Câu hỏi: IAP301 - Phần 6: Chính sách hạ tầng công nghệ

Đáp án đúng: "LAN". Trong bảy miền hạ tầng CNTT, Remote Access Domain (miền truy cập từ xa) mô tả việc nhân viên ở ngoài văn phòng kết nối qua VPN vào LAN nội bộ để dùng máy chủ, ứng dụng và dữ liệu của công ty. Vì kết nối đi qua Internet không tin cậy, chính sách thường bắt buộc two-factor authentication (xác thực hai yếu tố), ví dụ mật khẩu cộng mã OTP. "Workstation" sai vì máy trạm là thiết bị đầu cuối nhân viên đăng nhập tại chỗ, không phải đích của phiên truy cập từ xa. "DMZ Web site" sai vì website đặt trong DMZ phục vụ công chúng, thường không đòi nhân viên xác thực hai yếu tố mới xem được. "WAN" sai vì mạng diện rộng chỉ là đường truyền nối các địa điểm, không phải tài nguyên nội bộ mà nhân viên cần đăng nhập vào.

Đáp án đúng: "Both". Voice over Internet Protocol (VoIP, thoại qua giao thức Internet) đóng gói tiếng nói thành gói IP, nên nó chạy được trên bất kỳ mạng IP nào, cả mạng nội bộ lẫn mạng diện rộng. Trong tổ chức, điện thoại IP gọi giữa các phòng ban đi qua LAN, còn cuộc gọi tới chi nhánh ở tỉnh khác hay ra nhà cung cấp dịch vụ đi qua WAN; vì thế chính sách bảo mật VoIP phải phủ cả hai miền hạ tầng. Chọn "LAN" là thiếu, vì VoIP không bị giới hạn trong một tòa nhà hay một khuôn viên. Chọn "WAN" cũng thiếu, vì phần lớn lưu lượng VoIP nội bộ thực tế đi trên mạng LAN trước khi ra ngoài. "Neither" sai hoàn toàn vì VoIP chỉ cần hạ tầng IP, mà cả LAN và WAN đều là mạng IP có thể mang lưu lượng thoại.

Đáp án đúng: "Between the private LAN and public WAN". DMZ (demilitarized zone, vùng phi quân sự) là phân đoạn mạng đặt giữa mạng nội bộ riêng và mạng công cộng bên ngoài, thường kẹp giữa hai tường lửa hoặc nằm trên một cổng riêng của tường lửa. Các máy chủ phải phục vụ người ngoài như web, email gateway hay DNS công khai được đặt ở đây, để nếu bị xâm nhập thì kẻ tấn công vẫn chưa vào được mạng nội bộ. "Inside the private LAN" sai vì đặt máy chủ công khai trong LAN là mở cửa cho người ngoài đi thẳng vào vùng tin cậy. "Within the WAN" sai vì WAN công cộng không do tổ chức kiểm soát, không thể đặt kiểm soát truy cập ở đó. "Within the mail server" sai vì DMZ là một vùng mạng, còn máy chủ thư chỉ là một hệ thống có thể được đặt trong DMZ.

Đáp án đúng: "Vulnerability Window". Vulnerability window (cửa sổ lỗ hổng) là khoảng thời gian từ lúc lỗ hổng được phát hiện tới khi bản vá được phát hành và phân phối; trong khoảng này hệ thống bị phơi nhiễm, nên chính sách quản lý bản vá cố rút ngắn nó và dùng biện pháp bù trừ như chặn cổng, tắt dịch vụ trong lúc chờ vá. "Zero Day" chỉ lỗ hổng hoặc mã khai thác xuất hiện khi nhà cung cấp chưa biết hay chưa có bản vá, tức là thời điểm mở đầu của cửa sổ chứ không phải tên của cả khoảng thời gian. "Exposure Period" chỉ là cụm từ mô tả chung, không phải thuật ngữ chuẩn cho khoảng từ phát hiện tới phân phối bản vá. "Risk Window" cũng không phải thuật ngữ chuẩn, hơn nữa rủi ro còn phụ thuộc mối đe dọa và tác động chứ không chỉ thời gian chờ vá.

