AN TOÀN BẢO MẬT THÔNG TIN MỚI NHẤT

Facebook: photocopy Thành Đạt 0986.319.
118
AN TOÀN BẢO MẬT THÔNG TIN ( MỚI NHẤT )

MỤC LỤC
Lý thuyết................................................................................................................ 5
Câu 1: Trình bày các nguy cơ, cách phòng chống và khắc phục sự cố đối với
website của Doanh nghiệp. Lấy ví dụ minh họa ............................................... 6
Câu 2: Trình bày các nguy cơ và cách phòng chống sự cố đối với hệ thống
online payment. Lấy ví dụ minh họa............................................................... 14
Câu 3: Trình bày các nguy cơ và cách phòng chống sự cố đối với các thiết
bị mobile device. Lấy ví dụ minh họa. ........................................................ 17
Câu 4: Vì sao cần phát hiện các lỗ hổng trong hệ thống thông tin của các tổ
chức? Hãy giải thích và cho ví dụ minh họa ................................................... 20
Câu 6: Vì sao luôn cần xác định mục tiêu trước khi ứng dụng các biện pháp
đảm bảo an toàn cho HTTT doanh nghiệp? Hãy giải thích và cho ví dụ minh
họa. .................................................................................................................. 26
Câu 7: Các yêu cầu an toàn và bảo mật đối với một hệ thống thông tin trong
doanh nghiệp là gì? Lấy ví dụ minh họa. ........................................................ 27
Câu 8: Những khó khăn doanh nghiệp thường gặp phải khi triển khai các giải
pháp an toàn cho HTTT là gì? Hãy giải thích và cho ví dụ minh họa. ........... 29
Câu 9: Trình bày sơ lược các giải pháp phòng tránh phổ biến mà các doanh
nghiệp Việt Nam đang sử dụng hiện nay? Hãy giải thích và cho ví dụ minh
họa. .................................................................................................................. 31
Câu 10: Vì sao các tổ chức đã có giải pháp phòng tránh các nguy cơ mất an
toàn thông tin vẫn cần có cơ chế khắc phục sự cố trong HTTT của tổ chức?
Hãy giải thích và cho ví dụ minh họa. ............................................................ 33
Câu 11: Trình bày vai trò của an toàn và bảo mật thông tin trong tổ chức hiện
nay? Lấy ví dụ minh họa ................................................................................. 34
Câu 12: Vì sao cần giới hạn quyền tối thiểu cho người dùng trong các HTTT?
Hãy giải thích và cho ví dụ minh họa. ............................................................ 36
Câu 13: Tại sao cần triển khai mô hình bảo vệ thông tin trong HTTT theo
chiều sâu? Hãy giải thích và cho ví dụ minh họa............................................ 38
hệ thống mạng LAN.Lấy ví dụ minh họa. ...................................................... 40
người dùng cá nhân trên các phương tiện truyền thông xã hội (social media).
Lấy ví dụ minh họa.......................................................................................... 40
Luôn cập nhập tài liệu

Facebook: photocopy Thành Đạt 0986.319.118
hệ thống quản trị dữ liệu (DBMS) của doanh nghiệp. Lấy ví dụ minh họa ... 43
Câu 17: (Giống câu 1) ..................................................................................... 43
đường truyền trên các kênh truyền thông (communication channels). Lấy ví
dụ minh họa ..................................................................................................... 43
Câu 20: Quy trình chung để đảm bảo an toàn cho hệ thống thông thông tin?
Lấy ví dụ minh họa.......................................................................................... 44
Câu 21: An toàn và bảo mật thông tin là gì? Vì sao an toàn và bảo mật thông
tin lại đóng vai trò quan trọng trong DN hiện nay? ........................................ 46
Câu 22: Trình bày ngắn gọn các xu hướng tấn công được dự đoán trong năm
nay? ................................................................................................................. 47
Câu 23: Trong các nguy cơ mất an toàn thông tin trong doanh nghiệp thì
những nguy cơ nào hiện nay ít được để ý đến nhất? Vì sao? ......................... 50
Câu 24: Trình bày các nguy cơ mất an toàn trong HTTT TMĐT? Vì sao các
hệ thống thông tin thương mại điện tử lại dễ bị tấn công hơn các hệ thống
thông tin khác? ................................................................................................ 50
Câu 25: Hãy trình bày và giải thích các phương pháp xác định nguy cơ mất an
toàn trong các hệ thống thông tin hiện nay? Lấy ví dụ minh họa ................... 51
Câu 26: Mục tiêu của an toàn và bảo mật thông tin trong doanh nghiệp là gì
(câu 3)? Lấy ví dụ minh họa(câu 8) ................................................................ 53
Câu 27: Trình bày các hình thức tấn công thụ động và nêu biện pháp phòng
tránh? Trình bày các hình thức tấn công chủ động và nêu biện pháp phòng
tránh ? .............................................................................................................. 54
Câu 29: Bảo mật kênh truyền là gì? Vì sao cần bảo mật kênh truyền tin? Có
những cơ chế bảo mật kênh truyền nào? ......................................................... 55
Câu 30: Khi máy tính của bạn bị nhiễm các mã độc, bạn cần làm gì để loại bỏ
chúng khỏi máy tính? Vì sao càng ngày càng khó phòng tránh những loại mã
độc này?........................................................................................................... 56
Câu 31: Tấn công từ chối dịch vụ là gì? Trình bày đặc trưng của các kiểu tấn
công từ chối dịch vụ phổ biến hiện nay? Vì sao hiện nay tấn công từ chối dịch
vụ rất khó phòng tránh?................................................................................... 57
Câu 32: Giả sử A đang gửi một thông điệp đã được mã hóa cho B. Các hình
thức tấn công thụ động nào sẽ ảnh hưởng đến nội dung thông điệp của A?
Hãy giải thích? ................................................................................................ 58
Câu 33: Tường lửa là gì? Trình bày các loại tường lửa phổ biến hiện nay?
Trình bày đặc trưng và xu hướng phát triển của các loại tường lửa hiện nay?59

Câu 33: Phân tích các ưu điểm của bảo mật kênh truyền trong giao dịch
TMĐT? Hãy so sánh các giao thức SSL, SET và WEP về khả năng ứng dụng
và mức độ an toàn?.......................................................................................... 60
Câu 34: Bảo mật website là gì? Trình bày các nguy cơ mất an toàn đối với các
loại website ...................................................................................................... 61
Câu 35: Tường lửa phần mềm là gì? Tại sao cần cài đặt tường lửa phần mềm
cho máy tính cá nhân của bạn? ....................................................................... 62
Câu 36: Mã hóa dữ liệu là gì? Khi nào cần mã hóa dữ liệu? Trình bày các ứng
dụng của mã hóa dữ liệu? ................................................................................ 63
Câu 37: So sánh 3 giao thức bảo mật kênh truyền SSL, SET và WEP trên 2
tiêu chí: Tính phổ dụng và độ an toàn khi sử dụng chúng? ............................ 64
Câu 38: Phân quyền người dùng là gì? Vì sao trong HTTT DN cần phân
quyền người dùng? .......................................................................................... 65
Câu 39: Chứng thực điện tử là gì? Trình bày và giải thích đặc điểm của các
loại chứng thực điện tử được sử dụng phổ biến hiện nay? Chứng thực điện tử
được xây dựng dựa trên hệ mã hóa nào? Lấy ví dụ minh họa? ...................... 65
Câu 40: Thế nào là truyền tin an toàn? Trình bày mô hình truyền tin an toàn?67
Câu 41: Trình bày các ứng dụng của mã hóa khóa công khai hiện nay? Lấy ví
dụ minh họa? Phân tích những lợi ích của mã hóa dữ liệu? .......................... 68
Câu 42: Trình bày sơ đồ mã hóa khóa đối xứng và ứng dụng của chúng? Lấy
ví dụ minh họa? ............................................................................................... 69
Câu 43: Chữ ký điện tử điện tử là gì? Trình bày các ứng dụng của chữ ký điện
tử? Trình bày các đặc điểm của chữ ký điện tử? Lấy ví dụ minh họa? .......... 69
Câu 44: Giả sử A muốn gửi một thông điệp cho B trên một kênh truyền biết
trước. Để tránh thông điệp dễ bị tấn công chủ động thì A cần các biện pháp
phòng tránh nào? Giải thích? .......................................................................... 71
Câu 45: Khi nào một thuật toán mã hóa được coi là an toàn vô điều kiện và an
toàn tính toán? ................................................................................................. 72
Câu 46: Bạn đang sử dụng một máy tính tại văn phòng làm việc có kết nối
mạng Internet................................................................................................... 73
Hãy liệt kê và phân tích các nguy cơ mất an toàn đối với các thông tin trong
máy tính đó? .................................................................................................... 73
Câu 47: Bạn đang sử dụng một tài khoản email tại văn phòng làm việc có kết
nối mạng internet để trao đổi thông tin với khách hàng. ................................ 74
Hãy liệt kê và phân tích các nguy cơ mất an toàn có thể gặp phải đối với tài
khoản email đó? .............................................................................................. 74

Câu 48: Công ty của bạn đang sử dụng một website để quảng bá và giới thiệu
thông tin các sản phẩm đến đối tác và khách hàng. ........................................ 77
Hãy liệt kê và phân tích các nguy cơ mất an toàn có thể gặp phải đối với
website đó? ...................................................................................................... 77
Câu 49: Công ty của bạn đang sử dụng một mạng LAN bao gồm 200 máy tính
kết nối với nhau để trao đổi thông tin nội bộ của DN? ................................... 82
Hãy trình bày và phân tích các nguy cơ mất an toàn đối với mạng LAN đó? 82
trước. Để tránh thông điệp bị tấn công bị động thì A cần các biện pháp phòng
tránh nào? Giải thích? ..................................................................................... 84
Câu 51: Hãy so sánh ưu điểm và nhược điểm của các hệ mã hóa hiện đại? Vì
sao các hệ mã hóa đều không thể thỏa mãn an toàn vô điều kiện? Hãy giải
thích. ................................................................................................................ 85
BÀI TẬP TÌNH HUỐNG ................................................................................... 86

Lý thuyết
Thật vậy, xây dựng 1 HTTT an toàn giúp cho việc quản lý hệ thống trở nên dễ
dàng và minh bạch hơn. Một môi trường TT an toàn, sạch sẽ có tác động không nhỏ
đến giảm thiểu chi phí quản lý và HĐ của DN, nâng cao uy tín DN, tạo điều kiện thuận
lợi cho sự hội nhập MT TT lành mạnh. Ngược lại, nếu để lọt những thông tin này ra
ngoài đặc biệt là vào tay các đối thủ cạnh tranh thì thực sự rất nguy hiểm với DN.

