ข้อสอบจำลองชุดที่ 3: การปฏิบัติการ การตอบสนองต่อเหตุการณ์ และนิติวิทยาศาสตร์

ยินดีต้อนรับสู่ส่วนการสอบจำลองที่ 3 ซึ่งเป็นโดเมนที่มีการออกข้อสอบมากที่สุด: การดำเนินงานด้านความปลอดภัย (โดเมนที่ 4, 28%) โดเมนนี้ครอบคลุมสิ่งที่ผู้เชี่ยวชาญด้านความปลอดภัยทำเป็นประจำทุกวัน ได้แก่ การจัดการข้อมูลระบุตัวตน การรักษาความปลอดภัยอุปกรณ์ปลายทาง การเฝ้าติดตามเครือข่าย การตอบสนองต่อเหตุการณ์ และการสืบสวนทางนิติวิทยาศาสตร์ คำถามในส่วนนี้เน้นสถานการณ์เป็นหลัก โดยทดสอบความสามารถของคุณในการเลือกการดำเนินการที่เหมาะสมจากสถานการณ์เฉพาะ นอกจากนี้ยังมีคำถามจากโดเมนที่ 5 (การจัดการโปรแกรมความปลอดภัย, 20%) ซึ่งครอบคลุมการจัดการความเสี่ยง การปฏิบัติตามข้อกำหนด และการกำกับดูแล เมื่อรวมกันแล้ว โดเมนเหล่านี้คิดเป็น 48% ของคะแนนสอบของคุณ หรือเกือบครึ่งหนึ่ง

คำถาม: นักวิเคราะห์ความปลอดภัยยืนยันว่าเวิร์กสเตชันกำลังสื่อสารกับเซิร์ฟเวอร์ C2 ของบอตเน็ตที่ทราบแน่ชัด นักวิเคราะห์จึงแยกเวิร์กสเตชันออกจากเครือข่าย การดำเนินการนี้อยู่ในระยะใดของ IR

คำตอบ: การควบคุมเหตุการณ์ ระยะของ IR ตาม NIST SP 800-61 และการดำเนินการหลักมีดังนี้: การเตรียมพร้อม — จัดทำแผนและทีม IR; การตรวจจับและวิเคราะห์ — ยืนยันว่าเกิดเหตุการณ์ขึ้น (นักวิเคราะห์ดำเนินการนี้แล้วด้วยการยืนยันการสื่อสารกับ C2); การควบคุมเหตุการณ์ — จำกัดความเสียหาย (การแยกเครือข่ายเป็นการควบคุมเหตุการณ์); การกำจัด — ลบมัลแวร์; การกู้คืน — ทำให้ระบบกลับมาอยู่ในสถานะพร้อมใช้งาน; การทบทวนหลังเกิดเหตุการณ์ — สรุปบทเรียนที่ได้รับ การแยกเครือข่าย (การตัดการเชื่อมต่อและการบล็อกกฎไฟร์วอลล์) เป็นการควบคุมเหตุการณ์โดยทั่วไป — ช่วยหยุดผู้โจมตีไม่ให้ใช้โฮสต์ที่ถูกเจาะได้ขณะที่การสืบสวนยังดำเนินต่อไป

คำถาม: โปรแกรมป้องกันไวรัสแบบดั้งเดิมขององค์กรตรวจไม่พบมัลแวร์ที่ใช้ PowerShell เพื่อเรียกใช้โค้ดทั้งหมดในหน่วยความจำโดยไม่สร้างไฟล์อย่างต่อเนื่อง เทคโนโลยีความปลอดภัยใดแก้ไขช่องว่างนี้ได้ดีที่สุด

คำตอบ: Endpoint Detection and Response (EDR) โปรแกรมป้องกันไวรัสแบบดั้งเดิมใช้การจับคู่ลายเซ็นของไฟล์ — สแกนไฟล์และเปรียบเทียบกับฐานข้อมูลลายเซ็นของมัลแวร์ที่รู้จัก มัลแวร์แบบไร้ไฟล์ที่ทำงานทั้งหมดในหน่วยความจำจะไม่เขียนไฟล์ ดังนั้น AV แบบใช้ลายเซ็นจึงไม่เคยสแกนโค้ดอันตรายนั้น EDR ใช้การตรวจจับตามพฤติกรรม โดยเฝ้าติดตามพฤติกรรมของกระบวนการ (รูปแบบการเข้าถึงหน่วยความจำ การเรียกใช้ API การบันทึกบล็อกสคริปต์ PowerShell และการเชื่อมต่อเครือข่าย) ไม่ว่าไฟล์จะมีอยู่หรือไม่ EDR สามารถตรวจพบว่า PowerShell ทำงานผิดปกติ (ดาวน์โหลดและเรียกใช้โค้ด หรือเข้าถึง LSASS) แม้ไม่มีลายเซ็น นอกจากนี้ EDR ยังมีความสามารถในการตอบสนอง เช่น แยกอุปกรณ์ปลายทาง หยุดกระบวนการ และรวบรวมหลักฐานทางนิติวิทยาศาสตร์

