Tất cả câu hỏi

Đáp án đúng: "Maximum USD50,000". Thư tín dụng tuần hoàn (revolving L/C) tự khôi phục giá trị theo từng kỳ; loại không tích luỹ (non-cumulative) nghĩa là phần chưa dùng hết của kỳ trước bị huỷ, không cộng dồn sang kỳ sau. Vì vậy dù tháng đầu chỉ dùng 40.000 USD và tháng hai dùng 35.000 USD, sang tháng ba hạn mức vẫn chỉ trở về đúng 50.000 USD. Con số "Maximum USD75,000" là kết quả nếu thư tín dụng là loại tích luỹ (cumulative): 10.000 USD còn thừa của tháng đầu cộng 15.000 USD của tháng hai được chuyển sang, nâng hạn mức tháng ba lên 75.000 USD, điều mà điều khoản không tích luỹ loại trừ. "Maximum USD40,000" chỉ lặp lại số tiền đã dùng ở tháng đầu, không phải hạn mức của kỳ mới. "Maximum USD35,000" cũng lấy nhầm số đã dùng của tháng hai làm giới hạn, trong khi mức dùng của kỳ trước không làm giảm hạn mức kỳ sau.

Đáp án đúng: "All of the others". Thư tín dụng xác nhận (confirmed letter of credit) là thư tín dụng mà ngoài cam kết của ngân hàng phát hành (issuing bank) còn có cam kết thanh toán độc lập của ngân hàng xác nhận (confirming bank); theo UCP 600 Điều 8, khi bộ chứng từ xuất trình phù hợp (complying presentation), ngân hàng xác nhận phải thanh toán hoặc chiết khấu miễn truy đòi, không phụ thuộc việc ngân hàng phát hành có trả được hay không. Nhờ vậy người xuất khẩu có hai bên cam kết trả tiền thay vì một, được che chắn cả rủi ro tín dụng của ngân hàng phát hành lẫn rủi ro quốc gia ở nước người mua. Phát biểu "Because confirmed letter of credit carry the commitment to pay of both the issuing bank and the confirming bank." đúng vì nêu được cam kết kép, nhưng mới là một mặt của lý do nên chọn riêng nó là chưa đủ. Phát biểu "Because the confirming bank will pay even if the issuing bank cannot or will not honor the draft for any reason whatever." cũng đúng, với điều kiện chứng từ phù hợp, vì cam kết xác nhận tách rời khả năng trả tiền của ngân hàng phát hành; nhưng nó cũng chỉ nêu một mặt. Hai lý do bổ sung cho nhau nên phương án gộp là câu trả lời đầy đủ nhất.

Đáp án đúng: "Respecting privacy and legal boundaries when handling samples". Mẫu mã độc, bản dump bộ nhớ và lưu lượng bắt được thường chứa dữ liệu cá nhân của nạn nhân như mật khẩu, email bị đánh cắp, nên nhà phân tích phải tôn trọng quyền riêng tư, tuân thủ pháp luật về xử lý dữ liệu và chứng cứ, chỉ chia sẻ qua kênh có kiểm soát. "Ensuring complete anonymity when analyzing malware" không phải nguyên tắc đạo đức; giấu danh tính khi chạm vào hạ tầng kẻ tấn công là biện pháp an toàn vận hành (OPSEC), còn công việc phân tích phải minh bạch và có trách nhiệm. "Sharing malware samples freely with other analysts" sai vì chia sẻ tràn lan có thể làm mẫu rơi vào tay kẻ xấu; mẫu chỉ được trao đổi qua kênh tin cậy, nén có mật khẩu. "Using malware for personal gain or hacking activities" là hành vi vi phạm đạo đức và pháp luật rõ ràng.

