Câu hỏi: IAM302 - Phần 3: Phòng lab phân tích và cách ly mạng

Đáp án đúng: "Registry and file system activity". Process Monitor (Procmon) của bộ Sysinternals ghi lại theo thời gian thực các thao tác của tiến trình lên registry và hệ thống tệp, cùng hoạt động tiến trình, luồng và một phần mạng; mỗi dòng có tên tiến trình, thao tác, đường dẫn và kết quả. Trong phân tích động, nó cho thấy mẫu tạo tệp nào, ghi khoá Run nào để bám trụ. "CPU temperature" là thông số phần cứng, phải dùng công cụ đọc cảm biến. "Network bandwidth usage" là việc của Resource Monitor hay công cụ đo lưu lượng; Procmon chỉ ghi sự kiện TCP và UDP chứ không đo băng thông. "Installed software list" là danh sách tĩnh xem trong Programs and Features hoặc khoá Uninstall của registry, không phải dòng sự kiện thời gian thực.

Đáp án đúng: "It captures changes in a snapshot format for easy comparison". Regshot chụp ảnh (snapshot) toàn bộ registry, tuỳ chọn cả thư mục tệp, trước khi chạy mẫu, rồi chụp lần hai sau khi chạy và so hai ảnh để liệt kê khoá và giá trị được thêm, xoá hay sửa; so với dò registry bằng tay qua regedit, cách này không bỏ sót thay đổi nhỏ như một khoá Run để tự khởi động. Bác: "It provides real-time monitoring" sai vì Regshot không theo dõi liên tục, ghi theo thời gian thực là thế mạnh của Process Monitor. "It automatically creates reports" chưa phải lợi thế cốt lõi: Regshot có xuất kết quả so sánh ra tệp txt hay html nhưng đó chỉ là hệ quả của việc so hai ảnh chụp. "It can be used to monitor file system activity" không chính xác vì Regshot chỉ so trạng thái tệp ở hai thời điểm khi được chọn quét thư mục, chứ không giám sát hoạt động tệp như Process Monitor.

Đáp án đúng: "Ensuring it's isolated and inexpensive". Phòng phân tích mã độc phải được cô lập (isolated) khỏi mạng thật: mẫu chạy trong máy ảo VMware hay VirtualBox với mạng host-only hoặc mạng nội bộ giả lập dịch vụ (INetSim, FakeNet), có snapshot để quay về trạng thái sạch, nhờ vậy mã độc không lây sang hệ thống thật hay gửi dữ liệu ra ngoài. Đồng thời lab nên rẻ (inexpensive): máy ảo và công cụ miễn phí cho phép dựng, phá rồi dựng lại nhiều lần mà không tốn kém. Bác: "Connecting it to a production environment" ngược với nguyên tắc cô lập, mẫu có thể lây sang máy đang vận hành. "Using only open-source tools" không bắt buộc; nhiều công cụ quen thuộc như IDA Pro hay VMware là phần mềm thương mại, điều quan trọng là chức năng chứ không phải giấy phép. "Running malware in an unsecured network" khiến mã độc lây lan hoặc liên lạc được với máy chủ điều khiển, trái hẳn mục tiêu an toàn của lab.

Đáp án đúng: "False". Cuckoo Sandbox là hệ thống phân tích mã độc tự động mã nguồn mở: nó đưa mẫu vào máy ảo khách, chạy mẫu, ghi lại lời gọi API, thao tác tệp, registry, lưu lượng mạng, ảnh chụp màn hình và ảnh bộ nhớ, rồi tổng hợp thành báo cáo hành vi. Nó là công cụ của người phân tích để quan sát mã độc trong môi trường cách ly, không có hành vi phá hoại, tự lây hay đánh cắp dữ liệu như một mã độc. Vì vậy phát biểu coi Cuckoo là một loại mã độc là sai; chọn "True" là nhầm giữa công cụ phân tích và đối tượng bị phân tích. Một số mã độc còn chủ động dò dấu vết của Cuckoo như tác tử chạy trong máy khách hay tên máy đặc trưng để né tránh, chính vì Cuckoo đứng về phía người phòng thủ.

