Mối đe dọa hoặc Nguy cơ là gì?

Penetration test (kiểm thử xâm nhập) là một phương pháp đánh giá bảo mật hệ thống bằng cách mô phỏng các cuộc tấn công của hacker. Mục tiêu là xác định các lỗ hổng bảo mật và đánh giá mức độ ảnh hưởng của chúng. Quá trình penetration test bao gồm các bước sau:

1. Verify threat exists (Xác minh sự tồn tại của mối đe dọa): Tìm kiếm và xác nhận các mối đe dọa tiềm ẩn có thể khai thác các lỗ hổng trong hệ thống.
2. Bypass security controls (Vượt qua các biện pháp kiểm soát an ninh): Cố gắng vượt qua các biện pháp bảo mật hiện có để tiếp cận các tài nguyên hoặc dữ liệu nhạy cảm.
3. Actively test security controls (Kiểm tra chủ động các biện pháp kiểm soát an ninh): Đánh giá hiệu quả của các biện pháp bảo mật bằng cách thực hiện các thử nghiệm chủ động để xác định điểm yếu.
4. Exploiting vulnerability (Khai thác lỗ hổng): Sử dụng các lỗ hổng bảo mật để xâm nhập và chiếm quyền kiểm soát hệ thống hoặc truy cập dữ liệu trái phép.

Vì vậy, đáp án A là chính xác nhất vì nó bao gồm tất cả các đặc điểm quan trọng của một cuộc kiểm thử xâm nhập.

Penetration testing (kiểm thử xâm nhập) là một phương pháp đánh giá bảo mật của một hệ thống máy tính hoặc mạng bằng cách mô phỏng một cuộc tấn công từ một nguồn độc hại. Có ba loại penetration test chính dựa trên lượng thông tin được cung cấp cho người kiểm thử:

* Black-box testing (Kiểm thử hộp đen): Người kiểm thử không có bất kỳ thông tin nào về hệ thống.
* White-box testing (Kiểm thử hộp trắng): Người kiểm thử có đầy đủ thông tin về hệ thống, bao gồm cả mã nguồn, kiến trúc mạng, v.v.
* Gray-box testing (Kiểm thử hộp xám): Người kiểm thử có một số thông tin về hệ thống, nhưng không đầy đủ như white-box testing.

Vì vậy, đáp án C là đáp án chính xác nhất vì nó bao gồm cả ba loại penetration test phổ biến nhất.

HTTP (Hypertext Transfer Protocol) là giao thức truyền tải siêu văn bản, nền tảng cho việc giao tiếp dữ liệu trên World Wide Web. Nó định nghĩa cách trình duyệt web (Web Browser) định dạng và gửi yêu cầu đến máy chủ web (Web Server), cũng như cách máy chủ web phản hồi các yêu cầu đó. Các giao thức khác như giao thức truy cập mail, giao thức dịch vụ DNS và giao thức truy cập DHCP phục vụ cho các mục đích khác nhau.

Cookies là các tệp nhỏ được lưu trữ trên máy tính của người dùng bởi trình duyệt web. Chúng được thiết kế để ghi nhớ thông tin về người dùng, chẳng hạn như tùy chọn đăng nhập, ngôn ngữ ưa thích và các mục trong giỏ hàng. Khi người dùng truy cập một trang web, trình duyệt sẽ gửi cookie liên quan đến trang web đó trở lại máy chủ web. Điều này cho phép trang web nhận ra người dùng và tải các tùy chọn được cá nhân hóa hoặc duy trì trạng thái đăng nhập.

* Phương án A đúng: Cookie là một đoạn dữ liệu được truyền từ máy chủ đến trình duyệt. Trình duyệt lưu trữ dữ liệu này và gửi lại cho máy chủ mỗi khi trình duyệt tải một trang web từ máy chủ đó.
* Phương án B không đầy đủ: Thiếu phần quan trọng là cookie được truyền từ server đến browser.
* Phương án C sai: Cookie không phải là đoạn dữ liệu chỉ được gửi ngược lên server, mà là một quá trình khứ hồi.
* Phương án D sai: Vì phương án A đúng.

Đáp án D (Tất cả đều đúng) là đáp án chính xác. Các kỹ thuật tìm kiếm lỗ hổng bao gồm:

* Kỹ thuật lẩn tránh bộ lọc: Sử dụng các phương pháp khác nhau để vượt qua các bộ lọc bảo mật và tường lửa để tìm ra các điểm yếu.
* Sử dụng web proxy: Giúp ẩn danh và thay đổi địa chỉ IP để kiểm tra hệ thống từ nhiều vị trí khác nhau, từ đó phát hiện ra các lỗ hổng bảo mật tiềm ẩn.
* Kỹ thuật vượt bộ lọc XSS (Cross-Site Scripting): Tìm cách chèn mã độc hại vào các trang web để khai thác các lỗ hổng XSS.
* Kỹ thuật khai thác lỗi ở client-side: Tập trung vào việc tìm kiếm và khai thác các lỗ hổng trên phía người dùng (ví dụ: trình duyệt, plugin) để xâm nhập hệ thống.