Đáp án đúng: "Regshot". Regshot chụp ảnh registry, tuỳ chọn cả thư mục tệp, trước và sau khi chạy mẫu, rồi so hai ảnh để liệt kê khoá, giá trị và tệp được thêm, xoá hay sửa; vì công cụ cho ra đúng danh sách khác biệt nên nó khớp nhất với việc phát hiện thay đổi (detecting changes) trên hệ thống. Cần nói rõ chỗ tranh cãi: "Process Monitor" cũng ghi được mọi thao tác lên registry và tệp theo thời gian thực, nên nó cũng giúp thấy thay đổi, nhất là khi cần biết tiến trình nào gây ra; khác biệt là ProcMon ghi luồng sự kiện để người phân tích tự lọc, còn Regshot cho thẳng kết quả so sánh trạng thái trước sau, nên khi chỉ chọn một công cụ thì Regshot là đáp án. Bác: "Wireshark" bắt và giải mã gói tin mạng, cho thấy mẫu liên lạc với ai chứ không cho biết hệ thống bị đổi gì. "Netcat" là tiện ích đọc ghi kết nối TCP/UDP, trong lab thường dùng để giả lập máy chủ hay lắng nghe cổng, không phải công cụ phát hiện thay đổi.

Đáp án đúng: "Honeyd". Khi mẫu liên lạc tới máy chủ điều khiển (C2) bằng IP viết cứng, nó không hỏi DNS, nên muốn giả lập phía bên kia phải có máy trả lời đúng tại IP đó. Honeyd dựng các máy ảo nhẹ nhận được nhiều địa chỉ IP tuỳ ý và chạy dịch vụ giả trên các cổng, nên tự nhận đúng IP cứng mà mẫu gọi tới. Câu này có tranh cãi: "Netcat" cũng đóng vai máy chủ điều khiển được, mở cổng lắng nghe và trả dữ liệu, nếu trước đó định tuyến lại IP cứng về máy lab bằng iptables; Honeyd được chọn vì không cần bước định tuyến đó. "MiniFake DNS" chỉ trả lời truy vấn DNS bằng IP của máy lab, vô dụng khi mẫu không phân giải tên miền. "Wireshark" chỉ quan sát và ghi gói tin, không trả lời mẫu nên không giả lập được tương tác.

Đáp án đúng: "RAW (Binary)". Định dạng raw là bản chép nhị phân từng byte của bộ nhớ vật lý theo đúng thứ tự địa chỉ, không header, không nén; công cụ thu như dd, Win32dd, DumpIt tạo ra tệp .raw hoặc .mem và hầu hết công cụ phân tích như Volatility đều đọc được nên đây là định dạng phổ biến nhất, bên cạnh crash dump của Windows. "TXT (Text)" là tệp văn bản thuần, không biểu diễn được dữ liệu nhị phân tuỳ ý của RAM, chỉ dùng để ghi kết quả hay báo cáo. "DOCX (Microsoft Word)" là định dạng tài liệu văn phòng, có cấu trúc riêng và hoàn toàn không dùng để chứa ảnh bộ nhớ. "JPG (Image)" là định dạng ảnh nén mất dữ liệu, nếu dùng sẽ làm sai lệch nội dung và phá giá trị chứng cứ.

Đáp án đúng: "Encrypting or compressing executable files". Packer như UPX, ASPack hay Themida nén hoặc mã hoá phần mã và dữ liệu gốc của tệp thực thi, rồi gắn thêm một đoạn mã giải nén (stub) làm điểm vào mới; khi chạy, stub bung mã gốc vào bộ nhớ rồi nhảy tới điểm vào gốc (OEP). Trên đĩa, tệp chỉ còn dữ liệu có entropy cao, ít chuỗi đọc được và bảng import rất ngắn, nên chữ ký lẫn phân tích tĩnh khó nhận ra mã độc. Bác: "Adding comments to the code" vô nghĩa với tệp đã biên dịch, vì chú thích mã nguồn không còn tồn tại trong mã máy. "Renaming files randomly" chỉ đổi tên tệp, nội dung và chữ ký vẫn y nguyên. "Disabling antivirus software" là hành vi của chính mã độc sau khi chạy, không phải kỹ thuật packer dùng để giấu mã.

