Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập thi lại số 1

Đáp án đúng: "credential harvesting". Credential harvesting (thu gom thông tin xác thực) trong môi trường đám mây là xâm nhập hạ tầng hoặc dùng phishing, tệp cấu hình, kho mã để thu thập hàng loạt tên người dùng, mật khẩu, token và mã PIN hợp lệ; đây là bước tạo tiền đề cho các tấn công tiếp theo, nên cần MFA, quản lý bí mật và giám sát đăng nhập. "account takeover" (chiếm tài khoản) là việc dùng thông tin đã có để kiểm soát một tài khoản cụ thể, tức là hệ quả sau khi đã thu gom chứ không phải hành vi thu gom. "privilege escalation" là leo thang đặc quyền, khai thác lỗi để có quyền cao hơn quyền được cấp. "side-channel attacks" (tấn công kênh kề) suy ra dữ liệu bí mật từ thời gian xử lý, mức tiêu thụ tài nguyên hay bộ nhớ đệm dùng chung giữa các máy ảo.

Đáp án đúng: "BeEF". BeEF (Browser Exploitation Framework, khung khai thác trình duyệt) cung cấp một bảng điều khiển web; khi trình duyệt của nạn nhân chạy đoạn script hook được chèn qua lỗi XSS (cross-site scripting), trình duyệt đó kết nối về bảng điều khiển và người điều khiển có thể gửi lệnh tới nó. Hiểu cơ chế này giúp nhận ra vì sao phải mã hóa đầu ra và dùng Content Security Policy. "Asterisk" là phần mềm tổng đài điện thoại VoIP mã nguồn mở, không liên quan điều khiển nạn nhân XSS. "SET" (Social-Engineer Toolkit) dùng để dựng chiến dịch kỹ nghệ xã hội như email lừa đảo hay trang thu thông tin đăng nhập giả mạo, có thể kết hợp với các công cụ khác nhưng không phải bảng điều khiển trình duyệt bị hook. "Nikto" là máy quét lỗ hổng máy chủ web, tìm tệp nguy hiểm, cấu hình sai và phiên bản lỗi thời, không điều khiển trình duyệt của ai.

Đáp án đúng: "Circuit-level gateway". Circuit-level gateway (cổng mức mạch) hoạt động ở tầng Session của mô hình OSI: nó kiểm tra quá trình bắt tay thiết lập phiên, chẳng hạn TCP handshake, và khi phiên hợp lệ thì cho các gói tin chảy giữa hai máy mà không soi tiếp nội dung từng gói; SOCKS là ví dụ điển hình. "Proxy server" sai vì máy chủ proxy ứng dụng đứng thay mặt máy khách và thường xử lý ở tầng Application, đọc nội dung yêu cầu. "Application firewall" sai vì tường lửa ứng dụng kiểm tra sâu nội dung từng yêu cầu ở tầng 7, trái với việc không kiểm tra thêm. "NAT filtering" sai vì lọc NAT dựa trên bảng chuyển đổi địa chỉ ở tầng Network và Transport, chỉ cho lưu lượng trả về khớp với kết nối đã đi ra, không phải cơ chế thiết lập phiên ở tầng Session.

Đáp án đúng: "CVSS". Common Vulnerability Scoring System (CVSS, hệ thống chấm điểm lỗ hổng chung) do FIRST duy trì, cho mỗi lỗ hổng một điểm từ 0 tới 10 dựa trên các chỉ số như vectơ tấn công, độ phức tạp, quyền cần có và tác động tới tính bí mật, toàn vẹn, sẵn sàng; điểm này dùng để xếp mức nghiêm trọng từ thấp tới nghiêm trọng. "CVE" (Common Vulnerabilities and Exposures) là danh mục định danh lỗ hổng đã biết, mỗi lỗ hổng một mã riêng, nhưng bản thân CVE không chấm điểm mức nghiêm trọng. "OWASP WSTG" là hướng dẫn phương pháp kiểm thử bảo mật ứng dụng web. "NIST SP 800-115" là tài liệu hướng dẫn kỹ thuật kiểm thử và đánh giá an ninh thông tin, không phải danh mục lỗ hổng có điểm.

