Nederlands
Menu

Cyberaanvallen en verdediging in de praktijk

Leer met meerkeuzevragen, waaronder rekenvragen, over de Cyber Kill Chain en MITRE ATT&CK, initiële toegang, C2-verkeer, privilege-escalatie, laterale beweging, living-off-the-landaanvallen, zero trust en NIST SP 800-207, ZTNA tegenover VPN, EDR, SIEM, SOAR en het SOC, IDS en IPS, WAF's, detectie met lokaas, de fasen van incidentrespons, het verzamelen van bewijs en de chain of custody, IoC's en IoA's, CSIRT's en PSIRT's, de kloksynchronisatie van logs, prioriteiten bij het verhelpen van kwetsbaarheden, penetratietests en red-teamoefeningen, gecoördineerde openbaarmaking van kwetsbaarheden, SBOM's en aanvallen op de toeleveringsketen, configuratiefouten in de cloud, MFA-vermoeidheidsaanvallen en passkeys, sessiekaping en privileged access management.

Oefen 10 vragenWillekeurige vragen uit dit onderwerp · ongeveer 5 minuten Dit onderwerp oefenenAlle vragen over dit onderwerp in willekeurige volgorde Zwakke vragenAlleen de laatst fout beantwoorde vragen opnieuw oefenen

Cyberaanvallen en verdediging in de praktijk: kernpunten

Een cyberaanval houdt niet op bij het uitbuiten van één zwakke plek, maar verloopt in fasen: binnendringen, een voet aan de grond krijgen, rechten uitbreiden, zich binnen het netwerk verplaatsen en het doel uitvoeren. Ook van de verdediging wordt verwacht dat ze niet alleen denkt aan het tegenhouden van aanvallen bij de ingang, maar, uitgaande van de veronderstelling dat er wordt ingebroken, als organisatie mechanismen heeft om inbraken snel te vinden, hun uitbreiding te stoppen, bewijs veilig te stellen, de oorzaak weg te nemen en lessen te trekken voor de volgende keer. Dit onderwerp bekijkt vanuit het oogpunt van de verdediging hoe organisaties in werkelijkheid worden aangevallen en hoe ze zich verdedigen.

U begint met het ordenen van het verloop van aanvallen met de Cyber Kill Chain en MITRE ATT&CK, en behandelt werkwijzen voor initiële toegang, aanwijzingen voor C2-verkeer, privilege-escalatie, laterale beweging en living-off-the-landaanvallen die legitieme hulpmiddelen misbruiken. Daarna volgen de verdedigingsmechanismen: de principes van zero trust en het policy decision point en policy enforcement point van NIST SP 800-207, het verschil tussen VPN en ZTNA, EDR, de rollen van SIEM, SOAR en het SOC, IDS en IPS, detectie op basis van signaturen en op basis van anomalieën, WAF's en detectie met lokaas. Bij incidentrespons komen de fasen van NIST SP 800-61, de volgorde van vluchtigheid en de chain of custody, IoC's en IoA's, CSIRT's en PSIRT's, en de correctie van klokafwijkingen in logs aan bod. De tweede helft behandelt prioriteiten bij het verhelpen van kwetsbaarheden door CVSS te combineren met de stand van het misbruik, penetratietests en red-teamoefeningen, gecoördineerde openbaarmaking van kwetsbaarheden, SBOM's en aanvallen op de toeleveringsketen zoals dependency confusion en het misbruik van legitieme updates, en, voor cloud en identiteit, configuratiefouten waardoor opslag openbaar toegankelijk is, te ruime rechten, MFA-vermoeidheidsaanvallen, waarom passkeys bestand zijn tegen phishing, de diefstal van sessiecookies, privileged access management en geheimen die in repository's zijn gecommit. Tot slot rekent u de gemiddelde tijd tot detectie, het rendement op beveiligingsinvesteringen (ROSI), het aandeel van de IDS-alerts dat een echte aanval is en het benodigde aantal analisten uit. Dit helpt ook bij het beveiligingsdeel van IT-certificeringsexamens. De waarden in de rekenvragen, ook die van de foute keuzemogelijkheden, zijn gecontroleerd door ze in Python te berekenen. Normen en gebeurtenissen die met een jaar of revisie worden genoemd, geven de informatie van dat moment weer. De drie kernaspecten van informatiebeveiliging, risicobehandeling, malware en phishing, kwetsbaarheden van webapplicaties, de basis van CVE en CVSS en de eerste reactie op een besmetting met ransomware worden behandeld in „Basis van informatiebeveiliging”; cryptografie en certificaten in „Basis en toepassingen van cryptografie”; gelaagde verdediging voor hardware en secure boot in „Hardwarebeveiliging”; de basis van firewalls en VPN's in „Basis van computernetwerken”; het model van gedeelde verantwoordelijkheid in „Basis van cloud en containers”; en incidentbeheer volgens ITIL in „IT-servicemanagement en IT-audit”.