Đáp án đúng: "To observe the activity of unknown code in a quarantined environment". Sandbox (hộp cát) là môi trường cách ly, thường là máy ảo có giám sát, nơi mã chưa biết được cho chạy để ghi lại hành vi như tệp tạo ra, khoá registry sửa đổi, tiến trình sinh thêm và kết nối mạng, mà không ảnh hưởng tới hệ thống thật; kết quả giúp kết luận mẫu có độc hay không. "To stop all BYOD network traffic" là việc của chính sách kiểm soát truy cập mạng (NAC), không phải sandbox. "To flag and pass the known exploit to the endpoint to handle" ngược mục đích: mối nguy đã biết thì chặn ngay bằng chữ ký, sandbox dành cho mã chưa biết và không đẩy mối nguy xuống máy trạm. "To run vulnerability scans on all network endpoints" là việc của trình quét lỗ hổng như Nessus, không liên quan tới việc chạy thử mã.

Đáp án đúng: "PCAP file". Mẫu có kết nối ra ngoài đáng ngờ thì thứ cần nhất là bản ghi gói tin: tệp PCAP do sandbox bắt lại lưu từng gói kèm địa chỉ, cổng, giao thức và nội dung, mở bằng Wireshark để xem mẫu truy vấn tên miền nào, gọi IP nào, gửi dữ liệu gì, từ đó rút IOC mạng và viết luật cho hệ thống phát hiện xâm nhập. "File metadata summary" chỉ tóm tắt băm, kích thước, kiểu tệp, hữu ích ở bước phân loại nhưng không nói gì về kết nối. "Process dump" là kết xuất bộ nhớ tiến trình, hợp khi cần lấy mã đã giải nén hay chuỗi đã giải mã; nó có thể chứa địa chỉ máy chủ nhưng không cho thấy cuộc trao đổi thực tế. "Screenshot log" ghi lại màn hình, hợp với mã độc hiện cửa sổ hay đòi tiền chuộc, không chứa lưu lượng mạng.

Đáp án đúng: "It may fail to detect advanced malware that is specifically designed to evade sandbox detection". Hộp cát (sandbox) phát hiện mã độc bằng cách quan sát hành vi khi chạy, nên điểm yếu cố hữu là mã độc biết mình đang bị quan sát: nó dò dấu hiệu máy ảo (tiến trình VMware Tools, địa chỉ MAC, khoá registry), kiểm tra chuột có di chuyển không, ngủ (sleep) lâu hơn thời gian phân tích, hoặc chỉ kích hoạt vào ngày giờ nhất định, rồi giữ im lặng để sandbox kết luận nó vô hại. Bác: "It is ineffective against known malware" sai, mẫu đã biết vẫn bộc lộ hành vi trong sandbox và thường còn bị chặn sớm bằng chữ ký. "It cannot analyze executable files" sai vì tệp thực thi chính là loại mẫu sandbox xử lý nhiều nhất, bên cạnh tài liệu và script. "It requires significant computational resources" có phần đúng khi triển khai quy mô lớn, vì mỗi mẫu cần một máy ảo chạy vài phút, nhưng đó là chi phí vận hành; giới hạn cốt lõi về khả năng phát hiện mà câu hỏi nhắm tới là bị né tránh.

Đáp án đúng: "Preventing all malware execution". Câu hỏi tìm thứ KHÔNG phải chức năng: phân tích sandbox cố ý cho mã độc chạy trong môi trường cách ly để quan sát, nếu ngăn mọi thực thi thì không còn gì để phân tích; chặn thực thi là việc của phần mềm diệt virus hay danh sách cho phép ứng dụng, nên đây là đáp án. "Monitoring network activity" là chức năng thật: sandbox ghi truy vấn DNS, yêu cầu HTTP, kết nối tới máy chủ điều khiển. "Identifying malware interaction with the registry" là chức năng thật: sandbox ghi khoá bị tạo hoặc sửa, như khoá Run để tự khởi động. "Analyzing file system modifications" cũng là chức năng thật: sandbox liệt kê tệp được thả ra, xoá đi hay bị mã hoá, giúp nhận diện dropper và ransomware.

