CISSP练习题Domain1 STRIDE模型

admin 2024年9月28日12:07:09评论12 views字数 951阅读3分10秒阅读模式

STRIDE通常用于评估针对应用程序或操作系统的威胁。当机密文件暴露给未经授权的实体时,使用STRIDE中的哪个元素来指称该违规行为?

A: S

B: T

C: R

D: I 

(更多题库,请在苹果app store中搜索:CISSP中文2023)

CISSP练习题Domain1 STRIDE模型

正确答案:D

解释: 当机密文件暴露给未经授权的实体时,这被称为STRIDE中的信息泄露。STRIDE的要素包括欺骗、篡改、否认、信息泄露、服务拒绝和权限提升。

概念:

STRIDE 是一个由 Microsoft 提出的,用于识别和分类计算机和网络安全威胁的模型。STRIDE 是以下六种不同类型威胁的首字母缩写:

  1. 欺骗(Spoofing): 攻击者伪装成其他人或系统,通常是为了获得非法访问权限。

  2. 篡改(Tampering): 攻击者修改数据或代码,改变系统的行为。

  3. 非授权访问(Repudiation): 攻击者进行非法操作,但是无法追踪到该操作是由其完成的。

  4. 信息泄露(Information Disclosure): 系统泄露或暴露敏感信息。

  5. 拒绝服务(Denial of Service, DoS): 攻击者使系统、服务或网络资源不可用。

  6. 权限提升(Elevation of Privilege): 攻击者提升自己的访问权限,从而执行通常不允许的操作。

理解:

  1. 欺骗(Spoofing)

    • 如何识别:任何尝试伪装身份的活动都可能是欺骗。

    • 解决方法:强身份验证机制,如多因素认证。

  2. 篡改(Tampering)

    • 如何识别:检查数据完整性和可用性,查看是否有未经授权的更改。

    • 解决方法:数据完整性检查,如使用 HMAC(基于哈希的消息认证码)。

  3. 非授权访问(Repudiation)

    • 如何识别:缺乏足够的审计和日志记录。

    • 解决方法:全面的日志记录和审计追踪。

  4. 信息泄露(Information Disclosure)

    • 如何识别:检查是否有数据泄露,比如敏感信息明文存储或传输。

    • 解决方法:数据加密和访问控制。

  5. 拒绝服务(Denial of Service)

    • 如何识别:系统资源异常消耗,服务不可用等。

    • 解决方法:限流,备份资源,分布式架构。

  6. 权限提升(Elevation of Privilege)

    • 如何识别:未经授权的用户或系统具有高级访问权限。

    • 解决方法:最小权限原则,及时修补安全漏洞。

原文始发于微信公众号(赛哈文):CISSP练习题Domain1 STRIDE模型

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年9月28日12:07:09
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   CISSP练习题Domain1 STRIDE模型https://cn-sec.com/archives/1992745.html

发表评论

匿名网友 填写信息