Alle vragen over Cyberaanvallen en verdediging in de praktijk (40)
  1. De Cyber Kill Chain die Lockheed Martin in 2011 presenteerde, verdeelt het verloop van een gerichte aanval in zeven fasen. Welke volgorde van de fasen is juist?
  2. MITRE ATT&CK is een kennisbank die de werkwijzen die bij echte aanvallen zijn waargenomen, indeelt in „tactieken”, die het doel van de aanvaller weergeven, en „technieken”, die de concrete methoden weergeven om dat doel te bereiken. Welke combinatie van een waargenomen handeling en de tactiek waaronder die valt, is juist?
  3. Welke van de volgende is een werkwijze voor „initiële toegang”, waarmee een aanvaller voor het eerst het netwerk van een organisatie binnendringt?
  4. Bij onderzoek van de registratie van het verkeer op een intern netwerk is het volgende verkeer gevonden. Welk verkeer wijst het sterkst op malware die communiceert met een externe commandoserver (C2-server)?
  5. Een aanvaller die een kwetsbaarheid in een webapplicatie heeft uitgebuit, kan nu opdrachten uitvoeren met dezelfde gewone gebruikersrechten als het webserverprogramma. Welke van de volgende is een voorbeeld van de „privilege-escalatie” die de aanvaller daarna uitvoert?
  6. Welke maatregel is het meest passend om „laterale beweging” te bemoeilijken, dat wil zeggen dat een compromittering zich uitbreidt van één overgenomen pc van een medewerker naar andere pc's en servers binnen het bedrijf?
  7. De techniek waarbij een indringer zo min mogelijk eigen malware gebruikt en werkt met legitieme hulpmiddelen die al in het besturingssysteem aanwezig zijn, zoals PowerShell, WMI en de standaardfuncties voor beheer op afstand, heet „living off the land”. Welke denkwijze over tegenmaatregelen tegen deze techniek is het meest passend?
  8. Welke beschrijving van toegangscontrole op basis van het idee van zero trust is juist?
  9. De zero-trustarchitectuur van NIST SP 800-207 scheidt het „policy decision point (PDP)”, dat beslist of toegang wordt toegestaan, van het „policy enforcement point (PEP)”, dat de beslissing uitvoert. Welke beschrijving van de werking van beide wanneer een medewerker een bedrijfsapplicatie gebruikt, is juist?
  10. Welke vergelijking van een traditionele VPN voor toegang op afstand met ZTNA (zero-trustnetwerktoegang) als manier waarop thuiswerkende medewerkers interne systemen gebruiken, is juist?
  11. Welke beschrijving van EDR (endpoint detection and response) in vergelijking met traditionele antivirussoftware is juist?
  12. Welke combinatie van SIEM, SOAR en SOC met hun rol bij beveiligingsmonitoring is juist?
  13. Welke beschrijving van het verschil tussen een IDS (inbraakdetectiesysteem) en een IPS (inbraakpreventiesysteem) is juist?
  14. Welke vergelijking van detectie op basis van signaturen (misbruikdetectie) en detectie op basis van anomalieën als detectiemethoden van een IDS is juist?
  15. Welke beschrijving van een WAF (webapplicatiefirewall) is juist?
  16. Een organisatie plaatst op een interne bestandsserver „lok”-bestanden die niemand voor zijn werk gebruikt, en een lokaccount van een beheerder dat door geen enkel systeem wordt gebruikt, en bewaakt de toegang ertoe. Wat is het belangrijkste voordeel van deze maatregel?
  17. De tweede revisie (Rev. 2) van SP 800-61, de richtlijn voor incidentrespons die het Amerikaanse NIST in 2012 publiceerde, presenteert incidentrespons als een cyclus van vier fasen. Welke volgorde van de fasen is juist?
