IAA202 - Chương 8: Đánh giá mối đe doạ, điểm yếu và khai thác

Đáp án đúng: "To identify as many likely threats as possible". Đánh giá mối đe doạ (threat assessment) là bước nhận diện các mối đe doạ có thể xảy ra với tài sản, như tin tặc, mã độc, thiên tai, lỗi người dùng; mục tiêu là liệt kê càng nhiều mối đe doạ có khả năng xảy ra càng tốt để không bỏ sót trước khi phân tích tiếp. "To eliminate all possible threats" là bất khả thi, vì mối đe doạ thường nằm ngoài tầm kiểm soát của tổ chức; quản trị rủi ro chỉ giảm rủi ro xuống mức chấp nhận được. "To secure systems from any future threats" cũng là mục tiêu tuyệt đối không đạt được và thuộc giai đoạn triển khai biện pháp. "To identify vulnerabilities that can be exploited" là mục tiêu của đánh giá điểm yếu (vulnerability assessment), một bước khác trong quy trình.

Đáp án đúng: "A high false-positive error rate". Máy quét điểm yếu như Nessus so dấu hiệu của hệ thống, ví dụ phiên bản dịch vụ, với cơ sở dữ liệu điểm yếu đã biết, nên hay báo có lỗ hổng trong khi thực tế hệ thống đã được vá hoặc cấu hình khác đi; báo động giả (false positive) nhiều buộc người quản trị tốn công kiểm tra lại từng kết quả, đây là nhược điểm thường gặp nhất. "A high false-negative error rate" nghĩa là bỏ sót nhiều điểm yếu có thật; máy quét có thể bỏ sót lỗi chưa có trong cơ sở dữ liệu, nhưng đó không phải đặc điểm nổi bật của nó. "A low false-positive error rate" là một ưu điểm, không thể là nhược điểm. "A low false-negative error rate" nghĩa là ít bỏ sót, cũng là ưu điểm chứ không phải hạn chế.

Đáp án đúng gồm hai ý: "Historical data reviewing" và "Threat modeling performing". Rà soát dữ liệu lịch sử nghĩa là xem lại các sự cố, nhật ký và báo cáo trước đây để biết mối đe doạ nào đã từng nhắm vào tổ chức và có thể quay lại; mô hình hoá mối đe doạ (threat modeling) là cách tiếp cận có cấu trúc, xem xét hệ thống, tài sản, điểm vào và kẻ tấn công tiềm năng để suy ra những mối đe doạ có thể xảy ra. Đây là hai kỹ thuật nhận diện mối đe doạ. "Quantifying" là định lượng, gán giá trị tiền cho thiệt hại và tần suất, thuộc bước phân tích rủi ro sau khi đã có danh sách mối đe doạ. "Qualifying" là đánh giá định tính, xếp mức khả năng và tác động, cũng là bước đánh giá chứ không phải nhận diện.

Đáp án đúng: "Either internal or external security professionals or both". Đánh giá điểm yếu (vulnerability assessment) có thể do chuyên gia an toàn nội bộ thực hiện vì họ hiểu hệ thống, hoặc chuyên gia bên ngoài vì họ khách quan và có công cụ, kinh nghiệm rộng; nhiều tổ chức kết hợp cả hai, ví dụ đội nội bộ quét định kỳ còn bên ngoài kiểm tra độc lập hằng năm. "Internal security professionals working as employees" đúng một phần nhưng loại trừ bên ngoài, mất góc nhìn độc lập. "External security professionals hired as consultants" cũng đúng một phần nhưng loại trừ nội bộ, vốn rẻ hơn và làm thường xuyên được. "Only the IT personnel who own the systems" sai vì người sở hữu hệ thống tự đánh giá chính mình sẽ thiếu khách quan và dễ bỏ qua lỗi của mình; nguyên tắc phân tách nhiệm vụ khuyên người đánh giá độc lập với người vận hành.

Đáp án đúng: "Nessus". Nessus là công cụ quét lỗ hổng (vulnerability scanner) tự động: nó dò các máy trong phạm vi, so sánh phiên bản phần mềm và cấu hình với cơ sở dữ liệu lỗ hổng đã biết rồi xuất báo cáo kèm mức nghiêm trọng và gợi ý khắc phục, nên là lựa chọn quen thuộc cho đánh giá lỗ hổng tự động. "Wireshark" là công cụ bắt và phân tích gói tin mạng, dùng để xem lưu lượng chứ không quét lỗ hổng. "Superscan" là công cụ quét cổng trên Windows, chỉ cho biết cổng nào mở chứ không đánh giá lỗ hổng. "Nmap" là công cụ quét mạng và cổng mạnh, nhận diện dịch vụ và hệ điều hành, có script mở rộng dò được một số lỗ hổng, nhưng mục đích chính là khám phá mạng chứ không phải công cụ đánh giá lỗ hổng toàn diện như Nessus.