「show interface」コマンドは、スイッチやルータなどのネットワーク デバイス上の個々のポートまたはインターフェイスの状態を診断するために使用されます。このコマンドは、動作状態、エラー、および接続の切断などの問題を特定するのに役立つその他の関連統計に関する詳細情報を提供します。参考文献: [CISSP - Certified Information Systems Security Professional]、ドメイン 4. 通信とネットワーク セキュリティ、4.2 ネットワーク コンポーネントのセキュリティ保護、4.2.1 安全な通信チャネルの確立、4.2.1.1 伝送方法。
[CISSP試験概要]、ドメイン4.通信とネットワークセキュリティ、4.2 セキュアネットワークコンポーネント、
4.2.1 安全な通信チャネルを確立する、4.2.1.1 伝送方法

ID フェデレーションと Security Assertion Markup Language (SAML) 実装を使用するシステムに対するリプレイ攻撃を軽減する最善の方法は、時間指定セッションと Secure Socket Layer (SSL) を使用することです。リプレイ攻撃は、有効なメッセージまたはデータをキャプチャして再送信し、不正アクセスを取得したり悪意のあるアクションを実行したりするネットワーク攻撃の一種です。ID フェデレーションは、異なる組織やアプリケーションなど、異なるセキュリティ ドメイン間で ID 情報を共有できるようにするプロセスです。SA​​ML は、認証情報と承認情報を交換するために XML ベースのアサーションを使用することで ID フェデレーションを可能にする標準プロトコルです。リプレイ攻撃を防ぐために、システムでは時間指定セッションと SSL を使用できます。時間指定セッションは、期間が制限されており、一定時間または非アクティブになると期限切れになるセッションです。SSL は、インターネット経由のデータ転送に暗号化と認証を提供するプロトコルです。
時間制限付きセッションと SSL を使用することで、システムは SAML アサーションが有効で、最新かつ安全であり、攻撃者が再利用または改ざんできないことを保証できます。2 要素認証、デジタル証明書とハードウェア トークン、および英数字と特殊文字を含むパスワードは、SAML プロトコルまたはネットワーク送信の特定の脆弱性に対処しないため、ID フェデレーションと SAML 実装を使用するシステムに対するリプレイ攻撃を軽減するための最善の方法ではありません。参考文献: CISSP オールインワン試験ガイド、第 8 版、第 4 章「通信とネットワーク セキュリティ」、462 ページ。公式 (ISC)2 CISSP CBK リファレンス、第 5 版、第 4 章「通信とネットワーク セキュリティ」、478 ページ。