คำถาม: พนักงานย้ายจากแผนกการเงินไปยังแผนกการตลาด นโยบายความปลอดภัยกำหนดให้ต้องลบสิทธิ์การเข้าถึงระบบการเงินของพนักงาน และจัดสรรสิทธิ์การเข้าถึงระบบการตลาดให้ กระบวนการใดทำให้มั่นใจได้ว่าการดำเนินการนี้เกิดขึ้นอย่างถูกต้อง

คำตอบ: การจัดการวงจรชีวิตข้อมูลระบุตัวตน / กระบวนการจัดสรรและยกเลิกการจัดสรรสิทธิ์ผู้ใช้ ความเสี่ยงที่กำลังจัดการคือการสะสมสิทธิ์การเข้าถึง — การสะสมสิทธิ์จากหลายบทบาทเมื่อเวลาผ่านไป เมื่อพนักงานเปลี่ยนบทบาท ควรลบสิทธิ์เดิม (ยกเลิกการจัดสรร) และมอบสิทธิ์ใหม่ หากไม่มีกระบวนการนี้ พนักงานที่ย้ายแผนกจะยังคงมีสิทธิ์เข้าถึงทั้งระบบการเงินและการตลาด ซึ่งละเมิดหลักสิทธิ์เท่าที่จำเป็น กระบวนการนี้จัดการผ่านระบบ Identity Governance and Administration (IGA) และมักทำให้เป็นอัตโนมัติด้วยการเชื่อมต่อกับระบบ HR แคมเปญการทบทวนสิทธิ์/การรับรองสิทธิ์ซ้ำจะทบทวนสิทธิ์การเข้าถึงของผู้ใช้ทั้งหมดเป็นระยะ เพื่อค้นหาสิทธิ์ที่สะสมและไม่เคยถูกเพิกถอน

คำถาม: ผู้ตรวจสอบทางนิติวิทยาศาสตร์สร้างอิมเมจดิสก์จากเซิร์ฟเวอร์ที่ยึดมาได้ โดยใช้ค่าแฮช MD5 และ SHA-256 ก่อนและหลังการสร้างอิมเมจ จุดประสงค์ของการเปรียบเทียบค่าแฮชเหล่านี้คืออะไร

คำตอบ: เพื่อตรวจสอบว่าอิมเมจดิสก์เป็นสำเนาที่เหมือนกับหลักฐานต้นฉบับทุกประการและไม่มีการแก้ไข (พิสูจน์ความสมบูรณ์) ในนิติวิทยาศาสตร์ดิจิทัล การตรวจสอบแฮชเป็นวิธีที่ผู้ตรวจสอบใช้พิสูจน์ว่าไม่ได้แก้ไขหลักฐานระหว่างกระบวนการสร้างอิมเมจ ระบบจะคำนวณแฮชของดิสก์ต้นฉบับก่อนสร้างอิมเมจ จากนั้นคำนวณแฮชของอิมเมจที่ได้หลังสร้างเสร็จ หากแฮชทั้งสองตรงกัน อิมเมจนั้นก็เป็นสำเนาที่เหมือนกันทุกบิต ความแตกต่างใด ๆ ในอิมเมจจะทำให้ได้แฮชที่แตกต่างกัน วิธีนี้ช่วยสนับสนุนห่วงโซ่การครอบครองหลักฐานและทำให้ข้อค้นพบสามารถรับฟังเป็นหลักฐานทางกฎหมายได้ มีการใช้ทั้ง MD5 และ SHA-256 ร่วมกัน — MD5 ทำงานได้รวดเร็วแต่มีการชนกันของค่าแฮชที่ทราบแล้ว ส่วน SHA-256 ให้ความต้านทานต่อการชนกัน การใช้ทั้งสองแบบจึงช่วยเพิ่มความซ้ำซ้อน

