Tất cả câu hỏi

Đáp án đúng: "organized crime". Organized crime (tội phạm có tổ chức) là các nhóm có nguồn tiền dồi dào, có tổ chức và động cơ chính là lợi nhuận tài chính, nên sẵn sàng đầu tư vào kỹ thuật tấn công mới như ransomware hay gian lận ngân hàng. "hacktivist" sai vì hacktivist (tin tặc hoạt động vì lý tưởng) tấn công để quảng bá quan điểm chính trị hay xã hội, không vì tiền. "state-sponsored attacker" sai vì kẻ tấn công được nhà nước bảo trợ cũng giàu nguồn lực và dùng kỹ thuật tiên tiến, nhưng mục tiêu là tình báo, phá hoại hay lợi ích quốc gia chứ không phải lợi nhuận. "insider threat" sai vì mối đe doạ nội bộ là nhân viên hay đối tác đã có sẵn quyền truy cập, thường hành động đơn lẻ, không phải một nhóm được cấp vốn từ bên ngoài.

Đáp án đúng: "Tester has no prior knowledge of the system". Kiểm thử hộp đen (black box, còn gọi là unknown-environment testing) là kiểu kiểm thử mà người kiểm thử không được cung cấp thông tin trước về hệ thống mục tiêu, phải tự trinh sát từ đầu như một kẻ tấn công bên ngoài; ưu điểm là sát với thực tế, nhược điểm là tốn thời gian và dễ bỏ sót. "Tester has full knowledge of the system" mô tả kiểm thử hộp trắng (white box, known-environment), nơi người kiểm thử có sơ đồ mạng, mã nguồn và tài liệu. "Tester receives only user credentials" gần với kiểm thử hộp xám (gray box, partially known environment), khi người kiểm thử được cung cấp một phần thông tin như tài khoản người dùng thường. "Tester performs only social engineering" mô tả phạm vi theo loại kỹ thuật, tức một đợt kiểm thử kỹ nghệ xã hội, chứ không phải định nghĩa theo mức hiểu biết về hệ thống.

Đáp án đúng: "Social engineering testing". Kiểm thử social engineering (kỹ nghệ xã hội) đánh giá yếu tố con người: người kiểm thử gửi email phishing (lừa đảo giả mạo) mô phỏng tới nhân viên để đo xem bao nhiêu người bấm liên kết, mở tệp đính kèm hay nhập thông tin đăng nhập, từ đó đề xuất đào tạo nhận thức. "Physical penetration testing" kiểm tra an ninh vật lý như cửa ra vào, thẻ từ, camera, bảo vệ, tức là thử xâm nhập trực tiếp vào tòa nhà. "Wireless network testing" đánh giá mạng không dây, chẳng hạn mã hóa Wi-Fi yếu, điểm truy cập giả hay cấu hình xác thực sai. "Application-based testing" tập trung vào lỗ hổng của phần mềm và ứng dụng web như lỗi tiêm mã hay xác thực kém, không nhắm vào hành vi của nhân viên trước email lừa đảo.

Đáp án đúng: "SpoofCard". SpoofCard là ứng dụng trên iOS và Android cho phép giả mạo số gọi đến (caller ID spoofing), ghi âm cuộc gọi, đổi giọng và chèn tiếng ồn nền như tiếng văn phòng hay đường phố, nên thường được nhắc tới trong kỹ thuật xã hội qua điện thoại như vishing (lừa đảo bằng giọng nói) để màn dựng cớ thuyết phục hơn. "Nessus" sai vì Nessus là trình quét lỗ hổng cho máy chủ và thiết bị mạng, không liên quan gọi điện. "Asterisk" sai vì Asterisk là phần mềm tổng đài VoIP mã nguồn mở chạy trên máy chủ; nó có thể bị cấu hình để giả số gọi nhưng không phải ứng dụng di động có sẵn ghi âm và tạo tiếng ồn nền. "BeEF" sai vì BeEF (Browser Exploitation Framework) điều khiển trình duyệt của nạn nhân thông qua lỗ hổng XSS, không phải công cụ thoại.

