Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập cuối kỳ số 2

Đáp án đúng gồm ba ý: "system architecture and network topology documents", "API documentation" và "wireless SSIDs". Trong thỏa thuận kiểm thử, khách hàng có thể cung cấp các tài sản kỹ thuật hỗ trợ việc kiểm thử: tài liệu kiến trúc hệ thống và sơ đồ mạng giúp hiểu đường đi dữ liệu, tài liệu API như đặc tả Swagger hay WSDL giúp kiểm thử đúng từng điểm cuối, còn danh sách SSID không dây xác định mạng Wi-Fi nào nằm trong phạm vi. "non-disclosure agreements" là văn bản pháp lý ràng buộc nghĩa vụ giữ bí mật, thuộc phần hợp đồng chứ không phải tài sản kỹ thuật được kiểm thử. "the service-level agreement" là thỏa thuận về mức dịch vụ, chất lượng và cam kết giữa các bên, cũng là tài liệu hợp đồng. "credentials and skills of the penetration testing team" là năng lực và chứng chỉ của chính đội kiểm thử, do bên kiểm thử chứng minh với khách hàng, không phải thứ khách hàng cung cấp cho đợt kiểm thử.

Đáp án đúng: "disclaimers". Disclaimers (tuyên bố miễn trừ) trong báo cáo kiểm thử xâm nhập nêu giới hạn của công việc: kiểm thử chỉ phản ánh trạng thái hệ thống trong khoảng ngày đã thực hiện, và các phát hiện không bảo đảm đã bao phủ mọi lỗ hổng, vì hệ thống thay đổi và có những điểm yếu chưa bị phát hiện. "scope of work" sai vì phần phạm vi công việc mô tả những gì được và không được kiểm, như dải IP, ứng dụng, phương pháp, chứ không nhằm miễn trừ trách nhiệm về tính đầy đủ của kết quả. "findings and analysis" sai vì đây là nơi trình bày lỗ hổng đã tìm thấy, mức độ nghiêm trọng và khuyến nghị khắc phục. "non-disclosure statement" sai vì tuyên bố bảo mật thông tin ràng buộc việc giữ kín nội dung báo cáo và dữ liệu khách hàng, không nói về giới hạn của kết quả kiểm thử.

Đáp án đúng: "Data structures". JavaScript Object Notation (JSON) là định dạng biểu diễn dữ liệu dưới dạng các cặp khoá và giá trị cùng các mảng lồng nhau, nên được xếp vào nhóm cấu trúc dữ liệu (data structures) cùng với mảng, danh sách hay từ điển; các API web và công cụ kiểm thử thường trao đổi kết quả bằng JSON. "Logic constructs" là cấu trúc logic điều khiển luồng chương trình như if, else, vòng lặp for, while. "Procedures" là thủ tục, khối lệnh thực thi một tác vụ, không phải cách lưu dữ liệu. "Classes" là lớp trong lập trình hướng đối tượng, khuôn mẫu gồm thuộc tính và phương thức để tạo đối tượng; JSON chỉ chứa dữ liệu, không có phương thức.

Đáp án đúng: "SET". SET (Social-Engineer Toolkit) là bộ công cụ kiểm thử phi kỹ thuật mã nguồn mở; ngoài việc dựng trang lừa hay thư giả, nó có sẵn các payload tạo kết nối sau khi nạn nhân mở tệp hay liên kết, trong đó có Windows reverse VNC DLL (mở phiên điều khiển màn hình ngược về máy người kiểm thử) và reverse TCP shell, nên hỗ trợ hoạt động hậu khai thác. "Nikto" là trình quét máy chủ web tìm tệp nguy hiểm, cấu hình sai và phiên bản lỗi thời, không tạo shell. "Nessus" là trình quét lỗ hổng dùng để phát hiện và báo cáo lỗ hổng chứ không phải công cụ khai thác. "BeEF" (Browser Exploitation Framework) cũng dùng sau khai thác nhưng điều khiển trình duyệt bị móc qua JavaScript, không phải các payload VNC DLL hay reverse TCP shell của Windows như câu hỏi nêu.

