Tất cả câu hỏi

Đáp án đúng: "Centralized management and visualization of analysis results". Các sandbox như Cuckoo sinh báo cáo hành vi dạng JSON gồm lời gọi API, thao tác tệp, registry, mạng và ảnh chụp màn hình; giao diện web (web interface) gom các kết quả đó vào một chỗ, cho phép gửi mẫu, tìm kiếm, xem cây tiến trình, đồ thị và tải báo cáo, nhờ đó nhiều người phân tích quản lý tập trung và nhìn trực quan kết quả. Bác: "Real-time decryption of malware payloads" không phải việc của giao diện web; giải mã payload thuộc phân tích trong máy ảo hay trong bộ nhớ. "Automatic generation of YARA signatures" cần công cụ riêng; giao diện web chỉ hiển thị kết quả khớp các luật YARA đã có. "Detection of kernel-level rootkits" phụ thuộc vào kỹ thuật giám sát trong máy khách hay phân tích bộ nhớ, không đến từ việc gắn thêm giao diện web.

Đáp án đúng: "It analyzes malware behavior and generates detailed reports for analysis". Trong kiến trúc sandbox như Cuckoo, các thành phần giám sát thu sự kiện thô như lệnh gọi API, thao tác tệp, registry và lưu lượng mạng; mô đun xử lý và báo cáo tổng hợp các sự kiện đó, chấm điểm hành vi đáng ngờ và xuất báo cáo dạng HTML hay JSON để nhà phân tích đọc hoặc hệ thống khác dùng. "It encrypts sensitive data to prevent unauthorized access" không phải vai trò của báo cáo; bảo mật dữ liệu thuộc lớp hạ tầng. "It provides internet connectivity to the sandbox environment" là việc của thành phần mạng như cấu hình định tuyến hay giả lập dịch vụ. "It stores sandbox activity logs for future reference" nghe gần nhưng chỉ là lưu trữ thô; giá trị của mô đun báo cáo là phân tích và trình bày kết quả, không chỉ cất nhật ký.

Đáp án đúng: "Forensic tools". Một môi trường phân tích mã độc gồm máy ảo cách ly cùng bộ công cụ phân tích và điều tra (forensic tools) như Process Monitor, Regshot, Wireshark, Volatility, FTK Imager để ghi nhận thay đổi trên hệ thống tệp, registry, bộ nhớ và mạng khi mẫu chạy; đây là thành phần không thể thiếu khi dựng lab. "Google Docs" là trình soạn thảo trực tuyến, đòi kết nối Internet, trái với yêu cầu mạng cách ly của lab và không phân tích được gì. "WordPress" là hệ quản trị nội dung để làm website, không phải công cụ phân tích. "Load balancers" là thiết bị hoặc phần mềm phân tải cho hệ thống máy chủ sản xuất, không có vai trò trong việc dựng môi trường phân tích mẫu.

Đáp án đúng: "Analyzing software to understand its behavior and purpose". Phân tích mã độc là nghiên cứu một mẫu phần mềm, bằng phân tích tĩnh (đọc cấu trúc PE, chuỗi, mã dịch ngược) và phân tích động (chạy trong sandbox, debugger), để hiểu nó làm gì, hoạt động ra sao và nhằm mục đích gì, từ đó rút ra chỉ dấu xâm nhập và cách phát hiện, gỡ bỏ. Bác: "Analyzing potential malware threats to a system" nghiêng về đánh giá mối đe doạ hay rủi ro ở mức hệ thống, chưa nói tới việc mổ xẻ bản thân mẫu phần mềm. "Analyzing computer hardware for vulnerabilities" là kiểm tra bảo mật phần cứng, không phải phần mềm độc hại. "Analyzing network traffic for suspicious activity" là giám sát mạng hay phát hiện xâm nhập; lưu lượng mạng có thể là nguồn dữ liệu bổ trợ khi phân tích mẫu, nhưng không định nghĩa phân tích mã độc.

Đáp án đúng: "Applying malware analysis to real-world incident response". Mục tiêu thực tế của phân tích mã độc là phục vụ phản ứng sự cố: hiểu mẫu làm gì, lây và bám trụ thế nào, liên lạc với ai, để khoanh vùng, gỡ bỏ, rút chỉ dấu xâm nhập (IOC) và viết luật phát hiện cho toàn tổ chức. "Writing new types of malware for research" không phải mục tiêu của phân tích, vừa trái đạo đức vừa thường vi phạm pháp luật. "Detecting and analyzing malware purely for academic purposes" có tồn tại trong nghiên cứu, nhưng chữ purely bỏ qua giá trị vận hành vốn là động lực chính của nghề. "Avoiding malware lab setups due to safety concerns" ngược với thực tiễn: phòng lab cô lập chính là thứ làm cho phân tích an toàn, không thể né nó.

