Tất cả câu hỏi

Đáp án đúng: "PowerShell". Living off the land (sống nhờ tài nguyên sẵn có) là việc kẻ tấn công dùng chính công cụ hợp lệ có trong hệ điều hành để khỏi cài mã độc dễ bị phát hiện; PowerShell là shell và ngôn ngữ kịch bản có sẵn trên Windows, các cmdlet như Get-ChildItem, Copy-Item, Move-Item, Get-Process cho phép liệt kê thư mục, sao chép, di chuyển tệp, xem tiến trình đang chạy và làm hầu hết tác vụ quản trị. Phòng thủ là bật ghi nhật ký script block và giới hạn chế độ ngôn ngữ. "Sysinternals" là bộ công cụ quản trị của Microsoft nhưng phải tải về riêng, không phải thành phần sẵn có của hệ điều hành. "WMI" (Windows Management Instrumentation) cũng có sẵn và dùng được để truy vấn thông tin, chạy lệnh từ xa, nhưng không phải công cụ thao tác tệp và thư mục như mô tả. "BloodHound" là công cụ bên thứ ba vẽ đồ thị quan hệ quyền trong Active Directory để tìm đường leo thang, không phải kỹ thuật living off the land.

Đáp án đúng: "The hash created for the digital signature holds 160 bits.". Trường Signature Hash Algorithm ghi sha1, và SHA-1 luôn tạo giá trị băm dài 160 bit; giá trị băm này được ký bằng khoá riêng của tổ chức cấp VeriSign theo sha1RSA để tạo chữ ký trên chứng chỉ. "The hash created for the digital signature holds 2048 bits." sai vì 2048 bit là độ dài khoá công khai RSA ghi ở trường Public Key, không phải độ dài giá trị băm. "RSA is the hash algorithm used for the digital signature." sai vì RSA là thuật toán ký khoá công khai; thuật toán băm là SHA-1, tên sha1RSA nghĩa là băm bằng SHA-1 rồi ký bằng RSA. "This certificate contains a private key." sai vì chứng chỉ số chỉ chứa khoá công khai cùng thông tin định danh; khoá riêng luôn được chủ sở hữu giữ kín và không nằm trong chứng chỉ phát công khai. Ngày nay SHA-1 đã bị coi là yếu và chứng chỉ chuyển sang SHA-256.

Đáp án đúng: "Brute Force". Tấn công vét cạn (brute force) giải mã bằng cách thử lần lượt mọi khóa có thể trong không gian khóa cho tới khi ra bản rõ có nghĩa; về lý thuyết luôn thành công, nên an toàn của thuật toán dựa vào việc không gian khóa đủ lớn, ví dụ AES-256 khiến vét cạn bất khả thi. "Birthday" (tấn công ngày sinh) khai thác nghịch lý ngày sinh để tìm hai đầu vào có cùng giá trị băm, tức tìm va chạm, chứ không thử mọi khóa. "Man in the Middle" (kẻ đứng giữa) chen vào kênh liên lạc để nghe lén hoặc sửa dữ liệu, không phải kỹ thuật giải mã bằng thử khóa. "Known Plaintext" (biết trước bản rõ) dùng các cặp bản rõ và bản mã đã biết để suy ra khóa hoặc quy luật của thuật toán, thông minh hơn việc thử hết. "Dictionary" (tấn công từ điển) chỉ thử các giá trị trong một danh sách soạn sẵn như mật khẩu phổ biến, là một tập con chứ không phải mọi khóa có thể.

Đáp án đúng: "The client creates the key after verifying the server’s identity.". Trong bắt tay SSL/TLS dùng trao đổi khóa RSA, máy chủ gửi chứng chỉ số; máy khách kiểm tra chứng chỉ với tổ chức cấp chứng chỉ để xác minh danh tính máy chủ, sau đó mới tạo bí mật tiền chủ (pre-master secret), mã hóa bằng khóa công khai của máy chủ rồi gửi đi, và hai bên cùng suy ra khóa phiên. "The server creates the key after verifying the client’s identity." sai vì xác thực máy khách chỉ là tùy chọn và máy chủ không phải bên khởi tạo khóa. "The server creates the key immediately on the client connection." sai vì khóa không được sinh ngay khi kết nối, phải qua trao đổi chứng chỉ trước. "The client creates the key using the server’s public key." chưa đầy đủ: khóa công khai dùng để mã hóa bí mật gửi đi, nhưng điều kiện then chốt là phải xác minh danh tính máy chủ trước, nếu không có thể trao khóa cho kẻ đứng giữa.