  18. Van een server waarop een incident heeft plaatsgevonden, moet bewijs voor een onderzoek worden verzameld. Welke volgorde is het meest passend volgens het principe dat bewijs wordt verzameld in de volgorde waarin het het gemakkelijkst verloren gaat (volgorde van vluchtigheid)?
  19. Bewijs uit een incidentonderzoek, zoals een kopie van een schijf, moet zo worden behandeld dat het later ook in een rechtszaak of bij een aangifte bij de politie kan worden gebruikt. Welke behandeling is het meest passend volgens het idee van de chain of custody (ononderbroken bewijsketen)?
  20. Welke beschrijving van de IoC (indicator of compromise) en de IoA (indicator of attack) die bij dreigingsdetectie worden gebruikt, is juist?
  21. Welke beschrijving van het verschil in rol tussen een CSIRT en een PSIRT binnen een organisatie is juist?
  22. Bij een onderzoek naar een inbraak worden de logs van twee servers met elkaar vergeleken. De webserver logt in gecoördineerde wereldtijd (UTC), en zijn klok was via NTP correct gelijkgezet. De bestandsserver logt in Japanse tijd (UTC+9 uur), en zijn klok liep 4 minuten vóór op de juiste tijd. Het log van de webserver vermeldt een verdachte aanmelding om 01:52 (UTC), en het log van de bestandsserver vermeldt het massaal lezen van bestanden om 10:58 (Japanse tijd). Hoeveel minuten na de verdachte aanmelding werden de bestanden in werkelijkheid gelezen?
  23. In dezelfde week zijn patches uitgebracht voor drie kwetsbaarheden. Het beheerpersoneel kan maar één patch per dag toepassen. Welke combinatie van de patch die als eerste moet worden toegepast en de reden is het meest passend?
  24. Welke beschrijving van de verschillen tussen kwetsbaarheidsscans, penetratietests en red-teamoefeningen als manieren om de verdediging van een organisatie te controleren, is juist?
  25. Een externe beveiligingsonderzoeker heeft een nog niet openbaar gemaakte kwetsbaarheid in een product van een bedrijf gevonden. Welke werkwijze is het meest passend volgens het idee van gecoördineerde openbaarmaking van kwetsbaarheden (Coordinated Vulnerability Disclosure)?
  26. Wat is het belangrijkste doel van het opstellen en bijhouden van een SBOM (software bill of materials)?
  27. Een bedrijf gebruikt een alleen intern gebruikte bibliotheek met de naam acme-utils, die in zijn interne pakketrepository (private registry) staat. Een aanvaller registreerde in een openbare pakketrepository een pakket met dezelfde naam, acme-utils, en een hoger versienummer, en het bleek dat de interne buildomgeving, afhankelijk van de buildinstellingen, het pakket van de aanvaller kon binnenhalen. Welke tegenmaatregel tegen deze „dependency confusion” is het meest passend?
  28. Bij het SolarWinds-incident dat in december 2020 aan het licht kwam, drongen aanvallers de buildomgeving van software voor IT-beheer binnen en werd kwaadaardige code in legitieme updates verwerkt. De updates werden verspreid met de legitieme codehandtekening van de ontwikkelaar. Wat is de meest passende les uit dit incident?
  29. Er werd ontdekt dat bestanden met klantgegevens in objectopslag in de cloud door iedereen op het internet konden worden gelezen. Welke combinatie van een typische oorzaak van dit soort lekken en een maatregel om herhaling te voorkomen, is passend?
  30. Een toegangssleutel met beheerdersrechten die alle bewerkingen toestaat (langdurig geldige inloggegevens), was in een configuratiebestand gezet en aan een batchtaak in de cloud meegegeven. Welke herziening is het meest passend om de schade te beperken als deze sleutel uitlekt?