Đáp án đúng: "False". Phân tích mã độc hiện đại cần môi trường cách ly chuyên dụng: máy ảo có snapshot để quay về trạng thái sạch, mạng host-only hoặc dịch vụ giả lập bằng INetSim để mẫu không chạm Internet thật, cùng các công cụ giám sát như Process Monitor, Regshot, Wireshark. Chạy mẫu trên máy thật nối mạng có thể làm lây sang mạng nội bộ, rò rỉ dữ liệu hoặc báo cho kẻ tấn công biết mẫu đang bị soi; ngay cả phân tích tĩnh cũng nên làm trong lab để tránh lỡ tay chạy mẫu. Vì vậy mệnh đề cho rằng có thể phân tích mà không cần môi trường hay phòng lab chuyên dụng là sai, và chọn "True" là bỏ qua nguyên tắc an toàn cơ bản nhất của nghề phân tích mã độc.

Đáp án đúng: "False". Phân tích mã độc (malware analysis) nghiên cứu mọi loại phần mềm độc hại chứ không riêng virus: worm tự lây qua mạng, Trojan giả dạng phần mềm hợp lệ, ransomware mã hoá đòi tiền, rootkit ẩn mình, spyware, keylogger, bot trong botnet và cả mã độc không tệp. Mục tiêu là hiểu mẫu làm gì, lây và duy trì ra sao, liên lạc với ai, để rút ra chỉ dấu xâm nhập và cách phòng chống. Virus chỉ là một loại, đặc trưng bởi việc chèn mã vào tệp khác và cần vật chủ để lây. Vì thế phát biểu nói phân tích mã độc chỉ tập trung vào virus là sai; chọn "True" là nhầm theo cách gọi đời thường coi mọi mã độc đều là virus.

Đáp án đúng: "It monitors system activities for suspicious behavior". Phát hiện dựa trên hành vi (behavior-based detection) không so tệp với mẫu đã biết mà theo dõi hoạt động của chương trình khi chạy, như tiêm mã vào tiến trình khác, mã hoá hàng loạt tệp, sửa khoá Run, tắt dịch vụ bảo mật, rồi cảnh báo khi chuỗi hành vi đáng ngờ. "It relies solely on virus signatures" mô tả phát hiện dựa trên chữ ký, đúng là kiểu đối lập. "It detects malware based on known patterns" cũng là đặc trưng của chữ ký và heuristic tĩnh dựa trên mẫu đã gặp. "It is ineffective against zero-day attacks" ngược sự thật: chính vì không cần chữ ký có sẵn mà phát hiện hành vi là một trong số ít cách bắt được mã độc zero-day, đổi lại dễ báo nhầm hơn.

Đáp án đúng: "Adobe Photoshop". Câu hỏi tìm công cụ KHÔNG thường dùng trong phân tích mã độc: Adobe Photoshop là phần mềm chỉnh sửa ảnh, không đọc cấu trúc tệp thực thi, không bắt gói tin hay quét mã độc, nên đây là đáp án. "Wireshark" là công cụ bắt và giải mã gói tin, dùng trong phân tích động để thấy mẫu liên lạc với máy chủ điều khiển nào, giao thức gì, nên là công cụ thông dụng. "IDA Pro" là trình dịch ngược (disassembler) kèm bộ giải mã ngược, công cụ chủ lực của phân tích tĩnh nâng cao để đọc mã hợp ngữ của mẫu. "VirusTotal" là dịch vụ quét tệp hoặc mã băm bằng hàng chục engine diệt virus cùng lúc, thường là bước tra cứu đầu tiên khi nhận một mẫu lạ, nên cũng là công cụ thông dụng.

Đáp án đúng: "Privilege violation". CPU x86 chia mức đặc quyền thành các vòng (ring): nhân chạy ở Ring 0, ứng dụng ở Ring 3. Khi một tiến trình Ring 3 thực thi lệnh đặc quyền như hlt, cli, in, out hay ghi thanh ghi điều khiển, CPU sinh lỗi bảo vệ và Windows báo cho tiến trình ngoại lệ vi phạm đặc quyền (EXCEPTION_PRIV_INSTRUCTION, privilege violation). Bác: "Memory access violation" xảy ra khi đọc ghi địa chỉ không hợp lệ hay không được phép, là lỗi về bộ nhớ chứ không phải về lệnh đặc quyền. "First-chance exception" không phải một loại ngoại lệ mà là lần báo đầu tiên cho debugger, áp dụng với mọi loại ngoại lệ. "INT 3" là lệnh điểm dừng phần mềm (mã 0xCC) gây ngoại lệ breakpoint mà debugger sử dụng, và nó được phép thực thi ngay ở Ring 3.

