CISSP（用語1）

通報

問題一覧

(ISC)2 倫理規約として、攻撃的な目的でのマルウェアの拡散と展開の禁止が含まれる

社会、一般大衆の福利、およびインフラを保護する

(ISC)2 倫理規定の規律として、情報公開や説明責任を果たす、ハラスメントをしない、社会貢献する、事実を隠さない

公正かつ誠実に責任をもって合法的に行動する

(ISC)2 倫理規約として、利益相反があった場合は、関係について伝える事はするが、辞退まではしな

当事者に対して、十分かつ適切なサービスを提供する　

機密性を守るために、何を実施すべきか

デジタル署名

完全性を守るために何をするか？

ソフトウェアのアップデート

個人の金融、医療、職業の関する記録などを行うことは何を実施できたことになるか？

可用性

組織や顧客に対して負う義務

デューケア

実施した作業の裏付け

デューデリジェンス

常識人として一般的に期待される行動

デューケア

責任を果たすためにすべき努力

デューデリジェンス

トレーニング未受講者のアカウントを停止する

デューデリジェンス

不正な開示は許さない

デューケア

一部の企業で使われて、組織内の意思決定方法を決定する組織

ガバナンス委員会

ポリシーを指示（承認）したり、組織に義務を課す権限を持つ幹部

経営陣

資産を保護する必要がある人

セキュリティ担当者

伝統的・文化的な義務の一部をまとめたもの

スタンダード

規則を遵守すること

コンプライアンス

米国ではEUの個人や組織との取引に関する概念として開発された

プライバシーシールド

金融機関の顧客の機密データを保護する法律

GLBA

電子通信プライバシー法

ECPA

特許、著作権、商標のうちどれが一番短いか？

特許

デジタル化された著作物に関する米国の法律

DMCA

銀行のATMやオンラインバンクキングを利用している顧客には、鋼材条件の変更許可が与えられません

最小権限

パイロットには、エンジンやフライト制御の新しいファームウェアのアップロードやインストールの許可が与えられません

最小権限

会社の上級役員は、（通常は）シスアド権限を必要としません

最小権限

ブルースクリーンのとき、シャットダウンするなど

フェイルセーフ

WIFIのルータのパスワードが固定（Admin/admin）だと、リセット攻撃されたとき、固定IDとパスワードが奪取されてしまうリスクがある

セキュアなデフォルト

個人が信頼されたプロセスをすべて完了できてしまわないように制限するプロセス

職務の分離

職務の分離 (SoD; Separation of Duties)をすると。どんな目的を防止できるか？

談合

データセキュリティライフサイクルで最初にすること

生成

個人データの処理や保護の目的と方法を決める人

データコントローラー

所有するデータの価値決定と保護を行う人

データオーナー

データの内容、前後関係、関連業務ルールについて責任を負う人

データスチュワード

データが保存されている間の完全性や機密性の責任を負う人

データカストディアン

システムのセキュリティに関する計画・特定・選択・実装などを実施する

システムオーナー

セキュリティ確保と事業継続のバランスをとる

ビジネスオーナー

物理的な影響が残っている可能性を排除する作業のこと

パージング

ランダムな値やゼロで上書きすることでデータ破壊を行うこと

クリアリング

ポリシーやプロシージャによって行動を制限する。貼り紙など

指示型(管理型)コントロール :

攻撃のコストが高いと思わせて攻撃を諦めさせる

抑止型コントロール

貼り紙

指示型(管理型)コントロール

フェンス

防止型コントロール

DLPやIPS

防止型コントロール

冗長構成

補完型コントロール

警告やカメラ、多要素認証、警備員

抑止型コントロール

人感センサーや警備員、IDSやSIEM

検出型コントロール

バックアップを取ること

修正型(補償型)コントロール

バックアップやRAID、災害復旧計画など

回復型(復旧型)コントロール

ランサムウェアのバックアップ

修正型

フレームワークやスタンダードを導入する際は、範囲を決定する

スコーピング

手順などを組織に適したものに調整すること

テーラリング

あるIDに対するユーザの主張と第三者の証明によって妥当性を検証すること

ID証明

最初に検証を要求した環境以外での検証を利用するID証明

帯域外のID証明

ユーザ・リソース、サービスのプロビジョニング要求の統合・相互運用に使用されるプロトコル

SPML

盗み出した、または偽りの認証資格情報を利用して認証メカニズムをバイパスする攻撃

マスカレード（仮装）攻撃

キャプチャーしたネットワークトラフィックを利用して接続を再確立するマスカレード攻撃の一種

リプレイ攻撃

リソースへアクセス時にユーザ・プロセス・デバイスの身元の主張の妥当性を確認すること

認証

IDがオブジェクトへアクセスするための権限を付与すること

認可

不要になった権限を放棄しないこと

権限のクリープ

アカウントレビューはいつ行うか？

ユーザの役割が変わるとき

アプリケーション開発者が特権的な機能のユースケースについて誤った想定をした場合や、アプリケーションがコマンドインジェクションや悪用の使用をした場合に起こります

垂直方向の権限昇格

現在使用中のアカウントで発見、フィンガープリントの取得、別のサーバ上のデータやリソースにアクセスすること

水平方向の権限昇格

read upできない（機密性が高い層はアクセスできない）

単純セキュリティ属性

write downできない（機密性が低い層に書き込めない）

スター属性

read downできない（完全性が低い層の情報を使えない）

単純完全性属性

write upできない（完全性が高い層の情報を汚染できない）

スター属性

ラティス（マトリックス）を利用してアクセス制御する強制アクセス制御 (MAC) モデルの一種

Biba

倫理の壁（チャイニーズウォール、万里の壁）が中央にあり、一方にアクセスできる時はもう一方にはアクセスできないモデル

Brewer-Nash

Bibaの改良版で、トランザクションレベルでの完全性に焦点を当てている

Clark-Wilson

サブジェクトとオブジェクトの作成方法や、サブジェクトに権限を割り当てる方法、オブジェクトのオーナーシップを管理する方法を扱うモデル

Graham-Denning

サブジェクトは別のオブジェクトの権利を取得できる

獲得ルール

すべてのサブジェクトとオブジェクトはラベル付けされる（オーナがラベル付け）

強制アクセス制御 (MAC)

