L'esame di certificazione CompTIA CASP+ è una credenziale di sicurezza informatica di livello avanzato, che copre le competenze tecniche richieste nell'architettura di sicurezza e nei lavori di ingegneria della sicurezza senior.
Questa guida tratterà i quattro domini di conoscenza dell'esame di certificazione CASP+ e gli argomenti secondari che puoi aspettarti nell'esame CAS-004.
Cos'è l'esame di certificazione CompTIA CASP+?
Il CompTIA Advanced Security Practitioner (CASP+) è una certificazione di sicurezza informatica di livello avanzato per architetti della sicurezza e ingegneri della sicurezza senior, che convalida le competenze in materia di rischio e conformità e valuta la preparazione alla sicurezza informatica di un'azienda.
La certificazione CASP+ è approvata dal DoD degli Stati Uniti, soddisfa i requisiti della direttiva 8140/8570.01-M ed è conforme agli standard ISO 17024.
In qualità di professionista CASP+ certificato, devi implementare le tue capacità tecniche e il tuo pensiero critico per proporre e applicare le soluzioni di sicurezza appropriate, comprese le strategie operative delle organizzazioni, valutare gli impatti dei rischi e rispondere agli incidenti di sicurezza.
Un professionista certificato [CompTIA CASP+ di successo avrà le seguenti competenze necessarie per:
- Architetta, ingegnerizza, integra e implementa soluzioni sicure in ambienti complessi per supportare un'azienda resiliente.
- Utilizzare il monitoraggio, il rilevamento, la risposta agli incidenti e l'automazione per supportare in modo proattivo le operazioni di sicurezza in corso in un ambiente aziendale.
- Applicare pratiche di sicurezza al cloud, in locale, all'endpoint e all'infrastruttura mobile, tenendo conto delle tecnologie e delle tecniche crittografiche.
- Considerare l'impatto dei requisiti di governance, rischio e conformità in tutta l'azienda.
Dettagli dell'esame CompTIA CASP+
Esame richiesto: CAS-004 Numero di domande: massimo 90 Tipi di domande: a scelta multipla e basate sulle prestazioni Durata della prova: 165 minuti Esperienza consigliata: minimo dieci anni di esperienza pratica generale nell'IT, di cui almeno cinque anni di ampia esperienza pratica di sicurezza IT. Network+, Security+, CySA+, Cloud+ e PenTest+ o certificazioni/conoscenze equivalenti. Punteggio superato: solo Pass/Fail - nessun punteggio scalato
Obiettivi dell'esame CompTIA CASP+ (domini)
Ecco la suddivisione di ogni dominio con la percentuale di esame. Dai una rapida occhiata agli obiettivi dell'esame CompTIA CASP+, suddivisi in quattro parti principali:
1.0 Architettura di sicurezza - 29% 2.0 Operazioni di sicurezza - 30% 3.0 Ingegneria della sicurezza e crittografia - 26% 4.0 Governance, rischio e conformità - 15%
Dominio - 1.0 Architettura di sicurezza 29%
1.1 Dato uno scenario, analizzare i requisiti e gli obiettivi di sicurezza per garantire un'architettura di rete appropriata e sicura per una rete nuova o esistente.
• Servizi • Segmentazione • Deperimetrizzazione/zero trust • Fusione di reti di varie organizzazioni • Rete definita dal software (SDN)
1.2 Dato uno scenario, analizzare i requisiti organizzativi per determinare la corretta progettazione della sicurezza dell'infrastruttura.
• Scalabilità • Resilienza • Automazione • Prestazione • Containerizzazione • Virtualizzazione • Rete di distribuzione dei contenuti • Cache
1.3 Dato uno scenario, integrare le applicazioni software in modo sicuro in un'architettura aziendale.
• Linea di base e modelli • Assicurazione del software • Considerazioni sull'integrazione delle applicazioni aziendali • Integrazione della sicurezza nel ciclo di vita dello sviluppo
1.4 Dato uno scenario, implementare tecniche di sicurezza dei dati per proteggere l'architettura aziendale.
• Prevenzione della perdita dei dati • Rilevamento della perdita di dati • Classificazione, etichettatura ed etichettatura dei dati • Offuscazione • Anonimizzazione • Crittografato o non crittografato • Ciclo di vita dei dati • Inventario e mappatura dei dati • Gestione dell'integrità dei dati • Archiviazione, backup e ripristino dei dati
1.5. Dato uno scenario, analizzare i requisiti e gli obiettivi di sicurezza per fornire i controlli di autenticazione e autorizzazione appropriati.
