Strategia per le domande basate sulle prestazioni (PBQ)

Le domande basate sulle prestazioni (PBQ) sono domande interattive di simulazione che richiedono di dimostrare competenze pratiche in un ambiente virtuale, invece di limitarsi a scegliere la risposta migliore tra quattro opzioni testuali. CompTIA ha introdotto le PBQ per colmare il divario tra conoscere i fatti e saperli applicare: un tecnico che comprende davvero le regole di un firewall dovrebbe essere in grado di configurarlo, non soltanto di descriverne il funzionamento. Le PBQ contribuiscono al punteggio proprio come le domande a scelta multipla e valgono lo stesso numero di punti. Compaiono all'inizio dell'esame SY0-701 e in genere richiedono più tempo delle domande a scelta multipla.

L'esame Security+ comprende diversi formati di PBQ: configurazione delle regole del firewall — partendo da un diagramma di rete e da alcuni requisiti, aggiungere regole ACL per consentire o negare traffico specifico; etichette su un diagramma di rete — posizionare firewall, IDS, DMZ e altri componenti nei punti corretti di un diagramma di rete; analisi dei log — esaminare estratti di log forniti (syslog, log degli eventi di Windows, log degli accessi web) e identificare i tipi di attacco o rispondere a domande specifiche; ordinamento tramite trascinamento — disporre nella sequenza corretta le fasi della risposta agli incidenti, i passaggi forensi o i componenti della PKI; e abbinamento — collegare i tipi di attacco alle descrizioni oppure gli strumenti alle rispettive funzioni.

Una strategia fondamentale per la gestione del tempo è la seguente: non rimanga bloccato sulle PBQ all'inizio dell'esame. Le PBQ vengono presentate per prime e, in caso di incertezza, possono richiedere 5-10 minuti ciascuna. L'approccio consigliato consiste nel segnalare ogni PBQ e saltarla immediatamente, per poi completare prima tutte le domande a scelta multipla. In genere si ha maggiore sicurezza sulle domande a scelta multipla e rispondere a queste può persino aiutare a ricordare i dettagli delle PBQ. Torni alle PBQ dopo aver completato tutte le domande a scelta multipla. Con 90 minuti per un massimo di 90 domande, calcolando in media 1 minuto per domanda, rimane tempo sufficiente per riprendere le PBQ.

Le PBQ sui firewall presentano in genere un diagramma di rete con più zone (Internet, DMZ, LAN interna) e un elenco di requisiti: consentire HTTP/HTTPS da Internet al server web nella DMZ; negare l'accesso diretto da Internet ai server interni; consentire le query DNS dalla rete interna verso l'esterno. È necessario aggiungere le regole nell'ordine corretto (le regole del firewall vengono elaborate dall'alto verso il basso e prevale la prima corrispondenza). Concetti fondamentali: negazione implicita alla fine di tutti gli insiemi di regole; ispezione stateful, che consente automaticamente il traffico di risposta; porte comuni (80=HTTP, 443=HTTPS, 22=SSH, 25=SMTP, 53=DNS, 3389=RDP). Si eserciti a leggere le tabelle delle regole con origine/destinazione/porta/azione.

Le PBQ sull'analisi dei log forniscono estratti provenienti da diverse fonti e chiedono di identificare ciò che è accaduto. Nei log dei server web: cerchi schemi di SQL injection (' OR '1'='1, UNION SELECT), XSS (<script> nelle stringhe di query) o directory traversal (../../../etc/passwd). Nei log degli eventi di Windows: l'ID evento 4625 indica un accesso non riuscito, 4740 il blocco di un account, 4624 un accesso riuscito e 4672 privilegi speciali; numerosi eventi 4625 seguiti da un 4624 indicano il successo di un attacco brute force. Nelle catture di rete: cerchi SYN flood (molti SYN senza risposta SYN-ACK), scansioni delle porte (numeri di porta sequenziali provenienti da un unico IP) e ICMP flood.

Le PBQ sui diagrammi di rete verificano la comprensione dell'architettura delle zone di sicurezza. Concetti fondamentali per posizionare correttamente i componenti: la DMZ (Demilitarized Zone) si trova tra due firewall (uno rivolto verso Internet e uno verso la rete interna) e ospita server accessibili pubblicamente (web, posta elettronica, DNS); il firewall rivolto verso Internet si trova sul perimetro, collegato direttamente al collegamento ISP; i sensori IDS/IPS vengono posizionati nei segmenti di rete in cui possono osservare il traffico (l'IDS duplica il traffico in modo passivo, mentre l'IPS è inline); i server proxy si trovano tra gli utenti interni e Internet; e il SIEM raccoglie i log di tutti i componenti. Eviti di collocare i database interni nella DMZ: appartengono alla zona interna considerata attendibile.

