HOD402 - Phần 7: An ninh đám mây, di động và IoT

Đáp án đúng: "side-channel attack". Side-channel attack (tấn công kênh kề) khai thác thông tin rò rỉ gián tiếp từ phần cứng dùng chung như thời gian truy cập bộ nhớ đệm CPU, mức tiêu thụ điện hay hành vi bộ nhớ; khi máy ảo bị chiếm nằm chung máy vật lý với máy ảo khác, kẻ tấn công có thể suy ra khoá mã hoá hay thông tin xác thực của máy hàng xóm. Phòng thủ gồm cô lập phần cứng cho tải nhạy cảm và vá các lỗi kiểu Spectre, Meltdown. "account takeover" sai vì chiếm tài khoản là dùng thông tin đăng nhập bị lộ để kiểm soát tài khoản người dùng, không dựa vào phần cứng dùng chung. "resource exhaustion attack" sai vì nó làm cạn tài nguyên để gây từ chối dịch vụ, không nhằm lấy cắp dữ liệu. "cloud malware injection attack" sai vì nó chèn dịch vụ hay mã độc vào hạ tầng đám mây để chuyển hướng người dùng, không tận dụng việc chung phần cứng để đọc trộm khoá.

Đáp án đúng: "Phishing emails". Credential harvesting (thu thập thông tin đăng nhập) là việc lừa người dùng tự nhập tên đăng nhập và mật khẩu vào một trang giả mạo; cách phổ biến nhất là gửi email lừa đảo (phishing) chứa đường dẫn tới trang đăng nhập nhái giống dịch vụ thật, và các công cụ như Social-Engineer Toolkit có tính năng nhân bản trang web cho mục đích này trong các đợt kiểm thử được ủy quyền. "VPN tunnels" là công nghệ mã hoá kênh truyền để bảo vệ dữ liệu, không phải phương pháp thu thập thông tin đăng nhập. "SQL Injection" là tấn công vào tầng ứng dụng và cơ sở dữ liệu; nó có thể làm lộ bảng tài khoản nhưng không phải cách điển hình của credential harvesting vốn dựa vào việc lừa con người. "Man-in-the-middle attacks" có thể chặn bắt thông tin đăng nhập trên đường truyền, nhưng đòi kẻ tấn công chiếm vị trí trung gian trong mạng nên ít phổ biến hơn nhiều so với email lừa đảo.

Đáp án đúng: "insecure storage". iOS Keychain là nơi ứng dụng lưu mật khẩu, token và khoá mật mã; khi kẻ tấn công dịch ngược (reverse engineer) ứng dụng để xem nó tạo và cất khoá ra sao, họ đang nhắm vào lỗ hổng insecure storage (lưu trữ không an toàn), tức dữ liệu nhạy cảm hoặc khoá được lưu ở chỗ hay theo cách có thể bị trích xuất, chẳng hạn chọn lớp bảo vệ Keychain yếu hay viết cứng khoá trong mã. "passcode vulnerabilities and biometric integrations" là điểm yếu ở cách mở khoá thiết bị và tích hợp vân tay, khuôn mặt. "certificate pinning" là cơ chế ghim chứng chỉ để chống nghe lén TLS; vượt qua nó là bài toán kênh truyền, không phải cách lưu khoá trong Keychain. "using known vulnerable components" là việc dùng thư viện có lỗ hổng đã công bố, không liên quan cách ứng dụng tự lưu khoá.

Đáp án đúng: "Anchore’s Grype". Grype của Anchore là trình quét lỗ hổng mã nguồn mở cho ảnh container và hệ thống tệp: nó đọc danh sách gói phần mềm bên trong ảnh Docker rồi đối chiếu với cơ sở dữ liệu lỗ hổng đã công bố để báo gói nào cần vá, nên hay được gắn vào quy trình CI/CD trước khi triển khai. "GATTacker" sai vì đây là công cụ tấn công trung gian nhắm vào thiết bị Bluetooth Low Energy qua giao thức GATT, không liên quan container. "Social-Engineer Toolkit (SET)" sai vì SET là bộ công cụ kỹ thuật xã hội để mô phỏng phishing, nhân bản trang đăng nhập hay tấn công qua USB, không quét ảnh Docker. "Nimbostratus" sai vì Nimbostratus là công cụ dò và kiểm thử hạ tầng đám mây AWS, nổi tiếng với việc nhắm vào dịch vụ metadata, chứ không phải trình quét lỗ hổng ảnh container.