Đáp án đúng: "Belief that something bad may occur". Trong social engineering (tấn công phi kỹ thuật), fear (nỗi sợ) là đòn tâm lý khiến nạn nhân tin rằng điều tồi tệ sắp xảy ra nếu không làm theo, ví dụ thông báo tài khoản sẽ bị khoá, bị phạt hay bị kiện, từ đó nạn nhân bỏ qua bước kiểm chứng. "Curiosity" là sự tò mò, một đòn khác dựa trên mong muốn biết điều bí ẩn, như chiếc USB bỏ quên có nhãn hấp dẫn, không phải nỗi sợ. "Anger" là sự tức giận, không phải cảm xúc mà phương pháp fear khai thác. "Urgency" là tính khẩn cấp, một nguyên tắc gây ảnh hưởng riêng thúc người nhận hành động ngay vì sắp hết thời gian; nó hay đi kèm nỗi sợ nhưng bản chất là áp lực thời gian chứ không phải niềm tin rằng chuyện xấu sẽ xảy ra.

Đáp án đúng: "security guard". Piggybacking (đi nhờ, người có quyền chủ động mở cửa cho người lạ vào cùng) và tailgating (bám đuôi, lẻn theo sau người có quyền khi cửa còn mở) khai thác việc cửa chỉ kiểm tra thẻ chứ không kiểm tra số người đi qua; nhân viên bảo vệ đứng tại lối vào có thể quan sát, chặn lại và đòi từng người xuất trình quyền ra vào, nên ngăn trực tiếp hai kiểu xâm nhập này. "camera" chỉ ghi hình để phát hiện hoặc điều tra sau, không ngăn được người đã lẻn qua cửa. "“no trespassing” warnings" là biển cảnh báo mang tính răn đe, không có cơ chế cưỡng chế nào. "badge/card access" chính là cơ chế bị vượt qua: một người quẹt thẻ hợp lệ, cửa mở, và kẻ đi theo sau không cần thẻ.

Đáp án đúng: "SMS phishing". SMS phishing, còn gọi là smishing (lừa đảo qua tin nhắn), là hình thức phishing gửi qua tin nhắn văn bản, dụ nạn nhân bấm liên kết và nhập thông tin nhạy cảm như tài khoản ngân hàng; tin báo trúng bitcoin kèm liên kết đúng là kịch bản này. "vishing" sai vì voice phishing (lừa đảo qua giọng nói) dùng cuộc gọi điện thoại, không phải tin nhắn có liên kết. "whaling" sai vì whaling nhắm vào nhân vật cấp cao như giám đốc điều hành, còn tình huống ở đây là tin nhắn đại trà gửi tới một nạn nhân bất kỳ. "watering hole" sai vì tấn công hố nước (watering hole) cài mã độc lên một trang web mà nhóm mục tiêu hay ghé rồi chờ họ tự truy cập, không gửi tin nhắn trực tiếp. Cách phòng là không bấm liên kết trong tin nhắn lạ và kiểm tra trực tiếp với ngân hàng qua kênh chính thức.

Đáp án đúng: "Default credential attack". Thiết bị mạng mới thường xuất xưởng với tài khoản và mật khẩu mặc định được công bố trong tài liệu của nhà sản xuất; tấn công bằng thông tin đăng nhập mặc định (default credential attack) lợi dụng việc quản trị viên quên đổi chúng. Chính sách buộc cấu hình bảo mật nâng cao, như đổi mật khẩu và tắt dịch vụ thừa, trước khi đưa thiết bị vào mạng sản xuất chặn trực tiếp mối đe dọa này. "Kerberos vulnerability" liên quan tới giao thức xác thực Kerberos trong miền Active Directory, ví dụ kerberoasting, không phụ thuộc việc router mới được làm cứng. "Session hijacking" (chiếm phiên) là đánh cắp hoặc giả mạo mã phiên của một phiên đã xác thực, được chống bằng mã hóa và quản lý phiên chứ không bằng cấu hình ban đầu của thiết bị. "Redirect attack" chuyển hướng lưu lượng hoặc người dùng tới đích độc hại, ví dụ qua thông điệp ICMP redirect hay lỗi chuyển hướng mở trên web, không phải trọng tâm của chính sách này.