คำถาม: ศูนย์ปฏิบัติการความปลอดภัย (SOC) ต้องเชื่อมโยงเหตุการณ์การเข้าสู่ระบบจาก Active Directory การเชื่อมต่อเครือข่ายจากไฟร์วอลล์ และเหตุการณ์อีเมลจากเกตเวย์อีเมล เพื่อระบุบัญชีที่เกี่ยวข้องกับการส่งข้อมูลออกโดยไม่ได้รับอนุญาต เครื่องมือใดมีความสามารถในการเชื่อมโยงข้อมูลข้ามแหล่งนี้

คำตอบ: Security Information and Event Management (SIEM) SIEM รวบรวมบันทึกกิจกรรมจากหลายแหล่ง (Active Directory ไฟร์วอลล์ เกตเวย์อีเมล EDR แพลตฟอร์มคลาวด์) ปรับข้อมูลให้อยู่ในรูปแบบโครงสร้างกลาง และใช้กฎการเชื่อมโยงเหตุการณ์เพื่อตรวจจับรูปแบบที่เกิดข้ามหลายแหล่ง เหตุการณ์การเข้าสู่ระบบ AD เพียงรายการเดียวอาจไม่มีความหมาย แต่เมื่อเกิดขึ้นพร้อมกับการถ่ายโอนข้อมูลขาออกไปยังโดเมนภายนอกแห่งใหม่ ก็จะกลายเป็นการแจ้งเตือนที่ควรตรวจสอบ SIEM ยังมีความสามารถดังต่อไปนี้: การจัดเก็บบันทึกกิจกรรมแบบรวมศูนย์เพื่อการสืบสวนทางนิติวิทยาศาสตร์ แดชบอร์ดเพื่อให้ SOC รับรู้สถานการณ์ และการแจ้งเตือนเมื่อมีการละเมิดค่าขีดจำกัด SOAR (การประสานงาน การทำงานอัตโนมัติ และการตอบสนองด้านความปลอดภัย) ช่วยทำให้การดำเนินการตอบสนองที่เกิดจากการแจ้งเตือนของ SIEM เป็นอัตโนมัติ

คำถาม: เครื่องมือสแกนช่องโหว่พบช่องโหว่ 500 รายการในระบบต่าง ๆ ขององค์กร ทีมรักษาความปลอดภัยมีทรัพยากรจำกัด ควรจัดลำดับความสำคัญในการแก้ไขอย่างไร

คำตอบ: จัดลำดับตามคะแนน CVSS ร่วมกับความสำคัญของทรัพย์สินและบริบทด้านความสามารถในการใช้ประโยชน์จากช่องโหว่ (ข่าวกรองภัยคุกคาม) คะแนน CVSS ดิบเป็นจุดเริ่มต้น แต่การจัดลำดับที่มีประสิทธิภาพต้องพิจารณาร่วมกับ: ความสำคัญของทรัพย์สิน — ช่องโหว่ระดับวิกฤตบนเซิร์ฟเวอร์ทดสอบที่ไม่สำคัญเร่งด่วนน้อยกว่าช่องโหว่ระดับปานกลางบนระบบที่ประมวลผลข้อมูลบัตรเครดิต; ความสามารถในการใช้ประโยชน์ — มีช่องโหว่ที่ใช้โจมตีได้จริงเผยแพร่ต่อสาธารณะหรือไม่ การถูกโจมตีจริงในวงกว้างทำให้ลำดับความสำคัญเพิ่มขึ้นอย่างมาก; การเปิดเผย — ช่องโหว่ที่เข้าถึงได้จากอินเทอร์เน็ตมีลำดับความสำคัญสูงกว่าช่องโหว่ที่เข้าถึงได้เฉพาะภายใน; และมาตรการควบคุมชดเชย — กฎไฟร์วอลล์อาจลดความเสี่ยงของช่องโหว่บนระบบที่ยังไม่สามารถติดตั้งแพตช์ได้ทันที EPSS (Exploit Prediction Scoring System) ให้ค่าประมาณความน่าจะเป็นที่ช่องโหว่จะถูกใช้โจมตีจริง เพื่อใช้ประกอบกับ CVSS

คำถาม: พนักงานใช้สมาร์ตโฟนส่วนตัวเพื่อเข้าถึงอีเมลขององค์กร บริษัทต้องการให้สามารถลบข้อมูลขององค์กรได้โดยไม่กระทบข้อมูลส่วนตัว หากพนักงานลาออกหรือทำโทรศัพท์หาย ความสามารถของ MDM ใดทำให้บรรลุเป้าหมายนี้

