Online Sample Chapter
CompTIA Security+ Infrastructure Basics
Sample Pages
Download the sample pages
Table of Contents
Introduction. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
The CompTIA Certification Program . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Taking a Certification Exam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Tracking Certification Status. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
About This Book. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
Chapter Format and Conventions . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
Exam Topics. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
Self-Assessment. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
CompTIA Certification in the Real World. . . . . . . . . . . . . . . . . . . . . . . . 11
The Ideal CompTIA Certification Candidate . . . . . . . . . . . . . . . . 12
Put Yourself to the Test . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
How to Prepare for an Exam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
Studying for the Exam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
Testing Your Exam Readiness . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
Dealing with Test Anxiety . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
Day of the Exam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
Part I: System Security
Chapter 1: System Threats and Risks . . . . . . . . . . . . . . . . . . . . . . . 27
Systems Security Threats. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
Privilege Escalation. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
Viruses . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Worms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
Trojans . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Spyware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Spam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Adware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
Rootkits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
Botnets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
Logic Bombs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
Protecting Against Malicious Code . . . . . . . . . . . . . . . . . . . . . . . . . 38
Security Threats to System Hardware and Peripherals. . . . . . . . . . . . . . 38
BIOS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
USB Devices . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
Handheld Devices. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
Removable Storage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
Network-Attached Storage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
Suggested Reading and Resources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48
References . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48
Chapter 2: Online Vulnerabilities . . . . . . . . . . . . . . . . . . . . . . 49
Web Vulnerabilities . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50
Java and JavaScript . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50
ActiveX Controls. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52
Cookies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52
Common Gateway Interface Vulnerabilities . . . . . . . . . . . . . . . . . . 54
Browser Threats . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
Peer-to-Peer Networking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
Instant Messaging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
Simple Mail Transport Protocol Relay . . . . . . . . . . . . . . . . . . . . . . 57
Protocol Vulnerabilities . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
SSL/TLS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
LDAP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58
File Transfer Protocol Vulnerabilities . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
Anonymous Access . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
Unencrypted Authentication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
Wireless Network Vulnerabilities. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
WAP and i-Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
WLANs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
Wired Equivalent Privacy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
Wi-Fi Protected Access . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62
802.11i . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62
Site Surveys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62
Network Device and Transmission Media Vulnerabilities . . . . . . . . . . . 63
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68
Additional Reading and Resources. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70
Part II: Infrastructure Security
Chapter 3: Infrastructure Basics . . . . . . . . . . . . . .. . . . . . . . . 73
Port and Protocol Threats and Mitigation Techniques. . . . . . . . . . . . . . 74
Antiquated and Older Protocols . . . . . . . . . . . . . . . . . . . . . . . . . . . 76
TCP/IP Hijacking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
Null Sessions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 78
Spoofing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79
Man in the Middle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
Replay . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
Denial of Service. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
Distributed DoS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83
DNS Kiting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85
DNS Poisoning . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85
ARP Poisoning . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 87
Network Design Elements and Components . . . . . . . . . . . . . . . . . . . . . 88
Demilitarized Zone. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88
Intranet. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
Extranet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
Virtual Local Area Network . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
Network Address Translation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
Subnetting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
Network Interconnections. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
Network Access Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95
Telephony. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96
Network Security Tools . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98
NIDS and HIDS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98
Network Intrusion Prevention System . . . . . . . . . . . . . . . . . . . . . . 99
Firewalls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
Proxy Servers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
Internet Content Filters . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102
Protocol Analyzers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 104
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106
Additional Reading and Resources. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
Chapter 4: Infrastructure Security and Controls . . . . . . . . . . . . . . 109
Implementing Security Applications . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110
Personal Software Firewalls. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110
Antivirus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
Antispam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 112
Pop-Up Blockers. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
Virtualization Technology . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 114
Applying Network Tools to Facilitate Security . . . . . . . . . . . . . . . . . . . 116
Firewalls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 116
Proxy Servers. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
Internet Content Filters. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118
Protocol Analyzers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118
Logical Access Control Methods . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118
Security Groups and Roles with Appropriate Rights and Privileges . . . . . . 119
Security Controls for File and Print Resources . . . . . . . . . . . . . . 121
Access Control Lists . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122
