Chap12

Sau khi thực hiện pentest cho một công ty có PCI DSS, 2 tháng sau Tom đã được yêu cầu cung cấp ghi chép kết quả quả kiểm thử cho tệp các tiêu chuẩn của công ty. Loại báo cáo mà khách hàng yêu cầu là gì?

• Tóm tắt quá trình thực thi

• Báo cáo kiểm thử

• Bằng chứng viết tay (Bản kê khai) - Written testimony

• Chứng thực kết quả

Wendy đang xem xét kết quả pentest và biết được rằng tổ chức của cô sử dụng cùng một mật khẩu cục bộ trên tất cả hệ thống. Công cụ nào sau đây có thể giúp cô giải quyết vấn đề này?

• LAPS - The Local Administrator Password Solution

• Nmap

• Nessus

• Metasploit

Trong số các yếu tố sau đây, yếu tố nào không phải là một communication trigger  đối với pentest?

“communication trigger" thường được hiểu là một sự kiện hoặc điều kiện kích hoạt (trigger) mà khi xảy ra, sẽ kích động hoặc kích thích quá trình giao tiếp giữa kẻ tấn công và tổ chức hoặc giữa các bộ phận bảo mật bên trong tổ chức.

• Tìm thấy kết quả đáng lưu ý

• Hoàn thành một giai đoạn kiểm thử

• Tài liệu về kế hoạch kiểm thử mới

• Xác định sự xâm nhập trước đó

 Gary chạy Nmap trên một hệ thống và phát hiện ra nó đang lắng nghe trên cổng 22 mặc dù trên thực tế là nó không nên kết nối SSH. Anh ấy nên báo cáo kết quả như nào?

• Thông tin đăng nhập cho tài khoản quản trị viên trên máy cục bộ

• Các dịch vụ mở không cần thiết

• Lỗ hổng SQL injection

• Không có xác thực đa yếu tố

Tổ chức của Tom hiện đang sử dụng mật khẩu xác thực và muốn chuyển sang xác thực đa yếu tố. Yếu tố xác thực thứ hai có thể là?

• Câu hỏi bảo mật

• PIN

• Ứng dụng điện thoại thông minh

• Passphrase

Mục nào sau đây không phù hợp cho bản tóm tắt báo cáo thực thi quá trình pentest?

• Mô tả các kết quả

• Mô tả chi tiết rủi ro

• Văn bản tóm lược dễ hiểu

• Chi tiết kỹ thuật

Hành động nào sau đây không phổ biến trong giai đoạn dọn dẹp sau khi thực hiện pentest

• Khắc phục các lỗ hổng

• Loại bỏ các shell

• Loại bỏ các thông tin đăng nhập được tạo bởi pentester

• Loại bỏ các công cụ

Ai là người có khả năng tạo một buổi nghiên cứu sau khi thực hiện pentest?

• Trưởng nhóm

• Giám đốc công nghệ thông tin - CIO

• Bên thứ ba

• Khách hàng

Yếu tố nào sau đây không trong danh mục các hoạt động khắc phục phổ biến?

• Con người

• Quy trình

• Kiểm thử

• Công nghệ

Kỹ thuật nào sau đây không phải là một hoạt động khắc phục phù hợp cho SQL injection?

• Tường lửa mạng

• Lọc dữ liệu đầu vào

• Xác thực dữ liệu đầu vào

• Câu truy vấn tham số hóa