Suoritusperusteisten kysymysten (PBQ) strategia

Suoritusperusteiset kysymykset (PBQ:t) ovat vuorovaikutteisia simulaatiokysymyksiä, joissa teidän on osoitettava käytännön taitonne virtuaaliympäristössä sen sijaan, että vain valitsisitte parhaan vastauksen neljästä tekstivaihtoehdosta. CompTIA otti PBQ:t käyttöön kuroakseen umpeen tiedon hallitsemisen ja sen soveltamisen välistä kuilua — tekniikan ammattilaisen, joka todella ymmärtää palomuurisäännöt, pitäisi osata määrittää palomuuri eikä vain kuvailla niiden toimintaa. PBQ:t vaikuttavat pistemääräänne samalla tavoin kuin monivalintakysymykset, ja niistä saa saman määrän pisteitä. Ne ovat SY0-701-kokeen alussa ja vievät yleensä enemmän aikaa kuin monivalintakysymykset.

Security+-kokeessa on useita erilaisia PBQ-muotoja: Palomuurisääntöjen määrittäminen — verkkokaavion ja vaatimusten perusteella lisätään ACL-säännöt, joilla tietty liikenne sallitaan tai estetään; verkkokaavion merkitseminen — palomuuri, IDS, DMZ ja muut komponentit sijoitetaan oikeisiin kohtiin verkkokaaviossa; lokien analysointi — tutkitaan annettuja lokiotteita (syslog, Windowsin tapahtumaloki ja verkkopalvelimen käyttöloki) ja tunnistetaan hyökkäystyyppejä tai vastataan tiettyihin kysymyksiin; järjestäminen vetämällä ja pudottamalla — poikkeamien hallinnan vaiheet, rikostekniset toimenpiteet tai PKI-komponentit järjestetään oikeaan järjestykseen; sekä yhdistäminen — hyökkäystyypit yhdistetään kuvauksiin tai työkalut toimintoihinsa.

Kriittinen ajanhallintastrategia on seuraava: älkää juuttuko kokeen alussa oleviin PBQ-tehtäviin. PBQ:t esitetään ensin, ja niihin voi kulua epävarmassa tilanteessa 5–10 minuuttia kuhunkin. Suositeltava toimintatapa on merkitä jokainen PBQ myöhemmin palattavaksi ja ohittaa se heti sekä vastata ensin kaikkiin monivalintakysymyksiin. Monivalintakysymykset tuntuvat yleensä varmemmilta, ja niihin vastaaminen voi jopa palauttaa mieleenne PBQ-tehtävien ratkaisemiseen tarvittavia yksityiskohtia. Palatkaa PBQ-tehtäviin, kun olette vastanneet kaikkiin monivalintakysymyksiin. Kun aikaa on 90 minuuttia enintään 90 kysymykseen eli keskimäärin minuutti kysymystä kohden, aikaa jää riittävästi PBQ-tehtävien tarkistamiseen.

Palomuuri-PBQ-tehtävissä annetaan yleensä verkkokaavio, jossa on useita vyöhykkeitä (Internet, DMZ ja sisäinen lähiverkko), sekä vaatimusluettelo: ”Salli HTTP/HTTPS-liikenne Internetistä DMZ:n verkkopalvelimelle; estä suora Internet-yhteys sisäisiin palvelimiin; salli DNS-kyselyt sisäverkosta ulospäin.” Teidän on lisättävä säännöt oikeassa järjestyksessä (palomuurisäännöt käsitellään ylhäältä alaspäin, ja ensimmäinen täsmäävä sääntö ratkaisee). Keskeiset asiat: implisiittinen esto kaikkien sääntöjoukkojen lopussa; tilallinen tarkastus, joka sallii paluuliikenteen automaattisesti; yleiset portit (80=HTTP, 443=HTTPS, 22=SSH, 25=SMTP, 53=DNS, 3389=RDP). Harjoitelkaa lähteen, kohteen, portin ja toiminnon sisältävien sääntötaulukoiden lukemista.