Đáp án đúng: "It cannot detect zero-day threats". ClamAV là phần mềm diệt virus mã nguồn mở hoạt động chủ yếu dựa trên chữ ký: giá trị băm, mẫu byte và chữ ký logic trong cơ sở dữ liệu được cập nhật thường xuyên; mã độc zero-day chưa có chữ ký nên phần lớn lọt qua, đây là giới hạn chung của phát hiện dựa trên chữ ký (các luật heuristic chỉ bắt được một phần rất nhỏ). "It requires high system resources" không phải giới hạn về khả năng phát hiện: tiến trình clamd đúng là cần vài GB RAM để nạp toàn bộ cơ sở chữ ký, nhưng đó là chi phí vận hành, không làm ClamAV bỏ sót mã độc. "It is not compatible with Windows operating systems" sai vì ClamAV có bản cho Windows bên cạnh Linux và macOS. "It is only effective against adware" sai vì cơ sở chữ ký của nó bao gồm virus, trojan, worm, tài liệu độc hại và thư lừa đảo.

Đáp án đúng: "To detect changes made by software installations or modifications". Regshot chụp toàn bộ registry, và tuỳ chọn cả một số thư mục, trước khi chạy mẫu, chụp lại sau khi mẫu chạy, rồi so sánh hai bản để liệt kê khoá và giá trị được thêm, xoá hay đổi; nhờ đó nhà phân tích thấy ngay cơ chế bám trụ như khoá Run, dịch vụ mới hay cấu hình bị sửa mà mẫu để lại. "To compare system performance" là việc của Performance Monitor, Regshot không đo hiệu năng. "To analyze network traffic" là việc của Wireshark hay SmartSniff, registry không ghi lưu lượng mạng. "To optimize CPU usage" không liên quan, Regshot chỉ đọc và so sánh dữ liệu registry chứ không điều chỉnh tài nguyên hệ thống.

Đáp án đúng: "call". Khi biên dịch, lời gọi printf với chuỗi định dạng và hai biến x, b trở thành một chuỗi lệnh: các tham số được push lên ngăn xếp theo thứ tự từ phải sang trái (b, rồi x, rồi địa chỉ chuỗi định dạng), sau đó lệnh call printf đẩy địa chỉ lệnh kế tiếp lên ngăn xếp làm địa chỉ trả về và nạp địa chỉ đầu hàm printf vào EIP; chính call làm EIP nhảy tới điểm vào của printf, và khi printf xong thì lệnh ret lấy lại địa chỉ trả về. Bác: "push" chỉ đưa tham số lên ngăn xếp và giảm ESP, EIP vẫn chạy tuần tự sang lệnh kế. "pop" lấy giá trị ra khỏi ngăn xếp, cũng không đổi luồng thực thi. "jz" là nhảy có điều kiện khi cờ ZF bằng 1, dùng cho rẽ nhánh if hay vòng lặp, không dùng để gọi hàm vì không lưu địa chỉ trả về. "amp" không phải lệnh hợp ngữ x86 nào, nên không thể chuyển EIP tới printf.

Đáp án đúng: "Functions are reusable pieces of programs". Hàm (function) trong Python là một khối mã được đặt tên, định nghĩa bằng def, có thể gọi lại nhiều lần với tham số khác nhau; nhờ đó tránh lặp mã, chia chương trình thành phần nhỏ dễ đọc và dễ kiểm thử. "Functions don’t provide better modularity for your application" sai vì tăng tính mô-đun chính là một lợi ích lớn của hàm. "you can’t also create your own functions" sai vì ngoài hàm có sẵn như print hay len, người lập trình tự định nghĩa hàm bằng def hoặc lambda. "All of the mentioned" sai vì phát biểu về tính mô-đun và phát biểu về việc không tự tạo được hàm đều sai, chỉ phát biểu về tính tái sử dụng là đúng.

