HOD402 - Phần 12: Hệ thống bảo vệ mạng

Đáp án đúng: "RAM". Trên router Cisco, RAM là bộ nhớ khả biến (volatile) chứa running-config (cấu hình đang chạy), bảng định tuyến, bảng ARP và các bộ đệm gói tin; khi mất điện hoặc khởi động lại, toàn bộ nội dung này mất đi nếu chưa được lưu. "NVRAM" là bộ nhớ không khả biến lưu startup-config, tức cấu hình được nạp khi thiết bị khởi động, không giữ cấu hình đang chạy hay bộ đệm. "ROM" chứa phần mềm khởi động cơ bản như POST (tự kiểm tra phần cứng), bootstrap và ROMMON dùng để chẩn đoán và khôi phục. "Flash memory" lưu ảnh hệ điều hành IOS và có thể chứa thêm tệp khác, nhưng không phải nơi giữ bảng định tuyến trong lúc vận hành. Hiểu sự phân chia này giúp người kiểm thử và quản trị viên biết thay đổi cấu hình nào sẽ mất sau khi khởi động lại và thông tin nhạy cảm nằm ở đâu.

Đáp án đúng gồm hai ý: "Manually open ports that are required for specific applications." và "Allow a different software firewall to control access.". Windows Firewall (tường lửa tích hợp của Windows) cho phép tạo ngoại lệ, tức mở thủ công các cổng mà một ứng dụng cụ thể cần để nhận kết nối, và cho phép nhường quyền kiểm soát truy cập cho một phần mềm tường lửa khác do bên thứ ba cài đặt, khi đó Windows Firewall tự tắt để tránh xung đột. "Turn on port screening." sai vì Windows Firewall không có chức năng nào mang tên như vậy. "Enable MAC address authentication." sai vì xác thực theo địa chỉ MAC thuộc thiết bị mạng như switch hay điểm truy cập không dây, không phải tuỳ chọn của tường lửa máy trạm. "Perform a rollback." sai vì khôi phục về trạng thái cũ là việc của System Restore hay khôi phục driver, không phải thao tác cấu hình tường lửa.

Đáp án đúng: "A passive IDS does not impact network performance, but it cannot take immediate action to prevent threats.". IDS thụ động (passive IDS) nhận bản sao lưu lượng qua cổng SPAN hoặc TAP, đứng ngoài đường đi của gói tin (out-of-band), nên không làm chậm hay gián đoạn mạng; đổi lại nó chỉ phát hiện và cảnh báo, không chặn được gói tin độc hại theo thời gian thực như IPS đặt nội tuyến (inline). "A passive IDS can disrupt legitimate network traffic, but it provides real-time threat mitigation." mô tả đúng hơn cho IPS nội tuyến: chặn nhầm thì làm gián đoạn lưu lượng hợp lệ, còn khả năng giảm thiểu tức thời cũng là của IPS. "A passive IDS can automatically reconfigure firewalls, but it requires more computational resources than an active IDS." sai vì tự cấu hình lại tường lửa là phản ứng chủ động, đặc trưng của hệ thống chủ động chứ không phải thụ động, và không có cơ sở nói loại thụ động tốn tài nguyên hơn. "A passive IDS can perform deep packet inspection, but it is more likely to generate false positives compared to an active IDS." có vế đầu đúng nhưng vế sau không gắn với tính thụ động: tỉ lệ dương tính giả phụ thuộc vào chữ ký và cách tinh chỉnh, không phụ thuộc việc thiết bị có chặn hay không.