Đáp án đúng: "Spamming". Trong nhóm tấn công thiết bị di động, spamming là gửi hàng loạt tin nhắn SMS không mong muốn, thường kèm liên kết phishing dẫn tới trang giả mạo hoặc tệp độc hại; hình thức lừa qua tin nhắn này còn gọi là smishing (SMS phishing). Cách phòng thủ là lọc tin rác, đào tạo người dùng không bấm liên kết lạ và xác minh người gửi. "Reverse Engineering" (dịch ngược) là phân tích mã đã biên dịch của ứng dụng để hiểu logic, tìm khóa nhúng hay lỗ hổng, không phải gửi tin nhắn. "Sandboxing" là cơ chế cô lập ứng dụng trong vùng chạy riêng để hạn chế quyền truy cập, vốn là biện pháp bảo vệ chứ không phải tấn công. "Malware Injection" là cài cắm mã độc vào ứng dụng hoặc thiết bị; liên kết trong SMS có thể dẫn tới mã độc, nhưng hành vi gửi tin hàng loạt mới là điều câu hỏi mô tả.

Đáp án đúng: "VM repository vulnerability". Lỗ hổng kho máy ảo (VM repository vulnerability) xuất hiện khi tổ chức lấy ảnh máy ảo hay template từ kho công cộng hoặc chợ ứng dụng như VMware Marketplace mà không kiểm chứng; nếu kẻ xấu đã cài sẵn mã độc vào ảnh đó, mọi máy triển khai từ ảnh đều nhiễm ngay từ đầu. Phòng thủ là chỉ dùng ảnh từ nguồn tin cậy, kiểm tra chữ ký và quét trước khi triển khai. "VM escape vulnerability" là khi mã chạy trong một máy ảo thoát ra ngoài để tác động tới hypervisor hoặc máy ảo khác. "Hyperjacking" là chiếm quyền kiểm soát chính hypervisor, ví dụ thay bằng một hypervisor độc hại nằm dưới các máy ảo. "Hypervisor vulnerability" là lỗi trong phần mềm hypervisor; trong tình huống này hypervisor không có lỗi, thứ bị nhiễm là ảnh máy ảo được tải về.

Đáp án đúng: "credential harvesting". Credential harvesting (thu gom thông tin xác thực) trong môi trường đám mây là xâm nhập hạ tầng hoặc dùng phishing, tệp cấu hình, kho mã để thu thập hàng loạt tên người dùng, mật khẩu, token và mã PIN hợp lệ; đây là bước tạo tiền đề cho các tấn công tiếp theo, nên cần MFA, quản lý bí mật và giám sát đăng nhập. "account takeover" (chiếm tài khoản) là việc dùng thông tin đã có để kiểm soát một tài khoản cụ thể, tức là hệ quả sau khi đã thu gom chứ không phải hành vi thu gom. "privilege escalation" là leo thang đặc quyền, khai thác lỗi để có quyền cao hơn quyền được cấp. "side-channel attacks" (tấn công kênh kề) suy ra dữ liệu bí mật từ thời gian xử lý, mức tiêu thụ tài nguyên hay bộ nhớ đệm dùng chung giữa các máy ảo.

Đáp án đúng: "cloud malware injection attack". Trong tấn công chèn mã độc vào đám mây, kẻ tấn công tạo một ứng dụng, dịch vụ hoặc máy ảo độc hại rồi đưa nó vào môi trường SaaS, PaaS hay IaaS sao cho hệ thống coi đó là thành phần hợp lệ; khi người dùng gọi tới, mã độc được thực thi và có thể đánh cắp dữ liệu hay chuyển hướng phiên. "resource exhaustion attack" làm cạn tài nguyên như CPU, bộ nhớ hay băng thông để gây từ chối dịch vụ, không cần cài ứng dụng độc. "account takeover" là chiếm quyền một tài khoản đám mây bằng thông tin đăng nhập bị lộ. "metadata service attack" lợi dụng dịch vụ siêu dữ liệu của máy ảo, thường qua lỗi SSRF, để đọc khóa truy cập tạm thời của phiên bản, chứ không phải triển khai một ứng dụng độc hại mới.

