Tất cả câu hỏi

Đáp án đúng: "Wayback Machine". Đây là dịch vụ lưu trữ của Internet Archive, chụp và lưu lại các phiên bản cũ của trang web theo thời gian; trong giai đoạn trinh sát thụ động (passive reconnaissance), người kiểm thử dùng nó để tìm trang đã gỡ, tên nhân viên, đường dẫn hay thông tin cấu hình từng bị công khai mà không chạm vào hệ thống mục tiêu. "Recon-ng" là khung trinh sát dạng mô-đun dùng để thu thập OSINT từ nhiều nguồn như máy tìm kiếm và API, không phải kho lưu phiên bản lịch sử của trang. "Nmap" là công cụ quét mạng chủ động, dò cổng mở, dịch vụ và hệ điều hành của máy đang chạy. "Whois" tra cứu thông tin đăng ký tên miền như chủ sở hữu, nhà đăng ký, máy chủ tên, chứ không hiển thị nội dung trang web trong quá khứ.

Đáp án đúng: "whois". whois truy vấn cơ sở dữ liệu đăng ký tên miền của nhà đăng ký và các cơ quan cấp phát địa chỉ, trả về chủ thể đăng ký, ngày tạo, máy chủ tên cùng đầu mối liên hệ kỹ thuật và hành chính; đây là trinh sát thụ động (passive reconnaissance) vì không gửi gói tin nào tới hạ tầng của mục tiêu. "netstat" sai vì nó chỉ hiển thị kết nối mạng, cổng đang lắng nghe và bảng định tuyến trên chính máy chạy lệnh, không cho biết gì về chủ tên miền. "dig" sai vì dig truy vấn bản ghi DNS như A, MX, NS hay TXT để biết tên miền trỏ tới đâu, chứ không được thiết kế để trả về người liên hệ kỹ thuật hay hành chính. "nmap" sai vì nmap quét cổng và dịch vụ, tức trinh sát chủ động (active reconnaissance) gửi gói tin trực tiếp tới mục tiêu.

Đáp án đúng: "Authenticated scan". Authenticated scan (quét có xác thực, còn gọi là credentialed scan) là lần quét mà công cụ như Nessus hay OpenVAS được cấp tài khoản quản trị, root trên Linux hay administrator trên Windows, để đăng nhập vào máy đích, đọc phiên bản gói phần mềm, bản vá, cấu hình và tệp hệ thống, nhờ đó cho kết quả chi tiết và ít báo động giả hơn. "Unauthenticated scan" chỉ nhìn hệ thống từ bên ngoài như một kẻ tấn công chưa có tài khoản, nên chỉ thấy dịch vụ đang mở và thông tin banner. "Discovery scan" là bước dò tìm máy đang hoạt động và cổng mở để lập danh mục tài sản, không đi sâu vào thông tin nội bộ. "Passive scan" chỉ nghe lưu lượng hoặc thu thập dữ liệu mà không gửi gói tới đích, càng không dùng thông tin đăng nhập nào.

Đáp án đúng: "It involves direct interaction with the target systems". Thu thập thông tin chủ động (active information gathering, active reconnaissance) là việc người kiểm thử gửi lưu lượng trực tiếp tới hệ thống mục tiêu, ví dụ quét cổng bằng Nmap, dò phiên bản dịch vụ hay truy vấn thẳng máy chủ DNS của mục tiêu; vì có tương tác nên hoạt động này có thể bị IDS hay nhật ký ghi nhận. "It avoids any interaction with the target" mô tả điều ngược lại, tức thu thập thụ động (passive reconnaissance) như tra OSINT, WHOIS, kết quả tìm kiếm. "It uses social media exclusively" sai vì mạng xã hội chỉ là một nguồn OSINT và thường thuộc nhóm thụ động, không phải định nghĩa của thu thập chủ động. "It requires physical access to the system" sai vì quét chủ động thường làm từ xa qua mạng; tiếp cận vật lý là một hướng kiểm thử riêng (physical penetration testing).

