Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "Self-signed". Chứng chỉ tự ký (self-signed certificate) là chứng chỉ do chính chủ thể tạo cặp khóa rồi tự ký lên chứng chỉ của mình, không qua một tổ chức cấp chứng chỉ (CA, certificate authority) bên thứ ba; công cụ như Keychain của macOS cho phép tạo loại này để dùng nội bộ, nơi các máy trong mạng được cấu hình để tin cậy nó. "Public" không phải một loại chứng chỉ mà là tên của khóa công khai trong cặp khóa, hoặc chỉ chứng chỉ do CA công cộng cấp, điều không xảy ra ở đây vì quản trị viên tự tạo mọi thứ. "Private" cũng chỉ là khóa riêng, phần phải giữ bí mật trong cặp khóa, chứ không phải một kiểu chứng chỉ. "Signed" quá chung chung: mọi chứng chỉ đều được ký, điều cần phân biệt là ai ký, và khi người ký chính là người tạo chứng chỉ thì đó là tự ký. Về cơ chế, chữ ký số được tạo bằng khóa riêng và được kiểm chứng bằng khóa công khai tương ứng.

Đáp án đúng: "A digital signature cannot be moved from one document to another.". Digital signature (chữ ký số) được tạo bằng cách băm nội dung tài liệu rồi mã hoá giá trị băm đó bằng khoá riêng (private key) của người ký; vì giá trị băm phụ thuộc vào đúng nội dung từng tài liệu, chữ ký của tài liệu này đem gắn sang tài liệu khác sẽ không khớp khi kiểm bằng khoá công khai, nên không thể di chuyển. "Digital signatures are issued once per user, to be used on all documents until they expire." sai vì thứ được cấp cho người dùng và có hạn dùng là chứng chỉ số cùng cặp khoá, còn chữ ký được tạo mới cho từng tài liệu. "A digital signature is a plain hash of the document contents." sai vì một giá trị băm trơn ai cũng tính lại được, không chứng minh được ai đã ký; chữ ký số là giá trị băm đã được ký bằng khoá riêng. "Digitals signatures are issued per file type, allowing each to be used on multiple files until they expire." sai vì chữ ký không gắn với loại tệp và không dùng lại cho nhiều tệp, mỗi tệp có nội dung khác nhau thì chữ ký khác nhau.

Đáp án đúng: "biometric controls". Xác thực đa yếu tố (multifactor authentication, MFA) đòi kết hợp ít nhất hai loại yếu tố khác nhau: thứ bạn biết (mật khẩu, mã PIN), thứ bạn có (thẻ, token) và thứ bạn là (đặc điểm sinh trắc); thêm kiểm soát sinh trắc như vân tay, mống mắt vào thẻ ra vào hiện có sẽ tạo thêm một loại yếu tố cho lối vào trung tâm dữ liệu. "access control vestibule" (buồng đệm kiểm soát ra vào, còn gọi mantrap) là biện pháp vật lý chống bám đuôi, giữ người trong khoang giữa hai cửa, tự nó không thêm loại yếu tố xác thực nào. "video surveillance" chỉ ghi hình và giám sát để phát hiện, điều tra sau, không xác thực danh tính người vào. "minimum password requirements" chỉ làm mạnh thêm yếu tố thứ bạn biết; mật khẩu dài hơn vẫn là một yếu tố duy nhất nên không thành đa yếu tố.

Đáp án đúng: "Web of trust". PGP (Pretty Good Privacy) không dựa vào một tổ chức cấp chứng chỉ trung tâm mà dùng mô hình web of trust (mạng lưới tin cậy): mỗi người dùng tự ký xác nhận khoá công khai của những người mình đã kiểm chứng, và niềm tin lan truyền qua các chữ ký đó, nên nếu bạn tin một người và người đó đã ký khoá của người thứ ba thì bạn có cơ sở tin khoá ấy. "Central authority" mô tả cách tiếp cận của hạ tầng khoá công khai PKI với một CA (Certificate Authority) đứng ra bảo lãnh, đó là mô hình của chứng chỉ X.509 chứ không phải PGP. "Web of users" nghe giống nhưng không phải thuật ngữ mật mã nào; điều quan trọng không phải là có nhiều người dùng mà là các chữ ký tin cậy họ trao cho nhau. "Central trust authority" cũng là một biến thể của mô hình tập trung, trái ngược với tinh thần phi tập trung của PGP.

