IAP301 - Phần 10: Hệ thống tuân thủ chính sách tự động

Đáp án đúng: "To establish and maintain configuration information throughout a system's lifecycle". Configuration management (quản lý cấu hình) là quá trình thiết lập cấu hình chuẩn (baseline) cho hệ thống, ghi nhận và kiểm soát mọi thay đổi để thông tin cấu hình luôn chính xác từ lúc triển khai tới lúc loại bỏ hệ thống; nhờ đó tổ chức phát hiện được thay đổi trái phép và khôi phục cấu hình an toàn khi cần. Phương án "To deploy patches" là nhiệm vụ của patch management (quản lý bản vá), có liên quan nhưng chỉ là một loại thay đổi được kiểm soát chứ không phải mục đích của quản lý cấu hình. Phương án "To monitor user activities" thuộc về giám sát và ghi nhật ký hoạt động người dùng, không phải quản lý cấu hình hệ thống. Phương án "To ensure systems are up to date" mô tả mục tiêu cập nhật phiên bản, gần với quản lý bản vá; một hệ thống được quản lý cấu hình tốt vẫn có thể giữ phiên bản cũ có chủ đích miễn là đúng baseline đã phê duyệt.

Đáp án đúng: "Remote browser access". Remote browser access, còn gọi là remote browser isolation (cô lập trình duyệt từ xa), cho người dùng duyệt web qua một trình duyệt chạy trên máy chủ hoặc vùng cách ly bên ngoài; máy người dùng chỉ nhận luồng hiển thị đã được làm sạch, nên mã độc, script hay khai thác lỗ hổng trình duyệt không chạm được tới máy trạm và mạng nội bộ. Vì vậy đây là công nghệ chặn tấn công qua trình duyệt từ gốc. Phương án "Anti-malware in browsers" chủ yếu phát hiện mã độc đã biết, mã vẫn chạy trên máy người dùng nên không ngăn được khai thác mới. Phương án "Adware remover in browsers" chỉ gỡ phần mềm quảng cáo sau khi nó đã cài vào, không chống tấn công. Phương án "Incognito mode in a browser" chỉ không lưu lịch sử và cookie sau phiên, hoàn toàn không bảo vệ khỏi mã độc hay trang web độc hại.

Đáp án đúng: "All of the above". Ánh xạ (mapping) yêu cầu quy định tới chính sách và kiểm soát là việc chỉ rõ mỗi điều khoản của luật như SOX hay HIPAA được đáp ứng bởi chính sách nào và kiểm soát cụ thể nào; bảng ánh xạ này phục vụ đồng thời nhiều mục đích. "To demonstrate compliance to regulators" đúng vì khi kiểm toán, tổ chức đưa bảng ánh xạ ra làm bằng chứng mình đã đáp ứng từng yêu cầu. "To ensure regulatory requirements are covered" đúng vì ánh xạ giúp phát hiện điều khoản chưa có kiểm soát nào đáp ứng để bổ sung. "To demonstrate the importance of a security control" cũng đúng, vì một kiểm soát gắn với nhiều yêu cầu pháp lý cho thấy nó quan trọng, giúp ưu tiên ngân sách và giải thích cho người dùng vì sao phải tuân theo. Mỗi ý là một lợi ích riêng nên chỉ phương án gộp là đầy đủ.

Đáp án đúng: "All of the above". Gắn yêu cầu pháp lý với chính sách và kiểm soát nghĩa là lập bảng ánh xạ từ từng điều khoản luật, ví dụ của SOX hay HIPAA, tới chính sách và kiểm soát cụ thể thực hiện nó. Việc này mang lại cả ba lợi ích được nêu. "To demonstrate compliance to regulators" đúng vì khi thanh tra hỏi, tổ chức chỉ ra được kiểm soát nào đáp ứng điều khoản nào. "To ensure regulatory requirements are covered" đúng vì ánh xạ giúp phát hiện điều khoản chưa có kiểm soát nào đáp ứng, tránh bỏ sót. "To demonstrate the importance of a security control" cũng đúng vì một kiểm soát gắn với yêu cầu luật cho thấy nó bắt buộc, giúp thuyết phục ban lãnh đạo cấp ngân sách và tránh bị cắt bỏ. Mỗi ý chỉ là một mặt, nên đáp án gộp mới đầy đủ.

Đáp án đúng: "Data Leakage Protection Inventory". Data leakage protection, hay DLP (bảo vệ chống rò rỉ dữ liệu), bắt đầu bằng việc lập inventory (danh mục kiểm kê): quét và lập danh sách mọi nơi lưu trữ và xử lý dữ liệu nhạy cảm như cơ sở dữ liệu, thư mục chia sẻ, máy trạm ở từng văn phòng. Có danh mục này mới biết phải giám sát và bảo vệ ở đâu. "DLP Encryption Key" là khóa mã hóa, dùng để bảo vệ dữ liệu, không giúp liệt kê vị trí dữ liệu. "Data Loss Protection Perimeter" nói về ranh giới, điểm kiểm soát ở biên mạng để chặn dữ liệu đi ra, là bước giám sát chứ không phải lập danh mục. "DLP Trojans" là khái niệm phần mềm độc hại, hoàn toàn không phải công cụ bảo vệ dữ liệu hợp lệ.

