Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập thi lại số 2

Đáp án đúng: "Used three keys". 3DES (Triple DES) khắc phục khoá 56 bit quá ngắn của DES bằng cách áp dụng chính thuật toán DES ba lần liên tiếp theo trình tự mã hoá, giải mã, mã hoá (EDE), mỗi lượt dùng một khoá riêng; với ba khoá độc lập, tổng chiều dài khoá danh nghĩa là 168 bit, độ mạnh hiệu dụng khoảng 112 bit do tấn công meet-in-the-middle. Ngày nay 3DES đã bị NIST loại bỏ và thay bằng AES. "Made the key longer" sai vì từng khoá DES bên trong 3DES vẫn là 56 bit; tổng độ dài tăng lên chỉ là hệ quả của việc dùng nhiều khoá, bản thân thuật toán không đổi kích thước khoá. "Used two keys" sai vì dạng hai khoá, khi khoá thứ nhất và thứ ba trùng nhau, chỉ là một tuỳ chọn yếu hơn, không phải đặc trưng định nghĩa của Triple DES. "Changed algorithms" sai vì 3DES giữ nguyên thuật toán DES, chỉ lặp nó ba lần; đổi sang thuật toán mới là trường hợp của AES.

Đáp án đúng: "The client creates the key after verifying the server’s identity.". Trong bắt tay SSL/TLS dùng trao đổi khóa RSA, máy chủ gửi chứng chỉ số; máy khách kiểm tra chứng chỉ với tổ chức cấp chứng chỉ để xác minh danh tính máy chủ, sau đó mới tạo bí mật tiền chủ (pre-master secret), mã hóa bằng khóa công khai của máy chủ rồi gửi đi, và hai bên cùng suy ra khóa phiên. "The server creates the key after verifying the client’s identity." sai vì xác thực máy khách chỉ là tùy chọn và máy chủ không phải bên khởi tạo khóa. "The server creates the key immediately on the client connection." sai vì khóa không được sinh ngay khi kết nối, phải qua trao đổi chứng chỉ trước. "The client creates the key using the server’s public key." chưa đầy đủ: khóa công khai dùng để mã hóa bí mật gửi đi, nhưng điều kiện then chốt là phải xác minh danh tính máy chủ trước, nếu không có thể trao khóa cho kẻ đứng giữa.

Đáp án đúng: "Brute Force". Tấn công vét cạn (brute force) giải mã bằng cách thử lần lượt mọi khóa có thể trong không gian khóa cho tới khi ra bản rõ có nghĩa; về lý thuyết luôn thành công, nên an toàn của thuật toán dựa vào việc không gian khóa đủ lớn, ví dụ AES-256 khiến vét cạn bất khả thi. "Birthday" (tấn công ngày sinh) khai thác nghịch lý ngày sinh để tìm hai đầu vào có cùng giá trị băm, tức tìm va chạm, chứ không thử mọi khóa. "Man in the Middle" (kẻ đứng giữa) chen vào kênh liên lạc để nghe lén hoặc sửa dữ liệu, không phải kỹ thuật giải mã bằng thử khóa. "Known Plaintext" (biết trước bản rõ) dùng các cặp bản rõ và bản mã đã biết để suy ra khóa hoặc quy luật của thuật toán, thông minh hơn việc thử hết. "Dictionary" (tấn công từ điển) chỉ thử các giá trị trong một danh sách soạn sẵn như mật khẩu phổ biến, là một tập con chứ không phải mọi khóa có thể.

Đáp án đúng: "The hash created for the digital signature holds 160 bits.". Trường Signature Hash Algorithm ghi sha1, và SHA-1 luôn tạo giá trị băm dài 160 bit; giá trị băm này được ký bằng khoá riêng của tổ chức cấp VeriSign theo sha1RSA để tạo chữ ký trên chứng chỉ. "The hash created for the digital signature holds 2048 bits." sai vì 2048 bit là độ dài khoá công khai RSA ghi ở trường Public Key, không phải độ dài giá trị băm. "RSA is the hash algorithm used for the digital signature." sai vì RSA là thuật toán ký khoá công khai; thuật toán băm là SHA-1, tên sha1RSA nghĩa là băm bằng SHA-1 rồi ký bằng RSA. "This certificate contains a private key." sai vì chứng chỉ số chỉ chứa khoá công khai cùng thông tin định danh; khoá riêng luôn được chủ sở hữu giữ kín và không nằm trong chứng chỉ phát công khai. Ngày nay SHA-1 đã bị coi là yếu và chứng chỉ chuyển sang SHA-256.

