カテゴリー CAS-004

新しい質問 66
あるセキュリティ・エンジニアが、最近発生したデータ漏えい事件の後、以下のような事象の記録を見直している：
* ハッカーは偵察を行い、会社のインターネットに面したウェブ・アプリケーション資産の足跡を作成した。
* サードパーティ製ホラリーの脆弱性がハッカーに悪用され、ローカルアカウントが侵害された。
* ハッカーはアカウントの過剰な権限を利用してデータストアにアクセスし、検知されずにデータを流出させた。
この種の攻撃が今後成功しないようにするための最善の解決策はどれか。

新しい質問 67
ある小規模企業では、運用コストを削減する必要がある。各ベンダーがソリューションを提案しているが、いずれも企業のウェブサイトやサービスの管理に重点を置いている。最高情報セキュリティ責任者（CISO）は、提案の中で利用可能なリソースはすべて専用でなければならないと主張していますが、プライベートクラウドの管理は選択肢にありません。この会社にとって最適なソリューションはどれか。

新しい質問 68
過去1年間の攻撃パターンを見直すと、攻撃者は侵害しやすいシステムを見つけた後、偵察を中止していることがわかる。同社は、貴重な攻撃情報を得ながら環境を保護するためにこの情報を利用する方法を見つけたいと考えている。
会社にとって、次のうちどれを導入するのがベストだろうか？

新しい質問 69
ある開発者が、安全な外部向けウェブアプリケーションを開発したいと考えています。その開発者は、以下の分野のツール、方法論、記事、文書を作成するオンラインコミュニティを探している。
Webアプリケーションのセキュリティ 次のうち、最も良い選択肢はどれですか？

新しい質問 70
ある組織がサードパーティの非重要ベンダーを評価したところ、そのベンダーはサイバーセキュリティ保険に加入しておらず、IT スタッフの離職率が高いことが判明した。この組織は、顧客のオフィス機器をあるサービス拠点から別の拠点に移動するために、このベンダーを利用している。そのベンダーは、API を介して顧客データを取得し、業務にアクセスしている。
この情報から、次のうち注意すべきリスクはどれか？

新しい質問 71
ある組織が、本番環境に導入される前にアプリケーションを審査する新しいソフトウェア保証プログラムを確立している。これらのアプリケーションを分析するには、次のうちどれを使用する必要がありますか？(2つ選択)。

新しい質問 72
あるネットワーク・チームは、会社の全従業員に安全なリモート・アクセスを提供するよう依頼された。チームは、ソリューションとしてクライアント・ツー・サイトVPNを使用することにした。話し合いの中で、最高情報セキュリティ責任者がセキュリティ上の懸念を示し、リモート・ユーザーのインターネット・トラフィックをメイン・オフィスのインフラを通してルーティングするようネットワーク・チームに要請した。こうすることで、リモート・ユーザーがVPNに接続したままローカル・ネットワーク経由でインターネットにアクセスすることを防ぐことができる。
これは次のどの解決策を表していますか？

新しい質問 73
ある製薬会社が最近、顧客向けウェブ・ポータルでセキュリティ侵害に遭った。攻撃者はSQLインジェクション攻撃を行い、同社の管理データベースからテーブルをエクスポートし、顧客情報を暴露した。
この会社は、IaaS モデルを利用する CSP でアプリケーションをホストしています。侵害の最終的な責任は、次のどの当事者にありますか？

新しい質問 74
あるセキュリティアナリストが、会社のWAFが適切に設定されていないことを発見した。メイン・ウェブ・サーバーが侵入され、悪意のあるリクエストの1つに以下のペイロードが見つかった：

この脆弱性を最も軽減できるのはどれか？

新しい質問 75
ある企業がグローバルサービスの展開を準備している。
GDPRのコンプライアンスを確保するために、会社がやらなければならないことは次のうちどれですか？(2つ選んでください)

新しい質問 76
あるセキュリティアナリストが、ある組織でコンテナ化のコンセプトを研究しています。そのアナリストは、単一のアプリケーションが利用可能なリソースを過剰に消費するために、Docker ホスト上でリソースが枯渇するシナリオが発生する可能性を懸念しています。
コンテナへのリソース割り当てを制限する機能を反映したLinuxのコアコンセプトBESTはどれか。

