Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập thi lại số 1

Đáp án đúng: "1 - d, 2 - c, 3 - b, 4 - a". False negative (âm tính giả) là hoạt động độc hại mà thiết bị an ninh không phát hiện, ứng với mô tả d; true negative (âm tính thật) là khi IDS coi một hoạt động là hợp lệ và nó đúng là hợp lệ, ứng với mô tả c; false positive (dương tính giả) là cảnh báo bật lên dù không có tấn công, ứng với mô tả b; true positive (dương tính thật) là nhận diện thành công một cuộc tấn công thật, ứng với mô tả a. "1 - a, 2 - b, 3 - c, 4 - d" ghép theo thứ tự xuất hiện, đặt false negative vào mô tả phát hiện thành công, trái hẳn nghĩa. "1 - b, 2 - c, 3 - d, 4 - b" dùng một mô tả hai lần và gán true positive cho cảnh báo nhầm. "1 - a, 2 - c, 3 - b, 4 - d" đúng ở hai cặp giữa nhưng tráo false negative với true positive.

Đáp án đúng: "It gives a full, interactive GUI of the remote compromised computer.". Remote Desktop (RDP) cho người kiểm thử một phiên giao diện đồ hoạ đầy đủ, tương tác như đang ngồi trước máy đã bị chiếm quyền, điều mà bộ Sysinternals vốn làm việc qua dòng lệnh không có. Các phương án kia mô tả chính khả năng của Sysinternals nên không phải ưu thế của Remote Desktop: "It can upload, execute, and interact with executables on compromised hosts." là việc PsExec làm được khi đẩy và chạy chương trình trên máy từ xa; "It can run commands revealing information about running processes, and services can be killed and stopped." ứng với các tiện ích như PsList, PsKill, PsService để liệt kê tiến trình và dừng dịch vụ; "It can use PsExec to remotely execute anything that can run on a Windows command prompt." nói thẳng tới PsExec, một thành phần của Sysinternals. Với người phòng thủ, cả RDP lẫn PsExec đều là dấu hiệu lateral movement (di chuyển ngang) cần giám sát trong nhật ký đăng nhập.

Đáp án đúng gồm ba ý: "IPS devices", "switches" và "AAA servers". Kiểm thử hạ tầng mạng (network infrastructure test) nhắm vào các thành phần tạo nên và bảo vệ mạng: thiết bị chuyển mạch, định tuyến, tường lửa, thiết bị IPS (hệ thống ngăn chặn xâm nhập) và máy chủ AAA (xác thực, cấp quyền, kế toán, như RADIUS hay TACACS+), nhằm tìm cấu hình sai, VLAN hopping, giao thức quản trị không mã hoá hay khả năng vượt qua kiểm soát. "virtual machines (VM) that are running in the cloud" không được chọn vì máy ảo trên đám mây thuộc phạm vi kiểm thử đám mây (cloud penetration test), gắn với mô hình trách nhiệm chia sẻ và cần phép của nhà cung cấp. "the digital storefront" không được chọn vì cửa hàng trực tuyến là ứng dụng web, thuộc kiểm thử ứng dụng (application-based test) với các lỗi như chèn SQL hay XSS.

Đáp án đúng: "Increasing project scope beyond agreed terms". Scope creep (trượt phạm vi) là hiện tượng công việc kiểm thử dần mở rộng ra ngoài phạm vi đã thỏa thuận trong hợp đồng và quy tắc tham gia, ví dụ khách hàng yêu cầu thêm hệ thống hay kỹ thuật mới mà không ký bổ sung; điều này gây rủi ro pháp lý, trễ hạn và đội chi phí, nên mọi thay đổi phải được ghi nhận bằng văn bản. "Testing done outside of regular hours" chỉ là khung thời gian thực hiện, vốn được thống nhất trước trong quy tắc tham gia. "Discovering unknown vulnerabilities" chính là mục tiêu bình thường của kiểm thử, không làm phạm vi phình ra. "Hiring additional testers mid-project" là thay đổi nguồn lực của nhóm thực hiện, không phải mở rộng những gì được phép kiểm thử.

