กลยุทธ์คำถามที่ประเมินจากการปฏิบัติ (PBQ)

คำถามเชิงปฏิบัติ (PBQs) คือคำถามจำลองแบบโต้ตอบที่ขอให้คุณแสดงทักษะการปฏิบัติในสภาพแวดล้อมเสมือนจริง แทนที่จะเลือกคำตอบที่ดีที่สุดจากตัวเลือกข้อความสี่ข้อเพียงอย่างเดียว CompTIA เพิ่ม PBQs เพื่อแก้ปัญหาช่องว่างระหว่างการรู้ข้อเท็จจริงกับความสามารถในการนำไปใช้ — ช่างเทคนิคที่เข้าใจกฎไฟร์วอลล์อย่างแท้จริงควรกำหนดค่าไฟร์วอลล์ได้ ไม่ใช่เพียงอธิบายว่ากฎทำงานอย่างไร PBQs นับรวมในคะแนนของคุณ เช่นเดียวกับคำถามแบบเลือกตอบ และมีคะแนนเท่ากัน โดยจะปรากฏในช่วงต้นของข้อสอบ SY0-701 และโดยทั่วไปใช้เวลามากกว่าคำถามแบบเลือกตอบ

ข้อสอบ Security+ มีรูปแบบ PBQ ที่แตกต่างกันหลายแบบ: การกำหนดค่ากฎไฟร์วอลล์ — ให้แผนผังเครือข่ายและข้อกำหนดมา แล้วเพิ่มกฎ ACL เพื่ออนุญาตหรือปฏิเสธการรับส่งข้อมูลที่ระบุ; การใส่ป้ายกำกับแผนผังเครือข่าย — วางไฟร์วอลล์ IDS DMZ และองค์ประกอบอื่น ๆ ในตำแหน่งที่ถูกต้องบนแผนผังเครือข่าย; การวิเคราะห์บันทึกเหตุการณ์ — ตรวจสอบตัวอย่างบันทึกที่ให้มา (syslog บันทึกเหตุการณ์ของ Windows บันทึกการเข้าถึงเว็บ) และระบุประเภทการโจมตีหรือตอบคำถามที่กำหนด; การเรียงลำดับแบบลากแล้ววาง — เรียงระยะของการตอบสนองต่อเหตุการณ์ ขั้นตอนทางนิติวิทยาศาสตร์ หรือองค์ประกอบ PKI ตามลำดับที่ถูกต้อง; และ การจับคู่ — เชื่อมโยงประเภทการโจมตีกับคำอธิบาย หรือเครื่องมือกับหน้าที่ของเครื่องมือ

กลยุทธ์การบริหารเวลาที่สำคัญคือ อย่าติดอยู่กับ PBQ ในช่วงเริ่มต้นของข้อสอบ PBQ จะแสดงก่อน และอาจใช้เวลาข้อละ 5–10 นาทีหากคุณไม่แน่ใจ แนวทางที่แนะนำคือ ทำเครื่องหมาย PBQ แต่ละข้อแล้วข้ามไปทันที จากนั้นทำคำถามแบบเลือกตอบทั้งหมดก่อน โดยทั่วไปคุณจะมั่นใจกับคำถามแบบเลือกตอบมากกว่า และการตอบคำถามเหล่านั้นอาจช่วยกระตุ้นความจำเกี่ยวกับรายละเอียดของ PBQ ได้ด้วย ให้กลับมาทำ PBQ หลังจากทำคำถามแบบเลือกตอบครบแล้ว เมื่อมีเวลา 90 นาทีสำหรับคำถามสูงสุด 90 ข้อ หรือเฉลี่ยข้อละ 1 นาที วิธีนี้จะเหลือเวลาเพียงพอสำหรับกลับมาทบทวน PBQ

