Стратегия решения вопросов на основе практических заданий (PBQ)

Вопросы, основанные на выполнении заданий (PBQ), — это интерактивные вопросы-симуляции, в которых Вам необходимо продемонстрировать практические навыки в виртуальной среде, а не просто выбрать лучший вариант из четырёх текстовых ответов. CompTIA ввела PBQ, чтобы устранить разрыв между знанием фактов и умением применять их на практике: специалист, который действительно понимает правила межсетевого экрана, должен уметь настроить его, а не только описать принцип их работы. PBQ учитываются в итоговой оценке так же, как вопросы с вариантами ответа, и приносят столько же баллов. Они появляются в начале экзамена SY0-701 и обычно требуют больше времени, чем вопросы с вариантами ответа.

На экзамене Security+ встречаются несколько различных форматов PBQ: настройка правил межсетевого экрана — по сетевой схеме и списку требований добавьте правила ACL, разрешающие или запрещающие определённый трафик; обозначение элементов на сетевой схеме — разместите межсетевой экран, IDS, DMZ и другие компоненты в правильных местах; анализ журналов — изучите предоставленные фрагменты журналов (syslog, журнал событий Windows, журнал веб-доступа) и определите типы атак или ответьте на конкретные вопросы; упорядочивание методом перетаскивания — расположите этапы реагирования на инцидент, судебные процедуры или компоненты PKI в правильной последовательности; сопоставление — свяжите типы атак с описаниями или инструменты с их функциями.

Критически важная стратегия управления временем: не застревайте на PBQ в начале экзамена. PBQ показываются первыми, и при неуверенности каждый из них может занять 5–10 минут. Рекомендуемый подход — отметить каждый PBQ и сразу пропустить его, а затем сначала решить все вопросы с вариантами ответа. Обычно такие вопросы вызывают больше уверенности, а ответы на них могут даже помочь вспомнить детали, необходимые для PBQ. Вернитесь к PBQ после выполнения всех вопросов с вариантами ответа. Если на 90 вопросов отведено 90 минут, то при среднем темпе одна минута на вопрос у Вас останется достаточно времени для повторного обращения к PBQ.

В PBQ по межсетевому экрану обычно приводятся сетевая схема с несколькими зонами (интернет, DMZ, внутренняя LAN) и список требований: «разрешить HTTP/HTTPS из интернета к веб-серверу в DMZ; запретить прямой доступ из интернета к внутренним серверам; разрешить DNS-запросы из внутренней сети во внешнюю». Вам необходимо добавить правила в правильном порядке (правила межсетевого экрана обрабатываются сверху вниз, применяется первое совпавшее правило). Важно знать: неявный запрет в нижней части каждого набора правил; проверка с отслеживанием состояния, автоматически разрешающая обратный трафик; распространённые порты (80=HTTP, 443=HTTPS, 22=SSH, 25=SMTP, 53=DNS, 3389=RDP). Потренируйтесь читать таблицы правил с полями источника, назначения, порта и действия.

В PBQ по анализу журналов приводятся фрагменты из различных источников и предлагается определить, что произошло. В журналах веб-сервера ищите шаблоны SQL-инъекций (' OR '1'='1, UNION SELECT), XSS (<script> в строках запросов) или обхода каталогов (../../../etc/passwd). В журналах событий Windows: идентификатор события 4625 означает неудачный вход, 4740 — блокировку учётной записи, 4624 — успешный вход, 4672 — специальные привилегии; несколько событий 4625, за которыми следует 4624, указывают на успешную переборную атаку. В сетевых захватах ищите SYN-флуд (много SYN без ответа SYN-ACK), сканирование портов (последовательные номера портов с одного IP) и ICMP-флуд.

PBQ по сетевой схеме проверяют Ваше понимание архитектуры зон безопасности. Основные правила правильного размещения компонентов: DMZ (демилитаризованная зона) находится между двумя межсетевыми экранами (внешним, обращённым к интернету, и внутренним) и содержит общедоступные серверы (веб-сервер, почтовый сервер, DNS); межсетевой экран на границе с интернетом располагается на периметре и напрямую подключён к линии ISP; датчики IDS/IPS размещаются в сегментах сети, где они могут видеть трафик (IDS пассивно получает зеркальную копию, IPS работает в разрыв); прокси-серверы находятся между внутренними пользователями и интернетом; SIEM собирает журналы со всех компонентов. Не размещайте внутренние базы данных в DMZ — им место в доверенной внутренней зоне.

