IAA202 - Chương 2: Quản lý mối đe doạ, điểm yếu và khai thác

Đáp án đúng: "Controlling the ability of threat and vulnerability pairs". Rủi ro chỉ thành hiện thực khi một mối đe doạ (threat) gặp đúng điểm yếu (vulnerability) mà nó khai thác được, nên ngoài việc quản lý riêng từng bên, cách làm hiệu quả là kiểm soát khả năng cặp đe doạ – điểm yếu ấy kết hợp với nhau, tức giảm xác suất mối đe doạ chạm tới điểm yếu tương ứng. "Eliminating the risks" sai vì trong thực tế không thể đưa rủi ro về 0, mục tiêu của quản trị rủi ro là hạ rủi ro xuống mức tổ chức chấp nhận được. "Eliminating the vulnerabilities" cũng phi thực tế vì hệ thống luôn phát sinh điểm yếu mới, hơn nữa câu dẫn đã nhắc việc quản lý điểm yếu nên đây không phải biện pháp bổ sung. "All of them" sai vì hai cách loại bỏ tuyệt đối kể trên không đạt được, nên không thể gộp tất cả là đúng.

Đáp án đúng gồm ba ý: "physical security", "technical security" và "operational security". Điểm yếu (vulnerability) là chỗ hở mà mối đe doạ có thể khai thác, và nó được nhận diện theo ba mặt bảo vệ của tổ chức: an ninh vật lý (khoá cửa, camera, kiểm soát ra vào phòng máy), an ninh kỹ thuật (bản vá, cấu hình, mã hoá, tường lửa) và an ninh vận hành (quy trình, thủ tục, cách con người làm việc hằng ngày), tương ứng với ba nhóm biện pháp kiểm soát vật lý, kỹ thuật và thủ tục. "law security" không phải một mảng an ninh; luật và quy định là yêu cầu tuân thủ đặt ra cho tổ chức, vi phạm là rủi ro pháp lý chứ không phải điểm yếu của hệ thống. "training security" cũng không phải một mảng riêng; đào tạo nhận thức là một biện pháp kiểm soát nằm trong an ninh vận hành, thiếu đào tạo là điểm yếu thuộc mảng vận hành.

Đáp án đúng: "Purchasing insurance". Mối đe doạ môi trường (environmental threat) như cháy, lũ, động đất, bão là sự kiện tự nhiên không ngăn được bằng biện pháp kỹ thuật; vì vậy cách xử lý phổ biến là chuyển giao rủi ro (risk transfer), tức mua bảo hiểm để bên bảo hiểm gánh phần thiệt hại tài chính. Các biện pháp vật lý như hệ thống chữa cháy, chống ngập hay đặt trung tâm dữ liệu ở vùng an toàn cũng dùng cho loại mối đe doạ này nhưng không có mặt trong phương án. "Installing firewalls" chống truy cập trái phép qua mạng, không có tác dụng với lửa hay nước. "Using encryption" bảo vệ tính bí mật của dữ liệu, nhưng khi thiết bị bị phá huỷ thì dữ liệu mã hoá cũng mất theo. "Conducting regular audits" kiểm tra sự tuân thủ và hiệu quả kiểm soát, không làm giảm thiệt hại khi thảm hoạ tự nhiên xảy ra.

Đáp án đúng: "Vulnerabilities are weaknesses that can be exploited, while exploits are specific attacks targeting those vulnerabilities.". Điểm yếu (vulnerability) là chỗ hở trong phần mềm, cấu hình, quy trình hay con người mà mối đe doạ có thể tận dụng; khai thác (exploit) là hành động hay cuộc tấn công cụ thể tận dụng đúng điểm yếu đó, nên rủi ro chỉ thành hiện thực khi có một exploit nhắm vào một vulnerability còn mở. Phát biểu "Vulnerabilities are external threats" sai vì điểm yếu nằm bên trong hệ thống, còn mối đe doạ mới có thể đến từ bên ngoài. Phát biểu "Vulnerabilities are known flaws in software or systems" quá hẹp vì có điểm yếu chưa ai biết (zero-day) và điểm yếu không nằm ở phần mềm, đồng thời gọi exploit là công cụ thì bỏ sót bản chất nó là cuộc tấn công. Phát biểu "Vulnerabilities are hypothetical risks" sai vì điểm yếu là có thật ngay cả khi chưa bị khai thác, và exploit không đồng nghĩa với một sự cố an ninh đã xảy ra.