Đáp án đúng: "Empire". Empire là khung hậu khai thác (post-exploitation framework) mã nguồn mở viết trên PowerShell và Python, cung cấp sẵn các module như keylogger, bind shell, reverse shell và kênh liên lạc tuỳ biến giữa agent với máy chủ điều khiển để khó bị phát hiện; người phòng thủ thường săn nó qua nhật ký PowerShell và lưu lượng beacon bất thường. "BloodHound" sai vì đây là công cụ lập đồ thị quan hệ trong Active Directory để tìm đường leo quyền, không phải khung triển khai module hậu khai thác. "Sysinternals" sai vì đó là bộ tiện ích quản trị và chẩn đoán Windows của Microsoft như Process Explorer hay PsExec, không phải framework tấn công. "WMI" sai vì Windows Management Instrumentation là thành phần quản trị có sẵn của Windows; kẻ tấn công có thể lợi dụng nó, nhưng bản thân nó không phải khung mã nguồn mở chứa keylogger hay shell.

Đáp án đúng gồm hai ý: "pwd" và "cat". Meterpreter (payload tương tác của Metasploit chạy trong bộ nhớ máy mục tiêu) cung cấp một số lệnh mô phỏng shell Unix để thao tác hệ tệp, trong đó "pwd" in thư mục làm việc hiện tại và "cat" hiển thị nội dung một tệp, đúng như chức năng của hai lệnh cùng tên trên Linux. "hashdump" là lệnh riêng của Meterpreter dùng để trích xuất các giá trị băm mật khẩu từ cơ sở dữ liệu SAM của Windows, Linux không có lệnh gốc nào như vậy. "clearev" cũng là lệnh riêng của Meterpreter, xóa nhật ký sự kiện (event log) Application, System và Security trên Windows, một hành vi xóa dấu vết mà đội phòng thủ nên giám sát bằng cách chuyển nhật ký sang máy chủ tập trung. "resource" dùng để chạy lần lượt các lệnh ghi sẵn trong một tệp resource script của Metasploit, không phải lệnh chuẩn của shell Linux.

Đáp án đúng gồm ba ý: "PowerSploit", "WinRM" và "Empire". Living off the land (sống nhờ tài nguyên sẵn có) là kiểu hậu khai thác dùng chính các thành phần hợp lệ của Windows như PowerShell, WMI hay dịch vụ quản trị từ xa, nên hoạt động hòa lẫn vào việc quản trị bình thường và khó bị phát hiện. "PowerSploit" là bộ mô-đun PowerShell, "Empire" là khung hậu khai thác chạy tác tử PowerShell, còn "WinRM" là dịch vụ quản trị từ xa có sẵn trong Windows; cả ba đều dựa vào thành phần gốc của hệ điều hành. "Twittor" là công cụ điều khiển và chỉ huy (C2) dùng tin nhắn trực tiếp của Twitter làm kênh liên lạc, tức dựa vào dịch vụ bên ngoài chứ không phải công cụ sẵn có của hệ thống. "Socat" là tiện ích chuyển tiếp dữ liệu giữa hai kênh, phải mang vào máy nạn nhân. "WMImplant" là công cụ PowerShell khai thác WMI, nhưng trong nhóm này nó được xếp như một implant (cấy ghép) do kẻ tấn công đưa vào chứ không phải thành phần quản trị gốc nên không thuộc ba ý được chọn.

Đáp án đúng: "Opens the Task Scheduler". taskschd.msc là snap-in của Microsoft Management Console mở Task Scheduler (bộ lập lịch tác vụ), nơi xem và tạo các tác vụ chạy tự động theo thời gian hoặc theo sự kiện; người kiểm thử lẫn người phòng thủ đều soi nơi này vì tác vụ lập lịch là cơ chế persistence (duy trì truy cập) phổ biến. "Opens the registry editor" sai vì trình sửa registry được mở bằng regedit, không phải taskschd.msc. "Launches PowerShell" sai vì PowerShell khởi chạy bằng powershell.exe hoặc pwsh, là một shell dòng lệnh chứ không phải bảng điều khiển MMC. "Displays user accounts" sai vì quản lý tài khoản cục bộ dùng lusrmgr.msc hoặc lệnh net user; Task Scheduler chỉ cho biết tác vụ chạy dưới tài khoản nào, không phải công cụ quản lý người dùng.

