CHAP は、ユーザーのパスワードを暗号化するポイントツーポイント プロトコル接続の認証メカニズムです。これは、3 ウェイ ハンドシェイクを使用するプロトコルです。サーバーは、リプレイ攻撃を阻止するためのランダム値 (nonce) を含むチャレンジをクライアントに送信します。クライアントは、nonce とパスワードの MD5 ハッシュで応答します。クライアントの応答がサーバーが期待したものであれば、認証は成功します。
上記の VPN 通信プロトコル標準は、PPTP、L2TP、IPSec です。
PPTP と L2TP は OSI モデルのデータ リンク層 (レイヤー 2) で動作し、セッションごとに 1 つのポイントツーポイント接続のみを有効にします。
誤った回答は次のとおりです。
PPTPはネイティブのPPP認証および暗号化サービスを使用します。ポイントツーポイントトンネリング
プロトコル (PPTP) は、他のプロトコル上で実行される VPN プロトコルです。PPTP は、エンドポイント間のトンネルを構築するために、汎用ルーティング カプセル化 (GRE) に依存しています。ユーザーが認証した後 (通常は Microsoft チャレンジ ハンドシェイク認証プロトコル バージョン 2 (MSCHAPv2) を使用)、ポイントツーポイント プロトコル (PPP) セッションは、次のプロトコルを使用してトンネルを作成します。
行く。
L2TPはPPTPと以前のレイヤー2転送プロトコル（L2F）を組み合わせたものです。レイヤー2
トンネリングプロトコル（L2TP）は、シスコのレイヤー2フォワーディング（L2F）とマイクロソフトの
PPTP。PPP を使用すると、シリアル回線経由で PPP を使用する発信者がインターネット経由でリモート ネットワークに接続できます。ダイヤルアップ ユーザーは、PPP 接続を使用して ISP の L2TP アクセス コンセントレータ (LAC) に接続します。LAC は PPP パケットを L2TP にカプセル化し、リモート ネットワークのレイヤー 2 ネットワーク サーバー (LNS) に転送します。この時点で、LNS はダイヤルアップ ユーザーを認証します。認証が成功すると、ダイヤルアップ ユーザーはリモート ネットワークにアクセスできます。
IPSecはネットワーク層（レイヤー3）で動作し、複数の同時トンネルを可能にします。IP
セキュリティ（IPSec）は、認証と暗号化のメカニズムを提供することでIPで安全に通信するためのプロトコルスイートです。IPSecの実装は必須です。
IPv6 は、多くの組織が IPv4 よりも多く使用しています。さらに、IPSec は、エンドツーエンドの保護に適したモードと、ネットワーク間のトラフィックを保護するモードの 2 つのモードで実装できます。
この質問に使用された参考資料:
ヘルナンデス CISSP、スティーブン (2012-12-21)。CISSP CBK の公式 (ISC)2 ガイド、第 3 版
版 ((ISC)2 Press) (Kindle 位置 7067-7071)。Auerbach Publications。Kindle
版。
そして
ヘルナンデス CISSP、スティーブン (2012-12-21)。CISSP CBK の公式 (ISC)2 ガイド、第 3 版
版 ((ISC)2 Press) (Kindle の場所 6987-6990)。Auerbach Publications。Kindle
版。

シングル サインオン (SSO) は、ユーザーが 1 つの名前とパスワードを入力するだけで複数のアプリケーションにアクセスできるようにするセッション/ユーザー認証プロセスです。このプロセスでは、権限が付与されているすべてのアプリケーションに対してユーザーを認証し、特定のセッション中にアプリケーションを切り替えるときにそれ以上のプロンプトが表示されないようにします。
SSOの利点は次のとおりです
- 複数のパスワードは不要になりました
-
管理者がユーザーのアカウントと関連するすべてのシステムへの承認を管理する能力が向上します。
-
複数のプラットフォームやアプリケーションで忘れたパスワードをリセットする際の管理オーバーヘッドを削減します。
-
ユーザーが複数のアプリケーションやプラットフォームにログオンするのにかかる時間を短縮します。
SSOのデメリットとしては
-すべての主要オペレーティングシステムのサポートは困難
-
SSO開発に関連するコストは、必要となる可能性のあるインターフェース開発とメンテナンスの性質と範囲を考慮すると、かなり大きくなる可能性があります。
-
SSO の集中化により、単一障害点が発生し、組織の情報資産が完全に侵害される可能性があります。
この質問を作成するために使用された参考文献: CISA レビューマニュアル 2014 ページ番号 332

パーソナル コンピュータ (PC) は、個人またはグループが個人的または専門的な目的で使用できるデジタル データを保存、処理、または送信できるデバイスです。PC セキュリティは、データと PC の機密性、整合性、可用性を確保するプロセスです。PC のセキュリティを促進する主なタスクは、ユーザーにマシンとデータに対するリスクを理解させ、それらを保護するための適切な手順を踏んでもらうことです。
ユーザーは PC の主なユーザーおよび所有者であり、データと PC のセキュリティに責任があります。ユーザーは、マルウェア、フィッシング、盗難、紛失、不正アクセスなど、データと PC に影響を及ぼす可能性のある潜在的な脅威と脆弱性を認識している必要があります。また、暗号化、認証、ウイルス対策、ファイアウォール、バックアップ、回復の使用など、データと PC を保護するためのベスト プラクティスと手法について教育とトレーニングを受ける必要があります。また、組織または PC ベンダーのセキュリティ ポリシーと手順に従い、セキュリティ インシデントや問題を報告するよう、ユーザーに動機付けとインセンティブを与える必要があります。
技術的な制御を理解し、それらが正しくインストールされていることを確認すること、さまざまなオペレーティング システム (OS) に必要なシステムとパッチ適用プロセスを理解すること、またはユーザーが有効な承認済みソフトウェアのみを使用していることを確認することは、PC セキュリティを推進する上での主なタスクではありません。これらは、PC セキュリティの技術的、運用的、またはコンプライアンスの側面に関係するからです。参考資料: CISSP オールインワン試験ガイド、第 8 版、第 7 章: 悪意のあるコードとアプリケーション攻撃、403 ページ、CISSP 公式 (ISC)2 模擬試験、第 3 版、ドメイン 3: セキュリティ アーキテクチャとエンジニアリング、質問 3.9、156 ページ。