Chính vì vậy, AT&BMTT trở thành 1 yêu cầu không thể thiếu trong một DN
nhất là trong thời đại kinh tế số như hiện nay. Và đây không phải là công việc là trách
nhiệm của người làm CNTT mà là của mọi cá nhân và đơn vị trong tổ chức DN.
website của Doanh nghiệp. Lấy ví dụ minh họa
1. Khái niệm website doanh nghiệp:
Website doanh nghiệp có thể được hiểu là một tập hợp các trang web (web page)
bao gồm văn bản, hình ảnh, video,… về doanh nghiệp nằm trên một tên miền trên
World Wide Web của Internet. Website doanh nghiệp cung cấp đến người truy cập đầy
đủ các thông tin về doanh nghiệp tử quá trình hoạt động, sản phẩm, dịch vụ cũng như
các chương trình khuyến mãi doanh nghiệp đang cung cấp.
Bảo mật website là một hình thức bảo vệ các thông tin và tài nguyên của hệ
thống website:
- Cơ sở dữ liệu của trang Web
- Thông tin cá nhân của khách hàng và thông tin của tổ chức
- Tài nguyên của hệ thống website
2. Nguy cơ đối với website doanh nghiệp:
Nguy cơ là những sự kiện có khả năng ảnh hưởng đến an toàn của hệ thống
website doanh nghiệp
Một số nguy cơ, sự cố đối với website doanh nghiệp:
- Bị tấn công vào các lỗ hổng bảo mật của hệ thống website của tổ chức, doanh
nghiệp và cá nhân:
 Cross Site Request Forgery (CSRF): CSRF là cách thức tấn công sử dụng
quyền chứng thực của người dùng đối với một website. Lỗ hổng này giúp hacker yêu
cầu truy cập tới một trang nào đó sử dụng cookie/phiên truy cập của chính bạn để thực
hiện các thao tác khác trên website đó. Hiểu đơn giản thì CSRF là mượn quyền trái
phép.
 Từ lỗi xác thực, phân quyền:
Lỗi này xảy ra khi khách chưa đăng nhập đã có thể sử dụng (Authentication)
hoặc website không phân rõ khả năng truy cập của người dùng (Authorization).

Kẻ xấu hoàn toàn có thể tạo các yêu cầu giả cho các chức năng mặc dù chúng
không hiển thị trên giao diện. Nếu website của bạn không được lập trình phân quyền,
điều đó thật sự nguy hiểm.
 Từ các lỗ hổng có sẵn trong thư viện qua việc sử dụng thư viện, plugin kém an
toàn:
Bởi lẽ “không có gì là miễn phí” nên việc sử dụng các phần mềm, thư viện,
plugin được công khai trên mạng tuy tiện lợi với nhà phát triển website nhưng cũng đi
kèm rủi ro không đảm bảo về lỗ hổng bảo mật. Khi các phần mềm, plugin từ bên thứ 3
có lỗ hổng bảo mật chưa được vá, điều đó kéo theo trang web của bạn dễ dàng bị tấn
công hơn.
- Tấn công vào hệ thống máy tính của người dùng của DN bằng các phần mềm
gián điệp nhằm ăn cắp thông tin mỗi khi người dùng nhận hoặc truyền tỉn.
- Tấn công vào hệ thống máy chủ của DN lấy cắp thông tin của hệ thống. Kẻ
tắn công có thẻ trực tiếp truy nhập vào máy chủ DN theo các tài khoản quản trị hoặc
có thể dùng những phương thức truy nhập điều khiển từ xa đẻ chiếm quyền điều khiển
máy chủ DN và qua đó ăn cắp dữ liệu hoặc thực hiện công việc phá hoại.
 Cross-site Scripting (XSS)
Tấn công XSS là gửi và chèn các script độc hại, những script này thường được
viết với ngôn ngữ lập trình phía client như Javascript.
Mục đích chính của tấn công XSS là ăn cắp dữ liệu nhận dạng của người dùng
như: cookies, session tokens và các thông tin khác.
 Từ việc rò rỉ thông tin và xử lý lỗi không đúng cách
Mối đe dọa tiềm ẩn từ việc rò rỉ thông tin và xử lý lỗi không đúng cách có thể
giúp tin tặc ăn cắp dữ liệu nhạy cảm, hoặc tiến hành các cuộc tấn công nghiêm trọng
hơn. Một ứng dụng web không được bảo mật tốt có thể vô ý rò rỉ thông tin về cấu
hình, về hoạt động bên trong, hoặc vi phạm sự riêng tư thông qua một loạt các vấn đề
ứng dụng.
- Tấn công làm tê liệt hoạt động của hệ thống máy chủ Web. Đây. là hình thức
tắn công DOS nhằm vào hệ thống máy chủ Web của chúng ta và đây cũng là hình thức
tấn công khá phô biến trên mạng nhằm vào các hệ thống máy chủ Web.
 Từ tấn công của DDoS

DDoS là viết tắt của Distributed Denial of Sevice, tức là từ chối dịch vụ phân tán.
Một cuộc tấn công DdoS là khi hacker nỗ lực làm sập website của bạn thông qua cách
bơm vào một lượng truy cập quá tải so với băng thông cho phép của website. Lợi dụng
lỗ hổng về bảo mật khi website quá tải, hacker sẽ đánh cắp được các dữ liệu quan
trọng trên website và trong máy tính chủ của doanh nghiệp.
- Giả mạo người dùng để thực hiện các giao dịch giả:
 Từ tấn công lừa đảo (Phishing)
Thông thường các tin tặc sẽ giả mạo thành ngân hàng, trang web giao dịch trực
tuyến, ví điện tử, các công ty thẻ tín dụng để lừa đảo người dùng chia sẻ các thông tin
nhạy cảm như: tài khoản & mật khẩu đăng nhập, mật khẩu giao dịch, thẻ tín dụng và
các thông tin quý giá khác. Phương thức tấn công này thường được tin tặc thực hiện
thông qua email và tin nhắn. Người dùng khi mở và click vào đường link giả mạo sẽ
được yêu cầu đăng nhập. Nếu “mắc câu”, tin tặc sẽ có được thông tin ngay tức khắc.
 Từ việc tham chiếu đối tượng không an toàn :
Tham chiếu đối tượng không an toàn (Insecure Direct Object References) nằm
trong top 4 OWASP, xảy ra khi website cho phép người dùng truy cập tài nguyên (file,
dữ liệu) một cách bất hợp pháp, thông qua dữ liệu do người dùng cung cấp.
- Bị nghe lén thông tin trên đường truyền: thông tin của người dùng có thể bị
lấy cắp nhưng không làm thay đổi thông tin từ người gửi đến người nhận.
- Có thể bị nhiễm mã độc: Trang web của doanh nghiệp có thể bị nhiễm các loại
mã độc phổ biến như: trojan, ransomware, virus, worm, alware,… thông qua các
đường link lạ, qua các ứng dụng không an toàn được cài đặt vào máy. Qua đó hacker
có thể lấy cắp được thông tin của doanh nghiệp gây thiệt hại cho doanh nghiệp.
Những xâm nhập bất hợp pháp này không chỉ dừng lại ở việc gây tác hại đối với
người dùng website, nó còn ảnh hưởng không hề nhỏ đến các chủ sở hữu website
bị tấn công:
- Hoạt động trao đổi sản phẩm hay dịch vụ trên các website này bị gián đoạn
- Dữ liệu khách hàng với các thông tin cá nhân quan trọng bị đánh cắp
- SEO của website bị ảnh hưởng xấu khi các từ khóa được sử dụng bị mất thứ
hạng trên các công cụ tìm kiếm
- Ảnh hưởng nặng nề đến uy tín thương hiieeuj của chủ sở hữu website

- Website bị tấn công mất khả năng kiểm soát, không thể chạy quảng cáo trên
GG và các mạng xã hội.
3. Cách phòng chống sự cố đối với website doanh nghiệp:
- Thường xuyên cập nhật phần mềm ứng dụng website
Việc đảm bảo tất cả phần mềm được cập nhật là điều quan trọng trong việc giữ
cho trang web của bạn tránh khỏi những nguy hiểm luôn luôn rình rập. Điều này có thể
áp dụng cho cả hệ điều hành máy chủ và bất kỳ phần mềm nào bạn đang chạy trên
trang web bao gồm CMS hoặc diễn đàn.
Ví dụ: Một hệ quản trị nội dung (CMS) hay một diễn đàn. Khi một lỗ hổng bảo
mật được tìm thấy trong ứng dụng, tin tặc luôn biết cách để lợi dụng triệt để chúng.
Đây là một mối lo mà bất kỳ quản trị viên nào cũng phải đối mặt. Nếu bạn sử dụng
hosting mà website của bạn không được cập nhật thường xuyên, bạn phải nhanh chóng
yêu cầu nhà cung cấp dịch vụ để thực hiện.
- Bảo mật website với SQL injection
SQL injection hình thức tấn công trang web phổ biến nhất dựa trên các thao tác
form website, lý do là các nội dung này thường không được mã hoá chính xác và công
cụ hacking tận dụng các điểm yếu này để hoạt động phá hoại, loại khai thác này rất dễ
dàng để đạt được mục đích ngay cả những tin tặc thiếu kinh nghiệm cũng có thể thực
hiện hành động này, nghiêm trọng hơn.
Cách phòng ngừa SQL injection phổ biến nhất được tạo thành từ hai thành phần.
Đầu tiên là thường xuyên cập nhật và vá lỗi của tất cả các máy chủ, dịch vụ và ứng
dụng, sau đó sản xuất và sử dụng tốt source code đồng thời kiểm thử source code trang
web không cho phép tồn tại các lệnh SQL có dấu hiệu bất thường.
Ví dụ như thực hiện truy vấn sau: Nếu tin tặc thay đổi tham số URL thành „ or
„1‟=‟1 như sau: Do 1 luôn bằng 1 nên câu lệnh cho phép tin tặc thêm vào các đoạn
truy vấn SQL ở cuối cùng sẽ được thực thi và làm sai lệch cách xử lý của ứng dụng và
làm lộ các thông tin nhạy cảm.
- Bảo mật website với XXS
Có một công cụ mạnh mẽ khác trong hộp công cụ của XSS Defender là Content
Security Policy (CSP). CSP là một thuộc tính mà máy chủ của bạn có thể trả về cho
trình duyệt để giới hạn cách thức JavaScript được thực hiện như thế nào trong website.

