Strategia rozwiązywania pytań praktycznych (PBQ)

Performance-Based Questions (PBQ) to interaktywne pytania symulacyjne, które wymagają wykazania się umiejętnościami praktycznymi w środowisku wirtualnym, zamiast jedynie wybrania najlepszej odpowiedzi spośród czterech odpowiedzi tekstowych. CompTIA wprowadziła PBQ, aby zniwelować różnicę między znajomością faktów a umiejętnością ich zastosowania — technik, który rzeczywiście rozumie zasady zapory, powinien potrafić ją skonfigurować, a nie tylko opisać jej działanie. PBQ wpływają na wynik tak samo jak pytania wielokrotnego wyboru i są warte tyle samo punktów. Pojawiają się na początku egzaminu SY0-701 i zwykle zajmują więcej czasu niż pytania wielokrotnego wyboru.

Egzamin Security+ obejmuje kilka różnych formatów PBQ: konfiguracja reguł zapory — na podstawie diagramu sieci i wymagań należy dodać reguły ACL zezwalające na określony ruch lub go blokujące; opisywanie diagramu sieci — należy umieścić zaporę, IDS, DMZ i inne elementy we właściwych miejscach na diagramie sieci; analiza logów — należy przeanalizować dostarczone fragmenty logów (syslog, dziennik zdarzeń systemu Windows, log dostępu do serwera WWW) i rozpoznać typy ataków lub odpowiedzieć na konkretne pytania; ustalanie kolejności metodą przeciągnij i upuść — należy ułożyć fazy reagowania na incydent, kroki analizy śledczej lub elementy PKI we właściwej kolejności; oraz dopasowywanie — należy połączyć typy ataków z opisami albo narzędzia z ich funkcjami.

Najważniejsza strategia zarządzania czasem: nie należy utknąć na PBQ na początku egzaminu. PBQ pojawiają się jako pierwsze i mogą zająć po 5–10 minut, jeśli nie mają Państwo pewności co do odpowiedzi. Zalecane podejście to oznaczyć każde PBQ i od razu je pominąć, a następnie najpierw rozwiązać wszystkie pytania wielokrotnego wyboru. Zwykle mają Państwo większą pewność przy pytaniach wielokrotnego wyboru, a udzielenie na nie odpowiedzi może nawet przypomnieć szczegóły potrzebne do rozwiązania PBQ. Do PBQ należy wrócić po ukończeniu wszystkich pytań wielokrotnego wyboru. Przy 90 minutach na maksymalnie 90 pytań, czyli średnio jednej minucie na pytanie, pozostaje wystarczająco dużo czasu na ponowne zajęcie się PBQ.

PBQ dotyczące zapory zwykle zawierają diagram sieci z kilkoma strefami (internet, DMZ, wewnętrzna sieć LAN) oraz listę wymagań: „Zezwól na HTTP/HTTPS z internetu do serwera WWW w DMZ; zablokuj bezpośredni dostęp z internetu do serwerów wewnętrznych; zezwól na zapytania DNS z sieci wewnętrznej do zewnętrznego serwera”. Należy dodać reguły we właściwej kolejności (reguły zapory są przetwarzane od góry do dołu, a zastosowanie ma pierwsza pasująca reguła). Najważniejsze zagadnienia: niejawna reguła odmowy na końcu każdego zestawu reguł; inspekcja stanowa, która automatycznie zezwala na ruch powrotny; popularne porty (80=HTTP, 443=HTTPS, 22=SSH, 25=SMTP, 53=DNS, 3389=RDP). Warto ćwiczyć czytanie tabel reguł zawierających źródło, miejsce docelowe, port i działanie.

PBQ z analizy logów zawierają fragmenty pochodzące z różnych źródeł i wymagają ustalenia, co się wydarzyło. W przypadku logów serwera WWW należy szukać wzorców wstrzyknięcia SQL (' OR '1'='1, UNION SELECT), XSS (<script> w ciągach zapytań) lub przechodzenia przez katalogi (../../../etc/passwd). W przypadku logów zdarzeń systemu Windows: identyfikator zdarzenia 4625 oznacza nieudaną próbę logowania, 4740 — blokadę konta, 4624 — udane logowanie, a 4672 — specjalne uprawnienia. Wiele zdarzeń 4625, po których następuje 4624, wskazuje na skuteczne przeprowadzenie ataku brute force. W przypadku przechwyconego ruchu sieciowego należy szukać zalewania SYN (wiele pakietów SYN bez odpowiedzi SYN-ACK), skanowania portów (kolejne numery portów z jednego adresu IP) oraz zalewania ICMP.

PBQ z diagramu sieci sprawdzają znajomość architektury stref bezpieczeństwa. Najważniejsze zasady prawidłowego rozmieszczania elementów: DMZ (strefa zdemilitaryzowana) znajduje się między dwiema zaporami (zewnętrzną, po stronie internetu, i wewnętrzną) oraz zawiera publicznie dostępne serwery (WWW, poczty elektronicznej, DNS); zapora po stronie internetu znajduje się na obrzeżu sieci i jest bezpośrednio połączona z łączem ISP; czujniki IDS/IPS umieszcza się w segmentach sieci, w których mogą obserwować ruch (IDS pasywnie kopiuje ruch, a IPS działa inline); serwery proxy znajdują się między użytkownikami wewnętrznymi a internetem; natomiast SIEM zbiera logi ze wszystkich elementów. Należy unikać umieszczania wewnętrznych baz danych w DMZ — powinny znajdować się w zaufanej strefie wewnętrznej.

