Câu hỏi: HOD402 - Phần 3: Trinh sát và quét lỗ hổng

Đáp án đúng: "It involves direct interaction with the target systems". Thu thập thông tin chủ động (active information gathering, active reconnaissance) là việc người kiểm thử gửi lưu lượng trực tiếp tới hệ thống mục tiêu, ví dụ quét cổng bằng Nmap, dò phiên bản dịch vụ hay truy vấn thẳng máy chủ DNS của mục tiêu; vì có tương tác nên hoạt động này có thể bị IDS hay nhật ký ghi nhận. "It avoids any interaction with the target" mô tả điều ngược lại, tức thu thập thụ động (passive reconnaissance) như tra OSINT, WHOIS, kết quả tìm kiếm. "It uses social media exclusively" sai vì mạng xã hội chỉ là một nguồn OSINT và thường thuộc nhóm thụ động, không phải định nghĩa của thu thập chủ động. "It requires physical access to the system" sai vì quét chủ động thường làm từ xa qua mạng; tiếp cận vật lý là một hướng kiểm thử riêng (physical penetration testing).

Đáp án đúng: "Authenticated scan". Authenticated scan (quét có xác thực, còn gọi là credentialed scan) là lần quét mà công cụ như Nessus hay OpenVAS được cấp tài khoản quản trị, root trên Linux hay administrator trên Windows, để đăng nhập vào máy đích, đọc phiên bản gói phần mềm, bản vá, cấu hình và tệp hệ thống, nhờ đó cho kết quả chi tiết và ít báo động giả hơn. "Unauthenticated scan" chỉ nhìn hệ thống từ bên ngoài như một kẻ tấn công chưa có tài khoản, nên chỉ thấy dịch vụ đang mở và thông tin banner. "Discovery scan" là bước dò tìm máy đang hoạt động và cổng mở để lập danh mục tài sản, không đi sâu vào thông tin nội bộ. "Passive scan" chỉ nghe lưu lượng hoặc thu thập dữ liệu mà không gửi gói tới đích, càng không dùng thông tin đăng nhập nào.

Đáp án đúng: "whois". whois truy vấn cơ sở dữ liệu đăng ký tên miền của nhà đăng ký và các cơ quan cấp phát địa chỉ, trả về chủ thể đăng ký, ngày tạo, máy chủ tên cùng đầu mối liên hệ kỹ thuật và hành chính; đây là trinh sát thụ động (passive reconnaissance) vì không gửi gói tin nào tới hạ tầng của mục tiêu. "netstat" sai vì nó chỉ hiển thị kết nối mạng, cổng đang lắng nghe và bảng định tuyến trên chính máy chạy lệnh, không cho biết gì về chủ tên miền. "dig" sai vì dig truy vấn bản ghi DNS như A, MX, NS hay TXT để biết tên miền trỏ tới đâu, chứ không được thiết kế để trả về người liên hệ kỹ thuật hay hành chính. "nmap" sai vì nmap quét cổng và dịch vụ, tức trinh sát chủ động (active reconnaissance) gửi gói tin trực tiếp tới mục tiêu.

Đáp án đúng: "Wayback Machine". Đây là dịch vụ lưu trữ của Internet Archive, chụp và lưu lại các phiên bản cũ của trang web theo thời gian; trong giai đoạn trinh sát thụ động (passive reconnaissance), người kiểm thử dùng nó để tìm trang đã gỡ, tên nhân viên, đường dẫn hay thông tin cấu hình từng bị công khai mà không chạm vào hệ thống mục tiêu. "Recon-ng" là khung trinh sát dạng mô-đun dùng để thu thập OSINT từ nhiều nguồn như máy tìm kiếm và API, không phải kho lưu phiên bản lịch sử của trang. "Nmap" là công cụ quét mạng chủ động, dò cổng mở, dịch vụ và hệ điều hành của máy đang chạy. "Whois" tra cứu thông tin đăng ký tên miền như chủ sở hữu, nhà đăng ký, máy chủ tên, chứ không hiển thị nội dung trang web trong quá khứ.