自分が所有するオブジェクトへのアクセス権を誰に与えるかをオーナーが決定するアクセス制御システム

任意アクセス制御 (DAC)

最も脆弱性のアクセス制御の形

任意アクセス制御 (DAC)

ロールベースアクセス制御 (RBAC) を強制的に適用し、中央機関でポリシーを決定する

非任意アクセス制御 (NDAC)

職務や認可に応じて個別にロールを設定し、情報システムへのアクセスを許可されたユーザに限定する

ロールベースアクセス制御 (RBAC)

特権クループの削減が期待できる

ロールベースアクセス制御 (RBAC)

リソースにアクセスできるロールの決定は、データオーナーによって管理されるか、ポリシーに基づいて適用される。

ロールベースアクセス制御 (RBAC)

役割を管理するための仕組み（ディレクトリサービスなど）が必要

ロールベースアクセス制御 (RBAC

いつ、どこで、指定した条件で、システムが読み書き実行をシステムオーナーにより許可するかなどの粒度で管理するアクセス制御

ルールベースアクセス制御 (RuBAC)

ACLやケーパビリティテーブルで定義する

ルールベースアクセス制御 (RuBAC)

IPアドレスや特定の時間帯などでアクセスを制限する

ルールベースアクセス制御 (RuBAC)

ファイアウォールは、通過するすべてのトラフィックの制御

ルールベースアクセス制御 (RuBAC)

すべてのサブジェクトに適用されるルールを使用して許可を与える

ルールベースアクセス制御 (RuBAC)

アメリカにいるときはアクセスできるが、中国にいるときはアクセスできない

属性ベースアクセス制御 (ABAC)

接続先IPの地域が変わった際に追加の認証を求める

リスクベースアクセス制御

2要素認証を使用するようにしているシステムに構成する

リスクベースアクセス制御

割り当てられた職務やタスクを実行するために必要な最低限のレベルの権限を割り当てること

最小権限

知る必要のない情報にはアクセスできない

知る必要性

ロールやクリアランスのレベルを越えるアクセスを制限するプロセス

知る必要性

個人が信頼されたプロセスをすべて完了できてしまわないように制限するプロセス

職務と責任の分離

不正行為を防ぐために使用する

職務と責任の分離

リソースに近い人員にアクセス制御の権限を与えること

分散管理

IDとパスワードでアクセスしていくもの。（コンピュータ上で制御していくもの）

論理的アクセス制御システム (FICAM)

境界線にある特定の入り口を通る人や物の移動を管理する

物理的アクセス制御システム (PACS)

ログインユーザのアクセス権限によってインターフェースを制限すること

制限されたインターフェース

IDに関するすべての情報の集中的なリポジトリを提供する

IDストア

ドメインを超えて組織のID管理を統合すること

フェデレーションID管理 (FIM)

SAMLやOAuthなどを利用する

フェデレーションID管理 (FIM)

100

仲介サービスを行い、本人が誰であるか、名前は何かを主張する

IDプロバイダ (IdP)

CISSP_test1

CISSP_test1

CISSP_test2

エッグスンシングス · 77問 · 2年前

CISSP_test2

77問 • 2年前

CISSP_test3

CISSP_test3

CISSP_test4

CISSP_test4

CISSP_test5

CISSP_test5

CISSP_test6

エッグスンシングス · 57問 · 2年前

CISSP_test6

57問 • 2年前

CISSP（模擬テスト3）

エッグスンシングス · 30問 · 2年前

CISSP（模擬テスト3）

30問 • 2年前

CISSP本番

CISSP本番

CISS本番2

CISS本番2

Udemy

Udemy

CISSP本番3

CISSP本番3

CISSP本番4

CISSP本番4

CISSP本番5

エッグスンシングス · 14問 · 1年前

CISSP本番5

14問 • 1年前

ISC(Final Assessment )

エッグスンシングス · 40問 · 1年前

ISC(Final Assessment )

40問 • 1年前

CISSP　暗記（PORT）

エッグスンシングス · 85問 · 1年前

CISSP　暗記（PORT）

85問 • 1年前

CISSP(予想問題）

エッグスンシングス · 22問 · 1年前

CISSP(予想問題）

22問 • 1年前

ISC2（ドメイン1）

エッグスンシングス · 42問 · 1年前

ISC2（ドメイン1）

42問 • 1年前

ISC2（ドメイン2）

エッグスンシングス · 25問 · 1年前

ISC2（ドメイン2）

25問 • 1年前

ISC2（ドメイン3）

エッグスンシングス · 69問 · 1年前

ISC2（ドメイン3）

69問 • 1年前

ISC2（ドメイン4）

エッグスンシングス · 26問 · 1年前

ISC2（ドメイン4）

26問 • 1年前