HOD402 - Phần 2: Lập phạm vi và đạo đức kiểm thử

Đáp án đúng: "Rules of engagement". Rules of engagement (quy tắc tham gia) là tài liệu xác định cách thức và điều kiện tiến hành kiểm thử xâm nhập: khung thời gian được phép, địa điểm, kỹ thuật được dùng và bị cấm, cách xử lý dữ liệu nhạy cảm, đầu mối liên lạc và cách leo thang khi phát hiện sự cố. "NDA" (non-disclosure agreement, thỏa thuận không tiết lộ) ràng buộc nghĩa vụ giữ bí mật thông tin giữa các bên, cần thiết nhưng không quy định điều kiện thực hiện kiểm thử. "Risk report" là báo cáo đánh giá rủi ro, thường là đầu vào hoặc đầu ra của quá trình đánh giá, không đặt ra luật chơi cho đợt kiểm thử. "Target matrix" (ma trận mục tiêu) liệt kê các hệ thống, tài sản cần kiểm thử cùng thông tin liên quan để tổ chức công việc, chứ không định nghĩa các điều kiện mà đợt kiểm thử phải tuân theo.

Đáp án đúng: "ineffective identification of what technical and nontechnical elements will be required for the penetration test". Scope creep (phình phạm vi) là khi công việc bị kéo rộng dần vượt ra ngoài thoả thuận ban đầu; nguyên nhân gốc thường là ngay từ khâu xác định phạm vi đã không liệt kê rõ các thành phần kỹ thuật và phi kỹ thuật cần kiểm, nên giữa chừng khách hàng liên tục bổ sung yêu cầu. "lack of up-to-date testing tools" sai vì công cụ lỗi thời làm giảm chất lượng kết quả chứ không làm phạm vi phình ra. "lack of system and network architectural diagrams" sai vì thiếu sơ đồ kiến trúc gây khó khăn khi lập kế hoạch, nhưng không tự nó thêm hạng mục mới vào hợp đồng. "poor formatted request for proposal (RFP) by the company" sai vì RFP (hồ sơ mời chào giá) trình bày kém chỉ là vấn đề hình thức của văn bản; điều quyết định scope creep là các thành phần cần kiểm có được xác định đầy đủ hay không.

Đáp án đúng gồm ba ý: "costs and payment details", "the project timeline" và "the scope of the work". Thỏa thuận kiểm thử xâm nhập (penetration testing agreement, thường ở dạng hợp đồng hoặc statement of work) được ký trước khi bắt đầu, xác định phạm vi công việc (hệ thống nào được kiểm thử, kỹ thuật nào được phép), mốc thời gian thực hiện và chi phí cùng điều khoản thanh toán, để hai bên có căn cứ pháp lý và tránh tranh chấp. "the names of all personnel involved in the test" sai vì thỏa thuận thường nêu đầu mối liên lạc và vai trò, không bắt buộc liệt kê tên tất cả những người tham gia. "a list of vulnerabilities that were discovered" sai vì lỗ hổng chỉ được tìm ra sau khi kiểm thử, nên danh sách này nằm trong báo cáo cuối chứ không thể có trong thỏa thuận ký từ trước.

Đáp án đúng: "health plan". Theo HIPAA, luật bảo vệ dữ liệu y tế của Mỹ, có ba loại covered entity (đơn vị chịu điều chỉnh): health plan, healthcare provider và healthcare clearinghouse. Health plan (chương trình bảo hiểm y tế) là đơn vị chi trả cho dịch vụ y tế, như công ty bảo hiểm sức khoẻ hay chương trình bảo hiểm của nhà nước, nên đúng với định nghĩa trong câu hỏi. "healthcare provider" là bên cung cấp dịch vụ chăm sóc như bệnh viện, phòng khám, bác sĩ, tức bên nhận tiền chứ không trả tiền. "business associates" là đối tác xử lý dữ liệu sức khoẻ thay mặt covered entity, ví dụ đơn vị làm phần mềm hay lưu trữ hồ sơ. "healthcare clearinghouse" là đơn vị trung gian chuyển dữ liệu y tế từ dạng không chuẩn sang dạng chuẩn để trao đổi, không phải bên thanh toán. Khi kiểm thử hệ thống y tế, hiểu đúng các vai trò này giúp xác định dữ liệu nào thuộc phạm vi bảo vệ.

