导图社区 CISSP学习笔记-域5（身份访问管理）
- 85
- 0
- 0
- 举报
CISSP学习笔记-域5（身份访问管理）
这是一篇关于CISSP学习笔记-域5（身份访问管理）的思维导图，主要内容包括：复习题，知识点。
编辑于2024-04-02 12:32:49- CISSP
- DPIA流程和模板
这是一篇关于DPIA流程和模板的思维导图，主要内容包括：DPIA模版，DPIA概述和范围，如何执行DPIA，可接受的DPIA标准，DPIA解决什么问题，DPIA执行标准。
- GDPR全文和解析
本文翻译了GDPR并且添加了解析，深入剖析GDPR的各个方面，可以更好地理解这一法规的重要性，并为企业和个人在数据保护方面提供有益的指导和建议。非常有价值。
- 信息安全技术 、数据安全能力成熟度模型DSMM详解
这是一篇关于信息安全技术 、数据安全能力成熟度模型Informatio的思维导图，主要内容包括：附 录 C (资料性附录) 能力成熟度等级评估流程和模型使用方法，附 录 B (资料性附录) 能力成熟度等级评估参考方法，DSMM架构，附 录 A(资料性附录) 能力成熟度等级描述与 GP，DSMM-数据安全过程维度，DSMM-安全能力维度。
CISSP学习笔记-域5（身份访问管理）
社区模板帮助中心，点此进入>>
- DPIA流程和模板
这是一篇关于DPIA流程和模板的思维导图，主要内容包括：DPIA模版，DPIA概述和范围，如何执行DPIA，可接受的DPIA标准，DPIA解决什么问题，DPIA执行标准。
- GDPR全文和解析
本文翻译了GDPR并且添加了解析，深入剖析GDPR的各个方面，可以更好地理解这一法规的重要性，并为企业和个人在数据保护方面提供有益的指导和建议。非常有价值。
- 信息安全技术 、数据安全能力成熟度模型DSMM详解
这是一篇关于信息安全技术 、数据安全能力成熟度模型Informatio的思维导图，主要内容包括：附 录 C (资料性附录) 能力成熟度等级评估流程和模型使用方法，附 录 B (资料性附录) 能力成熟度等级评估参考方法，DSMM架构，附 录 A(资料性附录) 能力成熟度等级描述与 GP，DSMM-数据安全过程维度，DSMM-安全能力维度。
- 相似推荐
- 大纲
CISSP学习笔记-域5（身份访问管理）
知识点
5.1. 控制对资产的物理和逻辑访问
5.1.1. 信息
5.1.1.1 身份和访问管理概述
身份和访问管理(IAM 或IDAM)是信息安全的基础，关注识别和验证请求访问资源的实体并确保对行为负责。实体可以是用户、系统、应用程序或流程。
IAM 包括四个基本要素：识别、认证、授权和审计 (IAAAA)
5.1.1.2 逻辑和物理访问控制
1 物理访问控制：包括门、窗帘、栅栏等，控制对建筑物的物理访问。
2 逻辑访问控制：涉及密码、PIN 码或共享对称密钥等，用于访问系统。
3 控制策路：需了 解组织的资产和访问优先级，针对有价值的物理资产和对保密性要求采用强大的物理访问控制，针对对数据完整性要求严格的信息系统采用逻辑控制
5.1.1.3 访问控制定义
•对象：
主体试图访问的实体，如文件、应用程序、设施或数据库。对象需满足保密性、完整性、可用性、不可否认性和真实性 （CIANA)的要求。
•主体：
可以是人类用户或非人类实体，如系统、程序和设备。主体需要访问对象，访问控制定义了如何授予、使用和监控这种访问。
•访问：
主体被允许对对象执行的操作。
5.1.1.4 信息(Information)
信息（包括原始数据）可出现在系统、设备、存储媒体、应用程序等处，并在这些地方进行传输、 存储或处理。
不同的信息需要不同类型或级别的保护，需根据信息的生命周期评估保护需求并采取相应措施。
5.1.2. 系统
5.1.2.1 系统的定义
系统是任何硬件、软件、人员、政策、程序和其他资源的集合，CISSP 中通常用于讨论电子信息系统。
5.1.2.2 系统访问控制实现 CIANA
•保密性：需确保系统中的信息安全，避免未经授权的访问。物理访问控制如上锁的保险箱，逻辑访问控制如全磁盘加密 (FDE)。
•完整性：通过访问控制防止未经投权的用户对信息进行修改。
•可用性 ：例如，上锁的服务器机柜可防止未经授权的用户惡意或意外地关闭系统。
· 真实性：使用IAM 中的认证证明系统中的信想、命令或其他信息可信。成功证明身份后，可以对主体或其提供的教据的可信度进行评估。
•不可否认性：依赖 IAM 系统唯一识别和认证主体的能力，以及系统行动和识别信息的记录。
5.1.2.3 集中式 IAM
集中式 IAM 管理由专门的访问控制功能（如一个团队或特定部门） 负责管理所有访问控制，带来严格监督和监测优势。缺点是可能存在单点故障。
5.1.2.4 分散式 IAM
分散式 IAM 管理将功能分散，通常将访问控制决策分配给系统或信息所有者。这提供了更大的自由和灵活性，但缺点是执行不一致和缺乏统一的监督。
5.1.3.设备
某些设备可能需要独特的安全措施来防止被盗或损坏。这些措施包括屏幕锁、远程擦除、应用程序和信息分离 （容器化），以及其他各种物理和逻辑措施。
设备IAM 的目标是确保端点安全，限制不安全设备的访问，并确保仅授权用户能够访问。
5.1.4. 设施
5.1.4.1 物理访问控制系统 (PACSS)
物理访问控制系统包括实施物理安全的设施，例如：大门、围栏、旋转门、安全徽章和警卫。
此外，还包括操作这些控制所需的管理程序，例如：警卫监视时间表、徽章要求、装货区程序以及访客登记和护送。
注意事项：
•在设计 PACSS 时，还必须考虑紧急情况，因为人命是首要考虑的问题。
•云服务提供商（CSP） 和个人拥有的智能手机己成为许多组织需要保护的新财产
•所选控制措施的复杂性必须与被保护资产的价值成正比。
5.1.4.2 物理访问控制系统要素
1.用户和设备识别
人员通常通过身份证、贴纸或徽章进行识别，物品可以使用 RFID 标签、条形码或快速响应 (QR)码进行识别。
2.栅栏和大门
栅栏可以防止不必要的进入，并引导人们到受控入口点。大门提供实施额外检查的能力，如出示 ID 徽章或输入密码，在那里进行识别和认证。
3.安全门
只允许出示适当凭证的人进入，例如使用智能卡、智能手机应用程序或 PIN码。
4.锁和钥匙
5.入侵检测传感器
这些传感器属于探测控制，可以检测不正当进入。例如，红外、声波和重量或压力传感器，可根据体温、玻璃破碎声音或人侵者行动来检测入侵者。
6旋转门或双闸门
旋转门一次通常只允许一个人通过，双闸门则要求用户在进入一个安全前庭空间时出示一套凭证，然后需要另一套凭证才能从前庭进入主空间。
7.闭路电视监控
8.保安
警卫人员是最有用、最灵活、也是最昂费的物理访问控制形式之一。
5.1.5. 应用
1.最小特权原则
应用程序的访问应是遵循最小特权原则，根据角色的访问控制 (RBAC)模型授予适当且非过度的访问权限。
2.知其所需原则（因需可知）
应用程序对特定数据的访问应遵循知其所需原则。例如，在移动设备管理(MDM)中，容器化技术可通过逻拚隔离防止未经投权的应用程序访问组织数据。
3访问权限粒度
应用程序通常提供多层次的用户访问权限。粒度描述了 可控制访问的级别。高粒度应用程序支持定制每个用户对特定对象的访问，而低粒度应用程序仅允许对应 用程序及其包含的所有数据的基本允许/拒绝访问。不充分的粒度可能导致安全漏洞。
5.2. 管理人员、设备和服务的识别和认证
5.2.1. 身份管理 (IdM)的实施
身份管理 (IdM)的几个关键功能：
1.创建：通过处理请求来建立身份，支持审查和批准过程。
2搬销：实現用户删除流程，确保身份和访问权限的及时移除。
3.身份和账户管理：提供集中或分散的账户管理功能，以便于有效地管理用户身份。
4投权管理：在身份创建之后，IdM 负责为该身份分配初始访问权限。
5.身份审查：对用户身份和访问权限进行监督和审核，以确保安全和合规性。
5.2.2. 单因素和多因素认证(MFA)
5.2.2.1 身份认证因素
1. 三类主要的身份验证因素：
•你知道什么（知识因素，类型 1）：密码、口令或安全问题的答案等。
•你有什么（占有因素，类型2）：手机、USB-Key、门禁卡等。
•你是什么（生物因素，类型3)：指纹、虹膜扫描等。
