NEW
Font size
WorksheetsBMUDHT-CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT ỨNG DỤNG VÀ HỆ THỐNG
Total questions: 40
Worksheet time: 20mins
Mục tiêu chính của bảo mật thông tin là gì?
Tăng tốc độ xử lý dữ liệu
Đảm bảo tính bảo mật, toàn vẹn và sẵn sàng của thông tin
Giảm dung lượng lưu trữ
Tối ưu hóa chi phí phần cứng
Thành phần nào sau đây không thuộc tam giác bảo mật CIA?
Confidentiality
Integrity
Availability
Authenticity
“Tính toàn vẹn (Integrity)” trong bảo mật thông tin có nghĩa là gì?
Dữ liệu chỉ có thể được truy cập bởi người được phép
Dữ liệu không bị thay đổi trái phép
Dữ liệu luôn sẵn sàng khi cần thiết
Dữ liệu được mã hóa khi truyền
Bảo mật hệ thống thông tin bao gồm những thành phần nào sau đây?
Con người, phần mềm, phần cứng, quy trình, dữ liệu
Chỉ phần mềm và phần cứng
Chỉ dữ liệu và mạng
Chỉ người dùng và phần mềm
Yếu tố dễ bị tổn thương (Vulnerability) là gì?
Lỗ hổng hoặc điểm yếu trong hệ thống có thể bị khai thác
Hành động cố ý gây hại
Phần mềm diệt virus
Quá trình vá lỗi hệ thống
Trong bảo mật, “mối đe dọa (Threat)” là gì?
Một chính sách bảo vệ hệ thống
Bất kỳ yếu tố nào có khả năng khai thác điểm yếu để gây hại
Công cụ phát hiện lỗi
Phần mềm chống virus
Ba yếu tố cơ bản cấu thành nên rủi ro an toàn thông tin là:
Vulnerability, Threat, Impact
Data, System, User
Policy, Network, Device
Attack, Firewall, Antivirus
Trong mô hình bảo mật, “Countermeasure” là gì?
Hành động tấn công
Biện pháp phòng thủ nhằm giảm thiểu rủi ro
Hệ thống mạng
Tài nguyên hệ thống
Tấn công nội gián (Insider attack) thường đến từ:
Người dùng ngoài hệ thống
Nhân viên hoặc người có quyền truy cập hệ thống
Hacker từ xa
Chương trình độc hại
Trong bảo mật, “Attack surface” được hiểu là:
Tất cả các điểm mà kẻ tấn công có thể khai thác
Mặt phẳng hiển thị của giao diện
Tường lửa vật lý
Cấu hình phần mềm
Kỹ thuật Social Engineering thuộc loại tấn công nào?
Tấn công kỹ thuật
Tấn công phi kỹ thuật
Tấn công DoS
Tấn công Brute-force
Ví dụ nào sau đây là Social Engineering?
Gửi email giả mạo ngân hàng để lừa người dùng cung cấp mật khẩu
Mã độc tự nhân bản trong hệ thống
Chặn gói tin mạng
Phá hoại phần cứng
“Phishing” là dạng tấn công:
Lừa đảo trực tuyến qua email hoặc trang web giả
Tấn công mạng Wi-Fi
Tấn công vật lý
Lây nhiễm virus
Chính sách bảo mật (Security Policy) là gì?
Tập hợp quy định nhằm đảm bảo an toàn thông tin
Một phần mềm chống virus
Hệ thống giám sát mạng
Phần cứng mạng
Mục đích của kiểm soát truy cập (Access Control) là:
Ngăn truy cập trái phép
Tăng tốc độ xử lý dữ liệu
Nén dữ liệu
Kiểm tra hiệu năng
Các loại kiểm soát truy cập phổ biến gồm:
DAC, MAC, RBAC
DNS, DHCP, NAT
HTTPS, SSL, TLS
SMTP, FTP, POP3
DAC (Discretionary Access Control) đặc trưng bởi:
Người sở hữu tài nguyên có thể quyết định ai được truy cập
Quyền truy cập được xác định cứng nhắc theo vai trò
Dựa trên chính sách bắt buộc
Dựa trên chính sách bắt buộc
Trong bảo mật, “Non-repudiation” có nghĩa là gì?
