Explanation:「crypto isakmp identity address 172.19.20.24」というコマンドは無効です。使用できるのは「crypto isakmp identity {address | hostname}」のみです。次の例では、2 つのピアで事前共有キーを使用し、両方の ISAKMP ID を IP アドレスに設定します。ローカル ピア (10.0.0.1) では、ISAKMP ID が設定され、事前共有キーが指定されます。 crypto isakmp identity address crypto isakmp key sharedkeystring address 192.168.1.33 リモート ピア (192.168.1.33) では、ISAKMP ID が設定され、同じ事前共有キーが指定されます。 crypto isakmp identity address crypto isakmp key sharedkeystring address 10.0.0.1 参照: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/security/a1/sec-a1-cr-book/sec-crc4.html#wp3880782430 コマンド「crypto enrollment peer address」は無効ですどちらでも構いません。「crypto ca identity ...」コマンドは、ルーターの信頼できるCAを宣言し、caidentity設定モードに入るためにのみ使用されます。また、このコマンドの後にはIPアドレスではなく名前を指定する必要があります。例えば、「crypto ca identity CA-Server」のように入力します。→回答Aは正しくありません。残された選択肢の中で、最も適切なのは回答Bのみです。
コマンド「crypto isakmp identity address 172.19.20.24」は無効です。「crypto isakmp identity {address | hostname}」のみ使用できます。次の例では、2 つのピアで事前共有キーを使用し、両方の ISAKMP ID を IP アドレスに設定します。
ローカルピア（10.0.0.1）では、ISAKMP IDが設定され、事前共有キーが指定されます。
暗号ISAKMP識別アドレス
crypto isakmp key sharedkeystring address 192.168.1.33
リモートピア（192.168.1.33）では、ISAKMP IDが設定され、同じ事前共有キーが指定されます。
暗号ISAKMP識別アドレス
crypto isakmp key sharedkeystring address 10.0.0.1
参照：
コマンド「crypto enrollment peer address」も無効です。
コマンド「crypto ca identity ...」は、ルーターの信頼できる認証局（CA）を宣言するためにのみ使用され、caidentity設定モードに入ります。また、このコマンドの後にはIPアドレスではなく名前を指定する必要があります。例：「crypto ca identity CA-Server」→回答Aは正しくありません。
Explanation:「crypto isakmp identity address 172.19.20.24」というコマンドは無効です。使用できるのは「crypto isakmp identity {address | hostname}」のみです。次の例では、2 つのピアで事前共有キーを使用し、両方の ISAKMP ID を IP アドレスに設定します。ローカル ピア (10.0.0.1) では、ISAKMP ID が設定され、事前共有キーが指定されます。 crypto isakmp identity address crypto isakmp key sharedkeystring address 192.168.1.33 リモート ピア (192.168.1.33) では、ISAKMP ID が設定され、同じ事前共有キーが指定されます。 crypto isakmp identity address crypto isakmp key sharedkeystring address 10.0.0.1 参照: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/security/a1/sec-a1-cr-book/sec-crc4.html#wp3880782430 コマンド「crypto enrollment peer address」は無効ですどちらでも構いません。「crypto ca identity ...」コマンドは、ルーターの信頼できるCAを宣言し、caidentity設定モードに入るためにのみ使用されます。また、このコマンドの後にはIPアドレスではなく名前を指定する必要があります。例えば、「crypto ca identity CA-Server」のように入力します。→回答Aは正しくありません。残された選択肢の中で、最も適切なのは回答Bのみです。

DNSトンネリングとは、DNSプロトコルを利用してデータを外部に持ち出したり、侵害されたホストと攻撃者が制御するサーバー間でコマンド＆コントロールチャネルを確立したりする手法です。DNSトンネリングは、送信DNSトラフィックを検査やフィルタリングなしで許可するネットワークセキュリティ制御を回避できます。DNSトンネリングを阻止するには、次の2つの方法が推奨されます。
* ポート53のセキュリティを強化します。これは、ファイアウォールルール、アクセス制御リスト、またはその他のメカニズムを適用して、送信DNSトラフィックを許可されたDNSサーバーとドメインのみに制限することを意味します。さらに、DNSトラフィックを検査および分析して、異常に大きいクエリや頻繁なクエリ、非標準のエンコーディング、疑わしいドメインなどの異常がないか確認する必要があります。これにより、DNSトンネリングの試みを検出してブロックすることができます。
* Cisco Umbrella を使用してください。Cisco Umbrella は、DNS セキュリティ、Web セキュリティを提供するクラウドベースのセキュリティ サービスです。
* フィルタリングと脅威インテリジェンス。Cisco Umbrellaは、悪意のあるドメインをブロックし、コンテンツカテゴリに基づいたポリシーを適用し、機械学習を適用して新たな脅威を特定して阻止することで、DNSトンネリングを防止します。Cisco Umbrellaは、DNSアクティビティとセキュリティイベントに関する可視性とレポート機能も提供します。
参考文献 :
* Cisco Security Core Technologies (SCOR) v1.0 の実装と運用、モジュール 5: クラウドのセキュリティ、レッスン 5.2: DNS セキュリティ
* DNSトンネリングとは？ - パロアルトネットワークス
* DNSトンネリング検出とDNS経由のデータ漏洩入門 - Vercara

攻撃には大きく分けて3つの種類があります。
+ 大量のトラフィックを利用してネットワーク帯域幅を逼迫させるボリュームベースの攻撃
+ プロトコル攻撃（サーバーリソースの悪用を目的とする）
+ アプリケーション攻撃は、Webアプリケーションに焦点を当てた攻撃であり、最も高度で深刻なタイプの攻撃と考えられています。参照: https://www.esecurityplanet.com/networks/types-of-ddos-attacks/

ポスチャは、Cisco ISE のサービスで、エンドポイントがネットワークに接続する前に、企業セキュリティ ポリシーに準拠しているかどうかを確認します。ポスチャ ポリシーでは、エンドポイントが準拠するために満たすべき要件を定義します。たとえば、ウイルス対策ソフトウェアがインストールされ、更新されていること、特定のレジストリ キー値を持っていることなどです。エンドポイントが準拠している場合、Cisco ISE は認証変更 (CoA) を適用して、ネットワーク リソースへのアクセスを許可できます。CoA は、Cisco ISE が既存のセッションの認証属性 (VLAN、dACL、SGT など) を、ユーザーの再認証を必要とせずに動的に変更できるようにするメカニズムです。CoA は、ポスチャ評価結果、プロファイリングの変更、管理者による手動操作など、さまざまなイベントによってトリガーできます。CoA は、準拠していないエンドポイントを隔離または切断するためにも使用できます。したがって、エンドポイントが Cisco ISE で設定されたポスチャ ポリシーに準拠していることを確認することで、エンドポイントの状態が準拠している場合に CoA を適用できるというメリットが得られます。参照 :
* Cisco Identity Services Engine 管理者ガイド、リリース 2.2 - クライアントのポスチャ ポリシーの設定
* Cisco Identity Services Engine 管理者ガイド、リリース 2.2 - 認証の変更