Đáp án đúng: "Nimbostratus". Nimbostratus là bộ công cụ mã nguồn mở để kiểm thử hạ tầng Amazon Web Services, có chức năng lấy thông tin từ dịch vụ metadata của máy ảo EC2 và thử khai thác khi ứng dụng có lỗ hổng SSRF cho phép gọi tới điểm cuối metadata nội bộ, nơi chứa khoá truy cập IAM tạm thời; bắt buộc dùng IMDSv2 có token là cách giảm thiểu. "Clair" sai vì Clair là trình phân tích tĩnh lỗ hổng trong các lớp của ảnh container. "Falco" sai vì Falco là công cụ phát hiện hành vi bất thường lúc chạy (runtime) cho container và Kubernetes dựa trên lời gọi hệ thống, thuộc phía phòng thủ. "Dagda" sai vì Dagda quét ảnh và container Docker tìm lỗ hổng đã biết, mã độc và giám sát hoạt động, không nhắm vào dịch vụ metadata đám mây.

Đáp án đúng: "Netcat". Netcat được gọi là con dao đa năng của TCP/IP: một tiện ích nhẹ, dễ mang theo, đọc và ghi dữ liệu qua kết nối TCP hoặc UDP, nên có thể dùng để tạo bind shell (máy nạn nhân mở cổng chờ kết nối) và reverse shell (máy nạn nhân chủ động kết nối ngược về người kiểm thử). Bên phòng thủ phát hiện bằng cách giám sát kết nối ra ngoài bất thường và tiến trình lắng nghe lạ. "WMImplant" là công cụ PowerShell dùng WMI để điều khiển máy Windows từ xa, phụ thuộc vào môi trường Windows chứ không phải tiện ích shell gọn nhẹ đa nền tảng. "WSC2" là khung điều khiển và chỉ huy dùng WebSocket làm kênh liên lạc. "BloodHound" phân tích quan hệ trong Active Directory để tìm đường leo thang đặc quyền, không tạo shell.

Đáp án đúng: "LDAP injection". Active Directory được truy vấn qua LDAP (Lightweight Directory Access Protocol, giao thức truy cập thư mục); nếu ứng dụng ghép trực tiếp dữ liệu người dùng nhập vào bộ lọc tìm kiếm LDAP, kẻ tấn công có thể chèn ký tự đặc biệt để đổi logic truy vấn, ví dụ vượt qua kiểm tra đăng nhập hoặc liệt kê đối tượng trong thư mục. Kiểm thử chèn LDAP vì thế trực tiếp đánh giá cách dịch vụ thư mục và các ứng dụng xác thực dựa trên nó được cấu hình và lọc đầu vào; phòng thủ bằng cách thoát ký tự đặc biệt và giới hạn quyền tài khoản truy vấn. "SQL Union injection" dùng mệnh đề UNION để nối kết quả truy vấn vào cơ sở dữ liệu quan hệ, không nhắm vào thư mục. "HTTP command injection" chèn lệnh hệ điều hành qua tham số của yêu cầu HTTP tới ứng dụng web. "Stacked query SQL injection" nối thêm câu lệnh SQL thứ hai sau câu lệnh gốc, cũng chỉ áp dụng cho cơ sở dữ liệu SQL.

Đáp án đúng: "Kali Linux". Kali Linux là bản phân phối Linux dựa trên Debian do Offensive Security duy trì, được xây dựng riêng cho kiểm thử xâm nhập và điều tra số, cài sẵn hàng trăm công cụ như Nmap, Metasploit, Burp Suite, Wireshark, nên thường được dùng làm môi trường thực hành của người học pentest. "Ubuntu" sai vì đây là bản phân phối đa dụng cho máy bàn và máy chủ, có thể cài thêm công cụ bảo mật nhưng không được thiết kế cho mục đích này. "Fedora" sai vì Fedora là bản phân phối cộng đồng do Red Hat bảo trợ, hướng tới công nghệ mới cho người dùng chung. "Red Hat" sai vì Red Hat Enterprise Linux là hệ điều hành thương mại cho máy chủ doanh nghiệp, ưu tiên ổn định và hỗ trợ, không phải nền tảng thực hành kiểm thử xâm nhập.