Đáp án đúng: "PowerShell". Living off the land (sống nhờ tài nguyên sẵn có) là việc kẻ tấn công dùng chính công cụ hợp lệ có trong hệ điều hành để khỏi cài mã độc dễ bị phát hiện; PowerShell là shell và ngôn ngữ kịch bản có sẵn trên Windows, các cmdlet như Get-ChildItem, Copy-Item, Move-Item, Get-Process cho phép liệt kê thư mục, sao chép, di chuyển tệp, xem tiến trình đang chạy và làm hầu hết tác vụ quản trị. Phòng thủ là bật ghi nhật ký script block và giới hạn chế độ ngôn ngữ. "Sysinternals" là bộ công cụ quản trị của Microsoft nhưng phải tải về riêng, không phải thành phần sẵn có của hệ điều hành. "WMI" (Windows Management Instrumentation) cũng có sẵn và dùng được để truy vấn thông tin, chạy lệnh từ xa, nhưng không phải công cụ thao tác tệp và thư mục như mô tả. "BloodHound" là công cụ bên thứ ba vẽ đồ thị quan hệ quyền trong Active Directory để tìm đường leo thang, không phải kỹ thuật living off the land.

Đáp án đúng: "To open a port on the compromised system and wait for a connection". Bind shell là shell mà máy bị chiếm quyền tự mở một cổng lắng nghe và chờ người kiểm thử chủ động kết nối tới; ngược lại reverse shell để máy nạn nhân kết nối ra ngoài. Vì bind shell cần kết nối chiều vào, nó dễ bị tường lửa chặn và dễ bị phát hiện khi rà soát các cổng đang lắng nghe bất thường. "To initiate a connection from the victim to the attacker" chính là định nghĩa của reverse shell, hay được dùng vì tường lửa thường thoáng hơn với kết nối đi ra. "To hide files within image files" là steganography (giấu tin), không liên quan shell. "To encrypt the communication channel" là việc của giao thức như TLS hay SSH; một bind shell cơ bản như qua Netcat thường truyền dữ liệu dạng rõ, mã hoá không phải mục đích chính của nó.

Đáp án đúng: "It accesses functions of users with the same privilege level". Leo thang đặc quyền ngang (horizontal privilege escalation) là khi kẻ tấn công dùng tài khoản của mình để truy cập dữ liệu hoặc chức năng của người dùng khác cùng cấp quyền, ví dụ xem đơn hàng của khách khác bằng cách đổi mã định danh trong yêu cầu (lỗi IDOR); leo thang dọc (vertical) là nâng từ quyền thấp lên quyền cao như quản trị hay root. Phòng thủ là kiểm tra quyền sở hữu tài nguyên phía máy chủ cho mọi yêu cầu. "It involves increasing a user's privilege to root" sai vì nâng lên root chính là leo thang dọc. "It connects the system to the internet" sai vì kết nối Internet không liên quan tới mô hình đặc quyền. "It uses PowerShell to elevate rights" sai vì PowerShell chỉ là công cụ có thể dùng trong nhiều kiểu tấn công, còn việc nâng quyền lên cao hơn lại là leo thang dọc.

Đáp án đúng: "WinRM". Lệnh Enable-PSRemoting bật tính năng PowerShell Remoting, vốn chạy trên dịch vụ WinRM (Windows Remote Management, quản trị từ xa của Windows): nó khởi động dịch vụ, tạo listener và mở luật tường lửa; cờ -SkipNetworkProfileCheck cho phép bật cả khi mạng ở hồ sơ công cộng, còn -Force bỏ qua hộp xác nhận. Nhờ vậy máy có thể nhận kết nối quản trị từ xa về sau, nên bên phòng thủ cần giám sát việc bật dịch vụ này. "WMImplant" là công cụ PowerShell dựa trên WMI, không phải dịch vụ được bật bằng lệnh này. "BloodHound" là công cụ phân tích quan hệ Active Directory để tìm đường leo thang đặc quyền. "PsExec" là tiện ích Sysinternals thực thi lệnh từ xa qua SMB và dịch vụ tạm thời, không cần Enable-PSRemoting.