Đáp án đúng: "Classifying assets and assigning accountability for them". System/Application Domain (miền hệ thống/ứng dụng) gồm máy chủ, ứng dụng và dữ liệu cốt lõi của tổ chức; chính sách cho miền này phải phân loại tài sản theo mức nhạy cảm và gán trách nhiệm cho chủ sở hữu, từ đó quyết định mức bảo vệ, quyền truy cập và yêu cầu sao lưu. "Providing a comprehensive list of approved websites" là nội dung lọc web, thuộc chính sách sử dụng Internet hoặc miền LAN-to-WAN, không phải trọng tâm của miền ứng dụng. "Outlining the dress code for IT staff" là quy định nhân sự, không liên quan bảo vệ hệ thống. "Describing the layout of office spaces for optimal security" thuộc an ninh vật lý của cơ sở, không phải khía cạnh then chốt của chính sách miền hệ thống/ứng dụng.

Đáp án đúng: "A technique that allows alteration of user-supplied input fields to build a SQL query". SQL injection (tấn công chèn mã SQL) xảy ra khi ứng dụng ghép trực tiếp dữ liệu người dùng nhập vào câu lệnh SQL mà không kiểm tra; kẻ tấn công nhập chuỗi đặc biệt như ' OR '1'='1 vào ô đăng nhập để thay đổi logic truy vấn, từ đó vượt qua xác thực, đọc hoặc xóa dữ liệu. Biện pháp phòng chống chuẩn là truy vấn tham số hóa (parameterized query), kiểm tra dữ liệu đầu vào và cấp quyền tối thiểu cho tài khoản cơ sở dữ liệu. Phương án "A method of encrypting data" sai vì SQL injection là kỹ thuật tấn công, không phải mã hóa. Phương án "A type of firewall configuration" sai vì đây không phải cấu hình tường lửa; tường lửa ứng dụng web chỉ là một lớp phòng thủ chống lại nó. Phương án "A way to back up databases" sai vì sao lưu là biện pháp khôi phục dữ liệu, không liên quan tới việc chèn mã vào truy vấn.

Đáp án đúng: "True". RBAC (role-based access control, kiểm soát truy cập theo vai trò) gán quyền cho các vai trò cố định như kế toán hay quản trị viên, người dùng nhận quyền khi được xếp vào vai trò đó. ABAC (attribute-based access control, kiểm soát truy cập theo thuộc tính) thì đánh giá tại mỗi yêu cầu các thuộc tính của người dùng, tài nguyên và môi trường như phòng ban, mức phân loại dữ liệu, thời gian, vị trí, nên quyền được quyết định động theo ngữ cảnh. Ví dụ một bác sĩ chỉ xem được hồ sơ bệnh nhân của khoa mình trong ca trực. Vì phát biểu mô tả đúng sự khác biệt này nên "False" không được chọn.

Đáp án đúng: "Flat network". Flat network (mạng phẳng) là mạng mà mọi thiết bị nằm chung một miền, không có phân đoạn hay ranh giới kiểm soát bên trong; một router ra Internet cộng các switch không quản lý (unmanaged switch, không cấu hình được VLAN hay ACL) đúng là mô hình này. Nó rẻ và dễ dựng cho doanh nghiệp nhỏ nhưng một máy bị nhiễm có thể lan sang mọi máy khác. "Segmented network" đòi hỏi chia mạng thành các vùng như VLAN hay subnet có tường lửa hoặc ACL ngăn cách, điều switch không quản lý không làm được. "Hierarchical network" là thiết kế nhiều tầng như core, distribution và access, thường thấy ở mạng lớn, không phải mạng 15 người qua một router. "Mesh network" là cấu trúc mà các nút nối với nhiều nút khác để có đường dự phòng, trong khi ở đây mọi thứ đi qua một router duy nhất.