• Gestione delle credenziali • Criteri password • Federazione • Controllo di accesso • Protocolli • Autenticazione a più fattori (MFA) • Password monouso (OTP) • Radice di attendibilità hardware • Accesso singolo (SSO) • Token Web JSON (JavaScript Object Notation) (JWT) • Attestato e prova d'identità
1.6. Dato un insieme di requisiti, implementa soluzioni cloud e di virtualizzazione sicure.
• Strategie di virtualizzazione • Provisioning e deprovisioning • Middleware • Metadati e tag • Modelli di distribuzione e considerazioni • Modelli di hosting • Modelli di servizio • Limitazioni del fornitore di servizi cloud • Estendere i controlli on-premise appropriati • Modelli di archiviazione
1.7. Spiega in che modo la crittografia e l'infrastruttura a chiave pubblica (PKI) supportano gli obiettivi e i requisiti di sicurezza.
• Requisiti di privacy e riservatezza • Requisiti di integrità • Non ripudio • Requisiti di conformità e policy • Casi d'uso comuni della crittografia • Casi d'uso PKI comuni
1.8. Spiegare l'impatto delle tecnologie emergenti sulla sicurezza e sulla privacy aziendale.
• Intelligenza artificiale • Apprendimento automatico • Calcolo quantistico • Blockchain • Crittografia omomorfica • Grandi dati • Realtà virtuale/aumentata • Stampa 3D • Autenticazione senza password • Nanotecnologia • Apprendimento approfondito • Calcolo multipartitico sicuro • Consenso distribuito • Rappresentazione biometrica
Dominio - Operazioni di sicurezza 2.0
2.1. Dato uno scenario, eseguire attività di gestione delle minacce.
• Tipi di intelligenza • Tipi di attori • Proprietà dell'attore di minaccia • Quadri
2.2. Dato uno scenario, analizzare gli indicatori di compromesso e formulare una risposta adeguata.
• Indicatori di compromesso • Risposta
2.3. Dato uno scenario, eseguire attività di gestione delle vulnerabilità.
• Scansioni di vulnerabilità • Autovalutazione rispetto alla valutazione del fornitore di terze parti • Gestione delle patch • Fonti informative • Protocollo di automazione dei contenuti di sicurezza (SCAP)
2.4. Dato uno scenario, utilizzare i metodi e gli strumenti di valutazione della vulnerabilità e di test di penetrazione appropriati.
• Metodi • Utensili • Gestione delle dipendenze • Requisiti
2.5. Dato uno scenario, analizzare le vulnerabilità e consigliare mitigazioni del rischio.
• Vulnerabilità • Sistema/applicazione intrinsecamente vulnerabile • Attacchi
2.6. Dato uno scenario, utilizzare i processi per ridurre il rischio.
• Proattivo e rilevamento • Analisi dei dati di sicurezza • Preventivo • Controllo dell'applicazione • Automazione della sicurezza • Sicurezza fisica
2.7. Dato un incidente, implementare la risposta appropriata.
• Classificazioni degli eventi • Evento di triage • Attività di preescalation • Processo di risposta agli incidenti • Playbook/processi di risposta specifici • Piano di comunicazione • Gestione degli stakeholder
2.8. Spiegare l'importanza dei concetti forensi.
• Finalità legali vs. aziendali interne • Processo forense • Conservazione dell'integrità • Crittoanalisi • Steganalisi