Đáp án đúng: "Whois". Whois là giao thức và công cụ truy vấn cơ sở dữ liệu đăng ký tên miền, trả về thông tin như nhà đăng ký, ngày tạo và hết hạn, máy chủ tên miền và các đầu mối liên hệ quản trị, kỹ thuật của tên miền nếu không bị ẩn bởi dịch vụ bảo vệ quyền riêng tư; đây là bước trinh sát thụ động quen thuộc. "DNSRecon" là công cụ trinh sát DNS, liệt kê bản ghi, thử chuyển vùng (zone transfer) và dò tên miền con, không truy vấn dữ liệu đăng ký chủ sở hữu. "Dig" là công cụ truy vấn DNS linh hoạt trên Linux, trả về bản ghi A, MX, NS, TXT nhưng không cho biết người liên hệ quản trị tên miền. "Nslookup" cũng là công cụ tra cứu DNS cơ bản, có trên cả Windows lẫn Linux, chỉ phân giải tên và địa chỉ, không trả thông tin đăng ký.

Đáp án đúng: "Authenticated scans can provide a more detailed picture of the target attack surface.". Authenticated scan (quét có xác thực, còn gọi là credentialed scan) đăng nhập vào máy mục tiêu bằng tài khoản được cấp, nên đọc được danh sách phần mềm đã cài, phiên bản bản vá và cấu hình; nhờ vậy nó phát hiện lỗ hổng chính xác hơn, ít báo nhầm và cho bức tranh đầy đủ hơn về bề mặt tấn công so với quét không xác thực vốn chỉ thấy những gì lộ ra qua mạng. "Authenticated scans are a form of passive reconnaissance that does not trigger target security alarms." sai vì quét lỗ hổng gửi lưu lượng và đăng nhập trực tiếp vào mục tiêu, là hoạt động chủ động và vẫn có thể bị hệ thống giám sát ghi nhận. "Authenticated scans are performed without user credentials." sai vì nó định nghĩa ngược lại: chính việc dùng thông tin đăng nhập mới làm nên quét có xác thực. "Authenticated scans are less complex and are quicker than unauthenticated scans." sai vì quét có xác thực phải quản lý tài khoản và kiểm tra sâu từng máy nên thường phức tạp và tốn thời gian hơn.

Đáp án đúng: "To detect new vulnerabilities and CVEs". Trình quét lỗ hổng như Nessus hay OpenVAS phát hiện lỗ hổng bằng cách đối chiếu dịch vụ, phiên bản và cấu hình với cơ sở dữ liệu plugin hay chữ ký; lỗ hổng mới được công bố và cấp mã CVE liên tục, nên không cập nhật thì trình quét sẽ bỏ sót chúng và tạo cảm giác an toàn giả. "To improve scanning speed" sai vì cập nhật cơ sở dữ liệu là thêm phép kiểm tra chứ không nhằm tăng tốc quét. "To reduce false positives" có thể là lợi ích phụ khi nhà cung cấp sửa lại plugin, nhưng không phải lý do chính. "To enable scanning of mobile devices" sai vì khả năng quét một loại thiết bị phụ thuộc tính năng và cấu hình của sản phẩm, không phải mục đích của việc cập nhật định kỳ.

Đáp án đúng gồm hai ý: "Recon-ng" và "Dig". Thu thập thông tin DNS thụ động nghĩa là lấy dữ liệu bản ghi DNS từ nguồn công khai hay máy chủ DNS bên thứ ba mà không quét trực tiếp hệ thống của mục tiêu. Recon-ng có các mô-đun truy vấn nguồn OSINT để tìm tên miền con, bản ghi và máy chủ liên quan; Dig (domain information groper) là tiện ích dòng lệnh hỏi máy chủ DNS về các bản ghi như A, MX, NS, TXT, chỉ là truy vấn phân giải tên thông thường. "Wireshark" là trình bắt và phân tích gói tin; nó chỉ thấy DNS đi qua mạng mà mình nghe được, không phải công cụ tra cứu DNS của mục tiêu. "Nmap" là trình quét cổng chủ động gửi gói trực tiếp tới máy đích, nên thuộc trinh sát chủ động. "ExifTool" đọc siêu dữ liệu trong tệp ảnh hay tài liệu như tác giả, phần mềm, toạ độ GPS, không liên quan DNS.

