Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập cuối kỳ số 2

Đáp án đúng: "An attacker launches the attack on a web site and forces the web application to send the query results via an email.". SQL injection ngoài băng (out-of-band) là khi kết quả truy vấn không trả về trên cùng kênh với yêu cầu tấn công mà được cơ sở dữ liệu hay ứng dụng gửi qua một kênh khác như thư điện tử, truy vấn DNS hoặc yêu cầu HTTP tới máy chủ bên ngoài; kỹ thuật này dùng khi phản hồi trực tiếp không hiện dữ liệu. Phòng thủ là truy vấn tham số hoá và chặn kết nối ra ngoài từ máy chủ cơ sở dữ liệu. "forces the web application to delay the query results" mô tả blind SQL injection dựa trên thời gian (time-based), suy ra thông tin qua độ trễ phản hồi. "views the query results immediately on the screen" là in-band SQL injection, kết quả hiện ngay trên cùng kênh. "reconstructs the information by sending specific SQL statements" là blind SQL injection dựa trên suy luận (boolean-based), ghép lại dữ liệu từ phản ứng đúng sai của ứng dụng.

Đáp án đúng: "Cryptanalysis". Cryptanalysis (phân tích mật mã) là ngành nghiên cứu cách phá hệ mã bằng việc tìm điểm yếu toán học hay thống kê trong thuật toán hoặc cách dùng nó, ví dụ phân tích tần suất, phân tích vi sai hay phân tích tuyến tính, để khôi phục bản rõ hoặc khoá mà không cần thử hết mọi khả năng. "Enigma" là tên cỗ máy mã hoá cơ điện của Đức thời Thế chiến II, là đối tượng bị phân tích chứ không phải một quy trình giải mã. "Substitution Cipher" là kiểu mã thay thế, mỗi ký tự được thay bằng ký tự khác; đó là một phương pháp mã hoá, không phải cách phá mã. "Brute Force" cũng là cách phá mã nhưng bằng việc thử lần lượt mọi khoá có thể, không dựa vào điểm yếu toán học của kỹ thuật như câu hỏi mô tả; độ dài khoá đủ lớn là cách chống brute force.

Đáp án đúng gồm hai ý: "Both are deployed as sensors." và "Both use signatures to detect malicious traffic.". IDS (hệ thống phát hiện xâm nhập) và IPS (hệ thống ngăn chặn xâm nhập) đều được triển khai dưới dạng cảm biến (sensor), thiết bị hoặc phần mềm đặt tại điểm then chốt của mạng, và đều dùng chữ ký (signature) cùng phương pháp phát hiện bất thường để nhận diện lưu lượng độc hại. "Both have minimal impact on network performance." không được chọn vì chỉ IDS hoạt động ngoài luồng nên ít ảnh hưởng, còn IPS đặt nội tuyến (inline) và phân tích từng gói nên có thể gây trễ. "Both analyze copies of network traffic." không được chọn vì chỉ IDS phân tích bản sao lấy qua cổng SPAN hoặc TAP, còn IPS xử lý chính lưu lượng thật đi qua nó. "Both rely on an additional network device to respond to malicious traffic." không được chọn vì chỉ IDS cần thiết bị khác như tường lửa hay router để chặn, còn IPS tự loại bỏ gói độc hại ngay lập tức.

Đáp án đúng: "Intent". Hacker có đạo đức (ethical hacker) và kẻ tấn công có thể dùng cùng công cụ, cùng kỹ thuật và cùng hệ điều hành; điều phân biệt họ là ý định: hacker có đạo đức hành động khi có sự cho phép bằng văn bản của chủ hệ thống, trong phạm vi đã thỏa thuận và nhằm tìm, báo cáo lỗ hổng để khắc phục, còn kẻ tấn công nhắm tới trục lợi hay phá hoại. "Tools used" không phải điểm khác biệt vì Nmap, Metasploit hay Burp Suite được cả hai bên sử dụng. "Technical skills" không phân biệt được vì cả hai có thể giỏi ngang nhau, kỹ năng không nói lên mục đích. "Operating systems used" cũng vậy, Kali Linux hay Windows đều được cả người kiểm thử hợp pháp lẫn kẻ tấn công dùng.