Đáp án đúng: "technical". Kiểm soát kỹ thuật (technical controls) là các biện pháp được thực thi bằng công nghệ, phần mềm và cấu hình hệ thống; trong khuyến nghị sau kiểm thử xâm nhập, các mục như khắc phục ở mức tiến trình (process-level remediation), quản lý bản vá (patch management) và giải pháp quản lý bí mật (secrets management, tức kho lưu khoá, mật khẩu, token tập trung thay cho ghi cứng trong mã) đều thuộc nhóm này. "administrative" là kiểm soát hành chính như chính sách, quy trình, đào tạo, phân công trách nhiệm. "operational" là kiểm soát vận hành do con người thực hiện hằng ngày như luân chuyển công việc, rà nhật ký thủ công, kiểm tra định kỳ. "physical" là kiểm soát vật lý như khoá cửa, bảo vệ, camera, hàng rào.

Đáp án đúng: "To document testing conditions". Rules of Engagement (quy tắc tham gia) là tài liệu ghi rõ điều kiện tiến hành bài kiểm thử: khung giờ được phép kiểm thử, kỹ thuật được và không được dùng, cách xử lý dữ liệu nhạy cảm tìm thấy, đầu mối liên hệ khi có sự cố, mức độ thông báo cho đội vận hành; nó giúp hai bên hiểu giống nhau về cách bài kiểm thử diễn ra. "To list vulnerabilities found" là nội dung của báo cáo cuối, được viết sau khi kiểm thử chứ không phải để quy định trước. "To specify payment terms" thuộc hợp đồng hay SOW (Statement of Work, tuyên bố công việc), nơi ghi phí và tiến độ thanh toán. "To finalize software licensing" là việc mua bán bản quyền phần mềm, không liên quan tới quy tắc thực hiện kiểm thử.

Đáp án đúng: "to identify all active IP addresses within the scope of the test". Liệt kê máy (host enumeration, host discovery) ở đầu kỳ kiểm thử nhằm biết trong dải địa chỉ được phép, địa chỉ nào đang có thiết bị hoạt động, thường bằng ping sweep, quét ARP hay thăm dò TCP; danh sách máy sống này là đầu vào cho quét cổng, dò dịch vụ và quét lỗ hổng ở bước sau. "to count the total number of IP addresses within the scope of the test" sai vì tổng số địa chỉ trong phạm vi đã biết sẵn từ dải mạng ghi trong tài liệu phạm vi, không cần quét. "to identify all vulnerable hosts within the scope of the test" sai vì xác định máy có lỗ hổng là việc của quét và phân tích lỗ hổng, diễn ra sau khi đã biết máy nào sống. "to count the total number of vulnerable hosts within the scope of the test" sai vì vừa là việc của giai đoạn đánh giá lỗ hổng, vừa chỉ dừng ở con số đếm trong khi người kiểm thử cần chính danh sách địa chỉ để làm tiếp.

Đáp án đúng: "Empire". Empire là khung hậu khai thác dựa trên PowerShell, triển khai các tác tử (agent) liên lạc với máy chủ điều khiển qua kênh mã hóa, có mô-đun duy trì hiện diện (persistence) và chạy được tác tử PowerShell mà không cần gọi tiến trình powershell.exe, giúp né một số cơ chế giám sát. "Veil" là khung tạo payload được làm rối để vượt qua phần mềm diệt virus, phục vụ bước phân phối chứ không phải quản lý tác tử hậu khai thác. "Patator" là công cụ dò mật khẩu đa giao thức theo kiểu vét cạn (brute force), dùng để kiểm tra độ mạnh thông tin xác thực. "Security Onion" là bản phân phối Linux cho phòng thủ, tích hợp công cụ giám sát an ninh mạng, phát hiện xâm nhập và quản lý nhật ký, tức thuộc phía bảo vệ.