Đáp án đúng: "Host-based IDS". HIDS (IDS dựa trên máy chủ) là tác tử phần mềm cài trên từng máy, đọc nhật ký hệ thống, theo dõi tiến trình, tệp quan trọng và lời gọi hệ thống, nên xác nhận được tấn công thành công hay thất bại trên chính máy đó, thấy được tấn công qua lưu lượng mã hoá hoặc diễn ra cục bộ mà IDS mạng bỏ sót, phản ứng gần thời gian thực và không cần mua thêm phần cứng, khớp mọi yêu cầu của Tremp. "Open source-based IDS" sai vì mã nguồn mở là mô hình cấp phép, không phải kiểu kiến trúc IDS; có cả IDS máy chủ lẫn IDS mạng mã nguồn mở. "Network-based IDS" sai vì IDS mạng phân tích lưu lượng trên đường truyền, thường cần cảm biến hoặc cổng SPAN riêng, không giám sát được hoạt động bên trong máy và khó xác nhận tấn công có thành công không. "Gateway-based IDS" sai vì IDS đặt ở cổng ra vào mạng vẫn là giám sát mạng, cần thiết bị chuyên dụng và chỉ thấy lưu lượng đi qua biên.

Đáp án đúng: "Stateful packet inspection". Kiểm tra gói có trạng thái (stateful packet inspection) lưu một bảng trạng thái kết nối, ghi lại địa chỉ, cổng và trạng thái phiên của mỗi cuộc hội thoại khởi tạo từ bên trong; khi gói trả về tới, tường lửa đối chiếu bảng này để chỉ cho phép phản hồi thuộc phiên hợp lệ. "Stateless packet inspection" xét từng gói độc lập theo luật tĩnh về địa chỉ, cổng và giao thức, không nhớ phiên nên không biết gói nào là phản hồi. "NAT filtering" là lọc gắn với việc dịch địa chỉ mạng; NAT có bảng ánh xạ địa chỉ nhưng mục đích chính là chuyển đổi địa chỉ chứ không phải theo dõi hội thoại để ra quyết định an ninh. "Application-level gateway" là proxy tầng ứng dụng, kiểm tra nội dung của giao thức cụ thể như HTTP hay FTP, đây không phải công nghệ theo dõi phiên mà câu hỏi mô tả.

Đáp án đúng: "Extranet". Extranet là phần mạng riêng được mở có kiểm soát cho đối tác, nhà cung cấp hoặc khách hàng bên ngoài, tức một mạng nối với mạng nội bộ của công ty khác để hai bên chia sẻ tài nguyên; truy cập được giới hạn bằng xác thực, VPN và phân quyền. "Intranet" là mạng nội bộ riêng của chính tổ chức, chỉ nhân viên trong tổ chức sử dụng, không phải mạng dành cho công ty khác. "Internet" là mạng công cộng toàn cầu, không thuộc riêng một công ty nào. "DMZ" (vùng phi quân sự) là phân đoạn đệm giữa mạng nội bộ và Internet, nơi đặt các máy chủ phục vụ công chúng như web hay mail; nó có thể được dùng để phục vụ đối tác nhưng bản chất là vùng cách ly của chính mình, không phải mạng nội bộ của công ty khác.

Đáp án đúng: "Security Information and Event Management (SIEM)". SIEM (quản lý thông tin và sự kiện an ninh) thu thập nhật ký và cảnh báo từ nhiều nguồn như tường lửa, máy chủ, IDS, máy trạm, chuẩn hoá rồi tương quan (correlation) chúng để phát hiện sự cố và phục vụ phân tích an ninh tập trung; Splunk hay IBM QRadar là ví dụ quen thuộc. "Log Management System (LMS)" sai vì hệ thống quản lý nhật ký chủ yếu thu thập, lưu trữ và tìm kiếm log, thiếu phần tương quan sự kiện và cảnh báo an ninh mà câu hỏi nhấn mạnh. "Network-based IPS" sai vì IPS mạng tự phân tích lưu lượng tại một điểm và chặn tấn công, nó là nguồn sinh cảnh báo chứ không gom log từ nhiều thiết bị. "Honeypot" sai vì hũ mật (honeypot) là hệ thống mồi nhử để dụ và quan sát kẻ tấn công, không phải công cụ tổng hợp nhật ký.