  31. Een aanvaller verkreeg het wachtwoord van een medewerker, herhaalde de aanmelding tientallen keren en bestookte de smartphone van de medewerker met meldingen die om goedkeuring vroegen. De medewerker raakte geïrriteerd en drukte zonder nadenken op „Goedkeuren”. Welke tegenmaatregel tegen deze aanval is het meest passend?
  32. Wat is de juiste reden waarom authenticatie met passkeys van FIDO2 (WebAuthn) als beter bestand tegen phishing geldt dan eenmalige wachtwoorden (OTP's)?
  33. Een webdienst kreeg te maken met een groot aantal aanmeldpogingen vanaf veel verschillende IP-adressen, elk met het ID- en wachtwoordpaar van een andere gebruiker, en sommige slaagden. Veel van de geprobeerde paren kwamen overeen met paren die bij andere diensten waren uitgelekt. Hoe heet deze aanval?
  34. Bij een e-maildienst in de cloud die multifactorauthenticatie gebruikt, werd een medewerker naar een aanmeldscherm gelokt dat precies op het echte leek, en voerde hij een wachtwoord en een eenmalig wachtwoord in. De aanvaller gebruikte dat scherm als doorgeefluik naar de echte dienst, stal het sessiecookie dat na de aanmelding werd uitgegeven en deed zich voor als de medewerker. Welke beschrijving van deze aanval en de tegenmaatregelen is het meest passend?
  35. Wat is het meest passende idee van privileged access management (PAM) om beheerdersaccounts van servers te beschermen?
  36. Een ontwikkelaar heeft per ongeluk een configuratiebestand met een API-sleutel voor een clouddienst naar een openbare Git-repository gecommit. Toen hij het merkte, committe hij meteen een wijziging die het bestand verwijderde. Wat is daarna de meest passende reactie?
  37. Bij vier incidenten in een organisatie waren de tijd van optreden tot detectie en de tijd van detectie tot inperking: 10 uur en 4 uur bij incident 1, 30 uur en 2 uur bij incident 2, 2 uur en 6 uur bij incident 3, en 6 uur en 4 uur bij incident 4. Welke combinatie van de gemiddelde tijd van optreden tot detectie (MTTD) en de gemiddelde tijd van detectie tot inperking (MTTC) is juist?
  38. Voor schade door ransomware wordt het verlies per incident (SLE) geschat op 40 miljoen yen en het jaarlijkse aantal voorvallen (ARO) op 0,5. Maatregel A kost 6 miljoen yen per jaar en verlaagt het aantal voorvallen tot 0,2 per jaar. Maatregel B kost 3 miljoen yen per jaar en verandert het aantal voorvallen niet, maar versnelt het herstel, waardoor het verlies per incident daalt tot 24 miljoen yen. Met de jaarlijkse verliesverwachting ALE = SLE × ARO en ROSI = (daling van de ALE − jaarlijkse kosten van de maatregel) ÷ jaarlijkse kosten van de maatregel: welke combinatie van de maatregel met de grootste ROSI en de waarde daarvan is juist?
  39. Een IDS onderzoekt 1 miljoen verbindingen per dag, waarvan er 100 echte aanvallen zijn. Het IDS detecteert 99% van de aanvallen en beoordeelt 0,1% van de verbindingen die geen aanval zijn ten onrechte als aanval. Welke waarde ligt het dichtst bij het aandeel van de door het IDS gegeven alerts dat een echte aanval is?
  40. Bij een SOC geeft het SIEM 1440 alerts per dag, gelijkmatig verdeeld over de dag. De geautomatiseerde verwerking van SOAR handelt 75% van de alerts af zonder controle door een analist, en elke overige alert vraagt gemiddeld 10 minuten werk van een analist. Wat is, als analisten zonder pauzes kunnen werken, het minimale aantal analisten dat voortdurend dienst moet hebben om het tempo bij te houden waarin de alerts binnenkomen?

Andere onderwerpen in Netwerken en beveiliging