新しい質問 77
ある金融機関には、現在次のような管理体制をとっているところがいくつかある：
* セーバーは毎月パッチを当てるサイクルを守っている。
* すべての変更は、変更管理プロセスを経なければならない。
* 開発者とシステム管理者は、二要素認証を使用してデータをホストするサーバーにアクセスするためにジャンプボックスにログインする必要があります。
* サーバーは隔離されたVLAN上にあり、本番用内部ネットワークから直接アクセスすることはできません。
最近、承認プロセスを迂回するアップグレードのために障害が発生し、数日間続いた。
セキュリティチームが未承認のパッチがインストールされていることを発見した後、1時間以内に業務を再開することができた。今後、同様のインシデントが発生した場合、解決までの時間を短縮するために、セキュリティ管理者が推奨すべきはどれか。

新しい質問 78
使用中のデータを保護するために暗号化ソリューションを活用することで、データを確実に暗号化することができる：

新しい質問 79
あるセキュリティアーキテクトが、その環境に重要なセキュリティ機能を必要とする新規顧客のためのソリューションを設計している。その顧客は、アーキテクトに次のような一連の要件を提示している：
* 高度な持続的脅威の早期発見が可能。
* ユーザーに対して透過的であり、パフォーマンスの低下を引き起こさないこと。
+ 生産および開発ネットワークとのシームレスな統合を可能にする。
+ セキュリティチームが、生きた悪用テクニックを探し、調査できるようにする。
セキュリティ機能に対する顧客の要求を満たす技術は、次のうちどれがBESTか？A.

新しい質問 80
ある企業が、ミッションクリティカルなプロセスの運用に使用するソフトウェアのライセンス購入を決定した。サードパーティのデベロッパーはこの業界では新参者だが、同社が現時点で必要としているものを提供している。
サードパーティがアプリケーションのサポートを停止した場合に、ソースコードエスクローを利用することで企業の運用リスクを軽減できる理由を最もよく表しているのは、次のうちどれですか？

新しい質問 81
あるサイバーセキュリティアナリストは、企業がメールフィルタリングシステムの改善にかけられる予算の上限を決めるために、以下の表を作成した：


次のうち、ビジネスの予算ニーズに合っているのはどれですか？

新しい質問 82
ある企業が新しいビデオカードを発売した。供給が限られ、需要が高まっているため、攻撃者は自動化されたシステムを使い、同社のウェブストアを通じてデバイスを購入し、二次市場で転売している。同社の顧客は不満を募らせている。セキュリティエンジニアは、自動化システムで購入されるビデオカードの数を減らすために、ウェブストアにCAPTCHAシステムを導入することを提案します。次のうち、リスクのレベルを表すものはどれですか？

新しい質問 83
組織は災害復旧と事業継続を計画している。
インストラクション
以下のシナリオと手順を確認してください。各所見を、影響を受けるホストに一致させてください。
シナリオ3を適切なホストに関連付けた後、ホストをクリックして、その発見に対する適切な是正処置を選択する。
各所見は複数回使用することができる。
シミュレーションの初期状態に戻したい場合は、Reset Allボタンをクリックしてください。

新しい質問 84
あるセキュリティアナリストが、データベース管理者のワークステーションがマルウェアに感染していることを発見した。ジョグを調査した結果、侵入されたワークステーションは ODBC を介して複数のデータベースに接続していることが確認された。以下のようなクエリの動作が確認された：

このクエリがデータの取得と流出に使用されたと仮定した場合、漏洩したデータの種類は次のうちどれに該当し、インシデント対応計画にはどのような手順を含めるべきか。

新しい質問 85
ある企業が新しいサービスを立ち上げ、ユーザーがそのサービスにアクセスするためのランディング・ページをウェブサイト・ネットワーク内に作成した。会社のポリシーにより、すべてのウェブサイトは認証ページの暗号化を利用しなければならない。若手のネットワーク管理者は、新しい証明書を注文するために古い手順を使用した。その後、新しいWebページにアクセスすると、顧客から次のようなエラーが報告されている：
net:err_cert_common_name_invalid。管理者が次に行うべきこととして、最も適切なものはどれですか?