NEW
Font size
WorksheetsC4 ATTT
Total questions: 60
Worksheet time: 30mins
Điều khiển truy nhập là gì?
Quá trình chỉ xác thực người dùng.
Quá trình chỉ trao quyền cho người dùng.
Quá trình nhận dạng, trao quyền truy nhập thông tin, hệ thống, tài nguyên cho người dùng.
Quá trình chỉ quản trị tài khoản người dùng.
Mục đích chính của điều khiển truy nhập KHÔNG bao gồm yếu tố nào sau đây?
Tính bí mật (Confidentiality)
Tính toàn vẹn (Integrity)
Tính sẵn dùng (Availability)
Tính ẩn danh (Anonymity)
Xác thực (Authentication) trong điều khiển truy nhập là gì?
Quá trình xác minh tính chân thực của thông tin nhận dạng người dùng cung cấp.
Quá trình xác định tài nguyên người dùng được phép truy nhập.
Quá trình thêm, bớt, sửa đổi tài khoản người dùng.
Quá trình cấp quyền truy nhập dựa trên vai trò.
Đâu là một ví dụ về biện pháp điều khiển truy nhập tuỳ chọn (DAC)?
Hệ thống phân loại tài liệu theo mức độ Mật, Tối mật.
Người dùng chia sẻ file trong thư mục cá nhân của mình cho người khác.
Nhân viên ngân hàng chỉ truy cập được dữ liệu khách hàng theo chức vụ.
Firewall chặn truy cập dựa trên địa chỉ IP.
Trong điều khiển truy nhập bắt buộc (MAC), quyền truy nhập được xác định dựa trên yếu tố nào?
Quyết định của chủ sở hữu tài nguyên.
Vai trò của người dùng trong tổ chức.
Tính nhạy cảm của thông tin và sự trao quyền chính thức.
Các luật được định nghĩa trước bởi quản trị viên.
Công nghệ điều khiển truy nhập nào sử dụng "cái bạn có" và "cái bạn biết" để xác thực?
Điều khiển truy nhập dựa trên mật khẩu.
Điều khiển truy nhập dựa trên đặc điểm sinh trắc học.
Điều khiển truy nhập dựa trên thẻ thông minh (Smartcard).
Điều khiển truy nhập dựa trên khóa mã (Encrypted Keys).
Mật khẩu một lần (OTP) là gì?
Mật khẩu người dùng tự đặt và không bao giờ thay đổi.
Mật khẩu được sinh ra và chỉ được dùng 1 lần cho 1 phiên làm việc hoặc giao dịch.
Mật khẩu được mã hóa bằng thuật toán MD5.
Mật khẩu có độ dài tối thiểu 8 ký tự.
Đâu KHÔNG phải là một đặc điểm sinh trắc học thường dùng để điều khiển truy nhập?
Dấu vân tay
Khuôn mặt
Giọng nói
Nhóm máu
Sự khác biệt cơ bản giữa DAC (Điều khiển truy nhập tuỳ chọn) và MAC (Điều khiển truy nhập bắt buộc) là gì?
DAC sử dụng vai trò, MAC sử dụng luật.
Trong DAC, chủ sở hữu quyết định quyền truy nhập; trong MAC, hệ thống/quản trị viên quyết định dựa trên chính sách và nhãn bảo mật.
DAC chỉ áp dụng cho file, MAC áp dụng cho hệ thống.
DAC kém an toàn hơn MAC trong mọi trường hợp.
Ma trận điều khiển truy nhập (ACM) mô tả mối quan hệ giữa các thành phần nào?
Người dùng, Vai trò, Quyền.
Chủ thể, Luật, Hành động.
Chủ thể (Subject), Đối tượng (Object), Quyền truy nhập (Access Right).
Nhóm người dùng, Chính sách, Tài nguyên.
Nguyên tắc "đọc xuống" (read-down) trong mô hình Bell-LaPadula có nghĩa là gì?
Người dùng chỉ được đọc các đối tượng ở mức bảo mật cao hơn mình.
Người dùng ở mức bảo mật k chỉ có thể đọc các đối tượng ở cùng mức hoặc thấp hơn.
Người dùng không được phép đọc bất kỳ đối tượng nào.
Người dùng có thể đọc mọi đối tượng bất kể mức bảo mật.
Điều khiển truy nhập dựa trên vai trò (RBAC) mang lại lợi ích chính nào so với việc gán quyền trực tiếp cho từng người dùng?