Đáp án đúng gồm ba ý: "attack complexity", "integrity impact" và "user interaction". Trong CVSS (Common Vulnerability Scoring System, hệ thống chấm điểm lỗ hổng), nhóm chỉ số cơ sở (base metric group) mô tả đặc tính nội tại, không đổi theo thời gian hay môi trường của một lỗ hổng: các chỉ số khả năng khai thác như attack vector, attack complexity, privileges required, user interaction, cùng scope và các chỉ số tác động tới tính bí mật, toàn vẹn, sẵn sàng. "modified base metrics" thuộc nhóm môi trường (environmental), cho phép tổ chức điều chỉnh lại các chỉ số cơ sở theo hoàn cảnh triển khai của mình. "availability requirements" cũng thuộc nhóm môi trường, phản ánh mức quan trọng của tính sẵn sàng đối với một tài sản cụ thể. "remediation level" thuộc nhóm thời gian (temporal), cho biết lỗ hổng đã có bản vá chính thức, bản vá tạm, cách khắc phục thủ công hay chưa có gì.

Đáp án đúng: "Censys". Censys là công cụ trinh sát thụ động (passive reconnaissance) dạng công cụ tìm kiếm: nó liên tục quét toàn Internet và lưu lại thông tin về máy chủ, cổng mở, dịch vụ, chứng chỉ TLS, nên người kiểm thử chỉ cần tra cơ sở dữ liệu của Censys để biết thiết bị và mạng của mục tiêu mà không gửi gói nào tới mục tiêu, tương tự Shodan. "Recon-ng" là khung trinh sát dạng mô-đun viết bằng Python, gom dữ liệu từ nhiều nguồn OSINT; nó là framework để chạy các mô-đun chứ không phải nguồn dữ liệu về thiết bị trên Internet. "Maltego" chủ yếu trực quan hoá quan hệ giữa người, tên miền, tổ chức bằng biểu đồ liên kết. "theHarvester" tập trung thu thập email, tên người, tên miền con từ công cụ tìm kiếm và nguồn công khai, không phải danh mục thiết bị và dịch vụ trên Internet.

Đáp án đúng gồm hai ý: "Zenmap" và "Enum4linux". Trinh sát chủ động (active reconnaissance) là thu thập thông tin bằng cách tương tác trực tiếp với hệ thống mục tiêu, nên có thể để lại dấu vết trong nhật ký hoặc bị IDS phát hiện. Zenmap là giao diện đồ hoạ của Nmap, gửi gói thăm dò để tìm máy sống, cổng mở và dịch vụ; Enum4linux kết nối tới dịch vụ SMB/Samba của máy đích để liệt kê người dùng, nhóm, thư mục chia sẻ và chính sách mật khẩu. "Nslookup" không được chọn vì nó chỉ hỏi máy chủ DNS về bản ghi tên miền, thường qua resolver công cộng, nên được xếp vào thu thập thụ động. "Tor" không được chọn vì Tor là mạng ẩn danh định tuyến lưu lượng qua nhiều nút, giúp che nguồn chứ không tự thu thập thông tin. "Maltego" không được chọn vì Maltego tổng hợp và vẽ quan hệ từ nguồn công khai (OSINT), thuộc trinh sát thụ động.

Đáp án đúng: "It is an international consolidation of cybersecurity tools and databases.". CVE (Common Vulnerabilities and Exposures) là danh mục chuẩn quốc tế gán cho mỗi lỗ hổng đã công bố một mã định danh duy nhất dạng CVE-năm-số; nhờ dùng chung mã này mà các công cụ quét, cơ sở dữ liệu lỗ hổng như NVD và các dịch vụ an ninh khắp nơi được hợp nhất về một cách gọi tên, nên người kiểm thử có thể từ kết quả quét tra ngay mô tả, mức độ và bản vá. "It is a high level list of software weaknesses." sai vì danh sách các loại điểm yếu phần mềm ở mức trừu tượng là CWE (Common Weakness Enumeration), còn CVE ghi từng lỗ hổng cụ thể trong sản phẩm cụ thể. "It has three vulnerability score components." sai vì ba nhóm chỉ số cơ sở, thời gian và môi trường là của CVSS, hệ thống chấm điểm mức nghiêm trọng đi kèm chứ không phải CVE. "It is a dictionary of known attacks." sai vì CVE liệt kê lỗ hổng chứ không liệt kê kiểu tấn công; danh mục mẫu tấn công là CAPEC.