Đáp án đúng: "Set a breakpoint after the decryption routine executes". Mẫu chỉ giải mã chuỗi lúc chạy, nên chuỗi rõ (plaintext) chỉ tồn tại trong bộ nhớ sau khi hàm giải mã trả về. Đặt breakpoint ngay sau lệnh call tới hàm giải mã; khi dừng, nhìn thanh ghi trả về (thường là EAX) hoặc vùng đệm đích trong khung dump là đọc được chuỗi đã giải. "Set a breakpoint before the decryption routine starts" dừng quá sớm: bộ đệm khi đó vẫn chứa dữ liệu mã hoá; cách này chỉ hữu ích để xem tham số như khoá giải mã. "Step-over all function calls in the debugger" tốn công và dễ lướt qua chỗ cần xem, không phải cách hiệu quả nhất. "Analyze the binary using a disassembler without execution" là phân tích tĩnh, chỉ thấy chuỗi đã mã hoá; muốn ra chuỗi rõ phải tự dịch ngược thuật toán giải mã, tốn công hơn nhiều.

Đáp án đúng: "It helps in analyzing system changes and artifacts left by malware". RegRipper là công cụ đọc ngoại tuyến các tệp hive registry như SYSTEM, SOFTWARE, NTUSER.DAT bằng hệ thống plugin, trích ra các khoá Run, dịch vụ mới cài, UserAssist, ShimCache, tức những dấu vết (artifacts) cho thấy mã độc đã bám trụ và đã được thực thi, giúp dựng lại tác động của nó lên hệ thống. "It decrypts encrypted files" sai vì RegRipper chỉ phân tích registry, không giải mã tệp. "It identifies the network traffic generated by malware" là việc của Wireshark; registry chỉ lưu vài dấu vết mạng như danh sách mạng đã kết nối, không ghi lưu lượng. "It monitors CPU usage during malware execution" sai vì RegRipper làm việc trên tệp hive tĩnh sau sự cố, không theo dõi thời gian thực.

Đáp án đúng: "By scanning the file for known packer signatures". PEiD là công cụ phân tích tĩnh: nó đọc tệp PE và so chuỗi byte, đặc biệt tại điểm vào (entry point), với cơ sở chữ ký trong tệp userdb.txt chứa mẫu byte đặc trưng của các packer và trình biên dịch như UPX, ASPack, Themida; khớp mẫu nào thì báo tên packer đó. Bác: "By analyzing the file's header" chỉ đúng một phần: PEiD có đọc tiêu đề PE để tìm entry point và hiện thông tin section, nhưng kết luận tên packer dựa vào so chữ ký chứ không chỉ đọc header. "By decrypting the file's contents" sai vì PEiD không giải nén hay giải mã; gỡ packer cần unpacker hoặc debugger. "By executing the file in a sandbox environment" là phân tích động, trong khi PEiD không bao giờ chạy tệp.

Đáp án đúng: "Conducting regular malware scans". Quét mã độc định kỳ bằng phần mềm diệt virus hay EDR luôn được cập nhật là biện pháp phát hiện cơ bản: so tệp và tiến trình với chữ ký đã biết và luật hành vi, bắt được cả mẫu đã lọt vào từ trước mà lúc đó chưa bị nhận diện, khi cơ sở chữ ký được bổ sung. "Running outdated antivirus software" làm giảm khả năng phát hiện vì thiếu chữ ký cho mẫu mới. "Ignoring system logs" ngược với thực tiễn; nhật ký sự kiện là nguồn để phát hiện đăng nhập lạ, dịch vụ mới cài, tiến trình bất thường. "Disabling firewall protection" làm mất một lớp phòng vệ và mất nhật ký kết nối có thể làm lộ lưu lượng ra máy chủ điều khiển, nên vừa không giúp phát hiện vừa tăng rủi ro.

Đáp án đúng: "Analyzing and modifying the import table of malware executables". LordPE là trình soạn thảo PE (PE editor) kiêm công cụ dump tiến trình: nó cho xem và sửa header, bảng section, thư mục dữ liệu và bảng import của tệp thực thi; trong quy trình gỡ vỏ thủ công, nhà phân tích dump mẫu đã tự giải nén khỏi bộ nhớ rồi dùng LordPE cùng ImpREC để dựng lại bảng import và sửa entry point cho tệp chạy được và phân tích tĩnh được. "Decrypting encrypted malware payloads" sai vì LordPE không có chức năng giải mã, việc đó làm bằng debugger hoặc script viết riêng. "Generating antivirus signatures" là việc của các công cụ như YARA hay sigtool của ClamAV. "Monitoring system logs" là việc của Event Viewer hay hệ thống SIEM, không liên quan tới cấu trúc PE.

