무료 온라인 액세스 ISC.SSCP.v2024-09-04.q565 모의 시험 (Page 78)

SSCP 문제 381

다음 중 소프트웨어 제품의 품질이 관련 소프트웨어 개발 및 유지 관리 프로세스의 품질과 직접적인 관계가 있다는 전제에 기초한 것은 무엇입니까?

A. 소프트웨어 기능 성숙도 모델(CMM)

B. 나선형 모델

C. 폭포 모델

D. 전문가 시스템 모델

정답: A

설명/참조:
CMM(Capability Maturity Model)은 CMU(Carnegie Mellon University)가 소유한 서비스 마크로 실제 데이터에서 도출된 개발 모델을 말합니다. 데이터는 연구 자금을 지원한 미국 국방부와 계약을 맺은 조직에서 수집되었으며 CMU가 SEI(Software Engineering Institute)를 설립하는 기반이 되었습니다. 다른 모델과 마찬가지로 이는 기존 시스템을 추상화한 것입니다.
CMM(역량 성숙도 모델)은 조직의 소프트웨어 개발 프로세스를 개발하고 개선하는 데 사용되는 방법론입니다. 이 모델은 점점 더 조직화되고 체계적으로 더욱 성숙한 프로세스의 5단계 진화 경로를 설명합니다. CMM은 미국이 후원하는 연구개발센터인 SEI(Software Engineering Institute)에서 개발, 추진하고 있다.
국방부(DoD). SEI는 소프트웨어 엔지니어링 문제를 해결하고 넓은 의미에서 소프트웨어 엔지니어링 방법론을 발전시키기 위해 1984년에 설립되었습니다. 보다 구체적으로 SEI는 DoD를 위한 소프트웨어 의존도가 높은 시스템을 개발, 획득 및 유지 관리하는 프로세스를 최적화하기 위해 설립되었습니다. 관련된 프로세스는 소프트웨어 산업 전체에 동일하게 적용 가능하기 때문에 SEI는 업계 전반에 걸쳐 CMM을 채택할 것을 권장합니다.
CMM은 국제표준화기구(ISO)가 지정한 ISO 9000 시리즈 표준 중 하나인 ISO 9001과 유사합니다. ISO 9000 표준은 제조 및 서비스 산업을 위한 효과적인 품질 시스템을 지정합니다. ISO 9001은 특히 소프트웨어 개발 및 유지 관리를 다루고 있습니다. 두 시스템의 주요 차이점은 각각의 목적에 있습니다. ISO 9001은 소프트웨어 프로세스에 대해 허용 가능한 최소 품질 수준을 지정하는 반면, CMM은 지속적인 프로세스 개선을 위한 프레임워크를 설정하고 사용할 수단을 정의하는 데 있어 ISO 표준보다 더 명확합니다. 마지막까지.
CMM의 소프트웨어 프로세스의 5가지 성숙도 수준
초기 수준에서는 프로세스가 무질서하고 심지어 혼란스럽습니다. 성공은 개인의 노력에 달려 있으며 반복 가능한 것으로 간주되지 않습니다. 프로세스가 복제될 수 있을 만큼 충분히 정의되고 문서화되지 않기 때문입니다.
반복 가능한 수준에서는 필수 프로세스가 확립, 정의 및 문서화되었기 때문에 기본 프로젝트 관리 기술이 확립되고 성공이 반복될 수 있습니다.
정의된 수준에서 조직은 문서화, 표준화 및 통합에 더 많은 관심을 기울여 자체 표준 소프트웨어 프로세스를 개발했습니다.
관리 수준에서 조직은 데이터 수집 및 분석을 통해 자체 프로세스를 모니터링하고 제어합니다.
최적화 수준에서는 현재 프로세스의 피드백을 모니터링하고 조직의 특정 요구 사항을 더 잘 충족하기 위한 혁신적인 프로세스를 도입함으로써 프로세스가 지속적으로 개선되고 있습니다.
기존 조직의 소프트웨어 개발 프로세스에 적용하면 이를 개선하기 위한 효과적인 접근 방식이 가능해집니다. 결국 이 모델이 다른 프로세스에도 적용될 수 있다는 것이 분명해졌습니다. 이는 비즈니스 프로세스와 인력 개발에 적용되는 보다 일반적인 개념을 탄생시켰습니다.
CMM은 CMMI로 대체됩니다.
CMM 모델은 많은 조직에 유용한 것으로 입증되었지만 소프트웨어 개발에 적용하는 데 때때로 문제가 있었습니다. 조직 내외에서 통합되지 않은 여러 모델을 적용하면 교육, 평가, 개선 활동 측면에서 비용이 많이 들 수 있습니다. CMMI(Capability Maturity Model Integration) 프로젝트는 여러 CMM을 사용하는 데 따른 문제를 정리하기 위해 구성되었습니다.
소프트웨어 개발 프로세스의 경우 CMM은 CMMI(Capability Maturity Model Integration)로 대체되었지만 CMM은 계속해서 공개 도메인에서 사용되는 일반적인 이론적 프로세스 기능 모델입니다.
CMM은 소프트웨어 개발 이외의 프로세스에 적용됩니다.
CMM은 원래 계약된 소프트웨어 프로젝트를 수행하는 정부 계약자의 능력을 평가하기 위한 도구로 고안되었습니다. 이는 소프트웨어 개발 영역에서 비롯되었지만 IS/IT(및 기타) 조직의 프로세스(예: IT 서비스 관리 프로세스) 성숙도에 대한 일반적인 모델로 널리 적용될 수 있었고 지금도 널리 적용되고 있습니다.
원천:
http://searchsoftwarequality.techtarget.com/sDefinition/0,,sid92_gci930057,00.html 및
http://en.wikipedia.org/wiki/Capability_Maturity_Model