Đáp án đúng: "CVSS". Common Vulnerability Scoring System (CVSS, hệ thống chấm điểm lỗ hổng chung) do FIRST duy trì, cho mỗi lỗ hổng một điểm từ 0 tới 10 dựa trên các chỉ số như vectơ tấn công, độ phức tạp, quyền cần có và tác động tới tính bí mật, toàn vẹn, sẵn sàng; điểm này dùng để xếp mức nghiêm trọng từ thấp tới nghiêm trọng. "CVE" (Common Vulnerabilities and Exposures) là danh mục định danh lỗ hổng đã biết, mỗi lỗ hổng một mã riêng, nhưng bản thân CVE không chấm điểm mức nghiêm trọng. "OWASP WSTG" là hướng dẫn phương pháp kiểm thử bảo mật ứng dụng web. "NIST SP 800-115" là tài liệu hướng dẫn kỹ thuật kiểm thử và đánh giá an ninh thông tin, không phải danh mục lỗ hổng có điểm.

Đáp án đúng: "Ping sweep". Ping sweep (quét ping) gửi gói ICMP Echo Request, hoặc gói thăm dò tương đương như ARP trong cùng mạng LAN, tới cả một dải địa chỉ và ghi nhận máy nào trả lời, nhờ đó lập danh sách máy đang sống trước khi quét cổng; Nmap làm việc này bằng tuỳ chọn -sn, còn tường lửa chặn ICMP có thể làm sót máy. "WHOIS lookup" sai vì truy vấn WHOIS chỉ cho thông tin đăng ký tên miền hay khối IP, không cho biết máy nào đang bật. "ARP poisoning" sai vì đầu độc ARP là tấn công trung gian làm giả bảng ARP để chặn lưu lượng, không phải kỹ thuật phát hiện máy. "Credential stuffing" sai vì đó là thử hàng loạt cặp tên đăng nhập và mật khẩu bị lộ từ nơi khác vào một dịch vụ, nhắm vào tài khoản chứ không dò máy.

Đáp án đúng: "CVE". CVE (Common Vulnerabilities and Exposures) là danh mục các lỗ hổng đã được công bố công khai do MITRE điều phối; mỗi mục có một mã định danh dạng CVE-năm-số thứ tự, một mô tả ngắn và các tham chiếu tới khuyến cáo, bản vá, giúp mọi công cụ quét và nhà cung cấp gọi cùng một lỗ hổng bằng cùng một tên. "CVSS" (Common Vulnerability Scoring System) là hệ thống chấm điểm mức nghiêm trọng của lỗ hổng từ 0 tới 10, thường đi kèm mục CVE nhưng không phải danh mục liệt kê lỗ hổng. "OWASP WSTG" (Web Security Testing Guide) là hướng dẫn phương pháp kiểm thử bảo mật ứng dụng web, mô tả cần kiểm tra gì và kiểm tra thế nào. "NIST SP 800-115" là ấn phẩm của NIST hướng dẫn kỹ thuật kiểm thử và đánh giá an ninh thông tin, tức một khung phương pháp, không gán mã cho từng lỗ hổng.

Đáp án đúng: "Open-source intelligence (OSINT)". Passive reconnaissance (trinh sát thụ động) là thu thập thông tin về mục tiêu mà không tương tác trực tiếp với hệ thống của họ; OSINT (tình báo nguồn mở) tận dụng nguồn công khai như trang web, mạng xã hội, bản ghi WHOIS, DNS công khai hay tin tuyển dụng nên không để lại dấu vết trên hệ thống mục tiêu. "Host enumeration" sai vì liệt kê máy chủ đòi hỏi gửi truy vấn tới mạng mục tiêu, thuộc trinh sát chủ động. "Packet crafting" sai vì tự tạo gói tin tuỳ biến rồi gửi tới mục tiêu để quan sát phản ứng là tương tác trực tiếp. "Port scanning" sai vì quét cổng gửi gói tới từng cổng của mục tiêu, dễ bị IDS ghi nhận, là trinh sát chủ động điển hình.