单因素身份验证使用一种认证因素，多因素身份验证使用两种或以上。类型1最弱，类型3最强，但类型3 也易被绕过。因此，建议采用多因素身份验证。
2 新类型的身份验证因素
考虑用户认证的位置和方式。如来自新设备或陌生地点的登录，触发多重认证(MFA)提示。
5.2.2.2 你知道什么（类型1）
优点：简单易用，易于实现。
缺点：容易忘记，易被攻击者破坏。
1.NIST SP 800-63B 最新的密码策略建议：
重视可用性而非复杂性 ：复杂密码会难以记忆，允许更多的输入尝试，以考虑到用户打错宇的情况。
增加长度而不是复杂性：允许使用较长的口令 (如1PassedTheCISspcertifrcation) 而不增加复杂度(如：iP@ss3dTh3C1sSp),前者对用户来说更容易记住，而后者可能会导致更多意外的用户锁定。
更少的更改 口令更难猜测或破解，所以目前的指导意见要求只有在密码被泄露时才进行更改。
2.常规的密码建议：
•密码长度：不少于8个字符。
•密码复杂性：包含大写宇母、小写字母、数宇和特殊宇符。
•密码生存期：定期更改密码。
•嘧码存储：加密存储，不明文存储。
•密码恢复：有效策略处理遗忘和遗失。
•密码检查：检查是否己使用过。
•密码强度评估：提示用户选择更强密码。
组织应根据行业及合规要求制定符合自身的密码策略。
5.2.2.3 你有什么（类型 2）
如数宇证书、身份徵章或智能卡、物理认证令牌和基于智能手机的认证器应用程序。通常不单独使用，可能存在共享或借用。
1.数宇证书：电子证明，证明拥有者的身份和公钥。
2.号份徽章或智能卡：带有识别用户身份的物理介质。智能卡器输人密码或指纹验
3.物理认证令牌：生成一次性认证代码的物理设备。
•同步动态密码令牌(TOTP)：与服务器时间同步，定期生成密码。
•异步动态密码令牌(HOTP)：手动触发获取动态密码，使用nonce （一次性使用的数字）确保密码的一次性。TOTP 使用基于时间的一次性密码标准。HOTP 使用基于 HMAC 算法的一次性密码标准。
4.基于智能手机的认证器应用程序：移动应用，生成一次性认证代码，并通过智能手机验证用户身份。
5.2.2.4 你是什么(类型 3）
生物识别因素用于识别或验证身份。作为MFA 的第二或第三因素使用，不常单独使用。
常见生物识别方法：
•指纹识别：扫描手指纹，用于设备解锁。
·视网膜识别：扫描视网膜血管图案，高准确性，难以破解，可能泄露健康信息（PHI) 和安全问题。
•虹膜识别：扫描虹膜图案，准确度高，可实现远距离识别。
•面部识别：扫描面部特征，用于设备解锁和抓捕罪犯。
•语音识别：识别身份的语音识别技术。
•手写识别：扫描手写宇迹识别身份。
•电图识别 ：扫描心电图识别身份。
5.2.2.5 常见的访问控制错误
·错误拒绝率（FRR）：类型1错误。 有效的生物特征无法通过验证，用于安全要求高的环境。
假阴性，拒绝了正确用户
•错误接受率 (FAR)：类型 2错误。 无效的生物特征被错误识别为有效身份，用于安全要求低的环境。
假阳性，允许了错误用户
•交叉错误率(CER）是FRR 和 FAR 交叉点，用作标准评估值。比较生物识别设备的准确性，具有较低 CER 的设备比具有较高 CER 的设备更准确。
5.2.2.6 多因素身份验证 (MFA)
单独使用密码容易被猜测，单独使用令牌容易丢失或被窃，单独使用生物识别会有误报。组合使用可提高强度和准确度。
5.2.3. 问责制
问责制 (Accountability）是确保用户或程序对其所执行的操作和作出的决策承担责任的机制。要实现有效的问责制，需要明确识别和记录谁（用户或程序）进行了什么操作 （行为）。这要求为每个用户或程序提供唯一的标识，并验证其身份的真实性。
5.2.4.会话管理
会话管理从用户识别和认证开始，结束于断开与应用程序或系统的连接。保护会话期间交换的数据和先据是关键。会话也需要遵循安全要求，例如限制时间长度和仅在特定主机间进行。
1. 为实现安全会话管理，请采取以下措施：
•强大的认证机制
•高强度会话密钥
•优秀的加密算法和机制
•限制会话超时时间
•非活动会话自动断开
•检测异常活动控制措施
2.会话相关安全漏洞：
•会话劫持：攻击者冒充通信双方之一，目的在于获取或篡改信息。
•会话侧劫持：同网用户通过数据包嗅探劫持会话，窃取会话 cookie 信息并冒充合法用户。
•会话固定：针对重用会话ID 的 Web 应用的攻击，攻击者使用现有会话ID 诱导用户浏览器进行身份验证并窃取凭证。
3. 会话管理安全实践
•OWASP 发布的会话管理最佳实践指南：https://shorturl.ac/owasp_ session。
建议：
•使用长且复杂的会话ID 宇符串，避免明显的可识别信息。
-以 Cookie 形式存储会话令牌时设置适当安全属性，如Secure 属性，强制使用HTTPS。
•道循开发最佳实践，避免在URL中包含会话ID，不共享会话 ID，及时删除不需要的会话 ID。
5.2.5. 注册、证明和确定身份
身份管理关注验证用户信息并创建用户账户或凭证以建立身份，需要考虑系统及其数据的安全性，包括真实性、保密性和完整性
1.NIST 的身份保证级别(IALS）分为 3个级别：
•IAL1 （自我证明身份）
最低级别，只需用户自证身份。无需将个人与验证过的现实生活中的身份关联。适用于现实世界后果不涉及问责制的系统。
•IAL2（提交身份文件和证明）：
要求用户亲自或远程提交身份文件和证明进行实名认证。常应用于雇佣场景，需要向雇主提供有效身份文件。
•IAL3(实际存在身份证明及正式审查）：
最高级别，需亲自出示可靠证据(如政府签发身份证）进行身份证明，并经过培训的CSP 工作人员正式审查身份和文件。亲自验证提高了信任度。
2.保证水平需求取决于系统及其数据的安全要求以及用户工作敏感性。
如：在航空公司运营中，根据工作敏感性，可能对不同员工有不同识别要求。为乘容提供指引的迎宾员对生命、健康和安全影响较小，因此只需IAL2；而机械师和维修人员可能需要更严格的审查。
3,在身份信息提交、核实并验证至适当水平后，即可为用户建立身份。
5.2.6. 联合身份管理 (FIM)
联合身份管理（FIM) 通过在参与联合的系统间共享用户认证和访问权限，实现减少管理开销和简化多套凭证管理。FIM 与单点登录 (sSO）类似，旨在降低账户创建和管理成本，为用户提供便捷访问，并带来安全优势。然而，也需认真评估联合带来的风险，如果联合中的某个组织的安全实践不足，可能会对整个联合中的其他系统造成安全风险。
5.2.7. 凭证管理系统 (CMS)
凭证管理系统让组织能集中管理用户 ID 和密码。这类系统可以作为商业软件产品获取，并在企业内部或云环境中部署。
CMS 的主要职责是为用户创建账户，并在各个系统和集中式身份管理系统（例如 LDAP或Microsoft Active Directory）中按需分发凭证。凭证管理系统可以作为独立应用程序存在，或成为 IAM 系统的一个组件。
5.2.8.单点登录 (SSO)
SSO 是一种认证方法，允许用户一次认证访问多个资源。实现 SSO 的技术包括Kerberos 和 Windows Active Directory。 将 SSO 与联合身份管理结合，可利用第三方身份提供者验证用户访问多个组织和网站等资源。
SSO 优势：
•减轻用户密码管理负担，降低弱密码风险。
•快速检测和响应可疑行为。
SSO 缺点：
•—损俱损：SSO账户被入侵时，所有支持 SSO 的应用程序均受影响。
5.2.9. 及时（JIT） 身份和访问管理
及时 (JIT)）访问控制在执行特定任务时为应用或资源提供临时访问，以实施最小特权原则。
常见场景：
•钥匙库：：作为特权帐户管理元素，由中央保管库存储共享账户凭证，特定时间内提升权限。
·临时创建账户 ：根据需要动态创建具有所需权限的临时账户；使用后立即自动删除。
·临时提升特权：账户在有限时间内被赋子提升权限，时间过后自动删除。
5.3. 与第三方服务的联合身份
5.3.1. 身份即服务 (IDaas)
IDaas是联合身份（FIM）的延伸，用于满足不同团队、部门和组织间合作需求。
通常实现了如 SAML和 OAuth 等联合解決方案，以满足内部和外部系统中的IAM 需求。
第三方 IDaas 的主要风险：
•单点故障：若 IDaas 出现故障，相关系统将无法使用。