Ví dụ như không cho phép chạy bất kỳ tập lệnh nào không được lưu trữ trên tên
miền của bạn, không cho phép JavaScript inline hoặc vô hiệu hóa hàm eval(), điều này
làm cho các tập lệnh của tin tặc khó làm việc hơn, ngay cả khi chúng có thể đưa vào
trang web của bạn.
- Phòng chống các cuộc tấn công DDOS
 Sử dụng tường lửa ứng dụng web:
Tường lửa Website (Web Appication Firewall – WAF) là một lớp phòng thủ hữu
hiệu, giúp máy chủ web tránh khỏi những hình thức tấn công phổ biến như XSS, SQL
injection, Buffer Overflow hay DDOS.
Nhiệm vụ của Tường lửa Website là sàng lọc và phân loại các luồng traffic vào
website. Từ đó phát hiện và ngăn chặn các luồng traffic được cho là độc hại. Đây là
một phương pháp hiệu quả để bảo vệ website khỏi các cuộc tấn công từ chối dịch vụ.
 Mua thêm băng thông dự phòng:
Nên sử dụng băng thông rộng hơn mức bạn cần cho máy chủ web. Bằng cách đó,
bạn có thể đáp ứng các đột biến bất ngờ trong lưu lượng truy cập – có thể là kết quả
của một chiến dịch quảng cáo, một chương trình khuyến mãi đặc biệt mà công ty bạn
đang sử dụng hay do tên công ty của bạn được đề cập trên các phương tiện truyền
thông.
Lưu ý rằng cho dù bạn có sử dụng băng thông rộng gấp 100% hay thậm chí
500% so với nhu cầu thực tế cũng không chắc chắn sẽ ngăn chặn được một cuộc tấn
công DDoS, nhưng nó có thể cho bạn thêm thời gian để hành động trước khi máy chủ
bị quá tải.
 Giám sát downtime cho website:
Nếu website bị DDOS ảnh hưởng tới công việc kinh doanh của bạn. Chắc chắn
bạn sẽ cần một phần mềm giám sát downtime của website hiệu quả. Một trong những
phần mềm miễn phí phổ biến nhất là Uptime Robot. Tuy nhiên tài khoản miễn phí chỉ
được cảnh báo 5 phút 1 lần. Để có tần suất kiểm tra downtime cao hơn, bạn cần nâng
cấp lên bản trả phí.
- Phòng chống mã độc và virus cho website
 Quét mã độc cho website:

Virus, trojan hay phần mềm độc hại nói chung là một mối đe dọa tới sự an toàn
của website. Việc quét và diệt mã độc thường xuyên rất quan trọng với mọi website từ
nhỏ đến lớn.
 Thận trọng với mã độc ẩn trong theme và plugin miễn phí trên WordPress:
Hacker có thể lợi dụng tâm lý ham rẻ của người dùng khi tải theme hay plugin
miễn phí trên mạng để chèn mã độc vào những sản phẩm đó. Nếu không cẩn trọng,
chủ website của thể tải những thành phần đã nhiễm mã độc lên website dẫn tới việc
website bị tấn công lúc nào không hay.
Lời khuyên tốt nhất trong tình huống này là hãy cẩn trọng với những “bữa ăn
miễn phí” trên mạng. Nếu bạn có kiến thức về lập trình thì hãy kiểm tra code của
những plugin đó thật kỹ càng. Nếu không, hãy trả phí để mua bản quyền để được hỗ
trợ kỹ thuật và cập nhật bảo mật trọn đời
- Bảo vệ dữ liệu website và thông tin khách hàng
 Hạn chế cho phép upload files:
Việc cho phép người dùng tải file lên trang web có thể mang lại rủi ro lớn cho
website của bạn, NGAY CẢ KHI đó chỉ là hành động thay đổi hình đại diện. Những
file được upload lên, dù trông có vẻ vô hại, thì cũng có thể chứa những dòng lệnh độc
hại tiêm nhiễm vào máy chủ. Vì thế, bạn nên “thẳng tay” tắt tính năng upload file nếu
không cần thiết.
Nếu bạn bắt buộc phải cho người dùng upload file, hãy cẩn trọng với mọi tình
huống. Đặc biệt, bạn không thể chỉ dựa vào phần mở rộng để xác định đó là file hình
ảnh. Bởi một file có tên image.jpg.php có thể vượt qua dễ dàng. Ngoài ra thì hầu hết
các hình ảnh đều cho phép lưu trữ một phần bình luận (comment) có thể chứa code
PHP được thực thi bởi máy chủ web.
Giải pháp cho vấn đề này là chặn hoàn toàn quyền truy cập trực tiếp vào các file
được tải lên. Theo đó, mọi file tải lên website được lưu trữ trong một thư mục bên
ngoài webroot hoặc trong cơ sở dữ liệu dưới dạng blob.
 Xác thực từ 2 phía:
Xác thực phải luôn luôn được thực hiện cả trên trình duyệt và phía máy chủ.
Trình duyệt có thể gặp các lỗi đơn giản như khi các trường bắt buộc điền bị để trống
hay nhập văn bản vào trường chỉ cho điền số. Tuy nhiên, những điều này có thể được
bỏ qua và nên đảm bảo việc kiểm tra các xác thực sâu hơn phía máy chủ. Vì không

làm như vậy có thể dẫn đến mã hoặc tập lệnh độc hại được chèn vào cơ sở dữ liệu
hoặc có thể gây ra kết quả không mong muốn trong trang web.
 Cẩn thận với các thông báo lỗi:
Hãy cẩn thận với lượng thông tin bạn cung cấp trong các thông báo lỗi. Chỉ cung
cấp các lỗi tối thiểu cho người dùng, để đảm bảo chúng không làm rò rỉ các bí mật có
trên máy chủ (Ví dụ: khóa API hoặc mật khẩu cơ sở dữ liệu). Đừng cung cấp đầy đủ
chi tiết ngoại lệ vì những điều này có thể làm cho các cuộc tấn công phức tạp như SQL
injection được thực hiện dễ dàng hơn nhiều. Giữ các lỗi chi tiết trong nhật ký máy chủ
và chỉ hiển thị cho người dùng thông tin họ cần.
Ví dụ minh họa
Trên thế giới và tại Việt Nam đã có rất nhiều vụ tấn công mạng nhưng vụ rò rỉ
thông tin của hơn 50 triệu người dùng của Facebook (2018) và vụ tấn công vào
website của Vietnam Airlines (2016) là 2 vụ mất an toàn thông tin gây chấn động và
được nhiều người quan tâm nhất.
- Facebook làm rò rỉ thông tin của hơn 50 triệu người dùng
Ngày 17/03/2018, Facebook bị tố làm rò rỉ thông tin cá nhân của hơn 50 triệu
người dùng. Những thông tin này được bán cho Cambridge Analytica, một công ty
chuyên về khai thác, phân tích dữ liệu, chuyên dụng cho quá trình bầu cử. Số dữ liệu
này sau đó được cho là có tác động đến cuộc bầu cử Tổng thống Mỹ năm 2016. Sự
việc khiến Giám đốc Điều hành Facebook Mark Zuckerberg phải ra điều trần trước Ủy
ban Năng lượng và Thương mại của Hạ viện Mỹ vào ngày 11/04.
Cũng trong tháng 4, Giám đốc Công nghệ Facebook công bố số người bị lộ thông
tin cá nhân ở Mỹ cao hơn 37 triệu người so với số công bố trước đó, tức ít nhất 87
triệu người dùng Facebook bị thu thập dữ liệu.
Trong tháng 9, dữ liệu của 50 triệu người Facebook có nguy cơ bị lộ sau một
cuộc tấn công diễn ra trong tuần này. Kẻ tấn công đã lợi dụng một kẽ hở của
Facebook, cụ thể là ở chức năng "View As" - tính năng giúp người dùng có thể tự xem
lại trang cá nhân của mình hiển thị như thế nào trong mắt bạn bè và giúp chúng chiếm
đoạt được tài khoản của người dùng. Vụ việc một lần nữa làm dấy lên quan ngại về
khả năng bảo mật thông tin người dùng của mạng xã hội lớn nhất thế giới.
- Target : Nhà bán lẻ hàng đầu tại Mỹ Target nằm trong mục tiêu tấn công
internet

Chuỗi bán lẻ lớn thứ hai tại Mỹ là nạn nhân của một cuộc tần công Internet quy
mô lớn vào tháng 12 năm 2013. Dữ liệu 110 triệu khách hàng đã bị đánh cắp từ ngày
27/11 đến ngày 15/12. Trong đó, có đến 40 triệu khách hàng bị đánh cắp toàn bộ thông
tin (tên, địa chỉ, điện thoại và email, tài khoản ngân hàng...) và 70 triệu khách hàng
khác cũng bị đánh cắp thông tin gần như trọn vẹn. Điều đáng lo hơn, đơn vị phát hiện
ra Target bị tần công không phải là Target. Một công ty bảo mật ở än quản Mỹ đã vô
tình phát hiện ra điều này và đồng thời họ còn phát hiện ra |: xa đẻ nhóm này hoạt
động ở Đông Âu. Các tin tặc đã lén cài đặt phần mềm độc hại trên máy tính nạn nhân
sau đó ghi gửi các thông tin các thẻ tín dụng. Đồng thời sau đó chúng đã rao giá 18
triệu đô la tiền chuộc toàn bộ dữ liệu trên các trang web chợ đen.
- Tin tặc tấn công vào các sân bay tại Việt Nam
Cuộc tấn công của các tin tặc bắt đầu vào lúc 13 giờ 46 phút ngày 29 tháng 7
năm 2016 tại Cảng hàng không quốc tế Tân Sơn Nhất và 16 giờ 7 phút tại cảng hàng
không quốc tế Nội Bài.
Các hệ thống máy tính làm thủ tục hàng không của Hãng Hàng không VietJet
Air, Vietnam Airlines (bao gồm VASCO) tại nhà ga quốc nội của sân bay Tân Sơn
Nhất, hệ thống thiết bị thông tin chuyên ngành hàng không (màn hình thông tin chuyến
bay, màn hình máy tính phục vụ check-in tại quầy thủ tục của Vietnam Airlines, hệ
thống phát thanh) tại Nhà ga hành khách T1 của sân bay Nội Bài bị tấn công xâm nhập
mạng phải dừng hoạt động. Hai sân bay Đà Nẵng và Phú Quốc cũng trong tình trạng
tương tự. Riêng với website của Vietnam Airlines, tin tặc tấn công bằng cách điều
hướng sang một trang khác, đồng thời tiết lộ thông tin cá nhân bảo mật của các khách
hàng.
Ngoài việc thay đổi nội dung trên website của Vietnam Airlines bằng cách chiếm
quyền domain và chuyển sang trang web xấu ở nước ngoài, nhóm hacker 1937cn còn
tung ra danh sách các khách hàng của hãng hàng không này. Bằng Tập tin Microsoft
Excel nặng khoảng gần 100MB, nhóm tin tặc đã công khai các dữ liệu của hơn
400.000 thành viên Golden Lotus. Ban đầu tập tin này được chia sẻ trên trang Pastebin
nhưng sau đó được lan truyền khắp các trang web bị tấn công.
Danh sách này cũng không chỉ có những khách hàng người Việt Nam mà còn có
cả khách hàng nước ngoài đến từ nhiều quốc gia như Nga, Đức, Canada, Nhật Bản,
Hàn Quốc... phần lớn khách hàng trong số này là các lãnh đạo, quản lý cơ quan Nhà

