セクション: アクセス制御
説明/参照:
内部攻撃は、セキュリティ境界内のエンティティによって開始される攻撃です。エンティティは、システム リソースへのアクセスを許可されているものの、許可を与えた人によって承認されていない方法でリソースを使用します。一方、外部攻撃は、境界の外側から開始されます。システムの無許可または違法なユーザー。能動的攻撃はシステム リソースを変更してその動作に影響を与えようとし、受動的攻撃はシステムからの情報を学習または利用しようとしますが、システム リソースには影響しません。
出典: SHIREY、Robert W.、RFC2828: Internet Security Glossary、2000 年 5 月。

セクション: アクセス制御
説明/参照:
マトリックスの左側にはユーザー、グループ、ロールがリストされ、上部にはリソースと機能がリストされています。
マトリックスのセルは、アクセスが許可されていることを示すことも、アクセスのタイプを示すこともできます。CBK pp 317 -
318.
AIO3、p. 169 では、特定のサブジェクトが特定のオブジェクトに関して所有するアクセス権を指定するサブジェクトとオブジェクトのテーブルとして説明されています。
いずれの場合も、マトリックスは、オブジェクトの集団に対するサブジェクトの集団によって必要とされるアクセス制御を分析する方法です。このアクセス制御は、ルール、ACL、機能テーブルなどを使用して適用できます。
「容量表」が間違っています。
この答えは不注意な人にとっての罠です。「能力表」のように聞こえますが、単に注意をそらすためのものです。
「アクセス制御リスト」は誤りです。
「それ[ACL]は、各オブジェクトへのアクセスを許可されるユーザー[サブジェクト]のリストを指定します」CBK、p. 188 アクセス制御リスト (ACL) は、アクセス制御マトリックスによって識別されるルールを実装するために使用できますが、マトリックス自体とは異なります。
「能力表」が間違っています。
「機能テーブルは、オブジェクトと権限、またはサブジェクトの機能に基づいて制御を追跡、管理、および適用するために使用されます。たとえば、テーブルはオブジェクトを識別し、サブジェクトに許可されるアクセス権を指定し、ユーザーの所有権に基づいてアクセスを許可します。オブジェクトの機能 (またはチケット) の。」CBK、191-192ページ。別の言い方をすると、AIO3 のページに記載されているとおりです。169、「サブジェクトは機能テーブルにバインドされているのに対し、オブジェクトは ACL にバインドされているため、機能テーブルは ACL とは異なります。」繰り返しになりますが、機能テーブルを使用して、アクセス制御マトリックスによって識別されるルールを実装することもできますが、マトリックス自体とは異なります。
参考文献:
CBK pp. 191-192、317-318
AIO3、p. 169

説明/参照:
パスワードの選択が不適切であると、システムのセキュリティにとって重大なセキュリティ問題となることがよくあります。管理者は、パスワードを推測しやすいプログラムを入手して頻繁に使用し、パスワードを推測しやすいユーザーを特定する必要があります。
パスワード クラッキング プログラムは CPU に非常に負荷をかけ、プログラムが実行されているシステムの速度を低下させる可能性があるため、暗号化されたパスワードをスタンドアロン (ネットワークに接続されていない) ワークステーションに転送することをお勧めします。
また、ネットワークに接続されていないマシンで作業を行うと、そのシステムに物理的にアクセスできない限り、見つかった結果には誰もアクセスできなくなります。
上記の 4 つの選択肢のうち、これが最良の選択肢です。
ただし、実際には、複雑さの要件を強制し、簡単に解読されたり推測されたりする可能性のある単純なパスワードや短いパスワードをユーザーが選択できないようにする強力なパスワード ポリシーが必要になります。それが提示された選択肢の1つである場合、それが最良の選択になります。
パスワードクラッキングに関するもう 1 つの問題は、プライバシーの問題です。多くのパスワード クラッキング ツールは、パスワードがクラックされたことだけを表示し、実際のパスワードが何であるかを表示しないことで、これを回避できます。クラッキングを行っている人から使用されているパスワードを隠します。
出典: 国家安全保障局、システムおよびネットワーク攻撃センター (SNAC)、『60 分ネットワーク セキュリティ ガイド』、2002 年 2 月、8 ページ。

説明/参照:
出典: TIPTON、Hal、(ISC)2、CISSP 試験プレゼンテーションの紹介。

現在、高速、正確、信頼性が高く、ユーザーが受け入れられる生体認証システムの実装がすでに行われています。その目的には、個人の固有の身体的属性や行動が使用されます。
出典: TIPTON、Harold F. & KRAUSE、MICKI、情報セキュリティ管理ハンドブック、第 4 版、第 1 巻、7 ページ。