ソフトウェア開発ライフサイクル（SDLC）（
システム開発ライフサイクル (System Development Life Cycle) は、ソフトウェア システムを作成または変更するプロセス、およびこれらのシステムの開発に使用するモデルと方法論です。
NIST SP 800-64 改訂 2 のパラグラフ 3.2.1 の説明セクションには、次の記述があります。
このセクションでは、第 2 段階の SDLC に特有のセキュリティ上の考慮事項について説明します。この段階の主なセキュリティ アクティビティは次のとおりです。
* リスク評価を実施し、その結果を使用してベースラインのセキュリティ制御を補完します。
* セキュリティ要件を分析します。
* 機能テストとセキュリティテストを実行します。
* システムの認証および認定のための初期文書を準備する。
* セキュリティ アーキテクチャを設計します。
この出版物をレビューすると、開発/取得を選択するのがよいでしょう。開始は適切な選択ですが、このフェーズではセキュリティ要件のアイデアをブレインストーミングするだけであると言うのは正しいです。ハードウェア/ソフトウェア コンポーネントの開発と取得を開始したら、これらのセキュリティ制御も開発することになります。以下の Shon Harris の参照も正しいです。
Shon Harris の著書 (オールインワン CISSP 認定試験ガイド) では、SDLC を次のように分類しています。
- プロジェクトの開始
- 機能設計分析と計画
- システム設計仕様
- ソフトウェア開発
- インストール
- メンテナンスサポート
- 修正と置き換え
著者 (Shon Harris) によると、セキュリティ要件は機能設計分析および計画フェーズ中に開発する必要があります。
NIST 800-64 からの SDLC の位置付け
企業における SDLC の位置付け
情報システムセキュリティのプロセスと活動は、管理に貴重な情報を提供する。
IT システムとその開発、リスクの特定、計画、軽減を可能にします。リスク管理アプローチには、情報システム開発ライフサイクル全体を通じて、機関の情報と資産の保護とセキュリティ制御および軽減戦略のコストとのバランスを継続的に取ることが求められます (上記の図 2-1 を参照)。
リスク管理を実装する最も効果的な方法は、機関全体の重要な資産と業務、およびシステムの脆弱性を特定することです。リスクは共有され、組織、収益源、またはトポロジーによって制限されることはありません。重要な資産と業務、およびそれらの相互接続の特定と検証は、システム セキュリティ計画プロセスを通じて、また、資本計画および投資管理 (CPIC) とエンタープライズ アーキテクチャ (EA) プロセスからの情報のコンパイルを通じて実現でき、機関の重要なビジネス業務、それらを支える資産、および既存の相互依存関係と関係についての洞察を確立します。
重要な資産と運用が特定されると、組織はビジネス影響分析 (BIA) を実行できますし、実行する必要があります。BIA の目的は、システムと資産をそれらが提供する重要なサービスと関連付け、それらの中断の影響を評価することです。これらのシステムを特定することで、機関は優先順位を設定してセキュリティを効果的に管理できます。これにより、セキュリティ オフィスは IT プログラムのコスト効率の高いパフォーマンスを促進し、機関に対するビジネス影響と価値を明確にすることができます。
NIST 800-64 からの SDLC の概要
NIST 800-64 改訂 2 版からの SDLC の概要
NIST 800-64 Revision 2は、NIST標準規格の1つで、SDLCの詳細を確認することをお勧めします。どのような活動が行われるかが非常に詳細に説明されており、SDLCの各フェーズのわかりやすい図表があります。
SDLC。コピーは次の場所にあります:
http://csrc.nist.gov/publications/nistpubs/800-64-Rev2/SP800-64-Revision2.pdf
議論：
フェーズ名に関しては、さまざまな情報源によって若干異なる情報が提示されます。
NIST規格のいくつかについては、時々混乱することがあります。例えば、NIST
800-64 情報システム開発ライフサイクルにおけるセキュリティの考慮事項は名前が若干異なりますが、アクティビティはほとんど同じままです。
NIST は、セキュリティ要件はすべてのフェーズを通じて考慮されることを明確に規定しています。ここでのキーワードは「考慮」です。どのフェーズでセキュリティ要件を開発するかという質問であれば、機能設計分析が正しい選択になります。
NIST 標準では異なるフェーズが使用されていますが、第 2 フェーズでは、セキュリティ機能要件分析について具体的に説明されており、開始段階ではないことが確認されているため、この質問に対する答えを導き出すのが容易になります。記載されている内容は次のとおりです。
セキュリティ機能要件分析では、企業の情報セキュリティ ポリシーや企業のセキュリティ アーキテクチャなどのシステム セキュリティ環境を考慮します。
分析では、情報の機密性、整合性、可用性に関するすべての要件に対処する必要があり、適用される法律、規制、ガイダンスに含まれるすべての法的、機能的、およびその他のセキュリティ要件のレビューを含める必要があります。
開始段階では、セキュリティを作成するのに十分な詳細がまだありません。
要件。リストされているすべての問題についてブレーンストーミングを行うことがほとんどですが、その段階ではすべてを開発するわけではありません。
情報システム開発ライフサイクル (SDLC) の早い段階でセキュリティを考慮することで、後々のコスト上昇を回避し、最初からより安全なシステムを開発できる可能性があります。
NISTは次のように述べています。
NISTの情報技術研究所は最近、特別出版物（SP）800を発行した。
64、情報システム開発ライフサイクルにおけるセキュリティの考慮事項、Tim著
Grance、Joan Hash、Marc Stevens は、組織がシステム ライフサイクルのすべてのフェーズの計画にセキュリティ要件を含め、適切でコスト効率の高いセキュリティ制御を選択、取得、および使用できるように支援します。
これらすべてが非常に難しいことは認めざるを得ませんが、読解力とキーワードへの注意を払うことはこの試験では必須です。
参考文献:
ハリス、ショーン、オールインワン CISSP 認定試験ガイド、マグロウヒル/オズボーン、第 5 版
版、956ページ
そして
NIST S-64 改訂 2 http://csrc.nist.gov/publications/nistpubs/800-64-Rev2/SP800-64-
改訂2.pdf
そして
http://www.mks.com/resources/resource-pages/software-development-life-cycle-sdlc- システム開発

IT システムの運用フェーズでは、ユーザー認証が重要になります。
認証とは、システムが送信、メッセージ、
または、個人、プロセス、または機械が目的の目的を実行する資格があるかどうかを確認する手段。
アクションにより、信頼できないソースによってセキュリティが侵害されないようにします。
セキュリティポリシーを実装するためには、適切な認証を実現することが不可欠であり、
セキュリティ目標を達成する。さらに、クロスボーダーの取引では信頼のレベルが常に問題となる。
ドメイン間のやりとりを制限します。解決策は、認証ポリシーを確立し、それをドメイン間に適用することです。
必要に応じてドメイン間のやり取りを行います。
出典: STONEBURNER, Gary & al、米国国立標準技術研究所 (NIST)、NIST
特別出版物 800-27、情報技術セキュリティのエンジニアリング原則 (セキュリティを実現するためのベースライン)、2001 年 6 月 (15 ページ)。

アイデンティティが確立されると、それを認証する必要があります。認証方法にはさまざまな技術と実装がありますが、ほとんどすべてが 3 つの主要な領域に分類されます。
認証には基本的に 3 つの種類があります。
知識による認証 - 人が知っていること
所有物による認証 - 人が所有しているもの
特性による認証 - 人が
これらのタイプに関連する論理制御は「要素」と呼ばれます。
あなたが知っていることとはパスワードや PIN のことであり、あなたが持っていることとはトークン フォブやスマート カードのことであり、あなたが何者であるかとは、通常、何らかの生体認証のことです。
単一要素認証ではこれらの要素の 1 つを使用し、2 要素認証では 3 つの要素のうち 2 つを使用し、3 要素認証では 3 つの要素すべてを組み合わせます。
認証時に複数の要素を使用することを総称して、多要素認証または強力な認証と呼びます。
この質問に使用された参考文献:
ヘルナンデス CISSP、スティーブン (2012-12-21)。CISSP CBK の公式 (ISC)2 ガイド、第 3 版
版 ((ISC)2 Press) (Kindle の場所 2367-2379)。Auerbach Publications。Kindle
版。