Đáp án đúng: "Opens the Task Scheduler". taskschd.msc là snap-in của Microsoft Management Console mở Task Scheduler (bộ lập lịch tác vụ), nơi xem và tạo các tác vụ chạy tự động theo thời gian hoặc theo sự kiện; người kiểm thử lẫn người phòng thủ đều soi nơi này vì tác vụ lập lịch là cơ chế persistence (duy trì truy cập) phổ biến. "Opens the registry editor" sai vì trình sửa registry được mở bằng regedit, không phải taskschd.msc. "Launches PowerShell" sai vì PowerShell khởi chạy bằng powershell.exe hoặc pwsh, là một shell dòng lệnh chứ không phải bảng điều khiển MMC. "Displays user accounts" sai vì quản lý tài khoản cục bộ dùng lusrmgr.msc hoặc lệnh net user; Task Scheduler chỉ cho biết tác vụ chạy dưới tài khoản nào, không phải công cụ quản lý người dùng.

Đáp án đúng gồm ba ý: "PowerSploit", "WinRM" và "Empire". Living off the land (sống nhờ tài nguyên sẵn có) là kiểu hậu khai thác dùng chính các thành phần hợp lệ của Windows như PowerShell, WMI hay dịch vụ quản trị từ xa, nên hoạt động hòa lẫn vào việc quản trị bình thường và khó bị phát hiện. "PowerSploit" là bộ mô-đun PowerShell, "Empire" là khung hậu khai thác chạy tác tử PowerShell, còn "WinRM" là dịch vụ quản trị từ xa có sẵn trong Windows; cả ba đều dựa vào thành phần gốc của hệ điều hành. "Twittor" là công cụ điều khiển và chỉ huy (C2) dùng tin nhắn trực tiếp của Twitter làm kênh liên lạc, tức dựa vào dịch vụ bên ngoài chứ không phải công cụ sẵn có của hệ thống. "Socat" là tiện ích chuyển tiếp dữ liệu giữa hai kênh, phải mang vào máy nạn nhân. "WMImplant" là công cụ PowerShell khai thác WMI, nhưng trong nhóm này nó được xếp như một implant (cấy ghép) do kẻ tấn công đưa vào chứ không phải thành phần quản trị gốc nên không thuộc ba ý được chọn.

Đáp án đúng gồm hai ý: "pwd" và "cat". Meterpreter (payload tương tác của Metasploit chạy trong bộ nhớ máy mục tiêu) cung cấp một số lệnh mô phỏng shell Unix để thao tác hệ tệp, trong đó "pwd" in thư mục làm việc hiện tại và "cat" hiển thị nội dung một tệp, đúng như chức năng của hai lệnh cùng tên trên Linux. "hashdump" là lệnh riêng của Meterpreter dùng để trích xuất các giá trị băm mật khẩu từ cơ sở dữ liệu SAM của Windows, Linux không có lệnh gốc nào như vậy. "clearev" cũng là lệnh riêng của Meterpreter, xóa nhật ký sự kiện (event log) Application, System và Security trên Windows, một hành vi xóa dấu vết mà đội phòng thủ nên giám sát bằng cách chuyển nhật ký sang máy chủ tập trung. "resource" dùng để chạy lần lượt các lệnh ghi sẵn trong một tệp resource script của Metasploit, không phải lệnh chuẩn của shell Linux.

Đáp án đúng: "Empire". Empire là khung hậu khai thác (post-exploitation framework) mã nguồn mở viết trên PowerShell và Python, cung cấp sẵn các module như keylogger, bind shell, reverse shell và kênh liên lạc tuỳ biến giữa agent với máy chủ điều khiển để khó bị phát hiện; người phòng thủ thường săn nó qua nhật ký PowerShell và lưu lượng beacon bất thường. "BloodHound" sai vì đây là công cụ lập đồ thị quan hệ trong Active Directory để tìm đường leo quyền, không phải khung triển khai module hậu khai thác. "Sysinternals" sai vì đó là bộ tiện ích quản trị và chẩn đoán Windows của Microsoft như Process Explorer hay PsExec, không phải framework tấn công. "WMI" sai vì Windows Management Instrumentation là thành phần quản trị có sẵn của Windows; kẻ tấn công có thể lợi dụng nó, nhưng bản thân nó không phải khung mã nguồn mở chứa keylogger hay shell.