Le PBQ con trascinamento verificano la conoscenza dei processi ordinati e la capacità di associare i concetti. Memorizzi questi ordinamenti: fasi della risposta agli incidenti — Preparazione, Rilevamento e analisi, Contenimento, Eradicazione, Recupero, Revisione post-incidente (NIST SP 800-61); fasi di un penetration test — Ricognizione, Scansione/Enumerazione, Sfruttamento, Post-sfruttamento/Movimento laterale, Reportistica; ordine di volatilità delle prove forensi — registri/cache della CPU, RAM, swap/page file, processi in esecuzione, connessioni di rete, immagine del disco, log remoti (dalla maggiore alla minore volatilità); fasi della gestione del rischio — Identificazione, Valutazione, Risposta/Trattamento, Monitoraggio. Questi ordinamenti vengono verificati frequentemente nel formato con trascinamento.

Le PBQ di CompTIA Security+ assegnano credito parziale: non è necessario completare alla perfezione ogni componente di una PBQ per ottenere punti. Ciò significa che, anche se non è sicuro di un aspetto della configurazione di un firewall, deve completare correttamente le parti che conosce e tentare di rispondere a quelle incerte invece di lasciarle vuote. Non salti né lasci completamente senza risposta le PBQ: le PBQ incomplete ricevono pochi punti o nessun punto, mentre un tentativo parzialmente corretto ottiene un credito parziale. Se una PBQ chiede di configurare 5 regole del firewall e Lei ne configura correttamente 3, riceverà circa il 60% dei punti disponibili per quella domanda.

La pratica con le PBQ richiede simulazioni pratiche che lo studio basato sul testo non può offrire. Risorse per prepararsi alle PBQ: CompTIA CertMaster Practice — la piattaforma ufficiale di esercitazione con simulazioni realistiche di PBQ; corso Udemy di Jason Dion — include simulazioni realistiche di laboratorio e spiegazioni guidate delle PBQ; laboratori di esercitazione sulle PBQ di Professor Messer — spiegazioni guidate convenienti basate su PDF; PBQ gratuite di Dion Training — simulatori gratuiti basati sul browser per PBQ su firewall e diagrammi di rete; e laboratorio domestico con pfSense (firewall gratuito e open source) per esercitarsi concretamente nella configurazione delle regole. La preparazione più efficace per le PBQ consiste nello svolgere ripetutamente esercitazioni finché l'interfaccia e i tipi di attività non risultano familiari.

Quando incontra una PBQ su cui è incerto: utilizzi il processo di eliminazione — anche nelle simulazioni, alcune risposte sono chiaramente errate; applichi i principi fondamentali — minimo privilegio, difesa in profondità e negazione implicita si applicano universalmente e guidano verso le risposte corrette anche quando non si conosce la regola specifica; legga attentamente lo scenario — gli scenari delle PBQ contengono tutte le informazioni necessarie per rispondere correttamente e trascurare i dettagli dello scenario è l'errore più comune nelle PBQ; non rifletta eccessivamente — le PBQ verificano conoscenze pratiche, non casi limite oscuri. La risposta corretta di solito deriva dall'applicazione più ovvia del principio di sicurezza descritto nello scenario.

Con 90 minuti e un massimo di 90 domande, la gestione del tempo è fondamentale. Una strategia consigliata: Primo passaggio (0-45 min) — risponda a tutte le domande a scelta multipla di cui è sicuro (salti quelle incerte); Secondo passaggio (45-70 min) — torni alle domande a scelta multipla contrassegnate e applichi il processo di eliminazione; Terzo passaggio (70-85 min) — affronti tutte le PBQ con il tempo rimanente; ultimi 5 minuti — si assicuri che non vi siano domande senza risposta (negli esami CompTIA non è prevista alcuna penalità per le risposte errate, quindi risponda sempre a ogni domanda). Esercitarsi con esami di prova a tempo stabilito sviluppa la consapevolezza necessaria per mantenere il ritmo durante l'esame reale.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: le PBQ verificano competenze pratiche, tra cui la configurazione delle regole del firewall, l'analisi dei diagrammi di rete, l'interpretazione dei log e la conoscenza dei processi ordinati; compaiono per prime, ma inizialmente dovrebbero essere saltate; alle PBQ viene assegnato credito parziale, quindi deve sempre provare a rispondere utilizzando il tempo rimanente invece di lasciarle vuote; infine, la pratica regolare con simulatori di PBQ è la preparazione più efficace, perché la familiarità con l'interfaccia di simulazione riduce l'ansia e migliora le prestazioni il giorno dell'esame. Nel prossimo modulo esamineremo gli argomenti ad alta frequenza che compaiono più spesso nell'esame Security+.