SSCP 문제 382

다음 중 공격자가 평문 사본과 그에 상응하는 암호문을 갖고 있는 경우를 설명하는 암호화 공격은 무엇입니까?

A. 알려진 일반 텍스트

B. 무차별 대입

C. 암호문만

D. 선택된 일반 텍스트

정답: A

이러한 유형의 공격의 목표는 메시지를 암호화하는 데 사용된 암호화 키를 찾는 것입니다. 키를 찾으면 공격자는 해당 키를 사용하여 암호화된 모든 메시지를 해독할 수 있습니다.
KPA(Known-Plaintext Attack) 또는 Crib은 공격자가 일반 텍스트와 암호화된 버전(암호문)의 샘플을 모두 갖고 있으며 이를 자유롭게 사용하여 비밀과 같은 추가 비밀 정보를 공개할 수 있는 암호 분석을 위한 공격 모델입니다. 열쇠와 코드북. "Crib"이라는 용어는 영국의 제2차 세계 대전 암호 해독 작전인 블레츨리 파크(Bletchley Park)에서 유래되었습니다.
암호화에서 무차별 대입 공격 또는 철저한 키 검색은 이론적으로 자신의 작업을 더 쉽게 만들 수 있는 암호화 시스템의 약점을 이용할 수 없는 공격자가 암호화된 데이터에 대해 사용할 수 있는 전략입니다. 올바른 키를 찾을 때까지 가능한 모든 키를 체계적으로 확인하는 작업이 포함됩니다. 최악의 경우 검색 공간이라고도 하는 전체 키 공간을 순회해야 합니다.
암호화에서 COA(암호문 전용 공격) 또는 알려진 암호문 공격은 공격자가 암호문 세트에만 액세스할 수 있다고 가정하는 암호해독에 대한 공격 모델입니다.
해당 평문을 추론할 수 있거나 더 좋게는 키를 추론할 수 있다면 공격은 완전히 성공한 것입니다. 기본 일반 텍스트에 대한 정보를 얻을 수 있는 능력은 여전히 성공으로 간주됩니다. 예를 들어, 공격자가 트래픽 흐름 보안을 유지하기 위해 암호문을 지속적으로 보내는 경우 실제 메시지와 null을 구별할 수 있으면 매우 유용합니다. 실제 메시지의 존재에 대해 정보를 바탕으로 추측하는 것만으로도 트래픽 분석이 용이해집니다.
암호학의 역사에서 펜과 종이를 사용하여 구현된 초기 암호는 암호문만을 사용해 일상적으로 해독되었습니다. 암호학자들은 빈도 분석과 같은 암호문을 공격하기 위한 통계 기법을 개발했습니다. Enigma와 같은 기계적 암호화 장치는 이러한 공격을 훨씬 더 어렵게 만들었습니다(비록 역사적으로 폴란드 암호학자는 메시지 설정을 표시하기 위해 안전하지 않은 프로토콜을 활용하여 Enigma의 암호문 전용 암호화 분석을 성공적으로 수행할 수 있었지만).
모든 최신 암호는 암호문 전용 공격으로부터 보호하려고 시도합니다. 새로운 암호 설계 표준을 위한 심사 프로세스는 일반적으로 수년이 걸리며 무작위 노이즈로부터 통계적으로 벗어난 대량의 암호문에 대한 철저한 테스트를 포함합니다. 참조: 고급 암호화 표준 프로세스. 또한 스테가노그래피 분야는 부분적으로 한 데이터가 다른 데이터의 통계적 프로필을 채택할 수 있도록 하는 모방 기능과 같은 방법을 개발하기 위해 발전했습니다. 그럼에도 불구하고 빈약한 암호 사용이나 철저한 조사를 거치지 않은 자체 개발 독점 알고리즘에 대한 의존으로 인해 여전히 암호문 전용 공격의 대상이 되는 많은 컴퓨터 시대 암호화 시스템이 탄생했습니다. 예는 다음과 같습니다:
