Prøveeksamen del 1: Generelle sikkerhedskoncepter og trusler

Velkommen til Prøveeksamen del 1, der dækker Security+-domæne 1 og 2: Generelle sikkerhedsbegreber (12 %) samt trusler, sårbarheder og afhjælpning (22 %). Tilsammen udgør de 34 % af din eksamensscore. Hver sektion indeholder et spørgsmål efterfulgt af det korrekte svar og en fuld forklaring på, hvorfor de andre muligheder er forkerte. Sådan får du mest muligt ud af det: Læs spørgsmålet, formulér dit eget svar, og læs derefter forklaringen. Notér, hvilke spørgsmål du besvarer forkert, opdelt efter emne — det identificerer dine svage områder til målrettet afsluttende gennemgang. Domæne 1 og 2 tilsammen svarer til omkring 30 spørgsmål på den rigtige eksamen.

Spørgsmål 1 — CIA-trekanten: En organisation krypterer kundedata, før de gemmes. Hvilket CIA-princip håndteres primært? Svar: Fortrolighed — kryptering forhindrer uautoriseret videregivelse. Integritet håndteres med hashing og tilgængelighed med redundans.

Spørgsmål 2 — Godkendelsesfaktorer: En bank kræver en pinkode og en fingeraftryksscanning. Hvilke faktorer bruges? Svar: Noget, du ved (pinkode) + noget, du er (fingeraftryk/biometri). De tre faktorer er Ved / Har / Er. To faktorer af samme type (to adgangskoder) er totrinsbekræftelse, ikke ægte MFA. Geolokation tilføjer en fjerde faktor: Et sted, du befinder dig.

Spørgsmål 3 — Credential stuffing: 10.000 mislykkede loginforsøg med brugernavn-/adgangskodepar fra et tidligere databrud hos en anden virksomhed. Svar: Credential stuffing — genbruger par fra et databrud mod en anden tjeneste for at udnytte genbrug af adgangskoder. Brute force afprøver alle kombinationer; password spraying afprøver én adgangskode mod mange konti; et ordbogsangreb afprøver ordlister.

Spørgsmål 4 — Malwareklassifikation: Malware spreder sig fra maskine til maskine uden brugerinteraktion via en sårbarhed i en printspooler. Svar: Orm — replikerer sig selv autonomt på tværs af netværk. En virus kræver en værtsfil og en brugerhandling. En trojansk hest replikerer ikke sig selv. Ransomware er en nyttelasttype, ikke en spredningsmekanisme.

Spørgsmål 5 — Påskud/vishing: En angriber ringer og hævder at være fra IT-support, skaber hastværk omkring en kompromitteret konto, og medarbejderen giver sin adgangskode. Svar: Påskud via vishing — et opdigtet scenarie leveret over telefonen ved hjælp af hastværk og autoritet.

Spørgsmål 6 — Lagring af adgangskoder: En udvikler skal gemme adgangskoder, som ikke må kunne gendannes, hvis databasen bliver stjålet. Svar: Hash med Argon2id + et unikt salt pr. bruger. AES-kryptering kan vendes (hvis nøglen stjæles, afsløres alle adgangskoder). Ren SHA-256 er for hurtig til lagring af adgangskoder. HMAC kræver en hemmelig nøgle, men er stadig ikke langsom nok.

Spørgsmål 7 — Hacktivist: En angriber ændrer en virksomheds websted, så det viser politiske budskaber imod virksomhedens miljøpolitik. Svar: Hacktivist — motiveret af ideologi eller politiske sager. Cyberkriminelle er økonomisk motiverede; nationalstater har strategiske mål; scriptkiddies søger berømmelse.

Spørgsmål 8 — Afskrækkende kontroller: Sikkerhedskameraer er placeret tydeligt sammen med skiltning om 'Overvåget døgnet rundt'. Svar: Afskrækkende kontrol — synlige kameraer med skiltning skal primært afskrække angribere. Kameraer kan også være detekterende (optage til efterforskning), men en synlig placering prioriterer afskrækkelse frem for detektion.

Spørgsmål 9 — Whaling: Den økonomiansvarlige modtager en personliggjort e-mail, der nævner hendes navn, titel og en nylig virksomhedsopkøb, og som anmoder om en hastende bankoverførsel, tilsyneladende fra den administrerende direktør. Svar: Whaling — meget målrettet phishing mod ledere på direktionsniveau. Spear phishing retter sig mod bestemte personer, men ikke nødvendigvis ledere. BEC er bedrageriet (bankoverførslen), mens whaling er leveringsmetoden.

Spørgsmål 10 — Sårbarhed + trussel = risiko: En ikke-opdateret Apache med et kendt bufferoverløb samt en angribergruppe, der aktivt udnytter det i sektoren. Svar: Der findes en risiko, fordi både en sårbarhed OG en trussel om at udnytte den findes samtidig — dette bør prioriteres til øjeblikkelig afhjælpning. Risiko kræver begge elementer; uden en trussel skaber en sårbarhed kun en potentiel risiko.

Spørgsmål 11 — Afvisning af benægtelse: Leverandørkontrakter, der forhindrer parterne i at benægte, at de har indgået en aftale. Svar: Digitale signaturer med asymmetrisk kryptografi — kun indehaveren af den private nøgle kunne have signeret, hvilket beviser identiteten. HMAC bruger en delt nøgle (begge parter kan have signeret den, så der er ingen afvisning af benægtelse). Hashing alene giver integritet, men ikke tilskrivning.