Đáp án đúng: "Hijacking the hypervisor to control the entire environment". Hyperjacking (chiếm quyền hypervisor) là tấn công nhắm vào hypervisor, lớp phần mềm quản lý và cấp phát tài nguyên cho các máy ảo; khi chiếm được lớp này hoặc cài một hypervisor độc hại bên dưới hệ điều hành, kẻ tấn công kiểm soát mọi máy ảo chạy trên đó mà các máy ảo khó phát hiện. "Gaining root access to a VM" sai vì có quyền root trong một máy ảo chỉ kiểm soát máy ảo đó; muốn đi xa hơn phải thoát khỏi máy ảo (VM escape). "Overloading a VM with requests" sai vì làm quá tải máy ảo bằng yêu cầu là tấn công từ chối dịch vụ. "Injecting malware into containers" sai vì container dùng chung nhân hệ điều hành chứ không dựa trên hypervisor, và chèn mã độc vào container thuộc nhóm tấn công ảnh container. Phòng thủ gồm vá hypervisor kịp thời, bật Secure Boot và giới hạn quyền truy cập giao diện quản trị.

Đáp án đúng: "Intelligent Platform Management Interface (IPMI)". IPMI là bộ đặc tả giao diện cho phép quản lý và giám sát máy chủ ngoài băng (out-of-band) qua bộ điều khiển quản lý bo mạch BMC, hoạt động độc lập với CPU, firmware và hệ điều hành, kể cả khi máy đang tắt. Vì có quyền gần như vật lý với máy, giao diện IPMI lộ ra mạng hoặc còn mật khẩu mặc định là mục tiêu giá trị cao, nên cần đặt trong mạng quản trị tách biệt. "Mobile Security Framework (MobSF)" là khung kiểm thử bảo mật tự động cho ứng dụng di động Android và iOS, phân tích tĩnh và động. "Supervisory control and data acquisition (SCADA)" là hệ thống điều khiển giám sát và thu thập dữ liệu trong công nghiệp như điện, nước, sản xuất, không phải đặc tả quản lý máy chủ. "Shodan" là công cụ tìm kiếm các thiết bị kết nối Internet dựa trên banner dịch vụ, dùng để trinh sát chứ không phải giao diện quản lý.

Đáp án đúng: "resource exhaustion attack". Tấn công cạn kiệt tài nguyên (resource exhaustion) là một dạng từ chối dịch vụ: kẻ tấn công gửi gói tin hoặc yêu cầu được chế tác để ứng dụng đám mây tiêu hết CPU, bộ nhớ, kết nối hay băng thông, hoặc rơi vào trạng thái lỗi rồi sập; giới hạn tốc độ, co giãn tự động có trần và kiểm tra đầu vào là biện pháp giảm thiểu. "account takeover" sai vì chiếm tài khoản là đánh cắp hoặc dò thông tin đăng nhập để nắm quyền tài khoản đám mây, mục tiêu là truy cập chứ không làm sập ứng dụng. "metadata service attack" sai vì tấn công dịch vụ metadata nhắm vào điểm cuối metadata của máy ảo, thường qua SSRF, để lấy khoá truy cập tạm thời. "side-channel attack" sai vì tấn công kênh kề suy ra dữ liệu bí mật từ thời gian, bộ nhớ đệm hay điện năng của phần cứng dùng chung giữa các máy ảo, không gây sập.