Đáp án đúng: "A denial of service (DoS) attack.". Khai thác (exploit) là hành động hay kỹ thuật lợi dụng một điểm yếu để gây hại cho hệ thống; tấn công từ chối dịch vụ lợi dụng giới hạn tài nguyên hoặc lỗi xử lý để làm dịch vụ không phục vụ được người dùng hợp lệ, nên là ví dụ của một exploit nhắm vào tính sẵn sàng. "Installing antivirus software." là biện pháp kiểm soát kỹ thuật để phòng và phát hiện mã độc. "Performing regular data backups." là kiểm soát khắc phục, giúp khôi phục dữ liệu sau sự cố. "Providing security awareness training for employees." là kiểm soát hành chính nhằm giảm sai sót của con người. Mỗi việc vừa nêu đều là biện pháp phòng thủ, ngược hẳn với khái niệm khai thác.

Đáp án đúng: "Intentional threat". Mối đe doạ được phân loại theo nguồn và động cơ: mối đe doạ cố ý (intentional threat) do con người chủ động gây hại, với động cơ như tức giận, trả thù, tiền bạc hay hệ tư tưởng; một nhân viên bị sa thải tức giận xoá dữ liệu là ví dụ điển hình. "Environmental threat" là mối đe doạ từ môi trường tự nhiên hay vật lý như lũ, cháy, mất điện, không có kẻ gây ra mang cảm xúc. "Human error" là sai sót vô ý của con người, như gõ nhầm lệnh, cấu hình sai, không có ý định gây hại. "Accidental damage" là hư hại do tai nạn, ví dụ làm rơi ổ cứng hay đổ nước vào máy, cũng không có chủ đích. Yếu tố anger (tức giận) trong câu cho biết có động cơ và hành động chủ ý, nên chỉ nhóm cố ý phù hợp.

Đáp án đúng: "Ignoring threats that seem insignificant". Quản lý điểm yếu tốt đòi hỏi xem xét đầy đủ mọi mối đe doạ rồi mới quyết định xử lý hay chấp nhận dựa trên đánh giá; bỏ qua những mối đe doạ trông có vẻ nhỏ là sai vì nhiều cuộc tấn công lớn bắt đầu từ một điểm yếu bị coi nhẹ, hoặc nhiều điểm yếu nhỏ kết hợp lại, nên đây là phát biểu không thuộc thực hành tốt. "Identifying vulnerabilities" là bước đầu tiên của quản lý điểm yếu, không biết thì không xử lý được, nên là thực hành tốt và không được chọn. "Performing vulnerability assessments" như quét bằng Nessus hay rà soát cấu hình định kỳ giúp phát hiện điểm yếu mới, cũng là thực hành tốt. "Using multiple mitigation techniques" thể hiện phòng thủ nhiều lớp, khi một biện pháp thất bại vẫn còn lớp khác, nên cũng là thực hành tốt.

Đáp án đúng: "Defense in depth". Defense in depth (phòng thủ nhiều lớp) đặt nhiều biện pháp kiểm soát chồng lên nhau ở các tầng khác nhau như tường lửa biên, phân đoạn mạng, xác thực, mã hoá, giám sát; nếu một lớp thất bại thì các lớp còn lại vẫn chặn hoặc phát hiện kẻ tấn công, nhờ đó khoảng trống an ninh được thu hẹp. "Access control implementation" là triển khai một loại kiểm soát cụ thể; bản thân nó cũng có thể thất bại và không tự che được khi chính nó hỏng. "Critical business factor analysis" là phân tích yếu tố kinh doanh then chốt, phục vụ xác định ưu tiên, không phải chiến lược bảo vệ. "Business impact analysis" (BIA) đo tác động khi chức năng kinh doanh bị gián đoạn để lập kế hoạch liên tục, không trực tiếp lấp khoảng trống khi một biện pháp kiểm soát hỏng.