Đáp án đúng: "Google dork". Google dork (truy vấn Google nâng cao) là chuỗi tìm kiếm kết hợp các toán tử như intext (chữ có trong nội dung trang), inurl (chữ có trong đường dẫn) và ext (phần mở rộng tệp) để lọc ra những trang hoặc tệp bị lộ ngoài ý muốn; ở đây chuỗi tìm tệp nhật ký access.log có chứa mã phiên JSESSIONID hoặc PHPSESSID, thứ có thể làm lộ phiên đăng nhập. Người phòng thủ dùng chính kỹ thuật này để tự kiểm tra xem máy chủ của mình có để lọt tệp nhạy cảm cho công cụ tìm kiếm hay không. "Google caching" là bản lưu tạm trang web mà Google giữ lại, không phải cú pháp truy vấn. "Google phishing" không phải thuật ngữ cho kỹ thuật này; phishing là lừa đảo qua thư hay trang giả. "Google archiving" chỉ việc lưu trữ nội dung theo thời gian, gần với dịch vụ như Wayback Machine, không mô tả một chuỗi tìm kiếm.

Đáp án đúng: "Maltego". Maltego là công cụ OSINT (tình báo nguồn mở) trực quan hóa quan hệ giữa các thực thể như người, tên miền, địa chỉ email, địa chỉ IP; các loại thực thể được sắp xếp trong Entity Palette (bảng thực thể), và mỗi thao tác truy vấn để mở rộng từ một thực thể sang thực thể liên quan được gọi là transform (phép biến đổi). "Shodan" là máy tìm kiếm thiết bị kết nối Internet, lập chỉ mục banner của dịch vụ như camera, máy chủ hay hệ thống điều khiển công nghiệp. "FOCA" phân tích siêu dữ liệu (metadata) trong tài liệu công khai như tệp Office và PDF để lộ tên người dùng, phần mềm và đường dẫn nội bộ. "theHarvester" thu thập email, tên miền con và máy chủ từ máy tìm kiếm và nguồn công khai qua dòng lệnh, không dùng khái niệm thực thể và transform.

Đáp án đúng gồm ba ý: "the timing of the scan", "the available network bandwidth" và "the network topology". Quét lỗ hổng trên mạng sản xuất có thể làm chậm hoặc làm sập dịch vụ, nên kế hoạch phải tính tới thời điểm quét để tránh giờ cao điểm, băng thông sẵn có để không làm nghẽn liên kết, và cấu trúc mạng (topology) để biết tường lửa, IPS, phân đoạn nào nằm trên đường đi và đặt máy quét ở đâu. "authenticated scans are less complex and are quicker than unauthenticated scans" là phát biểu không đúng: quét có xác thực đăng nhập vào hệ thống để kiểm tra sâu cấu hình và bản vá, cần quản lý tài khoản cẩn thận và thường không nhanh hơn. "the available scanning tools" là chuyện chuẩn bị nguồn lực của bên kiểm thử, cần có nhưng không phải ràng buộc của mạng mục tiêu quyết định quét an toàn. "the trained personnel available to analyze the scan results" thuộc khâu phân tích sau khi quét, quan trọng cho chất lượng báo cáo nhưng không phải điều kiện của chính hoạt động quét trên mạng sản xuất.

Đáp án đúng: "a valid list of users". Liệt kê người dùng (user enumeration) là việc dò xem tên tài khoản nào tồn tại trên hệ thống mục tiêu, ví dụ qua thông báo lỗi đăng nhập khác nhau giữa tên sai và mật khẩu sai, qua lệnh VRFY của SMTP hay qua truy vấn SMB, LDAP; kết quả ban đầu là một danh sách tên người dùng hợp lệ, làm nền cho các bước như đoán mật khẩu. Phòng thủ là trả cùng một thông báo lỗi cho mọi trường hợp. "the IP addresses of the target hosts" có được từ bước quét mạng và khám phá máy chủ (host discovery), diễn ra trước đó, không phải từ liệt kê người dùng. "the credentials of a specified user" sai vì liệt kê chỉ cho biết tài khoản tồn tại, không làm lộ mật khẩu; có thông tin đăng nhập là kết quả của bước tấn công mật khẩu về sau.