Đáp án đúng: "To enable client-server communication". HTTP (HyperText Transfer Protocol, giao thức truyền siêu văn bản) là giao thức tầng ứng dụng theo mô hình yêu cầu và phản hồi: trình duyệt (client) gửi yêu cầu với phương thức như GET hay POST, máy chủ web trả về mã trạng thái, tiêu đề và nội dung. Hiểu cơ chế này là nền tảng để phân tích lỗ hổng ứng dụng web. "To store web application data" sai vì lưu trữ dữ liệu là việc của cơ sở dữ liệu hoặc hệ thống tệp phía máy chủ, HTTP chỉ chuyên chở dữ liệu. "To manage DNS records" là chức năng của hệ thống DNS và máy chủ tên miền, dùng để phân giải tên thành địa chỉ IP. "To provide encryption for emails" thuộc về các cơ chế như S/MIME hay PGP; bản thân HTTP không mã hóa, muốn mã hóa web phải dùng HTTPS với TLS.

Đáp án đúng: "The attacker infers database behavior without visible error messages". Blind SQL injection (chèn SQL mù) xảy ra khi ứng dụng có lỗ hổng chèn SQL nhưng không đưa dữ liệu hay thông báo lỗi ra trang, nên kẻ tấn công phải suy luận từ khác biệt gián tiếp như trang trả về đúng hoặc sai (boolean-based) hay thời gian phản hồi bị trễ (time-based). "The server returns data in the same channel used for injection" sai vì đó là mô tả chèn SQL in-band, như kiểu UNION hay error-based, ngược với kiểu mù. "The attacker uses stored procedures to exfiltrate data" sai vì lạm dụng stored procedure (thủ tục lưu sẵn) là một kỹ thuật khai thác riêng, không phải đặc trưng định nghĩa của kiểu mù. "The server responds with HTTP 500 errors due to command injection" sai vì lỗi HTTP 500 hiển thị là dấu hiệu lộ lỗi, và command injection (chèn lệnh hệ điều hành) là loại lỗ hổng khác với chèn SQL. Phòng thủ chung cho mọi dạng chèn SQL là truy vấn tham số hoá.

Đáp án đúng: "These session ID names can be used to fingerprint the application framework employed.". Mỗi framework phổ biến đặt tên mặc định cho cookie phiên, ví dụ PHPSESSID của PHP, JSESSIONID của Java EE hay ASP.NET_SessionId của ASP.NET; chỉ cần nhìn tên cookie, kẻ tấn công đã biết ứng dụng chạy trên nền tảng nào để tra các lỗ hổng đã biết của nền tảng đó, đây là fingerprinting (lấy dấu vân tay ứng dụng). Đổi tên mặc định làm việc nhận diện khó hơn. "These session ID names are not published in public documents." sai vì ngược lại, các tên này được công bố rộng rãi trong tài liệu của framework, chính vì thế chúng mới dễ bị dùng để nhận diện. Ý "are used randomly and make integration of frameworks impossible" sai vì tên session ID là cố định chứ không ngẫu nhiên, và tên của nó không ảnh hưởng tới việc tích hợp. Ý "typically contain a short length of numerical numbers and can be easily cracked" nhầm giữa tên cookie với giá trị session ID; khả năng chống đoán nằm ở giá trị ngẫu nhiên đủ dài, còn đổi tên không làm giá trị khó đoán hơn.

Đáp án đúng: "SELECT". Trong SQL, SELECT là câu lệnh truy vấn dùng để đọc các bản ghi từ một hay nhiều bảng, có thể kèm WHERE để lọc và ORDER BY để sắp xếp; đây cũng là câu lệnh mà các kỹ thuật SQL injection thường nhắm tới khi muốn rút dữ liệu ra ngoài. "UPDATE" dùng để sửa giá trị của các bản ghi đã có, không nhằm trả dữ liệu về. "DELETE" dùng để xoá bản ghi khỏi bảng. "INSERT" dùng để thêm bản ghi mới vào bảng. Các lệnh UPDATE, DELETE, INSERT đều thuộc nhóm thao tác làm thay đổi dữ liệu, trong khi câu hỏi hỏi về việc lấy dữ liệu ra để xem, nên chỉ SELECT phù hợp với yêu cầu.

