セクション: アクセス制御
説明/参照:
「それ[ACL]は、各オブジェクトへのアクセスを許可されるユーザー[サブジェクト]のリストを指定します」CBK、p. 188 能力テーブルが正しくありません。「機能テーブルは、オブジェクトと権限、またはサブジェクトの機能に基づいて制御を追跡、管理、および適用するために使用されます。たとえば、テーブルはオブジェクトを識別し、サブジェクトに許可されるアクセス権を指定し、ユーザーの所有権に基づいてアクセスを許可します。オブジェクトの機能 (またはチケット) の。」CBK、191-192ページ。これを誤った選択とする区別は、アクセスが主体による能力の所有に基づいていることです。
別の言い方をすると、AIO3 のページに記載されているとおりです。169、「サブジェクトは機能テーブルにバインドされているのに対し、オブジェクトは ACL にバインドされているため、機能テーブルは ACL とは異なります。」アクセス制御マトリックスが正しくありません。アクセス制御マトリックスは、アクセス制御戦略のルールを記述する方法です。マトリックスの左側にはユーザー、グループ、ロールがリストされ、上部にはリソースと機能がリストされています。マトリックスのセルは、アクセスが許可されていることを示すことも、アクセスのタイプを示すこともできます。
CBK、317～318ページ。
AIO3、p. 169 では、特定のサブジェクトが特定のオブジェクトに関して所有するアクセス権を指定するサブジェクトとオブジェクトのテーブルとして説明されています。
いずれの場合も、マトリックスは、オブジェクトの集団に対するサブジェクトの集団によって必要とされるアクセス制御を分析する方法です。このアクセス制御は、ルール、ACL、機能テーブルなどを使用して適用できます。
役割ベースのマトリックスは正しくありません。ここでも、役割とオブジェクトのマトリックスは、オブジェクトのセットに適用されるアクセス制御を考えるためのツールとして使用できます。分析の結果は、RBAC を使用して実装できます。
参考文献:
CBK、ドメイン 2: アクセス制御。
AIO3、第 4 章: アクセス制御

組織には次のプロセスが必要です
(1) ユーザーアカウントの要求、確立、発行、および閉鎖。
(2) ユーザーとそのアクセス許可を追跡する。そして
(3) これらの機能を管理する。
レビューでは、各個人が持つアクセス レベル、最小特権の概念への準拠、すべてのアカウントがまだアクティブであるかどうか、管理権限が最新であるかどうか、必要なトレーニングが完了しているかどうかなどを調査する必要があります。これらのレビューは、(1) アプリケーションごとのベース、または (2) システム全体のベースの少なくとも 2 つのレベルで実行できます。
ユーザー パスワードの強度は、単純なユーザー アカウント管理のレビューの範囲を超えています。これは、パスワードの強度をチェックするために、辞書またはブルート フォース攻撃を通じてパスワード ファイル/データベースの解読を試みる特定のツールが必要であるためです。

International Data Encryption Algorithm (IDEA) は、128 ビットのキーを使用して 64 ビットのデータ ブロックを処理するブロック暗号です。データ ブロックは 16 個の小さなブロックに分割され、それぞれのブロックに対して 8 ラウンドの数学関数が実行されます。PGP暗号化ソフトウェアで使用されます。出典: WALLHOFF、John、CBK#5 暗号化 (CISSP 研究ガイド)、2002 年 4 月 (3 ページ)。

セクション: ネットワークと電気通信
説明/参照:
ダイヤルアップの問題を抑えることは概念的には簡単です。リモート アクセス サーバーをファイアウォールの外側にインストールし、正当なユーザーにファイアウォールへの認証を強制することで、インターネットからの他の接続と同様に、RAS を介した内部リソースへのアクセスをフィルタリングできます。
TACACS+ サーバーを単独で使用しても、ハッキングを排除することはできません。
モデムの呼び出し回数を 5 に設定すると、長い一連の番号をダイヤルしてモデムを探す戦争ダイヤル ハッカーを撃破するのに役立つ可能性があります。
ネットワークに接続されていないホストにのみモデムを接続することは現実的ではなく、これらのホストのハッキングを防ぐことはできません。
出典: STREBE、Matthew および PERKINS、Charles、Firewalls 24seven、Sybex 2000、第 2 章: ハッカー。

説明/参照:
参考文献: RFC 2459 : インターネット X.509 公開鍵インフラストラクチャ証明書および CRL プロファイル。ガットマン
P.、X.509 スタイル ガイド。