Wiederholung häufig geprüfter Prüfungsthemen

Kryptografie gehört zu den am häufigsten geprüften Themenbereichen in Security+. Beherrschen Sie diese Vergleiche: Symmetrisch vs. asymmetrisch — symmetrische Verfahren (AES, 3DES) sind schneller und werden zur Verschlüsselung großer Datenmengen verwendet; asymmetrische Verfahren (RSA, ECC) sind langsamer, lösen aber das Problem der Schlüsselverteilung (und werden für Schlüsselaustausch und Signaturen eingesetzt). Wichtige Schlüssellängen: RSA-2048 als Mindestgröße für aktuelle Sicherheit, AES-128 oder AES-256 für symmetrische Verschlüsselung. Gängige Algorithmen: SHA-256/SHA-3 für Hashing, HMAC zur Nachrichtenauthentifizierung, ECDHE für den Schlüsselaustausch, AES-GCM für authentifizierte Verschlüsselung. In Fragen werden Sie häufig aufgefordert, den passenden Algorithmus für einen bestimmten Anwendungsfall auszuwählen — wissen Sie, welche Algorithmusklasse (symmetrisch/asymmetrisch/Hash/MAC) für welches Szenario geeignet ist.

Fragen zu PKI sind häufig und oft szenariobasiert. Sie müssen diese Rollen genau kennen: Root-CA — steht an der Spitze der Vertrauenshierarchie, verwendet ein selbstsigniertes Zertifikat und wird normalerweise offline gehalten; Intermediate-/Subordinate-CA — signiert Zertifikate für Endentitäten, ist online und ermöglicht es, die Root-CA offline zu halten; Registration Authority (RA) — überprüft die Identität, bevor eine CA ein Zertifikat ausstellt (kann von der CA getrennt sein); CRL (Certificate Revocation List) — regelmäßig veröffentlichte Liste widerrufener Zertifikate; OCSP (Online Certificate Status Protocol) — Echtzeitprüfung des Widerrufsstatus; OCSP Stapling — der Server ruft die OCSP-Antwort vorab ab und fügt sie dem TLS-Handshake bei, wodurch die Latenz reduziert wird. Zertifikatsfelder: Subject, Issuer, Gültigkeitszeitraum, öffentlicher Schlüssel, SAN (Subject Alternative Names), Erweiterungen.

Fragen zu Zugriffskontrollmodellen treten in Szenarien auf — Sie müssen erkennen, welches Modell verwendet wird oder empfohlen werden sollte. DAC (Discretionary Access Control) — der Eigentümer der Ressource kontrolliert den Zugriff (Windows-NTFS-Berechtigungen, Linux-Dateiberechtigungen); flexibel, aber abhängig vom Ermessen der Benutzer. MAC (Mandatory Access Control) — das System erzwingt den Zugriff anhand von Kennzeichnungen (Top Secret/Secret/Confidential); wird in staatlichen und militärischen Systemen verwendet; Benutzer können Berechtigungen nicht ändern. RBAC (Role-Based Access Control) — der Zugriff wird über die Mitgliedschaft in Rollen gewährt; in Unternehmen am weitesten verbreitet und skalierbar. ABAC (Attribute-Based Access Control) — der Zugriff basiert auf Attributen des Benutzers, der Ressource und der Umgebung; am flexibelsten und wird im Cloud-IAM eingesetzt. Rule-Based AC — der Zugriff wird durch Regeln bestimmt (Firewall-ACLs, zeitabhängige Einschränkungen).

Der Incident-Response-Lebenszyklus nach NIST SP 800-61 ist ein garantiertes Prüfungsthema. Die vier Phasen und ihre wichtigsten Aktivitäten: Vorbereitung — IR-Plan, Playbooks, Aufbau eines CSIRT, Bereitstellung von Tools, Tabletop-Übungen; Erkennung und Analyse — Triage von Warnmeldungen, Identifizierung von IoCs, Bestimmung des Umfangs, Einstufung des Schweregrads, Sicherung von Beweismitteln; Eindämmung, Beseitigung und Wiederherstellung — Isolierung des Netzwerks, Sperrung von Konten, Entfernung von Malware, Wiederherstellung der Systeme aus sauberen Backups, Überwachung auf erneute Infektionen; Aktivitäten nach dem Vorfall — ein Review ohne Schuldzuweisungen, Ursachenanalyse, Dokumentation der Lessons Learned, Prozessverbesserungen. Häufig wird gefragt, zu welcher Phase eine bestimmte Aktivität gehört oder in welcher Reihenfolge die Phasen ablaufen.