Đáp án đúng: "Used three keys". 3DES (Triple DES) khắc phục khoá 56 bit quá ngắn của DES bằng cách áp dụng chính thuật toán DES ba lần liên tiếp theo trình tự mã hoá, giải mã, mã hoá (EDE), mỗi lượt dùng một khoá riêng; với ba khoá độc lập, tổng chiều dài khoá danh nghĩa là 168 bit, độ mạnh hiệu dụng khoảng 112 bit do tấn công meet-in-the-middle. Ngày nay 3DES đã bị NIST loại bỏ và thay bằng AES. "Made the key longer" sai vì từng khoá DES bên trong 3DES vẫn là 56 bit; tổng độ dài tăng lên chỉ là hệ quả của việc dùng nhiều khoá, bản thân thuật toán không đổi kích thước khoá. "Used two keys" sai vì dạng hai khoá, khi khoá thứ nhất và thứ ba trùng nhau, chỉ là một tuỳ chọn yếu hơn, không phải đặc trưng định nghĩa của Triple DES. "Changed algorithms" sai vì 3DES giữ nguyên thuật toán DES, chỉ lặp nó ba lần; đổi sang thuật toán mới là trường hợp của AES.

Đáp án đúng: "Pretty Good Privacy (PGP)". PGP mã hoá và ký thư điện tử ngay trên máy người dùng bằng cặp khoá công khai và khoá riêng; có bản triển khai miễn phí như GnuPG (GPG), và nhờ mô hình web of trust nên không cần thuê hay vận hành máy chủ cấp chứng chỉ, đúng nhu cầu của người dùng tại nhà. "IP Security (IPSec)" mã hoá ở tầng mạng giữa hai thiết bị hay hai mạng, thường cần cổng VPN được cấu hình và quản lý, không phải giải pháp mã hoá từng bức thư. "Multipurpose Internet Mail Extensions (MIME)" chỉ là chuẩn định dạng để thư chứa tệp đính kèm và nhiều bộ ký tự, bản thân nó không mã hoá; phần mở rộng có mã hoá là S/MIME lại cần chứng chỉ từ CA. "Hypertext Transfer Protocol with Secure Socket Layer (HTTPS" bảo vệ kết nối giữa trình duyệt và máy chủ web, không mã hoá nội dung thư từ đầu tới cuối.

Đáp án đúng: "Vishing". Vishing (voice phishing, lừa đảo qua giọng nói) là kiểu social engineering dùng cuộc gọi điện thoại, thường giả danh bộ phận IT, ngân hàng hay cấp trên, để dụ nạn nhân tiết lộ mật khẩu, mã OTP hay thông tin nhạy cảm; phòng thủ là xác minh lại qua một kênh độc lập và đào tạo nhận thức cho nhân viên. "Pharming" là chuyển hướng người dùng tới trang web giả bằng cách đầu độc DNS hoặc sửa tệp hosts, không cần cuộc gọi nào. "Shoulder surfing" là nhìn trộm qua vai để thấy mật khẩu, mã PIN khi nạn nhân nhập. "Dumpster diving" là lục thùng rác tìm tài liệu, giấy tờ, thiết bị bị vứt bỏ còn chứa thông tin.

Đáp án đúng: "-T5". Trong Nmap, cờ -T chọn mẫu thời gian (timing template) từ -T0 tới -T5, lần lượt là paranoid, sneaky, polite, normal, aggressive và insane; -T5 là mức insane, nhanh và hung hãn nhất, khớp với mô tả rất hung hãn. "-T2" sai vì đó là polite (lịch sự), làm chậm quét để giảm tải băng thông và tài nguyên của mục tiêu. "-T3" sai vì đó là normal, mức mặc định khi không chỉ định cờ thời gian. "-T4" sai vì đó là aggressive (hung hãn), nhanh hơn mặc định và hợp với mạng ổn định, nhưng chưa phải mức cực đoan nhất như -T5, vốn rút ngắn thời gian chờ tới mức có thể bỏ sót kết quả và dễ bị IDS phát hiện. Với người phòng thủ, quét ở tốc độ cao như vậy tạo ra đợt kết nối dày đặc nên rất dễ nhận ra trong nhật ký.