Đáp án đúng: "When conducting kernel-mode debugging on a Windows system". Khi gỡ lỗi chế độ nhân (kernel-mode debugging) bằng WinDbg, mỗi lần chạm breakpoint thì toàn bộ hệ điều hành mục tiêu đóng băng, nên debugger phải chạy trên một máy khác nối với máy mục tiêu qua cáp serial, mạng hoặc cổng COM ảo giữa máy host và máy ảo; điều này cần khi phân tích rootkit hay driver độc chạy trong nhân. "When performing static analysis of malware code" không cần vì phân tích tĩnh không chạy mã, một máy là đủ. "When analyzing network traffic generated by the malware" chỉ cần công cụ bắt gói như Wireshark; có lab dùng thêm máy chạy INetSim để giả lập dịch vụ, nhưng đó là thiết lập mạng chứ không phải yêu cầu của việc gỡ lỗi. "When using a sandbox environment for dynamic malware analysis" không đòi hai máy nối nhau vì sandbox tự chạy và ghi hành vi mẫu.

Đáp án đúng gồm hai ý: "Based on its size" và "Based on its behavior". Cần nói thẳng: ClamAV thực chất phân loại và nhận diện mẫu bằng chữ ký (giá trị băm, chuỗi byte, chữ ký logic), không phương án nào nói đúng điều đó, nên hai ý được chọn chỉ đúng một phần. Về kích thước, chữ ký băm của ClamAV có dạng HashString:FileSize:MalwareName, tức kích thước tệp là một thành phần phải khớp cùng giá trị băm. Về hành vi, tên chữ ký được chia theo loại hành vi của mã độc như Trojan, Worm, Ransomware, nên kết quả phân loại phản ánh nhóm hành vi của mẫu. Bác: "Based on its age" vô nghĩa, tuổi hay thời điểm xuất hiện của mẫu không có trong chữ ký và không quyết định mẫu thuộc loại nào. "Based on its color" cũng vô nghĩa vì tệp không có thuộc tính màu sắc để làm căn cứ phân loại.

Đáp án đúng: "Static analysis doesn't execute malware". Ranh giới giữa hai phương pháp là có chạy mẫu hay không: phân tích tĩnh xem xét tệp khi nằm yên, như băm, chuỗi, header PE, bảng import và mã tháo; phân tích động chạy mẫu trong sandbox để quan sát hành vi thật. "Static analysis detects live traffic" sai vì lưu lượng chỉ có khi mẫu chạy, đó là việc của phân tích động. "Dynamic analysis uses file headers" sai vì đọc header PE là kỹ thuật tĩnh, làm được mà không cần chạy. "Dynamic analysis uses hashes for detection" sai vì tính băm và tra cứu băm trên dịch vụ như VirusTotal là bước tĩnh đầu tiên, không cần chạy mẫu.

Đáp án đúng: "A launcher executes other malicious programs stealthily, while a downloader primarily retrieves and installs additional malware". Launcher (hay loader) mang sẵn payload bên trong, thường giấu trong resource hoặc vùng dữ liệu mã hoá, rồi giải ra và chạy nó một cách lén lút bằng process injection hay process hollowing; downloader chỉ là chương trình nhỏ tải payload từ Internet, chẳng hạn qua URLDownloadToFile, rồi cài và chạy nó. "A launcher is always visible in the system process list, whereas a downloader remains hidden" sai vì launcher chính là loại tìm cách ẩn việc thực thi, chữ "always visible" ngược với bản chất của nó. "A launcher only functions in Windows systems, while a downloader affects all platforms" sai vì cả hai loại đều không bị gắn với một nền tảng cụ thể. "A launcher requires a network connection, whereas a downloader operates offline" đảo ngược sự thật: downloader mới cần mạng để tải payload, còn launcher đã chứa payload sẵn.

Đáp án đúng: "False". Ảnh bộ nhớ (memory dump) là một tệp chứa nội dung RAM tại thời điểm chụp; Volatility đọc tệp đó dựa trên hồ sơ (profile) hay bảng ký hiệu của hệ điều hành tương ứng, không cần chạy trên chính máy đã chụp. Thực tế người ta chụp ảnh bằng DumpIt hay WinPmem trên máy nghi nhiễm, chép tệp sang máy phân tích sạch rồi phân tích tại đó, vừa tránh mã độc trên máy nhiễm can thiệp vào kết quả vừa bảo toàn bằng chứng. Vì thế phát biểu đòi phải phân tích trên cùng máy là sai; chọn "True" là nhầm giữa bước thu nhận ảnh, vốn phải làm trên máy đích, với bước phân tích có thể làm ở bất kỳ máy nào có Volatility.

