Tất cả câu hỏi

Đáp án đúng: "All financial service organizations regardless of size". GLBA (Gramm-Leach-Bliley Act) là luật Hoa Kỳ yêu cầu các tổ chức cung cấp dịch vụ tài chính bảo vệ thông tin cá nhân của khách hàng; phạm vi của nó bao trùm các tổ chức tài chính theo nghĩa rộng như ngân hàng, công ty cho vay, môi giới chứng khoán, bảo hiểm, tư vấn tài chính, không giới hạn theo quy mô, và Safeguards Rule đi kèm đòi hỏi chương trình an ninh thông tin có kiểm thử định kỳ như kiểm thử xâm nhập. "Only large banks" thu hẹp sai phạm vi, vì luật áp dụng cả cho tổ chức nhỏ và cho tổ chức không phải ngân hàng. "Only financial institutions regulated by federal banking agencies" cũng thu hẹp sai, vì nhiều tổ chức chịu sự giám sát của FTC hay cơ quan khác vẫn thuộc phạm vi GLBA. "Only credit reporting agencies" sai vì cơ quan báo cáo tín dụng chỉ là một nhóm trong số các tổ chức chịu điều chỉnh.

Đáp án đúng: "Mandates regular penetration testing". GLBA (Gramm-Leach-Bliley Act) là luật Hoa Kỳ buộc các tổ chức tài chính bảo vệ thông tin khách hàng; Quy tắc bảo vệ (Safeguards Rule) của luật này yêu cầu chương trình an ninh thông tin có kiểm tra và giám sát định kỳ, trong đó có kiểm thử xâm nhập thường xuyên. "Requires it only during audits" sai vì yêu cầu kiểm thử là liên tục theo chu kỳ, không chỉ khi có đợt kiểm toán. "It is optional for most institutions" sai vì với tổ chức thuộc phạm vi luật, kiểm tra và giám sát an ninh là bắt buộc chứ không tùy ý. "Only applies to tax firms" sai vì GLBA áp dụng cho nhiều loại tổ chức tài chính như ngân hàng, công ty bảo hiểm, công ty chứng khoán và đơn vị cho vay; dịch vụ thuế chỉ là một phần trong số đó.

Đáp án đúng: "Payment method". Rules of Engagement (RoE, quy tắc tham gia) là tài liệu quy định cách tiến hành kỳ kiểm thử: phạm vi, khung thời gian, kỹ thuật và công cụ được phép, đầu mối liên lạc khẩn cấp và cách xử lý dữ liệu nhạy cảm; phương thức thanh toán là điều khoản thương mại thuộc hợp đồng hay SOW (statement of work), không nằm trong RoE nên là đáp án của câu phủ định này. "Testing timeline" có trong RoE vì nó quy định ngày giờ được phép kiểm thử để tránh ảnh hưởng vận hành, nên không được chọn. "Allowed tools" có trong RoE vì tài liệu phải nêu công cụ và kỹ thuật được dùng hay bị cấm, ví dụ không chạy tấn công từ chối dịch vụ, nên không được chọn. "In-scope IP addresses" có trong RoE vì xác định chính xác dải địa chỉ được phép là ranh giới pháp lý của kỳ kiểm thử, nên cũng không được chọn.

Đáp án đúng: "vertical privilege escalation". Vertical privilege escalation (leo thang đặc quyền theo chiều dọc) xảy ra khi người dùng quyền thấp truy cập được chức năng dành cho người có quyền cao hơn, ví dụ tài khoản thường vào được trang quản trị vì máy chủ không kiểm tra vai trò; cách phòng là kiểm tra phân quyền ở phía máy chủ cho từng chức năng. "horizontal privilege escalation" là leo thang theo chiều ngang: người dùng truy cập dữ liệu của người khác cùng mức quyền, như đổi mã số trong URL để xem đơn hàng của khách khác. "credential harvesting" là thu gom thông tin đăng nhập, thường qua trang lừa đảo, chứ không phải lợi dụng lỗi phân quyền. "metadata service attacks" nhắm vào dịch vụ siêu dữ liệu của nền tảng đám mây, ví dụ địa chỉ 169.254.169.254, để lấy khoá truy cập tạm thời gắn với máy ảo.

