Повторение часто встречающихся тем экзамена

Криптография — одна из наиболее часто проверяемых областей на экзамене Security+. Освойте следующие сравнения: симметричное и асимметричное шифрование — симметричное (AES, 3DES) работает быстрее и используется для шифрования больших объёмов данных; асимметричное (RSA, ECC) работает медленнее, но решает проблему распространения ключей (используется для обмена ключами и создания подписей). Размеры ключей, которые необходимо знать: RSA-2048 — минимальный размер для современного уровня безопасности, AES-128 или AES-256 — для симметричного шифрования. Распространённые алгоритмы: SHA-256/SHA-3 для хеширования, HMAC для аутентификации сообщений, ECDHE для обмена ключами, AES-GCM для аутентифицированного шифрования. Вопросы часто требуют выбрать правильный алгоритм для конкретного сценария — знайте, какой класс алгоритмов (симметричный, асимметричный, хеширование или MAC) подходит для каждой ситуации.

Вопросы по PKI встречаются часто и нередко основаны на сценариях. Точно знайте назначение следующих ролей: корневая CA — верхний уровень иерархии доверия, самоподписанный сертификат, обычно хранится в автономном режиме; промежуточная/подчинённая CA — подписывает сертификаты конечных сущностей, работает онлайн и позволяет корневой CA оставаться в автономном режиме; регистрационный центр (RA) — проверяет личность пользователя до того, как CA выдаёт сертификат (может быть отдельным от CA); CRL (список отозванных сертификатов) — периодически публикуемый список отозванных сертификатов; OCSP (протокол проверки состояния сертификата онлайн) — проверка отзыва в реальном времени; OCSP Stapling — сервер заранее получает ответ OCSP и прикрепляет его к рукопожатию TLS, уменьшая задержку. Поля сертификата: субъект, издатель, период действия, открытый ключ, SAN (альтернативные имена субъекта), расширения.

Вопросы о моделях управления доступом встречаются в сценариях — необходимо определить, какая модель используется или рекомендуется. DAC (дискреционное управление доступом) — владелец ресурса управляет доступом (разрешения Windows NTFS, разрешения на файлы в Linux); модель гибкая, но зависит от решений пользователя. MAC (мандатное управление доступом) — система управляет доступом на основе меток (Совершенно секретно/Секретно/Конфиденциально); используется в государственных и военных системах; пользователи не могут изменять разрешения. RBAC (управление доступом на основе ролей) — доступ предоставляется на основании членства в ролях; наиболее распространённая модель в корпоративной среде, хорошо масштабируется. ABAC (управление доступом на основе атрибутов) — доступ определяется атрибутами пользователя, ресурса и среды; наиболее гибкая модель, используется в облачном IAM. управление доступом на основе правил — доступ определяется правилами (списки управления доступом брандмауэров, ограничения по времени суток).

Жизненный цикл реагирования на инциденты NIST SP 800-61 — гарантированная тема экзамена. Четыре этапа и их основные действия: подготовка — план IR, сценарии действий, формирование CSIRT, развёртывание инструментов, учебные штабные учения; обнаружение и анализ — сортировка оповещений, выявление индикаторов компрометации, определение масштаба, классификация серьёзности, сохранение доказательств; сдерживание, устранение и восстановление — изоляция сети, блокировка учётных записей, удаление вредоносного ПО, восстановление систем из чистых резервных копий, мониторинг повторного заражения; действия после инцидента — разбор без поиска виноватых, анализ первопричины, документирование извлечённых уроков, улучшение процессов. Вопросы часто проверяют, к какому этапу относится определённое действие или в каком порядке выполняются этапы.

Научитесь распознавать следующие атаки по описаниям сценариев: DoS/DDoS — перегрузка цели, лишающая легитимных пользователей доступа; SYN Flood — DDoS-атака с отправкой множества пакетов SYN без завершения рукопожатия, из-за чего таблица соединений сервера исчерпывается; Smurf Attack — усиленная ICMP-атака с использованием широковещательного адреса; отравление ARP — отправка поддельных ответов ARP для перенаправления трафика через злоумышленника (позволяет выполнить MITM); отравление DNS — внедрение ложных записей DNS для перенаправления пользователей на вредоносные сайты; VLAN Hopping — атака на сегментацию сети с помощью двойной маркировки 802.1Q или поддельного согласования транка; Replay Attack — перехват и повторная передача действующего сеанса аутентификации; MITM — злоумышленник перехватывает и при необходимости изменяет трафик между двумя сторонами.

Для решения вопросов по расчёту риска необходимо точно знать количественные формулы: SLE (ожидаемый единичный ущерб) = стоимость Asset × коэффициент Exposure (EF). Пример: сервер стоимостью 100 000 долларов с ожидаемым ущербом 40% за один инцидент даёт SLE, равный 40 000 долларов. ARO (годовая частота возникновения) = количество возникновений угрозы в год. ALE (ожидаемый годовой ущерб) = SLE × ARO. Пример: SLE 40 000 долларов × ARO 0,5 = ALE 20 000 долларов в год. ROI средства управления = (ALE до внедрения средства управления) − (ALE после внедрения средства управления) − (годовая стоимость средства управления). Если ежегодная стоимость средства управления превышает уменьшение ALE, оно экономически неэффективно. Эти формулы отличают количественный анализ риска (объективные числа) от качественного (оценки «высокий/средний/низкий»).

