Tất cả câu hỏi

Đáp án đúng: "true negatives". Kết quả của IDS được phân thành bốn loại theo hai câu hỏi: thiết bị có cảnh báo hay không (positive hay negative) và nhận định đó có khớp với thực tế không (true hay false). Khi hoạt động thực sự hợp lệ và IDS cũng coi là hợp lệ, không cảnh báo, đó là true negative (âm tính thật), trạng thái mong muốn cho lưu lượng bình thường. "false positives" sai vì dương tính giả là khi IDS báo động nhầm trên hoạt động vô hại, gây nhiễu cảnh báo cho đội vận hành. "false negatives" sai vì âm tính giả là khi hoạt động độc hại lọt qua mà IDS không phát hiện, loại nguy hiểm nhất. "true positives" sai vì dương tính thật là khi IDS cảnh báo đúng một hoạt động thực sự độc hại, còn ở đây hoạt động là hợp lệ.

Đáp án đúng: "Airmon-ng". Disassociation attack (tấn công huỷ liên kết) gửi khung quản lý 802.11 giả mạo để buộc máy khách rời điểm truy cập, thường nhằm bắt lại quá trình bắt tay hoặc dụ nạn nhân sang điểm truy cập giả. Airmon-ng thuộc bộ Aircrack-ng, dùng để chuyển card mạng không dây sang chế độ monitor (giám sát), điều kiện bắt buộc để nghe và chèn khung quản lý; tiện ích cùng bộ là aireplay-ng mới trực tiếp phát khung huỷ liên kết, nên trong các lựa chọn chỉ công cụ thuộc Aircrack-ng là phù hợp. "nmap" là trình quét cổng và dịch vụ trên mạng IP, không làm việc với khung 802.11. "POODLE" không phải công cụ mà là tên một lỗ hổng hạ cấp kết nối xuống SSL 3.0. "EMPIRE" là khung hậu khai thác dựa trên PowerShell và Python, dùng sau khi đã chiếm máy chứ không tấn công lớp không dây. Biện pháp phòng thủ trước kiểu tấn công này là bật 802.11w để bảo vệ khung quản lý.

Đáp án đúng: "CVSS". Common Vulnerability Scoring System (CVSS, hệ thống chấm điểm lỗ hổng chung) do FIRST duy trì, cho mỗi lỗ hổng một điểm từ 0 tới 10 dựa trên các chỉ số như vectơ tấn công, độ phức tạp, quyền cần có và tác động tới tính bí mật, toàn vẹn, sẵn sàng; điểm này dùng để xếp mức nghiêm trọng từ thấp tới nghiêm trọng. "CVE" (Common Vulnerabilities and Exposures) là danh mục định danh lỗ hổng đã biết, mỗi lỗ hổng một mã riêng, nhưng bản thân CVE không chấm điểm mức nghiêm trọng. "OWASP WSTG" là hướng dẫn phương pháp kiểm thử bảo mật ứng dụng web. "NIST SP 800-115" là tài liệu hướng dẫn kỹ thuật kiểm thử và đánh giá an ninh thông tin, không phải danh mục lỗ hổng có điểm.

Đáp án đúng: "Circuit-level gateway". Circuit-level gateway (cổng mức mạch) hoạt động ở tầng Session của mô hình OSI: nó kiểm tra quá trình bắt tay thiết lập phiên, chẳng hạn TCP handshake, và khi phiên hợp lệ thì cho các gói tin chảy giữa hai máy mà không soi tiếp nội dung từng gói; SOCKS là ví dụ điển hình. "Proxy server" sai vì máy chủ proxy ứng dụng đứng thay mặt máy khách và thường xử lý ở tầng Application, đọc nội dung yêu cầu. "Application firewall" sai vì tường lửa ứng dụng kiểm tra sâu nội dung từng yêu cầu ở tầng 7, trái với việc không kiểm tra thêm. "NAT filtering" sai vì lọc NAT dựa trên bảng chuyển đổi địa chỉ ở tầng Network và Transport, chỉ cho lưu lượng trả về khớp với kết nối đã đi ra, không phải cơ chế thiết lập phiên ở tầng Session.