Đáp án đúng: "To ensure non-technical audiences understand the findings". Executive summary (tóm tắt dành cho lãnh đạo) là phần đầu báo cáo kiểm thử xâm nhập, viết bằng ngôn ngữ kinh doanh, nêu mức rủi ro tổng thể, tác động và khuyến nghị ưu tiên để ban giám đốc và người không chuyên kỹ thuật hiểu kết quả và ra quyết định. "To provide technical details for developers" sai vì chi tiết kỹ thuật, bước tái hiện và bằng chứng nằm ở phần phát hiện và phụ lục dành cho đội kỹ thuật. "To explain the scope of the engagement" sai vì phạm vi có thể được nhắc ngắn trong tóm tắt nhưng được mô tả đầy đủ ở phần phạm vi và phương pháp, không phải lý do chính để có tóm tắt. "To list all vulnerabilities detected by automated tools" sai vì danh sách đầy đủ kết quả quét tự động thuộc phụ lục kỹ thuật; tóm tắt chỉ chắt lọc những rủi ro quan trọng nhất.

Đáp án đúng gồm ba ý: "attack complexity", "integrity impact" và "user interaction". Trong CVSS (Common Vulnerability Scoring System, hệ thống chấm điểm lỗ hổng), nhóm chỉ số cơ sở (base metric group) mô tả đặc tính nội tại, không đổi theo thời gian hay môi trường của một lỗ hổng: các chỉ số khả năng khai thác như attack vector, attack complexity, privileges required, user interaction, cùng scope và các chỉ số tác động tới tính bí mật, toàn vẹn, sẵn sàng. "modified base metrics" thuộc nhóm môi trường (environmental), cho phép tổ chức điều chỉnh lại các chỉ số cơ sở theo hoàn cảnh triển khai của mình. "availability requirements" cũng thuộc nhóm môi trường, phản ánh mức quan trọng của tính sẵn sàng đối với một tài sản cụ thể. "remediation level" thuộc nhóm thời gian (temporal), cho biết lỗ hổng đã có bản vá chính thức, bản vá tạm, cách khắc phục thủ công hay chưa có gì.

Đáp án đúng: "user input sanitization". Cross-site scripting, cross-site request forgery, SQL injection và command injection đều bắt nguồn từ việc ứng dụng tin dữ liệu do người dùng gửi lên; làm sạch và kiểm tra đầu vào (input sanitization, kèm kiểm tra hợp lệ và mã hóa đầu ra) là biện pháp kỹ thuật được khuyến nghị để chặn dữ liệu độc hại trước khi nó được hiểu thành mã, câu truy vấn hay lệnh. "process-level remediation" là khắc phục ở mức quy trình làm việc, thuộc nhóm biện pháp vận hành chứ không phải kiểm soát kỹ thuật trong mã. "secrets management solution" dùng để cất giữ an toàn mật khẩu, khóa API và token, giúp chống lộ thông tin xác thực chứ không ngăn được chuỗi tiêm mã. "certificate management" quản lý vòng đời chứng chỉ số cho TLS, bảo vệ kênh truyền nhưng không kiểm soát nội dung dữ liệu người dùng nhập.

Đáp án đúng: "RBAC". RBAC (Role-Based Access Control, kiểm soát truy cập dựa trên vai trò) gán quyền cho vai trò rồi gán người dùng vào vai trò, nên quản trị viên vừa cấp quyền ở mức rộng theo nhóm chức năng như kế toán hay nhân sự, vừa tinh chỉnh tới từng thao tác trên từng tài nguyên; đây là biện pháp kiểm soát hành chính (administrative control) quyết định người dùng được làm gì. "secure software development life cycle" sai vì vòng đời phát triển phần mềm an toàn là quy trình đưa bảo mật vào từng giai đoạn làm phần mềm, không điều khiển quyền của người dùng. "policies and procedures" sai vì chính sách và quy trình đặt ra quy tắc chung bằng văn bản nhưng tự chúng không thực thi việc cho phép hay chặn một thao tác cụ thể. "minimum password requirements" sai vì yêu cầu mật khẩu tối thiểu chỉ tăng độ mạnh của xác thực, tức kiểm soát ai đăng nhập được, không kiểm soát người đã đăng nhập được làm gì.