Đáp án đúng: "to obfuscate, to evade and to cover the attacker tracks". Steghide là công cụ giấu tin (steganography): nhúng dữ liệu vào tệp ảnh hoặc âm thanh như JPEG, BMP, WAV, có thể kèm mật khẩu, để tệp trông vẫn bình thường; vì vậy nó thuộc nhóm công cụ làm rối, né phát hiện và che dấu vết khi trích xuất hay cất giấu dữ liệu. Đội phòng thủ đối phó bằng giám sát luồng dữ liệu ra ngoài và công cụ phân tích giấu tin. "to modify Windows registry values and to connect a compromised system to another system" mô tả công cụ quản trị registry và kết nối từ xa trên Windows, không liên quan việc giấu dữ liệu trong tệp đa phương tiện. "to find complex attack paths in Microsoft Azure" là chức năng của BloodHound, công cụ vẽ đồ thị quan hệ quyền. "to allow administrators to control a Windows-based computer from a remote terminal" mô tả các công cụ điều khiển từ xa như Remote Desktop hay PsExec, phục vụ quản trị chứ không phải giấu tin.

Đáp án đúng: "-T5". Trong Nmap, cờ -T chọn mẫu thời gian (timing template) từ -T0 tới -T5, lần lượt là paranoid, sneaky, polite, normal, aggressive và insane; -T5 là mức insane, nhanh và hung hãn nhất, khớp với mô tả rất hung hãn. "-T2" sai vì đó là polite (lịch sự), làm chậm quét để giảm tải băng thông và tài nguyên của mục tiêu. "-T3" sai vì đó là normal, mức mặc định khi không chỉ định cờ thời gian. "-T4" sai vì đó là aggressive (hung hãn), nhanh hơn mặc định và hợp với mạng ổn định, nhưng chưa phải mức cực đoan nhất như -T5, vốn rút ngắn thời gian chờ tới mức có thể bỏ sót kết quả và dễ bị IDS phát hiện. Với người phòng thủ, quét ở tốc độ cao như vậy tạo ra đợt kết nối dày đặc nên rất dễ nhận ra trong nhật ký.

Đáp án đúng: "Vishing". Vishing (voice phishing, lừa đảo qua giọng nói) là kiểu social engineering dùng cuộc gọi điện thoại, thường giả danh bộ phận IT, ngân hàng hay cấp trên, để dụ nạn nhân tiết lộ mật khẩu, mã OTP hay thông tin nhạy cảm; phòng thủ là xác minh lại qua một kênh độc lập và đào tạo nhận thức cho nhân viên. "Pharming" là chuyển hướng người dùng tới trang web giả bằng cách đầu độc DNS hoặc sửa tệp hosts, không cần cuộc gọi nào. "Shoulder surfing" là nhìn trộm qua vai để thấy mật khẩu, mã PIN khi nạn nhân nhập. "Dumpster diving" là lục thùng rác tìm tài liệu, giấy tờ, thiết bị bị vứt bỏ còn chứa thông tin.

Đáp án đúng: "Pretty Good Privacy (PGP)". PGP mã hoá và ký thư điện tử ngay trên máy người dùng bằng cặp khoá công khai và khoá riêng; có bản triển khai miễn phí như GnuPG (GPG), và nhờ mô hình web of trust nên không cần thuê hay vận hành máy chủ cấp chứng chỉ, đúng nhu cầu của người dùng tại nhà. "IP Security (IPSec)" mã hoá ở tầng mạng giữa hai thiết bị hay hai mạng, thường cần cổng VPN được cấu hình và quản lý, không phải giải pháp mã hoá từng bức thư. "Multipurpose Internet Mail Extensions (MIME)" chỉ là chuẩn định dạng để thư chứa tệp đính kèm và nhiều bộ ký tự, bản thân nó không mã hoá; phần mở rộng có mã hoá là S/MIME lại cần chứng chỉ từ CA. "Hypertext Transfer Protocol with Secure Socket Layer (HTTPS" bảo vệ kết nối giữa trình duyệt và máy chủ web, không mã hoá nội dung thư từ đầu tới cuối.