Đáp án đúng: "Increasing project scope beyond agreed terms". Scope creep (trượt phạm vi) là hiện tượng công việc kiểm thử dần mở rộng ra ngoài phạm vi đã thỏa thuận trong hợp đồng và quy tắc tham gia, ví dụ khách hàng yêu cầu thêm hệ thống hay kỹ thuật mới mà không ký bổ sung; điều này gây rủi ro pháp lý, trễ hạn và đội chi phí, nên mọi thay đổi phải được ghi nhận bằng văn bản. "Testing done outside of regular hours" chỉ là khung thời gian thực hiện, vốn được thống nhất trước trong quy tắc tham gia. "Discovering unknown vulnerabilities" chính là mục tiêu bình thường của kiểm thử, không làm phạm vi phình ra. "Hiring additional testers mid-project" là thay đổi nguồn lực của nhóm thực hiện, không phải mở rộng những gì được phép kiểm thử.

Đáp án đúng gồm hai ý: "embedded microchip" và "primary account number". Mặt trước thẻ tín dụng thường có chip nhúng EMV dùng để xác thực giao dịch khi cắm thẻ và số tài khoản chính PAN (dãy số thẻ dập hoặc in), kèm tên chủ thẻ và ngày hết hạn; chuẩn PCI DSS coi PAN là dữ liệu chủ thẻ cần bảo vệ. "date of birth" sai vì ngày sinh của chủ thẻ không được in trên thẻ. "magnetic stripe" sai vì dải từ nằm ở mặt sau thẻ. "card security code" sai vì với phần lớn thẻ như Visa hay Mastercard, mã bảo mật CVV/CVC gồm ba chữ số được in ở mặt sau, cạnh ô chữ ký; chỉ một số loại thẻ như American Express in mã ở mặt trước nên nó không phải thành phần điển hình của mặt trước.

Đáp án đúng: "Federal Trade Commission (FTC)". Đạo luật Gramm-Leach-Bliley (GLBA) yêu cầu tổ chức tài chính bảo vệ thông tin cá nhân của khách hàng; FTC là cơ quan thực thi Privacy of Consumer Financial Information Rule (quy tắc về quyền riêng tư thông tin tài chính) cùng Safeguards Rule đối với nhiều tổ chức tài chính không do cơ quan ngân hàng hay chứng khoán giám sát, như công ty cho vay hay môi giới thế chấp. Người kiểm thử cần biết luật này vì nó ràng buộc cách xử lý dữ liệu tài chính gặp phải khi kiểm thử. "Securities and Exchange Commission (SEC)" sai vì SEC giám sát thị trường chứng khoán và chỉ áp quy định riêng cho công ty môi giới, quỹ đầu tư. "Commodity Futures Trading Commission (CFTC)" sai vì CFTC quản lý thị trường hợp đồng tương lai và phái sinh hàng hoá. "Federal Deposit Insurance Corporation (FDIC)" sai vì FDIC bảo hiểm tiền gửi và giám sát một nhóm ngân hàng, không phải cơ quan thực thi chung quy tắc này.

Đáp án đúng: "system and network architectural diagram". Sơ đồ kiến trúc hệ thống và mạng cho người tư vấn thấy máy chủ web, máy chủ cơ sở dữ liệu, phân vùng mạng và luồng kết nối giữa chúng, nhờ đó xác định và ghi rõ hệ thống nào nằm trong phạm vi kiểm thử (in scope). Đây là tài liệu nền khi lập phạm vi trong giai đoạn lập kế hoạch. "examples of application requests" giúp hiểu cách ứng dụng nhận dữ liệu khi kiểm thử chức năng, nhưng không cho biết toàn bộ hệ thống nằm trong phạm vi. "source codes of the applications" phục vụ đánh giá mã nguồn theo kiểu hộp trắng, chỉ nói về một ứng dụng chứ không mô tả hạ tầng. "software development kit (SDK) for specific applications" là bộ công cụ hỗ trợ lập trình và tích hợp, hữu ích khi kiểm thử API nhưng không dùng để xác định hệ thống cần kiểm thử.