Đáp án đúng: "Web of trust". PGP (Pretty Good Privacy) không dựa vào một tổ chức cấp chứng chỉ trung tâm mà dùng mô hình web of trust (mạng lưới tin cậy): mỗi người dùng tự ký xác nhận khoá công khai của những người mình đã kiểm chứng, và niềm tin lan truyền qua các chữ ký đó, nên nếu bạn tin một người và người đó đã ký khoá của người thứ ba thì bạn có cơ sở tin khoá ấy. "Central authority" mô tả cách tiếp cận của hạ tầng khoá công khai PKI với một CA (Certificate Authority) đứng ra bảo lãnh, đó là mô hình của chứng chỉ X.509 chứ không phải PGP. "Web of users" nghe giống nhưng không phải thuật ngữ mật mã nào; điều quan trọng không phải là có nhiều người dùng mà là các chữ ký tin cậy họ trao cho nhau. "Central trust authority" cũng là một biến thể của mô hình tập trung, trái ngược với tinh thần phi tập trung của PGP.

Đáp án đúng: "biometric controls". Xác thực đa yếu tố (multifactor authentication, MFA) đòi kết hợp ít nhất hai loại yếu tố khác nhau: thứ bạn biết (mật khẩu, mã PIN), thứ bạn có (thẻ, token) và thứ bạn là (đặc điểm sinh trắc); thêm kiểm soát sinh trắc như vân tay, mống mắt vào thẻ ra vào hiện có sẽ tạo thêm một loại yếu tố cho lối vào trung tâm dữ liệu. "access control vestibule" (buồng đệm kiểm soát ra vào, còn gọi mantrap) là biện pháp vật lý chống bám đuôi, giữ người trong khoang giữa hai cửa, tự nó không thêm loại yếu tố xác thực nào. "video surveillance" chỉ ghi hình và giám sát để phát hiện, điều tra sau, không xác thực danh tính người vào. "minimum password requirements" chỉ làm mạnh thêm yếu tố thứ bạn biết; mật khẩu dài hơn vẫn là một yếu tố duy nhất nên không thành đa yếu tố.

Đáp án đúng: "A digital signature cannot be moved from one document to another.". Digital signature (chữ ký số) được tạo bằng cách băm nội dung tài liệu rồi mã hoá giá trị băm đó bằng khoá riêng (private key) của người ký; vì giá trị băm phụ thuộc vào đúng nội dung từng tài liệu, chữ ký của tài liệu này đem gắn sang tài liệu khác sẽ không khớp khi kiểm bằng khoá công khai, nên không thể di chuyển. "Digital signatures are issued once per user, to be used on all documents until they expire." sai vì thứ được cấp cho người dùng và có hạn dùng là chứng chỉ số cùng cặp khoá, còn chữ ký được tạo mới cho từng tài liệu. "A digital signature is a plain hash of the document contents." sai vì một giá trị băm trơn ai cũng tính lại được, không chứng minh được ai đã ký; chữ ký số là giá trị băm đã được ký bằng khoá riêng. "Digitals signatures are issued per file type, allowing each to be used on multiple files until they expire." sai vì chữ ký không gắn với loại tệp và không dùng lại cho nhiều tệp, mỗi tệp có nội dung khác nhau thì chữ ký khác nhau.

Đáp án đúng: "Self-signed". Chứng chỉ tự ký (self-signed certificate) là chứng chỉ do chính chủ thể tạo cặp khóa rồi tự ký lên chứng chỉ của mình, không qua một tổ chức cấp chứng chỉ (CA, certificate authority) bên thứ ba; công cụ như Keychain của macOS cho phép tạo loại này để dùng nội bộ, nơi các máy trong mạng được cấu hình để tin cậy nó. "Public" không phải một loại chứng chỉ mà là tên của khóa công khai trong cặp khóa, hoặc chỉ chứng chỉ do CA công cộng cấp, điều không xảy ra ở đây vì quản trị viên tự tạo mọi thứ. "Private" cũng chỉ là khóa riêng, phần phải giữ bí mật trong cặp khóa, chứ không phải một kiểu chứng chỉ. "Signed" quá chung chung: mọi chứng chỉ đều được ký, điều cần phân biệt là ai ký, và khi người ký chính là người tạo chứng chỉ thì đó là tự ký. Về cơ chế, chữ ký số được tạo bằng khóa riêng và được kiểm chứng bằng khóa công khai tương ứng.