Đáp án đúng: "Data Leakage Protection Inventory". Trong một chương trình DLP (data loss/leakage protection, chống rò rỉ dữ liệu), thành phần inventory (kiểm kê) dùng để quét máy chủ, cơ sở dữ liệu, thư mục chia sẻ và máy trạm nhằm tìm ra dữ liệu nhạy cảm như số thẻ tín dụng hay thông tin cá nhân đang nằm ở đâu, để biết cần bảo vệ chỗ nào. "DLP Encryption Key" là khóa dùng để mã hóa dữ liệu, giúp bảo vệ chứ không giúp phát hiện dữ liệu nằm ở đâu. "Data Loss Protection Perimeter" là lớp giám sát tại biên mạng, kiểm tra dữ liệu nhạy cảm đang rời khỏi tổ chức qua email hay web, tức theo dõi dữ liệu đang truyền chứ không lập danh mục nơi lưu trữ. "DLP Trojans" không phải thành phần của DLP; trojan là mã độc mà chính DLP và các kiểm soát khác phải ngăn chặn.

Đáp án đúng: "To measure systems and networks for security compliance.". SCAP (Security Content Automation Protocol) là bộ đặc tả do NIST duy trì, gom các chuẩn như CVE, CCE, CVSS, XCCDF và OVAL để công cụ có thể tự động quét cấu hình, đo lỗ hổng và kiểm tra hệ thống, mạng có tuân thủ cấu hình an ninh chuẩn hay không, ví dụ đối chiếu máy trạm với một bộ tiêu chuẩn cấu hình. "To decrease security in IT systems." sai vì SCAP sinh ra để nâng mức an ninh và tuân thủ, không bao giờ nhằm giảm an ninh. "For the entertainment of IT personnel." sai vì SCAP là chuẩn kỹ thuật phục vụ đánh giá an ninh, không có mục đích giải trí. "SCAP is a communication protocol for social media." sai vì dù tên có chữ protocol, SCAP không phải giao thức truyền tin hay mạng xã hội mà là bộ chuẩn mô tả nội dung kiểm tra an ninh.

Đáp án đúng: "WMI". SCAP (Security Content Automation Protocol) là bộ chuẩn do NIST duy trì để tự động hóa việc kiểm tra cấu hình và lỗ hổng, gồm các ngôn ngữ, cách đặt tên và hệ thống chấm điểm như XCCDF, OVAL, CPE, CVE, CCE và CVSS. Câu hỏi phủ định nên đáp án là phần tử không thuộc bộ này: WMI (Windows Management Instrumentation) là công nghệ quản trị của Microsoft; công cụ quét có thể dùng WMI để thu thập dữ liệu từ máy Windows, nhưng nó không phải thành phần SCAP. "XCCDF" là ngôn ngữ mô tả checklist và kết quả đánh giá cấu hình, thuộc SCAP. "OVAL" là ngôn ngữ mô tả cách kiểm tra trạng thái hệ thống để phát hiện lỗ hổng hay cấu hình sai, cũng thuộc SCAP. "CPE" là quy ước đặt tên chuẩn cho hệ điều hành, phần mềm và phần cứng, cũng là thành phần của SCAP.

Đáp án đúng: "It provides a standardized risk score to determine patch criticality". OWASP Risk Rating Methodology (phương pháp xếp hạng rủi ro của OWASP) ước lượng rủi ro của một lỗ hổng bằng cách kết hợp khả năng xảy ra (likelihood) và mức tác động (impact) thành một điểm chuẩn hoá; trong quản lý bản vá, điểm này giúp xếp thứ tự ưu tiên, vá lỗ hổng rủi ro cao trước. "It automates the patching process" sai vì đây là phương pháp đánh giá, việc tự động hoá do công cụ quản lý bản vá đảm nhận. "It ensures patches are applied within a specific timeframe" sai vì thời hạn vá do chính sách quản lý bản vá quy định. "It evaluates the financial impact of patches" sai vì nó đánh giá rủi ro của lỗ hổng chứ không tính chi phí của bản vá.

Đáp án đúng: "The protocol's capability to manage and query network devices for compliance.". SNMP (Simple Network Management Protocol, giao thức quản lý mạng đơn giản) cho phép trạm quản lý truy vấn và cấu hình thiết bị mạng như router, switch, máy chủ, thu thập thông tin cấu hình và trạng thái, nhận cảnh báo trap. Nhờ đó tổ chức kiểm tra thiết bị có cấu hình đúng tiêu chuẩn của chính sách hay không, phát hiện lệch chuẩn. "Its ability to manage non-IT related tasks." sai vì SNMP chỉ dành cho thiết bị mạng và hệ thống CNTT. "SNMP's exclusive use for email server management." sai vì SNMP không chuyên cho máy chủ email, email dùng giao thức khác như SMTP. "Its role in managing physical security barriers." sai vì rào chắn an ninh vật lý không phải đối tượng của giao thức quản lý mạng.

Đáp án đúng: "A coding error in the heartbeat routine.". Heartbleed (CVE-2014-0160) là lỗi lập trình trong phần xử lý tiện ích heartbeat của thư viện OpenSSL: mã không kiểm tra độ dài thực của dữ liệu mà bên gửi khai báo, nên kẻ tấn công có thể đòi máy chủ trả về tới khoảng 64 KB bộ nhớ, trong đó có thể chứa khoá riêng, mật khẩu hay phiên đăng nhập. Bài học cho chính sách là cần quản lý bản vá và kiểm định mã của thành phần mã nguồn mở. "A password weakness." sai vì lỗi không liên quan tới mật khẩu yếu; mật khẩu chỉ là một trong những thứ có thể bị lộ do lỗi. "An outdated encryption method." sai vì thuật toán mã hoá không bị phá, lỗi nằm ở cách cài đặt chứ không ở thuật toán. "An SQL injection vulnerability." sai vì SQL injection là lỗi chèn câu lệnh vào cơ sở dữ liệu của ứng dụng web, không liên quan tới thư viện TLS.