Câu hỏi: HOD402 Thâm nhập thử và phòng thủ – Bộ ôn tập thi lại số 2

Đáp án đúng: "VM escape vulnerability". Thoát máy ảo (VM escape) là khi mã chạy trong một máy ảo khai thác lỗi để vượt khỏi ranh giới cô lập, tương tác với hypervisor và từ đó truy cập máy chủ vật lý hay dữ liệu của máy ảo khác cùng chạy trên đó; tình huống đã chiếm một máy ảo rồi chạm tới dữ liệu máy ảo khác đúng là mô hình này. Phòng thủ là vá hypervisor kịp thời và tách các tải quan trọng ra máy chủ riêng. "VM repository vulnerability" là ảnh máy ảo bị cài sẵn mã độc trong kho tải về, rủi ro xuất hiện trước khi triển khai. "Hypervisor vulnerability" là lỗi trong chính phần mềm hypervisor; VM escape thường dựa vào loại lỗi này, nhưng câu hỏi mô tả hành vi vượt từ máy ảo này sang máy ảo khác, tên gọi đúng là VM escape. "Hyperjacking" là chiếm quyền kiểm soát hoặc thay thế toàn bộ hypervisor để điều khiển mọi máy ảo bên dưới.

Đáp án đúng: "vertical privilege escalation". Vertical privilege escalation (leo thang đặc quyền theo chiều dọc) xảy ra khi người dùng quyền thấp truy cập được chức năng dành cho người có quyền cao hơn, ví dụ tài khoản thường vào được trang quản trị vì máy chủ không kiểm tra vai trò; cách phòng là kiểm tra phân quyền ở phía máy chủ cho từng chức năng. "horizontal privilege escalation" là leo thang theo chiều ngang: người dùng truy cập dữ liệu của người khác cùng mức quyền, như đổi mã số trong URL để xem đơn hàng của khách khác. "credential harvesting" là thu gom thông tin đăng nhập, thường qua trang lừa đảo, chứ không phải lợi dụng lỗi phân quyền. "metadata service attacks" nhắm vào dịch vụ siêu dữ liệu của nền tảng đám mây, ví dụ địa chỉ 169.254.169.254, để lấy khoá truy cập tạm thời gắn với máy ảo.

Đáp án đúng: "Payment method". Rules of Engagement (RoE, quy tắc tham gia) là tài liệu quy định cách tiến hành kỳ kiểm thử: phạm vi, khung thời gian, kỹ thuật và công cụ được phép, đầu mối liên lạc khẩn cấp và cách xử lý dữ liệu nhạy cảm; phương thức thanh toán là điều khoản thương mại thuộc hợp đồng hay SOW (statement of work), không nằm trong RoE nên là đáp án của câu phủ định này. "Testing timeline" có trong RoE vì nó quy định ngày giờ được phép kiểm thử để tránh ảnh hưởng vận hành, nên không được chọn. "Allowed tools" có trong RoE vì tài liệu phải nêu công cụ và kỹ thuật được dùng hay bị cấm, ví dụ không chạy tấn công từ chối dịch vụ, nên không được chọn. "In-scope IP addresses" có trong RoE vì xác định chính xác dải địa chỉ được phép là ranh giới pháp lý của kỳ kiểm thử, nên cũng không được chọn.

Đáp án đúng: "Mandates regular penetration testing". GLBA (Gramm-Leach-Bliley Act) là luật Hoa Kỳ buộc các tổ chức tài chính bảo vệ thông tin khách hàng; Quy tắc bảo vệ (Safeguards Rule) của luật này yêu cầu chương trình an ninh thông tin có kiểm tra và giám sát định kỳ, trong đó có kiểm thử xâm nhập thường xuyên. "Requires it only during audits" sai vì yêu cầu kiểm thử là liên tục theo chu kỳ, không chỉ khi có đợt kiểm toán. "It is optional for most institutions" sai vì với tổ chức thuộc phạm vi luật, kiểm tra và giám sát an ninh là bắt buộc chứ không tùy ý. "Only applies to tax firms" sai vì GLBA áp dụng cho nhiều loại tổ chức tài chính như ngân hàng, công ty bảo hiểm, công ty chứng khoán và đơn vị cho vay; dịch vụ thuế chỉ là một phần trong số đó.

Đáp án đúng: "All financial service organizations regardless of size". GLBA (Gramm-Leach-Bliley Act) là luật Hoa Kỳ yêu cầu các tổ chức cung cấp dịch vụ tài chính bảo vệ thông tin cá nhân của khách hàng; phạm vi của nó bao trùm các tổ chức tài chính theo nghĩa rộng như ngân hàng, công ty cho vay, môi giới chứng khoán, bảo hiểm, tư vấn tài chính, không giới hạn theo quy mô, và Safeguards Rule đi kèm đòi hỏi chương trình an ninh thông tin có kiểm thử định kỳ như kiểm thử xâm nhập. "Only large banks" thu hẹp sai phạm vi, vì luật áp dụng cả cho tổ chức nhỏ và cho tổ chức không phải ngân hàng. "Only financial institutions regulated by federal banking agencies" cũng thu hẹp sai, vì nhiều tổ chức chịu sự giám sát của FTC hay cơ quan khác vẫn thuộc phạm vi GLBA. "Only credit reporting agencies" sai vì cơ quan báo cáo tín dụng chỉ là một nhóm trong số các tổ chức chịu điều chỉnh.