Đáp án đúng: "VM escape vulnerability". Thoát máy ảo (VM escape) là khi mã chạy trong một máy ảo khai thác lỗi để vượt khỏi ranh giới cô lập, tương tác với hypervisor và từ đó truy cập máy chủ vật lý hay dữ liệu của máy ảo khác cùng chạy trên đó; tình huống đã chiếm một máy ảo rồi chạm tới dữ liệu máy ảo khác đúng là mô hình này. Phòng thủ là vá hypervisor kịp thời và tách các tải quan trọng ra máy chủ riêng. "VM repository vulnerability" là ảnh máy ảo bị cài sẵn mã độc trong kho tải về, rủi ro xuất hiện trước khi triển khai. "Hypervisor vulnerability" là lỗi trong chính phần mềm hypervisor; VM escape thường dựa vào loại lỗi này, nhưng câu hỏi mô tả hành vi vượt từ máy ảo này sang máy ảo khác, tên gọi đúng là VM escape. "Hyperjacking" là chiếm quyền kiểm soát hoặc thay thế toàn bộ hypervisor để điều khiển mọi máy ảo bên dưới.

Đáp án đúng: "Type 1 hypervisors are also known as native or bare-metal hypervisors.". Hypervisor loại 1 chạy trực tiếp trên phần cứng vật lý, không cần hệ điều hành chủ bên dưới, nên được gọi là native hay bare-metal; ví dụ VMware ESXi, Microsoft Hyper-V, Xen. Hypervisor loại 2 (hosted) chạy như một ứng dụng trên hệ điều hành có sẵn, ví dụ VirtualBox hay VMware Workstation. "Type 1 hypervisors run on top of other operating systems." sai vì đó là đặc điểm của loại 2. "Type 2 hypervisors include VMware ESXi and Microsoft Hyper-V." sai vì ESXi và Hyper-V là hypervisor loại 1. "Type 2 hypervisors run directly on the physical (bare-metal) system." sai vì chạy thẳng trên phần cứng là đặc điểm của loại 1; loại 2 luôn cần hệ điều hành chủ. Về an ninh, loại 1 có bề mặt tấn công nhỏ hơn vì không có hệ điều hành chủ đa dụng xen giữa.

Đáp án đúng: "resource pooling". NIST SP 800-145 định nghĩa điện toán đám mây bằng năm đặc tính thiết yếu: tự phục vụ theo nhu cầu (on-demand self-service), truy cập mạng rộng rãi (broad network access), gộp tài nguyên (resource pooling), co giãn nhanh (rapid elasticity) và dịch vụ được đo lường (measured service). Gộp tài nguyên nghĩa là nhà cung cấp dồn tài nguyên tính toán phục vụ nhiều khách hàng theo mô hình đa thuê bao, cấp phát động theo nhu cầu. "centralized storage" không nằm trong năm đặc tính; lưu trữ tập trung có thể tồn tại cả trong trung tâm dữ liệu truyền thống. "reduced bandwidth requirements" không phải đặc tính, thậm chí đám mây phụ thuộc vào khả năng truy cập qua mạng. "slow elasticity" ngược hẳn với định nghĩa, vì NIST yêu cầu co giãn nhanh, tài nguyên được cấp thêm hoặc thu hồi gần như tức thời.

Đáp án đúng: "privilege escalation". Privilege escalation (leo thang đặc quyền) là khai thác lỗi phần mềm, cấu hình sai hay chính sách phân quyền lỏng lẻo để có được quyền cao hơn quyền đã cấp, từ đó truy cập tài nguyên mà người dùng bình thường không chạm tới được; trong đám mây, ví dụ là lợi dụng vai trò IAM quá rộng. Phòng thủ bằng nguyên tắc đặc quyền tối thiểu và vá lỗi kịp thời. "account takeover" là chiếm một tài khoản bằng thông tin đăng nhập bị lộ, người tấn công chỉ có đúng quyền của tài khoản đó. "credential harvesting" là thu gom tên đăng nhập, mật khẩu và token, chưa phải khai thác lỗi để vượt quyền. "side-channel attacks" suy ra dữ liệu bí mật từ thời gian xử lý hay bộ nhớ đệm dùng chung, không khai thác lỗi ứng dụng để nâng quyền.