Đáp án đúng: "to obfuscate, to evade and to cover the attacker tracks". Steghide là công cụ giấu tin (steganography): nhúng dữ liệu vào tệp ảnh hoặc âm thanh như JPEG, BMP, WAV, có thể kèm mật khẩu, để tệp trông vẫn bình thường; vì vậy nó thuộc nhóm công cụ làm rối, né phát hiện và che dấu vết khi trích xuất hay cất giấu dữ liệu. Đội phòng thủ đối phó bằng giám sát luồng dữ liệu ra ngoài và công cụ phân tích giấu tin. "to modify Windows registry values and to connect a compromised system to another system" mô tả công cụ quản trị registry và kết nối từ xa trên Windows, không liên quan việc giấu dữ liệu trong tệp đa phương tiện. "to find complex attack paths in Microsoft Azure" là chức năng của BloodHound, công cụ vẽ đồ thị quan hệ quyền. "to allow administrators to control a Windows-based computer from a remote terminal" mô tả các công cụ điều khiển từ xa như Remote Desktop hay PsExec, phục vụ quản trị chứ không phải giấu tin.

Đáp án đúng: "Intent". Hacker có đạo đức (ethical hacker) và kẻ tấn công có thể dùng cùng công cụ, cùng kỹ thuật và cùng hệ điều hành; điều phân biệt họ là ý định: hacker có đạo đức hành động khi có sự cho phép bằng văn bản của chủ hệ thống, trong phạm vi đã thỏa thuận và nhằm tìm, báo cáo lỗ hổng để khắc phục, còn kẻ tấn công nhắm tới trục lợi hay phá hoại. "Tools used" không phải điểm khác biệt vì Nmap, Metasploit hay Burp Suite được cả hai bên sử dụng. "Technical skills" không phân biệt được vì cả hai có thể giỏi ngang nhau, kỹ năng không nói lên mục đích. "Operating systems used" cũng vậy, Kali Linux hay Windows đều được cả người kiểm thử hợp pháp lẫn kẻ tấn công dùng.

Đáp án đúng gồm hai ý: "Both are deployed as sensors." và "Both use signatures to detect malicious traffic.". IDS (hệ thống phát hiện xâm nhập) và IPS (hệ thống ngăn chặn xâm nhập) đều được triển khai dưới dạng cảm biến (sensor), thiết bị hoặc phần mềm đặt tại điểm then chốt của mạng, và đều dùng chữ ký (signature) cùng phương pháp phát hiện bất thường để nhận diện lưu lượng độc hại. "Both have minimal impact on network performance." không được chọn vì chỉ IDS hoạt động ngoài luồng nên ít ảnh hưởng, còn IPS đặt nội tuyến (inline) và phân tích từng gói nên có thể gây trễ. "Both analyze copies of network traffic." không được chọn vì chỉ IDS phân tích bản sao lấy qua cổng SPAN hoặc TAP, còn IPS xử lý chính lưu lượng thật đi qua nó. "Both rely on an additional network device to respond to malicious traffic." không được chọn vì chỉ IDS cần thiết bị khác như tường lửa hay router để chặn, còn IPS tự loại bỏ gói độc hại ngay lập tức.

Đáp án đúng: "Cryptanalysis". Cryptanalysis (phân tích mật mã) là ngành nghiên cứu cách phá hệ mã bằng việc tìm điểm yếu toán học hay thống kê trong thuật toán hoặc cách dùng nó, ví dụ phân tích tần suất, phân tích vi sai hay phân tích tuyến tính, để khôi phục bản rõ hoặc khoá mà không cần thử hết mọi khả năng. "Enigma" là tên cỗ máy mã hoá cơ điện của Đức thời Thế chiến II, là đối tượng bị phân tích chứ không phải một quy trình giải mã. "Substitution Cipher" là kiểu mã thay thế, mỗi ký tự được thay bằng ký tự khác; đó là một phương pháp mã hoá, không phải cách phá mã. "Brute Force" cũng là cách phá mã nhưng bằng việc thử lần lượt mọi khoá có thể, không dựa vào điểm yếu toán học của kỹ thuật như câu hỏi mô tả; độ dài khoá đủ lớn là cách chống brute force.