Đáp án đúng: "It allows multiple reversible snapshots for experimentation". VirtualBox lưu đĩa máy ảo dưới dạng tệp VDI và hỗ trợ cây snapshot: nhà phân tích chụp trạng thái sạch, chạy mẫu, quan sát rồi quay về trong vài giây, lại có thể giữ nhiều snapshot ở các giai đoạn khác nhau để thử nhiều kịch bản và so sánh, trong khi máy vật lý phải tạo và khôi phục ảnh đĩa rất tốn thời gian. "It ensures stronger isolation from the host system" sai vì sự cách ly đến từ lớp ảo hoá chứ không từ định dạng đĩa, và máy vật lý riêng thực ra còn cách ly tốt hơn do mã độc có thể phát hiện hoặc thoát khỏi máy ảo. "It reduces the need for network routing" không liên quan, vẫn phải cấu hình mạng host-only hay mạng nội bộ. "It eliminates the need for forensic tools" sai vì vẫn cần Process Monitor, Wireshark, Regshot để quan sát.

Đáp án đúng: "SmartSniff". SmartSniff là công cụ bắt gói nhỏ gọn của NirSoft chạy trên Windows, có giao diện đồ hoạ, bắt các gói TCP/IP và trình bày dữ liệu trao đổi giữa máy khách và máy chủ dạng văn bản hoặc hex, nên thường được nêu như lựa chọn nhẹ thay Wireshark khi chỉ cần xem nhanh mẫu liên lạc với ai. Câu có chỗ tranh cãi vì "tcpdump" cũng là công cụ bắt gói nhẹ, chạy dòng lệnh; SmartSniff vẫn được chọn vì là công cụ bắt gói có giao diện trên Windows dùng thay Wireshark trong lab phân tích mã độc Windows, còn tcpdump là công cụ dòng lệnh thường dùng trên Unix. "INetSim" là bộ giả lập dịch vụ Internet như HTTP, DNS, SMTP để đánh lừa mã độc, không phải công cụ theo dõi lưu lượng. "Honeyd" là honeypot giả lập máy và dịch vụ ảo để dụ kẻ tấn công, cũng không phải công cụ theo dõi lưu lượng.

Đáp án đúng: "Autoruns". Autoruns của Sysinternals liệt kê mọi điểm tự khởi chạy (autostart extensibility point) trên Windows: khoá Run và RunOnce, thư mục Startup, dịch vụ, driver, tác vụ lập lịch, Winlogon, phần mở rộng của Explorer, AppInit_DLLs, và cho phép ẩn các mục đã ký của Microsoft để làm nổi bật mục lạ; đây đúng là nơi mã độc cài cơ chế duy trì (persistence). Bác: "Process Monitor" ghi thời gian thực thao tác tệp, registry, tiến trình, có thể bắt được lúc mã độc ghi khoá Run nhưng không liệt kê sẵn danh sách chương trình tự chạy. "Regshot" so hai ảnh chụp registry để thấy khoá mới, chỉ phát hiện thay đổi xảy ra giữa hai lần chụp. "tcpdump" bắt gói tin mạng, không liên quan tới cấu hình khởi động. "All of the above" sai vì câu hỏi tìm công cụ chuyên cho việc này, và tcpdump hoàn toàn không làm được việc đó.

Đáp án đúng: "False". Phân tích mã độc hiện đại cần môi trường cách ly chuyên dụng: máy ảo có snapshot để quay về trạng thái sạch, mạng host-only hoặc dịch vụ giả lập bằng INetSim để mẫu không chạm Internet thật, cùng các công cụ giám sát như Process Monitor, Regshot, Wireshark. Chạy mẫu trên máy thật nối mạng có thể làm lây sang mạng nội bộ, rò rỉ dữ liệu hoặc báo cho kẻ tấn công biết mẫu đang bị soi; ngay cả phân tích tĩnh cũng nên làm trong lab để tránh lỡ tay chạy mẫu. Vì vậy mệnh đề cho rằng có thể phân tích mà không cần môi trường hay phòng lab chuyên dụng là sai, và chọn "True" là bỏ qua nguyên tắc an toàn cơ bản nhất của nghề phân tích mã độc.