Tăng cường tính bí mật tuyệt đối cho dữ liệu.
Loại bỏ hoàn toàn nhu cầu xác thực người dùng.
Đơn giản hóa việc quản lý quyền khi có nhiều người dùng và tài nguyên, dễ dàng thay đổi quyền theo chức vụ.
Cho phép quản lý quyền truy nhập theo nhóm.
Firewalls thường áp dụng loại biện pháp điều khiển truy nhập nào?
Điều khiển truy nhập tuỳ chọn (DAC).
Điều khiển truy nhập bắt buộc (MAC).
Điều khiển truy nhập dựa trên vai trò (RBAC).
Điều khiển truy nhập dựa trên luật (Rule-Based AC).
Tại sao mật khẩu mạnh nên bao gồm nhiều loại ký tự (thường, hoa, số, đặc biệt) và có độ dài đủ lớn?
Để dễ nhớ hơn cho người dùng.
Để tăng độ phức tạp, khiến việc đoán hoặc tấn công brute-force trở nên khó khăn hơn đáng kể.
Để tương thích với nhiều hệ thống khác nhau.
Để hệ thống có thể mã hóa mật khẩu nhanh hơn.
Chứng chỉ số (Digital Certificate) thường chứa thông tin gì quan trọng để xác thực?
Chỉ chứa mật khẩu của chủ thể.
Chỉ chứa khóa bí mật của chủ thể.
Thông tin nhận dạng chủ thể, khóa công khai của chủ thể, và chữ ký số của tổ chức phát hành (CA).
Lịch sử truy cập của chủ thể.
Ưu điểm chính của việc sử dụng đặc điểm sinh trắc học để điều khiển truy nhập là gì?
Chi phí triển khai thấp và tốc độ nhận dạng nhanh.
Không bao giờ xảy ra lỗi nhận dạng sai.
Đặc điểm sinh trắc học là duy nhất và luôn đi cùng chủ thể, khó bị đánh cắp hoặc quên như mật khẩu/thẻ.
Dễ dàng chia sẻ quyền truy cập cho người khác.
Trong mô hình Bell-LaPadula, nguyên tắc "ghi lên" (write-up) nhằm mục đích gì?
Cho phép người dùng ghi dữ liệu vào bất kỳ đối tượng nào có mức bảo mật thấp hơn.
Đảm bảo người dùng có thể sửa đổi mọi thông tin họ đọc được.
Ngăn chặn việc rò rỉ thông tin từ mức bảo mật cao xuống mức thấp hơn thông qua hành động ghi.
Cho phép người dùng ở mức b
So sánh giữa Thẻ thông minh (Smartcard) và Thẻ bài (Token) dựa trên nội dung bài giảng, điểm khác biệt chính về khả năng là gì?
Smartcard sử dụng xác thực 2 yếu tố, còn Token thì không.
Token chỉ lưu trữ mật khẩu tĩnh, Smartcard lưu trữ OTP.
Token thường có năng lực tính toán (CPU, bộ nhớ) cao hơn Smartcard, cho phép cơ chế xác thực mạnh hơn.
Smartcard luôn yêu cầu tiếp xúc vật lý, còn Token thì không.
Một hệ thống áp dụng MAC với các mức bảo mật: Unclassified (U), Confidential (C), Secret (S), Top Secret (T). Một người dùng có mức clearance là Secret (S). Theo mô hình Bell-LaPadula, người dùng này KHÔNG thể thực hiện hành động nào sau đây?
Đọc một tài liệu được đánh dấu Confidential (C).
Ghi vào một tài liệu được đánh dấu Secret (S).
Đọc một tài liệu được đánh dấu Top Secret (T).
Ghi vào một tài liệu được đánh dấu Top Secret (T).
Tại sao việc chỉ dựa vào một yếu tố xác thực (ví dụ: chỉ mật khẩu) lại tiềm ẩn nhiều rủi ro hơn so với xác thực đa yếu tố (ví dụ: thẻ + PIN, hoặc mật khẩu + OTP)?
Xác thực đa yếu tố luôn nhanh hơn xác thực đơn yếu tố.
Nếu yếu tố xác thực duy nhất bị lộ (ví dụ: mật khẩu bị đánh cắp), kẻ tấn công có thể truy cập hệ thống. Xác thực đa yếu tố yêu cầu kẻ tấn công phải có được nhiều hơn một yếu tố, tăng cường đáng kể độ an toàn.
