CompTIA Security+ (SY0-701) — Übungsfragen und Probeprüfung

Die Verwechslung ist nachvollziehbar: Der Switch hat zwei Rollen. In der 802.1X-Terminologie gibt es drei Beteiligte: Die Arbeitsstation ist der Supplicant, der Zugangsswitch der Authenticator und der zentrale Server der Authentifizierungsserver. In der RADIUS-Terminologie gibt es nur zwei Rollen. Der Netzwerkzugangsserver, hier der Switch, arbeitet als RADIUS-Client. Er übermittelt Benutzerinformationen an die zuständigen Server und handelt anschließend entsprechend deren Antwort. In der Praxis bedeutet das, den Port freizugeben, ein VLAN zuzuweisen oder den Port nicht zu autorisieren.

Dasselbe Gerät ist aus Sicht der Arbeitsstation also ein Server und aus Sicht der Authentifizierungsinfrastruktur ein Client. Die Frage verlangt ausdrücklich die RADIUS-Terminologie.

Die falschen Optionen beschreiben die anderen Rollen. Der Authentifizierungsserver prüft Zugangsdaten und gibt Konfigurationsattribute zurück. Das übernimmt der Switch nicht. Der Supplicant ist die Arbeitsstation, die ihre Zugangsdaten vorlegt. Die Zertifizierungsstelle signiert Zertifikate im Voraus und bürgt für sie. Sie nimmt am laufenden Austausch selbst nicht teil, auch wenn die Authentifizierung zertifikatbasiert erfolgt.

Prüfungstipp: Wenn eine Frage ausdrücklich eine bestimmte Terminologie nennt, ordne das Gerät zunächst darin ein. Dasselbe Gerät heißt bei 802.1X anders als bei RADIUS. Genau diesen Übergang prüft die Aufgabe.

Penetrationstests werden danach unterschieden, wie viel die Tester zu Beginn wissen. In einer unbekannten Umgebung, oft als Blackbox bezeichnet, beginnen sie mit wenigen oder gar keinen Informationen. Das simuliert externe Angreifer und prüft Erkennung und Angriffsfläche, verbraucht aber einen großen Teil des Budgets für die Erkundung. Eine teilweise bekannte Umgebung, auch Graybox genannt, liefert etwas internes Wissen, beispielsweise ein Konto, und verbindet Realitätsnähe mit Effizienz. Eine bekannte Umgebung oder Whitebox bietet ausdrückliche und umfangreiche Kenntnisse über die interne Struktur und Implementierung, etwa Quellcode, Entwurfsdokumente und Konten. Das unterstützt eine möglichst tiefe Prüfung in kurzer Zeit. Die richtige Wahl folgt aus Ziel und Rahmenbedingungen. Sollen vor einer Veröffentlichung möglichst viele Fehler in einer bestimmten Logik gefunden werden, beschleunigt Vorwissen die Arbeit, ohne das Testziel zu beeinträchtigen. Prüfungstipp: Wähle die Umgebung passend zum Ziel. Bekanntes Umfeld eignet sich für eine hohe Abdeckung unter Zeitdruck, unbekanntes Umfeld für realitätsnahe Angriffs- und Erkennungstests.

Der Payload ' OR 1=1 --' ist einer der am leichtesten erkennbaren SQL injection-Strings. Aufgeschlüsselt: Das einfache Anführungszeichen (') beendet das String-Literal in der SQL-Abfrage, OR 1=1 fügt eine Bedingung hinzu, die immer wahr ist (das bedeutet, dass die WHERE-Klausel immer matcht), und -- ist der SQL-Kommentarindikator, der alles danach ignoriert. Eine Login-Abfrage wie SELECT * FROM users WHERE username='admin' AND password='[input]' wird zum Beispiel zu SELECT * FROM users WHERE username='admin' AND password='' OR 1=1 --', was alle Benutzer zurückgibt und die Authentifizierung umgeht. WAFs erkennen SQL injection über Pattern Matching (Suche nach SQL-Keywords und Operatoren in Eingaben), Anomaly Detection (Vergleich von Anfragen mit erlerntem Applikationsverhalten) und Signature-Datenbanken bekannter Angriffsmuster. Obwohl WAFs wertvolle Defense-in-depth bieten, sollten sie nicht der einzige Schutz sein — parameterized queries im Anwendungscode sind die primäre Lösung. Prüfungstipp: OR 1=1 und ähnliche SQL-Syntax in Formularfeldern = SQL injection. Die WAF bietet Defense-in-depth, ist aber kein Ersatz für secure coding.

Verschlüsselung lässt sich auf Anwendungs-, Datenbank-, Dateisystem- oder Hardwareebene einsetzen, und jede Ebene zieht ihre Schutzgrenze an einer anderen Stelle. Je tiefer die Ebene, desto transparenter ist sie und desto weniger Bedrohungen deckt sie tatsächlich ab: Ein selbstverschlüsselndes Laufwerk schützt die Magnetscheiben, nicht den Prozess, der sie liest. Sobald die Maschine gebootet und der Schlüssel geladen ist, sieht alles oberhalb dieser Ebene Klartext, sodass ein Angreifer mit Remote Code Execution oder gültigen Anmeldedaten davon unberührt bleibt. Höhere Ebenen verkleinern die Angriffsfläche. Verschlüsselung auf Datenbankebene hält Daten für jemanden mit reinem Dateisystemzugriff unlesbar, und Verschlüsselung auf Anwendungsebene hält sie sogar vor einer kompromittierten Datenbank verborgen, allerdings um den Preis eines aufwendigeren Schlüsselmanagements und verlorener Abfragemöglichkeiten. Die Wahl der Ebene ist daher eine Frage des Bedrohungsmodells und kein Häkchen auf einer Checkliste, und oft werden mehrere Ebenen kombiniert. Der häufige Fehler besteht darin, jede Verschlüsselung ruhender Daten als Schutz gegen jeden Angreifer zu betrachten.