Đáp án đúng: "It involves direct interaction with the target systems". Thu thập thông tin chủ động (active information gathering, active reconnaissance) là việc người kiểm thử gửi lưu lượng trực tiếp tới hệ thống mục tiêu, ví dụ quét cổng bằng Nmap, dò phiên bản dịch vụ hay truy vấn thẳng máy chủ DNS của mục tiêu; vì có tương tác nên hoạt động này có thể bị IDS hay nhật ký ghi nhận. "It avoids any interaction with the target" mô tả điều ngược lại, tức thu thập thụ động (passive reconnaissance) như tra OSINT, WHOIS, kết quả tìm kiếm. "It uses social media exclusively" sai vì mạng xã hội chỉ là một nguồn OSINT và thường thuộc nhóm thụ động, không phải định nghĩa của thu thập chủ động. "It requires physical access to the system" sai vì quét chủ động thường làm từ xa qua mạng; tiếp cận vật lý là một hướng kiểm thử riêng (physical penetration testing).

Đáp án đúng: "Authenticated scan". Authenticated scan (quét có xác thực, còn gọi là credentialed scan) là lần quét mà công cụ như Nessus hay OpenVAS được cấp tài khoản quản trị, root trên Linux hay administrator trên Windows, để đăng nhập vào máy đích, đọc phiên bản gói phần mềm, bản vá, cấu hình và tệp hệ thống, nhờ đó cho kết quả chi tiết và ít báo động giả hơn. "Unauthenticated scan" chỉ nhìn hệ thống từ bên ngoài như một kẻ tấn công chưa có tài khoản, nên chỉ thấy dịch vụ đang mở và thông tin banner. "Discovery scan" là bước dò tìm máy đang hoạt động và cổng mở để lập danh mục tài sản, không đi sâu vào thông tin nội bộ. "Passive scan" chỉ nghe lưu lượng hoặc thu thập dữ liệu mà không gửi gói tới đích, càng không dùng thông tin đăng nhập nào.

Đáp án đúng: "whois". whois truy vấn cơ sở dữ liệu đăng ký tên miền của nhà đăng ký và các cơ quan cấp phát địa chỉ, trả về chủ thể đăng ký, ngày tạo, máy chủ tên cùng đầu mối liên hệ kỹ thuật và hành chính; đây là trinh sát thụ động (passive reconnaissance) vì không gửi gói tin nào tới hạ tầng của mục tiêu. "netstat" sai vì nó chỉ hiển thị kết nối mạng, cổng đang lắng nghe và bảng định tuyến trên chính máy chạy lệnh, không cho biết gì về chủ tên miền. "dig" sai vì dig truy vấn bản ghi DNS như A, MX, NS hay TXT để biết tên miền trỏ tới đâu, chứ không được thiết kế để trả về người liên hệ kỹ thuật hay hành chính. "nmap" sai vì nmap quét cổng và dịch vụ, tức trinh sát chủ động (active reconnaissance) gửi gói tin trực tiếp tới mục tiêu.

Đáp án đúng: "Wayback Machine". Đây là dịch vụ lưu trữ của Internet Archive, chụp và lưu lại các phiên bản cũ của trang web theo thời gian; trong giai đoạn trinh sát thụ động (passive reconnaissance), người kiểm thử dùng nó để tìm trang đã gỡ, tên nhân viên, đường dẫn hay thông tin cấu hình từng bị công khai mà không chạm vào hệ thống mục tiêu. "Recon-ng" là khung trinh sát dạng mô-đun dùng để thu thập OSINT từ nhiều nguồn như máy tìm kiếm và API, không phải kho lưu phiên bản lịch sử của trang. "Nmap" là công cụ quét mạng chủ động, dò cổng mở, dịch vụ và hệ điều hành của máy đang chạy. "Whois" tra cứu thông tin đăng ký tên miền như chủ sở hữu, nhà đăng ký, máy chủ tên, chứ không hiển thị nội dung trang web trong quá khứ.

