Deutsch
Menü

Grundlagen der Informationssicherheit

Schutzziele der Informationssicherheit und Risiko, symmetrische Verschlüsselung und Public-Key-Kryptografie, Hashfunktionen und digitale Signaturen, Authentifizierung und Multi-Faktor-Authentifizierung, Zugriffskontrolle, Malware und Phishing, Webangriffe wie SQL-Injection und XSS sowie Backups und Reaktion auf Sicherheitsvorfälle, erarbeitet mit Multiple-Choice-Fragen.

10 Fragen übenZufällige Fragen aus diesem Thema · etwa 5 Minuten Dieses Thema übenAlle Fragen dieses Themas in zufälliger Reihenfolge Schwache FragenNur zuletzt falsch beantwortete Fragen erneut üben

Grundlagen der Informationssicherheit: Kernpunkte

Informationen zu schützen heißt, einen Zustand zu erhalten, in dem nur Berechtigte sie einsehen können (Vertraulichkeit), ihr Inhalt korrekt bleibt (Integrität) und sie bei Bedarf nutzbar sind (Verfügbarkeit). Dazu werden Techniken wie Verschlüsselung, Hashfunktionen und digitale Signaturen mit Authentifizierung, Zugriffskontrolle, Backups und organisatorischem Management kombiniert.

Behandelt werden Bedrohungen, Schwachstellen und Risiken sowie der Umgang mit Risiken, der Einsatz symmetrischer Verschlüsselung und der Public-Key-Kryptografie und die Berechnung der Schlüsselzahl, Hashfunktionen und Passwortspeicherung, digitale Signaturen und Zertifikate, Multi-Faktor-Authentifizierung und die Fehlerraten biometrischer Verfahren sowie das Prinzip der minimalen Rechte. Malware, Phishing und Webangriffe wie SQL-Injection und Cross-Site-Scripting werden unter den Gesichtspunkten Funktionsweise und Abwehr erklärt; das hilft auch bei der Vorbereitung auf IT-Zertifizierungsprüfungen im Bereich Sicherheit. Hardwarebezogene Sicherheit wird im Themenbereich „Hardwaresicherheit“ behandelt.