Đáp án đúng: "An attacker launches the attack on a web site and forces the web application to send the query results via an email.". SQL injection ngoài băng (out-of-band) là khi kết quả truy vấn không trả về trên cùng kênh với yêu cầu tấn công mà được cơ sở dữ liệu hay ứng dụng gửi qua một kênh khác như thư điện tử, truy vấn DNS hoặc yêu cầu HTTP tới máy chủ bên ngoài; kỹ thuật này dùng khi phản hồi trực tiếp không hiện dữ liệu. Phòng thủ là truy vấn tham số hoá và chặn kết nối ra ngoài từ máy chủ cơ sở dữ liệu. "forces the web application to delay the query results" mô tả blind SQL injection dựa trên thời gian (time-based), suy ra thông tin qua độ trễ phản hồi. "views the query results immediately on the screen" là in-band SQL injection, kết quả hiện ngay trên cùng kênh. "reconstructs the information by sending specific SQL statements" là blind SQL injection dựa trên suy luận (boolean-based), ghép lại dữ liệu từ phản ứng đúng sai của ứng dụng.

Đáp án đúng gồm hai ý: "turbines in a power plant" và "robots in a factory". Tua bin nhà máy điện và robot trong nhà máy thuộc hệ thống điều khiển công nghiệp (ICS/SCADA); nếu bị chiếm qua Internet, kẻ tấn công có thể gây mất điện diện rộng, hư hỏng thiết bị hay đe doạ tính mạng, nên các hệ thống này phải được cô lập bằng phân đoạn mạng và chỉ truy cập từ xa qua kênh được kiểm soát chặt. "refrigerators in a restaurant" sai vì tủ lạnh thông minh có rủi ro nhưng hậu quả giới hạn trong phạm vi một cửa hàng, và theo dõi từ xa qua Internet là chức năng thường thấy. "thermostat in a home" sai vì bộ điều nhiệt gia đình được thiết kế để điều khiển qua ứng dụng trên Internet; cần bảo mật nhưng không thuộc loại tuyệt đối không được kết nối. "carbon monoxide detectors in a home" sai vì đầu báo khí CO thông minh còn cần Internet để gửi cảnh báo tới điện thoại chủ nhà, và tác động nếu bị chiếm nhỏ hơn nhiều so với hạ tầng công nghiệp.

Đáp án đúng: "Enforcing minimum password requirements". Trong khắc phục sau kiểm thử xâm nhập, biện pháp kiểm soát được chia thành nhóm kỹ thuật, quản lý (administrative), vận hành và vật lý; kiểm soát quản lý là chính sách, quy trình, tiêu chuẩn do tổ chức ban hành, và yêu cầu độ dài, độ phức tạp tối thiểu của mật khẩu là một chính sách như vậy, dù sau đó có thể được thực thi bằng công cụ kỹ thuật. "Implementing biometric access systems" là kiểm soát vật lý, dùng đặc điểm sinh trắc như vân tay để kiểm soát người ra vào khu vực. "Installing firewalls" là kiểm soát kỹ thuật, lọc lưu lượng mạng theo luật bằng thiết bị hoặc phần mềm. "Using network segmentation" cũng là kiểm soát kỹ thuật, chia mạng thành các vùng tách biệt để hạn chế kẻ tấn công di chuyển ngang khi đã xâm nhập được một máy.

Đáp án đúng: "technical". System hardening (gia cố hệ thống) gồm tắt dịch vụ và cổng không dùng, gỡ phần mềm thừa, vá lỗi, đổi mật khẩu mặc định và cấu hình an toàn; vì được thực hiện trực tiếp bằng cấu hình và công nghệ trên hệ thống nên nó thuộc nhóm kiểm soát kỹ thuật, thường được khuyến nghị trong báo cáo kiểm thử. "administrative" là kiểm soát hành chính như chính sách, quy trình, đào tạo nhận thức và phân công trách nhiệm, tác động lên con người và quy định chứ không lên cấu hình máy. "operational" là kiểm soát vận hành do con người thực hiện hằng ngày như quản lý thay đổi, giám sát hay luân chuyển công việc. "physical" là kiểm soát vật lý như khóa cửa, camera, bảo vệ và hàng rào, bảo vệ tài sản hữu hình khỏi tiếp cận trực tiếp.