Đáp án đúng: "Participants are likely to tell us what they think we want to hear". Demand characteristics (đặc tính đòi hỏi) là những tín hiệu trong bối cảnh nghiên cứu khiến người tham gia đoán mục đích của buổi thử rồi cư xử hoặc trả lời theo điều họ nghĩ nhà nghiên cứu mong muốn, ví dụ khen thiết kế vì biết người ngồi đối diện là tác giả. Vì vậy cần hỏi trung lập và nói rõ ta đang thử thiết kế chứ không thử họ. "Participants will perform differently when observed than they would if they were on their own" mô tả hiệu ứng bị quan sát (thường gọi là hiệu ứng Hawthorne), có liên quan nhưng là khái niệm khác. "Participants who receive monetary compensation will typically perform better" không phải nội dung của khái niệm này và cũng không phải quy luật chung. "Researchers shouldn’t ask participants to do anything in particular" sai vì kiểm thử vẫn cần giao nhiệm vụ cụ thể; điều cần tránh là gợi ý câu trả lời.

Đáp án đúng: "False". Nghiên cứu hình thành (formative research) diễn ra sớm để hiểu người dùng và vấn đề, hướng dẫn thiết kế đi đúng đường. Phương pháp chính thức như khảo sát quy mô lớn hay nghiên cứu có kế hoạch chặt cho dữ liệu chặt chẽ hơn nhưng tốn thời gian và chi phí; phương pháp không chính thức như trò chuyện nhanh với vài người dùng, quan sát ở quán cà phê hay thử bản phác giấy với đồng nghiệp lại nhanh, rẻ và thường đủ để định hướng. Chọn cách nào phụ thuộc vào câu hỏi nghiên cứu, nguồn lực và mức độ chắc chắn cần có, nên khẳng định "luôn luôn" tốt hơn là sai và đáp án là "False" chứ không phải "True". Ví dụ khi chỉ cần biết sinh viên thường đặt đồ ăn lúc nào, năm cuộc trò chuyện ngắn trong căng tin có thể cho câu trả lời đủ dùng trong một buổi chiều.

Đáp án đúng: "To evaluate how effectively a design helps users accomplish their tasks". User testing (kiểm thử người dùng) cho người dùng thật thực hiện các tác vụ thật trên thiết kế trong khi nhà nghiên cứu quan sát, nhằm đánh giá thiết kế có giúp họ hoàn thành việc cần làm một cách hiệu quả hay không và phát hiện chỗ khiến họ vấp; ví dụ đo xem người dùng có tự đổi được mật khẩu không. "To increase the aesthetic appeal of the product" sai vì vẻ đẹp thị giác có thể được góp ý, nhưng mục tiêu chính là khả năng hoàn thành tác vụ. "To reduce the cost of product development" là lợi ích gián tiếp khi phát hiện lỗi sớm đỡ tốn chi phí sửa về sau, nhưng không phải mục tiêu chính của việc kiểm thử. "To gather marketing data for promotional strategies" sai vì dữ liệu tiếp thị đến từ nghiên cứu thị trường, còn kiểm thử người dùng tập trung vào khả dụng.

Đáp án đúng: "They focus on finding usability issues and improving the design in future iterations". Formative test (kiểm thử hình thành) được làm khi thiết kế còn đang hình thành, thường với ít người tham gia và nguyên mẫu chưa hoàn thiện, nhằm phát hiện vấn đề khả dụng, hiểu nguyên nhân và đưa vào vòng thiết kế tiếp theo. "They are designed to prove the effectiveness of a design" là mục tiêu của summative test (kiểm thử tổng kết), làm khi thiết kế gần xong để chứng minh nó đạt yêu cầu. "They require large sample sizes for statistical analysis" sai vì theo Nielsen, mỗi vòng kiểm thử hình thành chỉ cần khoảng năm người là đã thấy phần lớn vấn đề chính; mẫu lớn chỉ cần cho kiểm thử định lượng. "They measure the performance of a product under controlled conditions" mô tả benchmark test hay summative test, vốn đo chỉ số trong điều kiện chuẩn hoá chứ không nhằm tìm lỗi để sửa.