Đáp án đúng: "Web Services Description Language (WSDL) document". WSDL là ngôn ngữ dựa trên XML mô tả chức năng của một web service, thường là dịch vụ SOAP: các thao tác có sẵn, kiểu dữ liệu vào ra, giao thức và địa chỉ endpoint; đưa tệp WSDL cho chuyên gia giúp họ biết đầy đủ bề mặt cần đánh giá của API. "GraphQL documentation" mô tả API GraphQL, vốn dùng schema và ngôn ngữ truy vấn riêng chứ không phải XML. "Swagger (OpenAPI) documentation" là đặc tả cho REST API, viết bằng JSON hoặc YAML. "Web Application Description Language (WADL) document" cũng dựa trên XML nhưng dùng để mô tả ứng dụng web kiểu REST và ít phổ biến; câu hỏi nhắm tới ngôn ngữ XML chuẩn để mô tả chức năng web service, tức WSDL. Trong kiểm thử, các tài liệu này đều là nguồn tốt để liệt kê endpoint, nhưng mỗi loại ứng với một kiểu API khác nhau.

Đáp án đúng: "HIPAA". Health Insurance Portability and Accountability Act (HIPAA) là đạo luật liên bang Mỹ quy định bảo vệ thông tin sức khoẻ được bảo vệ (PHI) tại các cơ sở y tế, đơn vị bảo hiểm và đối tác kinh doanh của họ; người kiểm thử làm việc cho một phòng khám có thể chạm tới dữ liệu bệnh nhân nên phải hiểu yêu cầu của luật này trước khi bắt đầu. "GDPR" là quy định bảo vệ dữ liệu cá nhân của Liên minh châu Âu, không phải quy định của chính phủ Mỹ. "GLBA" (Gramm-Leach-Bliley Act) là luật Mỹ áp cho tổ chức tài chính, yêu cầu bảo vệ thông tin tài chính của khách hàng. "FedRAMP" là chương trình liên bang Mỹ đánh giá và cấp phép bảo mật cho dịch vụ đám mây cung cấp cho cơ quan chính phủ, không liên quan trực tiếp tới phòng khám.

Đáp án đúng gồm ba ý: "system architecture and network topology documents", "API documentation" và "wireless SSIDs". Trong thỏa thuận kiểm thử, khách hàng có thể cung cấp các tài sản kỹ thuật hỗ trợ việc kiểm thử: tài liệu kiến trúc hệ thống và sơ đồ mạng giúp hiểu đường đi dữ liệu, tài liệu API như đặc tả Swagger hay WSDL giúp kiểm thử đúng từng điểm cuối, còn danh sách SSID không dây xác định mạng Wi-Fi nào nằm trong phạm vi. "non-disclosure agreements" là văn bản pháp lý ràng buộc nghĩa vụ giữ bí mật, thuộc phần hợp đồng chứ không phải tài sản kỹ thuật được kiểm thử. "the service-level agreement" là thỏa thuận về mức dịch vụ, chất lượng và cam kết giữa các bên, cũng là tài liệu hợp đồng. "credentials and skills of the penetration testing team" là năng lực và chứng chỉ của chính đội kiểm thử, do bên kiểm thử chứng minh với khách hàng, không phải thứ khách hàng cung cấp cho đợt kiểm thử.

Đáp án đúng: "To document testing conditions". Rules of Engagement (quy tắc tham gia) là tài liệu ghi rõ điều kiện tiến hành bài kiểm thử: khung giờ được phép kiểm thử, kỹ thuật được và không được dùng, cách xử lý dữ liệu nhạy cảm tìm thấy, đầu mối liên hệ khi có sự cố, mức độ thông báo cho đội vận hành; nó giúp hai bên hiểu giống nhau về cách bài kiểm thử diễn ra. "To list vulnerabilities found" là nội dung của báo cáo cuối, được viết sau khi kiểm thử chứ không phải để quy định trước. "To specify payment terms" thuộc hợp đồng hay SOW (Statement of Work, tuyên bố công việc), nơi ghi phí và tiến độ thanh toán. "To finalize software licensing" là việc mua bán bản quyền phần mềm, không liên quan tới quy tắc thực hiện kiểm thử.

