TU Wien:Introduction to Security VU (Brem)/Prüfung 2017-01-20

Allgemeines

Die Fragen waren mit an Sicherheit grenzender Wahrscheinlichkeit nicht genauso formuliert. Im Grunde war aber genau das gefragt wie hier wiedergegeben.

Es gab 32 Fragen, 30 davon haben wir reproduzieren können – wem noch welche einfallen bitte dazutun!

Fragen

1. Warum wird bei einem Zertifikat der Signatur-Algorithmus mit gespeichert und signiert? Welcher Angriff kann dadurch verhindert werden?
2. Um Windows zu sichern können verschiedene Maßnahmen ergriffen werden. Eine davon ist Herabsetzung. Erklären Sie was damit gemeint ist.
3. Was versteht man unter einer CSRF (Cross Site Request Forgery) Attack und wie kann sie verhindert werden. Helfen dieses Gegenmaßnahmen auch bei unverschlüsselte Verbindungen?
4. Rootkits gibt es nur unter Linux (Ja/Nein)
5. Erklären Sie den Unterschied zwischen dem IT-Sicherheitsbeauftragten und einem Datenschutzbeauftragten .
6. Erklären Sie das Prinzip der Signierung. Welcher Key wird dabei von wem verwendet?
7. Was versteht man unter hybrider Verschlüsselung und warum wird sie angewandt?
8. Was versteht man unter einem Angriff nach Bishop?
9. Erklären Sie PDCA. Wofür steht die Abkürzung und was bedeutet sie?
10. Um mögliche Angriffsvektoren zu minimieren wird Hardening eingesetzt. Was sind die 3 Grundprinzipien davon?
11. Nennen Sie 1 sicheres Passwort und begründen Sie es.
12. Policies sind eine Methode der organisatorischen Sicherheit. Was ist das und warum sind sie relevant?
13. Bei TCP ist es im Gegensatz zu UDP nicht möglich Broadcast Pakete zu versenden. Dadurch besteht auch keine Möglichkeit des Floodings. (Ja/Nein)
14. Erklären sie folgende Begriffe aus dem Bereich des Social Engineerings: Soziale Bewährtheit, Konsistenz, Autorität
15. In welchen Phasen der Softwareentwicklung müssen Bedrohungen und Risiken analysiert werden? (MC)
    1. Analyse
    2. Testing
    3. Betrieb
    4. Implementierung
16. Welches sind Herausforderungen beim Software Testing nach Thompson “Why Security Testing is hard”
    1. Unveröffentlichte Seiteneffekte
    2. Unbekannte Seiteneffekte
    3. Falsch implementierte Funktionalität
    4. Veraltete Funktionalität
17. Welches sind Möglichkeiten um Secure Code Review zu vereinfachen?
    1. einfaches Design
    2. einfache Implementierung
    3. automatisierte Reviews
    4. ???
18. Jemand behauptet “die Sicherheitsgruppe sagt immer ‘Nein’”. Was können Sie dem entgegensetzen?
19. Was ist ein Zertifikat im Kontext einer PKI?
    1. Zuordnung zwischen symmetrischen Schlüssel und Person
    2. Zusicherung der Vertraulichkeit des Private Keys
    3. Vertraulichkeit des public keys
    4. ???
20. Was ist eine SQL-Injection und geben Sie ein Beispiel. Wie kann man sie verhindern?
21. Nennen sie 3 Faktoren, welche die Bedrohlichkeit von Angreifern beeinflussen.
22. Was versteht man unter dem CIA Triad?
23. Welches sind Konzepte bei der Signaturprüfung?
    1. Hybridmodell
    2. Schachtelmodell
    3. Schalenmodell
    4. Signaturverifikation
24. Wenn beim Senden von einem ICMP Paket die Antwort “Port Unreachable” zurückkommt, ist der Port nicht erreichbar. (Ja/Nein)
25. Kann eine Firewall mit Stateful Packet Inspection eine SQL-Injection erkennen? Begründen Sie Ihre Antwort. (Ja/Nein + Begründung)
26. Warum sind WLANs, welche mit WPA2 gesichert nicht unbedingt sicher? Wie können Sie angegriffen werden? Gegenmaßnahmen?
27. Was ist eine Fail-Safe Konfiguration einer Firewall und warum?
28. Mit RBAC lässt sich Separation of Privileges konfigurieren. (Ja/Nein)
29. Wenn Passwörter mit einem Salt gehasht werden, muss dann beim Salt ebenfalls auf Geheimhaltung geachtet werden? Warum? (Ja/Nein + Begründung)
30. Was versteht man unter “Least Privilege” und was sind die Hintergedanken davon?