Đáp án đúng: "ROM". Trên router Cisco, ROM chứa chương trình POST, bootstrap và ROMmon (ROM monitor), có dòng máy còn kèm một bản IOS rút gọn; khi bộ nhớ flash nơi lưu ảnh IOS bị hỏng, bootstrap không tìm được IOS hợp lệ và router rơi về ROMmon trong ROM để quản trị viên nạp lại ảnh IOS, ví dụ qua TFTP. "NVRAM" là bộ nhớ không mất dữ liệu khi tắt nguồn nhưng chỉ lưu tệp cấu hình khởi động startup-config và thanh ghi cấu hình, không chứa mã khởi động. "RAM" mất sạch dữ liệu khi tắt máy; nó giữ running-config, bảng định tuyến và IOS đang chạy sau khi đã được nạp, chứ không phải nguồn để khởi động. "CD-ROM" không phải thành phần của router Cisco nên không thể là nơi khởi động.

Đáp án đúng: "1 - d, 2 - c, 3 - b, 4 - a". False negative (âm tính giả) là hoạt động độc hại mà thiết bị an ninh không phát hiện, ứng với mô tả d; true negative (âm tính thật) là khi IDS coi một hoạt động là hợp lệ và nó đúng là hợp lệ, ứng với mô tả c; false positive (dương tính giả) là cảnh báo bật lên dù không có tấn công, ứng với mô tả b; true positive (dương tính thật) là nhận diện thành công một cuộc tấn công thật, ứng với mô tả a. "1 - a, 2 - b, 3 - c, 4 - d" ghép theo thứ tự xuất hiện, đặt false negative vào mô tả phát hiện thành công, trái hẳn nghĩa. "1 - b, 2 - c, 3 - d, 4 - b" dùng một mô tả hai lần và gán true positive cho cảnh báo nhầm. "1 - a, 2 - c, 3 - b, 4 - d" đúng ở hai cặp giữa nhưng tráo false negative với true positive.

Đáp án đúng: "Three-leg perimeter configuration". Cấu hình ba chân (three-leg hay three-legged) dùng một tường lửa duy nhất có ba giao diện: một nối mạng ngoài (Internet), một nối mạng nội bộ và một nối vùng DMZ chứa các máy chủ công khai như web, mail; tường lửa áp chính sách riêng cho lưu lượng giữa từng cặp vùng. Ưu điểm là rẻ và gọn, nhược điểm là tường lửa trở thành điểm lỗi duy nhất. "Back-to-back configuration" dùng hai tường lửa đặt nối tiếp, DMZ nằm giữa tường lửa ngoài và tường lửa trong, nên không phải một tường lửa ba giao diện. "Basic configuration" chỉ cách bố trí đơn giản nhất với một tường lửa đứng giữa mạng nội bộ và Internet, không dành giao diện riêng cho vùng DMZ. "Perimeter configuration" là cách gọi chung việc đặt thiết bị bảo vệ ở biên mạng, không nói rõ số tường lửa hay số giao diện nên không đặc trưng cho mô hình được hỏi.

Đáp án đúng: "NIDS". NIDS (Network Intrusion Detection System, hệ thống phát hiện xâm nhập mạng) theo dõi lưu lượng, so khớp chữ ký hoặc phát hiện bất thường rồi chỉ sinh cảnh báo gửi quản trị viên, không tự chặn gói tin; đó đúng là thiết bị phát hiện rồi báo cáo. "NIPS" sai vì hệ thống ngăn chặn xâm nhập mạng đặt trên đường đi của lưu lượng và chủ động chặn hay huỷ gói độc hại, không chỉ báo cáo. "Internet content filter" sai vì bộ lọc nội dung chặn truy cập trang web hay nội dung bị cấm theo chính sách, không phải công cụ phát hiện hoạt động độc hại. "NAT server" sai vì máy chủ NAT chỉ chuyển đổi địa chỉ IP nội bộ sang địa chỉ công cộng, không phân tích lưu lượng để tìm tấn công.