Lokianalyysin PBQ-tehtävissä annetaan otteita eri lokilähteistä, ja tehtävänä on tunnistaa, mitä on tapahtunut. Verkkopalvelimen lokeista etsikää SQL-injektioon viittaavia malleja (' OR '1'='1, UNION SELECT), XSS:ää (kyselymerkkijonoissa oleva <script>) tai hakemistojen läpikäyntiä (../../../etc/passwd). Windowsin tapahtumalokeissa: tapahtumatunnus 4625 = epäonnistunut kirjautuminen, 4740 = tilin lukitus, 4624 = onnistunut kirjautuminen, 4672 = erityisoikeudet — useat 4625-tapahtumat, joita seuraa 4624, viittaavat onnistuneeseen brute force -hyökkäykseen. Verkkokaappauksista etsikää SYN-tulvia (paljon SYN-paketteja ilman SYN-ACK-vastausta), porttiskannauksia (yhdestä IP-osoitteesta tulevat peräkkäiset porttinumerot) ja ICMP-tulvia.

Verkkokaavion PBQ-tehtävissä testataan ymmärrystänne tietoturvavyöhykkeiden arkkitehtuurista. Komponenttien oikean sijoittelun keskeiset käsitteet: DMZ (Demilitarized Zone) sijaitsee kahden palomuurin (Internet-yhteyteen liitetyn ja sisäisen) välissä, ja siellä isännöidään julkisesti käytettävissä olevia palvelimia (verkko-, sähköposti- ja DNS-palvelimet); Internet-yhteyteen liitetty palomuuri sijaitsee verkon reunalla suoraan yhteydessä palveluntarjoajan linkkiin; IDS/IPS-anturit sijoitetaan verkkosegmentteihin, joissa ne näkevät liikenteen (IDS peilaa liikennettä passiivisesti, IPS on liikenteen välissä); välityspalvelimet sijaitsevat sisäisten käyttäjien ja Internetin välissä; ja SIEM kerää lokit kaikista komponenteista. Älkää sijoittako sisäisiä tietokantoja DMZ:lle — niiden paikka on luotetussa sisäisessä vyöhykkeessä.

Vetämällä ja pudottamalla ratkaistavissa PBQ-tehtävissä testataan järjestettyjen prosessien ja käsitteiden yhdistämisen hallintaa. Opetelkaa seuraavat järjestykset: poikkeamien hallinnan vaiheet — valmistautuminen, havaitseminen ja analysointi, rajoittaminen, hävittäminen, palautuminen ja poikkeaman jälkeinen tarkastelu (NIST SP 800-61); tunkeutumistestin vaiheet — tiedustelu, skannaus ja enumerointi, hyväksikäyttö, hyväksikäytön jälkeiset toimet ja sivuttaisliike sekä raportointi; rikosteknisen aineiston haihtuvuusjärjestys — suorittimen rekisterit ja välimuisti, RAM, swap-/sivutustiedosto, käynnissä olevat prosessit, verkkoyhteydet, levyotos ja etälokit (haihtuvin ensin); riskienhallinnan vaiheet — tunnistaminen, arviointi, reagointi ja käsittely sekä seuranta. Näitä järjestyksiä testataan usein vetämällä ja pudottamalla ratkaistavissa tehtävissä.

CompTIA Security+ -kokeen PBQ-tehtävistä voi saada osapisteitä — PBQ-tehtävän kaikkia osia ei tarvitse suorittaa täydellisesti pisteiden saamiseksi. Jos esimerkiksi olette epävarmoja jostakin palomuurin määrityksen osasta, suorittakaa tuntemanne osat oikein ja arvatkaa epävarmat kohdat sen sijaan, että jättäisitte ne tyhjiksi. Älkää ohittako PBQ-tehtäviä kokonaan tai jättäkö niitä vastaamatta — puutteellisista PBQ-tehtävistä saa vähemmän pisteitä tai ei lainkaan pisteitä, kun taas osittain oikein ratkaistusta tehtävästä saa osapisteitä. Jos tehtävässä pyydetään määrittämään viisi palomuurisääntöä ja määritätte niistä kolme oikein, saatte kyseisestä tehtävästä noin 60 % käytettävissä olevista pisteistä.