PBQ с перетаскиванием проверяют знание последовательных процессов и умение сопоставлять понятия. Освойте следующие последовательности: этапы реагирования на инцидент — подготовка, обнаружение и анализ, локализация, устранение, восстановление, анализ после инцидента (NIST SP 800-61); этапы тестирования на проникновение — разведка, сканирование и перечисление, эксплуатация, действия после эксплуатации и горизонтальное перемещение, составление отчёта; порядок изменчивости судебных данных — регистры и кэш CPU, RAM, файл подкачки, выполняющиеся процессы, сетевые соединения, образ диска, удалённые журналы (сначала наиболее изменчивые данные); этапы управления рисками — идентификация, оценка, реагирование и обработка, мониторинг. Эти последовательности часто проверяются в формате перетаскивания.

За PBQ CompTIA Security+ начисляются частичные баллы — для получения баллов необязательно идеально выполнить все компоненты PBQ. Поэтому, даже если Вы не уверены в одном элементе настройки межсетевого экрана, правильно выполните известные Вам части, а в сомнительных сделайте предположение, вместо того чтобы оставлять их пустыми. Не пропускайте PBQ полностью и не оставляйте их без ответа — незавершённые PBQ приносят меньше баллов или не приносят их вовсе, тогда как частично правильная попытка даёт частичные баллы. Если в PBQ требуется настроить 5 правил межсетевого экрана и 3 из них настроены правильно, Вы получите примерно 60% доступных за этот вопрос баллов.

Подготовка к PBQ требует практической симуляции, которой не дают учебные материалы только с текстом. Ресурсы для подготовки к PBQ: CompTIA CertMaster Practice — официальная платформа для практики с реалистичными симуляциями PBQ; курс Jason Dion на Udemy — включает реалистичные лабораторные симуляции и разборы PBQ; практические лаборатории Professor Messer по PBQ — доступные пошаговые материалы в формате PDF; бесплатные PBQ Dion Training — браузерные симуляторы PBQ по межсетевым экранам и сетевым схемам; домашняя лаборатория на базе pfSense (бесплатного межсетевого экрана с открытым исходным кодом) для практической настройки правил. Самая эффективная подготовка к PBQ — многократно решать тренировочные PBQ, пока интерфейс и типы заданий не станут привычными.

Если Вы столкнулись с PBQ и не уверены в ответе: используйте метод исключения — даже в симуляциях некоторые ответы явно неверны; применяйте основные принципы — минимальные привилегии, эшелонированная защита и неявный запрет универсальны и помогают выбрать правильный ответ, даже если Вы не знаете конкретное правило; внимательно читайте сценарий — сценарии PBQ содержат всю необходимую информацию, а упущенные детали — самая распространённая ошибка в PBQ; не усложняйте — PBQ проверяют практические знания, а не редкие исключительные случаи. Правильный ответ обычно является наиболее очевидным применением описанного в сценарии принципа безопасности.

При наличии 90 минут и до 90 вопросов крайне важно правильно распределить время. Рекомендуемая стратегия: первый проход (0–45 мин) — ответьте на все вопросы с вариантами ответа, в которых уверены (сомнительные пропустите); второй проход (45–70 мин) — вернитесь к отмеченным вопросам с вариантами ответа и примените метод исключения; третий проход (70–85 мин) — решите все PBQ за оставшееся время; последние 5 минут — убедитесь, что ни один вопрос не остался без ответа (в экзаменах CompTIA штрафа за неправильные ответы нет, поэтому отвечайте на каждый вопрос). Пробные экзамены со строгим ограничением времени помогают развить чувство темпа, необходимое для успешной сдачи настоящего экзамена.

Проверьте, насколько хорошо Вы усвоили понятия CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что PBQ проверяют практические навыки, включая настройку правил межсетевого экрана, анализ сетевых схем, интерпретацию журналов и знание последовательностей процессов; они появляются первыми, но сначала их следует пропустить; за PBQ начисляются частичные баллы, поэтому всегда пытайтесь решить их в оставшееся время, а не оставляйте пустыми; регулярная практика с симуляторами PBQ — наиболее эффективный способ подготовки, поскольку знакомство с интерфейсом симуляции снижает тревожность и повышает результативность в день экзамена. Далее мы рассмотрим часто встречающиеся темы, которые наиболее регулярно появляются на экзамене Security+.