Xác thực đơn yếu tố không thể áp dụng cho các hệ thống quan trọng.
Xác thực đa yếu tố rẻ hơn để triển khai.
Tường lửa (Firewall) là gì?
Một phần mềm diệt virus.
Một hệ thống an ninh mạng kiểm soát lưu lượng mạng vào/ra dựa trên các quy tắc bảo mật.
Một thiết bị lưu trữ dữ liệu mạng.
Một công cụ mã hóa dữ liệu.
Chức năng chính của tường lửa là gì?
Tăng tốc độ kết nối mạng.
Sao lưu dữ liệu hệ thống.
Bảo vệ mạng nội bộ khỏi các truy cập trái phép từ bên ngoài và kiểm soát truy cập ra ngoài.
Quản lý tài khoản người dùng.
Vùng DMZ (Demilitarized Zone) trong kiến trúc mạng có tường lửa thường được sử dụng để đặt các máy chủ nào?
Máy chủ cơ sở dữ liệu nội bộ.
Máy chủ cung cấp dịch vụ công cộng (Web server, Mail server).
Máy trạm của người dùng nội bộ.
Máy chủ quản lý tên miền (DNS) nội bộ.
Loại tường lửa nào hoạt động ở tầng mạng (Network Layer) và kiểm tra thông tin header của gói tin?
Tường lửa lọc gói tin (Packet Filtering Firewall).
Tường lửa cổng ứng dụng (Application Gateway Firewall).
Tường lửa cổng chuyển mạch (Circuit-Level Gateway Firewall).
Tường lửa trạng thái (Stateful Firewall).
Tường lửa cổng ứng dụng (Application Gateway Firewall) hoạt động ở tầng nào trong mô hình OSI?
Tầng Vật lý (Physical Layer).
Tầng Liên kết dữ liệu (Data Link Layer).
Tầng Mạng (Network Layer).
Tầng Ứng dụng (Application Layer).
Kỹ thuật kiểm soát truy nhập nào KHÔNG phải là một trong các kỹ thuật được tường lửa sử dụng?
Service control (Kiểm soát dịch vụ).
Direction control (Kiểm soát hướng).
User control (Kiểm soát người dùng).
Content control (Kiểm soát nội dung - thường là chức năng của proxy/web filter).
Đâu là một hạn chế của tường lửa?
Không thể kiểm soát lưu lượng vào/ra.
Không thể bảo vệ chống lại các cuộc tấn công không đi qua tường lửa (ví dụ: tấn công nội bộ, virus qua USB).
Không thể lọc gói tin dựa trên địa chỉ IP.
Không thể hoạt động ở tầng ứng dụng.
Tường lửa "lọc gói tin" (Packet Filtering) đưa ra quyết định dựa trên thông tin nào?
Nội dung đầy đủ của gói tin.
Trạng thái của kết nối.
Địa chỉ IP nguồn/đích, cổng nguồn/đích, giao thức.
Thông tin người dùng đang gửi gói tin.
Sự khác biệt chính giữa tường lửa lọc gói tin (Packet Filtering) và tường lửa cổng ứng dụng (Application Gateway) là gì?
Lọc gói tin nhanh hơn nhưng kém an toàn hơn.
Lọc gói tin hoạt động ở tầng mạng, kiểm tra header; Cổng ứng dụng hoạt động ở tầng ứng dụng, hiểu giao thức và có thể kiểm tra nội dung.
Cổng ứng dụng không thể lọc dựa trên địa chỉ IP.
Lọc gói tin chỉ dùng cho mạng nhỏ, cổng ứng dụng dùng cho mạng lớn.
Tường lửa cổng chuyển mạch (Circuit-Level Gateway) hoạt động như thế nào?
Kiểm tra chi tiết nội dung của từng gói tin ứng dụng.
Thiết lập kết nối TCP giữa client và proxy, sau đó proxy thiết lập kết nối thay mặt client đến server đích, không kiểm tra nội dung ứng dụng.
Chỉ lọc dựa trên địa chỉ IP và cổng.
Hoạt động dựa trên vai trò của người dùng.
Tường lửa trạng thái (Stateful Inspection Firewall) khác biệt với tường lửa lọc gói tin không trạng thái (Stateless Packet Filtering) ở điểm nào?