PBQ-tehtävien harjoittelu edellyttää käytännön simulaatioita, joita tekstipohjainen opiskelu ei tarjoa. PBQ-valmistautumisen resursseja ovat esimerkiksi: CompTIA CertMaster Practice — virallinen harjoittelualusta, joka sisältää realistisia PBQ-simulaatioita; Jason Dion's Udemy course — sisältää realistisia laboratorioharjoituksia ja PBQ-tehtävien läpikäyntejä; Professor Messer's PBQ practice labs — edullisia PDF-muotoisia läpikäyntejä; Dion Training free PBQs — maksuttomia selainpohjaisia palomuuri- ja verkkokaavio-PBQ-simulaattoreita; sekä kotilaboratorioharjoittelu pfSense-ohjelmalla (maksuton avoimen lähdekoodin palomuuri), jonka avulla voitte harjoitella sääntöjen määrittämistä käytännössä. Tehokkain yksittäinen tapa valmistautua PBQ-tehtäviin on ratkaista niitä toistuvasti, kunnes käyttöliittymä ja tehtävätyypit tuntuvat tutuilta.

Kun kohtaatte PBQ-tehtävän, jonka ratkaisusta ette ole varmoja: käyttäkää poissulkemismenetelmää — myös simulaatioissa jotkin vastaukset ovat selvästi vääriä; soveltakaa perusperiaatteita — vähimpien oikeuksien periaate, puolustus syvyyssuunnassa ja implisiittinen esto pätevät kaikkialla ja ohjaavat oikeaan vastaukseen, vaikka ette tietäisi tarkkaa sääntöä; lukekaa skenaario huolellisesti — PBQ-skenaariot sisältävät kaikki oikeaan vastaukseen tarvittavat tiedot, ja skenaarion yksityiskohtien huomiotta jättäminen on yleisin PBQ-virhe; älkää ajatelko asiaa liian monimutkaisesti — PBQ-tehtävissä testataan käytännön tietoja, ei harvinaisia poikkeustapauksia. Oikea vastaus noudattaa yleensä skenaariossa kuvatun tietoturvaperiaatteen ilmeisintä sovellusta.

Kun aikaa on 90 minuuttia ja enintään 90 kysymykseen, ajankäyttö on ratkaisevan tärkeää. Suositeltava strategia: 1. kierros (0–45 min) — vastatkaa kaikkiin varmasti osaamiinne monivalintakysymyksiin (ohittakaa epävarmat); 2. kierros (45–70 min) — palatkaa merkittyihin monivalintakysymyksiin ja käyttäkää poissulkemista; 3. kierros (70–85 min) — ratkaiskaa kaikki PBQ-tehtävät jäljellä olevan ajan puitteissa; viimeiset 5 minuuttia — varmistakaa, ettei yhtään kysymystä ole jätetty vastaamatta (CompTIA-kokeissa vääristä vastauksista ei rangaista, joten vastatkaa aina jokaiseen kysymykseen). Harjoituskokeet tiukalla aikarajalla kehittävät ajantajua, jota tarvitsette pysyäksenne aikataulussa varsinaisessa kokeessa.

Tässä oppitunnissa opitte, että PBQ-tehtävissä testataan käytännön taitoja, kuten palomuurisääntöjen määrittämistä, verkkokaavioiden analysointia, lokien tulkitsemista ja prosessien oikean järjestyksen tuntemista — ne ovat kokeen alussa, mutta ne kannattaa aluksi ohittaa; PBQ-tehtävistä saa osapisteitä, joten yrittäkää ratkaista ne jäljellä olevalla ajalla sen sijaan, että jättäisitte ne tyhjiksi; lisäksi säännöllinen harjoittelu PBQ-simulaattoreilla on tehokkain valmistautumistapa, koska simulaation käyttöliittymän tuttuus vähentää jännitystä ja parantaa suoriutumista koepäivänä. Seuraavaksi kertaamme aiheet, joita Security+-kokeessa esiintyy useimmin.