•控制权丧失：身份识别是访问控制基础，将其外包存在高风险。若 IDaaS 供应商数据泄露，企业的身份和访问管理信息可能受影响。
5.3.2. 企业内部
企业内部身份管理 （IdM)解决方案的主要优势在于对 IAM 系统中使用的硬件和软件的完全控制，例如托管在企业办公室或数据中心的轻量级目录访问协议(LDAP） 或微软活动目录(AD）系统。
5.3.3.云
1基于云的身份服务由第三方的身份即服务 (IDaas)提供，负责识别、授权和访问管理。常用于组织内部客户使用的云服务提供商的 Saas 应用程序，如与 ActiveDirectory 集成的 Microsoft Office 365 和 Azure 云。
2云解决方案可能需要云访问安全代理(CASB） 来控制和过滤对云服务的访问。CASB 提供访问控制、审计和问责制服务。
3.基于云的服务具有较高的可靠性和可用性，因为云服务提供商的数据中心具有多重冗余。与本地服务相比，基于云的服务可显著降低成本，减少设备购买和维护以及专业人员的需求。
5.3.4. 混合型
混合身份服务解决方案结合了基于云和内部的身份管理方案。混合模式为企业提供最佳选择，既保留一定程度的控制，同时享受基于云的方案的优势，如弹性和成本效益。
混合型的风险：
•需要足够资源维护双重 IAM 实施。尽管迁移到云端能减少内部维护要求，但混合方法并未完全消除这一需求。
•混合方法带来了与基于云的IAM 相同的风险，因为第三方管理身份。
•若IDaaS遭受破坏，将产生额外风险，因为内部资源依赖于与IDaaS供应商同步的内部 IAM。
5.4. 实施和管理授权机制
5.4.1. 理解授权机制
5.4.1.1 权限、权力和特权的比较
•权限 (permission)
技术层面上，用户对资源的访问权限，如可读取、可读写、可执行等。
•权利 (right)
现实层面的权利，例如，您有权查看数据库的数据，前提是您有读取权限。
对比
•特权 (privilege)
权限和权利的组合称为特权。
•权益 (Entitlement)
权利指的是授予用户特权的数量，通常在首次分配账户时指定。
5.4.1.2 理解授权机制
1隐式拒绝（白名单机制）
对于不在白名单上的访问，按照拒绝处理。例如：未被认证的用户不能访问网站。
2.能力表（关注主体能力）
考虑主体，确定主体能够访问的客体和执行的操作。例如：普通员工可以访问文件共享，但不能修改。
3访问控制列表 （关注客体被访问情况）
考虑客体，确定客体能够被访问的用户和执行的操作。例如：私密文件只能被管理员访问。
4.访问控制矩阵（能力表和访问控制列表组成）
组合能力表和访问控制列表， 如防火墙的访问控制。例如：通过防火墙限制不合法的访问。
5.约束接口（限制用户操作)
限制用户的操作和视图。例如：系统菜单不能被普通用户修改。
6.依赖内容的控制（根据客体内容限制)
根据容体内客限制用户。例如：根据数据库中的视图限制用户的访问。
7.依赖上下文的控制 （根据主体动作或时间限制）
根据主体动作或时间限制用户。例如：只有在工作时间才能访问文件服务
8.知其所需（限制主体只访问工作所需内容）
因需可知
9.最小特权（授予主体仅执行工作所需权限）
10.职责分离（敏感任务分多人执行)
11.纵深防御（多层保护机制，包括物理、技术、管理控制)
5.4.1.3 使用安全策略定义需求
组织的安全策略决定访问控制需求并指导实施。现代信息系统和「环境通常实施混合的访问控制模式，包括基于规则)的防火墙、具有动态访问控制的共享系统，以及确定基于角色的访问控制所器的特定工作职能和相关权限的人力资源部门。
5.4.2. 基于规则的访问控制(RUBAC)
基于规则的访问控制(RUBAC)是一种根据预先定义的规则列表来决定授权的方法。为避免与基于角色的访问控制混淆，通常简写为RUBAC。 如同宴会的客人名单，名单上的人允许进入，其他人则被拒绝。
信息系统中，访问控制列表(ACL) 通常用于实现 RUBAC， 如防火墙规则集，决定允许或阻止哪些 IP 地址或端口。
基于规则的系统有两种方式：
1.隐式允许 ：所有访问默认允许。除非存在明确禁止访问的规则。例如，商店向所有公众开放，但拒绝已知会偷窃的特定顾客。
2.隐式拒绝：仅批准名单上的人被允许访问，其他人默认拒绝。有时称为全部拒绝或例外允许，这种方法是基本的安全最佳实践，因为它威少了未经授权访问的机会。
5.4.3. 基于角色的访问控制 (RBAC)
基于角色的访问控制(RBAC) 是一种以组织内用户角色为依据来控制资源访问的方法。
RBAC 的优点：
•根据工作职能分配权限：RBAC 通过为每个角色分配所需权限，降低未经授权人员访问敏感信息的风险。
•角色级別的权限管理：管理员可以在角色层面管理权限，而非针对每个用户，从而简化访问控制管理流程，提高效率。
•支持审计和问责制：RBAC 记录谁具有何种资源的访问权及何时获得访问权的审计跟踪，以便进行安全事件调查和确保适当的访问控制。
•实施最小特权原则：通过 RBAC 分配权限，确保用户仅获得完成工作所需的权限，从而遵循最小特权原则。
注意：在安全领域公认的惯例是，RBAC 的缩写只与基于角色的访问控制相关。
5.4.4. 强制性访问控制 (MAC)
强制性访问控制(MAC)是一种严格的访问控制模式，常应用于军事和政府组织。
在 MAC模式下，安全管理员负责分配访问权限，而非数据所有者。
通过为主体和容体分配安全标签来实施 MAC。例如，用户拥有“秘密” 安全标签时．将无法访问标为“最高机密”的文件，但可访问“秘密”或“非机密”的文件。
MAC 在保密性和完整性模型 （如 Bell-LaPadula、Biba 和 Clark-Wilson 模型）中应用广泛。总之，MAC 是一种严格且非自由裁量的访问控制方法，适用于高安全需求的组织。
5.4.5.自主访问控制 (DAC)
自主访问控制 (DAC) 是一种访问控制模型，由系统或数据所有者自行决定哪些主体可以访问某个资源。DAC 为分散式访问控制，具有灵活性，但管理起来较为困难。
以微信朋友圈为例：发布者可以决定内容是否对其他用户公开，或仅限于特定用户群（如亲密的朋友或家人）访问。
5.4.6.基于属性的访问控制 (ABAC)
基于属性的访问控制 （ABAC)结合了用户、主机、网络和设备等方面的属性，依据策略做出访问决策。ABAC 灵活地控制访问权限，如基于星期、时间、登录地点等。
状态防火墙是一个例子，通过评估主体属性来决定访问请求。ABAC 提供了一种根据属性和策略进行细致控制的方式。
5.4.7. 基于风险的访问控制
基于风险的访问控制模式将风险视为动态变化，并调整授权。与RBAC 和RUBAC等模式不同，它利用威胁情报、系统日志和用户行为等参数进行动态认证。
例如，当部门受到网络钓鱼攻击时，IAM 系统可暂时增加 MFA 登录频率以减轻威胁。金融机构也采用此模式检测个人账户欺诈，因风险状况会随用户行为和活动变化。
5.5. 管理身份和访问供应的生命周期
5.5.1. 访问管理的生命周期
5.5.2. 账户访问和使用审查
5.5.2.1 账户访问审查
•查对象：用户账户（与个人相关） 和系统账户（非人类账户，如自动备份、API调用等）。
•审查内容：检查用户对系统、数据和权限的访问是否合适，申查不活跃或休眠账户、过多权限和有毒访问组合。
•审查频率：由组织根据法律、监管义务和潜在损害決定。
•自动化审查：利用 SIEM 或SOAR 等安全工具进行自动审查。
5.5.2.2 账户使用情况审查
•审查用户和系统账户的行为，识别不需要或不适当的使用权限，并实施问责。
•使用情况申查可作为访问串查的一部分，用SIEM 等自动工具执行或通过随机审计。这对维护安全和识别可疑事件（如攻击者权限升级）至关重要。
5.5.3. 配置和撤消配置
•配置是授权访问系统、数据和资源的过程，而撤销配置是撤销这些访问权限。通常与员工变动（如入职、离职、调岗或晋升）相关，需与人力资源或 IT团队协调确保安全执行。
•访问管理政策应考虑敌对、友好和工作变动下的用户访问变化。
•撤销配置需遵循隐私法规，提供适当的禁用和删除用户数据方法，如提供账户注销入口。
5.5.4.角色定义
角色是根据用户的部门、职能或工作职责来定义访问权限的一种方式。它遵循访问管理原则，如最小特权，并实施安全控制，如职责分离。角色简化了配置和撒销配置过程，只需将用户分配到角色，而非逐个授权。持续更新角色成员资格是配置和取消配置周期的关键环节。