Đáp án đúng: "Needle". Needle là framework mã nguồn mở dạng mô-đun để kiểm thử bảo mật ứng dụng iOS, hỗ trợ kiểm tra dữ liệu ứng dụng lưu trên thiết bị, Keychain, giao tiếp mạng và hành vi lúc chạy, thường dùng trên thiết bị đã jailbreak. "Drozer" là framework tương tự nhưng dành cho Android, cho phép tương tác với các thành phần ứng dụng như activity, service hay content provider để tìm điểm yếu. "APK Studio" là môi trường dịch ngược, chỉnh sửa và đóng gói lại tệp APK của Android. "ApkX" là công cụ dịch ngược APK sang mã Java để đọc, cũng chỉ dành cho Android. Điểm phân biệt nhanh là định dạng ứng dụng: ứng dụng iOS đóng gói dưới dạng IPA, còn APK là định dạng của Android, nên mọi công cụ xoay quanh APK đều không phải lựa chọn cho iOS.

Đáp án đúng: "Nimbostratus". Nimbostratus là bộ công cụ mã nguồn mở để kiểm thử hạ tầng Amazon Web Services, có chức năng lấy thông tin từ dịch vụ metadata của máy ảo EC2 và thử khai thác khi ứng dụng có lỗ hổng SSRF cho phép gọi tới điểm cuối metadata nội bộ, nơi chứa khoá truy cập IAM tạm thời; bắt buộc dùng IMDSv2 có token là cách giảm thiểu. "Clair" sai vì Clair là trình phân tích tĩnh lỗ hổng trong các lớp của ảnh container. "Falco" sai vì Falco là công cụ phát hiện hành vi bất thường lúc chạy (runtime) cho container và Kubernetes dựa trên lời gọi hệ thống, thuộc phía phòng thủ. "Dagda" sai vì Dagda quét ảnh và container Docker tìm lỗ hổng đã biết, mã độc và giám sát hoạt động, không nhắm vào dịch vụ metadata đám mây.

Đáp án đúng gồm hai ý: "turbines in a power plant" và "robots in a factory". Tua bin nhà máy điện và robot trong nhà máy thuộc hệ thống điều khiển công nghiệp (ICS/SCADA); nếu bị chiếm qua Internet, kẻ tấn công có thể gây mất điện diện rộng, hư hỏng thiết bị hay đe doạ tính mạng, nên các hệ thống này phải được cô lập bằng phân đoạn mạng và chỉ truy cập từ xa qua kênh được kiểm soát chặt. "refrigerators in a restaurant" sai vì tủ lạnh thông minh có rủi ro nhưng hậu quả giới hạn trong phạm vi một cửa hàng, và theo dõi từ xa qua Internet là chức năng thường thấy. "thermostat in a home" sai vì bộ điều nhiệt gia đình được thiết kế để điều khiển qua ứng dụng trên Internet; cần bảo mật nhưng không thuộc loại tuyệt đối không được kết nối. "carbon monoxide detectors in a home" sai vì đầu báo khí CO thông minh còn cần Internet để gửi cảnh báo tới điện thoại chủ nhà, và tác động nếu bị chiếm nhỏ hơn nhiều so với hạ tầng công nghiệp.

Đáp án đúng: "privilege escalation". Privilege escalation (leo thang đặc quyền) là khai thác lỗi phần mềm, cấu hình sai hay chính sách phân quyền lỏng lẻo để có được quyền cao hơn quyền đã cấp, từ đó truy cập tài nguyên mà người dùng bình thường không chạm tới được; trong đám mây, ví dụ là lợi dụng vai trò IAM quá rộng. Phòng thủ bằng nguyên tắc đặc quyền tối thiểu và vá lỗi kịp thời. "account takeover" là chiếm một tài khoản bằng thông tin đăng nhập bị lộ, người tấn công chỉ có đúng quyền của tài khoản đó. "credential harvesting" là thu gom tên đăng nhập, mật khẩu và token, chưa phải khai thác lỗi để vượt quyền. "side-channel attacks" suy ra dữ liệu bí mật từ thời gian xử lý hay bộ nhớ đệm dùng chung, không khai thác lỗi ứng dụng để nâng quyền.

