HOD402 - Phần 1: Kiểm thử xâm nhập có phương pháp

Đáp án đúng: "Tester has no prior knowledge of the system". Kiểm thử hộp đen (black box, còn gọi là unknown-environment testing) là kiểu kiểm thử mà người kiểm thử không được cung cấp thông tin trước về hệ thống mục tiêu, phải tự trinh sát từ đầu như một kẻ tấn công bên ngoài; ưu điểm là sát với thực tế, nhược điểm là tốn thời gian và dễ bỏ sót. "Tester has full knowledge of the system" mô tả kiểm thử hộp trắng (white box, known-environment), nơi người kiểm thử có sơ đồ mạng, mã nguồn và tài liệu. "Tester receives only user credentials" gần với kiểm thử hộp xám (gray box, partially known environment), khi người kiểm thử được cung cấp một phần thông tin như tài khoản người dùng thường. "Tester performs only social engineering" mô tả phạm vi theo loại kỹ thuật, tức một đợt kiểm thử kỹ nghệ xã hội, chứ không phải định nghĩa theo mức hiểu biết về hệ thống.

Đáp án đúng: "organized crime". Organized crime (tội phạm có tổ chức) là các nhóm có nguồn tiền dồi dào, có tổ chức và động cơ chính là lợi nhuận tài chính, nên sẵn sàng đầu tư vào kỹ thuật tấn công mới như ransomware hay gian lận ngân hàng. "hacktivist" sai vì hacktivist (tin tặc hoạt động vì lý tưởng) tấn công để quảng bá quan điểm chính trị hay xã hội, không vì tiền. "state-sponsored attacker" sai vì kẻ tấn công được nhà nước bảo trợ cũng giàu nguồn lực và dùng kỹ thuật tiên tiến, nhưng mục tiêu là tình báo, phá hoại hay lợi ích quốc gia chứ không phải lợi nhuận. "insider threat" sai vì mối đe doạ nội bộ là nhân viên hay đối tác đã có sẵn quyền truy cập, thường hành động đơn lẻ, không phải một nhóm được cấp vốn từ bên ngoài.

Đáp án đúng: "To identify potential paths of compromise before attackers do". Kiểm thử xâm nhập (penetration test) là hoạt động được ủy quyền, mô phỏng cách kẻ tấn công thật hành động để tìm ra và chứng minh những con đường có thể dẫn tới xâm phạm hệ thống, từ đó tổ chức khắc phục trước khi kẻ xấu khai thác. "To replace outdated firewalls" là một biện pháp khắc phục có thể xuất hiện trong khuyến nghị của báo cáo, không phải mục tiêu của bài kiểm thử. "To demonstrate technical skills" sai vì kiểm thử phục vụ nhu cầu bảo mật của khách hàng, không nhằm để người kiểm thử phô diễn tay nghề. "To recover from system crashes" thuộc phạm vi khôi phục sau sự cố và kế hoạch liên tục kinh doanh (disaster recovery, business continuity), không phải kiểm thử xâm nhập.

Đáp án đúng gồm ba ý: "IPS devices", "switches" và "AAA servers". Kiểm thử hạ tầng mạng (network infrastructure test) nhắm vào các thành phần tạo nên và bảo vệ mạng: thiết bị chuyển mạch, định tuyến, tường lửa, thiết bị IPS (hệ thống ngăn chặn xâm nhập) và máy chủ AAA (xác thực, cấp quyền, kế toán, như RADIUS hay TACACS+), nhằm tìm cấu hình sai, VLAN hopping, giao thức quản trị không mã hoá hay khả năng vượt qua kiểm soát. "virtual machines (VM) that are running in the cloud" không được chọn vì máy ảo trên đám mây thuộc phạm vi kiểm thử đám mây (cloud penetration test), gắn với mô hình trách nhiệm chia sẻ và cần phép của nhà cung cấp. "the digital storefront" không được chọn vì cửa hàng trực tuyến là ứng dụng web, thuộc kiểm thử ứng dụng (application-based test) với các lỗi như chèn SQL hay XSS.

Đáp án đúng: "Open Web Application Security Project (OWASP)". OWASP là cộng đồng phi lợi nhuận quốc tế chuyên về bảo mật ứng dụng web: họ đào tạo người làm nghề, xây công cụ mã nguồn mở như OWASP ZAP và phổ biến thực hành tốt qua các tài liệu như OWASP Top 10 hay Testing Guide, đúng với mô tả. "Common Vulnerabilities and Exposures (CVE)" không phải tổ chức mà là danh mục định danh lỗ hổng đã công bố do MITRE duy trì, mỗi lỗ hổng một mã CVE. "Institution of Electrical and Electronics Engineering (IEEE)" là hiệp hội kỹ thuật điện và điện tử, nổi tiếng với các chuẩn như 802.11, không chuyên riêng về bảo mật web. "SysAdmin, Audit, Network and Security (The SANS Institute)" là tổ chức đào tạo và cấp chứng chỉ an ninh mạng nói chung, rất uy tín nhưng phạm vi rộng chứ không dành riêng cho ứng dụng web và hạ tầng phía sau như OWASP.

