무료 온라인 액세스 ISC.SSCP.v2024-09-04.q565 모의 시험 (Page 24)

SSCP 문제 111

IPsec을 사용하는 동안 ESP 및 AH 프로토콜은 모두 무결성 서비스를 제공합니다. 그러나 AH를 사용할 때 피어 중 하나가 주소 변환 서비스를 위해 NAT를 사용하는 경우에는 특별한 주의가 필요합니다.
아래 항목 중 AH 사용과 ICV(무결성 검사 값)에 가장 큰 영향을 미치는 항목은 무엇입니까?

A. 키 세션 교환

B. 패킷 헤더 소스 또는 대상 주소

C. VPN 암호화 키 크기

D. 사용된 암호화 알고리즘

정답: B

설명/참조:
중복되는 기능을 제공하는 서로 다른 두 가지 프로토콜이 있다는 것이 이상하게 보일 수도 있습니다.
AH는 인증과 무결성을 제공하고 ESP는 이 두 가지 기능과 기밀성을 제공합니다.
그렇다면 왜 AH에 신경을 쓰나요?
대부분의 경우 그 이유는 환경이 NAT(네트워크 주소 변환)를 사용하고 있는지 여부와 관련이 있습니다. IPSec는 패킷의 일부에 대해 실제로 MAC 값과 동일한 ICV(무결성 검사 값)를 생성합니다. 송신자와 수신자는 각자의 값을 생성한다는 점을 기억하세요. IPSec에서는 이를 ICV 값이라고 합니다. 수신자는 자신의 ICV 값을 발신자가 보낸 ICV 값과 비교합니다. 값이 일치하면 수신자는 전송 중에 패킷이 수정되지 않았음을 확신할 수 있습니다. 값이 다르면 패킷이 변경된 것이므로 수신자는 해당 패킷을 버립니다.
AH 프로토콜은 데이터 페이로드, 전송 및 네트워크 헤더에 대해 이 ICV를 계산합니다. 그런 다음 패킷이 NAT 장치를 통과하면 NAT 장치는 패킷의 IP 주소를 변경합니다. 그것이 바로 그 일이다.
이는 ICV 값을 계산하기 위해 포함되었던 데이터(네트워크 헤더)의 일부가 이제 변경되었음을 의미하며, 수신자는 패킷과 함께 전송된 ICV 값과 다른 ICV 값을 생성하게 되므로 패킷이 자동으로 폐기됩니다. .
ESP 프로토콜은 ICV 값을 계산할 때 네트워크 헤더 부분을 포함하지 않는다는 점을 제외하고 유사한 단계를 따릅니다. NAT 장치가 IP 주소를 변경하면 ICV 계산 시 네트워크 헤더가 포함되지 않으므로 수신자의 ICV 값에 영향을 미치지 않습니다.
다음은 Shon Harris 블로그의 IPSEC에 대한 튜토리얼입니다.
IPSec(인터넷 프로토콜 보안) 프로토콜 제품군은 두 장치 간의 보호된 데이터 교환을 위한 보안 채널을 설정하는 방법을 제공합니다. 이 보안 채널을 공유하는 장치는 두 개의 서버, 두 개의 라우터, 워크스테이션과 서버 또는 서로 다른 네트워크 간의 두 개의 게이트웨이일 수 있습니다. IPSec는 네트워크 계층 보호를 제공하기 위해 널리 인정되는 표준입니다. 엔드투엔드 및 링크 암호화 방법보다 더 유연하고 저렴할 수 있습니다.
IPSec에는 강력한 암호화 및 인증 방법이 있으며 두 컴퓨터 간의 터널링된 통신을 활성화하는 데 사용할 수 있지만 일반적으로 인터넷을 통해 네트워크 간에 VPN(가상 사설망)을 설정하는 데 사용됩니다.
IPSec는 사용할 알고리즘 유형, 키 및 인증 방법을 지정하는 엄격한 프로토콜이 아닙니다.
오히려 기업이 이러한 유형의 기술을 사용하기로 선택할 때 많은 유연성을 제공하는 개방형 모듈식 프레임워크입니다. IPSec는 AH(인증 헤더)와 ESP(보안 페이로드 캡슐화)라는 두 가지 기본 보안 프로토콜을 사용합니다. AH는 인증 프로토콜이고 ESP는 암호화 메커니즘을 사용하여 소스 인증, 기밀성 및 메시지 무결성을 제공하는 인증 및 암호화 프로토콜입니다.
IPSec는 두 가지 모드, 즉 메시지의 페이로드가 보호되는 전송 모드와 페이로드, 라우팅 및 헤더 정보가 보호되는 터널 모드 중 하나로 작동할 수 있습니다. 전송 모드의 ESP는 실제 메시지 정보를 암호화하여 승인되지 않은 엔터티가 스니핑하거나 알아낼 수 없도록 합니다. 터널 모드는 공격자가 유용하다고 생각할 수 있는 헤더 및 트레일러 데이터도 보호하여 더 높은 수준의 보호를 제공합니다. 그림 8-26은 IPSec 연결 설정 단계의 상위 수준 보기를 보여줍니다.
각 장치에는 사용하는 각 VPN에 대해 하나 이상의 보안 연결(SA)이 있습니다. IPSec 아키텍처에 중요한 SA는 장치가 IPSec 연결을 지원하는 데 필요한 구성에 대한 기록입니다. 두 장치가 핸드셰이킹 프로세스를 완료하면, 이는 통신에 사용할 긴 매개변수 목록에 동의했음을 의미하며, 이러한 데이터는 SA에 있는 어딘가에 기록되고 저장되어야 합니다.
SA에는 인증 및 암호화 키, 합의된 알고리즘, 키 수명 및 소스 IP 주소가 포함될 수 있습니다. 장치가 IPSec 프로토콜을 통해 패킷을 수신할 때 해당 패킷으로 수행할 작업을 장치에 알려주는 것은 SA입니다. 따라서 장치 B가 IPSec를 통해 장치 C로부터 패킷을 수신하면 장치 B는 해당 SA를 찾아 패킷을 해독하는 방법, 패킷 소스를 적절하게 인증하는 방법, 사용할 키 및 응답 방법을 알려줍니다. 필요한 경우 메시지.