Tường lửa trạng thái chậm hơn đáng kể.
Tường lửa trạng thái theo dõi trạng thái các kết nối đang hoạt động và đưa ra quyết định lọc dựa trên ngữ cảnh của kết nối, không chỉ dựa trên từng gói tin riêng lẻ.
Tường lửa không trạng thái an toàn hơn.
Tường lửa trạng thái chỉ hoạt động ở tầng ứng dụng.
Tại sao việc đặt tường lửa giữa mạng nội bộ và Internet lại quan trọng?
Để tăng băng thông Internet.
Để lưu trữ cache các trang web thường truy cập.
Để tạo ra một điểm kiểm soát duy nhất, ngăn chặn truy cập trái phép từ Internet vào mạng nội bộ và kiểm soát truy cập ra ngoài.
Để mã hóa toàn bộ lưu lượng mạng.
Mô hình tôpô mạng nào sử dụng hai tường lửa để tạo ra một vùng DMZ an toàn hơn?
Single firewall with one interface.
Single firewall with two interfaces.
Dual firewall configuration (Screened subnet firewall).
Host-based firewall configuration.
Kỹ thuật "Service control" trong tường lửa cho phép làm gì?
Xác định các loại dịch vụ Internet có thể được truy cập, vào trong hay ra ngoài.
Xác định người dùng nào được phép truy cập dịch vụ.
Xác định hướng của luồng dữ liệu được phép.
Xác định thời gian truy cập dịch vụ.
Tường lửa lọc gói tin (Packet Filtering) có thể gặp khó khăn trong việc chống lại loại tấn công nào?
Tấn công từ chối dịch vụ (DoS) dựa trên số lượng lớn gói tin.
Tấn công khai thác lỗ hổng ở tầng ứng dụng (vì nó không kiểm tra nội dung ứng dụng).
Chặn truy cập từ một địa chỉ IP cụ thể.
Chặn truy cập đến một cổng dịch vụ cụ thể.
Hạn chế nào của tường lửa liên quan đến việc không thể bảo vệ chống lại các mối đe dọa từ bên trong mạng?
Tường lửa không thể lọc lưu lượng mã hóa.
Tường lửa làm chậm tốc độ mạng.
Tường lửa thường được đặt ở biên mạng và không giám sát/kiểm soát lưu lượng hoàn toàn bên trong mạng nội bộ.
Tường lửa không thể cập nhật các quy tắc mới.
So sánh giữa tường lửa lọc gói tin trạng thái (Stateful) và tường lửa cổng ứng dụng (Application Gateway), lựa chọn nào thường cung cấp mức độ bảo mật cao nhất nhưng có thể ảnh hưởng đến hiệu năng nhiều nhất?
Tường lửa lọc gói tin không trạng thái (Stateless).
Tường lửa lọc gói tin trạng thái (Stateful).
Tường lửa cổng ứng dụng (Application Gateway / Proxy Firewall).
Tường lửa cổng chuyển mạch (Circuit-Level Gateway).
Tại sao tường lửa trạng thái (Stateful Firewall) lại an toàn hơn tường lửa lọc gói tin không trạng thái (Stateless)?
Vì nó kiểm tra nội dung dữ liệu ứng dụng.
Vì nó hiểu ngữ cảnh của luồng giao tiếp, chỉ cho phép các gói tin phản hồi hợp lệ tương ứng với các yêu cầu đã được khởi tạo từ bên trong đi qua, chống lại các kỹ thuật quét và giả mạo gói tin tinh vi hơn.
Vì nó hoạt động ở tầng ứng dụng.
Vì nó có thể xác thực người dùng.
Trong một cấu hình tường lửa kép (dual firewall) cho DMZ, tường lửa bên ngoài (external firewall) và tường lửa bên trong (internal firewall) thường có các bộ quy tắc khác nhau như thế nào?
Cả hai có bộ quy tắc giống hệt nhau.
Tường lửa bên ngoài cho phép mọi thứ, tường lửa bên trong chặn mọi thứ.
Tường lửa bên ngoài cho phép truy cập hạn chế từ Internet vào DMZ; Tường lửa bên trong cho phép truy cập hạn chế từ DMZ vào mạng nội bộ và kiểm soát chặt chẽ hơn truy cập từ mạng nội bộ ra DMZ/Internet.
Tường lửa bên trong cho phép mọi thứ, tường lửa bên ngoài chặn mọi thứ.
