Prøveeksamen del 2: Sikkerhedsarkitektur og infrastruktur

Spørgsmål: Et sikkerhedsteam vil opdage netværksangreb og automatisk blokere skadelig trafik, før den når interne servere. Hvilken enhedstype opfylder BEGGE krav bedst?

Svar: Intrusion Prevention System (IPS). Et IPS er placeret inline i trafikvejen, kan opdage angreb (ligesom IDS) og kan også aktivt blokere skadelig trafik. Et IDS (Intrusion Detection System) implementeres typisk out-of-band (trafikken spejles til det) — det opdager og advarer, men kan ikke blokere trafik, fordi det ikke er placeret i trafikvejen. Begge bruger signaturbaseret og anomalibaseret detektion. Risikoen ved IPS er falske positiver, der blokerer legitim trafik — derfor kræver IPS omhyggelig justering. NIDS (netværksbaseret) kontra HIDS (værtsbaseret): netværksplacering registrerer trafik; værtsbaseret detektion analyserer systemhændelser på en bestemt vært.

Spørgsmål: En organisation har medarbejdere, der arbejder eksternt og tilgår virksomhedens ressourcer fra hjemmenetværk. Den traditionelle VPN giver enhver tilsluttet enhed fuld adgang til det interne netværk. Hvilket alternativ baseret på zero trust-arkitektur mindsker BEDST risikoen for lateral bevægelse, hvis en ekstern enhed kompromitteres?

Svar: Erstat VPN'en med Zero Trust Network Access (ZTNA), der giver adgang pr. applikation baseret på enhedens tilstand, brugerens identitet og konteksten. En traditionel VPN giver bred netværksadgang (når enheden først er tilsluttet, kan den nå de fleste interne ressourcer). ZTNA håndhæver zero trust-princippet: Hver anmodning om adgang til en ressource evalueres individuelt ud fra brugerens identitet, enhedens overholdelse af krav (opdateringer, certifikat) og risikokonteksten. En kompromitteret enhed har kun adgang til de specifikke applikationer, som dens session har fået adgang til — ikke hele netværket. Det begrænser den laterale bevægelse til disse applikationers skadeomfang i stedet for hele virksomhedens netværk.

Spørgsmål: En virksomhed gemmer kundedata i AWS S3-buckets. Hvem er ansvarlig for at sikre, at S3-bucketen ikke tillader offentlig adgang?

Svar: Kunden (virksomheden). I henhold til AWS-modellen for delt ansvar sikrer AWS den fysiske infrastruktur, hypervisoren og lagerhardwaren. Kunden er ansvarlig for dataklassifikation og -beskyttelse, S3-bucketpolitikker og ACL'er, adgangskontrol og overholdelse af krav. Forkert konfigurerede S3-buckets (public-read eller public-write) har forårsaget nogle af historiens største databrud — og ansvaret for korrekt konfiguration lå i alle tilfælde hos kunden. AWS stiller værktøjer til rådighed (S3 Block Public Access, AWS Config-regler, Amazon Macie), som hjælper kunder med at opfylde deres ansvar, men det er kundens valg, om de vil bruge dem.

Spørgsmål: En netværksadministrator opdeler virksomhedens netværk i VLAN'er: ét til medarbejdernes arbejdsstationer, ét til servere, ét til IP-kameraer og ét til gæste-Wi-Fi. Hvilken sikkerhedsfordel giver det?

Svar: Begrænser lateral bevægelse — et kompromis af ét VLAN giver ikke automatisk adgang til andre VLAN'er. VLAN'er giver logisk netværksadskillelse, selv på fælles fysiske switche. Trafik mellem VLAN'er skal passere gennem en router eller en Layer 3-switch, hvor ACL'er kan anvendes til at begrænse kommunikationen. Hvis IoT-kameraer (et almindeligt angrebsmål med svag sikkerhed) er placeret i et separat VLAN, kan et kompromitteret kamera ikke angribe arbejdsstationer eller servere direkte. Isolering af gæste-Wi-Fi-VLAN'et forhindrer gæstebrugere i at få adgang til virksomhedens ressourcer. Bemærk: VLAN'er er ikke en komplet sikkerhedsgrænse — der findes VLAN-hopping-angreb, så VLAN'er bør kombineres med fysisk segmentering i zoner med høje sikkerhedskrav.

Spørgsmål: En netværksingeniør skal administrere routere og switche eksternt fra en administrationsarbejdsstation. Hvilken protokol bør bruges for at sikre, at al administrations trafik er krypteret?

Svar: SSH (Secure Shell) på port 22. SSH krypterer al trafik, herunder legitimationsoplysninger og kommandoer. Det usikre alternativ, Telnet (port 23), sender alle data i klartekst — en netværksobservatør kan opsnappe loginoplysninger. Til webbaserede administrationsgrænseflader bør HTTPS (port 443) erstatte HTTP. Til SNMP-overvågning erstatter SNMPv3 med godkendelse og fortrolighed (AES-kryptering) den klartekstbaserede SNMPv1/v2c. Security+-eksamen viser ofte tabeller, der sammenligner sikre og usikre protokolpar: vælg altid SSH frem for Telnet, SFTP frem for FTP, LDAPS frem for LDAP, HTTPS frem for HTTP og SNMPv3 frem for SNMPv1/v2.