Erkennen Sie diese Angriffe anhand von Szenariobeschreibungen: DoS/DDoS — ein Ziel wird überlastet, um legitimen Zugriff zu verhindern; SYN Flood — DDoS-Angriff durch das Senden vieler SYN-Pakete, ohne den Handshake abzuschließen, wodurch die Verbindungstabelle des Servers erschöpft wird; Smurf Attack — verstärkter ICMP-Flooding-Angriff unter Verwendung einer Broadcast-Adresse; ARP Poisoning — Senden gefälschter ARP-Antworten, um den Datenverkehr über den Angreifer umzuleiten (ermöglicht MITM); DNS Poisoning — Einschleusen gefälschter DNS-Einträge, um Benutzer auf bösartige Websites umzuleiten; VLAN Hopping — Angriff auf die Netzwerksegmentierung mittels 802.1Q-Doppel-Tagging oder durch die Aushandlung eines unerlaubten Trunks; Replay Attack — Aufzeichnen und erneutes Übertragen einer gültigen Authentifizierungssitzung; MITM — der Angreifer fängt den Datenverkehr zwischen zwei Parteien ab und verändert ihn gegebenenfalls.

Bei Fragen zur Risikoberechnung müssen Sie die quantitativen Risik formeln genau kennen: SLE (Single Loss Expectancy) = Asset Value × Exposure Factor (EF). Beispiel: Bei einem Server im Wert von 100.000 $ und einem erwarteten Verlust von 40 % pro Vorfall beträgt die SLE 40.000 $. ARO (Annual Rate of Occurrence) = die Häufigkeit, mit der die Bedrohung pro Jahr auftritt. ALE (Annual Loss Expectancy) = SLE × ARO. Beispiel: SLE 40.000 $ × ARO 0,5 = ALE 20.000 $ pro Jahr. ROI einer Sicherheitsmaßnahme = (ALE vor der Maßnahme) − (ALE nach der Maßnahme) − (jährliche Kosten der Maßnahme). Wenn die jährlichen Kosten der Maßnahme höher sind als die ALE-Reduzierung, ist sie nicht kosteneffizient. Diese Formeln unterscheiden die quantitative (objektive Zahlen) von der qualitativen (Bewertungen wie Hoch/Mittel/Niedrig) Risikoanalyse.

Fragen zu Authentifizierungsprotokollen sind szenariobasiert — Sie müssen das passende Protokoll für eine Situation bestimmen: RADIUS — Authentifizierung für den Netzwerkzugriff (VPN, WLAN 802.1X); verwendet UDP; verschlüsselt nur das Passwort; in drahtlosen Unternehmensnetzwerken weit verbreitet; TACACS+ — von Cisco entwickelte Alternative; verwendet TCP; verschlüsselt die gesamte Nutzlast; für die Geräteverwaltung (Router/Switches) bevorzugt; SAML — XML-basierter SSO-Standard für Webanwendungen zwischen IdP und SP; häufig für Enterprise-SSO bei Cloud-SaaS; OAuth 2.0 — Autorisierungsframework (keine Authentifizierung) für delegierten Zugriff; wird beispielsweise verwendet, wenn Facebook die Option „Mit Facebook anmelden“ anbietet; OpenID Connect (OIDC) — auf OAuth 2.0 aufbauende Authentifizierungsschicht; ergänzt das Access Token von OAuth um ein Identitätstoken (JWT).

Die Klassifizierung von Sicherheitsmaßnahmen ist ein häufiges Prüfungsthema. Sicherheitsmaßnahmen werden nach zwei Dimensionen klassifiziert: Typ (nach Implementierung): technisch (Firewalls, Verschlüsselung, MFA), administrativ/leitungsbezogen (Richtlinien, Verfahren, Schulungen, Hintergrundüberprüfungen), physisch/operativ (Schlösser, Wachpersonal, Kameras, Zäune). Kategorie (nach Funktion): präventiv (verhindert das Auftreten eines Vorfalls — Firewall, Zutritt per Ausweis), detektivisch (erkennt einen bereits eingetretenen oder gerade stattfindenden Vorfall — IDS, Audit-Logs, CCTV), korrigierend (reduziert die Auswirkungen nach einem Vorfall — Backups, Patch-Management), abschreckend (hält von Angriffen ab — Warnschilder, Sicherheitskameras), kompensierend (alternative Maßnahme, wenn die primäre nicht implementiert werden kann — Air Gap statt Verschlüsselung bei einem Altsystem).

