Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "Anchore’s Grype". Grype của Anchore là trình quét lỗ hổng mã nguồn mở cho ảnh container và hệ thống tệp: nó đọc danh sách gói phần mềm bên trong ảnh Docker rồi đối chiếu với cơ sở dữ liệu lỗ hổng đã công bố để báo gói nào cần vá, nên hay được gắn vào quy trình CI/CD trước khi triển khai. "GATTacker" sai vì đây là công cụ tấn công trung gian nhắm vào thiết bị Bluetooth Low Energy qua giao thức GATT, không liên quan container. "Social-Engineer Toolkit (SET)" sai vì SET là bộ công cụ kỹ thuật xã hội để mô phỏng phishing, nhân bản trang đăng nhập hay tấn công qua USB, không quét ảnh Docker. "Nimbostratus" sai vì Nimbostratus là công cụ dò và kiểm thử hạ tầng đám mây AWS, nổi tiếng với việc nhắm vào dịch vụ metadata, chứ không phải trình quét lỗ hổng ảnh container.

Đáp án đúng: "Spamming". Trong nhóm tấn công thiết bị di động, spamming là gửi hàng loạt tin nhắn SMS không mong muốn, thường kèm liên kết phishing dẫn tới trang giả mạo hoặc tệp độc hại; hình thức lừa qua tin nhắn này còn gọi là smishing (SMS phishing). Cách phòng thủ là lọc tin rác, đào tạo người dùng không bấm liên kết lạ và xác minh người gửi. "Reverse Engineering" (dịch ngược) là phân tích mã đã biên dịch của ứng dụng để hiểu logic, tìm khóa nhúng hay lỗ hổng, không phải gửi tin nhắn. "Sandboxing" là cơ chế cô lập ứng dụng trong vùng chạy riêng để hạn chế quyền truy cập, vốn là biện pháp bảo vệ chứ không phải tấn công. "Malware Injection" là cài cắm mã độc vào ứng dụng hoặc thiết bị; liên kết trong SMS có thể dẫn tới mã độc, nhưng hành vi gửi tin hàng loạt mới là điều câu hỏi mô tả.

Đáp án đúng: "Rules of engagement". Rules of engagement (quy tắc tham gia) là tài liệu xác định cách thức và điều kiện tiến hành kiểm thử xâm nhập: khung thời gian được phép, địa điểm, kỹ thuật được dùng và bị cấm, cách xử lý dữ liệu nhạy cảm, đầu mối liên lạc và cách leo thang khi phát hiện sự cố. "NDA" (non-disclosure agreement, thỏa thuận không tiết lộ) ràng buộc nghĩa vụ giữ bí mật thông tin giữa các bên, cần thiết nhưng không quy định điều kiện thực hiện kiểm thử. "Risk report" là báo cáo đánh giá rủi ro, thường là đầu vào hoặc đầu ra của quá trình đánh giá, không đặt ra luật chơi cho đợt kiểm thử. "Target matrix" (ma trận mục tiêu) liệt kê các hệ thống, tài sản cần kiểm thử cùng thông tin liên quan để tổ chức công việc, chứ không định nghĩa các điều kiện mà đợt kiểm thử phải tuân theo.

Đáp án đúng: "ineffective identification of what technical and nontechnical elements will be required for the penetration test". Scope creep (phình phạm vi) là khi công việc bị kéo rộng dần vượt ra ngoài thoả thuận ban đầu; nguyên nhân gốc thường là ngay từ khâu xác định phạm vi đã không liệt kê rõ các thành phần kỹ thuật và phi kỹ thuật cần kiểm, nên giữa chừng khách hàng liên tục bổ sung yêu cầu. "lack of up-to-date testing tools" sai vì công cụ lỗi thời làm giảm chất lượng kết quả chứ không làm phạm vi phình ra. "lack of system and network architectural diagrams" sai vì thiếu sơ đồ kiến trúc gây khó khăn khi lập kế hoạch, nhưng không tự nó thêm hạng mục mới vào hợp đồng. "poor formatted request for proposal (RFP) by the company" sai vì RFP (hồ sơ mời chào giá) trình bày kém chỉ là vấn đề hình thức của văn bản; điều quyết định scope creep là các thành phần cần kiểm có được xác định đầy đủ hay không.

Đáp án đúng gồm ba ý: "costs and payment details", "the project timeline" và "the scope of the work". Thỏa thuận kiểm thử xâm nhập (penetration testing agreement, thường ở dạng hợp đồng hoặc statement of work) được ký trước khi bắt đầu, xác định phạm vi công việc (hệ thống nào được kiểm thử, kỹ thuật nào được phép), mốc thời gian thực hiện và chi phí cùng điều khoản thanh toán, để hai bên có căn cứ pháp lý và tránh tranh chấp. "the names of all personnel involved in the test" sai vì thỏa thuận thường nêu đầu mối liên lạc và vai trò, không bắt buộc liệt kê tên tất cả những người tham gia. "a list of vulnerabilities that were discovered" sai vì lỗ hổng chỉ được tìm ra sau khi kiểm thử, nên danh sách này nằm trong báo cáo cuối chứ không thể có trong thỏa thuận ký từ trước.