Đáp án đúng: "Dradis". Dradis là nền tảng cộng tác mã nguồn mở dành cho nhóm kiểm thử xâm nhập, gom kết quả từ nhiều công cụ (nhập tệp xuất của Nmap, Nessus, Burp và các công cụ khác) vào một chỗ, sắp xếp phát hiện, ghi chú bằng chứng rồi xuất báo cáo ra các định dạng như HTML, Word hay PDF. "Metasploit" là khung khai thác dùng để kiểm chứng và khai thác lỗ hổng, không phải công cụ chuyên tổ chức báo cáo. "Nessus" là trình quét lỗ hổng; nó xuất được báo cáo kết quả quét của riêng nó nhưng không gom và tổ chức kết quả của cả bài kiểm thử. "Wireshark" là công cụ bắt và phân tích gói tin mạng.

Đáp án đúng: "1 - d, 2 - a, 3 - b, 4 -c". Key rotation (xoay vòng khoá) là kiểm soát kỹ thuật vì do hệ thống thực thi trên khoá mật mã; secure software development life cycle (vòng đời phát triển phần mềm an toàn) là kiểm soát hành chính vì là quy trình, chính sách mà tổ chức đặt ra; time-of-day restrictions (giới hạn giờ truy cập) được xếp vào kiểm soát vận hành vì quy định hoạt động hằng ngày của con người, cùng nhóm với luân chuyển công việc hay đào tạo người dùng; video surveillance (giám sát bằng camera) là kiểm soát vật lý. Cách ghép "1 - a, 2 - b, 3 - c, 4 - d" sai ngay từ đầu vì xoay vòng khoá không phải biện pháp hành chính. Cách ghép "1 - b, 2 - a, 3 - d, 4 - c" đúng ở cặp 2 và cặp 4 nhưng xếp xoay vòng khoá vào vận hành và giới hạn giờ vào kỹ thuật. Cách ghép "1 - c, 2 - b, 3 - d, 4 - a" coi xoay vòng khoá là vật lý và camera là hành chính, đều sai.

Đáp án đúng: "false negatives". Âm tính giả (false negative) là khi hoạt động thực sự độc hại diễn ra nhưng IDS, IPS hay tường lửa không cảnh báo, nên cuộc tấn công lọt qua mà không ai biết; đây là loại kết quả nguy hiểm nhất và thường do chữ ký lỗi thời, lưu lượng mã hoá hoặc kỹ thuật lẩn tránh. "false positives" sai vì dương tính giả là cảnh báo nhầm trên hoạt động vô hại, tức ngược lại: thiết bị có phản ứng dù không có tấn công. "true negatives" sai vì âm tính thật là lưu lượng hợp lệ được nhận định đúng là hợp lệ, không có gì độc hại ở đó. "true positives" sai vì dương tính thật là hoạt động độc hại đã bị phát hiện đúng và cảnh báo, trái với tình huống không bị phát hiện mà câu hỏi mô tả.

Đáp án đúng: "exploit code maturity". CVSS (Common Vulnerability Scoring System, hệ thống chấm điểm lỗ hổng) phiên bản 3 chia chỉ số thành ba nhóm: base, temporal và environmental. Nhóm temporal (theo thời gian) phản ánh những yếu tố thay đổi theo thời gian, gồm độ trưởng thành của mã khai thác, mức độ có bản khắc phục (remediation level) và độ tin cậy của báo cáo (report confidence). "integrity impact" là tác động lên tính toàn vẹn, thuộc nhóm base, cùng với tác động lên tính bảo mật và tính sẵn sàng. "modified base metrics" là các chỉ số base được tổ chức điều chỉnh lại theo môi trường của mình, thuộc nhóm environmental. "attack vector" (đường tấn công) mô tả tấn công qua mạng, mạng liền kề, cục bộ hay vật lý, cũng là chỉ số của nhóm base, không đổi theo thời gian.