Câu hỏi: IAM302 - Phần 3: Phòng lab phân tích và cách ly mạng

Đáp án đúng: "System processes, file system activity, and registry changes". Process Monitor (ProcMon) của Sysinternals ghi theo thời gian thực các sự kiện của tiến trình và luồng (tạo tiến trình, nạp DLL), thao tác hệ thống tệp (tạo, đọc, ghi, xoá tệp) và thao tác registry (mở, đặt, xoá khoá), kèm tên tiến trình, đường dẫn, kết quả và ngăn xếp gọi; người phân tích lọc theo tên mẫu để thấy mã độc thả tệp gì, ghi khoá Run nào. Bác: "Only network traffic" sai, ProcMon có ghi sự kiện TCP/UDP ở mức cơ bản nhưng không bắt nội dung gói tin như Wireshark, và chắc chắn không chỉ ghi mạng. "Only software installations" quá hẹp, cài đặt phần mềm chỉ là một tập con của các thao tác tệp và registry. "Only CPU usage" là việc của Task Manager hay Process Explorer; ProcMon ghi sự kiện chứ không đo tải CPU.

Đáp án đúng gồm hai ý: "If something unexpected or malicious happens, it affects only the sandbox." và "A sandbox confines the actions of code to the sandbox device and in isolation to the rest of the network.". Sandbox là môi trường cách ly để chạy mã chưa tin cậy: mọi thao tác của mã, từ ghi tệp, sửa registry tới mở kết nối, bị giới hạn trong ranh giới sandbox và tách khỏi phần còn lại của mạng, nên nếu mã có hành vi bất thường hay độc hại thì thiệt hại chỉ nằm trong sandbox và có thể xoá bỏ bằng cách khôi phục trạng thái sạch. "A sandbox only provides completely independent protection of IOT devices." sai vì sandbox không dành riêng cho thiết bị IoT và bản thân nó là công cụ phân tích, không phải lớp bảo vệ thiết bị. "A sandbox provides full network security." sai vì sandbox chỉ là một lớp trong phòng thủ nhiều lớp, không thay được tường lửa, IDS hay kiểm soát truy cập.

Đáp án đúng: "A sandbox that uses virtualization technology to create isolated environments". Sandbox dựa trên container dùng ảo hoá ở mức hệ điều hành: các container như Docker dùng chung nhân với máy chủ nhưng được cô lập bằng namespace và cgroup, mỗi container có hệ thống tệp, tiến trình và mạng riêng; nhẹ và khởi động nhanh hơn máy ảo, đổi lại mức cô lập yếu hơn vì chung nhân. "A sandbox that uses physical barriers to isolate malware" mô tả cách ly vật lý như máy airgap, không phải container. "A sandbox that relies on network traffic analysis to detect threats" là hệ thống phát hiện xâm nhập mạng, không cô lập việc chạy mẫu. "A sandbox that stores malware samples in a secure database" là kho mẫu (malware repository), chỉ lưu trữ chứ không chạy mẫu.

Đáp án đúng: "To detect changes made by software installations or modifications". Regshot chụp toàn bộ registry, và tuỳ chọn cả một số thư mục, trước khi chạy mẫu, chụp lại sau khi mẫu chạy, rồi so sánh hai bản để liệt kê khoá và giá trị được thêm, xoá hay đổi; nhờ đó nhà phân tích thấy ngay cơ chế bám trụ như khoá Run, dịch vụ mới hay cấu hình bị sửa mà mẫu để lại. "To compare system performance" là việc của Performance Monitor, Regshot không đo hiệu năng. "To analyze network traffic" là việc của Wireshark hay SmartSniff, registry không ghi lưu lượng mạng. "To optimize CPU usage" không liên quan, Regshot chỉ đọc và so sánh dữ liệu registry chứ không điều chỉnh tài nguyên hệ thống.

Đáp án đúng: "Honeyd". Khi mẫu liên lạc tới máy chủ điều khiển (C2) bằng IP viết cứng, nó không hỏi DNS, nên muốn giả lập phía bên kia phải có máy trả lời đúng tại IP đó. Honeyd dựng các máy ảo nhẹ nhận được nhiều địa chỉ IP tuỳ ý và chạy dịch vụ giả trên các cổng, nên tự nhận đúng IP cứng mà mẫu gọi tới. Câu này có tranh cãi: "Netcat" cũng đóng vai máy chủ điều khiển được, mở cổng lắng nghe và trả dữ liệu, nếu trước đó định tuyến lại IP cứng về máy lab bằng iptables; Honeyd được chọn vì không cần bước định tuyến đó. "MiniFake DNS" chỉ trả lời truy vấn DNS bằng IP của máy lab, vô dụng khi mẫu không phân giải tên miền. "Wireshark" chỉ quan sát và ghi gói tin, không trả lời mẫu nên không giả lập được tương tác.

Đáp án đúng: "Regshot". Regshot chụp ảnh registry, tuỳ chọn cả thư mục tệp, trước và sau khi chạy mẫu, rồi so hai ảnh để liệt kê khoá, giá trị và tệp được thêm, xoá hay sửa; vì công cụ cho ra đúng danh sách khác biệt nên nó khớp nhất với việc phát hiện thay đổi (detecting changes) trên hệ thống. Cần nói rõ chỗ tranh cãi: "Process Monitor" cũng ghi được mọi thao tác lên registry và tệp theo thời gian thực, nên nó cũng giúp thấy thay đổi, nhất là khi cần biết tiến trình nào gây ra; khác biệt là ProcMon ghi luồng sự kiện để người phân tích tự lọc, còn Regshot cho thẳng kết quả so sánh trạng thái trước sau, nên khi chỉ chọn một công cụ thì Regshot là đáp án. Bác: "Wireshark" bắt và giải mã gói tin mạng, cho thấy mẫu liên lạc với ai chứ không cho biết hệ thống bị đổi gì. "Netcat" là tiện ích đọc ghi kết nối TCP/UDP, trong lab thường dùng để giả lập máy chủ hay lắng nghe cổng, không phải công cụ phát hiện thay đổi.