Đáp án đúng: "It forces the web browser to have the cookies processed only by the server.". Cờ HttpOnly báo cho trình duyệt rằng cookie chỉ được gửi kèm trong các yêu cầu HTTP tới máy chủ và không cho mã phía máy khách như JavaScript đọc qua document.cookie; nhờ vậy nếu trang dính lỗi XSS (cross-site scripting), kẻ tấn công khó đánh cắp cookie phiên. "It indicates to the web browser that web client-based code can access the cookie." nói ngược hẳn tác dụng của cờ: HttpOnly chính là để chặn mã phía máy khách truy cập cookie. "It requires the web browser to establish a secure HTTPS link to the server." mô tả cờ Secure, cờ buộc cookie chỉ được gửi qua kết nối HTTPS; hai cờ thường được dùng cùng nhau nhưng có chức năng khác nhau. "It informs the web client that the cookie is a persistent cookie." sai vì tính lâu dài của cookie do thuộc tính Expires hoặc Max-Age quyết định, cookie thiếu chúng là cookie phiên (session cookie) bị xóa khi đóng trình duyệt.

Đáp án đúng: "PGP". PGP (Pretty Good Privacy) là giao thức và phần mềm mã hoá được dùng phổ biến để bảo mật thư điện tử: nó kết hợp mã hoá đối xứng cho nội dung thư với mã hoá khoá công khai cho khoá phiên, đồng thời hỗ trợ ký số để xác thực người gửi và toàn vẹn nội dung. "Keyczar" sai vì đây là một thư viện mã hoá mã nguồn mở giúp lập trình viên dùng mật mã an toàn trong ứng dụng, không phải giao thức bảo mật email. "RSA" sai vì RSA là thuật toán mã hoá khoá công khai; PGP có thể dùng RSA bên trong, nhưng bản thân RSA không phải giao thức thư điện tử. "MD5" sai vì MD5 là hàm băm tạo giá trị 128 bit, không mã hoá được dữ liệu để giải ngược và nay đã bị coi là yếu do va chạm.

Đáp án đúng: "badge cloning". Badge cloning (sao chép thẻ ra vào) là việc tạo bản sao thẻ nhận dạng hoặc thẻ RFID của nhân viên; một bức ảnh rõ nét đăng trên mạng xã hội cho kẻ xấu thấy bố cục, logo, ảnh, mã vạch hay số thẻ để làm thẻ giả trông như thật, nên nhân viên cần tránh công khai thẻ của mình. "watering hole" là tấn công qua mạng: cài mã độc vào một trang web mà nhóm nạn nhân hay truy cập, không phải tấn công vật lý. "pivot" (xoay trục) là kỹ thuật hậu khai thác, dùng máy đã chiếm được làm bàn đạp sang mạng khác. "shoulder surfing" (nhìn trộm qua vai) là đứng gần để quan sát mật khẩu, mã PIN khi nạn nhân nhập, cần có mặt tại chỗ chứ không bắt nguồn từ ảnh đăng lên mạng.

Đáp án đúng: "Open Web Application Security Project (OWASP)". OWASP là cộng đồng phi lợi nhuận quốc tế chuyên về bảo mật ứng dụng web: họ đào tạo người làm nghề, xây công cụ mã nguồn mở như OWASP ZAP và phổ biến thực hành tốt qua các tài liệu như OWASP Top 10 hay Testing Guide, đúng với mô tả. "Common Vulnerabilities and Exposures (CVE)" không phải tổ chức mà là danh mục định danh lỗ hổng đã công bố do MITRE duy trì, mỗi lỗ hổng một mã CVE. "Institution of Electrical and Electronics Engineering (IEEE)" là hiệp hội kỹ thuật điện và điện tử, nổi tiếng với các chuẩn như 802.11, không chuyên riêng về bảo mật web. "SysAdmin, Audit, Network and Security (The SANS Institute)" là tổ chức đào tạo và cấp chứng chỉ an ninh mạng nói chung, rất uy tín nhưng phạm vi rộng chứ không dành riêng cho ứng dụng web và hạ tầng phía sau như OWASP.