Đáp án đúng: "Bash". Bash (Bourne Again Shell) là trình thông dịch lệnh trên Linux và macOS, cho phép chạy lệnh tương tác, gõ từng lệnh tại dấu nhắc và nhận kết quả ngay, hoặc không tương tác bằng cách thực thi kịch bản shell, lệnh truyền qua tuỳ chọn -c hay từ cron; người kiểm thử dùng nó để tự động hoá công cụ và xử lý kết quả. "Kali Linux" sai vì Kali là bản phân phối Linux đóng gói sẵn công cụ kiểm thử, tức một hệ điều hành chứ không phải một công cụ dòng lệnh. "Parrot OS" sai vì Parrot OS cũng là bản phân phối Linux hướng bảo mật, tương tự Kali. "Metasploit" sai vì Metasploit là khung khai thác; msfconsole có giao diện dòng lệnh riêng nhưng mục đích là chọn và chạy module khai thác chứ không phải shell thực thi lệnh chung.

Đáp án đúng: "Array". Array (mảng) là biến đặc biệt chứa được nhiều giá trị cùng lúc dưới một tên, mỗi phần tử truy cập qua chỉ số, ví dụ một mảng chứa danh sách cổng cần kiểm tra trong một đoạn script; đây đúng là định nghĩa mà câu hỏi dùng. "List" trong nhiều ngôn ngữ như Python cũng chứa nhiều giá trị và rất giống mảng, nhưng định nghĩa kinh điển về một biến đặc biệt giữ nhiều hơn một giá trị gắn với khái niệm mảng, còn list thường được mô tả là tập có thứ tự và thay đổi kích thước được. "Tree" là cấu trúc phân cấp gồm nút cha và nút con, dùng để biểu diễn quan hệ chứ không phải một biến chứa nhiều giá trị. "File with comma-separated values" là tệp CSV lưu dữ liệu trên đĩa, không phải cấu trúc dữ liệu trong bộ nhớ của ngôn ngữ lập trình.

Đáp án đúng: "Function". Hàm (function) là khối mã được đặt tên, nhận tham số đầu vào, thực hiện một tác vụ cụ thể và có thể trả kết quả; viết một lần rồi gọi lại nhiều lần giúp script kiểm thử gọn và dễ bảo trì, ví dụ một hàm kiểm tra một cổng được gọi cho cả dải cổng. "JavaScript Object Notation (JSON)" là định dạng dữ liệu dạng khoá và giá trị, chỉ chứa dữ liệu chứ không chứa lệnh thực thi. "Array" là cấu trúc dữ liệu lưu nhiều phần tử theo chỉ số, không thực thi tác vụ nào. "Class" là khuôn mẫu trong lập trình hướng đối tượng gom thuộc tính và phương thức để tạo đối tượng; nó có thể chứa hàm bên trong nhưng bản thân nó không phải khối mã thực hiện một tác vụ.

Đáp án đúng: "Kali Linux". Kali Linux là bản phân phối kiểm thử xâm nhập dựa trên Debian GNU/Linux, kế thừa dòng phát triển từ WHoppiX, WHAX rồi BackTrack; khi BackTrack được viết lại trên nền Debian thì dự án đổi tên thành Kali. "Parrot OS" sai vì Parrot cũng dựa trên Debian và hướng tới bảo mật, nhưng là dự án riêng của Parrot Security, không có nguồn gốc từ BackTrack. "BlackArch Linux" sai vì BlackArch dựa trên Arch Linux chứ không phải Debian, và cũng không phát triển từ BackTrack. "Security Onion" sai vì đây là bản phân phối cho phía phòng thủ, chuyên giám sát an ninh mạng, săn mối đe doạ và quản lý log, không phải hậu duệ của BackTrack và không nhằm kiểm thử xâm nhập.