Đáp án đúng: "Forensic tools". Một môi trường phân tích mã độc gồm máy ảo cách ly cùng bộ công cụ phân tích và điều tra (forensic tools) như Process Monitor, Regshot, Wireshark, Volatility, FTK Imager để ghi nhận thay đổi trên hệ thống tệp, registry, bộ nhớ và mạng khi mẫu chạy; đây là thành phần không thể thiếu khi dựng lab. "Google Docs" là trình soạn thảo trực tuyến, đòi kết nối Internet, trái với yêu cầu mạng cách ly của lab và không phân tích được gì. "WordPress" là hệ quản trị nội dung để làm website, không phải công cụ phân tích. "Load balancers" là thiết bị hoặc phần mềm phân tải cho hệ thống máy chủ sản xuất, không có vai trò trong việc dựng môi trường phân tích mẫu.

Đáp án đúng: "It analyzes malware behavior and generates detailed reports for analysis". Trong kiến trúc sandbox như Cuckoo, các thành phần giám sát thu sự kiện thô như lệnh gọi API, thao tác tệp, registry và lưu lượng mạng; mô đun xử lý và báo cáo tổng hợp các sự kiện đó, chấm điểm hành vi đáng ngờ và xuất báo cáo dạng HTML hay JSON để nhà phân tích đọc hoặc hệ thống khác dùng. "It encrypts sensitive data to prevent unauthorized access" không phải vai trò của báo cáo; bảo mật dữ liệu thuộc lớp hạ tầng. "It provides internet connectivity to the sandbox environment" là việc của thành phần mạng như cấu hình định tuyến hay giả lập dịch vụ. "It stores sandbox activity logs for future reference" nghe gần nhưng chỉ là lưu trữ thô; giá trị của mô đun báo cáo là phân tích và trình bày kết quả, không chỉ cất nhật ký.

Đáp án đúng: "Centralized management and visualization of analysis results". Các sandbox như Cuckoo sinh báo cáo hành vi dạng JSON gồm lời gọi API, thao tác tệp, registry, mạng và ảnh chụp màn hình; giao diện web (web interface) gom các kết quả đó vào một chỗ, cho phép gửi mẫu, tìm kiếm, xem cây tiến trình, đồ thị và tải báo cáo, nhờ đó nhiều người phân tích quản lý tập trung và nhìn trực quan kết quả. Bác: "Real-time decryption of malware payloads" không phải việc của giao diện web; giải mã payload thuộc phân tích trong máy ảo hay trong bộ nhớ. "Automatic generation of YARA signatures" cần công cụ riêng; giao diện web chỉ hiển thị kết quả khớp các luật YARA đã có. "Detection of kernel-level rootkits" phụ thuộc vào kỹ thuật giám sát trong máy khách hay phân tích bộ nhớ, không đến từ việc gắn thêm giao diện web.

Đáp án đúng: "It isolates and analyzes suspicious files or programs in a controlled environment". Sandbox là môi trường cô lập, thường là máy ảo có ảnh chụp sạch, nơi tệp nghi ngờ được chạy và mọi hành vi được ghi lại mà không đe doạ hệ thống thật; xong thì khôi phục ảnh chụp để chạy mẫu tiếp theo. "It scans computer networks for vulnerabilities" là việc của trình quét lỗ hổng như Nessus hay Nmap. "It encrypts sensitive data to prevent unauthorized access" là chức năng của công cụ mã hoá dữ liệu, không phải sandbox. "It monitors internet traffic for malicious activity" mô tả hệ thống phát hiện xâm nhập (IDS) hay tường lửa; sandbox có ghi lưu lượng của mẫu nhưng đó chỉ là một phần, cốt lõi vẫn là cô lập và quan sát việc chạy mẫu.

