NEW
Font size
S
M
L
XL
WorksheetsATW 4.2
Total questions: 30
Worksheet time: 15mins
Name
Class
Date
1.
1. Mục tiêu cốt lõi của việc phân loại tài sản trong an toàn môi trường vật lý là gì?
a)
Biết tổ chức đang có những tài sản nào, giá trị ra sao để áp dụng biện pháp bảo vệ phù hợp
b)
Xác định các thiết bị có cấu hình yếu để lên kế hoạch nâng cấp phần cứng
c)
Lập danh sách tài sản nhằm phục vụ chủ yếu cho kiểm toán tài chính cuối năm
d)
Gom các tài sản theo phòng ban để thuận tiện cho việc phân bổ ngân sách vận hành
2.
2. Nhóm nào sau đây phản ánh gần nhất các loại tài sản phổ biến cần được liệt kê theo tài liệu?
a)
Thiết bị mạng, dịch vụ đám mây, bản quyền phần mềm, tài khoản người dùng
b)
Thiết bị máy tính, thiết bị mạng, thiết bị kỹ thuật, phương tiện lưu trữ, tài liệu hồ sơ, tài sản có giá trị
c)
Mã nguồn ứng dụng, hệ điều hành, cơ sở dữ liệu, API, tài liệu thiết kế
d)
Tài khoản email, tài khoản mạng xã hội, ứng dụng di động, máy chủ ảo
3.
3. Đối với tài sản quan trọng, tập thông tin nào dưới đây bám sát nhất nội dung cần ghi nhận?
a)
Giá mua, cấu hình chi tiết, vị trí đặt, nhà cung cấp dịch vụ bảo hành
b)
Giá trị khấu hao, giá mua, chi phí thay thế, chủ sở hữu, số seri và phiên bản
c)
Ngày mua, người phê duyệt, hãng sản xuất, thông số kỹ thuật, địa điểm lắp đặt
d)
Giá trị còn lại, thời gian khấu hao, đơn vị sử dụng, loại hợp đồng hỗ trợ kỹ thuật
4.
4. Lý do chính của việc ghi đầy đủ thông tin về tài sản quan trọng được nhấn mạnh là gì?
a)
Để tối ưu hóa hiệu năng khai thác tài sản trong suốt vòng đời sử dụng
b)
Để phục vụ việc thương lượng lại hợp đồng với nhà cung cấp thiết bị
c)
Để có cơ sở tính toán chi tiết chi phí bảo dưỡng định kỳ hằng năm
d)
Để khi xảy ra sự cố như cháy nổ, trộm cắp, tổ chức biết mình mất gì và phục hồi ra sao
5.
5. Khi đánh giá lỗ hổng vật lý, tài liệu nhấn mạnh trọng tâm vào yếu tố nào?
a)
Các điểm yếu trong hệ điều hành và phần mềm chạy trên máy chủ
b)
Các điểm yếu dễ bị lợi dụng tại tòa nhà, thiết bị, tài liệu và hồ sơ cá nhân
c)
Các điểm yếu trong quy trình mua sắm và bàn giao tài sản giữa các đơn vị
d)
Các điểm yếu trong cấu hình thiết bị mạng kết nối ra Internet công cộng
6.
6. Nhận định nào thể hiện đúng nhất rủi ro của xâm nhập vật lý theo tài liệu?
a)
Rủi ro chủ yếu là hỏng hóc thiết bị do môi trường không ổn định, ít liên quan đến bảo mật
b)
Rủi ro thường được kiểm soát hoàn toàn bởi các cơ chế mã hóa và tường lửa lớp mạng
c)
Rủi ro có thể gây hậu quả nặng vì xâm nhập vật lý thường vượt qua được hầu hết lớp bảo mật số
d)
Rủi ro chỉ ảnh hưởng đến khu vực văn phòng, không tác động đến hệ thống trung tâm dữ liệu
7.
7. Khi lựa chọn vị trí an toàn cho hệ thống, tiêu chí chung nào được nêu ra trong tài liệu?
a)
Nơi có diện tích lớn, chi phí thuê thấp, gần khu dân cư đông đúc để dễ tuyển dụng
b)
Nơi an toàn, ổn định, dễ quản lý, được thiết kế chuyên cho mục đích sản xuất kinh doanh
c)
Nơi an toàn, ổn định, dễ quản lý, cân bằng giữa dễ tiếp cận vận hành và khó tiếp cận với người lạ
d)
Nơi gần khu thương mại sầm uất để tiện kết hợp văn phòng và kinh doanh dịch vụ
8.