Вопросы о протоколах аутентификации основаны на сценариях — необходимо выбрать подходящий протокол для конкретной ситуации: RADIUS — аутентификация доступа к сети (VPN, Wi-Fi 802.1X); использует UDP; шифрует только пароль; распространён в корпоративных беспроводных сетях; TACACS+ — разработанная Cisco альтернатива; использует TCP; шифрует всю полезную нагрузку; предпочтителен для администрирования сетевых устройств (маршрутизаторов и коммутаторов); SAML — стандарт SSO на основе XML для веб-приложений между IdP и SP; часто используется для корпоративного SSO в облачные SaaS-сервисы; OAuth 2.0 — инфраструктура авторизации (не аутентификации) для делегированного доступа; именно её использует Facebook при выборе варианта «Войти через Facebook»; OpenID Connect (OIDC) — уровень аутентификации поверх OAuth 2.0; добавляет идентификационный токен (JWT) к токену доступа OAuth.

Классификация средств управления — частая тема экзамена. Средства управления классифицируются по двум измерениям: тип (по способу реализации): технические (брандмауэры, шифрование, MFA), административные/управленческие (политики, процедуры, обучение, проверка биографических данных), физические/операционные (замки, охрана, камеры, ограждения). Категория (по функции): превентивные (предотвращают инцидент — брандмауэр, доступ по пропуску), детективные (выявляют произошедший или происходящий инцидент — IDS, журналы аудита, CCTV), корректирующие (уменьшают последствия после инцидента — резервные копии, управление исправлениями), сдерживающие (отпугивают злоумышленников — предупреждающие знаки, камеры безопасности), компенсирующие (альтернативное средство управления, когда основное невозможно реализовать — физическая изоляция вместо шифрования для устаревшей системы).

Вопросы по безопасности беспроводных сетей сравнивают поколения протоколов: WEP — взломан, никогда не используйте; RC4 со статическим ключом и слабым вектором инициализации; взламывается за считанные минуты; WPA2-Personal (PSK) — использует CCMP/AES; безопасен, но общий ключ уязвим для перебора, если он слабый; атака KRACK обходит WPA2 (уязвимость устранена исправлением); WPA2-Enterprise — 802.1X с RADIUS; отдельная аутентификация каждого пользователя; общий ключ не используется; наиболее безопасен для организаций; WPA3-Personal — SAE (одновременная аутентификация равных) заменяет PSK; обеспечивает прямую секретность и устойчив к словарным атакам в автономном режиме; WPA3-Enterprise — добавляет режим безопасности с ключом 192 бита, AES-256 и HMAC-SHA384. Для экзамена: знайте, какую версию рекомендовать для домашней сети, малого бизнеса и корпоративной среды.

Порядок убывания изменчивости данных определяет последовательность сбора доказательств: сначала необходимо сохранить наиболее быстро исчезающие данные. От наиболее до наименее изменчивых: 1. регистры и кэш CPU (время жизни — наносекунды); 2. RAM и выполняющиеся процессы (время жизни — минуты; потеря питания уничтожает их); 3. сетевые соединения и кэш ARP (постоянно изменяются); 4. файл подкачки (отражает недавнее содержимое RAM); 5. образы дисков (сохраняются длительно, но могут быть изменены); 6. удалённые журналы и данные мониторинга (хранятся вне узла и наиболее долговечны); 7. архивные носители (ленты, резервные диски — наименее изменчивы). Специалисты по компьютерной криминалистике собирают доказательства начиная с верхней части этого списка: RAM всегда собирают до создания образа диска.

Модель совместной ответственности проверяется в сценариях с разными моделями обслуживания. В IaaS (инфраструктура как услуга — EC2, Azure VM) поставщик защищает физический центр обработки данных и гипервизор, а клиент — OS, приложения, данные, конфигурацию сети и идентификацию. В PaaS (платформа как услуга — Heroku, RDS) поставщик дополнительно отвечает за OS и промежуточное ПО, а клиент — за код приложения, данные и управление доступом. В SaaS (программное обеспечение как услуга — Microsoft 365, Salesforce) поставщик защищает всё, кроме содержимого данных, управления доступом и соблюдения нормативных требований. Правило таково: чем выше уровень абстракции сервиса, тем больше ответственности за безопасность переходит к поставщику, однако данные и идентификация всегда остаются ответственностью клиента во всех моделях.

В этом уроке Вы повторили: выбор криптографических алгоритмов (симметричные алгоритмы для больших объёмов данных, асимметричные — для обмена ключами и подписей, AEAD — для аутентифицированного шифрования), формулы расчёта риска (SLE = AV × EF, ALE = SLE × ARO), которые отличают количественный анализ от качественного, а также типы и категории средств управления (технические/административные/физические в сочетании с превентивными/детективными/корректирующими/сдерживающими/компенсирующими). Эти часто встречающиеся темы охватываются множеством экзаменационных вопросов в разных контекстах. Далее Вы изучите управление временем и стратегии исключения ответов, которые помогут набрать максимальный балл на экзамене.