Đáp án đúng: "BeEF". BeEF (Browser Exploitation Framework, khung khai thác trình duyệt) cung cấp một bảng điều khiển web; khi trình duyệt của nạn nhân chạy đoạn script hook được chèn qua lỗi XSS (cross-site scripting), trình duyệt đó kết nối về bảng điều khiển và người điều khiển có thể gửi lệnh tới nó. Hiểu cơ chế này giúp nhận ra vì sao phải mã hóa đầu ra và dùng Content Security Policy. "Asterisk" là phần mềm tổng đài điện thoại VoIP mã nguồn mở, không liên quan điều khiển nạn nhân XSS. "SET" (Social-Engineer Toolkit) dùng để dựng chiến dịch kỹ nghệ xã hội như email lừa đảo hay trang thu thông tin đăng nhập giả mạo, có thể kết hợp với các công cụ khác nhưng không phải bảng điều khiển trình duyệt bị hook. "Nikto" là máy quét lỗ hổng máy chủ web, tìm tệp nguy hiểm, cấu hình sai và phiên bản lỗi thời, không điều khiển trình duyệt của ai.

Đáp án đúng: "credential harvesting". Credential harvesting (thu gom thông tin xác thực) trong môi trường đám mây là xâm nhập hạ tầng hoặc dùng phishing, tệp cấu hình, kho mã để thu thập hàng loạt tên người dùng, mật khẩu, token và mã PIN hợp lệ; đây là bước tạo tiền đề cho các tấn công tiếp theo, nên cần MFA, quản lý bí mật và giám sát đăng nhập. "account takeover" (chiếm tài khoản) là việc dùng thông tin đã có để kiểm soát một tài khoản cụ thể, tức là hệ quả sau khi đã thu gom chứ không phải hành vi thu gom. "privilege escalation" là leo thang đặc quyền, khai thác lỗi để có quyền cao hơn quyền được cấp. "side-channel attacks" (tấn công kênh kề) suy ra dữ liệu bí mật từ thời gian xử lý, mức tiêu thụ tài nguyên hay bộ nhớ đệm dùng chung giữa các máy ảo.

Đáp án đúng: "Federal Trade Commission (FTC)". Đạo luật Gramm-Leach-Bliley (GLBA) yêu cầu tổ chức tài chính bảo vệ thông tin cá nhân của khách hàng; FTC là cơ quan thực thi Privacy of Consumer Financial Information Rule (quy tắc về quyền riêng tư thông tin tài chính) cùng Safeguards Rule đối với nhiều tổ chức tài chính không do cơ quan ngân hàng hay chứng khoán giám sát, như công ty cho vay hay môi giới thế chấp. Người kiểm thử cần biết luật này vì nó ràng buộc cách xử lý dữ liệu tài chính gặp phải khi kiểm thử. "Securities and Exchange Commission (SEC)" sai vì SEC giám sát thị trường chứng khoán và chỉ áp quy định riêng cho công ty môi giới, quỹ đầu tư. "Commodity Futures Trading Commission (CFTC)" sai vì CFTC quản lý thị trường hợp đồng tương lai và phái sinh hàng hoá. "Federal Deposit Insurance Corporation (FDIC)" sai vì FDIC bảo hiểm tiền gửi và giám sát một nhóm ngân hàng, không phải cơ quan thực thi chung quy tắc này.

Đáp án đúng: "Tools and techniques". Mọi công cụ và kỹ thuật kiểm thử, nhất là công cụ khai thác, script tự viết hay mã lấy từ Internet, cần được chạy thử trong phòng lab trước để hiểu chính xác chúng làm gì, có gây treo dịch vụ, mất dữ liệu hay chứa mã độc ẩn hay không; chạy thẳng trên mạng khách hàng có thể gây sự cố ngoài phạm vi đã thỏa thuận. "Documentation standards" là chuẩn trình bày tài liệu, báo cáo, không phải thứ đem ra chạy trên mạng khách hàng. "Antivirus software" là phần mềm phòng thủ của bên được kiểm thử, không phải thứ người kiểm thử chạy nhắm vào mạng khách hàng. "Employee awareness" là nhận thức an ninh của nhân viên, có thể được đánh giá qua kiểm thử social engineering nhưng không phải thứ đem thử trong lab.