5.5.5. 特权提升
特权提升是获取更高权限的过程。
1.正常特权升级：
•需审查必要性、记录并尽量使用角色或组实施。常见方法包括临时权限（如 Linux的sudo 或 Windows 的runas 命令） 和紧急访问。
2.特权提升攻击：
•纵向升级攻击：攻击者试图获取更高权限，如通过 SQL注入。
•横向升级攻击（横向移动）：攻击者获取更多同级别账号权限。
3.防范措施：
•实施最小权限原则
·及时修复漏洞
·执行漏洞扫描
·监控网络流量和行为
·制定强密码策略
·安全意识培训
5.6. 实施认证系统
5.6.1. 开放ID连接（OIDC） 和开放授权 (Oauth)
5.6.1.1 开放授权 (OAuth)
OAuth 是一个开放的协议，当前最新的版本是2.0，允许以简单和标准的方法从网络、移动和桌面应 用程序中获得安全授权，它专注于授权而不是认证。
OAuth 定义的四个关键角色：
1） 客户端(Client)：任何对受保护资源提出访问请求的应用程序。
2）资源所有者(Resource Owner)：拥有受保护资源并能够授予他人使用该资源的权限的人,通常是最终用户，也可以是应用程序或服务。这些权限通常是通过一个同意对话框授予的。
3)授权服务器(Authorization Server)：任何在成功认证后向客户发出访问令牌的服务器；令牌在整个联盟系统中用于获得访问。
4) 资源服务器(Resource Server) ：托管受保护资源的任何服务器，它接受并响应访问请求。
5.6.1.2 OpenID 连接 (OIDC)
OIDC 在 OAuth 2.0版本之上增加了认证功能，并联合了身份管理，为用户提供似SSO 的认证体验。
1.ldPs 及JWT
在OIDC中，用户可以选择身份提供者(IdPs)，如：微信、微博、微软、谷歌等。
身份提供者(OpenlD Provider)向最终用户提供一个 ID token,该 token 被编码为JWT(Json Web Token)
2.获取 token 的流程
用户选择一个IdP，然后使用 OAuth 向依赖方提供认证信息。OIDC 中的认证信息以令牌（WT)的形式从OIDC 提供商 (OP）传递给依赖方 (RP)，令牌中包含关于用户的主张和对其主张的身份认证。
总结：为了减少混淆，请记住，OAuth 是一个授权框架，OpenID是一个认证层，而 OpenlD Connect (OIDC）是一个认证框架，位于 OAuth 之上，提供认证和授权服务。
5.6.2． 安全断言标记语言 (SAML)
安全断言标记语言（SAML)是一个基于 XML 的开源标准数据格式，它在当事方之间交换身份验证和授权数据，尤其是在身份提供者和服务提供者之间交换。最新版本是SAML2.0.
1.SAML 交互过程
首先是主体（如网络浏览器），它向服务提供者（如网络应用）发出请求，服务提供者依靠身份提供者 (IdP） 的断言来进行用户识别、认证和授权。
2 SAML 的四个组成部分。
1） 断言(Assertions)：定义了SAML 属性，如认证和授权信息协议或框架如何被
服务使用。
2）绑定(Bindings)：规定了在各参与方（如用户、身份提供者和服务提供者）之间如何进行请求-响应式的通信。
3） 协议(Protocols)：规定了在参与方之间如何打包和交换消息，包括 HTTP 和简单对象访问协议 (SOAP)。
4) 配置(Profiles) ：在特定的 SAML实现中，配置是断言、绑定和协议的组合。
SAML、OAuth2、QOIDC比较
5.6.3. Kerberos
kerberos 是一种流行的开放标准认证协议，被广泛用于各种技术，包括 Linux 和UNIX，其中最突出的是微软的活动目录。kerberos 是由 MIT 开发的，提供 SSO 和端到端的安全认证服务。它的工作方式是生成认证令牌，称为票证，安全地发放给用户，以便他们能够进一步访问网络上的资源。kerberos 使用对称密钥加密法和共享秘钥，而不是通过网络传输密码。
1.Kerberos 几个重要的组成部分：
1） 委托人：使用Kerberos 进行识别和认证的各方，包括用户和服务或应用程序。
2) 密钥分发中心 (KDC)：用于执行新用户的注册，并维护秘密密钥的数据库。
3) 认证服务器 (AS)：管理授予票据（TGT)的生成和分发，通过交换加密数据执行验证，以确保安全访问服务器。
4）票据授予服务 (TGS)：生成会话票证，当安全委托人需要对资源或彼此进行认证时，这些票证将提供给他们。
Kerberos at Work
2.Kerberos 风险点
•KDC 单点故障，除非有多个服务器的冗余设置。
•认证和票据分发高度依赖于 Kerberos 领域的系统时间同步，需要 NTP 支持，否则会在票据上产生时间戳问题
5.6.4. RADIUS 和TACACS+
5.6.4.1 RADIUS
RADIUS 是一种访问协议，可以为远程连接到网络提供认证、授权和计费(AAA)服务，最初用于支持拔号到大型 ISP。它支持多种认证协议，如PAP、CHAP 和 MS-CHAP，但只对密码进行加密。由于使用 UDP 协议，必须消耗更多资源，并需要内置错误检查机制以弥补 UDP 的无连接性。
5.6.4.2 TACACS+
Cisco 专有协议，可将AAA(认证、授权和审计)分别托管到不同服务器，通过TCP49 端口传输，可加密所有身份验证信息。
TACACS+支持多因素认证。
5.6.4.3 Diameter
Diameter 是为了克服RADIUS 的局限性而开发的，是无线设备和智能手机使用的点对点协议，但它与 RADIUS 不能向后兼容。
复习题
1 以下哪个功能描述为一种侧重于主体并识别每个主体可以访问的对象的访问控制模型？ A. 访问控制列表 B. 隐式拒绝列表 C.能力表 D.权限管理矩阵
C 主体-能力表 客体-访问控制列表 主体客体-矩阵
2,Jim 的组织广泛支持基于云的应用的 IDaaS实施。Jim 的公司没有内部身份管理人员，也不使用集中身份服务。相反，他们依赖 Active Directory提供 AAA 服务。以下哪个选项是Jim 应该推荐的最佳处理公司内部身份需求的方式？ A. 使用OAuth 集成内部系统。 B. 使用本地第三方身份服务。 C.使用 SAML 集成内部系统。 D. 设计一个内部解决方案来处理组织的独特需求。
B P508 基于云的联合通常使用第三方共享联合身份
3.以下哪个不是Kerberos 的弱点？ A.KDC是单点故障。 B.KDC 被攻击者控制将允许冒充任何用户。 C. 认证信息没有加密。 D.容易受到密码猜测的攻击。
C
4. 声音模式识别属于哪种身份验证因素类型？ A. 你所知道的东西 B. 你所拥有的东西 C. 你所是的东西 D. 你所在的地方
C
5. 如果Susan 的组织要求她使用用户名、PIN码、密码和视网膜扫描来登录，那么她使用了多少种不同的身份验证因素类型？ A. 一种 B. 两种 C.三种 D.四种
B
6.Charies 想要部署一个凭证管理系统（CMS)。他希望尽可能保护密钥的安全性。以下哪个是他的CMS 实施的最佳设计选项？ A. 使用 AES-256 代替 3DES。 B. 使用长密钥。 C.使用 HSM（硬件安全模块）。 D.定期更改口令短语。
C 没找到，记住
7.Bran是一所大学的研究员。 作为他的研究的一部分，他使用自己大学的凭据登录托管在克工所机构的计算集群。一旦登录，他可以根据自己在研究项目中的角色访问集群并使用资源：而时还可以使用他所在机构的资源和服务。 Bran的所在大学实施了什么来实现这一点？ A. 域堆叠 B. 联合身份管理 C.域嵌套 D.混合登录
B
8.将以下步骤按照它们在 Kerberos 认证过程中发生的顺序排列。 1. 生成客户端/服务器票证 2. 生成TGT （票据授予票证） 3.生成客户端/TGS（票据授予服务器）密钥 4. 用户访问服务 5. 用户提供认证凭据 A. 5,3,2,1,4 B. 5,4,2,1,3 C. 3,5,2,1,4 D.5,3,1,.2,4
A A选项应该是52314