คำตอบ: การลบข้อมูลเฉพาะส่วน (การแยกเก็บข้อมูลพร้อมความสามารถในการลบเฉพาะส่วน) การลบข้อมูลเฉพาะส่วนจะลบเฉพาะส่วนจัดเก็บข้อมูลขององค์กรออกจากอุปกรณ์ BYOD โดยยังคงข้อมูลส่วนตัว (รูปภาพ ข้อความ และแอป) ไว้ ซึ่งแตกต่างจากการลบข้อมูลจากระยะไกลทั้งหมด (การคืนค่าเป็นค่าจากโรงงาน — ลบทุกอย่างรวมถึงข้อมูลส่วนตัว ซึ่งอาจมีปัญหาทางกฎหมายบนอุปกรณ์ที่พนักงานเป็นเจ้าของ) โซลูชัน MDM สมัยใหม่ (Intune, Jamf) ใช้การแยกเก็บข้อมูล โดยให้แอปและข้อมูลขององค์กรอยู่ในพื้นที่จัดเก็บที่ปลอดภัยและเข้ารหัส แยกจากเนื้อหาส่วนตัว เมื่อลบพื้นที่จัดเก็บนี้เฉพาะส่วน ข้อมูลขององค์กรจะถูกลบโดยไม่กระทบเนื้อหาส่วนตัว วิธีนี้เหมาะสมทั้งในด้านกฎหมายและการใช้งานจริงสำหรับสถานการณ์ BYOD

คำถาม: เซิร์ฟเวอร์เงินเดือนของบริษัทมีมูลค่า $500,000 การโจมตีด้วยแรนซัมแวร์มีความน่าจะเป็นที่จะเกิดขึ้น 20% ต่อปี (ARO = 0.2) และจะทำให้ข้อมูลสูญหาย 50% พร้อมหยุดทำงาน 2 สัปดาห์ (Exposure Factor = 0.5) โซลูชันสำรองข้อมูลที่เสนอมีค่าใช้จ่าย $15,000 ต่อปี และจะลด EF เหลือ 0.10 โซลูชันสำรองข้อมูลนี้คุ้มค่าหรือไม่

คำตอบ: คุ้มค่า — ALE ปัจจุบันอยู่ที่ $50,000 ต่อปี; เมื่อมีการสำรองข้อมูล ALE ใหม่จะอยู่ที่ $10,000 ต่อปี ประหยัดได้ $40,000 ต่อปีจากการลงทุน $15,000 การคำนวณ: SLE ปัจจุบัน = $500,000 × 0.5 = $250,000 ALE ปัจจุบัน = $250,000 × 0.2 = $50,000 ต่อปี เมื่อมีการสำรองข้อมูล: SLE ใหม่ = $500,000 × 0.10 = $50,000 ALE ใหม่ = $50,000 × 0.2 = $10,000 ต่อปี การลดลงของ ALE = $50,000 - $10,000 = $40,000 ค่าใช้จ่ายของมาตรการควบคุม = $15,000 ผลประโยชน์สุทธิต่อปี = $40,000 - $15,000 = $25,000 ต่อปี — คุ้มค่าอย่างชัดเจน การคำนวณนี้ (SLE × ARO = ALE) เป็นหัวข้อที่ออกสอบบ่อยใน Security+

Q9 — การยกเลิกสิทธิ์บัญชีเมื่อพ้นสภาพ: บัญชีของผู้ดูแลระบบและข้อมูลประจำตัวที่ใช้ร่วมกันยังคงใช้งานได้หลังการเลิกจ้าง และระบบถูกเจาะในอีกหกเดือนต่อมา คำตอบ: ยกเลิกการจัดสรรบัญชีทันทีและเปลี่ยนข้อมูลประจำตัวที่มีสิทธิ์สูงเมื่อพ้นสภาพ บัญชีที่มีสิทธิ์สูงและถูกทิ้งไว้คือความล้มเหลวตามตำรา กระบวนการยกเลิกสิทธิ์เมื่อพ้นสภาพต้องประกอบด้วย: ปิดใช้งานบัญชีทันที เปลี่ยนข้อมูลประจำตัวที่ใช้ร่วมกันทั้งหมดซึ่งบุคคลนั้นทราบ และตรวจสอบบัญชีบริการที่บุคคลนั้นเคยดูแล LAPS ช่วยจัดการผู้ดูแลระบบภายในเครื่อง ส่วนโซลูชัน PAM ช่วยเก็บข้อมูลประจำตัวที่มีสิทธิ์สูงไว้ในคลัง