nước, ngân hàng, doanh nghiệp lớn trong nhiều lĩnh vực... Những thông tin trong file
dữ liệu bao gồm họ tên, ngày sinh, địa chỉ thường trú, đơn vị làm việc, số điện thoại,
quốc tịch, ngày tham gia chương trình, điểm tích lũy, mật khẩu tài khoản GLP,…
Trong đó, địa chỉ email của khách hàng đã được thay thế bằng các ký tự xxxxx. Trong
file dữ liệu khách hàng đã được đăng tải trên internet không thấy có thông tin về thẻ
tín dụng. Các khách hàng lo lắng về khả năng thông tin thẻ có thể bị lấy cắp nhưng
hacker không công bố mà để sử dụng vào mục đích khác.
Tại các sân bay Phú Quốc, Đà Nẵng, Nội Bài, Tân Sơn Nhất hành khách phải
check-in bằng tay do Internet bị cắt để ngăn chặn hacker.
Tại sân bay Nội Bài tất cả các màn hình và loa phát thanh tạm thời ngưng hoạt
động để ngăn chặn hacker phát thông tin giả mạo. Các hãng hàng không phải sử dụng
loa tay để thông báo cho khách. Hơn 100 chuyến bay bị ảnh hưởng, trong đó hàng
chục chuyến bay bị chậm giờ từ 15 phút cho đến hơn 1 tiếng.
Câu 2: Trình bày các nguy cơ và cách phòng chống sự cố đối với hệ thống
online payment. Lấy ví dụ minh họa
1. Khái niệm về hệ thống online payment:
Hệ thống online payment hay hệ thống thanh toán trực tuyến hoặc hệ thống thanh
toán online/hệ thống thanh toán điện tử được hiểu đơn giản là hệ thống dịch vụ thanh
toán dựa trên sự hỗ trợ của máy tính, điện thoại thông minh có kết nối internet và các
hệ thống lưu trữ trên nền tảng kỹ thuật số. Với hệ thống online payment, khách hàng
sẽ dễ dàng thanh toán khi mua hàng trên các website có kết nối với cổng thanh toán
điện tử.
2. Các nguy cơ đối với hệ thống online payment:
- Nguy cơ lộ thông tin cá nhân:
Nguy cơ lộ thông tin cá nhân khi sử dụng hệ thống online payment là tình trạng
các thông tin của khách hàng như tên tuổi, ngày tháng năm sinh, số điện thoại, nơi ở,
sở thích, thói quen, email, công việc, tài khoản ngân hàng, mối quan hệ… bị rò rỉ ra
bên ngoài ngân hàng. Đây là nguyên nhân hàng đầu khiến người dùng e ngại và không
biết có nên sử dụng hệ thống online payment hay không.
Các nguyên nhân dẫn đến nguy cơ lộ thông tin cá nhân:
 Người dùng chủ quan, không có ý thức bảo mật các thông tin cá nhân của
mình

 Hệ thống bảo mật của hệ thống online payment kém dẫn đến hacker có thể dễ
dàng tấn công và lấy đi toàn bộ thông tin.
 Người dùng tải các tập tin lạ từ internet có thể bị lây nhiễm mã độc được cài
cắm sẵn qua đó tất cả các thông tin lưu trữ trên máy tính của người dùng có nguy cơ
cao bị mã hóa, chiếm đoạt và xóa đi toàn bộ.
 Sử dụng các phần mềm bẻ khóa lậu ẩn chứa mã độc của hacker khiến máy tính
bị hacker chiếm luôn quyền kiểm soát và việc đánh cắp dữ liệu là điều chắc chắn.
 Nhập thông tin thẻ vào các website lừa đảo
- Nguy cơ khi giao dịch qua website giả mạo:
Nguy cơ khi giao dịch qua website giả mạo là việc người dùng tiếp cận website
có hình thức rất giống với giao diện đăng nhập Internet banking của ngân hàng nhưng
thực chất đây là trang tin giả.
Trang website giả mạo thường sử dụng tên, hình ảnh, thiết kế, logo, màu sắc, nội
dung thông tin, sản phẩm, dịch vụ… của ngân hàng với tên miền khác nên dễ gây
nhầm lẫn cho người dùng khi truy cập. Thậm chí, trên các trang này còn đăng tải thông
tin cảnh báo lừa đảo liên quan tới thanh toán trực tuyến nên càng khiến người dùng tin
tưởng.
Nguyên nhân dẫn đến nguy cơ khi giao dịch qua website giả mạo:
 Website giả mạo quá tinh vi khiến người dùng không thể phân biệt
 Người dùng không đề phòng trước các đường link lạ
- Mất tiền oan do trục trặc hệ thống online payment:
Mất tiền oan do trục trặc hệ thống là trường hợp ngân hàng đã thông báo chuyển
khoản thành công và số tiền trong tài khoản đã bị trừ. Tuy nhiên tài khoản được thụ
hưởng lại không nhận được số tiền đã chuyển đến.
Nguyên nhân dẫn đến nguy cơ này:
 Đường truyền internet và hệ thống nhận chuyển khoản của bạn hoặc bên đối
tượng thụ hưởng gặp trục trặc, hoạt động không ổn định.
 Ngân hàng đang quá tải giao dịch hoặc đang bảo trì dẫn đến tiền không tới
được bên người nhận.
- Nguy cơ bị lừa chuyển tiền:
Nguy cơ lừa chuyển tiền là tình trạng các đối tượng lừa đảo giả danh nhân viên
ngân hàng, công ty tài chính, nhân viên bưu điện, nhà mạng để lừa người dùng chuyển

tiền. Khi bạn tin và chuyển tiền thì số tiền trong tài khoản của bạn cũng theo đó
“không cánh mà bay”.
Nguyên nhân dẫn đến nguy cơ này:
 Đối tượng lừa đảo giả là nhân viên bưu điện thông báo rằng bạn có bưu kiện
hoặc nợ cước viễn thông và yêu cầu bạn cần chuyển tiền để thanh toán.
 Kẻ gian mạo danh nhân viên ngân hàng gọi điện cho khách hàng và lấy lý do
hỗ trợ kiểm tra số dư và giao dịch của khách hàng để lấy 6 số đầu tiên của thẻ.
 Đối tượng lừa đảo chuyển 1 khoản tiền nhỏ vào tài khoản của khách hàng rồi
mạo danh nhân viên ngân hàng gửi tin nhắn hoặc gọi điện.
 Kẻ gian gửi thư điện tử giả mạo của ngân hàng để thông báo khách hàng nhận
được một khoản tiền từ ngân hàng đang sử dụng.
 Đối tượng gửi vào tài khoản của khách hàng một khoản tiền với nội dung cho
vay.
 Kẻ gian gửi cho khách hàng tin nhắn mạo danh của ngân hàng đang sử dụng
và thông báo rằng hoạt động tài khoản có bất thường.
 Đối tượng lừa đảo mạo danh công ty tài chính mời vay vốn, sau đó hướng dẫn
khách hàng cài đặt ứng dụng trên điện thoại di động
 Kẻ gian mạo danh nhân viên của nhà mạng gọi điện cho khách hàng để hỗ trợ
việc chuyển đổi sim 3G thành sim 4G qua điện thoại.
3. Cách phòng chống và giải pháp :
- Đối với khách hàng:
 Thường xuyên kiểm soát thanh toán trực tuyến
 Gọi điện lên tổng đài hỗ trợ của hệ thống
 Tuyệt đối giữ bảo mật thông tin cá nhân
 Không sử dụng các phần mềm không rõ nguồn gốc
 Đặt mật khẩu có tính bảo mật cao
 Đăng kí sử dụng OTP
 Sử dụng dịch vụ tin nhắn chủ động
 Thoát khỏi tài khoản sau mỗi giao dịch
 Cảnh giác với các hình thức lừa đảo khi thanh toán online
- Giải pháp đối với ngân hàng:
 Tăng cường các biện pháp an ninh bảo mật trên hệ thống
 Đảm bảo quy trình thanh toán trực tuyến
 Thường xuyên nâng cấp hệ thống công nghệ thông tin
 Kịp thời đưa ra cảnh báo cho khách hàng
 Tuân thủ các Nghị định, Luật về an toàn thông tin
 Kiểm tra giám sát tại chỗ để phát hiện và xử lý kịp thời các sai phạm
https://www.seabank.com.vn/tin-tuc/tu-van-dich-vu.478/4-rui-ro-khi-thanh-toan-
truc-tuyen-va-luu-y-de-giao-dich-an-toan.5069.html
4. Ví dụ minh họa;
Câu 3: Trình bày các nguy cơ và cách phòng chống sự cố đối với các thiết bị
mobile device. Lấy ví dụ minh họa.
1. Khái niệm thiết bị mobile device:
Mobile device hay thiết bị di động đề cập đến bất kỳ thiết bị điện tử nào có thể dễ
dàng di chuyển từ vị trí này sang vị trí khác. Các thiết bị này có tính di động
(portability) và do đó vừa nhỏ gọn vừa nhẹ. Ví dụ như điện thoại di động, máy tính
xách tay, điện thoại thông minh, đồng hồ thông minh và các thiết bị di động khác.
2. Các nguy cơ đối với các thiết bị mobile device:
Ngày nay, thiết bị di động là vật dụng vô cùng phổ biến và gắn liền với đời sống
con người, tấn công và xâm nhập thiết bị di động đã trở thành mục tiêu của tin tặc.
Một số nguy cơ đối với các thiết bị di động là:
- Rò rỉ dữ liệu:
Rò rỉ dữ liệu được xem là một trong những mối đe dọa bảo mật di động đáng lo
ngại nhất đối với an ninh doanh nghiệp trong năm 2019. Dựa trên một nghiên cứu mới
nhất, các công ty có khoảng 28% nguy cơ gặp phải ít nhất một sự cố vi phạm dữ liệu
trong hai năm tới.
Những sự cố này thường xuất phát từ sự bất cẩn của người dùng khi vô tình tải
xuống và sử dụng một ứng dụng không an toàn, dẫn tới việc bị xâm nhập thiết bị và bị
đánh cắp thông tin.
Phương thức tấn công này thực hiện bằng cách gửi đến mục tiêu các liên kết hoặc
tệp đính kèm độc hại qua văn bản hoặc email. Khi nạn nhân nhấp vào, điện thoại sẽ bị
nhiễm phần mềm độc hại để đánh cắp dữ liệu.
- Tấn công phi kĩ thuật: Chiến thuật tried-and-true (lừa đảo trên diện rộng)
thực sự cũng gây rắc rối trên mặt trận bảo mật di động như trên máy tính để bàn. Mặc