Đáp án đúng: "Unauthorized access to data". Mối đe doạ (threat) là bất kỳ hành động hay sự kiện nào có thể gây hại cho tính bí mật, toàn vẹn hoặc sẵn sàng của tài sản; truy cập trái phép vào dữ liệu đe doạ trực tiếp tính bí mật và có thể dẫn tới sửa đổi hay đánh cắp dữ liệu. "Data encryption" là kiểm soát kỹ thuật bảo vệ dữ liệu, làm cho dữ liệu bị đánh cắp vẫn không đọc được. "Installing antivirus software" là biện pháp phòng ngừa và phát hiện mã độc. "Creating a backup plan" là biện pháp khắc phục, giúp khôi phục dữ liệu khi bị mất. Mỗi việc vừa nêu đều là biện pháp đối phó với mối đe doạ chứ không phải bản thân mối đe doạ.

Đáp án đúng: "All of the above". Server hardening (gia cố máy chủ) là giảm bề mặt tấn công và đóng các điểm yếu đã biết, và cả bốn biện pháp được liệt kê đều là thực hành chuẩn của việc này. "Removing unnecessary services and protocols" đúng vì mỗi dịch vụ hay giao thức không dùng tới là một cửa vào thừa cho kẻ tấn công. "Keeping the server up to date" đúng vì vá hệ điều hành và phần mềm đóng các lỗ hổng đã được công bố. "Changing defaults" đúng vì mật khẩu, tài khoản, cổng và cấu hình mặc định ai cũng biết, nên là mục tiêu đầu tiên của kẻ tấn công. "Enabling local firewalls" đúng vì tường lửa trên chính máy chủ chặn kết nối không mong muốn kể cả khi tường lửa biên bị vượt qua, đúng tinh thần phòng thủ nhiều lớp. Vì từng biện pháp riêng lẻ đều đúng nhưng chỉ là một phần, chọn đáp án gộp mới đầy đủ.

Đáp án đúng gồm ba ý: "Confidentiality", "Integrity" và "Availability". Bộ ba CIA là ba thuộc tính an toàn mà mối đe doạ có thể làm tổn hại: tính bí mật (dữ liệu lộ cho người không được phép), tính toàn vẹn (dữ liệu bị sửa trái phép) và tính sẵn sàng (hệ thống không phục vụ được khi cần). "Vulnerability" là điểm yếu, thứ mà mối đe doạ khai thác, chứ không phải thuộc tính bị ảnh hưởng. "Authentication" là xác thực, một cơ chế kiểm soát để xác minh danh tính và nhờ đó bảo vệ bộ ba CIA. "Authorization" là phân quyền, cơ chế quyết định người đã xác thực được làm gì; nó cũng là biện pháp bảo vệ chứ không nằm trong ba mục tiêu an toàn.

Đáp án đúng: "A defense-in-depth strategy". Phòng thủ theo chiều sâu (defense in depth) là chiến lược dùng nhiều lớp biện pháp đối phó cho cùng một rủi ro, để nếu một lớp bị vượt qua thì lớp khác vẫn bảo vệ; ví dụ chống mã độc bằng tường lửa, lọc thư, phần mềm diệt virus và đào tạo người dùng cùng lúc. "A defense-in-layer strategy" nghe gần đúng vì ý tưởng đúng là các lớp, nhưng đó không phải tên chuẩn của chiến lược này. "A prevent-in-depth strategy" cũng không phải thuật ngữ được dùng; ngoài ra chiều sâu không chỉ gồm biện pháp phòng ngừa mà còn có kiểm soát phát hiện và khắc phục.