Đáp án đúng: "Payment method". Rules of Engagement (RoE, quy tắc tham gia) là tài liệu quy định cách tiến hành kỳ kiểm thử: phạm vi, khung thời gian, kỹ thuật và công cụ được phép, đầu mối liên lạc khẩn cấp và cách xử lý dữ liệu nhạy cảm; phương thức thanh toán là điều khoản thương mại thuộc hợp đồng hay SOW (statement of work), không nằm trong RoE nên là đáp án của câu phủ định này. "Testing timeline" có trong RoE vì nó quy định ngày giờ được phép kiểm thử để tránh ảnh hưởng vận hành, nên không được chọn. "Allowed tools" có trong RoE vì tài liệu phải nêu công cụ và kỹ thuật được dùng hay bị cấm, ví dụ không chạy tấn công từ chối dịch vụ, nên không được chọn. "In-scope IP addresses" có trong RoE vì xác định chính xác dải địa chỉ được phép là ranh giới pháp lý của kỳ kiểm thử, nên cũng không được chọn.

Đáp án đúng: "Mandates regular penetration testing". GLBA (Gramm-Leach-Bliley Act) là luật Hoa Kỳ buộc các tổ chức tài chính bảo vệ thông tin khách hàng; Quy tắc bảo vệ (Safeguards Rule) của luật này yêu cầu chương trình an ninh thông tin có kiểm tra và giám sát định kỳ, trong đó có kiểm thử xâm nhập thường xuyên. "Requires it only during audits" sai vì yêu cầu kiểm thử là liên tục theo chu kỳ, không chỉ khi có đợt kiểm toán. "It is optional for most institutions" sai vì với tổ chức thuộc phạm vi luật, kiểm tra và giám sát an ninh là bắt buộc chứ không tùy ý. "Only applies to tax firms" sai vì GLBA áp dụng cho nhiều loại tổ chức tài chính như ngân hàng, công ty bảo hiểm, công ty chứng khoán và đơn vị cho vay; dịch vụ thuế chỉ là một phần trong số đó.

Đáp án đúng: "All financial service organizations regardless of size". GLBA (Gramm-Leach-Bliley Act) là luật Hoa Kỳ yêu cầu các tổ chức cung cấp dịch vụ tài chính bảo vệ thông tin cá nhân của khách hàng; phạm vi của nó bao trùm các tổ chức tài chính theo nghĩa rộng như ngân hàng, công ty cho vay, môi giới chứng khoán, bảo hiểm, tư vấn tài chính, không giới hạn theo quy mô, và Safeguards Rule đi kèm đòi hỏi chương trình an ninh thông tin có kiểm thử định kỳ như kiểm thử xâm nhập. "Only large banks" thu hẹp sai phạm vi, vì luật áp dụng cả cho tổ chức nhỏ và cho tổ chức không phải ngân hàng. "Only financial institutions regulated by federal banking agencies" cũng thu hẹp sai, vì nhiều tổ chức chịu sự giám sát của FTC hay cơ quan khác vẫn thuộc phạm vi GLBA. "Only credit reporting agencies" sai vì cơ quan báo cáo tín dụng chỉ là một nhóm trong số các tổ chức chịu điều chỉnh.

Đáp án đúng: "Legal complications". Scoping (xác định phạm vi) đặt ra ranh giới được phép của cuộc kiểm thử: hệ thống nào, địa chỉ nào, thời gian nào và kỹ thuật nào; nếu phạm vi mơ hồ, người kiểm thử có thể tác động lên hệ thống không được uỷ quyền hay thuộc bên thứ ba như nhà cung cấp đám mây, và hành vi đó có thể bị coi là truy cập trái phép, dẫn tới rắc rối pháp lý cho cả hai bên. "Reduced test speed" sai vì phạm vi kém có thể làm lãng phí thời gian, nhưng chậm tiến độ không phải hậu quả nghiêm trọng điển hình. "Loss of internet connection" sai vì mất kết nối Internet là sự cố hạ tầng, không gắn với việc xác định phạm vi. "Easier vulnerability discovery" sai vì phạm vi kém không làm việc tìm lỗ hổng dễ hơn; ngược lại, nó dễ làm bỏ sót hệ thống quan trọng hay kiểm nhầm chỗ.