Fragen zur WLAN-Sicherheit vergleichen die Protokollgenerationen: WEP — kompromittiert, niemals verwenden; RC4 mit statischem Schlüssel und schwachem IV; innerhalb weniger Minuten knackbar; WPA2-Personal (PSK) — verwendet CCMP/AES; sicher, aber ein gemeinsamer Schlüssel ist bei schwacher Wahl Brute-Force-Angriffen ausgesetzt; der KRACK-Angriff umgeht WPA2 (gepatcht); WPA2-Enterprise — 802.1X mit RADIUS; individuelle Authentifizierung pro Benutzer; kein gemeinsamer Schlüssel; am sichersten für Organisationen; WPA3-Personal — SAE (Simultaneous Authentication of Equals) ersetzt PSK; Forward Secrecy; resistent gegen Offline-Wörterbuchangriffe; WPA3-Enterprise — ergänzt einen 192-Bit-Sicherheitsmodus mit AES-256 und HMAC-SHA384. Für die Prüfung: Sie müssen wissen, welche Version Sie für Szenarien zu Hause, in kleinen Unternehmen und in Unternehmen empfehlen sollten.

Die Reihenfolge der Flüchtigkeit legt fest, in welcher Reihenfolge Beweismittel erfasst werden sollten, damit zuerst die am schnellsten verlorenen Daten gesichert werden. Von der höchsten zur niedrigsten Flüchtigkeit: 1. CPU-Register und Cache (Lebensdauer im Nanosekundenbereich); 2. RAM und laufende Prozesse (Lebensdauer von Minuten — ein Stromausfall zerstört sie); 3. Netzwerkverbindungen und ARP-Cache (ändern sich ständig); 4. Swap-/Auslagerungsdatei (enthält aktuelle Inhalte des RAM); 5. Festplatten-Images (persistent, können aber verändert werden); 6. Daten aus Remote-Logging und Monitoring (extern gespeichert und am dauerhaftesten); 7. Archivmedien (Bänder, Backup-Festplatten — am wenigsten flüchtig). Forensische Ermittler erfassen die Beweismittel beginnend am Anfang dieser Liste — der RAM wird immer vor der Erstellung eines Festplatten-Images erfasst.

Das Shared-Responsibility-Modell wird anhand von Szenarien zu Servicemodellen geprüft. Bei IaaS (Infrastructure as a Service — EC2, Azure VM) sichert der Anbieter das physische Rechenzentrum und den Hypervisor; der Kunde sichert Betriebssystem, Anwendungen, Daten, Netzwerkkonfiguration und Identitäten. Bei PaaS (Platform as a Service — Heroku, RDS) übernimmt der Anbieter zusätzlich Betriebssystem und Middleware; der Kunde sichert Anwendungscode, Daten und Zugriffsverwaltung. Bei SaaS (Software as a Service — Microsoft 365, Salesforce) sichert der Anbieter alles außer Dateninhalten, Zugriffsverwaltung und Einhaltung gesetzlicher Vorgaben. Die Regel lautet: Je höher die Abstraktionsebene des Dienstes, desto mehr Sicherheitsverantwortung geht auf den Anbieter über — Daten und Identitäten liegen jedoch in allen Modellen immer in der Verantwortung des Kunden.

In dieser Lektion haben Sie Folgendes wiederholt: die Auswahl kryptografischer Algorithmen (symmetrische Verfahren für große Datenmengen, asymmetrische Verfahren für Schlüsselaustausch und Signaturen, AEAD für authentifizierte Verschlüsselung), Formeln zur Risikoberechnung (SLE = AV × EF, ALE = SLE × ARO), die quantitative von qualitativer Analyse unterscheiden, sowie Sicherheitstypen und -kategorien (technisch/administrativ/physisch kombiniert mit präventiv/detektivisch/korrigierend/abschreckend/kompensierend). Diese häufig geprüften Themen kommen in unterschiedlichen Kontexten in zahlreichen Prüfungsfragen vor. Als Nächstes behandeln wir Zeitmanagement und Strategien zum Ausschluss von Antworten, um Ihre Prüfungsleistung zu maximieren.