Đáp án đúng: "Airmon-ng". Disassociation attack (tấn công huỷ liên kết) gửi khung quản lý 802.11 giả mạo để buộc máy khách rời điểm truy cập, thường nhằm bắt lại quá trình bắt tay hoặc dụ nạn nhân sang điểm truy cập giả. Airmon-ng thuộc bộ Aircrack-ng, dùng để chuyển card mạng không dây sang chế độ monitor (giám sát), điều kiện bắt buộc để nghe và chèn khung quản lý; tiện ích cùng bộ là aireplay-ng mới trực tiếp phát khung huỷ liên kết, nên trong các lựa chọn chỉ công cụ thuộc Aircrack-ng là phù hợp. "nmap" là trình quét cổng và dịch vụ trên mạng IP, không làm việc với khung 802.11. "POODLE" không phải công cụ mà là tên một lỗ hổng hạ cấp kết nối xuống SSL 3.0. "EMPIRE" là khung hậu khai thác dựa trên PowerShell và Python, dùng sau khi đã chiếm máy chứ không tấn công lớp không dây. Biện pháp phòng thủ trước kiểu tấn công này là bật 802.11w để bảo vệ khung quản lý.

Đáp án đúng: "true negatives". Kết quả của IDS được phân thành bốn loại theo hai câu hỏi: thiết bị có cảnh báo hay không (positive hay negative) và nhận định đó có khớp với thực tế không (true hay false). Khi hoạt động thực sự hợp lệ và IDS cũng coi là hợp lệ, không cảnh báo, đó là true negative (âm tính thật), trạng thái mong muốn cho lưu lượng bình thường. "false positives" sai vì dương tính giả là khi IDS báo động nhầm trên hoạt động vô hại, gây nhiễu cảnh báo cho đội vận hành. "false negatives" sai vì âm tính giả là khi hoạt động độc hại lọt qua mà IDS không phát hiện, loại nguy hiểm nhất. "true positives" sai vì dương tính thật là khi IDS cảnh báo đúng một hoạt động thực sự độc hại, còn ở đây hoạt động là hợp lệ.

Đáp án đúng: "system and network architectural diagram". Sơ đồ kiến trúc hệ thống và mạng cho người tư vấn thấy máy chủ web, máy chủ cơ sở dữ liệu, phân vùng mạng và luồng kết nối giữa chúng, nhờ đó xác định và ghi rõ hệ thống nào nằm trong phạm vi kiểm thử (in scope). Đây là tài liệu nền khi lập phạm vi trong giai đoạn lập kế hoạch. "examples of application requests" giúp hiểu cách ứng dụng nhận dữ liệu khi kiểm thử chức năng, nhưng không cho biết toàn bộ hệ thống nằm trong phạm vi. "source codes of the applications" phục vụ đánh giá mã nguồn theo kiểu hộp trắng, chỉ nói về một ứng dụng chứ không mô tả hạ tầng. "software development kit (SDK) for specific applications" là bộ công cụ hỗ trợ lập trình và tích hợp, hữu ích khi kiểm thử API nhưng không dùng để xác định hệ thống cần kiểm thử.

Đáp án đúng gồm hai ý: "Mimikatz" và "Patator". Tấn công thông tin xác thực (credential attack) nhắm vào mật khẩu, giá trị băm hoặc vé xác thực. "Mimikatz" trích xuất thông tin xác thực từ bộ nhớ tiến trình LSASS trên Windows như mật khẩu dạng rõ, băm NTLM và vé Kerberos; "Patator" là công cụ dò mật khẩu (brute-force) đa giao thức theo mô-đun, thử đăng nhập vào SSH, FTP, HTTP và nhiều dịch vụ khác. Phòng thủ gồm Credential Guard, khóa tài khoản sau nhiều lần sai và xác thực đa yếu tố. "Nslookup" là công cụ truy vấn DNS để tra bản ghi tên miền, thuộc giai đoạn trinh sát. "FOCA" trích xuất siêu dữ liệu (metadata) từ tài liệu công khai như tên người dùng, phần mềm, đường dẫn; nó phục vụ thu thập thông tin nguồn mở chứ không thực hiện tấn công vào thông tin xác thực. "Censys" là công cụ tìm kiếm thiết bị và dịch vụ trên Internet dựa trên dữ liệu quét, cũng thuộc trinh sát thụ động.