Đáp án đúng: "It is an international consolidation of cybersecurity tools and databases.". CVE (Common Vulnerabilities and Exposures) là danh mục chuẩn quốc tế gán cho mỗi lỗ hổng đã công bố một mã định danh duy nhất dạng CVE-năm-số; nhờ dùng chung mã này mà các công cụ quét, cơ sở dữ liệu lỗ hổng như NVD và các dịch vụ an ninh khắp nơi được hợp nhất về một cách gọi tên, nên người kiểm thử có thể từ kết quả quét tra ngay mô tả, mức độ và bản vá. "It is a high level list of software weaknesses." sai vì danh sách các loại điểm yếu phần mềm ở mức trừu tượng là CWE (Common Weakness Enumeration), còn CVE ghi từng lỗ hổng cụ thể trong sản phẩm cụ thể. "It has three vulnerability score components." sai vì ba nhóm chỉ số cơ sở, thời gian và môi trường là của CVSS, hệ thống chấm điểm mức nghiêm trọng đi kèm chứ không phải CVE. "It is a dictionary of known attacks." sai vì CVE liệt kê lỗ hổng chứ không liệt kê kiểu tấn công; danh mục mẫu tấn công là CAPEC.

Đáp án đúng: "a full backup of the system". Khi không thể dựng bản ảo hóa để kiểm thử an toàn, người kiểm thử phải làm việc trực tiếp trên hệ thống thật, nên biện pháp phòng ngừa cần có trước tiên là sao lưu toàn bộ để có thể khôi phục nếu bài kiểm thử làm hỏng dữ liệu hay dịch vụ. "rebuild the system after any test is performed" tốn kém và không cần thiết khi đã có bản sao lưu, đồng thời không bảo vệ được dữ liệu nếu chưa sao lưu trước đó. "adopt penetration test tools that will certainly not damage the system" không khả thi vì không công cụ nào bảo đảm chắc chắn không gây ảnh hưởng tới hệ thống đang chạy. "a complete report with recommended repairs" là sản phẩm của giai đoạn cuối, đến sau khi kiểm thử xong, không phải bước chuẩn bị để giảm rủi ro khi kiểm thử.

Đáp án đúng: "Three-leg perimeter configuration". Cấu hình ba chân (three-leg hay three-legged) dùng một tường lửa duy nhất có ba giao diện: một nối mạng ngoài (Internet), một nối mạng nội bộ và một nối vùng DMZ chứa các máy chủ công khai như web, mail; tường lửa áp chính sách riêng cho lưu lượng giữa từng cặp vùng. Ưu điểm là rẻ và gọn, nhược điểm là tường lửa trở thành điểm lỗi duy nhất. "Back-to-back configuration" dùng hai tường lửa đặt nối tiếp, DMZ nằm giữa tường lửa ngoài và tường lửa trong, nên không phải một tường lửa ba giao diện. "Basic configuration" chỉ cách bố trí đơn giản nhất với một tường lửa đứng giữa mạng nội bộ và Internet, không dành giao diện riêng cho vùng DMZ. "Perimeter configuration" là cách gọi chung việc đặt thiết bị bảo vệ ở biên mạng, không nói rõ số tường lửa hay số giao diện nên không đặc trưng cho mô hình được hỏi.

Đáp án đúng gồm hai ý: "embedded microchip" và "primary account number". Mặt trước thẻ tín dụng thường có chip nhúng EMV dùng để xác thực giao dịch khi cắm thẻ và số tài khoản chính PAN (dãy số thẻ dập hoặc in), kèm tên chủ thẻ và ngày hết hạn; chuẩn PCI DSS coi PAN là dữ liệu chủ thẻ cần bảo vệ. "date of birth" sai vì ngày sinh của chủ thẻ không được in trên thẻ. "magnetic stripe" sai vì dải từ nằm ở mặt sau thẻ. "card security code" sai vì với phần lớn thẻ như Visa hay Mastercard, mã bảo mật CVV/CVC gồm ba chữ số được in ở mặt sau, cạnh ô chữ ký; chỉ một số loại thẻ như American Express in mã ở mặt trước nên nó không phải thành phần điển hình của mặt trước.

