Câu hỏi: IAP301 - Phần 6: Chính sách hạ tầng công nghệ

Đáp án đúng: "Routers and firewalls". Phân đoạn LAN (segmentation) là chia mạng nội bộ thành các vùng nhỏ để hạn chế lưu lượng và ngăn kẻ tấn công di chuyển ngang; router tách các mạng con và định tuyến giữa chúng, còn firewall lọc lưu lượng giữa các vùng theo luật, nên đây là cặp thiết bị điển hình của miền LAN. "Routers and gateways" chỉ đúng một nửa, vì gateway chủ yếu chuyển đổi giữa các giao thức hay mạng khác nhau chứ không phải công cụ chính để phân đoạn và lọc lưu lượng. "Gateways and servers" sai vì server là máy cung cấp dịch vụ, không phân đoạn mạng. "Servers and workstations" sai vì đó là các thiết bị đầu cuối nằm trong các phân đoạn chứ không tạo ra phân đoạn.

Đáp án đúng: "More controls than if you were in the office". Khi truy cập từ xa, người dùng ở ngoài vành đai bảo vệ vật lý và mạng nội bộ, đi qua mạng công cộng không tin cậy, thiết bị có thể bị mất hoặc nhiễm mã độc, nên rủi ro cao hơn. Vì vậy xác thực từ xa thường thêm kiểm soát: VPN mã hóa, xác thực đa yếu tố, kiểm tra tình trạng thiết bị, giới hạn phiên. "Fewer controls than if you were in the office" sai vì giảm kiểm soát trong môi trường rủi ro cao hơn là ngược nguyên tắc. "The same controls than if you were in the office" sai vì ở văn phòng đã có lớp bảo vệ vật lý và mạng nội bộ mà truy cập từ xa thiếu, nên phải bù thêm. "Less need for controls than in the office" sai vì nhu cầu kiểm soát tăng chứ không giảm.

Đáp án đúng: "True". RBAC (role-based access control, kiểm soát truy cập dựa trên vai trò) gán quyền cho vai trò như kế toán viên, nhân viên kho, quản trị hệ thống, rồi gán người dùng vào vai trò thay vì cấp quyền cho từng người. Nhờ vậy khi có nhân viên mới chỉ cần gán đúng vai trò là họ có ngay bộ quyền chuẩn, nên triển khai rất nhanh; và vì quyền gắn với chức năng công việc nên ai cũng nhìn rõ một vai trò được làm gì, dễ rà soát, dễ áp dụng nguyên tắc least privilege (đặc quyền tối thiểu). Đây đúng là hai ưu điểm lớn mà phát biểu nêu. Phương án "False" sai vì phủ nhận chính những lợi ích cốt lõi khiến RBAC được dùng rộng rãi; nhược điểm của RBAC nằm ở chỗ khác, như số vai trò phình to khi tổ chức phức tạp.

Đáp án đúng: "Between the private LAN and public WAN". DMZ (demilitarized zone, vùng phi quân sự) là phân đoạn mạng đặt giữa mạng nội bộ riêng và mạng công cộng như Internet, thường tạo bằng một hoặc hai tường lửa, để chứa các máy chủ phải phục vụ bên ngoài như web, email, DNS. Nếu máy chủ trong DMZ bị chiếm, kẻ tấn công vẫn bị tường lửa chặn không vào thẳng mạng nội bộ. Trong mô hình bảy miền hạ tầng CNTT, DMZ thuộc LAN-to-WAN Domain. Phương án "Inside the private LAN" sai vì đặt máy chủ công khai trong mạng nội bộ là mở đường cho tấn công vào thẳng bên trong. Phương án "Within the WAN" sai vì khi đó máy chủ phơi hoàn toàn ra Internet, không có lớp bảo vệ. Phương án "Within the mail server" sai vì DMZ là vùng mạng chứa máy chủ, không nằm bên trong một máy chủ. Phương án "Workstation Domain" sai vì miền này gồm máy tính của người dùng cuối. Phương án "Remote Access Domain" sai vì miền này lo kết nối của người dùng từ xa như VPN, không phải nơi đặt DMZ.

Đáp án đúng: "After a company decides to implement wireless and before it is installed". Chính sách an ninh cho mạng không dây nên được soạn sau khi tổ chức đã quyết định dùng không dây, vì lúc đó đã rõ nhu cầu kinh doanh, và trước khi lắp đặt, để yêu cầu như mã hoá WPA2/WPA3, xác thực, tách mạng khách được đưa vào thiết kế ngay từ đầu thay vì vá sau. "When the industry publishes new wireless standards" sai vì chuẩn mới ra không có nghĩa tổ chức sẽ dùng không dây; chính sách phải bám theo nhu cầu của tổ chức, chuẩn mới chỉ là lý do để rà soát chính sách đã có. "When a vendor presents wireless solutions to the business" sai vì lời chào hàng của nhà cung cấp chưa phải quyết định kinh doanh, soạn chính sách lúc đó là quá sớm. "When the next generation of wireless technology is launched" sai vì việc công nghệ thế hệ mới ra mắt cũng không liên quan tới quyết định triển khai của tổ chức.

Đáp án đúng: "6". Chính sách thiết bị di động (mobile device policy) thường đặt yêu cầu mật khẩu hay mã PIN mở khoá tối thiểu 6 chữ số, vì mã 6 chữ số có một triệu tổ hợp, gấp một trăm lần mã 4 chữ số, đủ làm việc đoán thử thủ công trở nên không khả thi khi kết hợp với khoá máy hoặc xoá dữ liệu sau nhiều lần nhập sai. Thuật ngữ PTC (pass through certificate) trong câu hỏi không xác minh được qua nguồn chuẩn nào, nên cần hiểu câu hỏi theo nghĩa độ dài mật khẩu tối thiểu trong chính sách thiết bị di động, và 6 chữ số là mức tối thiểu thường gặp. "5" thấp hơn ngưỡng thường gặp và cho số tổ hợp ít hơn mười lần so với mã 6 chữ số. "7" là độ dài hiếm khi được dùng làm chuẩn cho mã PIN di động, chỉ là mức tổ chức có thể tự đặt cao hơn. "8" cho độ an toàn cao hơn nên một số tổ chức vẫn yêu cầu, nhưng đó là mức nâng cao do chính sách riêng đặt ra, không phải yêu cầu tối thiểu được hỏi.