Kerberos 认证过程 Kerberos认证过程是一个涉及客户端(Client)、认证服务器(AS)和服务票据授予服务器(TGS)之间的交互协议，其主要步骤如下： 1.客户端向认证服务器(AS)发送一个身份认证请求，这通常包含用户名和密码。 2. AS验证客户端的凭据，如果凭据有效，AS生成一个加密的“票据授权票”(Ticket Granting Ticket, TGT)。TGT包含用户的身份信息和一个会话密钥，然后TGT被返回给客户端。 3. 客户端使用密码解密TGT，获取会话密钥。这个会话密钥将用于后续的通信。 4. 当客户端需要访问特定的网络服务时，使用会话密钥生成一个“服务票据”(Service Ticket)，并将其发送给TGS。 5. TGS验证客户端的TGT，如果TGT有效，TGS生成一个加密的服务票据，并使用服务的密钥加密服务票据后返回给客户端。 6. 客户端将服务票据发送给服务，服务使用服务票据中的会话密钥进行验证。如果服务票据有效，服务允许客户端访问所需的服务。 这个过程确保了客户端的身份得到验证，并且客户端有权访问请求的服务。同时，Kerberos协议使用对称密钥加密算法和时间戳来保护数据在传输过程中的安全性
9. 分散访问控制通常会导致什么主要问题？ A. 可能发生访问中断。 B. 控制不一致。 C.控制过于细粒度。 D.培训成本高。
B
10. 回拔到固定电话号码是哪种类型的身份验证因素的例子？ A. 你所知道的东西 B 你所在的地方 C. 你所拥有的东西 D. 你所是的东西
B
11. Kathleen 需要设置一个 Active Directory 信任关系，以允许与现有的 Kerberos K5 域进行身份验证。她需要创建哪种类型的信任关系？ A. 快捷信任(A shortcut trust) B. 林信任(A forest trust) C. 外部信任(An external trust) D.领域信任(A realm trust)
D
12. 以下哪种 AAA 协议是最常用的？ A. TACACS B. TACACS+ C. XTACACS D. Super TACACS
B
14 Windows系统上的用户无法使用发送消息功能。哪种访问控制模型最能描述这种限制 A. 最小权限 B. 需要知道 C.有限界面 D. 职责分离
C 查书
15. 哪种类型的访问控制允许文件的所有者使用访问控制列表授予其他用户文件的访问权限？ A. 基于角色的 B. 非自主的 C. 基于规则的 D．自主的
D
16.Alex 的工作要求他查看受保护的健康信息 （PHI），以确保对患者的适当治疗。他对患者的医疗记录的访问权限不包括访问患者地址或账单信息。以下哪个访问控制概念最适合描述这种控制？ A. 职责分离 B. 受限接口 C.上下文相关控制 D.需要知道
D
对于问题 17-19，请根据您对Kerberos 登录过程的了解并参考下面的因表： 17 在图表中的A点，客户端特用户名和密码发送给KDC。 用户名和密码如何 受到保护？ A.3DES 加密 B. TLS 加密 C. SSL 加密 D.AES 加密 18. 在图表中的B点，在验证用户名有效后，KDC 向客户端发送了哪两个重要 元素？ A. 加密的 TGT 和公钥 B. 访问票据和公钥 C 加密的、带时间戳的TGT 和使用用户密码的哈希值加密的对称密钥 D 加密的、带时间戳的TGT 和访问令牌 19. 客户端在使用TGT 之前必须执行哪些任务？ A. 它必须生成 TGT 的哈希值并解密对称密钥。 B.它必须接受TGT 并解密对称密钥。 C 它必须解密 TGT 和对称密钥。 D.它必须使用对称密钥向 KDC 发送有效响应，并且必须安装 TGT。
D Microsoft Active Directory 支持 Rivest Cipher 4 (RC4)、高级加密标准 128 位 (AES-128)、高级加密标准 256 位 (AES-256) 和数据加密标准 (DES) 加密。这些加密算法通过安全散列算法 (SHA) 和消息摘要算法 5 (MDA5) 之类的加密散列函数进行了扩充。最好避免使用 DES 加密，此加密被认为不安全。
C
B
https://blog.csdn.net/weixin_46944519/article/details/126828074?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522171202843516800213053640%2522%252C%2522scm%2522%253A%252220140713.130102334..%2522%257D&request_id=171202843516800213053640&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~top_positive~default-1-126828074-null-null.142^v100^pc_search_result_base3&utm_term=Kerberos&spm=1018.2226.3001.4187 有详细解释
20 sam正在计划在他的组织中实施生物特征验证系統，并考虑使用视网膜扫描，其他人在他組织中可能对视网膜扫描提出什么担忧？ A.视网膜扫描可能会揭示有关医学状况的信息。 B.视网膜扫描会因为需要对用户的眼睛进行一次气流喷射而带来痛苦。 C.视网膜扫描仪是最昂贵的生物特征设备类型。 D.视网膜扫描仪存在高误报率，会导致支持问题。
A
21. 强制访问控制基于哪种类型的模型？ A.自主访问控制 B. 基于组的访问控制 C.基于格的访问控制 D.基于规则的访问控制
C
22. Greg 希望控制在他组织中用作销售终端的 iPad 的访问权限。在共享环境中，他应该使用以下哪种方法来实现设备的逻辑访问控制？ A.对所有销售终端使用共享的PIN码，使它们更易于使用。 B. 使用OAuth 允许每个用户进行云登录。 C.为每个用户领发一个独特的PIN码，用于他们所使用的iPad。 D.使用 Active Directory 和用户账户来登录 iad，使用 AD 用户 ID和密码。
D
23. 提供身份使用的可追溯性的最佳方式是什么？ A. 日志记录 B 授权 C. 数字签名 D.类型1认证
A 没找到，记住
24 Jim 在过去几年中在他的公司担任人力资源、工资和客户服务角色。他的公司应该执行以下哪种类型的流程，以确保他拥有适当的权限？ A. 重新配置 B. 账户审查 C.特权扩张 D.账户撤销
B
25.Biba 属于哪种类型的访问控制模型？ A. MAC B. DAC C.角色 BAC D. ABAC
A P525 windows NTFS文件系统使用了DAC windows 操作系统使用了RBAC 防火墙 基于规则 软件定义网络 ABAC P530 MAC基于格子，依赖分类标签，都说明Biba和Bell-～是属于MAC
26. 以下哪个是一个客户端/服务器协议，旨在允许网络访问服务器通过向中央服务器发送访问请求消息来对远程用户进行身份验证？ A. Kerberos B. EAP C. RADIUS D. OAuth
C
27.Henry 正在与Web 应用程序开发团队合作，为公司的新应用程序设计身份验证和授权过程。团队希望使会话 ID 尽可能安全。以下哪个不是Henry 应该推荐的最佳做法？ A. 会话ID令牌应可预测。 B. 会话ID 应具有至少64 位的熵。 C 会话长度应至少为 128 位。 D.会话ID应无意义。
A
28.Angela 使用一个嗅探器监视配置了默认设置的 RADIUS 服务器的流量。她应该监视哪个协议，并旦她将能够读取哪些流量？ A.UDP，无法读取任何流量。所有RADIUS 流量都被加密。 B.TCP.除了密码外，可以读取所有流量，密码被加密。 C.UDP. 除了密码外，可以读取所有流量，密码被加密。 D.TCP，无法读取任何流量。所有RADIUS 流量都被加密。
C
29. 哪种类型的访问控制最好描述了 NAC 的姿态评估功能？ A. 强制访问控制 B.基于风险的访问控制 C.自主访问控制 D. 基于角色的访问控制
B P532 记住
30. 当应用程序或系统允许已登录用户执行特定操作时，这是什么的例子？ A. 角色 B. 组管理 C. 登录 D.授权