Alle Fragen zu Grundlagen der Informationssicherheit (40)
  1. Ein betriebliches IT-System eines Unternehmens erhielt eine Flut von Zugriffen und reagierte nicht mehr, sodass die Nutzer es nicht verwenden konnten, als sie es brauchten. Welches der drei Schutzziele der Informationssicherheit (Vertraulichkeit, Integrität, Verfügbarkeit) wurde hauptsächlich verletzt?
  2. Welches der folgenden Beispiele ist bei der Betrachtung von Informationssicherheitsrisiken eine Schwachstelle und keine Bedrohung?
  3. Um sich auf Schadenersatzforderungen nach einem Datenabfluss vorzubereiten, hat ein Unternehmen eine Cyberversicherung abgeschlossen. Um welche Art der Risikobehandlung handelt es sich?
  4. Für ein IT-System wird geschätzt, dass ein Vorfall mit einem Verlust von 20 Millionen Yen pro Ereignis 0,1-mal pro Jahr auftritt. Eine Maßnahme, die jährlich 0,5 Millionen Yen kostet, würde die Häufigkeit auf 0,02-mal pro Jahr senken. Wie hoch ist der jährliche Nettonutzen dieser Maßnahme (Verringerung des erwarteten Verlusts abzüglich der Kosten der Maßnahme)?
  5. Was gehört beim Betrieb eines ISMS (Informationssicherheits-Managementsystem) nach dem PDCA-Zyklus zur Phase Check (Überprüfen)?
  6. Welche Aussage beschreibt die symmetrische Verschlüsselung richtig?
  7. A möchte mit Public-Key-Kryptografie eine Nachricht so verschlüsseln, dass nur B sie lesen kann. Welcher Schlüssel wird zum Verschlüsseln verwendet?
  8. 50 Mitglieder möchten, dass jedes Paar von ihnen verschlüsselt kommunizieren kann, ohne dass die übrigen Mitglieder den Inhalt erfahren. Welche Kombination gibt die Zahl der benötigten Schlüssel bei symmetrischer Verschlüsselung und bei Public-Key-Kryptografie (öffentliche und private Schlüssel zusammengezählt) richtig an?
  9. Welches Vorgehen beschreibt das häufig verwendete hybride Verschlüsselungsverfahren, wenn eine große Datei verschlüsselt an jemanden gesendet wird?
  10. Welche Aussage beschreibt eine Eigenschaft der in der Kryptografie verwendeten Hashfunktionen (kryptografische Hashfunktionen) richtig?
  11. Welche Kombination gibt für eine ideale Hashfunktion mit 256-Bit-Ausgabe die ungefähre Zahl der Berechnungen bei einem Brute-Force-Angriff in zwei Fällen richtig an: eine Eingabe finden, die einen vorgegebenen Hashwert ergibt (Urbildangriff), und beliebige zwei verschiedene Eingaben finden, die denselben Hashwert ergeben (Kollisionsangriff)?
  12. Ein Webdienst fügt beim Speichern der Nutzerpasswörter jedem Passwort einen für jeden Nutzer unterschiedlichen Zufallswert (Salt) hinzu, bevor er den Hashwert berechnet und speichert. Was ist der Hauptzweck des Salts?
  13. Warum wird empfohlen, zum Speichern von Passwörtern nicht direkt eine schnelle Hashfunktion wie SHA-256 zu verwenden, sondern ein absichtlich rechenaufwendig entworfenes Verfahren wie bcrypt oder Argon2?
  14. Ein 8-stelliges Passwort wird per Brute Force gesucht, indem alle Kandidaten ausprobiert werden. Wenn sich pro Sekunde 1×10^10 Kandidaten testen lassen, welche Kombination liegt der Zeit am nächsten, die nötig ist, um alle Kandidaten für ein Passwort nur aus Kleinbuchstaben (26 Zeichen) bzw. aus Groß- und Kleinbuchstaben und Ziffern (62 Zeichen) auszuprobieren?
  15. A versieht ein an B gesendetes Dokument mit einer digitalen Signatur. Welche Kombination aus Schlüsseln zum Erstellen und Prüfen der Signatur und dem, was die digitale Signatur bestätigen kann, ist richtig?
  16. Welche Aussage vergleicht einen Message Authentication Code (MAC) und eine digitale Signatur richtig?
  17. Es wurde festgestellt, dass der private Schlüssel zum Serverzertifikat eines Webservers möglicherweise abgeflossen ist. Das Zertifikat ist noch nicht abgelaufen. Welche Maßnahme ist für den Betreiber am angemessensten?
  18. Welcher der drei Authentifizierungsfaktoren zur Überprüfung eines Nutzers (Wissen, Besitz, Inhärenz) trifft auf die Authentifizierung mit einem Mitarbeiterausweis als Chipkarte zu?