Đáp án đúng: "An attack perpetrated by governments worldwide to disrupt or steal information from other nations.". Tấn công do nhà nước bảo trợ (state-sponsored) là tấn công do chính phủ hoặc nhóm được chính phủ hậu thuẫn thực hiện nhằm gián điệp, phá hoại hay đánh cắp thông tin của quốc gia khác; nhóm này có nguồn lực lớn, kiên trì và thường được xếp vào APT (advanced persistent threat, mối đe dọa dai dẳng nâng cao). Mô tả "well-funded and motivated group that will typically use the latest attack techniques for financial gain" là tội phạm có tổ chức (organized crime), động cơ chính là tiền. Mô tả "An attack perpetrated by disgruntled employees inside an organization." là mối đe dọa nội bộ (insider threat) từ nhân viên bất mãn, nguy hiểm vì họ có sẵn quyền truy cập. Mô tả "steal sensitive data and then reveal it to the public to embarrass" là hành vi của hacktivist (tin tặc hoạt động vì lý tưởng), đánh cắp rồi công bố dữ liệu để gây bẽ mặt hoặc thiệt hại cho mục tiêu.

Đáp án đúng gồm hai ý: "Maintaining access" và "Vulnerability identification". ISSAF (Information Systems Security Assessment Framework) chia việc đánh giá thành lập kế hoạch, giai đoạn đánh giá và giai đoạn kết thúc; trong giai đoạn đánh giá có các bước như thu thập thông tin, lập bản đồ mạng, xác định lỗ hổng, xâm nhập, leo thang đặc quyền, duy trì truy cập và xóa dấu vết. "Pre-engagement interactions" là tên giai đoạn đầu của PTES (Penetration Testing Execution Standard), không phải thuật ngữ của ISSAF. "Post-exploitation" cũng là tên một giai đoạn của PTES; ISSAF không dùng tên này mà tách thành leo thang, duy trì truy cập và xóa dấu vết. "Reporting" là tên giai đoạn cuối của PTES; trong ISSAF việc báo cáo được gộp với dọn dẹp và hủy tạo vật ở giai đoạn kết thúc, không đứng thành một bước đánh giá như hai ý được chọn.

Đáp án đúng: "interception proxies tool". Kiểm thử dựa trên ứng dụng (application-based penetration test) tập trung vào ứng dụng web và API, nên công cụ cốt lõi là proxy chặn bắt (interception proxy) như Burp Suite hay OWASP ZAP: nó đứng giữa trình duyệt và máy chủ, cho xem, sửa và phát lại từng yêu cầu HTTP để kiểm tra cách ứng dụng xử lý đầu vào, phiên và phân quyền. "bypassing firewalls and IPSs tool" sai vì vượt tường lửa và IPS thuộc kiểm thử hạ tầng mạng. "sniffing traffic tool" sai vì nghe lén lưu lượng như Wireshark chỉ quan sát thụ động gói tin trên mạng, không cho sửa yêu cầu của ứng dụng, và với HTTPS thì nội dung đã bị mã hoá. "cracking wireless encryption tool" sai vì bẻ mã hoá WPA hay WEP là kiểm thử mạng không dây, không phải ứng dụng.

Đáp án đúng: "You must download and import or run the Kali VM file in VirtualBox or UTM.". VirtualBox và UTM chỉ là trình ảo hoá (hypervisor), cài xong thì chưa có máy ảo nào; muốn có Kali phải tải gói máy ảo dựng sẵn hoặc ảnh cài đặt từ trang chính thức, rồi nhập (import) hay mở nó trong trình ảo hoá thì máy ảo mới xuất hiện để khởi động. "You need to update the install files to the latest version." không giải quyết được vì dù là bản mới nhất thì trình ảo hoá vẫn trống. "There may be an issue with the installation. Remove and reinstall VirtualBox or UTM." sai vì ứng dụng mở lên bình thường nghĩa là cài đặt không lỗi; cài lại cũng chỉ cho ra một trình ảo hoá trống như cũ. "You must use VirtualBox or UTM to browse to the virtual machine on the kali.org website." nhầm vai trò: trình ảo hoá không phải trình duyệt, việc tải tệp Kali làm bằng trình duyệt web, còn VirtualBox hay UTM chỉ dùng để nhập và chạy tệp đó.