Đáp án đúng: "Timely sharing of threat intelligence". Sandbox thế hệ đầu chủ yếu chạy mẫu độc lập và cho báo cáo riêng lẻ; thế hệ thứ hai gắn sandbox vào hạ tầng bảo mật rộng hơn, kết quả phân tích được đẩy ra dưới dạng thông tin tình báo mối đe doạ (threat intelligence) như giá trị băm, tên miền, địa chỉ IP độc hại, và được chia sẻ kịp thời cho tường lửa, cổng thư cũng như các tổ chức khác để chặn mẫu tương tự sớm hơn. Bác: "Scanning of encrypted data streams" là năng lực giải mã kiểm tra SSL/TLS của thiết bị mạng, không phải lợi ích đặc trưng của sandbox thế hệ thứ hai. "Automation and artificial intelligence (AI)" gắn với các thế hệ về sau, khi học máy được dùng để phân loại hành vi và chống né tránh. "Faster network speeds" là đặc tính của hạ tầng mạng, không liên quan tới công nghệ sandbox.

Đáp án đúng: "Bridged". Ở chế độ mạng Bridged (cầu nối), card mạng ảo của máy phân tích nối thẳng vào mạng vật lý và nhận địa chỉ IP trong cùng mạng LAN như một máy thật; mã độc chạy bên trong có thể quét và lây sang các máy khác trong mạng, ra Internet tự do, nên đây là kiểu nguy hiểm nhất. "NAT" cho máy ảo ra Internet qua địa chỉ của máy chủ vật lý, các máy trong LAN không thấy trực tiếp máy ảo, nhưng mẫu vẫn liên lạc được với máy chủ điều khiển, nên chỉ ít rủi ro hơn. "Host-only" chỉ cho máy ảo nói chuyện với máy chủ vật lý và các máy ảo cùng mạng ảo, không ra ngoài, là lựa chọn thường dùng cho lab. "Airgap" là cách ly hoàn toàn, không có kết nối mạng nào, an toàn nhất.

Đáp án đúng: "A virtual environment for running untrusted programs". Kiến trúc sandbox trong bảo mật là môi trường ảo hoá cô lập, thường gồm máy ảo khách chạy mẫu, tác tử giám sát bên trong, máy chủ điều phối và lớp báo cáo, để chạy chương trình không tin cậy mà không ảnh hưởng hệ thống thật. "A physical box filled with sand" là nghĩa đen của từ sandbox (hộp cát cho trẻ chơi), chính là hình ảnh gợi ra tên gọi nhưng không phải kiến trúc bảo mật. "A type of building construction technique" là cách hiểu chữ architecture theo nghĩa xây dựng, không liên quan. "A framework for organizing computer files" mô tả hệ thống tệp hay quy ước thư mục, không có yếu tố cô lập hay chạy thử chương trình.

Đáp án đúng: "To create a safe environment for testing software". Hộp cát (sandbox) là môi trường cách ly, thường là máy ảo có snapshot và mạng giả lập, nơi mẫu nghi ngờ được chạy thử mà không gây hại cho hệ thống thật; trong lúc đó công cụ giám sát ghi lời gọi API, tệp, registry và kết nối mạng để người phân tích kết luận mẫu có độc hay không và làm gì, xong việc chỉ cần khôi phục snapshot. Bác: "To permanently remove malware from the system" là việc của phần mềm diệt virus hay quy trình làm sạch, sandbox chỉ chứa và quan sát mẫu. "To monitor network traffic for suspicious activity" là chức năng của hệ thống phát hiện xâm nhập; sandbox có ghi lưu lượng mạng của mẫu nhưng đó chỉ là một phần dữ liệu, không phải mục đích chính. "To encrypt sensitive data to prevent unauthorized access" là biện pháp bảo vệ dữ liệu, không liên quan tới phân tích mã độc.