Đáp án đúng: "RAM". Trên router Cisco, RAM là bộ nhớ khả biến (volatile) chứa running-config (cấu hình đang chạy), bảng định tuyến, bảng ARP và các bộ đệm gói tin; khi mất điện hoặc khởi động lại, toàn bộ nội dung này mất đi nếu chưa được lưu. "NVRAM" là bộ nhớ không khả biến lưu startup-config, tức cấu hình được nạp khi thiết bị khởi động, không giữ cấu hình đang chạy hay bộ đệm. "ROM" chứa phần mềm khởi động cơ bản như POST (tự kiểm tra phần cứng), bootstrap và ROMMON dùng để chẩn đoán và khôi phục. "Flash memory" lưu ảnh hệ điều hành IOS và có thể chứa thêm tệp khác, nhưng không phải nơi giữ bảng định tuyến trong lúc vận hành. Hiểu sự phân chia này giúp người kiểm thử và quản trị viên biết thay đổi cấu hình nào sẽ mất sau khi khởi động lại và thông tin nhạy cảm nằm ở đâu.

Đáp án đúng gồm hai ý: "Manually open ports that are required for specific applications." và "Allow a different software firewall to control access.". Windows Firewall (tường lửa tích hợp của Windows) cho phép tạo ngoại lệ, tức mở thủ công các cổng mà một ứng dụng cụ thể cần để nhận kết nối, và cho phép nhường quyền kiểm soát truy cập cho một phần mềm tường lửa khác do bên thứ ba cài đặt, khi đó Windows Firewall tự tắt để tránh xung đột. "Turn on port screening." sai vì Windows Firewall không có chức năng nào mang tên như vậy. "Enable MAC address authentication." sai vì xác thực theo địa chỉ MAC thuộc thiết bị mạng như switch hay điểm truy cập không dây, không phải tuỳ chọn của tường lửa máy trạm. "Perform a rollback." sai vì khôi phục về trạng thái cũ là việc của System Restore hay khôi phục driver, không phải thao tác cấu hình tường lửa.

Đáp án đúng: "A passive IDS does not impact network performance, but it cannot take immediate action to prevent threats.". IDS thụ động (passive IDS) nhận bản sao lưu lượng qua cổng SPAN hoặc TAP, đứng ngoài đường đi của gói tin (out-of-band), nên không làm chậm hay gián đoạn mạng; đổi lại nó chỉ phát hiện và cảnh báo, không chặn được gói tin độc hại theo thời gian thực như IPS đặt nội tuyến (inline). "A passive IDS can disrupt legitimate network traffic, but it provides real-time threat mitigation." mô tả đúng hơn cho IPS nội tuyến: chặn nhầm thì làm gián đoạn lưu lượng hợp lệ, còn khả năng giảm thiểu tức thời cũng là của IPS. "A passive IDS can automatically reconfigure firewalls, but it requires more computational resources than an active IDS." sai vì tự cấu hình lại tường lửa là phản ứng chủ động, đặc trưng của hệ thống chủ động chứ không phải thụ động, và không có cơ sở nói loại thụ động tốn tài nguyên hơn. "A passive IDS can perform deep packet inspection, but it is more likely to generate false positives compared to an active IDS." có vế đầu đúng nhưng vế sau không gắn với tính thụ động: tỉ lệ dương tính giả phụ thuộc vào chữ ký và cách tinh chỉnh, không phụ thuộc việc thiết bị có chặn hay không.

Đáp án đúng: "ROM". Trên router Cisco, ROM chứa chương trình POST, bootstrap và ROMmon (ROM monitor), có dòng máy còn kèm một bản IOS rút gọn; khi bộ nhớ flash nơi lưu ảnh IOS bị hỏng, bootstrap không tìm được IOS hợp lệ và router rơi về ROMmon trong ROM để quản trị viên nạp lại ảnh IOS, ví dụ qua TFTP. "NVRAM" là bộ nhớ không mất dữ liệu khi tắt nguồn nhưng chỉ lưu tệp cấu hình khởi động startup-config và thanh ghi cấu hình, không chứa mã khởi động. "RAM" mất sạch dữ liệu khi tắt máy; nó giữ running-config, bảng định tuyến và IOS đang chạy sau khi đã được nạp, chứ không phải nguồn để khởi động. "CD-ROM" không phải thành phần của router Cisco nên không thể là nơi khởi động.