Đáp án đúng: "A sandbox that uses virtualization technology to create isolated environments". Sandbox dựa trên container dùng ảo hoá ở mức hệ điều hành: các container như Docker dùng chung nhân với máy chủ nhưng được cô lập bằng namespace và cgroup, mỗi container có hệ thống tệp, tiến trình và mạng riêng; nhẹ và khởi động nhanh hơn máy ảo, đổi lại mức cô lập yếu hơn vì chung nhân. "A sandbox that uses physical barriers to isolate malware" mô tả cách ly vật lý như máy airgap, không phải container. "A sandbox that relies on network traffic analysis to detect threats" là hệ thống phát hiện xâm nhập mạng, không cô lập việc chạy mẫu. "A sandbox that stores malware samples in a secure database" là kho mẫu (malware repository), chỉ lưu trữ chứ không chạy mẫu.

Đáp án đúng gồm hai ý: "If something unexpected or malicious happens, it affects only the sandbox." và "A sandbox confines the actions of code to the sandbox device and in isolation to the rest of the network.". Sandbox là môi trường cách ly để chạy mã chưa tin cậy: mọi thao tác của mã, từ ghi tệp, sửa registry tới mở kết nối, bị giới hạn trong ranh giới sandbox và tách khỏi phần còn lại của mạng, nên nếu mã có hành vi bất thường hay độc hại thì thiệt hại chỉ nằm trong sandbox và có thể xoá bỏ bằng cách khôi phục trạng thái sạch. "A sandbox only provides completely independent protection of IOT devices." sai vì sandbox không dành riêng cho thiết bị IoT và bản thân nó là công cụ phân tích, không phải lớp bảo vệ thiết bị. "A sandbox provides full network security." sai vì sandbox chỉ là một lớp trong phòng thủ nhiều lớp, không thay được tường lửa, IDS hay kiểm soát truy cập.

Đáp án đúng: "Tailored to a specific target and difficult to detect". Mã độc có chủ đích (targeted malware) được viết riêng cho một mục tiêu cụ thể và cố ẩn mình lâu dài. Stuxnet là ví dụ kinh điển: nó nhắm vào phần mềm Siemens Step7 và các PLC điều khiển máy ly tâm làm giàu uranium, chỉ kích hoạt phần phá hoại khi gặp đúng cấu hình đó, dùng nhiều lỗ hổng zero-day, chứng chỉ ký số bị đánh cắp và rootkit để che giấu. Bác: "Infects as many machines as possible" là đặc trưng của worm lây đại trà; Stuxnet có lây qua USB và mạng nhưng đó chỉ là phương tiện để chạm tới mục tiêu. "Sends spam emails from infected machines" là hành vi của spambot trong botnet. "Records keystrokes on the infected system" là chức năng keylogger đánh cắp thông tin, không phải đặc điểm định nghĩa mã độc có chủ đích.

Đáp án đúng: "pop". Ngăn xếp x86 hoạt động theo kiểu vào sau ra trước; lệnh pop đọc giá trị tại đỉnh ngăn xếp, tức địa chỉ ESP đang trỏ tới, vào thanh ghi hoặc bộ nhớ đích rồi tăng ESP lên 4 byte ở chế độ 32 bit, nghĩa là lấy dữ liệu ra khỏi ngăn xếp. "push" làm ngược lại: giảm ESP rồi ghi giá trị lên đỉnh ngăn xếp. "cmp" so sánh hai toán hạng bằng một phép trừ ngầm và chỉ đặt cờ như ZF, CF, không lưu kết quả. "jz" nhảy tới địa chỉ đích khi cờ ZF bật, là lệnh rẽ nhánh chứ không đụng tới dữ liệu ngăn xếp. "add" cộng hai toán hạng và ghi kết quả vào toán hạng đích; add esp có thể bỏ dữ liệu khỏi ngăn xếp nhưng không lấy giá trị ra.