Đáp án đúng: "Circuit-level gateway". Circuit-level gateway (cổng mức mạch) hoạt động ở tầng Session của mô hình OSI: nó kiểm tra quá trình bắt tay thiết lập phiên, chẳng hạn TCP handshake, và khi phiên hợp lệ thì cho các gói tin chảy giữa hai máy mà không soi tiếp nội dung từng gói; SOCKS là ví dụ điển hình. "Proxy server" sai vì máy chủ proxy ứng dụng đứng thay mặt máy khách và thường xử lý ở tầng Application, đọc nội dung yêu cầu. "Application firewall" sai vì tường lửa ứng dụng kiểm tra sâu nội dung từng yêu cầu ở tầng 7, trái với việc không kiểm tra thêm. "NAT filtering" sai vì lọc NAT dựa trên bảng chuyển đổi địa chỉ ở tầng Network và Transport, chỉ cho lưu lượng trả về khớp với kết nối đã đi ra, không phải cơ chế thiết lập phiên ở tầng Session.

Đáp án đúng: "true negatives". Kết quả của IDS được phân thành bốn loại theo hai câu hỏi: thiết bị có cảnh báo hay không (positive hay negative) và nhận định đó có khớp với thực tế không (true hay false). Khi hoạt động thực sự hợp lệ và IDS cũng coi là hợp lệ, không cảnh báo, đó là true negative (âm tính thật), trạng thái mong muốn cho lưu lượng bình thường. "false positives" sai vì dương tính giả là khi IDS báo động nhầm trên hoạt động vô hại, gây nhiễu cảnh báo cho đội vận hành. "false negatives" sai vì âm tính giả là khi hoạt động độc hại lọt qua mà IDS không phát hiện, loại nguy hiểm nhất. "true positives" sai vì dương tính thật là khi IDS cảnh báo đúng một hoạt động thực sự độc hại, còn ở đây hoạt động là hợp lệ.

Đáp án đúng gồm ba ý: "assets that need protection", "vulnerabilities in the system" và "threats to assets". Phòng thủ theo chiều sâu (defense-in-depth) xếp nhiều lớp kiểm soát chồng lên nhau, và việc thiết kế các lớp đó bắt đầu từ đánh giá rủi ro: xác định tài sản cần bảo vệ, lỗ hổng mà hệ thống đang có và mối đe doạ có thể khai thác lỗ hổng để gây hại cho tài sản; rủi ro chính là chỗ giao của ba yếu tố này. "total number of devices that attach to the wired and wireless network" là thông tin kiểm kê hữu ích nhưng chỉ là một con số, không cho biết thiết bị nào quan trọng hay yếu ở đâu. "location of attacker or attackers" thường không thể biết trước và kẻ tấn công có thể ở bất cứ đâu, nên không phải yếu tố nền để dựng lớp phòng thủ. "past security breaches" là bài học tham khảo có giá trị khi đánh giá mối đe doạ, nhưng tự nó không phải một trong ba yếu tố cần xác định.

Đáp án đúng: "Extended IP access lists are identified by numbers ranging from 100 to 199 and 2000 to 2699.". Trên thiết bị Cisco, danh sách kiểm soát truy cập mở rộng (extended ACL) được đánh số 100 đến 199 và dải mở rộng 2000 đến 2699, phân biệt với ACL chuẩn dùng 1 đến 99 và 1300 đến 1999; ACL mở rộng lọc theo địa chỉ nguồn, địa chỉ đích, giao thức và cổng. "Extended IP access lists can only filter traffic based on source IP addresses." sai vì chỉ lọc theo địa chỉ nguồn là đặc điểm của ACL chuẩn. "Extended IP access lists must be applied only to inbound traffic." sai vì ACL có thể áp dụng theo chiều vào hoặc chiều ra trên một cổng giao tiếp; ACL mở rộng thường đặt gần nguồn nhưng không bị giới hạn chiều. "Extended IP access lists cannot filter traffic based on protocol types." sai vì lọc theo giao thức như TCP, UDP, ICMP chính là khả năng đặc trưng của ACL mở rộng.