Q10 — ร่องรอยทางนิติวิทยาศาสตร์ของ Windows: ผู้ตรวจสอบต้องการทราบว่าโปรแกรมใดทำงานบนระบบ Windows และทำงานเมื่อใด คำตอบ: ไฟล์ Prefetch (C:\Windows\Prefetch\*.pf) — บันทึกชื่อไฟล์ปฏิบัติการ เวลาที่เรียกใช้ล่าสุด จำนวนครั้งที่เรียกใช้ และไฟล์ที่เข้าถึง แม้มัลแวร์จะถูกลบไปแล้ว ไฟล์ prefetch ของมัลแวร์ก็อาจยังคงอยู่ ร่องรอยสำคัญอื่น ๆ ได้แก่ คีย์ Run ของ Registry (การคงอยู่) บันทึกเหตุการณ์ด้านความปลอดภัย (เหตุการณ์การเข้าสู่ระบบ 4624/4625/4648) ไฟล์ LNK (ไฟล์ล่าสุด) และ ShimCache (ติดตามการเรียกใช้ทั้งหมด แม้ไม่มี prefetch)

การแยกหน้าที่: ไม่มีบุคคลใดบุคคลหนึ่งควบคุมกระบวนการสำคัญทั้งหมดได้เพียงลำพัง — ช่วยป้องกันการทุจริต การบังคับลาพักร้อน: ภัยคุกคามจากบุคคลภายในถูกค้นพบโดยพนักงานที่มาปฏิบัติหน้าที่แทน การหมุนเวียนงาน: ป้องกันแผนการทุจริตระยะยาว และช่วยให้บุคลากรมีทักษะข้ามสายงาน คู่มือปฏิบัติการของ SOC: ขั้นตอน IR แบบทีละขั้นสำหรับเหตุการณ์แต่ละประเภท การฝึกซ้อมบนโต๊ะ: การอภิปรายสถานการณ์จำลองโดยไม่ดำเนินการทางเทคนิค — ใช้ตรวจสอบตรรกะของแผน IR สิทธิ์ในการลบข้อมูลตาม GDPR: ลบข้อมูลส่วนบุคคลเมื่อมีการร้องขอ หากไม่มีฐานทางกฎหมายให้เก็บรักษาไว้ การลดขอบเขตของ PCI-DSS: แบ่งส่วนสภาพแวดล้อมข้อมูลผู้ถือบัตรเพื่อลดจำนวนระบบที่อยู่ในขอบเขต BIA (การวิเคราะห์ผลกระทบทางธุรกิจ): ระบุหน้าที่สำคัญและกำหนดข้อกำหนด RTO/RPO การตรวจสอบสถานะผู้ให้บริการอย่างรอบคอบ: ประเมินความปลอดภัยของผู้จัดหาก่อนอนุญาตให้เข้าถึงข้อมูล และกำหนดให้มี SOC 2/ISO 27001 STIX/TAXII: รูปแบบ/โพรโทคอลสำหรับแบ่งปันข่าวกรองภัยคุกคามที่เครื่องอ่านได้ โทเคน Canary: ทรัพยากรลวงที่แจ้งเตือนเมื่อมีการเข้าถึง — เป็นสัญญาณว่าผู้โจมตีกำลังปฏิบัติการอยู่ การเฝ้าติดตามอย่างต่อเนื่อง (NIST RMF): การประเมินแบบต่อเนื่องและเปลี่ยนแปลงตามสถานการณ์ ไม่ใช่การประเมินเพียง ณ เวลาใดเวลาหนึ่ง — ช่วยประกอบการตัดสินใจด้านความเสี่ยงแบบเรียลไทม์

ทดสอบความเข้าใจแนวคิด CompTIA Security+ (SY0-701) จากบทเรียนนี้

ในส่วนข้อสอบจำลองนี้ คุณได้ทบทวน: การจับคู่ระยะของ IR — ยืนยันว่าการแยกเครือข่ายเป็นการดำเนินการกักกัน ไม่ใช่การกำจัดหรือการตรวจจับ, ลำดับความสำคัญของหลักฐานทางนิติวิทยาศาสตร์ — ต้องเก็บ RAM ก่อนสร้างภาพดิสก์ เนื่องจาก RAM มีความผันผวนของข้อมูลสูงกว่า และ การคำนวณความเสี่ยงด้วย ALE — สูตร SLE × ARO = ALE ช่วยให้วิเคราะห์ต้นทุนและประโยชน์ของมาตรการควบคุมความปลอดภัยได้อย่างเป็นกลาง แนวคิดด้านการปฏิบัติการเหล่านี้เป็นหมวดที่มีสัดส่วนคะแนนสูงที่สุดในข้อสอบ Security+ บทถัดไปคือบทเรียนสุดท้าย: การทบทวนข้อสอบจำลองพร้อมการวิเคราะห์คะแนนและแผนการเรียนเฉพาะบุคคลของคุณ