バッファオーバーフロー攻撃は、アプリケーション内の不適切なパラメータチェックを利用します。これはバッファオーバーフローの古典的な形式であり、プログラマーは、入力の長さがプログラム内のバッファーのサイズよりも小さいことを確認せずに、ユーザーが提供する入力を受け入れるために発生します。
バッファオーバーフローの問題は、ソフトウェア開発とプログラミングで最も古く、最も一般的な問題の1つであり、インタラクティブコンピューティングの導入にまでさかのぼります。これは、プログラムが割り当てられたメモリのバッファを、そのバッファが保持できるよりも多くのデータでいっぱいにした場合に発生する可能性があります。プログラムがバッファの終わりを超えて書き込みを開始すると、プログラムの実行パスを変更したり、オペレーティングシステム自体が使用する領域にデータを書き込んだりすることができます。これにより、プログラムまたはシステムの管理者権限を取得するために使用される可能性のある悪意のあるコードが挿入される可能性があります。
Gaurabが説明したように、それは非常に複雑になる可能性があります。入力時に、入力の長さをチェックしている場合でも、バッファサイズと照合する必要があります。データのエントリポイントがApplication1のBuffer1に格納され、後でApplication2内のBuffer2にコピーする場合を考えてみます。データの長さを、Buffer1と照合するだけでは、バッファオーバーフローが発生しないことは保証されません。 Application2のBuffer2にあります。
試験に必要なコーディング知識のレベルに関するISC2の本からの少しの安心感：
CISSPは、エキスパートプログラマーである必要はなく、内部を知っている必要もありません。
FORTRANプログラミング言語のようなアプリケーションソフトウェアコードの開発の仕組み、または
Javaを使用してWebアプレットコードを開発する方法。CISSPが知っている必要さえありません
バッファオーバーフローエクスプロイトの主要な区分などの詳細なセキュリティ固有のコーディング慣行または
C言語でstrcpyよりもstr（n）cpyを好む理由（そのような知識はすべて、
もちろん、役に立ちました）。CISSPは、セキュリティが
このような開発に含まれるCISSPは、基本的な手順と概念を知っている必要があります
ソフトウェアプログラミングの設計と開発に関与します。つまり、
ソフトウェア開発プロセスを監視し、セキュリティが含まれていることを確認するCISSP、
CISSPは、プログラミング開発とセキュリティの基本的な概念を理解する必要があります
さまざまなアプリケーション開発プロセスの長所と短所。
以下は不正解です。
「バッファは非常に多くのデータしか保持できないため」は正しくありません。これは確かに真実ですが、最高ではありません
バッファの有限サイズは問題ではないので答えてください-問題は
プログラマーは、入力をバッファーに移動する前に、入力のサイズをチェックしませんでした。
「悪用しやすい弱点だから」は正しくありません。この答えは時々真実ですが、
バッファオーバーフローの根本的な原因はプログラマーがしなかったことであるため、最良の答えではありません
ユーザー入力のサイズを確認してください。
「システムメモリが不足しているため」は正しくありません。これは、
バッファオーバーフロー。
この質問に使用される参照：
Hernandez CISSP、Steven（2012-12-21）。CISSP CBK、第3版の公式（ISC）2ガイド
（（ISC）2 Press）（Kindle Locations 13319-13323）。AuerbachPublications。キンドル版。

ロールベースのアクセス制御（RBAC）は、従来の随意アクセス制御（DAC）および強制アクセス制御（MAC）ポリシーの代替手段です。RBACの背後にある主な動機は、組織の構造に自然に対応する方法で企業固有のセキュリティポリシーを指定し、実施したいという願望です。従来、セキュリティを管理するには、組織のセキュリティポリシーを比較的低レベルの制御セット（通常はアクセス制御リスト）にマッピングする必要がありました。

正解は認証です。「取引の履歴のレビュー」に回答します。監査システムデータのレビューです、
通常、事後に行われます。回答「説明責任」は個人に責任を負わせる
彼らの行動のために、そして答えdはより高い感度を得ています
感度の低い多数の情報からの情報。

B2セキュリティレベルでは、システムが個別のオペレーターとシステム管理者の役割をサポートする必要があります。
B3およびA1では、システムはセキュリティ関連の機能を実行するためにセキュリティ管理者の機能を明確に識別する必要があります。
出典：KRUTZ、Ronald L.＆VINES、Russel D.、CISSP準備ガイド：マスタリング
コンピュータセキュリティの10のドメイン、John Wiley＆Sons、2001年、第6章：運用
セキュリティ（220ページ）。
また：
U.S。国防総省、Trusted Computer System Evaluation Criteria（Orange Book）、
DOD5200.28-STD。1985年12月（ここでも入手可能）。