PBQ เรื่องไฟร์วอลล์มักให้แผนผังเครือข่ายที่มีหลายโซน (อินเทอร์เน็ต DMZ LAN ภายใน) และรายการข้อกำหนด เช่น 'อนุญาต HTTP/HTTPS จากอินเทอร์เน็ตไปยังเว็บเซิร์ฟเวอร์ใน DMZ; ปฏิเสธการเข้าถึงเซิร์ฟเวอร์ภายในโดยตรงจากอินเทอร์เน็ต; อนุญาตการสืบค้น DNS จากเครือข่ายภายในไปยังภายนอก' คุณต้องเพิ่มกฎตามลำดับที่ถูกต้อง (กฎไฟร์วอลล์จะประมวลผลจากบนลงล่าง และใช้กฎแรกที่ตรงเงื่อนไข) ความรู้สำคัญคือ การปฏิเสธโดยปริยาย ที่ด้านล่างของชุดกฎทั้งหมด; การตรวจสอบแบบมีสถานะ ที่อนุญาตการรับส่งข้อมูลตอบกลับโดยอัตโนมัติ; พอร์ตที่พบบ่อย (80=HTTP, 443=HTTPS, 22=SSH, 25=SMTP, 53=DNS, 3389=RDP) ควรฝึกอ่านตารางกฎที่ระบุแหล่งที่มา/ปลายทาง/พอร์ต/การดำเนินการ

PBQ เรื่องการวิเคราะห์บันทึกเหตุการณ์จะให้ตัวอย่างจากแหล่งบันทึกหลายประเภท และขอให้คุณระบุว่าเกิดอะไรขึ้น สำหรับ บันทึกเว็บเซิร์ฟเวอร์: ให้มองหารูปแบบการฉีด SQL (' OR '1'='1, UNION SELECT) XSS (<script> ในสตริงการสืบค้น) หรือการไล่ย้อนโฟลเดอร์ (../../../etc/passwd) สำหรับ บันทึกเหตุการณ์ของ Windows: รหัสเหตุการณ์ 4625 = การเข้าสู่ระบบล้มเหลว, 4740 = บัญชีถูกล็อก, 4624 = การเข้าสู่ระบบสำเร็จ, 4672 = สิทธิ์พิเศษ — รหัส 4625 หลายรายการตามด้วย 4624 บ่งชี้ว่าการโจมตีแบบเดารหัสผ่านจำนวนมากประสบความสำเร็จ สำหรับ ข้อมูลจับการรับส่งข้อมูลเครือข่าย: ให้มองหาการท่วมด้วย SYN (มี SYN จำนวนมากโดยไม่มีการตอบกลับ SYN-ACK) การสแกนพอร์ต (หมายเลขพอร์ตเรียงลำดับจาก IP เดียว) และการท่วมด้วย ICMP

PBQ เรื่องแผนผังเครือข่ายทดสอบความเข้าใจของคุณเกี่ยวกับสถาปัตยกรรมโซนความปลอดภัย แนวคิดสำคัญสำหรับการวางองค์ประกอบให้ถูกต้อง ได้แก่ DMZ (เขตปลอดทหาร) อยู่ระหว่างไฟร์วอลล์สองตัว (ตัวที่เชื่อมต่อกับอินเทอร์เน็ตและตัวภายใน) และเป็นที่ตั้งของเซิร์ฟเวอร์ที่เข้าถึงได้จากสาธารณะ (เว็บ อีเมล DNS); ไฟร์วอลล์ที่เชื่อมต่อกับอินเทอร์เน็ต อยู่ที่ขอบเขตเครือข่ายและเชื่อมต่อโดยตรงกับลิงก์ของ ISP; เซนเซอร์ IDS/IPS วางอยู่บนส่วนเครือข่ายที่สามารถมองเห็นการรับส่งข้อมูลได้ (IDS ทำสำเนาการรับส่งข้อมูลเพื่อดูแบบพาสซีฟ ส่วน IPS อยู่ในเส้นทางการรับส่งข้อมูล); พร็อกซีเซิร์ฟเวอร์ อยู่ระหว่างผู้ใช้ภายในกับอินเทอร์เน็ต; และ SIEM รวบรวมบันทึกจากองค์ประกอบทั้งหมด หลีกเลี่ยงการวางฐานข้อมูลภายในไว้ใน DMZ — ฐานข้อมูลเหล่านี้ควรอยู่ในโซนภายในที่เชื่อถือได้