8. Bộ tiêu chí nào sau đây bám sát nhất yêu cầu khi chọn vị trí an toàn cho hệ thống?
a)
Chiếu sáng tốt, gần trung tâm thương mại, có nhiều đường đi để dễ di chuyển
b)
Không gần tòa nhà nguy hiểm, gần công an/cứu hỏa, hệ thống điện ổn định, chiếu sáng tốt
c)
Nằm trong khu vực có nhiều quán cà phê, nhà hàng, thuận tiện cho nhân viên làm việc
d)
Gần sân bay, bến xe, nhà ga để thuận tiện vận chuyển thiết bị và di chuyển nhân sự
9.
9. Cặp ghép nào sau đây phù hợp nhất với hai nhóm biện pháp “bảo vệ tài sản” theo tài liệu?
a)
Hệ thống khóa: khóa cửa, khóa tủ hồ sơ, khóa laptop; kiểm soát ra vào: thẻ từ, mantrap, camera, sinh trắc học
b)
Hệ thống khóa: thẻ từ, camera, sinh trắc học; kiểm soát ra vào: khóa cửa, khóa tủ mạng, khóa laptop
c)
Hệ thống khóa: firewall, IDS, VPN; kiểm soát ra vào: ACL, VLAN, NAC
d)
Hệ thống khóa: niêm phong phần mềm; kiểm soát ra vào: mật khẩu ứng dụng, token OTP
10.
10. Tinh thần “truyền thống” về bảo vệ tài sản vật lý được mô tả đúng nhất như thế nào?
a)
Ưu tiên các giải pháp mã hóa mạnh và hệ thống giám sát mạng phức tạp
b)
Ưu tiên các biện pháp rõ ràng, đơn giản, hiệu quả như khóa, niêm phong và kiểm soát người ra vào
c)
Ưu tiên xây dựng các trung tâm dữ liệu dự phòng tại nhiều khu vực địa lý khác nhau
d)
Ưu tiên sử dụng thiết bị hiện đại, tự động hóa tối đa dù quy trình phức tạp
11.
11. Về phát hiện xâm nhập vật lý, tổ hợp nào sau đây sát với nội dung tài liệu?
a)
IDS/IPS đặt trong mạng nội bộ và hệ thống honeypot giám sát truy cập từ xa
b)
CCTV giám sát khu vực và chuông/còi báo động khi có xâm nhập trái phép
c)
Hệ thống gửi email cảnh báo và báo cáo định kỳ cho quản trị viên
d)
Hệ thống ghi log truy cập ứng dụng và phân tích hành vi người dùng
12.
12. Cặp chuẩn/framework nào được nêu rõ trong phần “Tuân thủ chuẩn” về an toàn môi trường vật lý?
a)
ISO/IEC 27002 về bảo mật và COBIT về quản trị CNTT
b)
ISO 9001 về quản lý chất lượng và ITIL về quản lý dịch vụ CNTT
c)
PCI DSS về bảo mật thanh toán và OWASP ASVS về bảo mật ứng dụng
d)
NIST SP 800-53 về kiểm soát an ninh và CIS Controls về thực hành tốt
13.
13. Đặc điểm chung mà tài liệu gán cho việc tuân thủ các chuẩn như ISO/IEC 27002 và COBIT là gì?
a)
Giúp tổ chức tối ưu hóa chi phí đầu tư cho thiết bị phần cứng bảo mật
b)
Giúp tổ chức triển khai bảo mật có quy củ, theo khung tham chiếu thay vì làm tùy hứng
c)
Giúp tổ chức loại bỏ nhu cầu xây dựng quy trình bảo mật nội bộ
d)
Giúp tổ chức tập trung hoàn toàn vào an toàn vật lý, không cần quan tâm an toàn số
14.
14. Trong an toàn hệ điều hành, mô hình kiểm soát truy cập nào dưới đây được liệt kê trong tài liệu?
a)
DAC, MAC, RBAC
b)
RBAC, ABAC, OAuth
c)
MAC, ABAC, OpenID Connect
d)
DAC, SSO, Kerberos
15.