Đáp án đúng: "VM repository vulnerability". Lỗ hổng kho máy ảo (VM repository vulnerability) xuất hiện khi tổ chức lấy ảnh máy ảo hay template từ kho công cộng hoặc chợ ứng dụng như VMware Marketplace mà không kiểm chứng; nếu kẻ xấu đã cài sẵn mã độc vào ảnh đó, mọi máy triển khai từ ảnh đều nhiễm ngay từ đầu. Phòng thủ là chỉ dùng ảnh từ nguồn tin cậy, kiểm tra chữ ký và quét trước khi triển khai. "VM escape vulnerability" là khi mã chạy trong một máy ảo thoát ra ngoài để tác động tới hypervisor hoặc máy ảo khác. "Hyperjacking" là chiếm quyền kiểm soát chính hypervisor, ví dụ thay bằng một hypervisor độc hại nằm dưới các máy ảo. "Hypervisor vulnerability" là lỗi trong phần mềm hypervisor; trong tình huống này hypervisor không có lỗi, thứ bị nhiễm là ảnh máy ảo được tải về.

Đáp án đúng: "PowerShell". PowerShell là shell và ngôn ngữ kịch bản của Windows, vừa chạy được lệnh kiểu CMD cũ vừa bổ sung cmdlet (lệnh dạng Động từ-Danh từ như Get-Process) với khả năng quản trị hệ thống tích hợp sẵn; vì có mặt trên mọi máy Windows nên nó cũng hay bị lạm dụng ở giai đoạn hậu khai thác, và người phòng thủ cần bật ghi nhật ký script block để theo dõi. "Twittor" là công cụ C2 (command and control, chỉ huy và điều khiển) dùng tin nhắn trực tiếp của Twitter làm kênh liên lạc, không phải tiện ích Windows. "Wsc2" là khung C2 nhỏ dùng WebSocket làm kênh liên lạc. "Socat" là tiện ích chuyển tiếp dữ liệu hai chiều giữa hai kênh như socket, tệp hay cổng, tương tự Netcat, xuất thân từ Unix chứ không phải trình thông dịch kịch bản của Windows.

Đáp án đúng: "To initialize the Metasploit database". Lệnh msfdb init tạo và khởi động cơ sở dữ liệu PostgreSQL mà Metasploit Framework dùng, đồng thời tạo người dùng, lược đồ và tệp cấu hình kết nối; sau đó lệnh db_status trong msfconsole báo đã kết nối, và các tính năng như workspace, lưu máy, dịch vụ, thông tin xác thực hay nhập kết quả Nmap mới hoạt động. "To launch Metasploit GUI" sai vì Metasploit mặc định chạy bằng giao diện dòng lệnh msfconsole; giao diện đồ hoạ như Armitage là công cụ riêng, không mở bằng msfdb. "To run an automated exploit" sai vì msfdb chỉ quản lý cơ sở dữ liệu, không chọn hay chạy module khai thác nào. "To schedule scans with cron jobs" sai vì cron là bộ lập lịch của Linux, độc lập với Metasploit, và msfdb không tạo lịch quét.

Đáp án đúng gồm hai ý: "Expires" và "Max-Age". Cookie bền (persistent cookie) là cookie được trình duyệt lưu lại sau khi đóng phiên, và điều quyết định là thời hạn sống: thuộc tính "Expires" đặt mốc ngày giờ hết hạn, còn "Max-Age" đặt số giây cookie còn hiệu lực; thiếu cả hai thì cookie chỉ là cookie phiên (session cookie) và bị xóa khi đóng trình duyệt. "Domain" xác định tên miền nào được nhận cookie, liên quan phạm vi gửi chứ không phải thời hạn lưu. "Secure" buộc cookie chỉ được gửi qua kết nối HTTPS, là thuộc tính bảo mật kênh truyền. "Path" giới hạn đường dẫn URL mà cookie được đính kèm, cũng chỉ là phạm vi chứ không làm cookie tồn tại lâu dài. Khi kiểm thử phiên đăng nhập, cookie bền chứa mã phiên là điểm cần xem xét kỹ.