Đáp án đúng gồm bốn ý: "hash value", "SID", "FQDN" và "target service". Silver ticket (vé bạc) là vé dịch vụ Kerberos bị giả mạo: kẻ tấn công không cần liên lạc với KDC mà tự ký vé bằng giá trị băm mật khẩu của tài khoản chạy dịch vụ, kèm SID của miền, tên miền đầy đủ FQDN và dịch vụ đích như CIFS hay HTTP. Phòng thủ gồm đặt mật khẩu dài, đổi định kỳ cho tài khoản dịch vụ và bật kiểm tra chữ ký PAC. "system account" sai vì vé được ký bằng giá trị băm của tài khoản dịch vụ, không cần một tài khoản hệ thống riêng làm thông tin đầu vào. "DNS forward lookup zone" sai vì vùng tra cứu thuận chỉ ánh xạ tên sang IP, không tham gia tạo vé. "DNS resolver cache" sai vì bộ đệm phân giải DNS chỉ lưu tạm kết quả tra cứu. "DNS reverse lookup zone" sai vì vùng tra cứu ngược ánh xạ IP sang tên, cũng không phải thành phần của vé Kerberos.

Đáp án đúng: "vulnerability scanning tool". Kiểm thử xâm nhập hạ tầng mạng nhắm vào máy chủ, thiết bị mạng và các dịch vụ đang mở, nên công cụ quét lỗ hổng mạng như Nessus hay OpenVAS là công cụ nền tảng: nó dò các dịch vụ đang chạy, đối chiếu phiên bản với cơ sở dữ liệu lỗ hổng và liệt kê điểm yếu cần kiểm chứng. "bypassing firewalls and IPSs tool" chỉ là kỹ thuật hỗ trợ dùng trong một số tình huống để né thiết bị phòng thủ, không phải công cụ chính cho kiểu kiểm thử này. "interception proxies tool" như Burp Suite hay OWASP ZAP đứng giữa trình duyệt và máy chủ để xem, sửa yêu cầu HTTP, dùng cho kiểm thử ứng dụng web. "mobile application testing tool" dùng cho kiểm thử ứng dụng di động, nằm ngoài phạm vi hạ tầng mạng.

Đáp án đúng: "It helps defend against deauthentication attacks.". Chuẩn 802.11w bổ sung MFP (Management Frame Protection, bảo vệ khung quản lý): các khung quản lý như deauthentication và disassociation được gắn mã kiểm tra toàn vẹn bằng khoá đã thoả thuận, nên máy khách bỏ qua khung huỷ xác thực giả mạo do kẻ tấn công phát ra; nhờ vậy nó giúp chống tấn công deauthentication. "It uses a PNL to maintain a list of trusted or preferred wireless networks." mô tả PNL (Preferred Network List, danh sách mạng ưu tiên) mà máy khách tự lưu, vốn còn bị lợi dụng trong tấn công KARMA, không liên quan MFP. "It uses a captive portal for all wireless associations." nói về cổng đăng nhập web của Wi-Fi công cộng, một cơ chế xác thực người dùng ở tầng ứng dụng. "It inserts the 802.1q tag to protect the wireless frame." nhầm sang 802.1Q, chuẩn gắn thẻ VLAN cho khung Ethernet, không có vai trò bảo vệ khung không dây.

Đáp án đúng: "Ping sweep". Ping sweep (quét ping) gửi gói ICMP Echo Request, hoặc gói thăm dò tương đương như ARP trong cùng mạng LAN, tới cả một dải địa chỉ và ghi nhận máy nào trả lời, nhờ đó lập danh sách máy đang sống trước khi quét cổng; Nmap làm việc này bằng tuỳ chọn -sn, còn tường lửa chặn ICMP có thể làm sót máy. "WHOIS lookup" sai vì truy vấn WHOIS chỉ cho thông tin đăng ký tên miền hay khối IP, không cho biết máy nào đang bật. "ARP poisoning" sai vì đầu độc ARP là tấn công trung gian làm giả bảng ARP để chặn lưu lượng, không phải kỹ thuật phát hiện máy. "Credential stuffing" sai vì đó là thử hàng loạt cặp tên đăng nhập và mật khẩu bị lộ từ nơi khác vào một dịch vụ, nhắm vào tài khoản chứ không dò máy.

