. 데이터 암호화는 기밀성을 보장하는 일반적인 방법입니다.
CIA 트라이어드의 다른 부분은 다음과 같습니다.
무결성에는 전체 수명 주기 동안 데이터의 일관성, 정확성 및 신뢰성을 유지하는 것이 포함됩니다.
데이터는 전송 중에 변경되어서는 안 되며 권한이 없는 사람이 데이터를 변경할 수 없도록 조치를 취해야 합니다(예: 기밀 유지 위반). 또한 EMP(전자기 펄스) 또는 서버 충돌과 같이 사람이 일으키지 않은 이벤트의 결과로 발생할 수 있는 데이터 변경 사항을 감지할 수 있는 수단이 마련되어 있어야 합니다. 예기치 않은 변경이 발생하는 경우 영향을 받는 데이터를 올바른 상태로 복원하기 위해 백업 복사본을 사용할 수 있어야 합니다.
가용성은 모든 하드웨어를 엄격하게 유지 관리하고, 필요할 때 즉시 하드웨어 수리를 수행하고, 특정 중복성 및 장애 조치를 제공하고, 적절한 통신 대역폭을 제공하고 병목 현상을 방지하고, 비상 백업 전원 시스템을 구현하고, 필요한 모든 시스템 업그레이드를 최신 상태로 유지함으로써 가장 잘 보장됩니다. 서비스 거부(DoS) 공격과 같은 악의적인 행동으로부터 보호합니다.
이 질문에 사용된 참조:
http://whatis.techtarget.com/definition/Confidentiality-integrity-and-availability-CIA
http://www.danielmiessler.com/blog/security-identification-authentication-and-authorization
http://www.merriam-webster.com/dictionary/profess
KRUTZ, Ronald L. & VINES, Russel D., CISSP 준비 안내서: 컴퓨터 보안의 10가지 도메인 마스터링, 2001, John Wiley & Sons, 36페이지.