ข้อสอบจำลองชุดที่ 1: แนวคิดความปลอดภัยทั่วไปและภัยคุกคาม

ยินดีต้อนรับสู่การสอบจำลองส่วนที่ 1 ซึ่งครอบคลุมหมวดที่ 1 และ 2 ของ Security+: แนวคิดความปลอดภัยทั่วไป (12%) และภัยคุกคาม ช่องโหว่ และมาตรการบรรเทา (22%) รวมกันคิดเป็น 34% ของคะแนนสอบของคุณ แต่ละฉากจะนำเสนอคำถาม ตามด้วยคำตอบที่ถูกต้องและคำอธิบายโดยละเอียดว่าเหตุใดตัวเลือกอื่นจึงผิด เพื่อให้ได้รับประโยชน์สูงสุด: อ่านคำถาม คิดคำตอบของตนเอง แล้วจึงอ่านคำอธิบาย จดหัวข้อของคำถามที่ตอบผิดไว้ — วิธีนี้จะช่วยระบุส่วนที่อ่อนและให้คุณทบทวนขั้นสุดท้ายได้ตรงจุด หมวดที่ 1 และ 2 รวมกันมีประมาณ 30 ข้อในการสอบจริง

ข้อ 1 — กลุ่มหลัก CIA: องค์กรเข้ารหัสข้อมูลลูกค้าก่อนจัดเก็บ หลักการใดของ CIA ที่ได้รับการจัดการเป็นหลัก คำตอบ: Confidentiality — การเข้ารหัสป้องกันการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต ส่วน Integrity จัดการด้วยการแฮช และ Availability จัดการด้วยความซ้ำซ้อน

ข้อ 2 — ปัจจัยการยืนยันตัวตน: ธนาคารกำหนดให้ใช้ PIN และการสแกนลายนิ้วมือ ใช้ปัจจัยใดบ้าง คำตอบ: สิ่งที่คุณรู้ (PIN) + สิ่งที่เป็นตัวคุณ (ลายนิ้วมือ/ข้อมูลชีวมิติ) ปัจจัยทั้งสามคือ Know / Have / Are การใช้ปัจจัยประเภทเดียวกันสองอย่าง (เช่น รหัสผ่านสองชุด) เรียกว่าการยืนยันสองขั้นตอน ไม่ใช่ MFA อย่างแท้จริง ตำแหน่งทางภูมิศาสตร์เพิ่มปัจจัยที่สี่คือ Somewhere you are

ข้อ 3 — Credential Stuffing: พบการเข้าสู่ระบบล้มเหลว 10,000 ครั้ง โดยใช้คู่ชื่อผู้ใช้/รหัสผ่านจากการรั่วไหลครั้งก่อนของบริษัทอื่น คำตอบ: Credential stuffing — นำคู่ข้อมูลจากการรั่วไหลมาลองใช้กับบริการอื่น โดยอาศัยการใช้รหัสผ่านซ้ำ Brute force จะลองชุดค่าผสมทั้งหมด Password spraying จะลองรหัสผ่านเดียวกับหลายบัญชี และการโจมตีแบบพจนานุกรมจะลองรายการคำ

ข้อ 4 — การจำแนกมัลแวร์: มัลแวร์แพร่จากเครื่องหนึ่งไปยังอีกเครื่องหนึ่งโดยไม่ต้องมีผู้ใช้ดำเนินการ ผ่านช่องโหว่ของตัวจัดคิวงานพิมพ์ คำตอบ: Worm — จำลองตัวเองข้ามเครือข่ายได้โดยอัตโนมัติ Virus ต้องอาศัยไฟล์เจ้าบ้านและการกระทำของผู้ใช้ Trojan ไม่สามารถจำลองตัวเองได้ Ransomware เป็นประเภทเพย์โหลด ไม่ใช่กลไกการแพร่กระจาย

ข้อ 5 — Pretexting/Vishing: ผู้โจมตีโทรศัพท์โดยอ้างว่าเป็นฝ่ายช่วยเหลือด้าน IT สร้างความเร่งด่วนเกี่ยวกับบัญชีที่ถูกบุกรุก และพนักงานมอบรหัสผ่านให้ คำตอบ: Pretexting ผ่าน vishing — สร้างสถานการณ์เท็จแล้วนำเสนอทางโทรศัพท์ โดยใช้ความเร่งด่วนและอำนาจหน้าที่เป็นเครื่องมือโน้มน้าว