dù nhiều người có thể nghĩ rằng các cuộc tấn công phi kỹ thuật có thể tránh được,
nhưng trên thực tế chúng vẫn đang tiếp diễn và gây ra các hậu quả đáng kinh ngạc.
- Xâm nhập từ wifi công cộng và thiết bị blutetooth: Mỗi khi người dùng kết
nối với wifi công cộng, dữ liệu cá nhân có thể bị rò rì. Đó là lý do tại sao nên sử dụng
những dịch vụ VPN di động tốt khi kết nối mạng wifi công cộng. Điều này tương tự
khi người dùng thường xuyên sử dụng chế độ Bluetooth.
- Thiết bị lỗi thời: Điện thoại thông minh, máy tính bảng và các thiết bị kết nối
nhỏ hơn – thường được gọi là Internet vạn vật (IoT) – gây ra các rủi ro mới cho bảo
mật doanh nghiệp. Không giống như các thiết bị làm việc truyền thống, chúng thường
không đảm bảo cập nhật phần mềm kịp thời và liên tục. Điều này đặc biệt đúng trên
mặt trận Android, nơi đại đa số các nhà sản xuất không hiệu quả trong việc cập nhật
sản phẩm của họ – cả với các bản cập nhật hệ điều hành (HĐH), các bản vá bảo mật
hàng tháng cũng như với các thiết bị IoT. Nhiều thiết bị thậm chí không có cơ chế vá
lỗi và điều đó ngày càng trở thành mối đe dọa bảo mật di động tiềm tàng.
- Tấn công khai thác tiền điện tử (Cryptojacking): Cryptojacking là một bổ
sung tương đối mới vào danh sách các mối đe dọa bảo mật di động hiện nay. Đó là
một hoạt động độc hại, trong đó một thiết bị bị nhiễm được sử dụng để bí mật đào tiền
điện tử. Nếu điều này nghe có vẻ nặng tính kỹ thuật, nhưng bạn chỉ cần hiểu đơn giản
là: Quá trình khai thác tiền điện tử sử dụng các thiết bị của công ty bạn để kiếm lợi cho
người khác. Thao tác này dựa rất nhiều vào tài nguyên công nghệ của bạn – điều đó có
nghĩa là điện thoại của bạn có thể sẽ gặp phải các vấn đề như thời lượng pin kém hơn
và thậm chí có thể bị hỏng do vượt quá ngưỡng về toả nhiệt.
- Mật khẩu kém an toàn: Vấn đề đến từ thực tế khi người dùng không bảo mật
thông tin tài khoản của họ đúng cách, đặc biệt khi tiến hành đăng nhập tài khoản công
ty trong điện thoại cá nhân.
- Vi phạm thiết bị vật lý: Cuối cùng nhưng không kém phần quan trọng là một
thứ có vẻ đặc biệt ngớ ngẩn nhưng vẫn là một mối đe dọa bảo mật di động thực tế
đáng lo ngại: Thiết bị bị mất hoặc không được giám sát có thể là một rủi ro bảo mật
lớn, đặc biệt là nếu thiết bị không có mã PIN hoặc mật khẩu mạnh và mã hóa dữ liệu
đầy đủ.
- Ứng dụng theo dõi: Tin tặc có thể sử dụng phần mềm gián điệp để thu thập
dữ liệu. Nhiều ứng dụng trong số này khá đơn giản để cài đặt và sử dụng.

- Hoán đổi sim: Chiến thuật này cho phép tin tặc có thể chuyển số điện thoại
của người dùng sang thẻ SIM của chúng và chiếm lấy tài khoản của họ.
3. Cách phòng tránh:
- Cập nhật phần mềm: Tin tặc thường khai thác các lỗ hổng phần mềm để xâm
nhập vào dữ liệu của người dùng. Mặc dù quá trình cập nhật có thể kéo dài và tiêu tốn
nhiều bộ nhớ của thiết bị di động, người dùng hãy đảm bảo luôn sử dụng phiên bản
phần mềm mới nhất nhất để giảm thiểu rủi ro.
- Quản lý quyền ứng dụng: Ngay cả khi 2 ứng dụng trên điện thoại có vẻ an
toàn, chúng vẫn có thể đang thu thập các dữ liệu nhạy cảm của người dùng. Tin tặc có
thể theo dõi vị trí, truy cập micrô hoặc máy ảnh trên thiết bị của người dùng. Vì vậy,
người dùng chỉ nên cho phép các ứng dụng được quyền truy cập các thông tin cần
thiết.
- Sử dụng phần mềm chống virus: Mặc dù người dùng iPhone không cần phần
mềm chống virus để giữ an toàn trước phần mềm độc hại, nhưng người dùng sử dụng
hệ điều hành Android thì cần cài các ứng dụng chống virus để chúng làm nhiệm vụ tự
động quét phần mềm độc hại, loại bỏ bất kỳ mối đe dọa nào mà chúng tìm thấy.
- Sử dụng VNP khi truy cập wifi công cộng: Thủ đoạn phổ biến của tin tặc là
xâm nhập vào thiết bị qua wifi công cộng. Do đó, người dùng nên sử dụng ứng dụng
VPN dành cho iPhone hoặc Android khi kết nối với mạng wifi công cộng. Các dịch vụ
này sẽ ẩn địa chỉ IP và vị trí của người dùng, đồng thời bảo mật dữ liệu thông qua các
công cụ mã hóa.
- Tránh sử dụng tính năng tự động đăng nhập: Mặc dù tính năng tự động đăng
nhập có thể giúp người dùng tiết kiệm rất nhiều thời gian, nhưng việc giữ cho tài
khoản người dùng luôn đăng nhập vào các ứng dụng nhạy cảm, riêng tư, chẳng hạn
như ngân hàng trực tuyến, email rất dễ nảy sinh các rủi ro mất an toàn thông tin nếu tội
phạm mạng xâm nhập được vào điện thoại của người dùng. Tốt nhất, người dùng
không sử dụng tính năng tự động đăng nhập cho mọi ứng dụng đang chạy trên thiết bị
của mình và cũng không nên sử dụng cùng một mật khẩu cho mọi ứng dụng.
- Làm cho việc truy cập vật lý và thiết bị di động khó hơn: Đôi khi những kẻ
xâm nhập có thể chỉ đơn giản là có quyền truy cập vật lý vào thiết bị di động của
người dùng để đánh cắp thông tin. Vì vậy, không bao giờ được để thiết bị của mình ở

nơi công cộng. Một phương pháp hay là luôn đặt mật mã khó để truy cập thiết bị di
dộng.
- Bật tùy chọn “Tìm thiết bị của tôi”: Nếu làm mất điện thoại, điều rất quan
trọng là người dùng có thể xóa bất kỳ thông tin nào có thể bị xâm phạm trên điện thoại
đó. Cả Apple và Google đều có các dịch vụ “Tìm thiết bị của tôi”, cho phép người
dùng xác định vị trí điện thoại của mình cũng như khóa hoặc xóa dữ liệu nhạy cảm từ
xa.
- Tắt trợ lý giọng nói trên màn hình khóa: Siri và Trợ lý Google là những công
cụ hữu ích cho phép người dùng tiết kiệm thời gian đánh máy, nhưng chúng cũng có
thể là con dao hai lưỡi. Nếu tội phạm mạng quản lý quyền truy cập vào điện thoại của
người dùng, chúng có thể sử dụng các dịch vụ này để vượt qua hàng rào bảo vệ bằng
mật mã và xâm nhập vào danh bạ, cuộc trò chuyện, email và danh sách các cuộc gọi.
Để bảo mật dữ liệu di động, người dùng nên tắt tùy chọn trợ lý giọng nói trên màn
hình khóa.
- Cẩn thận với các trạm sạc công cộng: Trong những trường hợp khẩn cấp khi
người dùng cần sạc pin trên điện cấp tốc thì trạm sạc công cộng rất hữu ích. Tuy nhiên,
đây cũng là một mục tiêu hấp dẫn cho tin tặc. Các chuyên gia cảnh báo tội phạm mạng
có thể truy cập dữ liệu điện thoại hoặc đưa phần mềm độc hại vào thiết bị của bạn
thông qua ổ USB. Đó là lý do tại sao người dùng nên sử dụng cổng sạc AC bất cứ khi
nào có thể. Trên thực tế, các ổ cắm AC chỉ truyền tải điện năng chứ không truyền dữ
liệu.
4. Ví dụ minh họa:
https://antoanthongtin.gov.vn/gp-atm/cach-ngan-chan-va-loai-bo-tan-cong-khoi-
thiet-bi-di-dong-107979
https://phutho.gov.vn/vi/7-moi-de-doa-ve-bao-mat-trong-cac-thiet-bi-di-dong-
nam-2019
Câu 4: Vì sao cần phát hiện các lỗ hổng trong hệ thống thông tin của các tổ
chức? Hãy giải thích và cho ví dụ minh họa
Lỗ hổng của hệ thống thông tin (HTTT) là khiếm khuyết của các thành phần
phần mềm, phần cứng hoặc của toàn bộ hệ thống có thể bị sử dụng để thực hiện các
mối đe dọa an toàn thông tin (ATTT) của hệ thống. Bất kỳ HTTT nào cũng đều có
những lỗ hổng nhất định, chúng có thể được sinh ra trong mọi giai đoạn thuộc vòng

đời của hệ thống. Lỗ hổng trong hệ thống thông tin có thể xuất hiện ở : phần mềm;
website; ứng dụng (trên web hoặc trên máy tính điện thoại); hệ điều hành; source
code,API; thiết bị IoT; hệ thống thiết bị mạng; cơ chế xác thực, các giao thức truyền
tải, mã hóa . Lỗ hổng phần mềm có thể xuất hiện khi có những sai sót mà lập trình
viên phạm phải ở giai đoạn phát triển phần mềm. Một số nguyên nhân của lỗ hổng
trong hệ thống thông tin của tổ chức:
 Tính phức tạp: Các hệ thống phức tạp làm tăng khả năng xảy ra lỗ hổng, cấu
hình sai hoặc truy cập tình cờ.
 Tính phổ biến: Các loại mã, phần mềm, hệ điều hành và phần cứng phổ biến
làm tăng khả năng những kẻ tấn công tìm thấy hoặc có thông tin về các lỗ hổng đã
biết.
 Mức độ kết nối: Càng nhiều thiết bị được kết nối, càng có nhiều khả năng xuất
hiện lỗ hổng.
 Quản lý mật khẩu kém: Mật khẩu yếu có thể bị bẻ khóa thông qua các cuộc
tấn công bạo lực và việc sử dụng lại mật khẩu có thể dẫn đến một lần rò rỉ dữ liệu đến
nhiều lần rò rỉ.
 Lỗ hổng hệ điều hành: Giống như bất kỳ phần mềm nào khác, hệ điều hành có
thể có lỗ hổng. Hệ điều hành không an toàn - chạy theo mặc định và cấp cho tất cả
người dùng quyền truy cập đầy đủ sẽ cho phép vi rút và phần mềm độc hại thực thi
lệnh.
 Sử dụng Internet: Internet có đầy phần mềm gián điệp và phần mềm quảng cáo
có thể tự động cài đặt trên máy tính của bạn.
Trong một số trường hợp, các lỗ hổng được tạo ra một cách cố ý, thường được
gọi là các cổng hậu, chúng cho phép truy cập bất hợp pháp vào các chức năng của
chương trình hoặc dữ liệu được lưu trữ trong đó. Những kẻ tấn công có thể sử dụng
các lỗ hổng để trục lợi và gây hại cho hệ thống. Chúng ảnh hưởng đến chất lượng của
mọi dịch vụ được cung cấp và cũng có tác động đáng kể đến tất cả các hệ thống, gây ra
nhiều dịch vụ ngừng hoạt động…Do đó, phát hiện và khắc phục lỗ hổng kịp thời là
nhiệm vụ hết sức quan trọng trong công tác bảo đảm an toàn các HTTT.
Ví dụ minh họa:
Một lỗ hổng trong hệ điều hành iOS và macOS của Apple có tên SiriSpy (CVE-
2022-32946) có thể đã cho phép các ứng dụng có quyền truy cập Bluetooth nghe trộm