PBQ แบบลากแล้ววางทดสอบความรู้เกี่ยวกับกระบวนการที่มีลำดับและการเชื่อมโยงแนวคิด ควรจำลำดับต่อไปนี้ให้ได้: ระยะการตอบสนองต่อเหตุการณ์ — การเตรียมพร้อม การตรวจจับและวิเคราะห์ การควบคุมเหตุการณ์ การกำจัด การกู้คืน การทบทวนหลังเกิดเหตุ (NIST SP 800-61); ระยะการทดสอบเจาะระบบ — การลาดตระเวน การสแกน/การแจกแจง การใช้ประโยชน์ การดำเนินการหลังการเจาะระบบ/การเคลื่อนที่ด้านข้าง การรายงาน; ลำดับความผันผวนของหลักฐานทางนิติวิทยาศาสตร์ — รีจิสเตอร์/แคชของ CPU, RAM, สว็อป/ไฟล์เพจ, กระบวนการที่กำลังทำงาน, การเชื่อมต่อเครือข่าย, อิมเมจดิสก์, บันทึกระยะไกล (จากผันผวนมากที่สุดก่อน); ขั้นตอนการจัดการความเสี่ยง — ระบุ ประเมิน ตอบสนอง/จัดการ ติดตาม ลำดับเหล่านี้มักถูกทดสอบในรูปแบบลากแล้ววาง

PBQ ของ CompTIA Security+ ให้ คะแนนบางส่วน — คุณไม่จำเป็นต้องทำทุกองค์ประกอบของ PBQ ได้อย่างสมบูรณ์จึงจะได้คะแนน ซึ่งหมายความว่า แม้คุณจะไม่แน่ใจเกี่ยวกับบางส่วนของการกำหนดค่าไฟร์วอลล์ ก็ควรทำส่วนที่คุณรู้ให้ถูกต้อง และเดาส่วนที่ไม่แน่ใจ แทนที่จะปล่อยว่าง อย่าข้ามหรือปล่อย PBQ ไว้โดยไม่ตอบทั้งหมด — PBQ ที่ทำไม่ครบจะได้คะแนนน้อยลงหรือไม่ได้คะแนน ขณะที่การพยายามตอบบางส่วนอย่างถูกต้องจะได้คะแนนบางส่วน หาก PBQ ขอให้คุณกำหนดค่ากฎไฟร์วอลล์ 5 ข้อ และคุณกำหนดค่าได้ถูกต้อง 3 ข้อ คุณจะได้รับคะแนนประมาณ 60% ของคะแนนที่มีสำหรับคำถามข้อนั้น

การฝึก PBQ จำเป็นต้องใช้การจำลองแบบลงมือทำ ซึ่งการเรียนจากข้อความไม่สามารถทดแทนได้ แหล่งเตรียมตัวสำหรับ PBQ ได้แก่ CompTIA CertMaster Practice — แพลตฟอร์มฝึกทำอย่างเป็นทางการพร้อมการจำลอง PBQ ที่สมจริง; หลักสูตร Udemy ของ Jason Dion — มีการจำลองห้องปฏิบัติการและคำแนะนำการทำ PBQ ที่สมจริง; ห้องปฏิบัติการฝึก PBQ ของ Professor Messer — คำแนะนำแบบ PDF ที่ราคาไม่แพง; PBQ ฟรีจาก Dion Training — เครื่องจำลอง PBQ เรื่องไฟร์วอลล์และแผนผังเครือข่ายบนเบราว์เซอร์ที่ใช้ฟรี; และ การฝึกในห้องปฏิบัติการที่บ้าน โดยใช้ pfSense (ไฟร์วอลล์โอเพนซอร์สฟรี) เพื่อฝึกกำหนดค่ากฎด้วยตนเอง การเตรียมตัวที่มีประสิทธิภาพสูงสุดสำหรับ PBQ คือการทำ PBQ ฝึกซ้ำ ๆ จนคุ้นเคยกับส่วนติดต่อและประเภทงาน