Đáp án đúng: "cloud malware injection attack". Trong tấn công chèn mã độc vào đám mây, kẻ tấn công tạo một ứng dụng, dịch vụ hoặc máy ảo độc hại rồi đưa nó vào môi trường SaaS, PaaS hay IaaS sao cho hệ thống coi đó là thành phần hợp lệ; khi người dùng gọi tới, mã độc được thực thi và có thể đánh cắp dữ liệu hay chuyển hướng phiên. "resource exhaustion attack" làm cạn tài nguyên như CPU, bộ nhớ hay băng thông để gây từ chối dịch vụ, không cần cài ứng dụng độc. "account takeover" là chiếm quyền một tài khoản đám mây bằng thông tin đăng nhập bị lộ. "metadata service attack" lợi dụng dịch vụ siêu dữ liệu của máy ảo, thường qua lỗi SSRF, để đọc khóa truy cập tạm thời của phiên bản, chứ không phải triển khai một ứng dụng độc hại mới.

Đáp án đúng: "To maintain state across HTTP requests". HTTP là giao thức phi trạng thái (stateless): mỗi yêu cầu độc lập, máy chủ không tự biết hai yêu cầu đến từ cùng một người. Session ID (mã phiên) là chuỗi ngẫu nhiên máy chủ cấp sau khi người dùng đăng nhập, thường lưu trong cookie, để gắn các yêu cầu sau vào cùng một phiên và trạng thái. Vì nó tương đương bằng chứng đăng nhập, mã phải đủ ngẫu nhiên, truyền qua HTTPS và hết hạn hợp lý để chống chiếm phiên. "To encrypt user passwords" sai vì mã phiên không tham gia bảo vệ mật khẩu; mật khẩu nên được băm có muối bằng thuật toán chậm như bcrypt. "To block SQL injections" sai vì chống chèn SQL dựa vào truy vấn tham số hóa và kiểm tra đầu vào, không liên quan mã phiên. "To assign MAC addresses" sai vì địa chỉ MAC là định danh tầng liên kết dữ liệu của card mạng, do nhà sản xuất gán, nằm ngoài phạm vi ứng dụng web.

Đáp án đúng: "Hijacking the hypervisor to control the entire environment". Hyperjacking (chiếm quyền hypervisor) là tấn công nhắm vào hypervisor, lớp phần mềm quản lý và cấp phát tài nguyên cho các máy ảo; khi chiếm được lớp này hoặc cài một hypervisor độc hại bên dưới hệ điều hành, kẻ tấn công kiểm soát mọi máy ảo chạy trên đó mà các máy ảo khó phát hiện. "Gaining root access to a VM" sai vì có quyền root trong một máy ảo chỉ kiểm soát máy ảo đó; muốn đi xa hơn phải thoát khỏi máy ảo (VM escape). "Overloading a VM with requests" sai vì làm quá tải máy ảo bằng yêu cầu là tấn công từ chối dịch vụ. "Injecting malware into containers" sai vì container dùng chung nhân hệ điều hành chứ không dựa trên hypervisor, và chèn mã độc vào container thuộc nhóm tấn công ảnh container. Phòng thủ gồm vá hypervisor kịp thời, bật Secure Boot và giới hạn quyền truy cập giao diện quản trị.

Đáp án đúng: "Use a well-thought-out scheme to provide meaningful error messages to the users but no useful information to an attacker.". Xử lý lỗi không đúng (improper error handling) làm lộ stack trace, câu truy vấn SQL, đường dẫn tệp hay phiên bản phần mềm, giúp kẻ tấn công trinh sát; cách làm đúng là thiết kế có chủ đích: người dùng nhận thông báo chung nhưng dễ hiểu, còn chi tiết kỹ thuật được ghi vào nhật ký phía máy chủ. "Use only a minimum set of error messages." chỉ giảm số lượng thông báo, không bảo đảm nội dung của chúng không làm lộ thông tin, và quá ít thông báo còn khiến người dùng khó hiểu. "Use a strong algorithm to encrypt the transmission of error messages." sai hướng vì mã hoá chỉ bảo vệ trên đường truyền; thông báo vẫn hiện nguyên văn cho chính người dùng, kể cả kẻ tấn công, ở phía trình duyệt. "Use a third-party hosting service to provide coded error messages and transmit them securely" thêm phức tạp và phụ thuộc bên ngoài nhưng không giải quyết gốc rễ là nội dung thông báo làm lộ thông tin.