Đáp án đúng: "Informed Consent". Informed consent (đồng thuận có hiểu biết) là nguyên tắc đạo đức nền tảng khi nghiên cứu trên con người: trước khi tham gia, người tham gia phải được cho biết mục đích nghiên cứu, việc họ sẽ làm, quyền rút lui hoặc từ chối bất kỳ phần nào, và dữ liệu của họ sẽ được dùng ra sao, rồi mới tự nguyện đồng ý, thường bằng phiếu ký. "Usability" là khả dụng của sản phẩm, một thuộc tính được đo trong nghiên cứu chứ không phải nguyên tắc đạo đức. "Perceived usefulness" là mức hữu ích người dùng cảm nhận được, một khái niệm trong mô hình chấp nhận công nghệ. "Acquiescence" là xu hướng người trả lời đồng ý với mọi phát biểu, một dạng thiên lệch trong khảo sát, không phải nguyên tắc bảo vệ người tham gia.

Đáp án đúng: "Interrupting to inform the user as soon as they complete a task". Câu hỏi tìm việc KHÔNG cần thiết khi quan sát buổi kiểm thử người dùng. Người quan sát nên hạn chế can thiệp để hành vi diễn ra tự nhiên; thường người tham gia tự báo khi nghĩ mình đã xong, và việc họ có nhận ra mình hoàn thành hay không cũng là dữ liệu, nên ngắt lời ngay sẽ làm mất thông tin và sai lệch thời gian đo. Ba việc kia là cần thiết nên không được chọn. "Recording the user’s on-screen interactions" giúp xem lại chính xác thao tác. "Capturing audio of the participant’s verbal thoughts" giữ lại lời nghĩ thành lời để hiểu lý do sau mỗi hành động. "Using a log sheet to note the timing of major usability problems" giúp đánh dấu mốc thời gian để tìm lại nhanh các đoạn quan trọng trong bản ghi.

Đáp án đúng: "Obtaining quantified measures of participants subjective reactions to using a system". Post-test questionnaire (bảng hỏi sau kiểm thử) được phát khi người tham gia đã làm xong nhiệm vụ, dùng thang điểm chuẩn để lượng hoá cảm nhận chủ quan như mức độ hài lòng, dễ dùng hay tự tin; ví dụ quen thuộc là thang SUS (System Usability Scale) mười câu. Điểm số giúp so sánh giữa các người tham gia hay giữa các phiên bản thiết kế. "Asking open-ended questions where participants can give any answer that comes to mind" cho câu trả lời tự do khó lượng hoá, phù hợp hơn với phỏng vấn cuối buổi. "Asking follow-up questions to understand why participants gave answers that they did" là việc của debriefing (trao đổi sau buổi test) bằng lời, bảng hỏi giấy không hỏi tiếp được. "Measuring the time it takes participants to complete a task" là số đo hiệu suất khách quan, ghi bằng quan sát trong lúc làm nhiệm vụ chứ không hỏi qua bảng hỏi.

Đáp án đúng: "I, II and III". Câu hỏi về tính năng undo mắc cả ba lỗi. Nó leading (dẫn dắt) vì đưa sẵn một lời giải thích để người tham gia chỉ việc gật đầu. Nó closed-ended (câu hỏi đóng) vì chỉ nhận có hoặc không, chặn mất cơ hội người tham gia tự kể vì sao họ bế tắc. Nó judgmental (phán xét) vì ngầm cho rằng người tham gia thiếu hiểu biết là vấn đề, khiến họ thấy bị đổ lỗi và phòng thủ, trong khi lỗi thường nằm ở thiết kế. Một câu tốt hơn là "Bạn có thể kể chuyện gì đã xảy ra ở bước đó không?". "I and II" thiếu lỗi phán xét, "I and III" thiếu lỗi câu hỏi đóng, còn "II and III" thiếu lỗi dẫn dắt; mỗi phương án đó chỉ nhận ra hai trong ba lỗi có thật nên chưa đầy đủ.