Ulang Kaji Topik Peperiksaan Kekerapan Tinggi

Soalan tentang model kawalan akses muncul dalam senario — anda mesti mengenal pasti model yang sedang digunakan atau disyorkan. DAC (Kawalan Akses Budi Bicara) — pemilik sumber mengawal akses (kebenaran NTFS Windows, kebenaran fail Linux); fleksibel tetapi bergantung pada pertimbangan pengguna. MAC (Kawalan Akses Mandatori) — sistem menguatkuasakan akses berdasarkan label (Rahsia Besar/Rahsia/Sulit); digunakan dalam sistem kerajaan dan ketenteraan; pengguna tidak boleh mengubah kebenaran. RBAC (Kawalan Akses Berasaskan Peranan) — akses diberikan berdasarkan keahlian peranan; paling biasa dalam perusahaan dan mudah diskalakan. ABAC (Kawalan Akses Berasaskan Atribut) — akses berdasarkan atribut pengguna, sumber dan persekitaran; paling fleksibel dan digunakan dalam IAM awan. Rule-Based AC — akses ditentukan oleh peraturan (ACL tembok api, sekatan berdasarkan waktu).

Kitar hayat Tindak Balas Insiden NIST SP 800-61 ialah topik peperiksaan yang pasti ditanya. Empat fasa dan aktiviti utamanya: Persediaan — pelan IR, buku panduan operasi, pembentukan CSIRT, penggunaan alat dan latihan simulasi; Pengesanan dan Analisis — pengutamaan amaran, pengenalpastian IoC, penentuan skop, pengelasan tahap keterukan dan pemeliharaan bukti; Pembendungan, Penghapusan dan Pemulihan — pengasingan rangkaian, penguncian akaun, penyingkiran perisian hasad, pemulihan sistem daripada sandaran bersih dan pemantauan bagi mengesan jangkitan semula; Aktiviti Selepas Insiden — bedah siasat tanpa menyalahkan sesiapa, analisis punca akar, dokumentasi pengajaran yang diperoleh dan penambahbaikan proses. Soalan sering bertanya fasa yang sepadan dengan sesuatu aktiviti atau urutan berlakunya fasa.

Kenal pasti serangan ini berdasarkan huraian senario: DoS/DDoS — membebankan sasaran sehingga akses sah dinafikan; SYN Flood — DDoS dengan menghantar banyak paket SYN tanpa melengkapkan jabat tangan, lalu memenuhi jadual sambungan pelayan; Smurf Attack — banjir ICMP yang diperkuat menggunakan alamat siaran; ARP Poisoning — menghantar respons ARP palsu untuk mengubah hala trafik melalui penyerang (membolehkan MITM); DNS Poisoning — menyuntik rekod DNS palsu untuk mengubah hala pengguna ke tapak berniat jahat; VLAN Hopping — menyerang pengasingan rangkaian melalui pengetagan berganda 802.1Q atau rundingan batang palsu; Replay Attack — menangkap dan menghantar semula sesi pengesahan yang sah; MITM — penyerang memintas dan, jika perlu, mengubah trafik antara dua pihak.

Soalan pengiraan risiko memerlukan pengetahuan tepat tentang formula risiko kuantitatif: SLE (Jangkaan Kerugian Tunggal) = Nilai Asset × Faktor Exposure (EF). Contoh: pelayan bernilai $100,000 dengan jangkaan kerugian 40% bagi setiap insiden menghasilkan SLE sebanyak $40,000. ARO (Kadar Kejadian Tahunan) = bilangan kali ancaman berlaku setiap tahun. ALE (Jangkaan Kerugian Tahunan) = SLE × ARO. Contoh: SLE $40,000 × ARO 0.5 = ALE $20,000/tahun. ROI bagi satu Control = (ALE sebelum Control) − (ALE selepas Control) − (Kos Tahunan Control). Jika kos tahunan Control melebihi pengurangan ALE, Control itu tidak menjimatkan kos. Formula ini membezakan analisis risiko kuantitatif (nombor objektif) daripada kualitatif (penarafan Tinggi/Sederhana/Rendah).

Soalan protokol pengesahan adalah berasaskan senario — anda mengenal pasti protokol yang betul untuk sesuatu keadaan: RADIUS — pengesahan akses rangkaian (VPN, Wi-Fi 802.1X); menggunakan UDP; hanya menyulitkan kata laluan; biasa digunakan dalam rangkaian wayarles perusahaan; TACACS+ — alternatif yang dibangunkan oleh Cisco; menggunakan TCP; menyulitkan keseluruhan muatan; lebih disukai untuk pentadbiran peranti (penghala/suis); SAML — standard SSO berasaskan XML untuk aplikasi web antara IdP dan SP; biasa digunakan bagi SSO perusahaan ke SaaS awan; OAuth 2.0 — rangka kerja kebenaran (bukan pengesahan) untuk akses yang diwakilkan; digunakan oleh Facebook apabila anda memilih 'Log masuk dengan Facebook'; OpenID Connect (OIDC) — lapisan pengesahan yang dibina di atas OAuth 2.0; menambah token identiti (JWT) pada token akses OAuth.

