Bài5 Xâm nhập mạng

Network-based IDS (NIDS) chủ yếu giám sát điều gì?

• Hành vi ứng dụng

• Lưu lượng mạng

• Log hệ thống

• Hiệu suất CPU

Tại sao Network-based IDS hiệu quả trong việc phát hiện tấn công từ chối dịch vụ?

• Nó phân tích hành vi ứng dụng

• Nó giám sát lưu lượng gói tin trên mạng

• Nó kiểm tra log hệ thống

• Nó tự động mã hóa dữ liệu

Tại sao phương pháp phân biệt ý định người dùng (User Intention Identification) lại hiệu quả trong phát hiện xâm nhập?

• Nó mô hình hóa hành vi thông thường của người dùng

• Nó chỉ giám sát lưu lượng mạng

• Nó mã hóa toàn bộ dữ liệu người dùng

• Nó tự động chặn mọi kết nối

Tại sao HIDS phù hợp hơn trong môi trường chuyển mạch hoặc mã hóa?

• Nó không phụ thuộc vào lưu lượng mạng

• Nó giám sát toàn bộ mạng

• Nó phân tích header gói tin

• Nó tự động chặn tấn công

Tại sao Host-based IDS hiệu quả hơn Network-based IDS trong phát hiện tấn công mật mã?

• Nó giám sát toàn bộ lưu lượng mạng

• Nó phát hiện truy nhập trái phép vào file mã hóa

• Nó mã hóa dữ liệu người dùng

• Nó chặn các gói tin bất thường

Nhược điểm nào sau đây thuộc về NIDS?

• Không phát hiện được tấn công quét

• Báo động giả (false positive)

• Hoạt động phụ thuộc vào host

• Không hỗ trợ phân tích log

Các phương pháp nào được sử dụng để phát hiện tấn công trong Rule-Based Intrusion Detection? (Chọn 2)

• Phân tích chuỗi sự kiện kiểm định

• Sử dụng thuật toán học sâu

• Tìm kiếm mẫu dữ liệu trong bản ghi

• Mã hóa lưu lượng mạng

Phương pháp phân tích thống kê (Statistical Analysis Approach) sử dụng các yếu tố nào để phát hiện xâm nhập? (Chọn 3)

• Hiệu suất sử dụng CPU

• Thời gian truy nhập của người dùng

• Kích thước gói tin

• Giá trị ngưỡng định nghĩa trước

Các kỹ thuật nào được sử dụng trong tấn công leo thang đặc quyền (Privilege-grabbing)? (Chọn 3)

• Gây tràn bộ đệm

• Khai thác Windows NT registry

• Tạo backdoor trong ứng dụng

• Mã hóa dữ liệu người dùng

Khi cấu hình Suricata, làm thế nào để giảm cảnh báo giả? (Chọn 2)

• Vô hiệu hóa các rule không cần thiết

• Tăng số lượng luồng xử lý

• Thêm vào threshold.conf

• Xóa toàn bộ log