Đáp án đúng: "Symmetric encryption does not scale easily and does not provide for nonrepudiation.". Mã hoá đối xứng dùng một khoá chung cho hai bên, nên số khoá cần có tăng theo n(n-1)/2 khi số người tham gia tăng, việc phân phối và quản lý khoá khó mở rộng; và vì cả hai bên cùng giữ một khoá, không thể chứng minh ai là người tạo thông điệp, tức không cung cấp nonrepudiation (chống chối bỏ). "Symmetric encryption scales easily and provides for nonrepudiation." nói ngược cả hai ý trên; chống chối bỏ cần chữ ký số dựa trên khoá riêng của mật mã bất đối xứng. "Symmetric encryption is not suited for bulk encryption." sai vì chính mã hoá đối xứng như AES mới là lựa chọn cho mã hoá dữ liệu khối lượng lớn nhờ tốc độ cao. "Symmetric encryption is slower than asymmetric encryption." cũng ngược thực tế: thuật toán đối xứng nhanh hơn RSA hay ECC nhiều lần, đó là lý do TLS dùng bất đối xứng để trao khoá rồi dùng đối xứng để mã hoá dữ liệu.

Đáp án đúng: "Vishing". Vishing là ghép của voice và phishing, tức lừa đảo qua cuộc gọi thoại: kẻ tấn công gọi điện, thường giả số hiển thị, mạo danh ngân hàng, bộ phận IT hay cơ quan chức năng để dụ nạn nhân tiết lộ mật khẩu, mã OTP hoặc làm theo chỉ dẫn. Phòng thủ là đào tạo nhận thức và quy trình gọi lại qua số đã biết. "Pharming" sai vì pharming chuyển hướng người dùng từ tên miền thật tới trang giả bằng cách đầu độc DNS hoặc sửa tệp hosts, không dùng cuộc gọi. "Whaling" sai vì whaling là phishing nhắm vào lãnh đạo cấp cao, phân loại theo đối tượng chứ không theo kênh thoại. "Tailgating" sai vì tailgating (bám đuôi) là kỹ thuật xã hội vật lý, đi theo người có thẻ để lọt qua cửa kiểm soát.

Đáp án đúng: "It is a section of code that is created to perform a specific task.". Procedure (thủ tục) là một đoạn mã được đặt tên để thực hiện một tác vụ cụ thể và có thể được gọi lại nhiều lần trong chương trình, giúp chia nhỏ logic; khác với hàm, thủ tục thường không trả về giá trị. "It is a collection of resources that programs can reuse." mô tả thư viện (library), nơi gom sẵn mã và tài nguyên cho nhiều chương trình dùng chung. "It is a non-linear data structure represented using nodes in a hierarchical model." mô tả cấu trúc cây (tree), một cấu trúc dữ liệu phân cấp gồm các nút cha và con, không phải đoạn mã thực thi. "It is a collection of data values ordered using a key/value pair." mô tả từ điển hay bảng băm (dictionary), cấu trúc lưu dữ liệu theo cặp khóa và giá trị để tra cứu nhanh.

Đáp án đúng: "CVE". CVE (Common Vulnerabilities and Exposures) là danh mục các lỗ hổng đã được công bố công khai do MITRE điều phối; mỗi mục có một mã định danh dạng CVE-năm-số thứ tự, một mô tả ngắn và các tham chiếu tới khuyến cáo, bản vá, giúp mọi công cụ quét và nhà cung cấp gọi cùng một lỗ hổng bằng cùng một tên. "CVSS" (Common Vulnerability Scoring System) là hệ thống chấm điểm mức nghiêm trọng của lỗ hổng từ 0 tới 10, thường đi kèm mục CVE nhưng không phải danh mục liệt kê lỗ hổng. "OWASP WSTG" (Web Security Testing Guide) là hướng dẫn phương pháp kiểm thử bảo mật ứng dụng web, mô tả cần kiểm tra gì và kiểm tra thế nào. "NIST SP 800-115" là ấn phẩm của NIST hướng dẫn kỹ thuật kiểm thử và đánh giá an ninh thông tin, tức một khung phương pháp, không gán mã cho từng lỗ hổng.