Group Policies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
Password Policy. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124
Logical Tokens . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
Physical Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
Risk and Return on Investment . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
Identifying Risk. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
Asset Identification . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129
Risk and Threat Assessment . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
Vulnerabilities . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131
Calculating Risk . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131
Calculating ROI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 134
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 136
Additional Reading and Resources. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
Part III: Access Control
Chapter 5: Access Control and Authentication Basics . .. . . . . . . 141
Access Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142
Mandatory Access Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 143
Discretionary Access Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 143
Role-Based Access Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144
Access Control Best Practices . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144
Authentication. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146
Kerberos Authentication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147
Mutual Authentication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 150
Challenge-Handshake Authentication Protocol . . . . . . . . . . . . . 150
Terminal Access Controller Access Control System Plus . . . . . 151
Remote Authentication Dial-In User Service . . . . . . . . . . . . . . . 151
IEEE 802.1x . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151
Certificates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
Username and Password . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
Tokens . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
Biometrics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
Multifactor Authentication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 154
Single Sign-On . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155
Identity Proofing. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155
Operating System Hardening . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156
Nonessential Services and Protocols . . . . . . . . . . . . . . . . . . . . . . . 156
Patch Management. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156
Security Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157
Physical Access Security Methods . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 158
Physical Barriers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160
Facilities . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160
Other Deterrents . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 164
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 166
Additional Reading and Resources. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 168
Chapter 6: Securing Communications. . . . . . . . . . . . . . . . . . . . . . 169
Remote Access. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 170
802.1x Wireless Networking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171
VPN Connections . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173
Dial-Up User Access . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 174
Secure Shell Connections . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177
Remote Desktop Protocol (RDP). . . . . . . . . . . . . . . . . . . . . . . . . . 178
Internet Protocol Security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 178
Electronic Mail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181
Secure Multipurpose Internet Mail Extension . . . . . . . . . . . . . . . 181
Pretty Good Privacy. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182
Undesirable Email . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182
Instant Messaging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183
Web Connectivity. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
Hypertext Transport Protocol over Secure Sockets Layer . . . . . 184
Secure Sockets Layer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185
Transport Layer Security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 186
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188
Suggested Reading and Resources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 190
Part IV: Assessments and Audits
Chapter 7: Intrusion Detection and Security Baselines . . . . . . 193
Intrusion Detection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194
Methods of Intrusion Detection . . . . . . . . . . . . . . . . . . . . . . . . . . . 195
Intrusion-Detection Sources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197
Honeypots and Honeynets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
Incident Handling. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 202
Security Baselines . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203
Vulnerability Assessment . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203
Hardening . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 206
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 211
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213
Additional Reading and Resources. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
Chapter 8: Auditing. . . . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . 217
Using Monitoring Tools to Detect Security-Related Anomalies . . . . . 218
Performance Benchmarking and Baselining . . . . . . . . . . . . . . . . 220
Performance Monitoring . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 221
System Monitoring . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 222
Protocol Analyzers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 225
Monitoring Methodologies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 226
Behavior-Based Monitoring . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227
Anomaly-Based Monitoring . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 228
Signature-Based Monitoring . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229
Logging Procedures and Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229
Application Security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230
DNS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 231
System Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233
Performance Logging. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233
Access Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234
Firewall Logging. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235
Antivirus Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 236
Periodic Audits of System Security Settings . . . . . . . . . . . . . . . . . . . . . . 236
User Access and Rights Review . . . . . . . . . . . . . . . . . . . . . . . . . . . 237
Storage and Retention Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . 240
Group Policies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 241
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 245
Additional Reading and Resources. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247
Part V: Cryptography
Chapter 9: Cryptography Basics. . . . . . . . . . . . . . . . . . . . 251
Encryption Algorithms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 252
Symmetric Keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 253
Asymmetric Keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254
Key Management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256
Steganography . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256
CIA Triad. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257
Confidentiality. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257
Integrity . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258
Availability . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
Nonrepudiation and Digital Signatures. . . . . . . . . . . . . . . . . . . . . . . . . . 259
Whole Disk Encryption . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261
Trusted Platform Module . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 262