D
31. Alex 在公司工作了十多年，曾在公司担任多个职位。在一次审计中发现，他由于以前的职位而可以访问共享文件夹和应用程序。 Alex 的公司遇到了什么 问题？ A. 过度配置 B. 未经授权的访问 C.特权扩张 D 账户审查
C
32. Geoff 希望在组织中防止特权升级攻击。以下哪种做法最有可能防止横向特权升级？ A. 多因素身份验证 B. 限制组和账户的权限 C. 禁用未使用的端口和服务 D.对应用程序中的用户输入进行净化处理
A
33.Jim 的Microsoft Exchange 环境包括位于世界各地的多个业务办公室的本地 数据中心中的服务器，以及适用于不位于这些办公室之一的员工的 OFFice 365 部署。在这两个环境中创建和使用身份，并且在两者中都可以工作。Jim 正在运行哪种头型的联合系统？ A. 主要云系统 B. 主要本地系统 C.混合系统 D.多租户系统
C
34. 下表显示了哪种类型的访问控制方案？ A. RBAC B DAC C MAC D TBAC
C 基于格子，主体客体都有属性，所以是MAC
35. Michelle 的公司正在将营销和传播部门拆分为两个独立的团队，创建一个新的部门。她希望创建能够为每个团队提供资源访问权限的角色。为了维持适当的安全性和权限，她应该怎么做？ A 将营销团队在现有现有的组中，因为它们将具有类似的访问要求。 B 保持营销团队在现有组中，并根据其特定需求创建一个新的传播组。 C 保持传播团队在现看组中，并根据其特定需求创建一个新的营销组。 D.创建两个新组，评估它们执行角色所需的权限，如果需要，添加额外的权限。
D
36. 当主体声明一个身份时，发生了什么过程？ A. 登录 B. 识别 C.授权 D.令牌呈现
B
37. 狗、守卫和围栏都是什么类型的控制的常见示例？ A. 检测型 B.恢复型 C.行政型 D.物理型
D
38.Susan 的组织正在更新密码策略，并希望使用最强大的密码。哪项密码要求对防止暴力破解攻击的影响最大？ A. 将最长使用时间从 1年更改为 180天。 B. 将最小密码长度从8 个字符增加到 16 个字符。 C.增加密码复杂性，要求至少三个字符类别（例如大写宇母、小写宇母、数宇和符号）。 D.保留至少四个密码的密码历史记录，以防止重复使用。
B 增加长度影响最大
39. Alaina 正在执行定期计划的服务账户审查。她最关心以下哪种事件？ A. 服务账户的交互式登录 B. 服务账户的密码更改 C.对服务账户权限的限制 D.使用服务账户的本地操作
A P508 书中原话-将账户设置为非交互式账户
40. 在使用生物特征识别的组织中，何时可能选择允许更高的 FRR 而不是更高的 FAR? A.当安全性比可用性更重要时 B. 当由于数据质量问题不担心错误拒绝时 C. 当系统的 CER 未知时 D. 当系统的 CER 非常高时
A
41在最近有关工作改在工作时间以外未经授权访问的报告后，Derek被要來找到一种方法，确保维护人员不能登录到商务办公室的工作站。维护人员确实在他们的休息室和办公室中拥有组织的系统，因为他们仍然需要访问这些系统。为了满足这个需求，Derek 应该怎么做？ A要求多因素身份验证，只允许办公室员工拥有多因素令牌。 B.使用基于规则的访问控制，在工作区域的非工作时间禁止登录。 C. 使用基于角色的访问控制，设置一个包含所有维护人员的组，并为该组 赋予仅登录指定工作站的权限。 D.使用地理围栏，仅允许在维护区域登录。
C
42. Nick 想为他的 Web 应用程序进行会话管理。以下哪些是常见的 Web 应用程序会话管理技术或方法？（选择所有适用项。） A. IP 跟踪 B. Cookies C.URL重写 D.TLS令牌
BC 记住
对于问题 43-45，请使用您对 SAML 集成和安全架构设计的了解，并参考以下情景和图示：Alex 负责与一家为他的组织提供各种业务生产力服务的重要第三方合作伙伴进行 SAML 集成。 43.Alex 对 SAML 流量的窃听非常担心，并希望确保伪造的断言不会成功。为了防止这些潜在的攻击，他应该怎么做？ A. 使用 SAML 的安全模式提供安全认证。 B. 使用强密码套件实施 TLS，以保护免受这两种攻击。 C.使用强密码套件实施TLS，并使用数宇签名。 D.使用强密码套件实施 TLS 和消息哈希。 44. 如果 Alex 的组织主要由外部出差用户组成，将关键业务应用程序集成到现场身份验证中会产生什么可用性风险，他应该如何解决？ A. 第三方集成可能不可信；使用SSL 和数字签名。 B. 如果本地组织离线，出差用户将无法访问第三方应用程序；实施混合云，本地身份验证系统。 C.本地用户可能无法正确重定向到第三方服务；实施本地网关。 D浏览器可能无法正确重定向；使用主机文件以确保解决重定向问题。 45. 哪种解决方案可以最好地帮助解决步骤2 中所示的由第三方控制 SSO 重定 向的问题？ A.关于可信第三方的意识活动 B. TLS C.在本地站点处理重定向 D.实施IPS 以捕获 SSO 重定向攻击
C
B
A记住
46.Susan 被要求推荐她的组织应该使用 MAC 方案还是 DAC 方案。如果实施访问控制需要灵活性和可扩展性，她应该推荐哪种方案，为什么？ A. MAC， 因为它提供更大的可扩展性和灵活性，只需根据需要添加更多的 标签即可 B.DAC，因为允许各个管理员对他们控制的对象进行选择，提供可扩展性 和灵活性 C.MAC， 因为分区化非常适合灵活性，添加分区将使其具有良好的可扩展 性 D.DAC， 因为中央决策过程可以快速响应，并通过减少所需的决策数量和 将这些决策移至中央机构提供可扩展性和灵活性
B
47.以下哪种工具通常不用于验证按照确保组织安全策略的方式进行了配置的供应过程？ A.日志审查 B. 手动权限审查 C.基于签名的检测 D.审查审计跟踪记录
C 记住
48.Jessica 需要向第三方组织发送有关她正在提供的服务的信息。她应选择哪种基于标准的标记语言来构建接口？ A. SAML B. SOAP C. SPML D. XACML
C 记住
49. 在一次渗透测试中，克里斯恢复了一个文件，其中包含他试图访问的系统的散列密码。哪种类型的攻击最有可能针对哈希密码成功？ A. 暴力攻击 B.通过哈希值的攻击 C 彩虹表攻击 D 一个盐恢复攻击
C
50 谷歌与跨领域的各种组织和应用程序进行身份集成，是以下哪种情況的例子？ A. PKI B. 联邦 C. 单点登录 D. 供应
B 记住
51.Amanda 开始新工作，并发现她可以访问各种她在工作中不需要的系统。她遇到了什么问题？ A. 权限蔓延 B. 杈限冲突 C.最小权限 D.权限过多
D
52. 当 Chris 验证一个人的身份并向身份系统添加一个唯一标识符，如用户 ID 时，发生了什么过程？ A. 身份验证 B. 注册 C. 目录管理 D.会话管理
B
53.Selah 希望为她组织的主要业务应用程序提供行为可追踪性。在这种情况下，最常用的控制措施是什么？（选择所有适用项。） A. 启用审计日志记录。 B. 为每个员工提供唯一帐户并启用多因素身份验证。 C. 启用基于时间和位置的登录要求。 D.为每个员工提供唯一帐户并要求自选密码。
AB
54. Chariles 希望作为他的web 应用程序的一部分提供授权服务。如果他希望与其他web 身份提供者轻松集成，他应该使用哪个标准？ A. OpenID B. TACACS+ C. RADIUS D. OAuth
D
55 cameron所在的公司使用一种系统，允许用户在必要时请求对系统的特权访问。。Camneron 清求访问权限，由于他的角色，请求被预先批准。然后，他可以访问系统执行任务。完成后，权限被删除。他正在使用哪种类型的系统 A. 零信任 B. 联合身份管理 C. 单点登录 D.及时访问
D
56. Ene 负责构建一个银行网站。她需要验证注册网站的用户的身份。她应该加何验证用户的身份？ A. 要求用户创建只有他们知道的唯一问题。 B. 要求新用户亲自携带驾驶执照或护照到银行。 C.使用银行和用户都具备的信息，如从他们的信用报告中提取的问题。 D.投打用户注册的电话号码，以验证他们所声称的身份。
C