ข้อ 6 — การจัดเก็บรหัสผ่าน: นักพัฒนาต้องจัดเก็บรหัสผ่านในลักษณะที่ไม่สามารถกู้คืนได้หากฐานข้อมูลถูกขโมย คำตอบ: แฮชด้วย Argon2id + salt ที่ไม่ซ้ำกันสำหรับผู้ใช้แต่ละราย การเข้ารหัส AES สามารถย้อนกลับได้ (หากขโมยกุญแจได้ก็จะเปิดเผยรหัสผ่านทั้งหมด) SHA-256 เปล่า ๆ เร็วเกินไปสำหรับการจัดเก็บรหัสผ่าน ส่วน HMAC ต้องใช้กุญแจลับ แต่ก็ยังช้าไม่เพียงพอ

ข้อ 7 — Hacktivist: ผู้โจมตีเปลี่ยนหน้าเว็บไซต์ของบริษัทเป็นข้อความทางการเมืองที่คัดค้านนโยบายด้านสิ่งแวดล้อมของบริษัท คำตอบ: Hacktivist — มีแรงจูงใจจากอุดมการณ์หรือประเด็นทางการเมือง อาชญากรไซเบอร์มีแรงจูงใจทางการเงิน รัฐชาติอาศัยเป้าหมายเชิงยุทธศาสตร์ และ script kiddies ต้องการชื่อเสียง

ข้อ 8 — การควบคุมเพื่อยับยั้ง: ติดตั้งกล้องรักษาความปลอดภัยในจุดที่มองเห็นได้ชัด พร้อมป้าย 'Under 24-Hour Surveillance' คำตอบ: การควบคุมเพื่อยับยั้ง — กล้องที่มองเห็นได้พร้อมป้ายมีจุดประสงค์หลักเพื่อทำให้ผู้โจมตีไม่กล้าลงมือ กล้องยังเป็นการควบคุมเพื่อการตรวจจับได้ด้วย (เมื่อใช้บันทึกภาพเพื่อการสืบสวน) แต่การติดตั้งในจุดที่เห็นได้ชัดให้ความสำคัญกับการยับยั้งมากกว่าการตรวจจับ

ข้อ 9 — Whaling: CFO ได้รับอีเมลเฉพาะบุคคลที่อ้างถึงชื่อ ตำแหน่ง และการเข้าซื้อกิจการล่าสุดของเธอ พร้อมขอให้โอนเงินด่วน โดยดูเหมือนส่งมาจาก CEO คำตอบ: Whaling — ฟิชชิงแบบเจาะจงเป้าหมายสูงสำหรับผู้บริหารระดับสูง Spear phishing มุ่งเป้าไปที่บุคคลเฉพาะ แต่ไม่จำเป็นต้องเป็นผู้บริหาร BEC คือรูปแบบการฉ้อโกง (การโอนเงิน) ส่วน whaling คือเทคนิคการส่งการโจมตี

ข้อ 10 — ช่องโหว่ + ภัยคุกคาม = ความเสี่ยง: เซิร์ฟเวอร์ Apache ที่ยังไม่ได้ติดตั้งแพตช์มีบัฟเฟอร์โอเวอร์โฟลว์ที่รู้จักกันดี และมีกลุ่มผู้โจมตีกำลังใช้ช่องโหว่นี้ในภาคธุรกิจอย่างต่อเนื่อง คำตอบ: มีความเสี่ยงเกิดขึ้น เพราะมีทั้งช่องโหว่และภัยคุกคามที่จะใช้ประโยชน์จากช่องโหว่นั้นเกิดขึ้นพร้อมกัน — จึงควรจัดลำดับให้แก้ไขทันที ความเสี่ยงต้องมีองค์ประกอบทั้งสอง หากไม่มีภัยคุกคาม ช่องโหว่จะก่อให้เกิดเพียงความเสี่ยงที่อาจเกิดขึ้น

ข้อ 11 — การปฏิเสธความรับผิดชอบไม่ได้: สัญญากับผู้ขายที่ป้องกันไม่ให้คู่สัญญาปฏิเสธว่าได้ตกลงกัน คำตอบ: ลายเซ็นดิจิทัลโดยใช้การเข้ารหัสแบบอสมมาตร — มีเพียงผู้ถือคีย์ส่วนตัวเท่านั้นที่ลงลายเซ็นได้ จึงพิสูจน์ตัวตนได้ HMAC ใช้คีย์ร่วมกัน (ฝ่ายใดฝ่ายหนึ่งอาจเป็นผู้ลงลายเซ็น จึงไม่สามารถปฏิเสธความรับผิดชอบไม่ได้) การแฮชเพียงอย่างเดียวรับรองความถูกต้องครบถ้วน แต่ไม่ระบุผู้สร้าง