Đáp án đúng: "a full backup of the system". Khi không thể dựng bản ảo hóa để kiểm thử an toàn, người kiểm thử phải làm việc trực tiếp trên hệ thống thật, nên biện pháp phòng ngừa cần có trước tiên là sao lưu toàn bộ để có thể khôi phục nếu bài kiểm thử làm hỏng dữ liệu hay dịch vụ. "rebuild the system after any test is performed" tốn kém và không cần thiết khi đã có bản sao lưu, đồng thời không bảo vệ được dữ liệu nếu chưa sao lưu trước đó. "adopt penetration test tools that will certainly not damage the system" không khả thi vì không công cụ nào bảo đảm chắc chắn không gây ảnh hưởng tới hệ thống đang chạy. "a complete report with recommended repairs" là sản phẩm của giai đoạn cuối, đến sau khi kiểm thử xong, không phải bước chuẩn bị để giảm rủi ro khi kiểm thử.

Đáp án đúng: "Tools and techniques". Mọi công cụ và kỹ thuật kiểm thử, nhất là công cụ khai thác, script tự viết hay mã lấy từ Internet, cần được chạy thử trong phòng lab trước để hiểu chính xác chúng làm gì, có gây treo dịch vụ, mất dữ liệu hay chứa mã độc ẩn hay không; chạy thẳng trên mạng khách hàng có thể gây sự cố ngoài phạm vi đã thỏa thuận. "Documentation standards" là chuẩn trình bày tài liệu, báo cáo, không phải thứ đem ra chạy trên mạng khách hàng. "Antivirus software" là phần mềm phòng thủ của bên được kiểm thử, không phải thứ người kiểm thử chạy nhắm vào mạng khách hàng. "Employee awareness" là nhận thức an ninh của nhân viên, có thể được đánh giá qua kiểm thử social engineering nhưng không phải thứ đem thử trong lab.

Đáp án đúng: "reward security professionals for finding vulnerabilities in the systems of the company". Chương trình bug bounty (săn lỗi có thưởng) là cam kết công khai của doanh nghiệp: nhà nghiên cứu bảo mật được phép thử nghiệm trong phạm vi và luật lệ đã công bố, báo cáo lỗ hổng tìm được qua kênh chính thức và nhận tiền thưởng theo mức nghiêm trọng, còn việc vá vẫn do đội phát triển của doanh nghiệp đảm nhận. "reward security professionals for discovering malicious activities by attackers in the systems of the company" sai vì phát hiện hoạt động của kẻ tấn công đang diễn ra là việc của threat hunting (săn mối đe doạ) và đội SOC. "reward security professionals for fixing vulnerabilities in the systems of the company" sai vì người săn lỗi chỉ tìm và báo cáo, họ không có quyền sửa hệ thống của doanh nghiệp. "reward security professionals for breaking into a corporate facility to expose weaknesses in the physical perimeter" sai vì đột nhập cơ sở vật lý thuộc kiểm thử an ninh vật lý theo hợp đồng riêng, và hầu hết chương trình bug bounty loại hẳn tấn công vật lý cũng như kỹ thuật xã hội khỏi phạm vi.

Đáp án đúng: "Kali Linux". Kali Linux là bản phân phối Linux dựa trên Debian do Offensive Security duy trì, được xây dựng riêng cho kiểm thử xâm nhập và điều tra số, cài sẵn hàng trăm công cụ như Nmap, Metasploit, Burp Suite, Wireshark, nên thường được dùng làm môi trường thực hành của người học pentest. "Ubuntu" sai vì đây là bản phân phối đa dụng cho máy bàn và máy chủ, có thể cài thêm công cụ bảo mật nhưng không được thiết kế cho mục đích này. "Fedora" sai vì Fedora là bản phân phối cộng đồng do Red Hat bảo trợ, hướng tới công nghệ mới cho người dùng chung. "Red Hat" sai vì Red Hat Enterprise Linux là hệ điều hành thương mại cho máy chủ doanh nghiệp, ưu tiên ổn định và hỗ trợ, không phải nền tảng thực hành kiểm thử xâm nhập.

Đáp án đúng: "The test is a hybrid approach between unknown and known environment tests.". Partially known environment test (kiểm thử môi trường biết một phần, trước gọi là gray box) là cách lai giữa unknown environment (black box, không biết gì) và known environment (white box, biết đầy đủ): người kiểm thử được cung cấp một phần thông tin như tài khoản thử hay sơ đồ sơ lược, để vừa tiết kiệm thời gian trinh sát vừa vẫn mô phỏng góc nhìn của kẻ tấn công. Ý "The tester must test the electrical grid supporting the infrastructure" không phải đặc điểm của mức hiểu biết nào; hạ tầng điện thường nằm ngoài phạm vi kiểm thử. Ý "The tester is provided with a list of domain names and IP addresses in the scope" chỉ là thông tin phạm vi, có thể xuất hiện ở bất kỳ kiểu kiểm thử nào nên không định nghĩa được partially known. Ý "The tester should not have prior knowledge of the organization" chính là định nghĩa của unknown environment test.