Hashing Concepts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
Cryptographic Hash Functions. . . . . . . . . . . . . . . . . . . . . . . . . . . . 264
Windows Authentication Hashing Algorithms. . . . . . . . . . . . . . . 264
Symmetric Encryption Algorithms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 265
Asymmetric Encryption Algorithms . . . . . . . . . . . . . . . . . . . . . . . . . . . . 268
Wireless . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 273
Suggested Readings and Resources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 274
Chapter 10: Cryptography Deployment . . . . . . . . . . . . . . . . . . . . . . . 275
PKI Standards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 277
PKIX. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 277
Public Key Cryptography Standards . . . . . . . . . . . . . . . . . . . . . . . 278
X.509 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 279
PKI Components . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 281
Certificate Authorities . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 281
Registration Authorities. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 282
Certificates. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 282
Certificate Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 283
Certificate Practice Statements. . . . . . . . . . . . . . . . . . . . . . . . . . . . 283
Revocation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 284
Trust Models . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 284
Key Management and the Certificate Life Cycle. . . . . . . . . . . . . . . . . . 286
Centralized Versus Decentralized. . . . . . . . . . . . . . . . . . . . . . . . . . 287
Storage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
Key Escrow . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 288
Expiration. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 289
Revocation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 289
Status Checking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 290
Suspension . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 290
Recovery. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 290
M of N Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 290
Renewal . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 291
Destruction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 291
Key Usage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 291
Multiple Key Pairs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 292
Protocols and Applications . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 292
SSL and TLS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 292
Point-to-Point Tunneling Protocol . . . . . . . . . . . . . . . . . . . . . . . . 293
Layer 2 Tunneling Protocol and IP Security . . . . . . . . . . . . . . . . 294
Secure/Multipurpose Internet Mail Extensions . . . . . . . . . . . . . 294
Pretty Good Privacy. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295
Secure Shell . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 297
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 300
Suggested Readings and Resources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 302
Part VI: Organizational Security
Chapter 11: Organizational Security . . . . . . . . . . . . . . . . . 305
Disaster Recovery and Redundancy Planning . . . . . . . . . . . . . . . . . . . . 306
Redundant Sites . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
Utilities. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 311
Redundant Equipment and Connections . . . . . . . . . . . . . . . . . . . 313
Service Level Agreements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 319
Backup Techniques and Practices . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 320
Backup Types. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 320
Schemes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 321
System Restoration. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 322
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 325
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 327
Suggested Readings and Resources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 329
Chapter 12: Organizational Controls . . . . . . . . . . . . . . . . . . . . . . . . 331
Incident Response Procedures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 332
Forensics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 332
Chain of Custody . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333
First Responders . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 334
Damage and Loss Control. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 335
Reporting and Disclosure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 335
Applicable Legislation and Organizational Policies . . . . . . . . . . . . . . . 336
Secure Disposal of Computers and Media . . . . . . . . . . . . . . . . . . 337
Acceptable Use Policies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 338
Password Complexity . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 339
Change Management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 340
Classification of Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 341
Separation of Duties and Mandatory Vacations . . . . . . . . . . . . . . 342
Personally Identifiable Information . . . . . . . . . . . . . . . . . . . . . . . . 343
Due Care . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 344
Due Diligence . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 344
Due Process . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 345
Service Level Agreements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 345
Security-Related Human Resources Policy . . . . . . . . . . . . . . . . . 346
User Education and Awareness Training. . . . . . . . . . . . . . . . . . . . 346
The Importance of Environmental Controls . . . . . . . . . . . . . . . . . . . . . 347
Fire Suppression . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 348
HVAC. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 350
Shielding . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 350
The Risks of Social Engineering . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 353
Phishing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 354
Hoaxes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 355
Shoulder Surfing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 355
Dumpster Diving . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 355
User Education and Awareness Training. . . . . . . . . . . . . . . . . . . . 356
Exam Prep Questions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 358
Answers to Exam Prep Questions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 360
Recommended Reading and Resources. . . . . . . . . . . . . . . . . . . . . . . . . . 361
Part VII: Practice Exams and Answers
Practice Exam 1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 365
Practice Exam 1 Answer Key . . . . . . . . . . . . . . . . . . . . . . . . . 389
Answers at a Glance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 389
Answers with Explanations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 390
Practice Exam 2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 411
Practice Exam 2 Answer Key . . . . . . . . . . . . . . . . . . . . . . . . . 439
Answers at a Glance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 439
Answers with Explanations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 440
Appendix: What’s on the CD-ROM . . . . . . . . . . . . . . . . . . . . 467
Multiple Test Modes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 467
Study Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 467
Certification Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 467
Custom Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 468
Attention to Exam Objectives. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 468
Installing the CD . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 468
Creating a Shortcut to the MeasureUp Practice Tests . . . . . . . . . . . . . 469
Technical Support. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 470
Glossary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . 471
Index . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 493
Global Stores
Browse CompTIA Certifications & Exams »