ข้อ 12 — DNS Tunneling: เวิร์กสเตชันส่งคำค้น DNS เป็นระยะทุก 60 วินาทีไปยังโดเมนที่มีโดเมนย่อยแบบสุ่มยาว 40 ตัวอักษร คำตอบ: การสื่อสาร C2 ผ่าน DNS tunneling — การส่งสัญญาณเป็นระยะสม่ำเสมอร่วมกับโดเมนย่อยยาวที่เข้ารหัสไว้ในระเบียน TXT หมายความว่าผู้โจมตีเข้ารหัสข้อมูลไว้ในคำค้น DNS เพื่อหลบเลี่ยงกฎไฟร์วอลล์ที่อนุญาต DNS

ข้อ 13 — Rootkit: Scanner ไม่แสดง Processes ที่ผิดปกติ แต่การตรวจสอบ Network แสดงการเชื่อมต่อ C2 ขาออก และการตรวจสอบความถูกต้องของไฟล์ไบนารีใน OS ล้มเหลว คำตอบ: Rootkit — ดักจับการเรียก API ของ OS เพื่อซ่อนตัวจากเครื่องมือความปลอดภัย การแก้ไขเคอร์เนลอธิบายสาเหตุที่การตรวจสอบความถูกต้องของไบนารีล้มเหลว

ข้อ 14 — CVSS 9.8: ช่วงคะแนน CVSS: 9.0–10.0 = ระดับวิกฤต การเรียกใช้โค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตนได้คะแนน 9.8 = ระดับวิกฤต — ติดตั้งแพตช์ภายใน 24–48 ชั่วโมง CVSS 7.0–8.9 = สูง, 4.0–6.9 = ปานกลาง, 0.1–3.9 = ต่ำ

ข้อ 15 — การโจมตีห่วงโซ่อุปทาน: ผู้โจมตีบุกรุกระบบสร้างซอฟต์แวร์ของผู้จำหน่าย และแทรกช่องทางลับไว้ในการอัปเดตที่ถูกต้อง ซึ่งแจกจ่ายให้ลูกค้า 18,000 ราย (SolarWinds SUNBURST) คำตอบ: การโจมตีห่วงโซ่อุปทาน — มุ่งเป้าไปที่ผู้จำหน่ายเพื่อเข้าถึงลูกค้าที่เชื่อถือและติดตั้งผลิตภัณฑ์ของผู้จำหน่าย

ข้อ 16 — การใช้คีย์แบบอสมมาตร: Alice ส่งข้อความให้ Bob โดยมีเพียง Bob เท่านั้นที่อ่านได้ คำตอบ: เข้ารหัสด้วยคีย์ PUBLIC ของ Bob — มีเพียงคีย์ส่วนตัวของ Bob ที่ถอดรหัสได้ ลงลายเซ็นด้วยคีย์ส่วนตัว และตรวจสอบด้วยคีย์สาธารณะ คีย์สาธารณะ = ให้ผู้อื่นใช้ในนามของคุณได้ คีย์ส่วนตัว = ใช้ส่วนบุคคลเท่านั้น

Q17 — มัลแวร์แบบไร้ไฟล์: PowerShell เรียกใช้คำสั่ง Base64 ที่เข้ารหัสไว้เพื่อดาวน์โหลดและเรียกใช้โค้ดทั้งหมดในหน่วยความจำ โดยไม่เขียนไฟล์ลงดิสก์ คำตอบ: การโจมตีแบบไร้ไฟล์/ใช้เครื่องมือที่มีอยู่ในระบบ (LotL) — ใช้เครื่องมือที่ถูกต้องตามปกติ เช่น PowerShell และ WMI เพื่อหลีกเลี่ยงลายเซ็นของโปรแกรมป้องกันไวรัสที่อาศัยไฟล์ การป้องกัน: การบันทึกบล็อกสคริปต์, AMSI และ EDR ที่วิเคราะห์พฤติกรรม

Q18 — BEC: ผู้โจมตีเฝ้าติดตามอีเมลเป็นเวลาสองสัปดาห์ จากนั้นส่งอีเมลจากโดเมนที่เลียนแบบของจริงเพื่อขอให้เปลี่ยนบัญชีธนาคารสำหรับรับชำระใบแจ้งหนี้ คำตอบ: การฉ้อโกงทางอีเมลธุรกิจ (BEC) ร่วมกับการปลอมแปลงอีเมล — การฉ้อโกงทางการเงินโดยใช้บริบทที่ได้จากการเฝ้าติดตาม การป้องกัน: ตรวจสอบผ่านช่องทางอื่นนอกอีเมล โดยโทรหาผู้ขายตามหมายเลขที่ทราบแน่ชัดก่อนเปลี่ยนแปลงข้อมูลธนาคาร

Q19 — Zero-Day: ใช้ประโยชน์จากช่องโหว่ที่ยังไม่มี CVE และยังไม่มีแพตช์ คำตอบ: ช่องโหว่ Zero-day — ผู้จำหน่ายยังไม่มีเวลาแม้แต่หนึ่งวันในการแก้ไข เมื่อมีแพตช์แล้ว ช่องโหว่นั้นจะไม่ถือเป็น Zero-day ในทางเทคนิคอีกต่อไป

