セクション: アクセス制御
説明/参照:
CHAP: 3 方向の hanbdshake を使用するプロトコル。サーバーは、リプレイ攻撃を阻止するために、ランダムな値 (ノンス) を含むチャレンジをクライアントに送信します。クライアントは、ノンスの MD5 ハッシュとパスワードで応答します。
クライアントの応答がサーバーが予期したものであれば、認証は成功します。
参照: ページ 450、OIG 2007。
CHAP はパスワードを盗聴から保護し、通信の暗号化をサポートします。
参考文献: KRUTZ、Ronald L. & VINES、Russel D.、『CISSP Prep Guide: Mastering the Ten Domains of Computer Security』、2001 年、John Wiley & Sons、44 ページ。

セクション: セキュリティ運用管理
説明/参照:
情報システムの設計ではセキュリティを考慮する必要があります。経験上、システム開発後にセキュリティ対策を適切かつ成功裏に実装することは非常に難しいことがわかっているため、セキュリティ対策をシステムのライフサイクル プロセスに完全に統合する必要があります。これには、セキュリティ ポリシーの確立、その結果生じるセキュリティ要件の理解、セキュリティ製品の評価への参加、そして最終的にはシステムのエンジニアリング、設計、実装、廃棄が含まれます。
出典: STONEBURNER、Gary ら、国立標準技術研究所 (NIST)、NIST Special Publication 800-27、情報技術セキュリティのための工学原則 (セキュリティを達成するためのベースライン)、2001 年 6 月 (7 ページ)。

Secure Electronic Transaction (SET) と Secure HTTP (S-HTTP) は、Open Systems Interconnect (OSI) モデルのアプリケーション層で動作します。

説明/参照:
事業継続計画は、イベントによる被害を最小限に抑え、組織を最大限の運用能力に迅速に回復できるように設計されています。これらは「事後」に使用されるため、是正措置の例となります。
この質問に使用された参考文献:
KRUTZ、Ronald L. & VINES、Russel D.、『CISSP Prep Guide: Mastering the Ten Domains of Computer Security』、John Wiley & Sons、2001 年、第 8 章: 事業継続計画と災害復旧計画 (273 ページ)。
そして
コンラッド、エリック。ミゼナール、セス。フェルドマン、ジョシュア (2012-09-01)。CISSP 学習ガイド (Kindle の場所 8069)。
Elsevier Science (参照)。キンドル版。
そして

説明/参照:
システムのセキュリティ ポリシーに違反する方法で情報の転送を可能にする通信チャネル。
秘密チャネルは、エンティティが不正な方法で情報を受信する方法です。これは、セキュリティ メカニズムによって制御されない情報フローです。このタイプの情報パスは通信のために開発されたものではありません。したがって、開発者は情報がこの方法で渡されることをまったく想像していなかったため、システムはこのパスを適切に保護しません。
この方法で情報を受信することは、明らかにシステムのセキュリティ ポリシーに違反します。この不正なデータを転送するチャネルは、次のいずれかの状況の結果です:* 製品開発における見落とし
* アクセス制御の不適切な実装
* 2 つのエンティティ間の共有リソースの存在
※トロイの木馬のインストール
次の答えは正しくありません。
プログラマがオペレーティング システムに残した文書化されていないバックドアは、不正な情報転送が行われる手段ではないため、正しくありません。このようなバックドアは通常、メンテナンス フックと呼ばれます。
閉じるべきオープン システム ポートは、秘密チャネルを定義していないため、正しくありません。
トロイの木馬は、一見便利なプログラムのように見えますが、インストールすると、インストーラーが気付かないうちに、ワーム、バックドア、またはその他のマルウェアなどのボーナスが含まれるプログラムであるため、不正確です。
この質問に使用された参考文献:
Shon Harris AIO v3、第 5 章: セキュリティ モデルとアーキテクチャ
AIOv4 のセキュリティ アーキテクチャと設計 (343 ～ 344 ページ)
AIOv5 のセキュリティ アーキテクチャと設計 (345 ～ 346 ページ)