57.Susan 所在的组织是一个联合体的一部分，允许来自多个组织的用户访问其他联合站点的资源和服务。Susn想在合作伙伴站点使用服务时，使用哪个 身份提供者？ A. Susan 所在组织的身份提供者 B. 服务提供商的身份提供者 C. 他们的身份提供者和服务提供商的身份提供者 D.服务提供商创建一个新的身份
A
58.一家使用指纹扫描仪对用户进行身份验证的银行的新客户惊讶地发现，当他扫描他的指纹时，登录到了另一个客户的账户。发生了哪种类型的生物特征因素错误？ A. 注册错误 B. 一类错误 (A Type 1 error ) C.二类错误(A Type 2 error) D.使用时间、使用方法错误
C
·错误拒绝率（FRR）：类型1错误。 有效的生物特征无法通过验证，用于安全要求高的环境。
假阴性，拒绝了正确用户
•错误接受率 (FAR)：类型 2错误。 无效的生物特征被错误识别为有效身份，用于安全要求低的环境。
假阳性，允许了错误用户
59. 防火墙通常使用哪种类型的访问控制？ A.任意访问控制 B. 基于规则的访问控制 C.基于任务的访问控制 D.强制访问控制
B
60. 当您输入用户 ID 和密码时，您正在执行什么重要的身份和访问管理活动？ A.授权 B. 验证 C.认证 D. 登录
C
61.Katleen在一个提供物理数据中心空间给个人和组织的数据中心托管设施工作。直到最近，每个用户都会收到一张基于磁条的钥匙卡，用于访问其服务器所在的设施部分，他们还会收到一把钥匙，用于访问其服务器所在的笼子或机架。在过去的二个月里，有一些服务器被盗，但通行证的日志只显示有效的ID。为了确保通行证用户是他们应该是的人，keatnleen 最好的选择是什么？ A 添加需要通行证用户输入PIN 的读卡器， B.在设施中添加摄像系统，以观察谁正在访问服务器。 C.添加生物特征因素。 D.将基于磁条的钥匙卡替换为智能卡。
C
62 Theresa 希望允许她的员工安全地存储和管理系统的密码，包括服务账户和其他很少使用的管理凭证。她应该实施哪种类型的工具来实现这一目标？ A. 单点登录 B. 联合身份系统 C.密码管理器 D. 多因素认证系统
C 记住
63.Olivia 想限制用户可以通过 sudo 运行的命令，以减少权限提升攻击的可能性。她应该修改哪个 Linux 文件来实现这一目标？ A.bash 的.bin 配置文件 B.sudoers 文件 C. bash 的.allowed 配置文件 D.sudont 文件
B
64. MAC 模型中哪些对象和主体具有标签？ A. 被分类为机密、机密或绝密的对象和主体具有标签。 B.所有对象都有一个标签，所有主体都有一个隔室。 C.所有对象和主体都有一个标签。 D. 所有主体都有一个标签，所有对象都有一个隔室。
C
对于问题 65-67， 请参考以下情景和图表： Chris 是一个不断发展的电子商务网站的身份架构师。他和他的团队打算利用社会身份，允许用户使用他们现有的Google 账户作为在电子商务网站上的主要账户。这意味着当新用户最初连接到电子商务平合时，他们可以选择使用他们的Google 账户（使用 OAuth 2.0）或者使用自己的电子邮件地址和自己选择的密码在平合上创建一个新账户。 65. 当电子商务应用程序为 Google 用户创建一个账户时，该用户的密码应该存 储在哪里？ A．密码存储在电子商务应用程序的数据库中。 B.密码存储在电子商务应用程序服务器的内存中。 C.密码存储在 Google 的账户管理系统中。 D．密码不会被存储；相反，一个经过盐哈希处理的值会被存储在 Google 的账户管理系统中。 66. 以下哪项负责对 Google 用户进行用户认证？ A. 电子商务应用程序。 B. 既有电子商务应用程序，也有Google 服务器。 C. Google 服务器。 D.图表没有提供足够的信息来确定这一点。 67. 创建和交换状态令牌的目的是为了防止哪种类型的攻击？ A. XSS B. CSRF C. SQL注入 D. XACML
D
C
B 跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。跟跨网站脚本（XSS）相比，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。 防御： 检查Referer字段 HTTP头中有一个Referer字段，这个字段用以标明请求来源于哪个地址。在处理敏感数据请求时，通常来说，Referer字段应和请求的地址位于同一域名下。以上文银行操作为例，Referer字段地址通常应该是转账按钮所在的网页地址，应该也位于www.examplebank.com之下。而如果是CSRF攻击传来的请求，Referer字段会是包含恶意网址的地址，不会位于www.examplebank.com之下，这时候服务器就能识别出恶意的访问。 这种办法简单易行，工作量低，仅需要在关键访问处增加一步校验。但这种办法也有其局限性，因其完全依赖浏览器发送正确的Referer字段。虽然http协议对此字段的内容有明确的规定，但并无法保证来访的浏览器的具体实现，亦无法保证浏览器没有安全漏洞影响到此字段。并且也存在攻击者攻击某些浏览器，篡改其Referer字段的可能。 添加校验token 由于CSRF的本质在于攻击者欺骗用户去访问自己设置的地址，所以如果要求在访问敏感数据请求时，要求用户浏览器提供不保存在cookie中，并且攻击者无法伪造的数据作为校验，那么攻击者就无法再运行CSRF攻击。这种数据通常是窗体中的一个数据项。服务器将其生成并附加在窗体中，其内容是一个伪随机数。当客户端通过窗体提交请求时，这个伪随机数也一并提交上去以供校验。正常的访问时，客户端浏览器能够正确得到并传回这个伪随机数，而通过CSRF传来的欺骗性攻击中，攻击者无从事先得知这个伪随机数的值，服务端就会因为校验token的值为空或者错误，拒绝这个可疑请求。
68.一你的宠物叫什么名字？这样的问题展于哪种类型的身份验证？ A. 基于知识的认证 B.动态基于知识的认证 C. 带外身份验证 D.第三种身份验证因素
A
69. Madhuri 创建了一张包含已分配特权、对象和主体的表格，用于管理她负责的系统的访问控制。每当一个主体试图访问一个对象时，系统会检查该表格以确保主体具有适当的对象权限。Madhuri 正在使用什么类型的访问控制系统？ A. 能力表 B. 访问控制列表 C.访问控制矩阵 D.主体/对象权限管理系统
C
70. 在审查支持票证时，Ben 的组织发现密码更改占其帮助案例的四分之一以上。以下选项中，哪个最有可能显著减少这个数宇？ A. 双因素认证 B. 生物识别认证 C. 自助式密码重置 D.密码短语
C 记住
71. Brian 所在的大型组织多年来一直使用 RADIUS 提供网络设备的AAA服务。 并最近意识到在认证过程中传输的信息存在安全问题。Brian 应该如何为 RADIUS 实施加密？ A. 使用 RADIUS 中内置的加密功能。 B.使用TLS 在其本机 UDP 上实现 RADIUS,以提供保护。 C. 使用TLS 在TCP 上实现 RADIUS.以提供保护。 D.在设备之间使用 AES256 预共享密码。 。
C RADIUS本身使用UDP协议，使用TLS后就是TCP协议。
72 jim允许基于云的应用程序代表他访问其他网站上的信息。以下哪种工具可以实现这一点？ A. Kerberos B. OAuth C.OpeniD D. LDAP
B 需要一个授权协议，所以是OAuth
73.Ben 的组织在午餐时间员工不在座位时出现了 未经授权访问应 用程序和工作站的问题。对于 Ben 推荐的最佳会话管理解決方案是什么，以帮助防止这种类型的访问？ A 对所有访问使用会话ID，并验证所有工作站的系统IP地址 B.为应用程序设置会话超时，并在工作站上使用密码保护的屏幕保护程序，并设置不活动超时。 C 对所有程序使用会话ID，并在工作站上使用密码保护的屏幕保护程序序。 D.为应用程序设置会话超时，并验证所有工作站的系统IP 地址。
B
74 以下图表展示了哪种类型的身份验证场景 A. 混合联合 B. 在场联合 C.云联合 D. Kerberos 联合
A P508 基于云的联合通常使用第三方共享联合身份 混合联合是云计算联合和本地联合的组合