Đáp án đúng: "health plan". Theo HIPAA, luật bảo vệ dữ liệu y tế của Mỹ, có ba loại covered entity (đơn vị chịu điều chỉnh): health plan, healthcare provider và healthcare clearinghouse. Health plan (chương trình bảo hiểm y tế) là đơn vị chi trả cho dịch vụ y tế, như công ty bảo hiểm sức khoẻ hay chương trình bảo hiểm của nhà nước, nên đúng với định nghĩa trong câu hỏi. "healthcare provider" là bên cung cấp dịch vụ chăm sóc như bệnh viện, phòng khám, bác sĩ, tức bên nhận tiền chứ không trả tiền. "business associates" là đối tác xử lý dữ liệu sức khoẻ thay mặt covered entity, ví dụ đơn vị làm phần mềm hay lưu trữ hồ sơ. "healthcare clearinghouse" là đơn vị trung gian chuyển dữ liệu y tế từ dạng không chuẩn sang dạng chuẩn để trao đổi, không phải bên thanh toán. Khi kiểm thử hệ thống y tế, hiểu đúng các vai trò này giúp xác định dữ liệu nào thuộc phạm vi bảo vệ.

Đáp án đúng: "The DNS resolver cache is manipulated.". DNS poisoning (đầu độc DNS, còn gọi DNS cache poisoning) là việc chèn bản ghi giả vào bộ nhớ đệm của resolver hoặc máy chủ DNS, khiến người dùng hỏi một tên miền hợp lệ lại nhận về địa chỉ IP do kẻ tấn công kiểm soát cho tới khi bản ghi hết hạn TTL; DNSSEC và cổng nguồn ngẫu nhiên là các biện pháp giảm thiểu. "The DNS server forward lookup zone is cleared." sai vì xoá vùng tra thuận là phá huỷ dữ liệu cấu hình, gây mất phân giải chứ không chuyển hướng nạn nhân. "The DNS server reverse lookup zone is cleared." sai vì vùng tra ngược chỉ ánh xạ IP về tên, xoá nó cũng là phá hoại dịch vụ chứ không phải đầu độc. "The DNS server IP address is changed." sai vì đổi IP của chính máy chủ DNS chỉ làm máy khách mất kết nối; còn đổi cấu hình DNS trên máy nạn nhân là DNS hijacking, một kỹ thuật khác.

Đáp án đúng: "Name registration and resolution". NetBIOS-NS chạy trên cổng UDP 137, có nhiệm vụ đăng ký tên NetBIOS của máy trong mạng cục bộ và phân giải tên đó thành địa chỉ IP, tương tự vai trò của DNS nhưng cho mạng Windows cũ. Vì trả lời truy vấn quảng bá mà không xác thực, nó dễ bị đầu độc phản hồi nên thường được khuyến nghị tắt khi không dùng. "Encrypt data before transmission" sai vì NetBIOS không cung cấp mã hóa; bảo mật kênh truyền là việc của các giao thức như TLS hay IPsec. "Authenticate users across domains" là chức năng của các giao thức xác thực như Kerberos hay NTLM trong Active Directory. "Monitor DNS spoofing attacks" là việc của hệ thống phát hiện xâm nhập hoặc công cụ giám sát mạng, còn NetBIOS-NS chính là dịch vụ có thể bị giả mạo.

Đáp án đúng: "An attack that can be performed using Bluetooth with vulnerable devices in range. This attack actually steals information from the device of the victim.". Bluesnarfing là tấn công qua Bluetooth vào thiết bị có lỗ hổng trong tầm phủ sóng nhằm truy cập trái phép và lấy cắp dữ liệu như danh bạ, tin nhắn, lịch; phòng thủ bằng cách cập nhật firmware, tắt Bluetooth hoặc chế độ cho phép phát hiện khi không dùng. Mô tả "impersonating a wireless AP or a captive portal to convince a user" là kiểu evil twin hoặc cổng đăng nhập giả trên Wi-Fi, dựa vào kỹ nghệ xã hội để thu thông tin đăng nhập, không liên quan Bluetooth. Mô tả "commonly performed as spam over Bluetooth connections using the OBEX protocol" là bluejacking: gửi tin nhắn không mong muốn qua giao thức OBEX, gây phiền nhưng không lấy dữ liệu. Mô tả "modifying BLE messages between systems" là tấn công xen giữa trên Bluetooth Low Energy, sửa thông điệp để hai bên tưởng đang nói chuyện với thiết bị hợp lệ, khác với việc đánh cắp dữ liệu trực tiếp.

Đáp án đúng: "Whaling". Whaling (săn cá voi) là biến thể của spear phishing nhắm riêng vào nhân vật cấp cao như giám đốc điều hành, giám đốc tài chính, vì họ có quyền phê duyệt chuyển tiền và truy cập dữ liệu nhạy cảm; thư thường được soạn rất kỹ, giả dạng việc pháp lý hay đối tác quan trọng. "Phishing" sai vì đó là thuật ngữ chung chỉ lừa đảo gửi đại trà tới nhiều người, không chỉ định đối tượng cấp cao. "Spear phishing" sai vì spear phishing (lừa đảo nhắm mục tiêu) nhắm vào một cá nhân hay nhóm cụ thể bất kỳ; whaling là trường hợp riêng khi mục tiêu là lãnh đạo, nên đây là câu trả lời chính xác hơn. "Vishing" sai vì vishing là lừa đảo qua cuộc gọi thoại, phân loại theo kênh liên lạc chứ không theo đối tượng bị nhắm tới.