Đáp án đúng: "VPN". VPN (Virtual Private Network, mạng riêng ảo) tạo một đường hầm mã hoá qua Internet giữa hai mạng, nên hai công ty có thể kết nối site-to-site một cách tạm thời và an toàn, rồi gỡ bỏ khi hết nhu cầu mà không phải kéo đường truyền riêng. "HTTP" sai vì đây là giao thức truyền tải trang web ở tầng ứng dụng, không nối hai mạng với nhau và còn không mã hoá. "DHCP" sai vì giao thức cấp phát địa chỉ IP tự động chỉ phục vụ máy trong cùng một mạng, không liên kết mạng của hai tổ chức. "Passive router" sai vì không có loại thiết bị nào như vậy giúp nối an toàn hai mạng; bộ định tuyến phải chủ động chuyển tiếp gói, và định tuyến trơn qua Internet cũng không bảo vệ dữ liệu như VPN.

Đáp án đúng: "true positives". Dương tính thật (true positive) là khi thiết bị như IDS cảnh báo và thực sự có cuộc tấn công, tức nhận diện thành công một sự kiện độc hại. "false negatives" (âm tính giả) là có tấn công nhưng không bị phát hiện, trường hợp nguy hiểm nhất vì tổ chức không biết mình bị xâm nhập. "false positives" (dương tính giả) là bật cảnh báo dù không có hoạt động độc hại, gây tốn công điều tra và mệt mỏi vì cảnh báo. "true negatives" (âm tính thật) là hoạt động hợp lệ được nhận đúng là hợp lệ, không có cảnh báo vì không có tấn công. Cách nhớ: chữ true hay false cho biết nhận định của thiết bị đúng hay sai, còn chữ positive hay negative cho biết thiết bị có bật cảnh báo hay không.

Đáp án đúng gồm hai ý: "Both are deployed as sensors." và "Both use signatures to detect malicious traffic.". IDS (hệ thống phát hiện xâm nhập) và IPS (hệ thống ngăn chặn xâm nhập) đều được triển khai dưới dạng cảm biến (sensor), thiết bị hoặc phần mềm đặt tại điểm then chốt của mạng, và đều dùng chữ ký (signature) cùng phương pháp phát hiện bất thường để nhận diện lưu lượng độc hại. "Both have minimal impact on network performance." không được chọn vì chỉ IDS hoạt động ngoài luồng nên ít ảnh hưởng, còn IPS đặt nội tuyến (inline) và phân tích từng gói nên có thể gây trễ. "Both analyze copies of network traffic." không được chọn vì chỉ IDS phân tích bản sao lấy qua cổng SPAN hoặc TAP, còn IPS xử lý chính lưu lượng thật đi qua nó. "Both rely on an additional network device to respond to malicious traffic." không được chọn vì chỉ IDS cần thiết bị khác như tường lửa hay router để chặn, còn IPS tự loại bỏ gói độc hại ngay lập tức.

Đáp án đúng: "Host-based IDS". HIDS (IDS dựa trên máy chủ) là tác tử phần mềm cài trên từng máy, đọc nhật ký hệ thống, theo dõi tiến trình, tệp quan trọng và lời gọi hệ thống, nên xác nhận được tấn công thành công hay thất bại trên chính máy đó, thấy được tấn công qua lưu lượng mã hoá hoặc diễn ra cục bộ mà IDS mạng bỏ sót, phản ứng gần thời gian thực và không cần mua thêm phần cứng, khớp mọi yêu cầu của Tremp. "Open source-based IDS" sai vì mã nguồn mở là mô hình cấp phép, không phải kiểu kiến trúc IDS; có cả IDS máy chủ lẫn IDS mạng mã nguồn mở. "Network-based IDS" sai vì IDS mạng phân tích lưu lượng trên đường truyền, thường cần cảm biến hoặc cổng SPAN riêng, không giám sát được hoạt động bên trong máy và khó xác nhận tấn công có thành công không. "Gateway-based IDS" sai vì IDS đặt ở cổng ra vào mạng vẫn là giám sát mạng, cần thiết bị chuyên dụng và chỉ thấy lưu lượng đi qua biên.