Microsoft의 PPTP 가상 사설망 소프트웨어의 초기 버전은 발신자와 수신자에 대해 동일한 RC4 키를 사용했습니다(이후 버전에는 다른 문제가 있었습니다). RC4와 같은 스트림 암호가 동일한 키로 두 번 사용되는 경우 암호문 전용 공격에 노출됩니다. 참고: 스트림 암호 공격 Wi-Fi의 최초 보안 프로토콜인 WEP(Wired Equivalent Privacy)는 여러 공격에 취약한 것으로 입증되었으며 대부분은 암호문에만 해당되었습니다.
CPA(선택된 평문 공격)는 공격자가 암호화할 임의의 평문을 선택하고 해당 암호문을 얻을 수 있는 능력이 있다고 가정하는 암호해독 공격 모델입니다. 공격의 목표는 암호화 체계의 보안을 저하시키는 추가 정보를 얻는 것입니다. 최악의 경우, 선택된 평문 공격으로 인해 계획의 비밀 키가 노출될 수 있습니다.
이는 언뜻 보면 비현실적인 모델처럼 보입니다. 공격자가 자신이 선택한 대량의 일반 텍스트를 암호화하도록 인간 암호 작성자를 설득할 수 있는 가능성은 거의 없습니다. 반면에 최신 암호화는 소프트웨어나 하드웨어로 구현되며 다양한 응용 프로그램에 사용됩니다. 많은 경우에 선택 평문 공격은 매우 실현 가능한 경우가 많습니다. 선택 일반 텍스트 공격은 암호화 키가 공개되어 있고 공격자가 선택한 일반 텍스트를 암호화할 수 있는 공개 키 암호화의 맥락에서 매우 중요합니다.
선택된 평문 공격을 방지할 수 있는 모든 암호는 알려진 평문 및 암호문 전용 공격에 대해서도 안전하다는 것이 보장됩니다. 이는 보안에 대한 보수적인 접근 방식입니다.
선택 평문 공격은 두 가지 형태로 구분할 수 있습니다.
일괄 선택 일반 텍스트 공격 - 암호 분석가가 모든 일반 텍스트를 암호화하기 전에 선택합니다. 이는 종종 "선택된 일반 텍스트 공격"을 부적절하게 사용한다는 의미입니다.
암호 분석가가 이전 암호화의 정보를 기반으로 후속 일반 텍스트를 선택하여 일련의 대화형 쿼리를 수행하는 적응형 선택 일반 텍스트 공격입니다.
참고자료:
출처: TIPTON, Harold, 공식(ISC)2 CISSP CBK 가이드(2007), 페이지 271. 및 다음 링크의 Wikipedia: http://en.wikipedia.org/wiki/Chosen-plaintext_attack http://en .wikipedia.org/wiki/Known-plaintext_attack http://en.wikipedia.org/wiki/Ciphertext-only_attack http://en.wikipedia.org/wiki/Brute_force_attack

SSCP 문제 383

다음 중 발생한 시스템 보안 정책 위반을 확인하기 위해 네트워크 트래픽을 모니터링하거나 호스트 감사 로그를 실시간으로 모니터링하는 데 사용되는 것은 무엇입니까?

A. 침입 탐지 시스템

B. 규정 준수 확인 시스템

C. 침입 관리 시스템(IMS)

D. 규정 준수 모니터링 시스템

SSCP 문제 384

적절한 주의는 다음과 관련이 없습니다:

A. 선의

B. 신중한 사람

C. 이익

D. 최선의 관심

SSCP 문제 385

보안 관점에서 제품 개발 수명주기는 다음 중 무엇으로 구성됩니까?

A. 시스템 테스트 검토

B. 코드 검토

C. 기능적 디자인 검토

D. 인증

E. 나열된 모든 항목

F. 인증