các cuộc trò chuyện của người dùng với Siri. Lỗ hổng này được phát hiện bởi nhà phát
triển ứng dụng Guilherme Rambo.
Guilherme Rambo cho biết: Bất kỳ ứng dụng nào có quyền truy cập Bluetooth
đều có thể ghi lại các cuộc trò chuyện của người dùng với Siri và âm thanh từ tính
năng đọc chính tả bàn phím của iOS khi sử dụng tai nghe AirPods hoặc Beats. Điều
này xảy ra mà không cần ứng dụng yêu cầu quyền truy cập micro và cũng không để lại
bất kỳ dấu vết cho thấy ứng dụng đang nghe micro.
Lỗ hổng này liên quan đến dịch vụ DoAP có trong AirPods để hỗ trợ Siri và
Dictation. Do đó cho phép tin tặc tạo ra một ứng dụng có thể kết nối với AirPods qua
Bluetooth và âm thầm ghi lại âm thanh.
Trên macOS, việc khai thác có thể bị lạm dụng để vượt qua khung bảo mật
Transparency, Consent and Control (TCC), có nghĩa là ứng dụng nào cũng có thể ghi
lại các cuộc trò chuyện với Siri mà không yêu cầu bất kỳ quyền nào. Nguyên nhân là
do thiếu kiểm tra quyền đối với BTLEServerAgent, dịch vụ daemon chịu trách nhiệm
xử lý âm thanh DoAP.
Hiện Apple đã phát hành bản vá khắc phục lỗ hổng này dành cho iPhone 8 trở
lên, iPad Pro, iPad Air thế hệ thứ 3 trở lên, iPad thế hệ thứ 5 trở lên và iPad mini thế
hệ thứ 5 trở lên. Lỗ hổng cũng được giải quyết trong tất cả các phiên bản macOS được
hỗ trợ.
Câu 5: Trình bày ngắn gọn các xu hướng bảo mật thông tin được dự đoán
sử dụng trong các HTTT của tổ chức trong năm nay? Hãy giải thích và cho ví dụ
minh họa
Một số mối đe dọa an ninh mạng hàng đầu năm 2022 bao gồm:
- Phần mềm tống tiền (Ransomware)
- Khai thác chuỗi cung ứng
- Tấn công đa vecto
Các xu hướng bảo mật thông tin được dự đoán sử dụng trong các HTTT của
tổ chức năm nay (2022):
Tốc độ thay đổi nhanh chóng trong bối cảnh mối đe dọa trên mạng và môi trường
CNTT của công ty có nghĩa là các xu hướng trên mạng cũng thay đổi nhanh chóng.
Dưới đây là một số xu hướngbảo mật thông tin được sử dụng trong các HTTT của tổ
chức năm 2022:

1. Hợp nhất an ninh (security consolidation):
Trước đây, các kiến trúc bảo mật doanh nghiệp đã được xây dựng từ nhiều giải
pháp bảo mật độc lập được thiết kế để giải quyết các rủi ro bảo mật cụ thể. Kết quả
cuối cùng của phương pháp này là một kiến trúc bảo mật phức tạp, không kết nối, nơi
các nhà phân tích bị ngập trong các cảnh báo và không thể giám sát cũng như quản lý
mảng giải pháp và bảng điều khiển một cách hiệu quả. Ngoài ra, kiến trúc phức tạp có
thể tạo ra lỗ hổng bảo mật và sự kém hiệu quả do các công nghệ bảo mật chồng chéo
gây ra.
Do đó, các công ty đang bắt đầu tiến tới hợp nhất bảo mật, triển khai các nền
tảng bảo mật do một nhà cung cấp duy nhất tạo ra. Các nền tảng bảo mật hợp nhất này
cung cấp khả năng hiển thị được cải thiện, hiệu quả cao hơn và tổng chi phí sở hữu
(TCO) thấp hơn so với kiến trúc gồm các giải pháp độc lập được ghép lại với nhau.
2. Kiến trúc lưới (Mesh Architecture):
Sự phức tạp và lỗ hổng bảo mật do kiến trúc bảo mật tạo ra đã truyền cảm hứng
cho Gartner xác định kiến trúc lưới an ninh mạng (CSMA) là một trong những xu
hướng chiến lược hàng đầu của năm 2022. Mục tiêu của CSMA là tạo ra một phương
tiện để các giải pháp bảo mật từ các nhà cung cấp khác nhau phối hợp hiệu quả nhằm
đạt được các mục tiêu bảo mật nhất định.
Để đạt được điều này, Gartner đã xác định bốn Cấp độ Cơ sở CSMA mô tả các
mục tiêu bảo mật chính, bao gồm:
- Chính sách hợp nhất và quản lý tư thế
- Vải nhận dạng phân tán
- Bảng điều khiển hợp nhất
- Phân tích bảo mật và thông tin tình báo
Bằng cách áp dụng các giải pháp tuân thủ CSMA, một tổ chức có thể giảm bớt
một số vấn đề chính liên quan đến kiến trúc bảo mật bao gồm các giải pháp điểm và
đạt được các mục tiêu bảo mật cốt lõi tốt hơn.
3. Bảo mật ưu tiên nhà phát triển (Developer-First Security):
Các lỗ hổng trong các ứng dụng sản xuất là một vấn đề nghiêm trọng với số
lượng lỗ hổng mới được phát hiện tăng lên mỗi năm. Một trong những động lực chính
của điều này là thực tế là bảo mật trong lịch sử đã bị lạc hậu trong quá trình phát triển.
Với trọng tâm là tạo một ứng dụng chức năng và đáp ứng thời hạn phát hành, bảo mật

thường được giải quyết trong giai đoạn thử nghiệm của vòng đời phát triển phần mềm
(SDLC) nếu có.
Phần mềm dễ bị tổn thương có nhiều tác động đối với người dùng và nhà sản
xuất, thúc đẩy sự tập trung mới vào việc thay đổi bảo mật còn lại trong SDLC. Bằng
cách thêm các yêu cầu bảo mật vào quy trình lập kế hoạch và tích hợp tính năng quét
lỗ hổng cũng như các giải pháp bảo mật khác vào đường ống CI/CD tự động , các tổ
chức có thể giảm chi phí và tác động của các lỗ hổng bảo mật với tác động tối thiểu
đến các mốc thời gian phát triển và ngày phát hành.
4. Nền tảng bảo vệ ứng dụng gốc trên đám mây (Cloud-Native Application
Protection Platform-CNAPP) :
Việc áp dụng cơ sở hạ tầng dựa trên đám mây tạo ra những thách thức bảo mật
mới cho các tổ chức và khiến việc triển khai các giải pháp bảo mật tập trung vào đám
mây trở nên cần thiết. Bảo mật hiệu quả môi trường đám mây yêu cầu các giải pháp
Cloud Service Network Security (CSNS), Cloud Security Posture Management
(CSPM) và Cloud Workload Protection Platform (CWPP).
Nền tảng bảo vệ ứng dụng gốc trên đám mây (CNAPP) tích hợp tất cả các khả
năng bảo mật đám mây này vào một giải pháp gốc trên đám mây duy nhất. Bằng cách
tích hợp bảo mật đám mây vào một giải pháp tổng thể, duy nhất kéo dài toàn bộ vòng
đời của ứng dụng, các tổ chức có thể thu hẹp khoảng cách về khả năng hiển thị và bảo
mật đám mây, chuyển sang trái bảo mật ứng dụng đám mây và đơn giản hóa kiến trúc
bảo mật đám mây.
5. Tăng Dịch vụ được quản lý (Increase in Managed Services) :
Ngành an ninh mạng đang phải đối mặt với sự thiếu hụt kỹ năng nghiêm trọng
với hàng triệu vị trí chưa được lấp đầy trên toàn thế giới. Khó khăn trong việc thu hút
và giữ chân nhân viên có trình độ đảm nhiệm các vai trò quan trọng đã khiến các nhóm
bảo mật của công ty thiếu nhân sự và thiếu các bộ kỹ năng và khả năng bảo mật quan
trọng.
Trong những năm gần đây, các công ty đang ngày càng áp dụng các dịch vụ được
quản lý như một phương tiện để giải quyết tình trạng thiếu nhân tài của họ. Phát hiện
và phản hồi được quản lý (MDR), nhà cung cấp dịch vụ bảo mật được quản lý
(MSSP), Mạng đám mây dưới dạng dịch vụ (CNaaS), VPN dưới dạng dịch vụ

(VPNaaS) và các dịch vụ Tường lửa dưới dạng dịch vụ (FWaaS) là những ví dụ về
một số dịch vụ có sẵn .
Ngoài việc thu hẹp khoảng cách kỹ năng, các dịch vụ được quản lý này còn mang
lại những lợi ích khác cho các tổ chức. Các giải pháp được định cấu hình và quản lý
chuyên nghiệp, đồng thời có thể mang lại khả năng mở rộng lớn hơn và TCO thấp hơn
so với việc duy trì các khả năng tương tự trong nội bộ. Ngoài ra, các dịch vụ được
quản lý thường cho phép các tổ chức triển khai một chương trình bảo mật trưởng thành
nhanh hơn khả thi trong nội bộ.
6. Truy cập đặc quyền tối thiểu (Least Privilege Access):
Đặc quyền quá mức là một vấn đề bảo mật phổ biến cho các tổ chức. Nhân viên
được cấp quyền cấp Quản trị viên khi họ không cần thiết cho vai trò của mình. Các
nhà thầu, nhà cung cấp và các đối tác bên thứ ba khác có nhu cầu chính đáng để truy
cập vào một số tài nguyên của công ty và được cấp quyền truy cập không hạn chế
cũng như các tài khoản có đặc quyền. Các chiến lược bảo mật tập trung vào vành đai
giả định rằng tất cả người dùng, thiết bị và phần mềm trong vành đai đều đáng tin cậy
và thiếu khả năng quản lý mối đe dọa cũng như khả năng hiển thị bảo mật nội bộ.
Những quyền quá mức này kích hoạt và làm trầm trọng thêm các sự cố bảo mật,
đồng thời dẫn đến sự phát triển của mô hình bảo mật không tin cậy . Mô hình không
tin cậy thực hiện nguyên tắc đặc quyền tối thiểu , chỉ cấp cho người dùng, thiết bị hoặc
ứng dụng các quyền cần thiết để thực hiện vai trò của nó. Mỗi yêu cầu truy cập được
đánh giá theo các hạn chế truy cập này trên cơ sở từng trường hợp.
Các công ty đang ngày càng áp dụng chế độ không tin tưởng và ít đặc quyền nhất
để quản lý rủi ro bảo mật và tuân thủ các yêu cầu quy định ngày càng nghiêm ngặt.
Bằng cách đó, họ có được tầm nhìn rõ hơn về cách cả người dùng hợp pháp và các mối
đe dọa tiềm ẩn đang sử dụng mạng và tài nguyên của họ cũng như khả năng xác định
và chặn các cuộc tấn công tiềm ẩn cũng như quản lý tác động của chúng đối với tổ
chức.
7. Trung tâm dữ liệu lai (Hybrid Data Centers):
Cả cơ sở hạ tầng tại chỗ và trên nền tảng đám mây đều mang lại lợi ích đáng kể
cho tổ chức. Với triển khai tại chỗ, một tổ chức có quyền kiểm soát tốt hơn đối với dữ
liệu và ứng dụng của mình. Mặt khác, cơ sở hạ tầng dựa trên đám mây mang lại tính
linh hoạt và khả năng mở rộng cao hơn.