Spørgsmål 12 — DNS-tunneling: En arbejdsstation sender periodiske DNS-forespørgsler hvert 60. sekund til et domæne med tilfældige underdomæner på 40 tegn. Svar: DNS-tunneling til C2-kommunikation — regelmæssig beaconing + lange kodede underdomæner i TXT-poster = angriberen koder data i DNS-forespørgsler for at omgå firewallregler, der tillader DNS.

Spørgsmål 13 — Rootkit: En skanner viser ingen usædvanlige processer, men netværksovervågningen viser udgående C2-forbindelser, og integritetskontroller af binærfiler i operativsystemet mislykkes. Svar: Rootkit — opfanger API-kald i operativsystemet for at skjule sig for sikkerhedsværktøjer; ændringer i kernen forklarer fejlene i integritetskontrollen af binærfiler.

Spørgsmål 14 — CVSS 9.8: CVSS-intervaller: 9,0-10,0 = Kritisk. Fjernkørsel af kode uden godkendelse scorer 9,8 = kritisk prioritet — udfør rettelsen inden for 24-48 timer. CVSS 7,0-8,9 = Høj, 4,0-6,9 = Middel, 0,1-3,9 = Lav.

Spørgsmål 15 — Forsyningskædeangreb: Angribere kompromitterede en softwareleverandørs byggesystem og indsatte en bagdør i en legitim opdatering, der blev distribueret til 18.000 kunder (SolarWinds SUNBURST). Svar: Forsyningskædeangreb — leverandøren blev målrettet for at nå kunder, som har tillid til og installerer leverandørens produkter.

Spørgsmål 16 — Brug af asymmetriske nøgler: Alice sender Bob en meddelelse, som kun Bob må kunne læse. Svar: Krypter med Bobs OFFENTLIGE nøgle — kun Bobs private nøgle kan dekryptere den. Signér med den private nøgle; verificér med den offentlige nøgle. Offentlig nøgle = til brug for andre på dine vegne; privat nøgle = kun til personligt brug.

Q17 — Filløs malware: PowerShell udfører kodede Base64-kommandoer, der downloader og kører kode udelukkende i hukommelsen uden at skrive filer til disken. Svar: Filløst angreb/Living-off-the-Land-angreb (LotL) — misbruger legitime værktøjer (PowerShell, WMI) for at undgå filbaserede antivirussignaturer. Forsvar: logning af scriptblokke, AMSI og adfærdsbaseret EDR.

Q18 — BEC: Angriberen overvåger e-mail i to uger og sender derefter en e-mail fra et domæne, der ligner det rigtige, med en anmodning om en ny bankkonto til fakturaer. Svar: Business Email Compromise (BEC) med e-mail-spoofing — økonomisk svindel baseret på den kontekst, der er indsamlet under overvågningen. Forsvar: verifikation via en anden kanal (ring til leverandøren på et kendt nummer), før bankoplysninger ændres.

Q19 — Zero-day: Udnyttelse af en sårbarhed uden et eksisterende CVE-nummer og uden en rettelse. Svar: Zero-day-sårbarhed — leverandøren har haft nul dage til at rette den. Når den er rettet, er den teknisk set ikke længere en zero-day.

Q20 — Forsvar i dybden: Perimeterfirewall + netværks-IDS + værtsbaseret firewall + EDR + datakryptering. Svar: Forsvar i dybden (lagdelt sikkerhed) — flere uafhængige kontroller, så de øvrige lag stadig fungerer, hvis ét lag svigter. Det adskiller sig fra mindst mulige rettigheder (minimal adgang), funktionsadskillelse (opdeling af kritiske funktioner) og zero trust (verificering af al adgang).

Q21-25 — Hurtig repetition: HSTS = gennemtvinger HTTPS og afviser HTTP-forbindelser. Logikbombe = udføres, når en bestemt betingelse er opfyldt (dato/handling). Vandhul = kompromitterer et websted, som målgruppen ofte besøger. Typosquatting = registrerer fejlstavede domæner (goggle.com). Trusselsefterretninger kontra sårbarhedsvurdering = TI beskriver modstandernes kapacitet; VA identificerer svagheder i dine egne systemer.

Kritiske forskelle, der testes i domæne 1 og 2: Kryptering kontra hashing — kryptering kan vendes om (kræver en nøgle); hashing går kun én vej (ingen nøgle). Brug kryptering til fortrolighed og hashing til integritet og lagring af adgangskoder. Virus kontra orm — en virus kræver en værtsfil og en brugerhandling for at sprede sig; en orm spreder sig automatisk over netværk. Phishing-hierarki — massephishing er rettet mod alle; spear phishing er rettet mod bestemte personer; whaling er rettet mod ledere; vishing bruger tale. Kategorier af kontroller — forebyggende kontroller stopper angreb, detektive kontroller identificerer dem, korrigerende kontroller begrænser skader, afskrækkende kontroller modvirker angreb, og kompenserende kontroller er et alternativ, når den primære kontrol ikke er mulig.

I denne del af prøveeksamen gennemgik du: anvendelser af CIA-triaden — kryptering beskytter fortrolighed, hashing beskytter integritet, redundans sikrer tilgængelighed, forskelle mellem angrebstyper — orme kontra virusser, credential stuffing kontra brute force, whaling kontra spear phishing kontra vishing, angreb på forsyningskæden og zero-day-sårbarheder samt kategorier af sikkerhedskontroller — forebyggende, detektive, korrigerende, afskrækkende og kompenserende kontroller med eksempler fra virkeligheden. Disse begreber udgør de 34 % af eksamen, der dækkes af domæne 1 og 2. Næste del er prøveeksamen del 2, som dækker sikkerhedsarkitektur og infrastruktur.