15. Cặp ghép mô hình – mục tiêu nào phù hợp nhất với nội dung tài liệu?
a)
Bell-LaPadula – bảo vệ toàn vẹn; Biba – bảo vệ bí mật; Clark-Wilson – tính sẵn sàng
b)
Bell-LaPadula – bảo mật bí mật; Biba – bảo vệ toàn vẹn; Clark-Wilson – toàn vẹn giao dịch
c)
Bell-LaPadula – tính sẵn sàng; Biba – bảo mật bí mật; Clark-Wilson – phân quyền truy cập
d)
Bell-LaPadula – quản lý phiên; Biba – chống giả mạo; Clark-Wilson – bảo mật truyền thông
16.
16. “Reference Monitor” trong an toàn hệ điều hành được hiểu đúng nhất là gì?
a)
Thành phần đảm nhiệm việc mã hóa toàn bộ ổ đĩa hệ thống
b)
Cơ chế lý thuyết giám sát mọi truy cập đến đối tượng, đảm bảo kiểm soát truy cập nhất quán và cách ly
c)
Hệ thống giám sát hiệu năng CPU và bộ nhớ của tiến trình
d)
Trình quản lý cập nhật bản vá hệ điều hành theo lịch tự động
17.
17. Trong các cơ chế an toàn hệ điều hành, TPM được nhắc tới với vai trò nào?
a)
Chip hỗ trợ lưu trữ khóa và đo độ tin cậy nền tảng phần cứng
b)
Module chuyên phân tích lưu lượng mạng và chặn tấn công DDoS
c)
Thành phần đảm nhiệm việc phân quyền truy cập tệp tin hệ thống
d)
Tiện ích quản lý các bản vá và nâng cấp hệ điều hành
18.
18. Đối với dịch vụ email, nhóm nguy cơ nào sau đây bám sát nội dung tài liệu?
a)
SQL Injection, XSS, CSRF, SSRF
b)
Rò rỉ email, phishing, spam, malware qua file đính kèm
c)
DNS spoofing, DNS tunneling, amplification
d)
Man-in-the-Middle trên TLS, tấn công brute-force SSH
19.
19. Kết hợp giao thức hoặc cơ chế nào là phù hợp với mục tiêu bảo vệ nội dung email theo tài liệu?
a)
SMTP kết hợp Telnet để kiểm tra cổng, sử dụng mật khẩu đơn giản cho tài khoản
b)
SMTPS và S/MIME để mã hóa kênh truyền và nội dung email
c)
HTTP và JWT để xác thực và bảo vệ nội dung email
d)
POP kết hợp VPN để bảo vệ toàn bộ dữ liệu cơ sở hạ tầng
20.
20. SPF, DKIM và DMARC trong bối cảnh an toàn email được dùng chủ yếu để làm gì?
a)
Xác thực nguồn gửi email, hạn chế giả mạo địa chỉ gửi và giảm spam/phishing
b)
Mã hóa nội dung email từ đầu đến cuối giữa người gửi – người nhận
c)
Lưu trữ an toàn bản sao email trên hệ thống trung tâm dữ liệu
d)
Tăng tốc độ chuyển tiếp email giữa các máy chủ trung gian
21.
21. Với dịch vụ web, nhóm biện pháp nào trùng khớp nhất với các biện pháp được liệt kê trong tài liệu?
a)
Sử dụng HTTPS, cập nhật bản vá, lọc input, cấu hình an toàn, xác thực nhiều lớp
b)
Sử dụng HTTP thuần, tăng timeout kết nối, tắt toàn bộ log, bỏ xác thực
c)
Mã hóa cơ sở dữ liệu, vô hiệu hóa toàn bộ cache, dùng giao thức FTP để trao đổi
d)
Chỉ dùng WAF mà không cần vá lỗi hoặc kiểm tra input từ người dùng
22.
22. Đối với dịch vụ DNS, cơ chế nào được tài liệu nêu rõ để bảo vệ chống lại một số kiểu tấn công?
a)
DNS over HTTPS để ẩn toàn bộ truy vấn khỏi hệ thống giám sát
b)
DNSSEC nhằm bổ sung cơ chế xác thực và toàn vẹn cho bản ghi DNS
c)
Anycast để tối ưu hóa định tuyến và giảm độ trễ truy vấn DNS
d)
CNAME để che giấu tên miền thật của máy chủ ứng dụng
23.