Đáp án đúng: "Security". Truy cập từ xa mở một đường đi từ Internet vào LAN nội bộ, nên mối lo chung của tổ chức là an ninh: thiết bị ở nhà không do công ty quản lý, thông tin đăng nhập có thể bị đánh cắp, phiên kết nối có thể bị nghe lén. Vì vậy chính sách truy cập từ xa thường đòi VPN mã hóa, xác thực hai yếu tố và kiểm tra tình trạng thiết bị trước khi cho kết nối. "Cost" không phải mối lo chính vì VPN và dịch vụ truy cập từ xa ngày nay tương đối rẻ so với thiệt hại của một vụ xâm nhập. "Bandwidth" là vấn đề hiệu năng, giải quyết được bằng nâng cấp đường truyền. "Speed" cũng thuộc trải nghiệm người dùng; kết nối chậm gây phiền nhưng không đe dọa tài sản thông tin như lỗ hổng an ninh.

Đáp án đúng: "After a company decides to implement wireless and before it is installed". Chính sách an ninh không dây nên được viết sau khi doanh nghiệp quyết định dùng mạng không dây và trước khi lắp đặt, vì chính sách phải đặt ra yêu cầu như chuẩn mã hóa, cách xác thực, tách mạng khách, cấm điểm truy cập tự lắp để dẫn dắt việc thiết kế và cấu hình ngay từ đầu; viết sau khi đã lắp thì phải sửa lại hạ tầng và có một khoảng thời gian mạng chạy mà không được kiểm soát. Phương án "When the industry publishes new wireless standards" sai vì chuẩn mới là lý do để rà soát, cập nhật chính sách đã có chứ không phải thời điểm viết lần đầu. Phương án "When a vendor presents wireless solutions to the business" sai vì chính sách phải xuất phát từ nhu cầu và rủi ro của tổ chức, không phải từ lời chào hàng của nhà cung cấp. Phương án "When the next generation of wireless technology is launched" sai vì việc công nghệ mới ra đời không gắn với quyết định triển khai của tổ chức.

Đáp án đúng: "Regular patch management and antivirus enforcement". Workstation Domain (miền máy trạm) gồm máy tính để bàn và laptop người dùng làm việc hằng ngày; rủi ro chính ở đây là lỗ hổng hệ điều hành, ứng dụng chưa vá và mã độc lây qua email, web hay USB. Vá định kỳ và bắt buộc phần mềm diệt virus luôn bật, cập nhật là biện pháp trực tiếp gia cố miền này. "Network redundancy" thuộc LAN và WAN, tăng tính sẵn sàng của đường truyền chứ không làm máy trạm an toàn hơn. "Vendor risk assessment" thuộc quản lý rủi ro bên thứ ba, đánh giá nhà cung cấp trước khi ký hợp đồng. "Incident response tabletop exercises" là diễn tập ứng phó sự cố trên giấy cho đội ngũ, giúp tổ chức phản ứng tốt hơn khi có sự cố nhưng không gia cố trực tiếp cấu hình của máy trạm.

Đáp án đúng: "Inventory management". Inventory management (quản lý kiểm kê tài sản) là việc theo dõi danh sách phần cứng và phần mềm có trên từng máy trạm, gồm tên, phiên bản và giấy phép. Biết chính xác phần mềm nào đang được cài là nền tảng để phát hiện phần mềm trái phép, kiểm soát bản quyền và xác định máy nào cần vá khi có lỗ hổng. Phương án "Patch management" là quản lý bản vá, dùng dữ liệu kiểm kê để biết máy nào cần cập nhật, nhưng mục đích của nó là cài bản vá chứ không phải nắm phần mềm đang có. Phương án "Security management" là khái niệm rộng bao trùm mọi hoạt động an ninh, không chỉ riêng việc nắm danh mục phần mềm. Phương án "Discovery management" gần nghĩa vì công cụ dò quét giúp phát hiện thiết bị và phần mềm trên mạng, nhưng đó là phương tiện thu thập dữ liệu cho quản lý kiểm kê, không phải tên loại quản lý được hỏi.