Các trung tâm dữ liệu lai mở rộng cơ sở hạ tầng tại chỗ và dựa trên đám mây,
đồng thời cho phép dữ liệu và ứng dụng di chuyển giữa chúng khi cần. Việc áp dụng
các trung tâm dữ liệu kết hợp cho phép một tổ chức tận dụng tối đa lợi thế của cả môi
trường tại chỗ và đám mây, đồng thời thích ứng để đáp ứng nhu cầu kinh doanh đang
phát triển. Tuy nhiên, việc triển khai một trung tâm dữ liệu kết hợp một cách hiệu quả
và an toàn đòi hỏi khả năng hiển thị và bảo mật toàn diện, nhất quán trên cả môi
trường tại chỗ và trên nền tảng đám mây.
Câu 6: Vì sao luôn cần xác định mục tiêu trước khi ứng dụng các biện pháp
đảm bảo an toàn cho HTTT doanh nghiệp? Hãy giải thích và cho ví dụ minh họa.
Mục tiêu của AT&BMTT:
- Phát hiện các lỗ hổng của HTTT cũng như dự đoán trước những nguy cơ tấn
công vào HTTT của tổ chức, DN gây mất ATTT
- Ngăn chặn những hành động gây mất ATTT và bảo mật thông tin từ bên trong
cũng như bên ngoài tổ chức, DN
- Phục hồi kịp thời các tổn thất của tổ chức, DN trong trường hợp HTTT bị tấn
công gây mất AT&BMTT, nhằm đưa HTTT trở lại hoạt động bình thường trong thời
gian sớm nhất
Luôn cần xác định mục tiêu trước khi ứng dụng các biện pháp đảm bảo an
toàn cho HTTT doanh nghiệp vì:
Mục tiêu là kim chỉ nam, là thử quyết định hướng đi của DN, Khi có mục tiêu, xđ
đúng mục tiêu, đề ra trước được mục tiêu thì DN sẽ dễ dàng ra kế hoạch tìm kiếm, đề
xuất các biện pháp và nhìn ra được bước đi tiếp theo để thực hiện được công việc bảo
mật cũng như các công việc khác. Có mục tiêu giúp DN biết được cần áp dung biên
pháp nào. ứng dung cái gì để việc bảo mật đạt hiệu quả tối ưu. Không những vậy, khi
có được mục tiêu sẽ giúp DN rút ngắn thời gian nghiên cứu, thi hành nhanh chóng
hoàn tất được công việc chứ không phải mỏ mẫm đến đâu tìm đến đấy. => khả năng
thành công cao.
Ngược lại, nêu không có mục tiêu. hay đề ra mục tiêu sau khi áp dụng thì chả có
nghĩa lý gì. Thậm chí, nó sẽ khiến DN rơi vào một vòng luẩn quẩn, mơ hồ không biết
mình đang áp dụng cái gì và nó có đạt được hiệu quả như mong muốn hay không và
còn tốn nhiều thời gian, tiền bạc và công sức để tìm ra được biện pháp phù hợp với
DN => khả năng thành

công thấp.
Câu 7: Các yêu cầu an toàn và bảo mật đối với một hệ thống thông tin trong
doanh nghiệp là gì? Lấy ví dụ minh họa.
AT & BMTT là một vấn đề phức tạp, liên quan đến nhiều yếu tố khác nhau
nhưng về cơ bản cần phải đảm bảo cho thông tin có được các tính chất sau:
 Tính bí mật: Đảm bảo dữ liệu của người sử dụng luôn được bảo vệ, không bị
xâm phạm bởi những người không được phép. Tính bí mật có thể được đảm bảo bằng
kênh mã hóa VNP. Các thông tin có thể bí mật gồm:
+ Dữ liệu riêng của cá nhân
+ Các thông tin thuộc quyền sở hữu trí tuệ của các doanh nghiệp hay cơ quan/ tổ
chức
+ Các thông tin có liên quan đến an ninh quốc gia
VD: một giao dịch tín dụng qua Internet, số thẻ tín dụng được gửi từ người mua
hàng đến người bán, và từ người bán đến nhà cung cấp dịch vụ thẻ tín dụng
- Tính toàn vẹn: Dữ liệu không bị tạo ra, sửa đổi hay xáo bởi những người k sở
hữu
+ Tính toàn vẹn liên quan tới tính hợp lệ và chính xác của dữ liệu: toàn vẹn của
bản quyền,…
+ Dữ liệu là toàn vẹn nếu: không bị thay đổi, hợp lệ, chính xác
+ Tính toàn vẹn chỉ có thể được sửa đổi bởi người dùng có thẩm quyền
VD: thay đổi số trong bảng tính một cách độc hại
 Tính sẵn sàng: dữ liệu luôn phải trong trạng thái sãn sàng. Tính sẵn sàng có
thể được đo bằng các yếu tố:
+ Thời gian cung cấp dịch vụ
+ Tgian ngừng cung cấp dvu
+ Tỉ lệ phục vụ
+ Tgian trung bình giữa các sự cố
+ Tgian trung bình ngừng để sửa chữa
+ Tgian khôi phục sau sự cố
Một ví dụ về sự cố truy nhập sẽ là tấn công từ chối dịch vụ, nơi những kẻ tấn
công làm ngập hệ thống của bạn với lưu lượng mạng để khiến việc truy nhập gần như

không thể thực hiện; hoặc mã độc tống tiền mã hóa hệ thống của bạn và ngăn bạn sử
dụng phần mềm này.
- Tính tin cậy: thông tin có giá trị chỉ những người có quyền mới có thể xem các
thông điệp và truy cập vào, đồng thời đảm bảo thông tin mà người dùng nhận được là
đúng với mong muốn của họ
Cụ thể:
Yêu cầu về các thiết bị phần cứng
Ngoài yêu cầu các thiết bị phần cứng cơ bản như: máy tính, máy in, máy fax,
thiết bị và đường truyền mạng phải hoạt động tốt, ổn định thì DN nên sử dụng các thiết
bị bảo mật: bảo mật đa chức năng firebox, thiết bị tối ưu mạng WAN Exinda, thiết bị
bảo mật thư điện tử chuyên dụng,…
Yêu cầu về phần mềm
Các phần mềm ứng dụng có vai trò quan trọng và đã trở thành một phần không
thể thiếu đối với hoạt động của DN. Để đảm bảo ATTT các phần mềm đó phải sạch
tức là không chứa virus, mã độc. Ngoài ra đó còn phải là các phần mềm có bản quyền,
được nâng cấp, cập nhật thường xuyên bởi nhà sản xuất nhằm giảm bớt các nguy cơ từ
lỗ hổng bảo mật. Bên cạnh các phần mềm ứng dụng, DN phải luôn chủ động trong
việc cài đặt các phần mềm bảo mật như: phần mềm chống virus, phần mềm mã hóa dữ
liệu,…
Yêu cầu về mạng
Cùng với các thiết bị bảo mật được trang bị thì DN cũng cần xây dựng các mô
hình, giao thức mạng an toàn như: giao thức bảo mật SSL, SET…
Cài đặt, cấu hình, tổ chức hệ thống mạng theo mô hình Clients/Server; hạn chế
sử dụng mô hình ngang hàng khi thiết lập các dịch vụ trên môi trường mạng internet,
chỉ cung cấp những chức năng thiết yếu nhất đảm bảo duy trì hoạt động của HTTT;
hạn chế sử dụng chức năng, cổng giao tiếp mạng, giao thức và các dịch vụ không cần
thiết. Đối với hệ thống mạng không dây định kì 3 tháng đổi mật khẩu nhằm tăng
cường công tác bảo mật.
Yêu cầu về cơ sở dữ liệu
Thiết lập và cấu hình CSDL an toàn, luôn cập nhập bản vá lỗi mới nhất cho hệ
quản trị CSDL, sử dụng công cụ để đánh giá, tìm kiếm lỗ hổng trên máy chủ CSDL.

Gỡ bỏ các CSDL không sử dụng, có các cơ chế sao lưu dữ liệu, tài liệu hóa quá
trình thay đổi cấu trúc bằng cách xây dựng nhật kí CSDL với các nội dung: nội dung
thay đổi, lý do thay đổi, thời gian, vị trí thay đổi.
Thường xuyên kiểm tra, giám sát chức năng chia sẻ thông tin. Tổ chức cấp phát
tài nguyên trên máy chủ theo danh mục, thư mục cho từng phòng/đơn vị trực thuộc.
Yêu cầu về con người
Những người sử dụng, làm việc trực tiếp với thông tin cần phải có kiến thức về
ATTT.
Cần bố trí cán bộ quản lý, cán bộ kỹ thuật phù hợp, chịu trách nhiệm đảm bảo an
toàn cho HTTT và dữ liệu, có kế hoạch đào tạo, bồi dưỡng nghiệp vụ cho đội ngũ cán
bộ ATTT, đào tạo, phổ biến kiến thức, kỹ năng cho người dùng máy tính về phòng
chống các nguy cơ mất ATTT khi sd internet.
Câu 8: Những khó khăn doanh nghiệp thường gặp phải khi triển khai các
giải pháp an toàn cho HTTT là gì? Hãy giải thích và cho ví dụ minh họa.
Khó khăn:
Tốn nhiều thời gian, công sức, tiền của DN:
- Chi phí để triển khai là khá lớn và không chỉ triển khai xong là xong mà còn
thường xuyên bảo trì, sửa chữa, nâng cấp hệ thống.
- Triển khai tốn nhiều thời gian của một DN, có thể gây trì trệ cho cả một hệ
thống và mất một thời gian mới có thể ổn định lại như trước.
- Nhân công tham gia vào quy trình này cũng không phải là nhỏ. Cần nhiều
nhân công có trình độ cao, có kiến thức chuyên sâu.
Đánh giá không đúng hiện trạng của DN gây ra khó khăn cho việc tìm, áp dụng
và
triển khai các giải pháp.
Lập kế hoạch xây dựng các giải pháp sơ sài, có thể không đáp ứng, không cải thiện
được đúng tình trạng mà DN đang gặp phải. Xây dựng, thiết kế, triển khai phụ thuộc
vào chiến lược, mục tiêu và các yêu cầu về ATTT cần phải đạt được quy trình vận
hành, quy mô, cơ cấu tổ chức.
Nền tảng cơ sở hạ tầng không đáp ứng được. Có thể tìm được giải pháp tốt nhất
lúc bấy giờ nhưng nếu cơ sở vật chất, nền tảng hệ thống của DN không cho phép thì
tân tiến, tốt đến đâu cũng không giải quyết được vấn đề.