  19. Welches der folgenden Authentifizierungsverfahren ist eine Multi-Faktor-Authentifizierung?
  20. Bei einer biometrischen Authentifizierung per Fingerabdruck wird der Schwellenwert für den Übereinstimmungsgrad, ab dem eine Person als berechtigt anerkannt wird, strenger (höher) gesetzt. Welche Veränderung tritt im Allgemeinen ein?
  21. Ein Gesichtserkennungsgerät lässt sich auf einen von drei Schwellenwerten A, B und C einstellen; Falschakzeptanzrate (FAR) und Falschrückweisungsrate (FRR) betragen bei A 1 % und 0,5 %, bei B 0,1 % und 2 %, bei C 0,01 % und 8 %. Für die Zutrittskontrolle eines Labors ist eine FAR von höchstens 0,1 % vorgeschrieben, und innerhalb dieser Vorgabe sollen berechtigte Nutzer möglichst selten abgewiesen werden. Welcher Schwellenwert ist zu wählen?
  22. Welche Aussage beschreibt Single Sign-on (SSO) richtig?
  23. Welche Praxis entspricht dem Prinzip der minimalen Rechte?
  24. Ein Unternehmen mit Tausenden Beschäftigten verwaltet Berechtigungen mit rollenbasierter Zugriffskontrolle (RBAC). Welche Aussage beschreibt den Gedanken von RBAC richtig?
  25. Welche Aussage beschreibt unter den Arten von Malware einen Wurm richtig?
  26. Welche Aussage beschreibt Ransomware richtig?
  27. Welche Methode entspricht bei Backups zum Schutz vor Ransomware am besten der „3-2-1-Regel“?
  28. Welche Kombination gibt die Vorgehensweise beim Phishing und eine Gegenmaßnahme auf Nutzerseite richtig an?
  29. Welches der folgenden Beispiele ist Social Engineering?
  30. Eine E-Mail, angeblich von einer Ansprechperson bei einem Geschäftspartner, lautet: „Unser Konto für Zahlungseingänge hat sich geändert, bitte zahlen Sie diese und künftige Rechnungen auf das neue Konto.“ Was ist bei Verdacht auf Business Email Compromise (BEC) die angemessenste Reaktion?
  31. In einer Webanwendung kann man sich ohne Kenntnis des Passworts anmelden, wenn man im Passwortfeld des Anmeldebildschirms eine Zeichenkette wie ' OR '1'='1 eingibt. Wie heißt dieser Angriff?
  32. Warum gelten Prepared Statements mit Platzhaltern (parametrisierte Abfragen) als grundlegendere Gegenmaßnahme gegen SQL-Injection als das Entfernen gefährlicher Zeichen aus der Eingabe?
  33. Eine Webanwendung für ein Forum hatte eine Schwachstelle, durch die Skripte in von Nutzern geposteten Texten in den Browsern anderer Besucher ausgeführt wurden. Welche Kombination aus Name dieser Schwachstelle und grundlegender Gegenmaßnahme ist richtig?
  34. Eine Webanwendung hat eine Schwachstelle: Öffnet ein angemeldeter Nutzer eine vom Angreifer präparierte Fallenseite, sendet sein Browser vom Nutzer nicht beabsichtigte Anfragen an die legitime Website, etwa Überweisungen oder Einstellungsänderungen. Welche Gegenmaßnahme ist angemessen?
  35. Eine Webanwendung liest und zeigt eine Datei an, indem sie einen über einen URL-Parameter angegebenen Dateinamen an den Namen ihres öffentlichen Ordners anhängt. Wird als Dateiname ein Wert mit ../ angegeben, lassen sich Konfigurationsdateien und andere Dateien außerhalb des öffentlichen Ordners lesen. Welche Kombination aus Name des Angriffs und Gegenmaßnahme ist richtig?
  36. Verwendet eine Webanwendung vor und nach der Anmeldung weiterhin dieselbe Sitzungs-ID, kann ein Angreifer den Nutzer dazu bringen, eine vom Angreifer vorbereitete Sitzungs-ID zu verwenden, und sich nach der Anmeldung des Nutzers mit dieser ID als dieser ausgeben. Was ist die angemessenste Gegenmaßnahme gegen diesen Angriff?
  37. Welche Aussage beschreibt einen DDoS-Angriff richtig?
  38. Welche Aussage beschreibt einen Zero-Day-Angriff richtig?
  39. Welche Kombination beschreibt die im Schwachstellenmanagement verwendeten Begriffe CVE und CVSS richtig?
  40. Auf dem PC eines Mitarbeiters ändern sich nacheinander die Dateiendungen, und ein Bildschirm mit einer Lösegeldforderung erscheint. Was sollte dieser Mitarbeiter als Erstes tun?

Weitere Themen in Computersysteme