SA는 방향성이 있으므로 장치에는 아웃바운드 트래픽에 대해 하나의 SA가 있고 개별 통신 채널마다 인바운드 트래픽에 대해 다른 SA가 있습니다. 장치가 3개의 장치에 연결되는 경우 각 인바운드 및 원격 장치당 아웃바운드 연결에 하나씩 총 6개의 SA가 있습니다. 그렇다면 장치가 이러한 모든 SA를 체계적으로 유지하고 올바른 연결을 위해 올바른 SA가 호출되도록 하려면 어떻게 해야 할까요? 강력한 SPI(보안 매개변수 인덱스)가 바로 그 방법입니다. 각 장치에는 서로 다른 SA를 추적하고 수신하는 서로 다른 패킷에 대해 호출하기에 적합한 SA를 장치에 알려주는 SPI가 있습니다. SPI 값은 IPSec 패킷의 헤더에 있으며 장치는 이 값을 읽어 어떤 SA에 문의할지 알려줍니다.
IPSec는 MAC을 사용하여 패킷의 전송 장치를 인증할 수 있습니다(이전 섹션에서 설명함).
"단방향 해시"). ESP 프로토콜은 장치가 이러한 유형의 기능에 대해 구성된 경우 인증, 무결성 및 기밀성을 제공할 수 있습니다.
따라서 회사가 발신자의 출처를 알고 패킷의 무결성을 보장해야 하는 경우 AH를 사용하도록 선택합니다. 회사가 이러한 서비스를 사용하고 기밀성을 유지하려는 경우 암호화 기능을 제공하는 ESP 프로토콜을 사용합니다. 대부분의 경우 ESP를 사용하는 이유는 회사에서 보안 VPN 연결을 설정해야 하기 때문입니다.
중복되는 기능을 제공하는 서로 다른 두 가지 프로토콜이 있다는 것이 이상하게 보일 수도 있습니다. AH는 인증과 무결성을 제공하고 ESP는 이 두 가지 기능과 기밀성을 제공합니다. 그렇다면 왜 AH에 신경을 쓰나요? 대부분의 경우 그 이유는 환경이 NAT(네트워크 주소 변환)를 사용하고 있는지 여부와 관련이 있습니다. IPSec는 패킷의 일부에 대해 실제로 MAC 값과 동일한 ICV(무결성 검사 값)를 생성합니다. 송신자와 수신자는 각자의 값을 생성한다는 점을 기억하세요. IPSec에서는 이를 ICV 값이라고 합니다. 수신자는 자신의 ICV 값을 발신자가 보낸 ICV 값과 비교합니다. 값이 일치하면 수신자는 전송 중에 패킷이 수정되지 않았음을 확신할 수 있습니다. 값이 다르면 패킷이 변경된 것이므로 수신자는 해당 패킷을 버립니다.
AH 프로토콜은 데이터 페이로드, 전송 및 네트워크 헤더에 대해 이 ICV를 계산합니다. 그런 다음 패킷이 NAT 장치를 통과하면 NAT 장치는 패킷의 IP 주소를 변경합니다. 그것이 바로 그 일이다.
이는 ICV 값을 계산하기 위해 포함되었던 데이터(네트워크 헤더)의 일부가 이제 변경되었음을 의미하며, 수신자는 패킷과 함께 전송된 ICV 값과 다른 ICV 값을 생성하게 되므로 패킷이 자동으로 폐기됩니다. .
ESP 프로토콜은 ICV 값을 계산할 때 네트워크 헤더 부분을 포함하지 않는다는 점을 제외하고 유사한 단계를 따릅니다. NAT 장치가 IP 주소를 변경하면 ICV 계산 시 네트워크 헤더가 포함되지 않으므로 수신자의 ICV 값에 영향을 미치지 않습니다.
IPSec은 프레임워크이기 때문에 사용할 해싱 및 암호화 알고리즘이나 장치 간에 키를 교환하는 방법을 지정하지 않습니다. 키 관리는 수동으로 처리하거나 키 관리 프로토콜을 통해 자동화할 수 있습니다. IPSec의 사실상 표준은 ISAKMP와 OAKLEY 프로토콜의 조합인 IKE(인터넷 키 교환)를 사용하는 것입니다. ISAKMP(Internet Security Association and Key Management Protocol)는 사용되는 키 메커니즘 유형과 독립적인 키 교환 아키텍처입니다. 기본적으로 ISAKMP는 IPSec 연결을 설정하기 위해 협상할 수 있는 프레임워크(알고리즘, 프로토콜, 모드, 키)를 제공합니다. OAKLEY 프로토콜은 협상 프로세스를 수행하는 프로토콜입니다. ISAKMP는 경기장(인프라)을 제공하고 OAKLEY는 경기장을 오르내리는 사람(협상 단계 수행)으로 생각할 수 있습니다.
IPSec은 모든 구성 요소와 가능한 구성으로 인해 매우 복잡합니다. 이러한 복잡성은 회사가 적절한 수준의 보호를 달성하기 위해 다양한 구성을 선택할 수 있기 때문에 상당한 수준의 유연성을 제공합니다. 이 모든 것이 낯설고 여전히 혼란스러우면 다음 참고 자료 중 하나 이상을 검토하여 회색 영역을 채우는 데 도움을 받으십시오.
다음 답변은 올바르지 않습니다.
다른 옵션은 방해 요소입니다.
이 질문을 작성하는 데 다음 참조가 사용되었습니다.
Shon Harris, CISSP 올인원 시험 가이드 - 제5판, 759페이지
그리고
https://neodean.wordpress.com/tag/security-protocol/