Đáp án đúng: "resource pooling". NIST SP 800-145 định nghĩa điện toán đám mây bằng năm đặc tính thiết yếu: tự phục vụ theo nhu cầu (on-demand self-service), truy cập mạng rộng rãi (broad network access), gộp tài nguyên (resource pooling), co giãn nhanh (rapid elasticity) và dịch vụ được đo lường (measured service). Gộp tài nguyên nghĩa là nhà cung cấp dồn tài nguyên tính toán phục vụ nhiều khách hàng theo mô hình đa thuê bao, cấp phát động theo nhu cầu. "centralized storage" không nằm trong năm đặc tính; lưu trữ tập trung có thể tồn tại cả trong trung tâm dữ liệu truyền thống. "reduced bandwidth requirements" không phải đặc tính, thậm chí đám mây phụ thuộc vào khả năng truy cập qua mạng. "slow elasticity" ngược hẳn với định nghĩa, vì NIST yêu cầu co giãn nhanh, tài nguyên được cấp thêm hoặc thu hồi gần như tức thời.

Đáp án đúng: "Type 1 hypervisors are also known as native or bare-metal hypervisors.". Hypervisor loại 1 chạy trực tiếp trên phần cứng vật lý, không cần hệ điều hành chủ bên dưới, nên được gọi là native hay bare-metal; ví dụ VMware ESXi, Microsoft Hyper-V, Xen. Hypervisor loại 2 (hosted) chạy như một ứng dụng trên hệ điều hành có sẵn, ví dụ VirtualBox hay VMware Workstation. "Type 1 hypervisors run on top of other operating systems." sai vì đó là đặc điểm của loại 2. "Type 2 hypervisors include VMware ESXi and Microsoft Hyper-V." sai vì ESXi và Hyper-V là hypervisor loại 1. "Type 2 hypervisors run directly on the physical (bare-metal) system." sai vì chạy thẳng trên phần cứng là đặc điểm của loại 1; loại 2 luôn cần hệ điều hành chủ. Về an ninh, loại 1 có bề mặt tấn công nhỏ hơn vì không có hệ điều hành chủ đa dụng xen giữa.

Đáp án đúng: "VM escape vulnerability". Thoát máy ảo (VM escape) là khi mã chạy trong một máy ảo khai thác lỗi để vượt khỏi ranh giới cô lập, tương tác với hypervisor và từ đó truy cập máy chủ vật lý hay dữ liệu của máy ảo khác cùng chạy trên đó; tình huống đã chiếm một máy ảo rồi chạm tới dữ liệu máy ảo khác đúng là mô hình này. Phòng thủ là vá hypervisor kịp thời và tách các tải quan trọng ra máy chủ riêng. "VM repository vulnerability" là ảnh máy ảo bị cài sẵn mã độc trong kho tải về, rủi ro xuất hiện trước khi triển khai. "Hypervisor vulnerability" là lỗi trong chính phần mềm hypervisor; VM escape thường dựa vào loại lỗi này, nhưng câu hỏi mô tả hành vi vượt từ máy ảo này sang máy ảo khác, tên gọi đúng là VM escape. "Hyperjacking" là chiếm quyền kiểm soát hoặc thay thế toàn bộ hypervisor để điều khiển mọi máy ảo bên dưới.

Đáp án đúng: "vertical privilege escalation". Vertical privilege escalation (leo thang đặc quyền theo chiều dọc) xảy ra khi người dùng quyền thấp truy cập được chức năng dành cho người có quyền cao hơn, ví dụ tài khoản thường vào được trang quản trị vì máy chủ không kiểm tra vai trò; cách phòng là kiểm tra phân quyền ở phía máy chủ cho từng chức năng. "horizontal privilege escalation" là leo thang theo chiều ngang: người dùng truy cập dữ liệu của người khác cùng mức quyền, như đổi mã số trong URL để xem đơn hàng của khách khác. "credential harvesting" là thu gom thông tin đăng nhập, thường qua trang lừa đảo, chứ không phải lợi dụng lỗi phân quyền. "metadata service attacks" nhắm vào dịch vụ siêu dữ liệu của nền tảng đám mây, ví dụ địa chỉ 169.254.169.254, để lấy khoá truy cập tạm thời gắn với máy ảo.