HOD402 - Phần 9: Báo cáo và trao đổi kết quả

Đáp án đúng: "biometric controls". Xác thực đa yếu tố (multifactor authentication, MFA) đòi kết hợp ít nhất hai loại yếu tố khác nhau: thứ bạn biết (mật khẩu, mã PIN), thứ bạn có (thẻ, token) và thứ bạn là (đặc điểm sinh trắc); thêm kiểm soát sinh trắc như vân tay, mống mắt vào thẻ ra vào hiện có sẽ tạo thêm một loại yếu tố cho lối vào trung tâm dữ liệu. "access control vestibule" (buồng đệm kiểm soát ra vào, còn gọi mantrap) là biện pháp vật lý chống bám đuôi, giữ người trong khoang giữa hai cửa, tự nó không thêm loại yếu tố xác thực nào. "video surveillance" chỉ ghi hình và giám sát để phát hiện, điều tra sau, không xác thực danh tính người vào. "minimum password requirements" chỉ làm mạnh thêm yếu tố thứ bạn biết; mật khẩu dài hơn vẫn là một yếu tố duy nhất nên không thành đa yếu tố.

Đáp án đúng: "RBAC". RBAC (Role-Based Access Control, kiểm soát truy cập dựa trên vai trò) gán quyền cho vai trò rồi gán người dùng vào vai trò, nên quản trị viên vừa cấp quyền ở mức rộng theo nhóm chức năng như kế toán hay nhân sự, vừa tinh chỉnh tới từng thao tác trên từng tài nguyên; đây là biện pháp kiểm soát hành chính (administrative control) quyết định người dùng được làm gì. "secure software development life cycle" sai vì vòng đời phát triển phần mềm an toàn là quy trình đưa bảo mật vào từng giai đoạn làm phần mềm, không điều khiển quyền của người dùng. "policies and procedures" sai vì chính sách và quy trình đặt ra quy tắc chung bằng văn bản nhưng tự chúng không thực thi việc cho phép hay chặn một thao tác cụ thể. "minimum password requirements" sai vì yêu cầu mật khẩu tối thiểu chỉ tăng độ mạnh của xác thực, tức kiểm soát ai đăng nhập được, không kiểm soát người đã đăng nhập được làm gì.

Đáp án đúng: "user input sanitization". Cross-site scripting, cross-site request forgery, SQL injection và command injection đều bắt nguồn từ việc ứng dụng tin dữ liệu do người dùng gửi lên; làm sạch và kiểm tra đầu vào (input sanitization, kèm kiểm tra hợp lệ và mã hóa đầu ra) là biện pháp kỹ thuật được khuyến nghị để chặn dữ liệu độc hại trước khi nó được hiểu thành mã, câu truy vấn hay lệnh. "process-level remediation" là khắc phục ở mức quy trình làm việc, thuộc nhóm biện pháp vận hành chứ không phải kiểm soát kỹ thuật trong mã. "secrets management solution" dùng để cất giữ an toàn mật khẩu, khóa API và token, giúp chống lộ thông tin xác thực chứ không ngăn được chuỗi tiêm mã. "certificate management" quản lý vòng đời chứng chỉ số cho TLS, bảo vệ kênh truyền nhưng không kiểm soát nội dung dữ liệu người dùng nhập.

Đáp án đúng: "To ensure non-technical audiences understand the findings". Executive summary (tóm tắt dành cho lãnh đạo) là phần đầu báo cáo kiểm thử xâm nhập, viết bằng ngôn ngữ kinh doanh, nêu mức rủi ro tổng thể, tác động và khuyến nghị ưu tiên để ban giám đốc và người không chuyên kỹ thuật hiểu kết quả và ra quyết định. "To provide technical details for developers" sai vì chi tiết kỹ thuật, bước tái hiện và bằng chứng nằm ở phần phát hiện và phụ lục dành cho đội kỹ thuật. "To explain the scope of the engagement" sai vì phạm vi có thể được nhắc ngắn trong tóm tắt nhưng được mô tả đầy đủ ở phần phạm vi và phương pháp, không phải lý do chính để có tóm tắt. "To list all vulnerabilities detected by automated tools" sai vì danh sách đầy đủ kết quả quét tự động thuộc phụ lục kỹ thuật; tóm tắt chỉ chắt lọc những rủi ro quan trọng nhất.

Đáp án đúng: "disclaimers". Disclaimers (tuyên bố miễn trừ) trong báo cáo kiểm thử xâm nhập nêu giới hạn của công việc: kiểm thử chỉ phản ánh trạng thái hệ thống trong khoảng ngày đã thực hiện, và các phát hiện không bảo đảm đã bao phủ mọi lỗ hổng, vì hệ thống thay đổi và có những điểm yếu chưa bị phát hiện. "scope of work" sai vì phần phạm vi công việc mô tả những gì được và không được kiểm, như dải IP, ứng dụng, phương pháp, chứ không nhằm miễn trừ trách nhiệm về tính đầy đủ của kết quả. "findings and analysis" sai vì đây là nơi trình bày lỗ hổng đã tìm thấy, mức độ nghiêm trọng và khuyến nghị khắc phục. "non-disclosure statement" sai vì tuyên bố bảo mật thông tin ràng buộc việc giữ kín nội dung báo cáo và dữ liệu khách hàng, không nói về giới hạn của kết quả kiểm thử.