Tường lửa thế hệ tiếp theo (Next-Generation Firewall - NGFW) thường tích hợp thêm những khả năng nào so với tường lửa trạng thái truyền thống?
Chỉ lọc gói tin dựa trên IP và cổng.
Chỉ hoạt động như một cổng chuyển mạch.
Nhận dạng ứng dụng (Application awareness), hệ thống ngăn chặn xâm nhập (IPS), kiểm soát người dùng dựa trên danh tính, và đôi khi là lọc nội dung web.
Chỉ cung cấp kết nối VPN.
IDS là viết tắt của thuật ngữ nào?
Intrusion Detection Standard
Intrusion Detection System
Internet Defense System
Intrusion Defense Standard
Chức năng chính của Hệ thống phát hiện xâm nhập (IDS) là gì?
Ngăn chặn mọi cuộc tấn công mạng.
Giám sát lưu lượng mạng hoặc hoạt động hệ thống để phát hiện các hoạt động đáng ngờ hoặc độc hại và đưa ra cảnh báo.
Mã hóa dữ liệu truyền trên mạng.
Quản lý tường lửa.
IPS là viết tắt của thuật ngữ nào?
Intrusion Prevention Standard
Internet Protection System
Intrusion Prevention System
Intrusion Protection Standard
Sự khác biệt cơ bản giữa IDS và IPS là gì?
IDS giám sát mạng, IPS giám sát máy chủ.
IDS chỉ phát hiện tấn công dựa trên chữ ký, IPS chỉ dựa trên bất thường.
IDS chỉ phát hiện và cảnh báo, còn IPS có khả năng phát hiện và chủ động ngăn chặn cuộc tấn công.
IDS đắt tiền hơn IPS.
NIDS (Network-based IDS) được đặt ở đâu trong mạng?
Trên từng máy chủ riêng lẻ.
Tại các điểm chiến lược trong mạng để giám sát lưu lượng của toàn bộ phân đoạn mạng.
Bên ngoài tường lửa.
Tích hợp vào trình duyệt web.
HIDS (Host-based IDS) giám sát hoạt động ở đâu?
Toàn bộ lưu lượng mạng.
Trên một máy chủ hoặc thiết bị đầu cuối cụ thể (ví dụ: file hệ thống, log hệ thống, tiến trình).
Lưu lượng giữa các mạng khác nhau.
Hoạt động của tường lửa.
Phương pháp phát hiện xâm nhập dựa trên chữ ký (Signature-based detection) hoạt động như thế nào?
Phân tích hành vi bất thường của người dùng.
So sánh lưu lượng mạng hoặc hoạt động hệ thống với một cơ sở dữ liệu các mẫu tấn công đã biết (chữ ký).
Dự đoán các cuộc tấn công trong tương lai.
Xây dựng mô hình hoạt động bình thường của hệ thống.
Đâu là một ví dụ về phần mềm NIDS mã nguồn mở phổ biến?
OSSEC
Windows Defender
Snort
Wireshark
Ưu điểm chính của phương pháp phát hiện dựa trên chữ ký (Signature-based) là gì?
Có thể phát hiện các cuộc tấn công chưa từng biết (zero-day).
Độ chính xác cao và tỷ lệ báo động giả (false positive) thấp đối với các tấn công đã biết.
Không cần cập nhật cơ sở dữ liệu chữ ký.
Phát hiện tốt các biến thể nhỏ của tấn công.
Nhược điểm chính của phương pháp phát hiện dựa trên chữ ký (Signature-based) là gì?
Tỷ lệ báo động giả rất cao.
Khó triển khai và quản lý.
Không thể phát hiện các cuộc tấn công mới hoặc các biến thể chưa có trong cơ sở dữ liệu chữ ký.
Yêu cầu tài nguyên hệ thống rất lớn.
Phương pháp phát hiện xâm nhập dựa trên bất thường (Anomaly-based detection) hoạt động như thế nào?
So sánh lưu lượng với các mẫu tấn công đã biết.
Xây dựng một mô hình (baseline) về hành vi bình thường của mạng hoặc hệ thống và cảnh báo khi phát hiện các hoạt động lệch khỏi mô hình đó.
Chỉ giám sát các file hệ thống.
Dựa vào danh sách đen các địa chỉ IP.
Ưu điểm chính của phương pháp phát hiện dựa trên bất thường (Anomaly-based) là gì?