Đáp án đúng: "Extracting information from volatile memory of a system". Pháp chứng bộ nhớ nhắm vào RAM, dữ liệu dễ bay hơi chỉ tồn tại khi máy đang chạy: danh sách tiến trình kể cả tiến trình bị rootkit ẩn, DLL đã nạp, mã được tiêm, kết nối mạng, khoá mã hoá, lệnh đã gõ. Nhiều mã độc không để lại tệp trên đĩa (fileless) hoặc chỉ giải nén payload trong bộ nhớ, nên đây là nơi duy nhất thấy được chúng. Bác: "Recovering deleted files from storage devices" là pháp chứng đĩa, làm việc trên ổ cứng. "Analyzing network traffic for security threats" thuộc pháp chứng mạng hay hệ thống phát hiện xâm nhập, dựa trên gói tin bắt được. "Decrypting encrypted files on disk" là giải mã dữ liệu lưu trữ; khoá tìm được trong RAM có thể giúp việc này nhưng nó không phải mục tiêu chính của pháp chứng bộ nhớ.

Đáp án đúng: "A framework for analyzing memory dumps of compromised systems". Volatility là framework mã nguồn mở viết bằng Python để phân tích ảnh chụp RAM (memory dump) của Windows, Linux và macOS: nó dựng lại cấu trúc nhân để liệt kê tiến trình, luồng, DLL, handle, kết nối mạng, khoá registry còn trong bộ nhớ và phát hiện mã bị tiêm qua các plugin như pslist, netscan, malfind. "A measure of system instability caused by malware" là nghĩa đời thường của từ volatility (tính biến động); trong pháp chứng, dữ liệu dễ mất là RAM, nhưng tên công cụ không phải một thước đo. "A forensic analysis tool used to investigate network traffic" sai vì phân tích gói tin thuộc Wireshark; Volatility chỉ thấy các kết nối còn lưu trong bộ nhớ. "A method for encrypting sensitive data stored in RAM" sai vì Volatility đọc và phân tích, không mã hoá gì.

Đáp án đúng: "Analyzing the contents of the dump using specialized tools". Điều tra bộ nhớ đi theo hai bước: thu bộ nhớ (acquisition) rồi phân tích; sau khi có tệp dump, nhà phân tích dùng công cụ chuyên dụng như Volatility để xác định phiên bản hệ điều hành, liệt kê tiến trình bằng pslist và psscan, xem kết nối mạng bằng netscan, tìm vùng mã bị tiêm bằng malfind và trích tệp thực thi ra khỏi bộ nhớ. "Running antivirus scans" chỉ so chữ ký trên chuỗi byte, không dựng lại được cấu trúc nhân hay danh sách tiến trình trong dump, nên không thay thế được phân tích. "Rebooting the system" không phải bước điều tra, khởi động lại còn xoá sạch trạng thái RAM còn lại và có thể kích hoạt cơ chế bám trụ của mã độc. "Checking system logs" là nguồn bổ sung thuộc điều tra đĩa, không phải bước kế tiếp xử lý bản dump.

Đáp án đúng: "Generating a detailed report of findings". Quy trình pháp chứng bộ nhớ đi từ thu nhận ảnh RAM, phân tích bằng Volatility (tiến trình, DLL, kết nối, mã tiêm), rồi kết thúc bằng lập báo cáo: ghi lại phát hiện, bằng chứng, chỉ dấu xâm nhập IOC, dòng thời gian và cách tái lập kết quả để đội ứng cứu và bên pháp lý sử dụng. Báo cáo là đầu ra có giá trị của toàn bộ cuộc điều tra. Bác: "Removing all malware traces from the system" là việc khắc phục (remediation) của đội ứng cứu, nằm ngoài pháp chứng, và nếu làm trước khi điều tra xong còn huỷ mất bằng chứng. "Restoring the system to a previous state" cũng là bước khôi phục hệ thống, không thuộc phân tích ảnh bộ nhớ. "Encrypting sensitive data found in the memory dump" có thể là biện pháp bảo vệ bằng chứng khi lưu trữ, nhưng không phải trọng tâm của giai đoạn cuối.

Đáp án đúng: "View a map of memory allocations and sections". Cửa sổ Memory Map của OllyDbg (Alt+M) liệt kê mọi vùng nhớ trong không gian địa chỉ của tiến trình đang gỡ lỗi: địa chỉ, kích thước, module sở hữu, tên section như .text, .data, .rsrc và quyền đọc, ghi, thực thi. Nhờ đó nhà phân tích thấy DLL nạp ở đâu, phát hiện vùng mới cấp phát có quyền thực thi do packer bung ra, rồi kết xuất vùng đó. "Analyze network traffic" là việc của Wireshark hay FakeNet, không phải của trình gỡ lỗi. "Monitor system performance" là việc của Task Manager hay Performance Monitor. "Decrypt encrypted malware payloads" sai vì Memory Map chỉ hiển thị bố cục bộ nhớ; việc giải mã do chính mẫu làm khi chạy, nhà phân tích chỉ quan sát kết quả.