Đáp án đúng: "ROM". Trên router Cisco, ROM chứa chương trình POST, bootstrap và ROMmon (ROM monitor), có dòng máy còn kèm một bản IOS rút gọn; khi bộ nhớ flash nơi lưu ảnh IOS bị hỏng, bootstrap không tìm được IOS hợp lệ và router rơi về ROMmon trong ROM để quản trị viên nạp lại ảnh IOS, ví dụ qua TFTP. "NVRAM" là bộ nhớ không mất dữ liệu khi tắt nguồn nhưng chỉ lưu tệp cấu hình khởi động startup-config và thanh ghi cấu hình, không chứa mã khởi động. "RAM" mất sạch dữ liệu khi tắt máy; nó giữ running-config, bảng định tuyến và IOS đang chạy sau khi đã được nạp, chứ không phải nguồn để khởi động. "CD-ROM" không phải thành phần của router Cisco nên không thể là nơi khởi động.

Đáp án đúng: "A passive IDS does not impact network performance, but it cannot take immediate action to prevent threats.". IDS thụ động (passive IDS) nhận bản sao lưu lượng qua cổng SPAN hoặc TAP, đứng ngoài đường đi của gói tin (out-of-band), nên không làm chậm hay gián đoạn mạng; đổi lại nó chỉ phát hiện và cảnh báo, không chặn được gói tin độc hại theo thời gian thực như IPS đặt nội tuyến (inline). "A passive IDS can disrupt legitimate network traffic, but it provides real-time threat mitigation." mô tả đúng hơn cho IPS nội tuyến: chặn nhầm thì làm gián đoạn lưu lượng hợp lệ, còn khả năng giảm thiểu tức thời cũng là của IPS. "A passive IDS can automatically reconfigure firewalls, but it requires more computational resources than an active IDS." sai vì tự cấu hình lại tường lửa là phản ứng chủ động, đặc trưng của hệ thống chủ động chứ không phải thụ động, và không có cơ sở nói loại thụ động tốn tài nguyên hơn. "A passive IDS can perform deep packet inspection, but it is more likely to generate false positives compared to an active IDS." có vế đầu đúng nhưng vế sau không gắn với tính thụ động: tỉ lệ dương tính giả phụ thuộc vào chữ ký và cách tinh chỉnh, không phụ thuộc việc thiết bị có chặn hay không.

Đáp án đúng gồm hai ý: "Manually open ports that are required for specific applications." và "Allow a different software firewall to control access.". Windows Firewall (tường lửa tích hợp của Windows) cho phép tạo ngoại lệ, tức mở thủ công các cổng mà một ứng dụng cụ thể cần để nhận kết nối, và cho phép nhường quyền kiểm soát truy cập cho một phần mềm tường lửa khác do bên thứ ba cài đặt, khi đó Windows Firewall tự tắt để tránh xung đột. "Turn on port screening." sai vì Windows Firewall không có chức năng nào mang tên như vậy. "Enable MAC address authentication." sai vì xác thực theo địa chỉ MAC thuộc thiết bị mạng như switch hay điểm truy cập không dây, không phải tuỳ chọn của tường lửa máy trạm. "Perform a rollback." sai vì khôi phục về trạng thái cũ là việc của System Restore hay khôi phục driver, không phải thao tác cấu hình tường lửa.

Đáp án đúng: "RAM". Trên router Cisco, RAM là bộ nhớ khả biến (volatile) chứa running-config (cấu hình đang chạy), bảng định tuyến, bảng ARP và các bộ đệm gói tin; khi mất điện hoặc khởi động lại, toàn bộ nội dung này mất đi nếu chưa được lưu. "NVRAM" là bộ nhớ không khả biến lưu startup-config, tức cấu hình được nạp khi thiết bị khởi động, không giữ cấu hình đang chạy hay bộ đệm. "ROM" chứa phần mềm khởi động cơ bản như POST (tự kiểm tra phần cứng), bootstrap và ROMMON dùng để chẩn đoán và khôi phục. "Flash memory" lưu ảnh hệ điều hành IOS và có thể chứa thêm tệp khác, nhưng không phải nơi giữ bảng định tuyến trong lúc vận hành. Hiểu sự phân chia này giúp người kiểm thử và quản trị viên biết thay đổi cấu hình nào sẽ mất sau khi khởi động lại và thông tin nhạy cảm nằm ở đâu.