Đáp án đúng: "to identify all active IP addresses within the scope of the test". Liệt kê máy (host enumeration, host discovery) ở đầu kỳ kiểm thử nhằm biết trong dải địa chỉ được phép, địa chỉ nào đang có thiết bị hoạt động, thường bằng ping sweep, quét ARP hay thăm dò TCP; danh sách máy sống này là đầu vào cho quét cổng, dò dịch vụ và quét lỗ hổng ở bước sau. "to count the total number of IP addresses within the scope of the test" sai vì tổng số địa chỉ trong phạm vi đã biết sẵn từ dải mạng ghi trong tài liệu phạm vi, không cần quét. "to identify all vulnerable hosts within the scope of the test" sai vì xác định máy có lỗ hổng là việc của quét và phân tích lỗ hổng, diễn ra sau khi đã biết máy nào sống. "to count the total number of vulnerable hosts within the scope of the test" sai vì vừa là việc của giai đoạn đánh giá lỗ hổng, vừa chỉ dừng ở con số đếm trong khi người kiểm thử cần chính danh sách địa chỉ để làm tiếp.

Đáp án đúng: "-T5". Trong Nmap, cờ -T chọn mẫu thời gian (timing template) từ -T0 tới -T5, lần lượt là paranoid, sneaky, polite, normal, aggressive và insane; -T5 là mức insane, nhanh và hung hãn nhất, khớp với mô tả rất hung hãn. "-T2" sai vì đó là polite (lịch sự), làm chậm quét để giảm tải băng thông và tài nguyên của mục tiêu. "-T3" sai vì đó là normal, mức mặc định khi không chỉ định cờ thời gian. "-T4" sai vì đó là aggressive (hung hãn), nhanh hơn mặc định và hợp với mạng ổn định, nhưng chưa phải mức cực đoan nhất như -T5, vốn rút ngắn thời gian chờ tới mức có thể bỏ sót kết quả và dễ bị IDS phát hiện. Với người phòng thủ, quét ở tốc độ cao như vậy tạo ra đợt kết nối dày đặc nên rất dễ nhận ra trong nhật ký.

Đáp án đúng: "Whois". Whois là giao thức và công cụ truy vấn cơ sở dữ liệu đăng ký tên miền, trả về thông tin như nhà đăng ký, ngày tạo và hết hạn, máy chủ tên miền và các đầu mối liên hệ quản trị, kỹ thuật của tên miền nếu không bị ẩn bởi dịch vụ bảo vệ quyền riêng tư; đây là bước trinh sát thụ động quen thuộc. "DNSRecon" là công cụ trinh sát DNS, liệt kê bản ghi, thử chuyển vùng (zone transfer) và dò tên miền con, không truy vấn dữ liệu đăng ký chủ sở hữu. "Dig" là công cụ truy vấn DNS linh hoạt trên Linux, trả về bản ghi A, MX, NS, TXT nhưng không cho biết người liên hệ quản trị tên miền. "Nslookup" cũng là công cụ tra cứu DNS cơ bản, có trên cả Windows lẫn Linux, chỉ phân giải tên và địa chỉ, không trả thông tin đăng ký.

Đáp án đúng: "Authenticated scans can provide a more detailed picture of the target attack surface.". Authenticated scan (quét có xác thực, còn gọi là credentialed scan) đăng nhập vào máy mục tiêu bằng tài khoản được cấp, nên đọc được danh sách phần mềm đã cài, phiên bản bản vá và cấu hình; nhờ vậy nó phát hiện lỗ hổng chính xác hơn, ít báo nhầm và cho bức tranh đầy đủ hơn về bề mặt tấn công so với quét không xác thực vốn chỉ thấy những gì lộ ra qua mạng. "Authenticated scans are a form of passive reconnaissance that does not trigger target security alarms." sai vì quét lỗ hổng gửi lưu lượng và đăng nhập trực tiếp vào mục tiêu, là hoạt động chủ động và vẫn có thể bị hệ thống giám sát ghi nhận. "Authenticated scans are performed without user credentials." sai vì nó định nghĩa ngược lại: chính việc dùng thông tin đăng nhập mới làm nên quét có xác thực. "Authenticated scans are less complex and are quicker than unauthenticated scans." sai vì quét có xác thực phải quản lý tài khoản và kiểm tra sâu từng máy nên thường phức tạp và tốn thời gian hơn.