Không bao giờ tạo ra báo động giả.
Không cần xây dựng mô hình hoạt động bình thường.
Có khả năng phát hiện các cuộc tấn công mới hoặc chưa biết (zero-day) mà phương pháp dựa trên chữ ký bỏ lỡ.
Rất dễ cấu hình và không cần đào tạo.
Nhược điểm chính của phương pháp phát hiện dựa trên bất thường (Anomaly-based) là gì?
Không thể phát hiện tấn công đã biết.
Có thể có tỷ lệ báo động giả (false positive) cao do khó xác định chính xác hành vi bình thường và các thay đổi hợp lệ có thể bị coi là bất thường.
Yêu cầu cập nhật chữ ký liên tục.
Chỉ hoạt động hiệu quả trên các máy chủ riêng lẻ.
Tại sao việc kết hợp cả NIDS và HIDS lại mang lại hiệu quả bảo mật tốt hơn?
Giảm chi phí triển khai.
Cung cấp cái nhìn đa lớp: NIDS giám sát lưu lượng mạng tổng thể, HIDS cung cấp chi tiết về hoạt động trên từng máy chủ cụ thể, bổ sung cho nhau.
Loại bỏ hoàn toàn báo động giả.
Chỉ cần cập nhật một cơ sở dữ liệu duy nhất.
Một IPS khi phát hiện tấn công có thể thực hiện hành động ngăn chặn nào?
Chỉ gửi cảnh báo cho quản trị viên.
Ghi lại log sự kiện.
Chặn lưu lượng từ địa chỉ IP nguồn, kết thúc phiên kết nối, hoặc sửa đổi gói tin độc hại.
Yêu cầu người dùng xác thực lại.
"False Positive" trong ngữ cảnh IDS/IPS có nghĩa là gì?
Hệ thống không phát hiện được một cuộc tấn công thực sự (bỏ lọt).
Hệ thống cảnh báo một hoạt động là tấn công trong khi thực tế đó là hoạt động bình thường/hợp lệ.
Hệ thống phát hiện chính xác một cuộc tấn công.
Hệ thống bị kẻ tấn công vô hiệu hóa.
Kỹ thuật "Stateful Protocol Analysis" trong phát hiện bất thường hoạt động dựa trên nguyên tắc nào?
So sánh các gói tin với chữ ký tấn công đã biết.
Phân tích tần suất xuất hiện của các loại gói tin.
Hiểu rõ các trạng thái và trình tự hợp lệ của một giao thức mạng cụ thể (ví dụ: HTTP, DNS) và phát hiện các sai lệch hoặc hành vi vi phạm giao thức đó.
Xây dựng hồ sơ hành vi của từng người dùng.
Tại sao việc cập nhật thường xuyên cơ sở dữ liệu chữ ký lại quan trọng đối với IDS/IPS dựa trên chữ ký?
Để giảm tỷ lệ báo động giả.
Để tăng tốc độ xử lý của hệ thống.
Để đảm bảo hệ thống có thể nhận diện được các mối đe dọa và các biến thể tấn công mới nhất vừa được phát hiện và định nghĩa.
Để hệ thống có thể phát hiện tấn công zero-day.
Một thách thức khi triển khai IDS/IPS dựa trên bất thường trong môi trường mạng động (thường xuyên thay đổi cấu hình, ứng dụng) là gì?
Khó tìm được chữ ký phù hợp.
Mô hình hành vi bình thường (baseline) trở nên khó xây dựng và duy trì chính xác, dẫn đến tăng nguy cơ báo động giả (false positive) hoặc bỏ lọt (false negative).
Yêu cầu băng thông mạng rất lớn.
Không tương thích với các thiết bị mạng hiện đại.
So sánh giữa NIDS và HIDS, loại nào có khả năng phát hiện tấn công trên lưu lượng mạng đã được mã hóa (ví dụ: HTTPS) tốt hơn và tại sao?
NIDS, vì nó thấy toàn bộ lưu lượng.
NIDS, vì nó có thể giải mã mọi loại mã hóa.
HIDS, vì nó hoạt động trên máy chủ nơi dữ liệu đã được giải mã trước khi xử lý bởi ứng dụng, trong khi NIDS thường chỉ thấy lưu lượng mã hóa trên đường truyền.
Cả hai đều không thể phát hiện tấn công trên lưu lượng mã hóa.