2.9. Dato uno scenario, utilizzare strumenti di analisi forense.
• Strumenti per intagliare la lima • Strumenti di analisi binaria • Strumenti di analisi • Strumenti di imaging • Utilità di hashing • Raccolta dal vivo vs. strumenti post mortem
Dominio - 3.0 Ingegneria della sicurezza e crittografia
3.1. Dato uno scenario, applica configurazioni sicure alla mobilità aziendale.
• Configurazioni gestite • Scenari di distribuzione • Considerazioni sulla sicurezza
3.2. Dato uno scenario, configurare e implementare i controlli di sicurezza degli endpoint.
• Tecniche di tempra • Processi • Controllo accessi obbligatorio • Computing affidabile • Controlli compensativi
3.3. Spiegare le considerazioni sulla sicurezza che incidono su settori specifici e tecnologie operative.
• Incorporato • ICS/controllo di supervisione e acquisizione dati (SCADA) • Protocolli • Settori
3.4. Spiega in che modo l'adozione della tecnologia cloud influisce sulla sicurezza dell'organizzazione.
• Automazione e orchestrazione • Configurazione della crittografia • Registri • Monitoraggio delle configurazioni • Proprietà delle chiavi e posizione • Gestione del ciclo di vita delle chiavi • Metodi di backup e ripristino • Infrastruttura vs. elaborazione senza server • Virtualizzazione delle applicazioni • Rete definita dal software • Errate configurazioni • Strumenti di collaborazione • Configurazioni di archiviazione • Broker di sicurezza per l'accesso al cloud (CASB)
3.5. Dato un requisito aziendale, implementare la soluzione PKI appropriata.
• Gerarchia PKI • Tipi di certificati • Usi/profili/modelli di certificati • Estensioni • Fornitori affidabili • Modello di fiducia • Certificazione incrociata • Configurare i profili • Gestione del ciclo di vita • Chiavi pubbliche e private • Firma digitale • Pinning del certificato • Pinzatura certificati • Richieste di firma del certificato (CSR) • Online Certificate Status Protocol (OCSP) rispetto all'elenco di revoche di certificati (CRL) • HTTP Strict Transport Security (HSTS)
3.6. Dato un requisito aziendale, implementare i protocolli e gli algoritmi crittografici appropriati.
• Hashing • Algoritmi simmetrici • Algoritmi asimmetrici • Protocolli • Crittografia a curva ellittica • Inoltro segreto • Crittografia autenticata con dati associati • Allungamento chiave
3.7. Dato uno scenario, risolvere i problemi con le implementazioni crittografiche.
• Problemi di implementazione e configurazione • Chiavi
Dominio - 4.0 Governance, rischio e conformità
4.1. Dato un insieme di requisiti, applicare le strategie di rischio appropriate.
• Valutazione del rischio • Tecniche di gestione del rischio • Tipi di rischio • Ciclo di vita della gestione del rischio • Monitoraggio del rischio • Propensione al rischio vs. tolleranza al rischio • Politiche e pratiche di sicurezza
4.2. Spiegare l'importanza di gestire e mitigare il rischio del fornitore.
• Modello di responsabilità condivisa (ruoli/responsabilità) • Vendor lock-in e vendor lockout • Fattibilità del fornitore • Soddisfare le esigenze del cliente • Disponibilità del supporto • Considerazioni geografiche • Visibilità della catena di fornitura • Obblighi di segnalazione degli incidenti • Deposito in garanzia del codice sorgente • Strumenti di valutazione continua dei fornitori • Dipendenze di terze parti • Considerazioni tecniche
4.3. Spiegare i quadri di conformità e le considerazioni legali e il loro impatto organizzativo.
• Problemi di sicurezza legati all'integrazione di diversi settori • Considerazioni sui dati • Attestazione di conformità da parte di terzi • Regolamenti, accreditamenti e standard • Considerazioni legali • Tipi di contratti e accordi • Considerazioni geografiche
4.4. Spiegare l'importanza dei concetti di business continuity e disaster recovery.
• Analisi dell'impatto aziendale • Valutazione dell'impatto sulla privacy • Piano di ripristino di emergenza (DRP)/piano di continuità aziendale (BCP) • Piano di risposta agli incidenti • Piani di test