Đáp án đúng: "technical". Kiểm soát kỹ thuật (technical controls) là các biện pháp được thực thi bằng công nghệ, phần mềm và cấu hình hệ thống; trong khuyến nghị sau kiểm thử xâm nhập, các mục như khắc phục ở mức tiến trình (process-level remediation), quản lý bản vá (patch management) và giải pháp quản lý bí mật (secrets management, tức kho lưu khoá, mật khẩu, token tập trung thay cho ghi cứng trong mã) đều thuộc nhóm này. "administrative" là kiểm soát hành chính như chính sách, quy trình, đào tạo, phân công trách nhiệm. "operational" là kiểm soát vận hành do con người thực hiện hằng ngày như luân chuyển công việc, rà nhật ký thủ công, kiểm tra định kỳ. "physical" là kiểm soát vật lý như khoá cửa, bảo vệ, camera, hàng rào.

Đáp án đúng: "technical". System hardening (gia cố hệ thống) gồm tắt dịch vụ và cổng không dùng, gỡ phần mềm thừa, vá lỗi, đổi mật khẩu mặc định và cấu hình an toàn; vì được thực hiện trực tiếp bằng cấu hình và công nghệ trên hệ thống nên nó thuộc nhóm kiểm soát kỹ thuật, thường được khuyến nghị trong báo cáo kiểm thử. "administrative" là kiểm soát hành chính như chính sách, quy trình, đào tạo nhận thức và phân công trách nhiệm, tác động lên con người và quy định chứ không lên cấu hình máy. "operational" là kiểm soát vận hành do con người thực hiện hằng ngày như quản lý thay đổi, giám sát hay luân chuyển công việc. "physical" là kiểm soát vật lý như khóa cửa, camera, bảo vệ và hàng rào, bảo vệ tài sản hữu hình khỏi tiếp cận trực tiếp.

Đáp án đúng: "Enforcing minimum password requirements". Trong khắc phục sau kiểm thử xâm nhập, biện pháp kiểm soát được chia thành nhóm kỹ thuật, quản lý (administrative), vận hành và vật lý; kiểm soát quản lý là chính sách, quy trình, tiêu chuẩn do tổ chức ban hành, và yêu cầu độ dài, độ phức tạp tối thiểu của mật khẩu là một chính sách như vậy, dù sau đó có thể được thực thi bằng công cụ kỹ thuật. "Implementing biometric access systems" là kiểm soát vật lý, dùng đặc điểm sinh trắc như vân tay để kiểm soát người ra vào khu vực. "Installing firewalls" là kiểm soát kỹ thuật, lọc lưu lượng mạng theo luật bằng thiết bị hoặc phần mềm. "Using network segmentation" cũng là kiểm soát kỹ thuật, chia mạng thành các vùng tách biệt để hạn chế kẻ tấn công di chuyển ngang khi đã xâm nhập được một máy.

Đáp án đúng: "Dradis". Dradis là nền tảng cộng tác mã nguồn mở dành cho nhóm kiểm thử xâm nhập, gom kết quả từ nhiều công cụ (nhập tệp xuất của Nmap, Nessus, Burp và các công cụ khác) vào một chỗ, sắp xếp phát hiện, ghi chú bằng chứng rồi xuất báo cáo ra các định dạng như HTML, Word hay PDF. "Metasploit" là khung khai thác dùng để kiểm chứng và khai thác lỗ hổng, không phải công cụ chuyên tổ chức báo cáo. "Nessus" là trình quét lỗ hổng; nó xuất được báo cáo kết quả quét của riêng nó nhưng không gom và tổ chức kết quả của cả bài kiểm thử. "Wireshark" là công cụ bắt và phân tích gói tin mạng.

Đáp án đúng: "1 - d, 2 - a, 3 - b, 4 -c". Key rotation (xoay vòng khoá) là kiểm soát kỹ thuật vì do hệ thống thực thi trên khoá mật mã; secure software development life cycle (vòng đời phát triển phần mềm an toàn) là kiểm soát hành chính vì là quy trình, chính sách mà tổ chức đặt ra; time-of-day restrictions (giới hạn giờ truy cập) được xếp vào kiểm soát vận hành vì quy định hoạt động hằng ngày của con người, cùng nhóm với luân chuyển công việc hay đào tạo người dùng; video surveillance (giám sát bằng camera) là kiểm soát vật lý. Cách ghép "1 - a, 2 - b, 3 - c, 4 - d" sai ngay từ đầu vì xoay vòng khoá không phải biện pháp hành chính. Cách ghép "1 - b, 2 - a, 3 - d, 4 - c" đúng ở cặp 2 và cặp 4 nhưng xếp xoay vòng khoá vào vận hành và giới hạn giờ vào kỹ thuật. Cách ghép "1 - c, 2 - b, 3 - d, 4 - a" coi xoay vòng khoá là vật lý và camera là hành chính, đều sai.

Đáp án đúng gồm hai ý: "proximity card and PIN" và "biometric scan". Access control vestibule (buồng kiểm soát ra vào, trước đây gọi là mantrap) là khoang nhỏ có hai cửa, cửa thứ hai chỉ mở khi cửa thứ nhất đã đóng và người bên trong đã được xác thực; để xác thực từng người, buồng thường kết hợp thẻ tiếp cận kèm mã PIN và quét sinh trắc học như vân tay hay mống mắt, nhờ đó chống bám đuôi. "turnstile" (cửa xoay) là một cơ chế chặn lối đi riêng, giới hạn mỗi lượt một người, chứ không phải phương thức xác thực dùng bên trong buồng. "security guard" (nhân viên bảo vệ) là biện pháp kiểm soát vật lý bổ trợ có thể đứng gần buồng, nhưng không phải tùy chọn xác thực gắn với cơ chế hai cửa. "toll collector" là người thu phí giao thông, không liên quan tới kiểm soát ra vào khu vực hạn chế.