CompTIA Security+ (SY0-701) — Übungsfragen und Probeprüfung

Die Verwirrung hier ist echt, und sie kommt daher, dass der Switch zwei Hüte trägt. Im Vokabular von 802.1X gibt es drei Rollen: Die Workstation ist der Supplicant, der Access-Switch ist der Authenticator, und der zentrale Server ist der Authentication Server. Im Vokabular von RADIUS gibt es nur zwei, und der Network Access Server, der hier der Switch ist, arbeitet als Client von RADIUS. Er gibt Benutzerinformationen an die vorgesehenen Server weiter und handelt dann anhand der zurückgelieferten Antwort, was in der Praxis bedeutet, den Port zu öffnen, ein VLAN zuzuweisen oder den Port unautorisiert zu lassen.

Dieselbe Kiste ist also aus Sicht der Workstation ein Server und aus Sicht der Authentifizierungsinfrastruktur ein Client, und die Frage verlangt ausdrücklich die RADIUS-Terminologie.

Die Distraktoren bilden die anderen Rollen ab. Der Authentication Server ist derjenige, der Anmeldedaten prüft und Konfigurationsattribute zurückgibt, was der Switch nie tut. Der Supplicant ist die Workstation, die die Anmeldedaten vorlegt. Die Zertifizierungsstelle signiert Zertifikate im Vorfeld und bürgt für sie und ist am eigentlichen Austausch überhaupt nicht beteiligt, selbst dann nicht, wenn zertifikatsbasierte Authentifizierung im Einsatz ist.

Prüfungstipp: Wenn eine Frage ausdrücklich ein Vokabular nennt, übersetze das Gerät erst in dieses Vokabular, bevor du antwortest. Dieselbe Kiste heißt in 802.1X anders als in RADIUS, und genau diese Nahtstelle prüft die Prüfung.

David Biancos Pyramid of Pain (2013) ordnet Bedrohungsindikatoren danach, wie viel Mühe es Angreifern bereitet, sie zu ändern. Von unten nach oben: Hash-Werte → IP-Adressen → Domainnamen → Netzwerk-/Host-Artefakte → Tools → TTPs. Hash-Werte stehen an der Basis, weil schon die Änderung eines einzigen Bytes in einer Malware-Binärdatei einen völlig anderen Hash erzeugt. Angreifer können neu kompilieren, neu packen oder Datenmüll anhängen und so einer hashbasierten Erkennung sofort entgehen — Hash-IOCs sind dadurch extrem kurzlebig. TTPs an der Spitze stehen dagegen für grundlegende Verhaltensweisen der Angreifer, deren Änderung erhebliches Umrüsten erfordert. Wirksame Threat Intelligence richtet die Erkennung auf die höheren Ebenen der Pyramide aus und erreicht so dauerhaftere Verteidigung. Hashbasierte Indikatoren sind zwar nützlich, um sofort zu blockieren, bieten langfristig aber kaum Schutzwert. Ref: Bianco, D. (2013) The Pyramid of Pain; MITRE ATT&CK Framework.

Sensibilisierungsschulungen gibt es, um zu verändern, was eine Person in den Sekunden nach dem Eintreffen einer verdächtigen Nachricht tut, also muss das Thema eines sein, bei dem der Benutzer selbst die Maßnahme ist. Phishing erkennen und melden ist genau das: Kriminelle verschicken Nachrichten, die jemanden dazu bringen sollen, einen schädlichen Link oder Anhang zu öffnen oder persönliche Informationen herauszugeben, und kein technischer Filter fängt sie alle ab. Wenn du Menschen die erkennbaren Anzeichen beibringst, etwa Dringlichkeit, die Aufforderung, Zugangsdaten oder Zahlungsdetails preiszugeben, und eine Absenderadresse, die fast, aber eben nicht ganz stimmt, und ihnen beibringst, wo sie das melden können, bekommt das Security-Team eine Frühwarnung aus der gesamten Organisation.

Die anderen drei Themen gehören alle in ein Sicherheitsprogramm, aber bei keinem davon geht es darum, eine Social-Engineering-Nachricht zu erkennen. Passwortkomplexität ist eine Regel zur Hygiene von Anmeldedaten, und sie wird zunehmend über Richtlinien und Passwort-Manager durchgesetzt statt über die Wachsamkeit der Benutzer. Eine Clean-Desk-Richtlinie adressiert die physische Preisgabe von Informationen im Büro. Ausweisverfahren adressieren den physischen Zutritt und Tailgating. Wer nur in diesen drei Themen geschult ist, würde trotzdem auf den Link klicken.

Prüfungstipp: Ordne die Maßnahme dem Angriffsvektor zu, der in der Frage genannt wird. Wenn dort Social Engineering steht und gefragt wird, was Benutzer lernen sollen, ist das Melden die Hälfte, die Prüflinge vergessen, denn Erkennen ohne Meldeweg lässt die Organisation blind.

802.1X definiert drei Rollen in der port-based network access control: Der Supplicant ist das Client-Gerät (Laptop, Smartphone, IoT device), auf dem Software läuft, die Authentifizierungs-Credentials über EAP (Extensible Authentication Protocol) übermittelt. Zu gängiger Supplicant-Software gehören die integrierten 802.1X-Clients in Windows, macOS und Linux. Der Authenticator ist das Netzwerkgerät (Switch oder wireless access point), das den physischen oder logischen Zugriff auf das Netzwerk steuert. Bevor die Authentifizierung erfolgreich ist, lässt der Port nur EAP-Traffic zu. Nach erfolgreicher Authentifizierung öffnet sich der Port für normalen Traffic. Der Authentication Server (typischerweise ein RADIUS server wie FreeRADIUS, Cisco ISE oder Microsoft NPS) erhält die Credentials vom Authenticator und verifiziert sie gegen ein Directory (Active Directory, LDAP). Er gibt accept/reject an den Authenticator zurück. Der Authenticator fungiert als Proxy — er bewertet Credentials nicht selbst, sondern leitet sie an den Authentication Server weiter. Prüfungstipp: 802.1X-Rollen: Supplicant (Client, der Zugriff anfordert), Authenticator (Switch/AP, der den Port kontrolliert), Authentication Server (RADIUS, der Credentials verifiziert).