Đáp án đúng: "Stateful packet inspection". Kiểm tra gói có trạng thái (stateful packet inspection) lưu một bảng trạng thái kết nối, ghi lại địa chỉ, cổng và trạng thái phiên của mỗi cuộc hội thoại khởi tạo từ bên trong; khi gói trả về tới, tường lửa đối chiếu bảng này để chỉ cho phép phản hồi thuộc phiên hợp lệ. "Stateless packet inspection" xét từng gói độc lập theo luật tĩnh về địa chỉ, cổng và giao thức, không nhớ phiên nên không biết gói nào là phản hồi. "NAT filtering" là lọc gắn với việc dịch địa chỉ mạng; NAT có bảng ánh xạ địa chỉ nhưng mục đích chính là chuyển đổi địa chỉ chứ không phải theo dõi hội thoại để ra quyết định an ninh. "Application-level gateway" là proxy tầng ứng dụng, kiểm tra nội dung của giao thức cụ thể như HTTP hay FTP, đây không phải công nghệ theo dõi phiên mà câu hỏi mô tả.

Đáp án đúng: "Extranet". Extranet là phần mạng riêng được mở có kiểm soát cho đối tác, nhà cung cấp hoặc khách hàng bên ngoài, tức một mạng nối với mạng nội bộ của công ty khác để hai bên chia sẻ tài nguyên; truy cập được giới hạn bằng xác thực, VPN và phân quyền. "Intranet" là mạng nội bộ riêng của chính tổ chức, chỉ nhân viên trong tổ chức sử dụng, không phải mạng dành cho công ty khác. "Internet" là mạng công cộng toàn cầu, không thuộc riêng một công ty nào. "DMZ" (vùng phi quân sự) là phân đoạn đệm giữa mạng nội bộ và Internet, nơi đặt các máy chủ phục vụ công chúng như web hay mail; nó có thể được dùng để phục vụ đối tác nhưng bản chất là vùng cách ly của chính mình, không phải mạng nội bộ của công ty khác.

Đáp án đúng: "Security Information and Event Management (SIEM)". SIEM (quản lý thông tin và sự kiện an ninh) thu thập nhật ký và cảnh báo từ nhiều nguồn như tường lửa, máy chủ, IDS, máy trạm, chuẩn hoá rồi tương quan (correlation) chúng để phát hiện sự cố và phục vụ phân tích an ninh tập trung; Splunk hay IBM QRadar là ví dụ quen thuộc. "Log Management System (LMS)" sai vì hệ thống quản lý nhật ký chủ yếu thu thập, lưu trữ và tìm kiếm log, thiếu phần tương quan sự kiện và cảnh báo an ninh mà câu hỏi nhấn mạnh. "Network-based IPS" sai vì IPS mạng tự phân tích lưu lượng tại một điểm và chặn tấn công, nó là nguồn sinh cảnh báo chứ không gom log từ nhiều thiết bị. "Honeypot" sai vì hũ mật (honeypot) là hệ thống mồi nhử để dụ và quan sát kẻ tấn công, không phải công cụ tổng hợp nhật ký.

Đáp án đúng: "false negatives". Âm tính giả (false negative) là khi hoạt động thực sự độc hại diễn ra nhưng IDS, IPS hay tường lửa không cảnh báo, nên cuộc tấn công lọt qua mà không ai biết; đây là loại kết quả nguy hiểm nhất và thường do chữ ký lỗi thời, lưu lượng mã hoá hoặc kỹ thuật lẩn tránh. "false positives" sai vì dương tính giả là cảnh báo nhầm trên hoạt động vô hại, tức ngược lại: thiết bị có phản ứng dù không có tấn công. "true negatives" sai vì âm tính thật là lưu lượng hợp lệ được nhận định đúng là hợp lệ, không có gì độc hại ở đó. "true positives" sai vì dương tính thật là hoạt động độc hại đã bị phát hiện đúng và cảnh báo, trái với tình huống không bị phát hiện mà câu hỏi mô tả.