23. Trong phần nói về proxy, cặp phân loại nào sau đây khớp với tài liệu?
a)
Forward Proxy, Reverse Proxy, Anonymous Proxy
b)
Transparent Proxy, Application Proxy, Reverse Proxy
c)
SSL Proxy, HTTP Proxy, SOCKS Proxy
d)
Local Proxy, Remote Proxy, Split Proxy
24.
24. Theo tài liệu, tác dụng được nhấn mạnh của proxy là gì?
a)
Mã hóa toàn bộ nội dung ứng dụng và cơ sở dữ liệu ở phía máy chủ
b)
Ẩn IP thật của client hoặc server, đồng thời có thể tham gia cân bằng tải
c)
Đảm bảo mọi yêu cầu đều đi qua VPN site-to-site giữa các chi nhánh
d)
Thay thế hoàn toàn tường lửa truyền thống trong mô hình bảo mật
25.
25. Trong an toàn ứng dụng, chuỗi hoạt động nào dưới đây phản ánh đúng tư tưởng “xây dựng chặt chẽ từ đầu” của tài liệu?
a)
Thiết kế an toàn, phát triển theo SDLC, Threat Modeling, Secure Coding, Code Review, Pentest, giám sát bản vá, tài liệu an toàn
b)
Phát triển nhanh MVP, triển khai sản xuất, sau đó mới thêm cơ chế bảo mật khi hệ thống ổn định
c)
Chỉ tập trung vào kiểm thử chức năng, bỏ qua việc xem xét thiết kế và mã nguồn
d)
Mua một giải pháp WAF, ngừng tất cả hoạt động kiểm thử và rà soát mã nguồn
26.
26. Trong bối cảnh an toàn thiết bị di động, nhóm rủi ro nào được tài liệu nhắc tới liên quan trực tiếp đến bản thân thiết bị?
a)
Lỗ hổng hệ điều hành, cổng USB dễ bị khai thác, mật khẩu đơn giản, WiFi bị chiếm quyền, dùng làm WiFi mở, nghe lén sóng vô tuyến
b)
Lỗ hổng trình duyệt, cache DNS, log hệ thống, cấu hình máy in
c)
Chỉ rủi ro từ ứng dụng bên thứ ba trong kho ứng dụng chính thức
d)
Rủi ro chủ yếu từ việc không cập nhật phiên bản ứng dụng văn phòng
27.
27. Nhóm rủi ro nào được tài liệu liệt kê riêng cho ứng dụng trên thiết bị di động?
a)
Phishing, smishing, Trojan, URL độc hại
b)
SQL Injection, XSS, CSRF, SSRF
c)
DNS tunneling, spoofing, amplification
d)
Ransomware, botnet, tấn công brute-force SSH
28.
28. Gói biện pháp nào sau đây bám sát nội dung tài liệu về bảo vệ thiết bị di động?
a)
Không gian ứng dụng tách biệt, giới hạn cài lại OS, xác thực ứng dụng, mật khẩu mạnh/sinh trắc, mã hóa dữ liệu
b)
Chỉ cần bật tường lửa mạng di động và vô hiệu hóa hoàn toàn kết nối WiFi
c)
Cài đặt nhiều ứng dụng bảo mật khác nhau để tăng mức độ “chồng lớp”
d)
Sử dụng tài khoản dùng chung cho mọi thiết bị để đơn giản quản lý
29.
29. Theo tài liệu, tầm quan trọng của quản lý bản vá KHÔNG nằm ở ý nào sau đây?
a)
Bảo mật, bằng cách vá lỗ hổng trước khi bị khai thác
b)
Đảm bảo hệ thống vận hành ổn định
c)
Tuân thủ các quy định, yêu cầu về an toàn thông tin
d)
Tối ưu hóa doanh thu bán hàng trực tuyến bất kể kiến trúc hệ thống
30.
30. Chuỗi bước nào sau đây khớp nhất với quy trình quản lý bản vá được nêu trong tài liệu?
a)
Kiểm kê tài sản, tìm bản vá phù hợp, kiểm thử bản vá, triển khai chính thức, giám sát và ghi nhận
b)
Tìm bản vá phù hợp, triển khai chính thức, kiểm thử bản vá, giám sát và ghi nhận, kiểm kê tài sản
c)
Giám sát và ghi nhận, kiểm thử bản vá, kiểm kê tài sản, triển khai chính thức
d)
Triển khai chính thức, tìm bản vá phù hợp, kiểm thử bản vá, giám sát và ghi nhận
Reset