Q20 — การป้องกันเชิงลึก: ไฟร์วอลล์ขอบเขตเครือข่าย + IDS ในเครือข่าย + ไฟร์วอลล์บนโฮสต์ + EDR + การเข้ารหัสข้อมูล คำตอบ: การป้องกันเชิงลึก (การรักษาความปลอดภัยแบบหลายชั้น) — ใช้กลไกควบคุมหลายรายการที่เป็นอิสระต่อกัน ดังนั้นหากชั้นหนึ่งล้มเหลว ชั้นอื่นยังคงทำงานได้ แนวคิดนี้แตกต่างจากสิทธิ์น้อยที่สุด (การเข้าถึงขั้นต่ำ), การแบ่งแยกหน้าที่ (แบ่งฟังก์ชันสำคัญออกจากกัน) และ zero trust (ตรวจสอบการเข้าถึงทั้งหมด)

Q21-25 — ทบทวนอย่างรวดเร็ว: HSTS = บังคับใช้ HTTPS และปฏิเสธการเชื่อมต่อ HTTP ระเบิดตรรกะ = ทำงานเมื่อเงื่อนไขเฉพาะเป็นจริง เช่น วันที่หรือการกระทำ กับดักรดน้ำ = เจาะระบบเว็บไซต์ที่กลุ่มเป้าหมายเข้าชมเป็นประจำ การจดโดเมนเลียนแบบการสะกดผิด = จดทะเบียนโดเมนที่สะกดผิด เช่น goggle.com ข่าวกรองภัยคุกคามเทียบกับการประเมินช่องโหว่ = TI อธิบายขีดความสามารถของฝ่ายตรงข้าม ส่วน VA ระบุจุดอ่อนในระบบของคุณเอง

ความแตกต่างสำคัญที่มีการทดสอบในโดเมน 1 และ 2: การเข้ารหัสเทียบกับการทำแฮช — การเข้ารหัสสามารถย้อนกลับได้และต้องใช้คีย์ ส่วนการทำแฮชเป็นทางเดียวและไม่ใช้คีย์ ใช้การเข้ารหัสเพื่อรักษาความลับ และใช้การทำแฮชเพื่อรักษาความถูกต้องครบถ้วนและจัดเก็บรหัสผ่าน ไวรัสเทียบกับเวิร์ม — ไวรัสต้องอาศัยไฟล์โฮสต์และการกระทำของผู้ใช้เพื่อแพร่กระจาย ส่วนเวิร์มแพร่กระจายผ่านเครือข่ายได้โดยอัตโนมัติ ลำดับประเภทฟิชชิง — ฟิชชิงแบบหว่านเป้าหมายทุกคน สเปียร์ฟิชชิงเจาะจงบุคคล วาฬล่าผู้บริหาร และวิชชิงใช้เสียง ประเภทของกลไกควบคุม — แบบป้องกันหยุดการโจมตี แบบตรวจจับระบุการโจมตี แบบแก้ไขจำกัดความเสียหาย แบบยับยั้งทำให้ผู้โจมตีไม่อยากลงมือ และแบบชดเชยเป็นทางเลือกเมื่อไม่สามารถใช้กลไกหลักได้

ทดสอบความเข้าใจแนวคิด CompTIA Security+ (SY0-701) จากบทเรียนนี้

ในส่วนข้อสอบจำลองนี้ คุณได้ทบทวน: การประยุกต์ใช้สามเสาหลัก CIA — การเข้ารหัสช่วยรักษาความลับ การทำแฮชช่วยรักษาความถูกต้องครบถ้วน และความซ้ำซ้อนช่วยรักษาความพร้อมใช้งาน ความแตกต่างของประเภทการโจมตี — เวิร์มเทียบกับไวรัส การยัดข้อมูลประจำตัวเทียบกับการเดารหัสผ่านแบบไล่ครบทุกแบบ วาฬล่าเทียบกับสเปียร์ฟิชชิงและวิชชิง การโจมตีห่วงโซ่อุปทาน และช่องโหว่ Zero-day รวมถึง ประเภทของกลไกควบคุมความปลอดภัย — แบบป้องกัน/ตรวจจับ/แก้ไข/ยับยั้ง/ชดเชย พร้อมตัวอย่างจากสถานการณ์จริง แนวคิดเหล่านี้คิดเป็น 34% ของข้อสอบซึ่งครอบคลุมโดเมน 1 และ 2 ต่อไปคือข้อสอบจำลองส่วนที่ 2 ซึ่งครอบคลุมสถาปัตยกรรมความปลอดภัยและโครงสร้างพื้นฐาน