Đáp án đúng: "Legal complications". Scoping (xác định phạm vi) đặt ra ranh giới được phép của cuộc kiểm thử: hệ thống nào, địa chỉ nào, thời gian nào và kỹ thuật nào; nếu phạm vi mơ hồ, người kiểm thử có thể tác động lên hệ thống không được uỷ quyền hay thuộc bên thứ ba như nhà cung cấp đám mây, và hành vi đó có thể bị coi là truy cập trái phép, dẫn tới rắc rối pháp lý cho cả hai bên. "Reduced test speed" sai vì phạm vi kém có thể làm lãng phí thời gian, nhưng chậm tiến độ không phải hậu quả nghiêm trọng điển hình. "Loss of internet connection" sai vì mất kết nối Internet là sự cố hạ tầng, không gắn với việc xác định phạm vi. "Easier vulnerability discovery" sai vì phạm vi kém không làm việc tìm lỗ hổng dễ hơn; ngược lại, nó dễ làm bỏ sót hệ thống quan trọng hay kiểm nhầm chỗ.

Đáp án đúng: "1 - a, 2 - e, 3 - c, 4 - d, 5 - b, 6 - f". Trong phiên SMTP, MAIL (cụ thể là MAIL FROM) khai báo địa chỉ người gửi; RSET huỷ giao dịch thư đang dở; EHELO mở hội thoại với máy chủ hỗ trợ SMTP mở rộng (ESMTP) và nhận danh sách tính năng; DATA bắt đầu truyền nội dung thư; STARTTLS nâng kết nối lên Transport Layer Security; HELO mở hội thoại SMTP cơ bản. "1 - a, 2 - b, 3 - c, 4 - d, 5 - e, 6 - f" ghép theo thứ tự xuất hiện nên gán cho RSET việc khởi tạo TLS và cho STARTTLS việc huỷ giao dịch. "1 - b, 2 - c, 3 - d, 4 - a, 5 - e, 6 - f" cho MAIL khởi tạo TLS và DATA khai báo người gửi, sai chức năng của cả hai. "1 - c, 2 - a, 3 - b, 4 - d, 5 - e, 6 - f" cho MAIL mở hội thoại ESMTP và RSET khai báo người gửi, cũng sai.

Đáp án đúng: "On-path". IP spoofing (giả mạo địa chỉ IP) là việc làm giả địa chỉ nguồn trong gói tin để đóng vai một máy khác; theo cách phân loại thường dùng trong kiểm thử xâm nhập, nó được xếp vào nhóm tấn công on-path (người đứng giữa, trước gọi là MITM) cùng với ARP spoofing hay DNS spoofing, vì kẻ tấn công mạo danh một bên để chen vào hoặc chiếm luồng liên lạc giữa hai bên. "Evil-Twin" là điểm truy cập Wi-Fi giả mang cùng tên với mạng thật, giả mạo ở mức mạng không dây chứ không phải địa chỉ IP. "Pass-the-Hash" dùng hash mật khẩu đánh cắp để xác thực mà không cần mật khẩu gốc, không liên quan địa chỉ nguồn. "DDoS" là tấn công từ chối dịch vụ phân tán; nó có thể dùng IP giả để khuếch đại hay che nguồn, nhưng đó là một công dụng của giả mạo trong DDoS chứ bản thân IP spoofing không phải một kiểu DDoS.

Đáp án đúng: "the MAC of the attacker". ARP spoofing (giả mạo ARP) gửi các bản tin ARP reply giả để máy nạn nhân ghi vào bộ đệm ARP rằng địa chỉ IP của cổng mặc định ứng với MAC của máy kẻ tấn công; khi đó gói tin đi ra ngoài mạng được gửi tới kẻ tấn công trước, đặt hắn vào vị trí on-path (trung gian) để xem hay sửa lưu lượng rồi chuyển tiếp. Dynamic ARP Inspection trên switch giúp chặn kiểu này. "the MAC of the target server" sai vì ánh xạ IP cổng mặc định sang MAC máy chủ đích không đưa lưu lượng đi qua kẻ tấn công. "the broadcast MAC" sai vì MAC quảng bá làm khung bị phát tràn tới mọi máy, gây rối chứ không tạo vị trí trung gian có kiểm soát. "that MAC of the target computer" sai vì trỏ cổng mặc định về chính MAC của máy nạn nhân làm gói tin quay lại chính nó, chỉ gây mất kết nối.

Đáp án đúng: "NetBIOS-SSN". NetBIOS Session Service chạy trên cổng TCP 139, thiết lập phiên hướng kết nối (connection-oriented) giữa hai máy để truyền dữ liệu tin cậy, chẳng hạn chia sẻ tệp và máy in qua SMB trên NetBIOS; vì vậy cổng này hay được kiểm tra khi liệt kê dịch vụ Windows. "NetBIOS-NS" là dịch vụ tên trên cổng UDP 137, chỉ đăng ký và phân giải tên NetBIOS. "NetBIOS-DGM" là dịch vụ datagram trên cổng UDP 138, truyền không kết nối và dùng cho thông điệp quảng bá, không thiết lập phiên. "LLMNR" (Link-Local Multicast Name Resolution) là giao thức phân giải tên trong mạng cục bộ bằng multicast khi DNS thất bại, không thuộc bộ dịch vụ NetBIOS và cũng không phục vụ truyền dữ liệu hướng kết nối.