SSCP 문제 112

동축 케이블을 "동축"이라고 부르는 이유는 무엇입니까?

A. 다른 동심 물리적 채널로 둘러싸인(절연층 이후) 신호를 전달하는 두 개의 물리적 채널을 포함하며, 둘 다 동일한 축을 따라 실행됩니다.

B. 동일한 축을 따라 실행되는 다른 동심 물리적 채널로 둘러싸인(절연층 이후) 신호를 전달하는 하나의 물리적 채널을 포함합니다.

C. 동일한 축을 따라 실행되는 또 다른 두 개의 동심 물리적 채널로 둘러싸인(절연층 이후) 신호를 전달하는 두 개의 물리적 채널을 포함합니다.

D. 수직 및 다른 축을 따라 실행되는 또 다른 동심 물리적 채널로 둘러싸인(절연층 이후) 신호를 전달하는 하나의 물리적 채널을 포함합니다.

SSCP 문제 113

주체와 객체 사이의 승인된 접근 관계를 보장하는 참조 검증 메커니즘은 다음 중 어떤 개념을 구현하고 있습니까?

A. 참조 모니터입니다.

B. 임의 액세스 제어.

C. 보안 커널.

D. 필수 액세스 제어.

SSCP 문제 114

다음 중 데이터 변경 이전에 노출되거나 컴퓨터에 입력될 때 노출되는 논리적 액세스는 무엇입니까?

A. 데이터 조작

B. 살라미 기법

C. 트로이 목마

D. 바이러스

SSCP 문제 115

장기간의 고전압은 다음과 같습니다.

A. 스파이크

B. 정전

C. 서지

D. 오류