Đáp án đúng: "USB Drop Key". USB drop (thả khóa USB) là kỹ thuật kỹ nghệ xã hội: kẻ tấn công cố ý để lại các ổ USB chứa mã độc ở bãi đỗ xe, sảnh, phòng họp, đánh vào sự tò mò để nạn nhân tự cắm vào máy công ty. Biện pháp phòng thủ gồm đào tạo nhận thức, tắt tự chạy và chặn thiết bị lưu trữ rời bằng chính sách. "Watering Hole" (tấn công hố nước) là cài mã độc vào trang web mà nhóm nạn nhân hay truy cập rồi chờ họ ghé vào, không dùng thiết bị vật lý. "Badge Cloning" là sao chép thẻ ra vào RFID hoặc NFC để giả danh nhân viên đi qua cửa kiểm soát. "Dumpster Diving" là lục thùng rác của tổ chức để tìm tài liệu, giấy ghi mật khẩu hay thiết bị bị vứt bỏ còn chứa dữ liệu, ngược chiều với việc để lại thiết bị cho nạn nhân nhặt.

Đáp án đúng: "social proof". Social proof (bằng chứng xã hội) là nguyên tắc ảnh hưởng khiến con người làm theo điều mà nhiều người khác, hoặc người họ ngưỡng mộ, đang làm; khi người nổi tiếng giới thiệu sản phẩm trên mạng xã hội, người theo dõi tin rằng sản phẩm đáng dùng vì có người được công nhận ủng hộ. Kẻ lừa đảo lợi dụng điều này bằng đánh giá giả hay tài khoản người nổi tiếng giả mạo. "fear" sai vì đe doạ tạo cảm giác sợ hãi, chẳng hạn báo tài khoản sắp bị khoá, để ép hành động gấp. "authority" sai vì quyền uy dựa vào việc giả danh người có quyền ra lệnh như sếp, cảnh sát hay bộ phận IT, còn người nổi tiếng không có quyền yêu cầu gì người theo dõi. "scarcity" sai vì khan hiếm dựa trên thông điệp số lượng có hạn hay sắp hết thời gian để thúc mua, không phải sự ủng hộ của người nổi tiếng.

Đáp án đúng: "true positives". Dương tính thật (true positive) là khi thiết bị như IDS cảnh báo và thực sự có cuộc tấn công, tức nhận diện thành công một sự kiện độc hại. "false negatives" (âm tính giả) là có tấn công nhưng không bị phát hiện, trường hợp nguy hiểm nhất vì tổ chức không biết mình bị xâm nhập. "false positives" (dương tính giả) là bật cảnh báo dù không có hoạt động độc hại, gây tốn công điều tra và mệt mỏi vì cảnh báo. "true negatives" (âm tính thật) là hoạt động hợp lệ được nhận đúng là hợp lệ, không có cảnh báo vì không có tấn công. Cách nhớ: chữ true hay false cho biết nhận định của thiết bị đúng hay sai, còn chữ positive hay negative cho biết thiết bị có bật cảnh báo hay không.

Đáp án đúng: "The test is a hybrid approach between unknown and known environment tests.". Partially known environment test (kiểm thử môi trường biết một phần, trước gọi là gray box) là cách lai giữa unknown environment (black box, không biết gì) và known environment (white box, biết đầy đủ): người kiểm thử được cung cấp một phần thông tin như tài khoản thử hay sơ đồ sơ lược, để vừa tiết kiệm thời gian trinh sát vừa vẫn mô phỏng góc nhìn của kẻ tấn công. Ý "The tester must test the electrical grid supporting the infrastructure" không phải đặc điểm của mức hiểu biết nào; hạ tầng điện thường nằm ngoài phạm vi kiểm thử. Ý "The tester is provided with a list of domain names and IP addresses in the scope" chỉ là thông tin phạm vi, có thể xuất hiện ở bất kỳ kiểu kiểm thử nào nên không định nghĩa được partially known. Ý "The tester should not have prior knowledge of the organization" chính là định nghĩa của unknown environment test.