Đáp án đúng: "Human element". Social engineering (kỹ nghệ xã hội) nhắm vào con người thay vì công nghệ: khai thác lòng tin, sự cả nể, nỗi sợ, tính tò mò hay áp lực thời gian để nạn nhân tự tiết lộ thông tin hoặc làm theo yêu cầu; vì vậy đào tạo nhận thức là lớp phòng thủ chính. "Firewalls" là thiết bị kiểm soát lưu lượng mạng; social engineering thường vượt qua chúng bằng cách lừa người bên trong chứ không tấn công bản thân tường lửa. "Encryption protocols" là giao thức mã hoá; điểm yếu của chúng bị khai thác bằng tấn công mật mã học chứ không phải bằng lừa người. "Server vulnerabilities" là lỗi phần mềm trên máy chủ, mục tiêu của khai thác kỹ thuật.

Đáp án đúng: "Asterisk". Asterisk là phần mềm tổng đài IP (IP PBX) mã nguồn mở dùng để quản lý hệ thống thoại VoIP; vì người quản trị tự cấu hình được thông tin số gọi đi, nó có thể bị lợi dụng để đặt caller ID (số hiển thị người gọi) giả, thường gặp trong vishing. "SpoofCard" sai vì đây là một dịch vụ thương mại chuyên đổi số hiển thị khi gọi, không phải công cụ quản lý hệ thống VoIP. "SpoofApp" sai vì đó là ứng dụng di động giả số người gọi, cũng chỉ là ứng dụng dịch vụ chứ không quản lý hệ thống VoIP. "Nikto" sai vì Nikto là công cụ quét lỗ hổng máy chủ web, không liên quan tới thoại. Phòng thủ là áp dụng chuẩn xác thực cuộc gọi như STIR/SHAKEN và không tin vào số hiển thị khi được yêu cầu cung cấp thông tin nhạy cảm.

Đáp án đúng: "To launch social engineering attacks". Social-Engineer Toolkit (SET) là khung mã nguồn mở viết bằng Python, dùng để mô phỏng các tấn công kỹ nghệ xã hội trong kiểm thử được cấp phép: email lừa đảo nhắm mục tiêu (spear phishing), trang web giả mạo thu thông tin đăng nhập, thiết bị lưu trữ lây nhiễm; kết quả giúp tổ chức đo mức nhận thức của nhân viên. "To simulate network firewalls" sai vì SET không mô phỏng hay cấu hình tường lửa; việc kiểm tra luật tường lửa thuộc về công cụ quét mạng. "To perform XSS vulnerability scans" là việc của máy quét ứng dụng web như OWASP ZAP hay Burp Suite, không phải mục đích của SET. "To detect viruses in USB drives" là chức năng của phần mềm chống mã độc; SET thậm chí còn có tính năng tạo thiết bị lưu trữ mang payload để thử phản ứng của nhân viên, ngược với việc phát hiện virus.

Đáp án đúng gồm hai ý: "proximity card and PIN" và "biometric scan". Access control vestibule (buồng kiểm soát ra vào, trước đây gọi là mantrap) là khoang nhỏ có hai cửa, cửa thứ hai chỉ mở khi cửa thứ nhất đã đóng và người bên trong đã được xác thực; để xác thực từng người, buồng thường kết hợp thẻ tiếp cận kèm mã PIN và quét sinh trắc học như vân tay hay mống mắt, nhờ đó chống bám đuôi. "turnstile" (cửa xoay) là một cơ chế chặn lối đi riêng, giới hạn mỗi lượt một người, chứ không phải phương thức xác thực dùng bên trong buồng. "security guard" (nhân viên bảo vệ) là biện pháp kiểm soát vật lý bổ trợ có thể đứng gần buồng, nhưng không phải tùy chọn xác thực gắn với cơ chế hai cửa. "toll collector" là người thu phí giao thông, không liên quan tới kiểm soát ra vào khu vực hạn chế.