Spørgsmål: En organisation ønsker en firewall, der kan inspicere krypteret HTTPS-trafik for malware, anvende kontroller på applikationslaget (blokere sociale medier, men tillade forretningsapplikationer) og integrere med en trusselsefterretningskilde. Hvilken type firewall bør de implementere?

Svar: Next-Generation Firewall (NGFW). En NGFW fungerer på lag 3-7 og omfatter: dyb pakkeinspektion (DPI) af applikationstrafik, SSL/TLS-inspektion (dekryptering, inspektion og ny kryptering), applikationsgenkendelse (identificerer og kontrollerer bestemte applikationer uanset port), integreret IPS og integration med trusselsefterretninger. Traditionelle stateful-firewalls fungerer på lag 3-4 (IP og TCP/UDP) — de kan tillade eller blokere baseret på IP, port og protokol, men kan ikke skelne mellem legitim HTTPS og malware over HTTPS. Pakke filtrerende firewalls er endnu mere begrænsede — de er tilstandsløse og sporer ikke forbindelser.

Q8 — Høj tilgængelighed kontra fejltolerance: Et hospital kræver ingen nedetid, hvis én server svigter. Svar: Aktiv-aktiv-fejltolerant klynge — flere servere håndterer anmodninger samtidigt, så et enkelt svigt ikke afbryder tjenesten. Høj tilgængelighed har en kort failover-periode; aktiv-passiv har nedetid under skiftet. Ingen nedetid = aktiv-aktiv.

Q9 — Mikrosementering: 50 mikrotjenester — forhindr lateral bevægelse, hvis én kompromitteres. Svar: Kubernetes NetworkPolicy eller servicemesh med mTLS — detaljerede regler på arbejdsbelastningsniveau. VLAN'er er for grove; mTLS tilføjer kryptering og gensidig godkendelse mellem tjenester.

Q10 — WPA3: Opgrader fra WPA2-Personal til WPA3-Personal. Svar: SAE (Simultaneous Authentication of Equals) forhindrer offline-ordbogsangreb (angriberen skal interagere med netværket for hvert gæt) og giver fremadrettet hemmeligholdelse (unikke sessionsnøgler, selv hvis PSK'en senere kompromitteres).

Honeynet: Et netværk af honeypots, der tiltrækker og undersøger angribere, samtidig med at der indsamles trusselsinformation. Luftgab: Fuldstændig fysisk adskillelse fra alle eksterne netværk — ingen internetforbindelse, trådløse forbindelser eller flytbare medier (i teorien). Proxy kontra reverse proxy: En forward proxy styrer udgående klienttrafik til internettet, mens en reverse proxy står foran serverne, styrer indgående trafik og skjuler servernes topologi. NAC (Network Access Control): Håndhæver krav om antivirus, opdateringer og overholdelse af politikker, før netværksadgang gives. CASB: Cloud Access Security Broker — et punkt til håndhævelse af politikker mellem brugere af cloudtjenester og cloududbydere. Risiko ved split tunneling: Kun virksomhedstrafik går gennem VPN-tunnelen; internettrafik går uden om den, hvilket samtidig skaber en broforbindelsesrisiko mellem virksomhedsnetværket og internettet.

SASE: Secure Access Service Edge — kombinerer ZTNA, CASB, SWG og FWaaS med SD-WAN som en samlet cloudtjeneste til sikker fjernadgang. Sikkerhedsfordel ved SDN: Adskiller kontrolplanet fra dataplanet, så sikkerhedspolitikker kan håndhæves centralt og programmerbart. Den primære sikkerhedsrisiko ved containere: En delt kerne — et container escape eller en sårbarhed i kernen kompromitterer værten og alle andre containere. Jumpserver/bastionvært: Én hærdet adgangsvej til følsomme segmenter — alle administratorsessioner skal gå gennem den og logges. Risiko ved et wildcard TLS-certifikat: Én kompromitteret privat nøgle påvirker alle underdomæner på *.domain.com. 802.1X-portbaseret godkendelse: Kræver godkendelse af enheden, før en switchport tillader trafik — og forhindrer uautoriserede enheder i at få netværksadgang.

I denne del af prøveeksamen gennemgik du: DMZ-arkitektur og hvordan design med to firewalls begrænser kompromittering af webservere, så den ikke når interne netværk, forskelle mellem firewalltyper (pakkefiltrering kontra stateful kontra NGFW med SSL-inspektion) samt cloud- og zero trust-arkitektur — ansvarsgrænsen mellem cloududbyder og kunde, ZTNA som erstatning for VPN og mikrosegmentering til kontrol af øst-vest-trafik. Disse arkitekturbegreber udgør de 18 % af indholdet i domæne 3. Dernæst følger del 3 af prøveeksamen, som dækker drift, hændelsesrespons og efterforskning.