PBQ metodą przeciągnij i upuść sprawdzają znajomość uporządkowanych procesów i przyporządkowywania pojęć. Należy opanować następujące kolejności: fazy reagowania na incydent — przygotowanie, wykrywanie i analiza, ograniczenie skutków, eliminacja, przywracanie działania, przegląd po incydencie (NIST SP 800-61); fazy testu penetracyjnego — rozpoznanie, skanowanie/wyliczanie, wykorzystanie podatności, działania po uzyskaniu dostępu/ruch boczny, raportowanie; kolejność ulotności dowodów cyfrowych — rejestry/pamięć podręczna CPU, RAM, plik wymiany/stronicowania, uruchomione procesy, połączenia sieciowe, obraz dysku, zdalne logi (od najbardziej ulotnych); kroki zarządzania ryzykiem — identyfikacja, ocena, reagowanie/postępowanie, monitorowanie. Te kolejności są często sprawdzane w formacie przeciągnij i upuść.

Za PBQ w egzaminie CompTIA Security+ przyznawane są częściowe punkty — nie trzeba perfekcyjnie wykonać każdego elementu PBQ, aby otrzymać punkty. Oznacza to, że nawet jeśli nie mają Państwo pewności co do jednego aspektu konfiguracji zapory, należy poprawnie wykonać znane sobie części, a w niepewnych zgadywać zamiast pozostawiać je puste. Nie należy pomijać PBQ ani pozostawiać ich całkowicie bez odpowiedzi — niekompletne PBQ otrzymują mniej punktów lub nie otrzymują ich wcale, podczas gdy częściowo poprawna próba daje częściowe punkty. Jeśli PBQ wymaga skonfigurowania 5 reguł zapory, a poprawnie skonfigurują Państwo 3, otrzymają Państwo około 60% punktów dostępnych za to pytanie.

Ćwiczenie PBQ wymaga symulacji praktycznych, których nie zapewnia nauka wyłącznie z materiałów tekstowych. Zasoby pomocne w przygotowaniu do PBQ: CompTIA CertMaster Practice — oficjalna platforma ćwiczeniowa z realistycznymi symulacjami PBQ; kurs Jasona Diona na Udemy — zawiera realistyczne symulacje laboratoryjne i omówienia PBQ; laboratoria do ćwiczenia PBQ Professor Messer — niedrogie omówienia w formacie PDF; darmowe PBQ Dion Training — bezpłatne, działające w przeglądarce symulatory PBQ dotyczące zapór i diagramów sieci; oraz ćwiczenia w domowym laboratorium z użyciem pfSense (bezpłatnej zapory o otwartym kodzie źródłowym) do praktycznej nauki konfiguracji reguł. Najskuteczniejszym sposobem przygotowania do PBQ jest wielokrotne rozwiązywanie ćwiczeniowych PBQ, aż interfejs i typy zadań staną się znajome.

W przypadku PBQ, przy którym nie mają Państwo pewności: należy zastosować metodę eliminacji — nawet w symulacjach niektóre odpowiedzi są wyraźnie błędne; należy stosować podstawowe zasady — zasada najmniejszych uprawnień, defense in depth i niejawna reguła odmowy mają zastosowanie uniwersalne i pomagają wskazać poprawne odpowiedzi, nawet jeśli nie znają Państwo konkretnej reguły; należy uważnie przeczytać scenariusz — scenariusze PBQ zawierają wszystkie informacje potrzebne do udzielenia poprawnej odpowiedzi, a przeoczenie szczegółów scenariusza jest najczęstszym błędem przy PBQ; nie należy nadmiernie analizować problemu — PBQ sprawdzają wiedzę praktyczną, a nie rzadkie przypadki brzegowe. Poprawna odpowiedź zwykle wynika z najbardziej oczywistego zastosowania zasady bezpieczeństwa opisanej w scenariuszu.

Przy 90 minutach i maksymalnie 90 pytaniach właściwy podział czasu ma kluczowe znaczenie. Zalecana strategia: Podejście 1 (0–45 min) — odpowiedzieć na wszystkie pytania wielokrotnego wyboru, co do których mają Państwo pewność (pominąć niepewne); Podejście 2 (45–70 min) — wrócić do oznaczonych pytań wielokrotnego wyboru i zastosować eliminację; Podejście 3 (70–85 min) — rozwiązać wszystkie PBQ w pozostałym czasie; ostatnie 5 minut — upewnić się, że na żadne pytanie nie pozostawiono pustej odpowiedzi (na egzaminach CompTIA nie ma kary za błędne odpowiedzi, dlatego zawsze należy odpowiedzieć na każde pytanie). Egzaminy próbne rozwiązywane z użyciem ścisłego limitu czasu pomagają wyrobić świadomość upływu czasu potrzebną do utrzymania właściwego tempa podczas prawdziwego egzaminu.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo: PBQ sprawdzają umiejętności praktyczne, w tym konfigurację reguł zapory, analizę diagramów sieci, interpretację logów i znajomość uporządkowanych procesów — pojawiają się jako pierwsze, ale początkowo należy je pominąć, za PBQ przyznawane są częściowe punkty, dlatego przy pozostałym czasie należy zawsze je rozwiązywać, zamiast pozostawiać je puste, a także że regularne ćwiczenia z symulatorami PBQ są najskuteczniejszym przygotowaniem, ponieważ znajomość interfejsu symulacji zmniejsza stres i poprawia wyniki w dniu egzaminu. W następnej części omówimy tematy pojawiające się najczęściej na egzaminie Security+.