Đáp án đúng: "in a user input field in a web form". Cross-site scripting (XSS, chèn mã kịch bản chéo trang) xảy ra khi ứng dụng web nhận dữ liệu người dùng nhập rồi đưa lại vào trang mà không lọc hay mã hoá đầu ra, khiến trình duyệt thực thi nó như script; vì vậy chuỗi thử XSS được đặt vào nơi ứng dụng nhận đầu vào, điển hình là ô nhập trong biểu mẫu như ô tìm kiếm, bình luận hay tên hiển thị, rồi quan sát trang trả về. "in an HTTP header" sai vì dù một số ứng dụng phản chiếu header như User-Agent và có thể dính XSS qua đó, đây không phải vị trí thử điển hình mà câu hỏi hướng tới. "in an error message" sai vì thông báo lỗi do máy chủ sinh ra, người kiểm thử không gõ chuỗi vào đó. "in a terminal window on the server" sai vì XSS là lỗi biểu hiện ở trình duyệt của ứng dụng web; gõ vào terminal trên máy chủ là chạy lệnh hệ điều hành và đòi hỏi đã có quyền truy cập máy chủ.

Đáp án đúng: "technical". System hardening (gia cố hệ thống) gồm tắt dịch vụ và cổng không dùng, gỡ phần mềm thừa, vá lỗi, đổi mật khẩu mặc định và cấu hình an toàn; vì được thực hiện trực tiếp bằng cấu hình và công nghệ trên hệ thống nên nó thuộc nhóm kiểm soát kỹ thuật, thường được khuyến nghị trong báo cáo kiểm thử. "administrative" là kiểm soát hành chính như chính sách, quy trình, đào tạo nhận thức và phân công trách nhiệm, tác động lên con người và quy định chứ không lên cấu hình máy. "operational" là kiểm soát vận hành do con người thực hiện hằng ngày như quản lý thay đổi, giám sát hay luân chuyển công việc. "physical" là kiểm soát vật lý như khóa cửa, camera, bảo vệ và hàng rào, bảo vệ tài sản hữu hình khỏi tiếp cận trực tiếp.

Đáp án đúng: "Enforcing minimum password requirements". Trong khắc phục sau kiểm thử xâm nhập, biện pháp kiểm soát được chia thành nhóm kỹ thuật, quản lý (administrative), vận hành và vật lý; kiểm soát quản lý là chính sách, quy trình, tiêu chuẩn do tổ chức ban hành, và yêu cầu độ dài, độ phức tạp tối thiểu của mật khẩu là một chính sách như vậy, dù sau đó có thể được thực thi bằng công cụ kỹ thuật. "Implementing biometric access systems" là kiểm soát vật lý, dùng đặc điểm sinh trắc như vân tay để kiểm soát người ra vào khu vực. "Installing firewalls" là kiểm soát kỹ thuật, lọc lưu lượng mạng theo luật bằng thiết bị hoặc phần mềm. "Using network segmentation" cũng là kiểm soát kỹ thuật, chia mạng thành các vùng tách biệt để hạn chế kẻ tấn công di chuyển ngang khi đã xâm nhập được một máy.

Đáp án đúng gồm hai ý: "turbines in a power plant" và "robots in a factory". Tua bin nhà máy điện và robot trong nhà máy thuộc hệ thống điều khiển công nghiệp (ICS/SCADA); nếu bị chiếm qua Internet, kẻ tấn công có thể gây mất điện diện rộng, hư hỏng thiết bị hay đe doạ tính mạng, nên các hệ thống này phải được cô lập bằng phân đoạn mạng và chỉ truy cập từ xa qua kênh được kiểm soát chặt. "refrigerators in a restaurant" sai vì tủ lạnh thông minh có rủi ro nhưng hậu quả giới hạn trong phạm vi một cửa hàng, và theo dõi từ xa qua Internet là chức năng thường thấy. "thermostat in a home" sai vì bộ điều nhiệt gia đình được thiết kế để điều khiển qua ứng dụng trên Internet; cần bảo mật nhưng không thuộc loại tuyệt đối không được kết nối. "carbon monoxide detectors in a home" sai vì đầu báo khí CO thông minh còn cần Internet để gửi cảnh báo tới điện thoại chủ nhà, và tác động nếu bị chiếm nhỏ hơn nhiều so với hạ tầng công nghiệp.