Đáp án đúng: "RBAC". RBAC (Role-Based Access Control, kiểm soát truy cập dựa trên vai trò) gán quyền cho vai trò rồi gán người dùng vào vai trò, nên quản trị viên vừa cấp quyền ở mức rộng theo nhóm chức năng như kế toán hay nhân sự, vừa tinh chỉnh tới từng thao tác trên từng tài nguyên; đây là biện pháp kiểm soát hành chính (administrative control) quyết định người dùng được làm gì. "secure software development life cycle" sai vì vòng đời phát triển phần mềm an toàn là quy trình đưa bảo mật vào từng giai đoạn làm phần mềm, không điều khiển quyền của người dùng. "policies and procedures" sai vì chính sách và quy trình đặt ra quy tắc chung bằng văn bản nhưng tự chúng không thực thi việc cho phép hay chặn một thao tác cụ thể. "minimum password requirements" sai vì yêu cầu mật khẩu tối thiểu chỉ tăng độ mạnh của xác thực, tức kiểm soát ai đăng nhập được, không kiểm soát người đã đăng nhập được làm gì.

Đáp án đúng: "user input sanitization". Cross-site scripting, cross-site request forgery, SQL injection và command injection đều bắt nguồn từ việc ứng dụng tin dữ liệu do người dùng gửi lên; làm sạch và kiểm tra đầu vào (input sanitization, kèm kiểm tra hợp lệ và mã hóa đầu ra) là biện pháp kỹ thuật được khuyến nghị để chặn dữ liệu độc hại trước khi nó được hiểu thành mã, câu truy vấn hay lệnh. "process-level remediation" là khắc phục ở mức quy trình làm việc, thuộc nhóm biện pháp vận hành chứ không phải kiểm soát kỹ thuật trong mã. "secrets management solution" dùng để cất giữ an toàn mật khẩu, khóa API và token, giúp chống lộ thông tin xác thực chứ không ngăn được chuỗi tiêm mã. "certificate management" quản lý vòng đời chứng chỉ số cho TLS, bảo vệ kênh truyền nhưng không kiểm soát nội dung dữ liệu người dùng nhập.

Đáp án đúng gồm ba ý: "attack complexity", "integrity impact" và "user interaction". Trong CVSS (Common Vulnerability Scoring System, hệ thống chấm điểm lỗ hổng), nhóm chỉ số cơ sở (base metric group) mô tả đặc tính nội tại, không đổi theo thời gian hay môi trường của một lỗ hổng: các chỉ số khả năng khai thác như attack vector, attack complexity, privileges required, user interaction, cùng scope và các chỉ số tác động tới tính bí mật, toàn vẹn, sẵn sàng. "modified base metrics" thuộc nhóm môi trường (environmental), cho phép tổ chức điều chỉnh lại các chỉ số cơ sở theo hoàn cảnh triển khai của mình. "availability requirements" cũng thuộc nhóm môi trường, phản ánh mức quan trọng của tính sẵn sàng đối với một tài sản cụ thể. "remediation level" thuộc nhóm thời gian (temporal), cho biết lỗ hổng đã có bản vá chính thức, bản vá tạm, cách khắc phục thủ công hay chưa có gì.

Đáp án đúng: "To ensure non-technical audiences understand the findings". Executive summary (tóm tắt dành cho lãnh đạo) là phần đầu báo cáo kiểm thử xâm nhập, viết bằng ngôn ngữ kinh doanh, nêu mức rủi ro tổng thể, tác động và khuyến nghị ưu tiên để ban giám đốc và người không chuyên kỹ thuật hiểu kết quả và ra quyết định. "To provide technical details for developers" sai vì chi tiết kỹ thuật, bước tái hiện và bằng chứng nằm ở phần phát hiện và phụ lục dành cho đội kỹ thuật. "To explain the scope of the engagement" sai vì phạm vi có thể được nhắc ngắn trong tóm tắt nhưng được mô tả đầy đủ ở phần phạm vi và phương pháp, không phải lý do chính để có tóm tắt. "To list all vulnerabilities detected by automated tools" sai vì danh sách đầy đủ kết quả quét tự động thuộc phụ lục kỹ thuật; tóm tắt chỉ chắt lọc những rủi ro quan trọng nhất.