Đáp án đúng: "Using anti-malware software on all devices". Malicious Code Protection standard (tiêu chuẩn chống mã độc) là tiêu chuẩn kiểm soát yêu cầu mọi thiết bị như máy trạm, máy chủ, thiết bị di động đều cài phần mềm chống mã độc, cập nhật mẫu nhận diện thường xuyên và quét định kỳ, để phát hiện và ngăn virus, trojan, ransomware. "Disabling all software installations" là cực đoan, làm tê liệt công việc; tiêu chuẩn chỉ hạn chế cài phần mềm không được phê duyệt chứ không cấm hết. "Sharing malware definitions with users" không phải yêu cầu của tiêu chuẩn, vì mẫu nhận diện được phần mềm tự cập nhật, người dùng không cần nhận hay xử lý chúng. "Blocking all network traffic" sẽ chặn luôn hoạt động kinh doanh; tường lửa chỉ lọc lưu lượng không được phép, và đó là tiêu chuẩn khác.

Đáp án đúng gồm hai ý: "Employees with VPN privileges must not share their VPN credentials to the organization's internal networks with unauthorized users" và "VPN use must be controlled using one-time password authentication.". Control statement (tuyên bố kiểm soát) trong Remote Access Domain (miền truy cập từ xa) là câu quy định ngắn, rõ ràng, kiểm chứng được về cách người dùng từ xa kết nối vào mạng nội bộ. Cấm chia sẻ thông tin đăng nhập VPN bảo đảm accountability (trách nhiệm giải trình cá nhân), còn one-time password (mật khẩu dùng một lần) là xác thực mạnh, mỗi mã chỉ dùng được một lần nên bị đánh cắp cũng khó tái sử dụng. Phương án "VPN users will be automatically disconnected from the the organization's network after 30 minutes of activity." sai vì ngắt kết nối khi người dùng đang làm việc chỉ gây gián đoạn mà không tăng an ninh; kiểm soát hợp lý là ngắt phiên sau một khoảng không hoạt động (inactivity timeout). Phương án "VPN use must be controlled using static password authentication." sai vì mật khẩu tĩnh dùng lại nhiều lần, dễ bị đoán, đánh cắp hay phát lại, không đủ mạnh cho kết nối từ xa vào mạng nội bộ.

Đáp án đúng: "Inbound traffic with a source address indicating that the packet originated on a network behind the firewall.". Gói tin đi từ ngoài vào mà mang địa chỉ nguồn thuộc mạng nội bộ phía sau tường lửa là dấu hiệu giả mạo địa chỉ (IP spoofing), vì gói tin thật của mạng nội bộ không thể đi vào từ phía bên ngoài. Kẻ tấn công dùng cách này để lách các quy tắc tin cậy địa chỉ nội bộ, nên tiêu chuẩn kiểm soát miền LAN yêu cầu tường lửa luôn chặn loại lưu lượng này. "Inbound traffic from an authenticated system with a destination address of the firewall system." không phải luôn bị chặn, vì quản trị viên từ hệ thống đã xác thực vẫn cần kết nối tới tường lửa để quản lý. "Inbound traffic containing Hypertext Transfer Protocol (HTTP) traffic." là lưu lượng web hợp lệ, được phép khi tổ chức cung cấp dịch vụ web. "Inbound traffic containing Domain Name System (DNS) traffic." cũng hợp lệ khi tổ chức vận hành máy chủ DNS hoặc nhận phản hồi tra cứu tên miền.

Đáp án đúng: "False". Network segmentation (phân đoạn mạng) chia mạng thành các vùng nhỏ như VLAN hay subnet để giới hạn máy nào được nói chuyện với máy nào, nhờ đó thu hẹp phạm vi lây lan khi một vùng bị xâm nhập. Thiết bị đóng vai người gác, kiểm tra và lọc bỏ lưu lượng trái phép theo bộ luật là firewall (tường lửa). Trong thực tế hai thứ thường đi cùng nhau, firewall đặt ở ranh giới giữa các phân đoạn, nhưng bản thân việc phân đoạn không thực hiện chức năng lọc. Vì vậy phát biểu gán chức năng của firewall cho mạng phân đoạn là sai, và "True" không được chọn vì nó đồng nhất cấu trúc chia vùng với thiết bị kiểm soát lưu lượng.