Pengelasan Control ialah topik peperiksaan yang kerap ditanya. Control dikelaskan berdasarkan dua dimensi: Jenis (mengikut pelaksanaan): Teknikal (tembok api, penyulitan, MFA), Pentadbiran/Pengurusan (dasar, tatacara, latihan, semakan latar belakang), Fizikal/Operasi (kunci, pengawal, kamera, pagar). Kategori (mengikut fungsi): Pencegahan (menghalang insiden daripada berlaku — tembok api, akses menggunakan lencana), Pengesanan (mengenal pasti insiden yang telah berlaku atau sedang berlaku — IDS, log audit, CCTV), Pembetulan (mengurangkan kesan selepas insiden — sandaran, pengurusan tampalan), Pencegah (tidak menggalakkan serangan — papan tanda amaran, kamera keselamatan), Pampasan (Control alternatif apabila Control utama tidak boleh dilaksanakan — jurang udara sebagai ganti penyulitan untuk sistem legasi).

Soalan keselamatan wayarles membandingkan generasi protokol: WEP — telah dipecahkan, jangan sekali-kali digunakan; menggunakan RC4 dengan kunci statik dan IV lemah; boleh dipecahkan dalam beberapa minit; WPA2-Personal (PSK) — menggunakan CCMP/AES; selamat tetapi kunci dikongsi terdedah kepada serangan cuba jaya jika lemah; serangan KRACK memintas WPA2 (telah ditampal); WPA2-Enterprise — 802.1X dengan RADIUS; pengesahan individu bagi setiap pengguna; tiada kunci dikongsi; paling selamat untuk organisasi; WPA3-Personal — SAE (Pengesahan Serentak Setara) menggantikan PSK; kerahsiaan hadapan; tahan terhadap serangan kamus luar talian; WPA3-Enterprise — menambah mod keselamatan 192-bit dengan AES-256 dan HMAC-SHA384. Untuk peperiksaan: ketahui versi yang patut disyorkan bagi senario rumah, perniagaan kecil dan perusahaan.

Urutan kemeruapan menentukan urutan bukti perlu dikumpulkan supaya data yang paling mudah hilang dipelihara terlebih dahulu. Daripada paling mudah meruap kepada paling stabil: 1. Daftar CPU dan cache (jangka hayat nanosaat); 2. RAM dan proses yang sedang berjalan (jangka hayat beberapa minit — kehilangan kuasa memusnahkannya); 3. Sambungan rangkaian dan cache ARP (sentiasa berubah); 4. Fail swap/page (mencerminkan kandungan RAM terkini); 5. Imej cakera (kekal tetapi boleh diubah); 6. Data pengelogan dan pemantauan jauh (di luar tapak, paling tahan lama); 7. Media arkib (pita, cakera sandaran — paling tidak meruap). Penyiasat forensik mengumpulkan bukti bermula dari bahagian atas senarai ini — RAM sentiasa dikumpulkan sebelum pengimejan cakera.

Model tanggungjawab dikongsi diuji melalui senario model perkhidmatan. Dalam IaaS (Infrastruktur sebagai Perkhidmatan — EC2, Azure VM): penyedia melindungi pusat data fizikal dan hipervisor; pelanggan melindungi OS, aplikasi, data, konfigurasi rangkaian dan identiti. Dalam PaaS (Platform sebagai Perkhidmatan — Heroku, RDS): penyedia turut melindungi OS dan perisian tengah; pelanggan melindungi kod aplikasi, data dan pengurusan akses. Dalam SaaS (Perisian sebagai Perkhidmatan — Microsoft 365, Salesforce): penyedia melindungi segala-galanya kecuali kandungan data, pengurusan akses dan pematuhan peraturan. Peraturannya: semakin tinggi tahap abstraksi perkhidmatan, semakin banyak tanggungjawab keselamatan beralih kepada penyedia — tetapi data dan identiti sentiasa menjadi tanggungjawab pelanggan dalam semua model.

Dalam pelajaran ini, anda mengulang kaji: pemilihan algoritma kriptografi (simetri untuk data pukal, asimetri untuk pertukaran kunci/tandatangan, AEAD untuk penyulitan yang disahkan), formula pengiraan risiko (SLE = AV × EF, ALE = SLE × ARO) yang membezakan analisis kuantitatif daripada kualitatif, serta jenis dan kategori Control (teknikal/pentadbiran/fizikal digabungkan dengan pencegahan/pengesanan/pembetulan/pencegah/pampasan). Topik yang kerap muncul ini terdapat dalam pelbagai soalan peperiksaan dan konteks. Seterusnya, kita akan membincangkan pengurusan masa dan strategi menyingkirkan jawapan untuk memaksimumkan markah peperiksaan anda.