Đáp án đúng: "in a user input field in a web form". Cross-site scripting (XSS, chèn mã kịch bản chéo trang) xảy ra khi ứng dụng web nhận dữ liệu người dùng nhập rồi đưa lại vào trang mà không lọc hay mã hoá đầu ra, khiến trình duyệt thực thi nó như script; vì vậy chuỗi thử XSS được đặt vào nơi ứng dụng nhận đầu vào, điển hình là ô nhập trong biểu mẫu như ô tìm kiếm, bình luận hay tên hiển thị, rồi quan sát trang trả về. "in an HTTP header" sai vì dù một số ứng dụng phản chiếu header như User-Agent và có thể dính XSS qua đó, đây không phải vị trí thử điển hình mà câu hỏi hướng tới. "in an error message" sai vì thông báo lỗi do máy chủ sinh ra, người kiểm thử không gõ chuỗi vào đó. "in a terminal window on the server" sai vì XSS là lỗi biểu hiện ở trình duyệt của ứng dụng web; gõ vào terminal trên máy chủ là chạy lệnh hệ điều hành và đòi hỏi đã có quyền truy cập máy chủ.

Đáp án đúng: "The test is a hybrid approach between unknown and known environment tests.". Partially known environment test (kiểm thử môi trường biết một phần, trước gọi là gray box) là cách lai giữa unknown environment (black box, không biết gì) và known environment (white box, biết đầy đủ): người kiểm thử được cung cấp một phần thông tin như tài khoản thử hay sơ đồ sơ lược, để vừa tiết kiệm thời gian trinh sát vừa vẫn mô phỏng góc nhìn của kẻ tấn công. Ý "The tester must test the electrical grid supporting the infrastructure" không phải đặc điểm của mức hiểu biết nào; hạ tầng điện thường nằm ngoài phạm vi kiểm thử. Ý "The tester is provided with a list of domain names and IP addresses in the scope" chỉ là thông tin phạm vi, có thể xuất hiện ở bất kỳ kiểu kiểm thử nào nên không định nghĩa được partially known. Ý "The tester should not have prior knowledge of the organization" chính là định nghĩa của unknown environment test.

Đáp án đúng: "true positives". Dương tính thật (true positive) là khi thiết bị như IDS cảnh báo và thực sự có cuộc tấn công, tức nhận diện thành công một sự kiện độc hại. "false negatives" (âm tính giả) là có tấn công nhưng không bị phát hiện, trường hợp nguy hiểm nhất vì tổ chức không biết mình bị xâm nhập. "false positives" (dương tính giả) là bật cảnh báo dù không có hoạt động độc hại, gây tốn công điều tra và mệt mỏi vì cảnh báo. "true negatives" (âm tính thật) là hoạt động hợp lệ được nhận đúng là hợp lệ, không có cảnh báo vì không có tấn công. Cách nhớ: chữ true hay false cho biết nhận định của thiết bị đúng hay sai, còn chữ positive hay negative cho biết thiết bị có bật cảnh báo hay không.

Đáp án đúng: "social proof". Social proof (bằng chứng xã hội) là nguyên tắc ảnh hưởng khiến con người làm theo điều mà nhiều người khác, hoặc người họ ngưỡng mộ, đang làm; khi người nổi tiếng giới thiệu sản phẩm trên mạng xã hội, người theo dõi tin rằng sản phẩm đáng dùng vì có người được công nhận ủng hộ. Kẻ lừa đảo lợi dụng điều này bằng đánh giá giả hay tài khoản người nổi tiếng giả mạo. "fear" sai vì đe doạ tạo cảm giác sợ hãi, chẳng hạn báo tài khoản sắp bị khoá, để ép hành động gấp. "authority" sai vì quyền uy dựa vào việc giả danh người có quyền ra lệnh như sếp, cảnh sát hay bộ phận IT, còn người nổi tiếng không có quyền yêu cầu gì người theo dõi. "scarcity" sai vì khan hiếm dựa trên thông điệp số lượng có hạn hay sắp hết thời gian để thúc mua, không phải sự ủng hộ của người nổi tiếng.