Đáp án đúng: "To identify risk of fraud". Major applications (ứng dụng lớn) như hệ thống tài chính, bảng lương hay ERP xử lý dữ liệu và giao dịch có giá trị, nên đánh giá rủi ro cho chúng nhằm nhận diện mối đe dọa với quy trình nghiệp vụ, trong đó gian lận là rủi ro điển hình, ví dụ một người vừa tạo vừa duyệt thanh toán. Kết quả đánh giá dẫn tới các kiểm soát như separation of duties (phân tách nhiệm vụ) và nhật ký kiểm toán. "To enhance user interface" là mục tiêu thiết kế trải nghiệm người dùng, không phải mục đích của đánh giá rủi ro. "To reduce development time" là mục tiêu quản lý dự án; đánh giá rủi ro thậm chí còn thêm việc vào quá trình phát triển. "To increase application performance" là mục tiêu tối ưu kỹ thuật, không liên quan tới việc nhận diện rủi ro an ninh.

Đáp án đúng: "True". Thiết bị do công ty sở hữu là tài sản của tổ chức, và chính sách thiết bị di động hay chính sách sử dụng chấp nhận được thường nêu rõ bộ phận CNTT được quyền xóa từ xa (remote wipe) toàn bộ thiết bị khi bị mất, bị đánh cắp hoặc khi nhân viên nghỉ việc, để ngăn dữ liệu công ty rơi vào tay người khác. Vì việc xóa thường áp lên cả thiết bị, dữ liệu cá nhân mà nhân viên tự lưu trên đó cũng có thể bị xóa; người dùng được thông báo và chấp nhận điều này khi nhận thiết bị, nên họ được khuyên không lưu dữ liệu riêng quan trọng trên máy công ty. Phương án "False" sai vì nó cho rằng công ty không có quyền đó, trong khi quyền xóa từ xa vì lý do an ninh là kiểm soát phổ biến và hợp lệ trên tài sản do công ty sở hữu.

Đáp án đúng: "Router Security Controls". Đây là tiêu chuẩn đặt ra cấu hình an ninh tối thiểu cho mọi router và switch trong hạ tầng mạng, chẳng hạn đổi mật khẩu mặc định, tắt dịch vụ không dùng, quản trị qua kênh mã hóa như SSH, giới hạn ai được truy cập giao diện quản trị và bật ghi nhật ký. Một tiêu chuẩn như vậy giúp mọi thiết bị mạng có chung một mức an ninh nền, dễ kiểm tra và khó bị bỏ sót. Phương án "Firewall Configuration Standard" chỉ áp dụng cho tường lửa, quy định tập luật lọc lưu lượng chứ không bao trùm router và switch. Phương án "Intrusion Detection and Prevention Standard" quy định việc triển khai và giám sát hệ thống IDS/IPS để phát hiện, chặn xâm nhập, không phải cấu hình nền cho thiết bị mạng. Phương án "Network Time Protocol Standard" chỉ quy định đồng bộ thời gian giữa các thiết bị để nhật ký có dấu thời gian nhất quán, một mục nhỏ chứ không phải toàn bộ cấu hình an ninh tối thiểu.

Đáp án đúng: "Internet". DMZ (demilitarized zone, vùng phi quân sự) là phân đoạn mạng đặt giữa mạng nội bộ LAN và Internet, thường được giới hạn bởi tường lửa ở hai phía. Các máy chủ phải cho bên ngoài truy cập như web, email, DNS công khai được đặt trong DMZ, nên nếu chúng bị chiếm thì kẻ tấn công vẫn chưa vào thẳng được LAN. Đây là một phần của miền LAN-to-WAN trong hạ tầng CNTT. "Phone network" là mạng điện thoại truyền thống, không phải vùng mà DMZ được thiết kế để ngăn cách. "Cellular network" là mạng di động của nhà mạng; thiết bị di động có thể vào hệ thống qua Internet, nhưng DMZ không được định nghĩa là ranh giới với mạng di động. "VoIP Network" là mạng thoại qua IP, thường là một phân đoạn nằm bên trong hạ tầng của tổ chức, không phải mạng không tin cậy bên ngoài mà DMZ đứng chắn.