Đáp án đúng: "BloodHound". BloodHound là ứng dụng web một trang viết bằng JavaScript, dùng lý thuyết đồ thị để vẽ quan hệ giữa người dùng, nhóm, máy tính và quyền trong Active Directory cũng như Microsoft Azure (Entra ID), từ đó lộ ra những đường leo thang đặc quyền phức tạp mà con người khó thấy; đội phòng thủ cũng dùng nó để tìm và cắt bớt các đường nguy hiểm. "Empire" là khung hậu khai thác (post-exploitation framework) dựa trên PowerShell và Python, điều khiển các agent trên máy bị chiếm, không chuyên phân tích đường tấn công dạng đồ thị. "Netcat" là tiện ích dòng lệnh đọc ghi dữ liệu qua kết nối TCP hoặc UDP, hay được gọi là con dao đa năng của mạng, không phải ứng dụng web. "Sysinternals" là bộ tiện ích của Microsoft để quản trị và xử lý sự cố Windows, ví dụ Process Explorer hay PsExec, không dùng để tìm đường tấn công trong Azure.

Đáp án đúng: "NIDS". NIDS (Network Intrusion Detection System, hệ thống phát hiện xâm nhập mạng) theo dõi lưu lượng, so khớp chữ ký hoặc phát hiện bất thường rồi chỉ sinh cảnh báo gửi quản trị viên, không tự chặn gói tin; đó đúng là thiết bị phát hiện rồi báo cáo. "NIPS" sai vì hệ thống ngăn chặn xâm nhập mạng đặt trên đường đi của lưu lượng và chủ động chặn hay huỷ gói độc hại, không chỉ báo cáo. "Internet content filter" sai vì bộ lọc nội dung chặn truy cập trang web hay nội dung bị cấm theo chính sách, không phải công cụ phát hiện hoạt động độc hại. "NAT server" sai vì máy chủ NAT chỉ chuyển đổi địa chỉ IP nội bộ sang địa chỉ công cộng, không phân tích lưu lượng để tìm tấn công.

Đáp án đúng: "Tools and techniques". Mọi công cụ và kỹ thuật kiểm thử, nhất là công cụ khai thác, script tự viết hay mã lấy từ Internet, cần được chạy thử trong phòng lab trước để hiểu chính xác chúng làm gì, có gây treo dịch vụ, mất dữ liệu hay chứa mã độc ẩn hay không; chạy thẳng trên mạng khách hàng có thể gây sự cố ngoài phạm vi đã thỏa thuận. "Documentation standards" là chuẩn trình bày tài liệu, báo cáo, không phải thứ đem ra chạy trên mạng khách hàng. "Antivirus software" là phần mềm phòng thủ của bên được kiểm thử, không phải thứ người kiểm thử chạy nhắm vào mạng khách hàng. "Employee awareness" là nhận thức an ninh của nhân viên, có thể được đánh giá qua kiểm thử social engineering nhưng không phải thứ đem thử trong lab.

Đáp án đúng: "Federal Trade Commission (FTC)". Đạo luật Gramm-Leach-Bliley (GLBA) yêu cầu tổ chức tài chính bảo vệ thông tin cá nhân của khách hàng; FTC là cơ quan thực thi Privacy of Consumer Financial Information Rule (quy tắc về quyền riêng tư thông tin tài chính) cùng Safeguards Rule đối với nhiều tổ chức tài chính không do cơ quan ngân hàng hay chứng khoán giám sát, như công ty cho vay hay môi giới thế chấp. Người kiểm thử cần biết luật này vì nó ràng buộc cách xử lý dữ liệu tài chính gặp phải khi kiểm thử. "Securities and Exchange Commission (SEC)" sai vì SEC giám sát thị trường chứng khoán và chỉ áp quy định riêng cho công ty môi giới, quỹ đầu tư. "Commodity Futures Trading Commission (CFTC)" sai vì CFTC quản lý thị trường hợp đồng tương lai và phái sinh hàng hoá. "Federal Deposit Insurance Corporation (FDIC)" sai vì FDIC bảo hiểm tiền gửi và giám sát một nhóm ngân hàng, không phải cơ quan thực thi chung quy tắc này.