เมื่อพบ PBQ ที่คุณไม่แน่ใจ: ใช้กระบวนการตัดตัวเลือก — แม้แต่ในการจำลอง คำตอบบางข้อก็ผิดอย่างชัดเจน; ใช้หลักการพื้นฐาน — สิทธิ์น้อยที่สุด การป้องกันเชิงลึก และการปฏิเสธโดยปริยายใช้ได้ในทุกกรณี และช่วยชี้นำคำตอบที่ถูกต้องแม้คุณจะไม่รู้กฎเฉพาะ; อ่านสถานการณ์อย่างละเอียด — สถานการณ์ของ PBQ มีข้อมูลทั้งหมดที่จำเป็นต่อการตอบให้ถูกต้อง และการมองข้ามรายละเอียดในสถานการณ์เป็นข้อผิดพลาดที่พบบ่อยที่สุดของ PBQ; อย่าคิดซับซ้อนเกินไป — PBQ ทดสอบความรู้เชิงปฏิบัติ ไม่ใช่กรณีขอบที่คลุมเครือ โดยทั่วไปคำตอบที่ถูกต้องจะเป็นการประยุกต์ใช้หลักการความปลอดภัยที่อธิบายไว้ในสถานการณ์อย่างตรงไปตรงมาที่สุด

เมื่อมี 90 นาทีสำหรับคำถามสูงสุด 90 ข้อ การจัดสรรเวลาจึงสำคัญมาก กลยุทธ์ที่แนะนำคือ: รอบที่ 1 (0–45 นาที) — ตอบคำถามแบบเลือกตอบที่คุณมั่นใจทั้งหมด (ข้ามข้อที่ไม่แน่ใจ); รอบที่ 2 (45–70 นาที) — กลับไปทำคำถามแบบเลือกตอบที่ทำเครื่องหมายไว้ โดยใช้การตัดตัวเลือก; รอบที่ 3 (70–85 นาที) — ทำ PBQ ทั้งหมดด้วยเวลาที่เหลือ; 5 นาทีสุดท้าย — ตรวจสอบให้แน่ใจว่าไม่มีคำถามใดไม่ได้ตอบ (ข้อสอบ CompTIA ไม่มีการหักคะแนนสำหรับคำตอบผิด ดังนั้นควรตอบทุกข้อเสมอ) การทำข้อสอบฝึกโดยจับเวลาอย่างเคร่งครัดจะช่วยสร้างความตระหนักเรื่องเวลา เพื่อให้คุณรักษาจังหวะได้ระหว่างการสอบจริง

ทดสอบความเข้าใจแนวคิดของ CompTIA Security+ (SY0-701) จากบทเรียนนี้

ในบทเรียนนี้ คุณได้เรียนรู้ว่า: PBQ ทดสอบทักษะการลงมือทำ ซึ่งรวมถึงการกำหนดค่ากฎไฟร์วอลล์ การวิเคราะห์แผนผังเครือข่าย การตีความบันทึกเหตุการณ์ และความรู้เกี่ยวกับกระบวนการตามลำดับ — PBQ จะปรากฏก่อน แต่ควรข้ามไปในเบื้องต้น PBQ ให้คะแนนบางส่วน ดังนั้นควรพยายามทำเสมอเมื่อมีเวลาเหลือ แทนที่จะปล่อยว่าง และ การฝึกกับเครื่องจำลอง PBQ เป็นประจำ คือการเตรียมตัวที่มีประสิทธิภาพสูงสุด เพราะความคุ้นเคยกับส่วนติดต่อของการจำลองจะช่วยลดความกังวลและเพิ่มประสิทธิภาพในวันสอบ หัวข้อต่อไป เราจะทบทวนหัวข้อที่ปรากฏบ่อยและมักออกสอบใน Security+ มากที่สุด