Đáp án đúng: "NIDS". NIDS (Network Intrusion Detection System, hệ thống phát hiện xâm nhập mạng) theo dõi lưu lượng, so khớp chữ ký hoặc phát hiện bất thường rồi chỉ sinh cảnh báo gửi quản trị viên, không tự chặn gói tin; đó đúng là thiết bị phát hiện rồi báo cáo. "NIPS" sai vì hệ thống ngăn chặn xâm nhập mạng đặt trên đường đi của lưu lượng và chủ động chặn hay huỷ gói độc hại, không chỉ báo cáo. "Internet content filter" sai vì bộ lọc nội dung chặn truy cập trang web hay nội dung bị cấm theo chính sách, không phải công cụ phát hiện hoạt động độc hại. "NAT server" sai vì máy chủ NAT chỉ chuyển đổi địa chỉ IP nội bộ sang địa chỉ công cộng, không phân tích lưu lượng để tìm tấn công.

Đáp án đúng: "BloodHound". BloodHound là ứng dụng web một trang viết bằng JavaScript, dùng lý thuyết đồ thị để vẽ quan hệ giữa người dùng, nhóm, máy tính và quyền trong Active Directory cũng như Microsoft Azure (Entra ID), từ đó lộ ra những đường leo thang đặc quyền phức tạp mà con người khó thấy; đội phòng thủ cũng dùng nó để tìm và cắt bớt các đường nguy hiểm. "Empire" là khung hậu khai thác (post-exploitation framework) dựa trên PowerShell và Python, điều khiển các agent trên máy bị chiếm, không chuyên phân tích đường tấn công dạng đồ thị. "Netcat" là tiện ích dòng lệnh đọc ghi dữ liệu qua kết nối TCP hoặc UDP, hay được gọi là con dao đa năng của mạng, không phải ứng dụng web. "Sysinternals" là bộ tiện ích của Microsoft để quản trị và xử lý sự cố Windows, ví dụ Process Explorer hay PsExec, không dùng để tìm đường tấn công trong Azure.

Đáp án đúng gồm hai ý: "Expires" và "Max-Age". Cookie bền (persistent cookie) là cookie được trình duyệt lưu lại sau khi đóng phiên, và điều quyết định là thời hạn sống: thuộc tính "Expires" đặt mốc ngày giờ hết hạn, còn "Max-Age" đặt số giây cookie còn hiệu lực; thiếu cả hai thì cookie chỉ là cookie phiên (session cookie) và bị xóa khi đóng trình duyệt. "Domain" xác định tên miền nào được nhận cookie, liên quan phạm vi gửi chứ không phải thời hạn lưu. "Secure" buộc cookie chỉ được gửi qua kết nối HTTPS, là thuộc tính bảo mật kênh truyền. "Path" giới hạn đường dẫn URL mà cookie được đính kèm, cũng chỉ là phạm vi chứ không làm cookie tồn tại lâu dài. Khi kiểm thử phiên đăng nhập, cookie bền chứa mã phiên là điểm cần xem xét kỹ.

Đáp án đúng: "To initialize the Metasploit database". Lệnh msfdb init tạo và khởi động cơ sở dữ liệu PostgreSQL mà Metasploit Framework dùng, đồng thời tạo người dùng, lược đồ và tệp cấu hình kết nối; sau đó lệnh db_status trong msfconsole báo đã kết nối, và các tính năng như workspace, lưu máy, dịch vụ, thông tin xác thực hay nhập kết quả Nmap mới hoạt động. "To launch Metasploit GUI" sai vì Metasploit mặc định chạy bằng giao diện dòng lệnh msfconsole; giao diện đồ hoạ như Armitage là công cụ riêng, không mở bằng msfdb. "To run an automated exploit" sai vì msfdb chỉ quản lý cơ sở dữ liệu, không chọn hay chạy module khai thác nào. "To schedule scans with cron jobs" sai vì cron là bộ lập lịch của Linux, độc lập với Metasploit, và msfdb không tạo lịch quét.