Đáp án đúng: "Intent". Hacker có đạo đức (ethical hacker) và kẻ tấn công có thể dùng cùng công cụ, cùng kỹ thuật và cùng hệ điều hành; điều phân biệt họ là ý định: hacker có đạo đức hành động khi có sự cho phép bằng văn bản của chủ hệ thống, trong phạm vi đã thỏa thuận và nhằm tìm, báo cáo lỗ hổng để khắc phục, còn kẻ tấn công nhắm tới trục lợi hay phá hoại. "Tools used" không phải điểm khác biệt vì Nmap, Metasploit hay Burp Suite được cả hai bên sử dụng. "Technical skills" không phân biệt được vì cả hai có thể giỏi ngang nhau, kỹ năng không nói lên mục đích. "Operating systems used" cũng vậy, Kali Linux hay Windows đều được cả người kiểm thử hợp pháp lẫn kẻ tấn công dùng.

Đáp án đúng: "You must download and import or run the Kali VM file in VirtualBox or UTM.". VirtualBox và UTM chỉ là trình ảo hoá (hypervisor), cài xong thì chưa có máy ảo nào; muốn có Kali phải tải gói máy ảo dựng sẵn hoặc ảnh cài đặt từ trang chính thức, rồi nhập (import) hay mở nó trong trình ảo hoá thì máy ảo mới xuất hiện để khởi động. "You need to update the install files to the latest version." không giải quyết được vì dù là bản mới nhất thì trình ảo hoá vẫn trống. "There may be an issue with the installation. Remove and reinstall VirtualBox or UTM." sai vì ứng dụng mở lên bình thường nghĩa là cài đặt không lỗi; cài lại cũng chỉ cho ra một trình ảo hoá trống như cũ. "You must use VirtualBox or UTM to browse to the virtual machine on the kali.org website." nhầm vai trò: trình ảo hoá không phải trình duyệt, việc tải tệp Kali làm bằng trình duyệt web, còn VirtualBox hay UTM chỉ dùng để nhập và chạy tệp đó.

Đáp án đúng gồm hai ý: "Maintaining access" và "Vulnerability identification". ISSAF (Information Systems Security Assessment Framework) chia việc đánh giá thành lập kế hoạch, giai đoạn đánh giá và giai đoạn kết thúc; trong giai đoạn đánh giá có các bước như thu thập thông tin, lập bản đồ mạng, xác định lỗ hổng, xâm nhập, leo thang đặc quyền, duy trì truy cập và xóa dấu vết. "Pre-engagement interactions" là tên giai đoạn đầu của PTES (Penetration Testing Execution Standard), không phải thuật ngữ của ISSAF. "Post-exploitation" cũng là tên một giai đoạn của PTES; ISSAF không dùng tên này mà tách thành leo thang, duy trì truy cập và xóa dấu vết. "Reporting" là tên giai đoạn cuối của PTES; trong ISSAF việc báo cáo được gộp với dọn dẹp và hủy tạo vật ở giai đoạn kết thúc, không đứng thành một bước đánh giá như hai ý được chọn.

Đáp án đúng: "An attack perpetrated by governments worldwide to disrupt or steal information from other nations.". Tấn công do nhà nước bảo trợ (state-sponsored) là tấn công do chính phủ hoặc nhóm được chính phủ hậu thuẫn thực hiện nhằm gián điệp, phá hoại hay đánh cắp thông tin của quốc gia khác; nhóm này có nguồn lực lớn, kiên trì và thường được xếp vào APT (advanced persistent threat, mối đe dọa dai dẳng nâng cao). Mô tả "well-funded and motivated group that will typically use the latest attack techniques for financial gain" là tội phạm có tổ chức (organized crime), động cơ chính là tiền. Mô tả "An attack perpetrated by disgruntled employees inside an organization." là mối đe dọa nội bộ (insider threat) từ nhân viên bất mãn, nguy hiểm vì họ có sẵn quyền truy cập. Mô tả "steal sensitive data and then reveal it to the public to embarrass" là hành vi của hacktivist (tin tặc hoạt động vì lý tưởng), đánh cắp rồi công bố dữ liệu để gây bẽ mặt hoặc thiệt hại cho mục tiêu.

Đáp án đúng: "Kali Linux". Kali Linux là bản phân phối kiểm thử xâm nhập dựa trên Debian GNU/Linux, kế thừa dòng phát triển từ WHoppiX, WHAX rồi BackTrack; khi BackTrack được viết lại trên nền Debian thì dự án đổi tên thành Kali. "Parrot OS" sai vì Parrot cũng dựa trên Debian và hướng tới bảo mật, nhưng là dự án riêng của Parrot Security, không có nguồn gốc từ BackTrack. "BlackArch Linux" sai vì BlackArch dựa trên Arch Linux chứ không phải Debian, và cũng không phát triển từ BackTrack. "Security Onion" sai vì đây là bản phân phối cho phía phòng thủ, chuyên giám sát an ninh mạng, săn mối đe doạ và quản lý log, không phải hậu duệ của BackTrack và không nhằm kiểm thử xâm nhập.