75. Chris 希望在控制对设施的访问的同时识别个人。他还希望确保这些个人被准许进入的人，而且不希望有重大的持续成本。以下选项中的哪些解决方案将满足所有这些要求？（选择所有适用项。） A. 安保人员和照片身份证 B. 带有PIN码键盘的 RFID 徽章和读卡器 C. 带有PIN码键盘的磁条徽章和读卡器 D.安保人员和磁条读卡器
BC
76. 像Yubikey 或 Titan Security key 这样的设备属于哪种类型的第2认证因素？ A. 令牌 B.生物识别标识符 C.智能卡 D. PIV
A 记住
77. 与OAuth 配对可以使用 RESTful API 进行身份验证和获取用户配置文件信息的身份验证技术是什么？ A. SAML B. Shibboleth C. OpenID Connect D. Higgins
C
78.Jim希望实施一种访问控制方案，以确保用户不能委派访问权限。他还希望在操作系统级别执行访问控制。哪种访问控制机制最符合这些要求？ A. 基于角色的访问控制 B. 自主访问控制 C.强制访问控制 D.基于属性的访问控制
C
79.Susan 所在公司的安全管理员已经配置了她使用的工作站，只允许她在工作时间登录。最能描述这种限制的是哪种类型的访问控制？ A. 受限接口 B.上下文相关控制 C.内容相关控制 D.最小特权
B
80.Ben 使用的是每分钟更改一次代码的基于软件的令牌。他使用的是哪种类型的令牌？ A. 异步 B. 智能卡 C.同步 D.静态
C
81. 防火墙是哪种类型的访问控制机制的例子？ A. 强制访问控制 B. 基于属性的访问控制 C.自主访问控制 D. 基于规则的访问控制
D
82.Michelle 在一家金融服务公司工作，希望为她的web 应用程序注册客户。 如果她希望在初始登录时快速自动验证该人是否为其所声称的人，而不必与其建立先前的关系，她可以使用什么类型的身份验证机制？ A. 要求其社会安全号码。 B. 使用基于知识的身份验证。 C.执行手动身份验证。 D.使用生物识别因素。
B 记住
83 Megan 的公司希望使用 Google帐户让用户快速采用其 Web 应用程序。 Megan 需要实施哪些常见的云联合技术？（选择所有适用项） A. Kerberos B. OpeniD C. OAuth D. RADIUS
BC
84. 会话ID 的长度和会话ID 的嫡对于防止哪种类型的攻击至关重要？ A. 拒绝服务 B. Cookie 盗取 C. 会话猜测 D. 中间人攻击
C
85. Naomi 所在组织的访问控制系统在允许她连接到网络之前，会检查她的计算机是否完全打补于，是否进行了成功的反恶意软件扫描，以及防火墙是否打开等其他安全验证。如果存在潜在问题，她将被禁止连接并必须联系支持部门。最能描述这种类型过程的是哪种类型的访问控制方案？ A. MAC B. 基于规则的访问控制 C.基于角色的访问控制 D．基于风险的访问控制
D
86. lsabelle 希望通过其组织的服务账户防止特权升级攻击。以下哪种安全实践 最适合这种情况？ A. 移除不必要的权限。 B 禁用服务账户的交互式登录。 C. 限制账户登录时间。 D.使用无意义或随机化的服务账户名称。
A
87. 允许OpenlD 依赖方控制与 OpeniD 提供方的连接会产生什么危险？ A. 可能导致选择不正确的 OpenlD 提供方。 B. 通过向虛假的 OpenID 提供方发送数据，可能导致钓鱼攻击。 C.依赖方可能能够窃取客户的用户名和密码。 D. 依赖方可能不会发送已签名的断言。
B
88. Jim 正在为他的组织实施一种云身份解决方案。他正在采用哪种类型的技术？ A. 身份作为服务 B. 员工身份作为服务 C.基于云的 RADIUS D. OAuth
A IDaaS
89.Kisten希望根据员工的职位、每个职位组需要的应用程序权限、时间和位置来控制对组织中的一个应用程序的访问。她应该选择哪种类型的控制方案？ A 属性基准访问控制 (ABAC) B.自主访问控制 (DAC) C.强制访问控制 (MAC) D.角色属性基准访问控制 (Role BAC)
A
90,Alex 作作为Linux 服务器上的许多用户设置下面图表中显示的权限时，他正在利用哪种类型的访问控制模型？ $ chmod 7313 al $ 1s -la total 12 drwxr-xr-x 3 root drwxr-xr-x 3 root A. 基于角色的访问控制 B. 基于规则的访问控制 C.强制访问控制 (MAC) D. 自主访问控制 (DAC)
D
91.Joanna 领导她所在組织的身份管理因队，并希望确保在员工变动到新职位时，角色得到更新。她应该关注员工的哪个问题，以避免出现角色定义方面出现问题？ A. 注册 B.权限蔓延 C. 废止 D.账户责任
B
92下图显示的是哪种类型的授权机制？ A. 基于角色的访问控制 (RBAC) B. 属性基准访问控制 (ABAC) C.强制访问控制 (MAC) D.自主访问控制 (DAC)
A
93. Susan 正在解决Kerberos 身份验证问题，其中包括 TGT （票据授予票）不被接受为有效票据，“以及无法获取新票据。如果她正在解决的系统已经正确配置了Kerberos 身份验证，她的用户名和密码是正确的。她的网络连接正常，可能的问题是什么？ A.Kerberos 服务器离线。 B. 存在协议不匹配。 C．客户端的 TGT 被标记为受损和未授权。 D Kerberos 服务器和本地客户端的时间时钟未同步。
D
94. Brian 希望向组织的管理层解释本地联合身份的好处。下列哪个选项不是联合身份系统的常见好处？ A. 简化帐戶管理 B. 单点登录 C. 防止暴力攻击 D.提高生产力
C
95.Aaron 所在的银行希望允许客户使用与其合作的第三方合作伙伴提供的新附加应用程序。由于不是每个客户都希望或需要账户，Aaron 建议银行使用基于 SAML 的工作流程，当用户下载应用程序并尝试登录时，创建一个账户。他建议使用哪种类型的配置系统？ A. 即时配置 (JIT) B. OpeniD C. OAuth D. Kerberos
A
96.Windows 默认使用哪种身份验证协议用于 Active Directory 系统？ A. RADIUS B. Kerberos C. OAuth D. TACACS+
B Kerberos:Kerberos是Active Directory的默认身份验证服务
97.Valerie 需要控制在BYOD 环境中部署到移动设备的应用程序的访问。哪种类型的解决方案最能让她对应用程序行使控制，同时确保它们不会在终端用户使用的设备上留下残留数据？ A. 将应用程序部署到 BYOD 设备并要求每个设备使用唯一的PIN。 B 已将应用程序部暑到桌面系统，并要求用户使用远程棠面使用企业认证来访问它们。 C.使用应用程序容器将应用程席部署到 BY0D 设备，并要求每个设备使用唯一的PIN。 D.使用虛拟托管应 用程序环境，需要使用企业凭据进行身份验证。
D
98. 将以下授权机制与其描述进行匹配： 1. 基于角色的属性基准访问控制 (Role-BAC) 2. 基于规则的属性基准访问控制 (Rule BAC) 3.自主访问控制 (DAC) 4. 属性基准访问控制 (ABAC) 5. 强制访问控制 (MAC) A. 由操作系统强制执行的访问控制模型。 B. 根据IP地址、时间或其他特定细节匹配要求来授予权限或权利。 C.有时称为基于策略的访问控制，该模型使用有关主体的信息来分配权限。 D.一种模型，授予具有适当权限的主体将这些权限分配或传递给其他主 E. 用于基于工作或职能分配权限。
1E2B3D4C5A
99. 将数字认证技术与相应的类别进行匹配。每种技术应与一个类别匹配。每个类别可以使用一次、多次或不使用。 认证技术 1. 密码 2.ID卡 3. 视网膜扫描 4. 手机令牌 5. 指纹分析 类别： A. 拥有的东西 B. 知道的东西 C. 是的东西
1B2A3C4A5C
100. 将以下身份和访问控制与其最适合保护的资产类型进行匹配。每个选项只能选择一次。 1.信息资产 2.系统 3. 移动设备 4. 设施 5. 合作伙伴应用程序 A.自主访问控制 B.门禁读卡器 C.联合身份管理 D．生物识别身份验证 E. 带有多因素认证的用户帐户
1A2E3D4B5C