Ngăn chặn chối bỏ hành động đã thực hiện
Xác thực danh tính người dùng
Bảo đảm tính toàn vẹn dữ liệu
Bảo mật khi truyền
Hash function thường được dùng để:
Kiểm tra tính toàn vẹn dữ liệu
Mã hóa đối xứng
Tăng tốc CPU
Xử lý đồ họa
Ví dụ về thuật toán băm thông dụng là:
SHA-256
AES
RSA
DES
Lý do chính khiến bảo mật ứng dụng web trở nên quan trọng là:
Ứng dụng web có thể bị tấn công từ xa
Ứng dụng web luôn chạy offline
Ứng dụng web không cần xác thực
Ứng dụng web không cần xác thực
OWASP là tổ chức chuyên về:
Chuẩn hóa giao thức HTTP
Nâng cao nhận thức về bảo mật ứng dụng web
Phát triển hệ điều hành
Mã nguồn mở về điện toán đám mây
OWASP Top 10 là:
Danh sách 10 lỗ hổng bảo mật phổ biến nhất trong ứng dụng web
10 công ty an ninh mạng hàng đầu
10 phương pháp mã hóa tốt nhất
10 phần mềm diệt virus hàng đầu
SQL Injection thuộc loại tấn công nào?
Tấn công ứng dụng web
Tấn công mạng không dây
Tấn công vật lý
Tấn công phần cứng
Mục tiêu của XSS (Cross-site Scripting) là gì?
Chèn mã độc vào trang web để đánh cắp thông tin người dùng
Tấn công vào cơ sở dữ liệu
Tăng tốc tải trang
Ngăn chặn DoS
“Zero-day attack” là:
Tấn công khai thác lỗ hổng chưa được công bố hoặc vá lỗi
Tấn công sau khi bản vá đã phát hành
Tấn công nội bộ
Tấn công từ chối dịch vụ
Để đảm bảo tính bảo mật, doanh nghiệp cần kết hợp giữa:
Chính sách, con người, và công nghệ
Phần cứng và mạng
Dữ liệu và phần mềm
Internet và Firewall
Trong chu trình quản lý bảo mật (Security Lifecycle), bước đầu tiên là:
Đánh giá rủi ro (Risk Assessment)
Triển khai tường lửa
Kiểm thử hệ thống
Mã hóa dữ liệu
Phân loại mối đe dọa gồm:
Tự nhiên, ngẫu nhiên, có chủ đích
Phần cứng, phần mềm, người dùng
Internet, LAN, WLAN
Vật lý, logic, truyền thông
Trong quản lý rủi ro, “Impact” nghĩa là:
Mức độ thiệt hại khi rủi ro xảy ra
Xác suất xảy ra
Lỗ hổng bảo mật
Hành động tấn công
Phương pháp phổ biến để đánh giá rủi ro là:
Ma trận xác suất – tác động
Lập trình hướng đối tượng
Cấu hình mạng
Phân tích mã nguồn
Một hệ thống an toàn cần đảm bảo:
Cả bảo mật vật lý và bảo mật logic
Chỉ bảo mật vật lý
Chỉ bảo mật logic
Không cần bảo mật
Kiểm toán an ninh (Security Audit) nhằm mục đích:
Đánh giá mức độ tuân thủ và phát hiện điểm yếu
Tăng tốc hệ thống
Nâng cấp phần cứng
Giảm chi phí
“Defense in Depth” nghĩa là:
Bảo vệ hệ thống bằng nhiều lớp phòng thủ
Tấn công từ nhiều hướng
Chỉ dùng một công cụ bảo mật
Dự phòng dữ liệu
Trong tam giác bảo mật, yếu tố nào bị ảnh hưởng khi hệ thống bị DoS attack?
Availability
Integrity
Confidentiality
Authenticity
Một cuộc tấn công phá hoại cơ sở dữ liệu thuộc loại:
Tấn công vào tính toàn vẹn
Tấn công vào tính sẵn sàng
Tấn công vào tính bảo mật
Tấn công vào tính xác thực
“Authentication” là quá trình:
Xác minh danh tính người dùng
Cấp quyền truy cập
Mã hóa dữ liệu
Ghi log hệ thống
“Authorization” là quá trình:
Xác định quyền của người dùng sau khi xác thực
Kiểm tra mật khẩu
Lưu lại nhật ký truy cập
Xác định vị trí địa lý
Một biện pháp giảm thiểu rủi ro hiệu quả là:
Cập nhật bản vá thường xuyên
Tắt tường lửa
Chia sẻ mật khẩu
Bỏ qua cảnh báo hệ thống
Hệ thống bảo mật tốt nhất là hệ thống:
Cân bằng giữa an toàn và khả năng sử dụng
Khóa chặt mọi tính năng
Chỉ cho phép admin truy cập
Không cần người giám sát