Đáp án đúng: "PowerShell". PowerShell là shell và ngôn ngữ kịch bản của Windows, vừa chạy được lệnh kiểu CMD cũ vừa bổ sung cmdlet (lệnh dạng Động từ-Danh từ như Get-Process) với khả năng quản trị hệ thống tích hợp sẵn; vì có mặt trên mọi máy Windows nên nó cũng hay bị lạm dụng ở giai đoạn hậu khai thác, và người phòng thủ cần bật ghi nhật ký script block để theo dõi. "Twittor" là công cụ C2 (command and control, chỉ huy và điều khiển) dùng tin nhắn trực tiếp của Twitter làm kênh liên lạc, không phải tiện ích Windows. "Wsc2" là khung C2 nhỏ dùng WebSocket làm kênh liên lạc. "Socat" là tiện ích chuyển tiếp dữ liệu hai chiều giữa hai kênh như socket, tệp hay cổng, tương tự Netcat, xuất thân từ Unix chứ không phải trình thông dịch kịch bản của Windows.

Đáp án đúng: "VM repository vulnerability". Lỗ hổng kho máy ảo (VM repository vulnerability) xuất hiện khi tổ chức lấy ảnh máy ảo hay template từ kho công cộng hoặc chợ ứng dụng như VMware Marketplace mà không kiểm chứng; nếu kẻ xấu đã cài sẵn mã độc vào ảnh đó, mọi máy triển khai từ ảnh đều nhiễm ngay từ đầu. Phòng thủ là chỉ dùng ảnh từ nguồn tin cậy, kiểm tra chữ ký và quét trước khi triển khai. "VM escape vulnerability" là khi mã chạy trong một máy ảo thoát ra ngoài để tác động tới hypervisor hoặc máy ảo khác. "Hyperjacking" là chiếm quyền kiểm soát chính hypervisor, ví dụ thay bằng một hypervisor độc hại nằm dưới các máy ảo. "Hypervisor vulnerability" là lỗi trong phần mềm hypervisor; trong tình huống này hypervisor không có lỗi, thứ bị nhiễm là ảnh máy ảo được tải về.

Đáp án đúng gồm hai ý: "embedded microchip" và "primary account number". Mặt trước thẻ tín dụng thường có chip nhúng EMV dùng để xác thực giao dịch khi cắm thẻ và số tài khoản chính PAN (dãy số thẻ dập hoặc in), kèm tên chủ thẻ và ngày hết hạn; chuẩn PCI DSS coi PAN là dữ liệu chủ thẻ cần bảo vệ. "date of birth" sai vì ngày sinh của chủ thẻ không được in trên thẻ. "magnetic stripe" sai vì dải từ nằm ở mặt sau thẻ. "card security code" sai vì với phần lớn thẻ như Visa hay Mastercard, mã bảo mật CVV/CVC gồm ba chữ số được in ở mặt sau, cạnh ô chữ ký; chỉ một số loại thẻ như American Express in mã ở mặt trước nên nó không phải thành phần điển hình của mặt trước.

Đáp án đúng: "Three-leg perimeter configuration". Cấu hình ba chân (three-leg hay three-legged) dùng một tường lửa duy nhất có ba giao diện: một nối mạng ngoài (Internet), một nối mạng nội bộ và một nối vùng DMZ chứa các máy chủ công khai như web, mail; tường lửa áp chính sách riêng cho lưu lượng giữa từng cặp vùng. Ưu điểm là rẻ và gọn, nhược điểm là tường lửa trở thành điểm lỗi duy nhất. "Back-to-back configuration" dùng hai tường lửa đặt nối tiếp, DMZ nằm giữa tường lửa ngoài và tường lửa trong, nên không phải một tường lửa ba giao diện. "Basic configuration" chỉ cách bố trí đơn giản nhất với một tường lửa đứng giữa mạng nội bộ và Internet, không dành giao diện riêng cho vùng DMZ. "Perimeter configuration" là cách gọi chung việc đặt thiết bị bảo vệ ở biên mạng, không nói rõ số tường lửa hay số giao diện nên không đặc trưng cho mô hình được hỏi.

Đáp án đúng: "a full backup of the system". Khi không thể dựng bản ảo hóa để kiểm thử an toàn, người kiểm thử phải làm việc trực tiếp trên hệ thống thật, nên biện pháp phòng ngừa cần có trước tiên là sao lưu toàn bộ để có thể khôi phục nếu bài kiểm thử làm hỏng dữ liệu hay dịch vụ. "rebuild the system after any test is performed" tốn kém và không cần thiết khi đã có bản sao lưu, đồng thời không bảo vệ được dữ liệu nếu chưa sao lưu trước đó. "adopt penetration test tools that will certainly not damage the system" không khả thi vì không công cụ nào bảo đảm chắc chắn không gây ảnh hưởng tới hệ thống đang chạy. "a complete report with recommended repairs" là sản phẩm của giai đoạn cuối, đến sau khi kiểm thử xong, không phải bước chuẩn bị để giảm rủi ro khi kiểm thử.

Đáp án đúng: "It is an international consolidation of cybersecurity tools and databases.". CVE (Common Vulnerabilities and Exposures) là danh mục chuẩn quốc tế gán cho mỗi lỗ hổng đã công bố một mã định danh duy nhất dạng CVE-năm-số; nhờ dùng chung mã này mà các công cụ quét, cơ sở dữ liệu lỗ hổng như NVD và các dịch vụ an ninh khắp nơi được hợp nhất về một cách gọi tên, nên người kiểm thử có thể từ kết quả quét tra ngay mô tả, mức độ và bản vá. "It is a high level list of software weaknesses." sai vì danh sách các loại điểm yếu phần mềm ở mức trừu tượng là CWE (Common Weakness Enumeration), còn CVE ghi từng lỗ hổng cụ thể trong sản phẩm cụ thể. "It has three vulnerability score components." sai vì ba nhóm chỉ số cơ sở, thời gian và môi trường là của CVSS, hệ thống chấm điểm mức nghiêm trọng đi kèm chứ không phải CVE. "It is a dictionary of known attacks." sai vì CVE liệt kê lỗ hổng chứ không liệt kê kiểu tấn công; danh mục mẫu tấn công là CAPEC.

Đáp án đúng: "Open Web Application Security Project (OWASP)". OWASP là cộng đồng phi lợi nhuận quốc tế chuyên về bảo mật ứng dụng web: họ đào tạo người làm nghề, xây công cụ mã nguồn mở như OWASP ZAP và phổ biến thực hành tốt qua các tài liệu như OWASP Top 10 hay Testing Guide, đúng với mô tả. "Common Vulnerabilities and Exposures (CVE)" không phải tổ chức mà là danh mục định danh lỗ hổng đã công bố do MITRE duy trì, mỗi lỗ hổng một mã CVE. "Institution of Electrical and Electronics Engineering (IEEE)" là hiệp hội kỹ thuật điện và điện tử, nổi tiếng với các chuẩn như 802.11, không chuyên riêng về bảo mật web. "SysAdmin, Audit, Network and Security (The SANS Institute)" là tổ chức đào tạo và cấp chứng chỉ an ninh mạng nói chung, rất uy tín nhưng phạm vi rộng chứ không dành riêng cho ứng dụng web và hạ tầng phía sau như OWASP.

Đáp án đúng: "badge cloning". Badge cloning (sao chép thẻ ra vào) là việc tạo bản sao thẻ nhận dạng hoặc thẻ RFID của nhân viên; một bức ảnh rõ nét đăng trên mạng xã hội cho kẻ xấu thấy bố cục, logo, ảnh, mã vạch hay số thẻ để làm thẻ giả trông như thật, nên nhân viên cần tránh công khai thẻ của mình. "watering hole" là tấn công qua mạng: cài mã độc vào một trang web mà nhóm nạn nhân hay truy cập, không phải tấn công vật lý. "pivot" (xoay trục) là kỹ thuật hậu khai thác, dùng máy đã chiếm được làm bàn đạp sang mạng khác. "shoulder surfing" (nhìn trộm qua vai) là đứng gần để quan sát mật khẩu, mã PIN khi nạn nhân nhập, cần có mặt tại chỗ chứ không bắt nguồn từ ảnh đăng lên mạng.