Trách nhiệm xây dựng, duy trì hệ thống được phân công không phù hợp, phòng
ban được giao không nhận được sự phối hợp, cộng tác của phòng ban khác trong DN.
Chủ yếu do nhận thức của người dùng trong tổ chức về tầm quan trọng của việc đảm
bảo ATTT.
Việc xây dựng và nâng cấp hệ thống chưa có sự quan tâm của lãnh đạo cũng như
sự đầu tư nguồn lực thích đáng.
Ví dụ: Tập đoàn Bảo Việt Áp dụng ISO 27001.
Năm 2013, Tập đoàn Bảo Việt là một trong những đơn vị hoạt động trong lĩnh
vực tài chính, bảo hiểm đạt được chứng nhận Hệ thống quản lý an toàn thông theo tiêu
chuẩn ISO 27001:2005. Năm 2015, theo yêu cầu của tổ chức công nhận quốc tế, Tập
đoàn Bảo Việt chuyển đổi và đánh giá tái cấp chwunsg nhận thành công Hệ thống
quản lý an toàn thông tin theo phiên bản mới tiêu chuẩn ISO 27001:2013.
Việc áp dụng, triển khai xây dựng ISMS cũng gặp phải nhiều khó khăn ví ISMS
là sự kết hợp tổng thể giữa con người, quy trình và công nghệ, nên sẽ phải thực hiện
triển khai các biện pháp từ phi kỹ thuật đến các biện pháp kỹ thuật. Mức độ ATTT của
hệ thống phụ thuộc vào tất cả các yếu tố trên, nên các bộ phận trong Tập đoàn đều phải
nắm rõ, ủng hộ và tham gia vào quá trình chiến lược này.
Quá trình thực hiện triển khai ISO 27001 được thực hiện từ việc bảo đảm an toàn
máy trạm cho người dùng cuối, với mục đích chuẩn hóa việc cài đặt, thiết lập cấu hình
máy trạm để đảm bảo an toàn trước khi bàn giao cho người sử dụng (joint AD, cài đặt
AV, khóa các tài khoản Admin local, khóa tính năng copy dữ liệu,...). Mỗi bộ phận có
những tính chất công việc khác nhau, mặt khác do thói quen của người sử dụng, nên
có rất nhiều vướng mắc khi thực hiện triển khai. Tuy nhiên, được sự ủng hộ của Lãnh
đạo Tập đoàn, cùng với sự phối hợp của các bộ phận, đồng thời khi áp dụng đơn vị đã
thực hiện các công tác triển khai thử nghiệm, tuyên truyền, đào tạo và có đội hỗ trợ kỹ
thuật luôn theo sát thực hiện, nên kết quả bước đầu tương đối khả quan. Các máy trạm
của các bộ phận tại Tập đoàn Bảo Việt đã được triển khai các điều khoản theo quy
định sử dụng máy trạm. Việc đạt được chứng nhận ISO 27001 đã khẳng định sự an
toàn và bảo mật cao của hệ thống công nghệ thông tin Bảo Việt theo tiêu chuẩn quốc
tế. Qua đó, đảm bảo hoạt động hệ thống được vận hành liên tục, giảm thiểu được các
rủi ro gây mất an toàn thông tin từ các sự cố không mong muốn.

Câu 9: Trình bày sơ lược các giải pháp phòng tránh phổ biến mà các doanh
nghiệp Việt Nam đang sử dụng hiện nay? Hãy giải thích và cho ví dụ minh họa.
Đầu tư vào những giải pháp phát hiện sớm hệ thống bị xâm nhập là hết sức quan
trọng để có thể phản ứng nhanh nhất, kịp thời đối phó các cuộc tấn công mã độc mà
các phương thức phòng thủ truyền thống dựa trên antivirus đã tỏ ra bất lực. Nhưng cần
đảm bảo rằng mọi công cụ giúp giảm thiểu rủi ro phải hoạt động đồng bộ cùng nhau.
Các giải pháp:
1. Phân quyền người dùng:
Là biện pháp giúp phân chia rõ ràng quyền hạn, cách thức thao tác đối với HT
theo những yêu cầu khác nhau nhằm đảm bảo đc sự an toàn của HT cũng như đảm bảo
tính riêng tư của mỗi người
2. Bảo mật kênh truyền DL :
Là việc bảo mật các DL khi chúng đc truyền trên kênh truyền thông như giao
thức SSL, SET,WEP, tường lửa
- Giao thức SSL: được sử dụng rộng rãi trong các giao dịch yêu cầu thanh toán
qua mạng; được hỗ trợ bởi hầu hết các trình duyệt và các phầm mềm phía server; được
thiết kế độc lập với tầng ứng dụng nên có thể sử dụng cho nhiều ứng dụng khác nhau;
mọi hđ của SSL đều trong suốt với NSD
- Giao thức SET: đảm bảo tính chính xác của thông tin cho cả hai bên gửi và
nhận; đảm bảo tính toàn vẹn của thông tin do có sử dụng các phương pháp mã hóa dữ
liệu để che dấu thông tin; do khóa dùng để mã hóa và giải mã được mã bằng phương
pháp khóa công khai nên khả năng bị bẻ khóa là rất khó xảy ra; có cơ chế xác thực cho
cả hai phía gửi và nhận thông tin thông qua các chứng thực điện tử nên giảm được tình
trạng chối cãi cũng như lừa đảo trên mạng; sự xác nhận các thông tin về tài khoản là
do các ngân hàng trung gian thực hiện nên người dùng không sợ lộ các thông tin về tài
khoản của mình khi tiến hành giao dịch trên mạng.
- Giao thức WEP: cung cấp tính bảo mật và toàn vẹn của thông tin trên mạng
không dây; được xem như là một phương pháp kiểm soát truy cập
- Tường lửa: bảo vệ HT khỏi các dịch vụ không cần thiết trên mạng internet;
điều khiển việc truy cập vào các tài nguyên trong hệ thống; tạo ra cơ chế bảo vệ tập
trung; thống kê lại lưu lượng các giao dịch ra bên ngoài và kiểm soát được các giao

dịch đó; bảo vệ mạng nội bộ khỏi bị xác định bởi bên ngoài; tạo ra các chính sách bảo
mật đối với toàn bộ HT mạng và yêu cầu mọi người đều phải tuân theo.
3. Khắc phục sự cố: khôi phục các file dữ liệu bị xóa; sao lưu để đảm bảo
ATDLS
4. Áp dụng bảo mật thông tin theo quy chuẩn quốc tế: ISO/IEC 27001:2013
Đảm bảo ATTT của tổ chức, đối tác và khách hàng giúp cho hoạt động của tổ
chức luôn thông suốt và an toàn.
Giúp nhân viên tuân thủ việc đảm bảo ATTT trong hoạt động nghiệp vụ thường
ngày; các sự ATTT do người dùng gây ra sẽ được hạn chế tối đa khi nhân viên được
đào tạo, nâng cao nhận thức ATTT.
Giúp hoạt động đảm bảo ATTT luôn được duy trì và cải tiến. Các biện pháp kỹ
thuật và chính sách tuân thủ được xem xét, đánh giá, đo lường hiệu quả và cập nhật
định kỳ.
Đảm bảo cho các hoạt động nghiệp vụ của tổ chức, đơn vị không bị gián đoạn,
sai sót do các sự cố liên quan đến ATTT trong tổ chức, đơn vị gây ra.
Nâng cao uy tín của tổ chức, tăng sức cạnh tranh, tạo lòng tin với khách hàng,
đối tác, thúc đẩy quá trình toàn cầu hóa và tăng cơ hội hợp tác quốc tế.
5. Sử dụng chữ ký điện tử:
Tiết kiệm chi phí, thời gian vận chuyển trong hoạt động quản lý công văn, giấy
tờ, thư điện tử:
Chữu kí số đáp ứng vấn đề toàn vẹn dữ liệu và nó cũng là bằng chứng chống chối
bỏ trách nhiệm trên nội dung đã ký, tọa sự yên tâm tuyệt đối với các giao dịch điện tử
trong môi trường internet của các doanh nghiệp.
Đảm bảo an toàn, bảo mật thông tin cho các cơ quan, doanh nghiệp: cần thiết. Vì
vậy, việc sử dụng chữ ký số là một điều cần thiết nhằm giúp bảo mật các thông tin cho
doanh nghiệp mình một cách an toàn tuyệt đối.
6. Ứng dụng công nghệ sinh trắc học
Phương pháp xác thực sinh trắc học (Biometric) là một công nghệ sử dụng những
thuộc tính vật lý hoặc các mẫu hành vi, các đặc điểm sinh học đặc trưng như dấu
vân tay, mẫu mống mắt, giọng nói, khuôn mặt, dáng đi,... để nhận diện con người.
- Lợi ích:

Công nghệ này đã giải quyết được các vấn đề lớn như chi phí, cách thức vận
hành và khả năng truy cập, từ đó tạo ra khả năng chính xác cao trong các giải pháp xác
thực.
Là một lựa chọn quan trọng cho các doanh nghiệp về vấn đề bảo mật trong tương
lai.
Khi đó, các doanh nghiệp có thể chuyển sang sử dụng công nghệ sinh trắc học
trong việc xác thực người dùng mà không cần phải lo lắng đến từ nguy cơ rò rỉ thông
tin nhạy cảm.
Việc ứng dụng sinh trắc học trong xác thực là một lựa chọn để tăng cường mức
độ ATTT. Đây là giải pháp giúp cho các doanh nghiệp giảm sự phụ thuộc vào những
nhược điểm của mật khẩu truyền thống, khi đa số những mật khẩu đó là do con người
lập ra. Sinh trắc học là một đề xuất tốt nhằm đảm bảo tính ATTT.
7. Mã hóa DL
Mã hoá khoá bí mật (Secret key Crytography): Mã hoá khoá bí mật hay còn gọi
là mã hoá đối xứng, nghĩa là dùng một khoá cho cả hai quá trình “mã hoá” và “giải
mã”. Khoá này phải được giữ bí mật.
Mã hoá công khai (Public key Crytography): Mã hoá công khai hay còn gọi là
mã hoá không đối xứng. Phương pháp này người ta sử dụng hai khoá khác nhau, khoá
công khai (Public key) và khoá bí mật (Private key). Khoá công khai được công bố,
khoá bí mật được giữ kín.
Câu 10: Vì sao các tổ chức đã có giải pháp phòng tránh các nguy cơ mất an
toàn thông tin vẫn cần có cơ chế khắc phục sự cố trong HTTT của tổ chức? Hãy
giải thích và cho ví dụ minh họa.
Khái niệm Khắc phục sự cố trong HTTT
Khắc phục sự cố trong HTTT của tổ chức là việc sử dụng các phương pháp,
phương tiện và kỹ thuật nhằm phục hồi lại tài nguyên hệ thống và các hoạt động chủ
yếu của nó (trở lại với nguyên bản).
Cần có cơ chế khắc phục sự cố vì:
- Giúp DN phản ứng kịp thời trước sự cố nếu sự cố đó xảy ra, tránh rơi vào thế
bị động, giải quyết nhan chóng sự cố đó.
- Giảm thiểu được tối đa hậu quả mà sự cố đó mang lại
- Bảo vệ được sự toàn vẹn của dữ liệu và thông tin.

Các nhóm nguy cơ mất ATTT trong DN hiện nay:
- Nguy cơ từ bên trong
 Nguy cơ do yếu tố kỹ thuật (thiết bị mạng, máy chủ HTTT)
 Nguy cơ bị mất, hỏng, sửa đổi thông tin: Một trong những nỗi lo nhất của DN
mỗi khi xảy ra sự cố ATTT là bị mất, hỏng, bị thay đổi nội dung. Nguy hiểm hơn, tin
tặc có thể đánh cắp toàn bộ dữ liệu rồi ép nạn nhân trả tiền chuộc.
 Nguy cơ bị tấn công bởi các phần mềm độc hại: Hacker có thể sử dụng nhiều
kỹ thuật tấn công khác nhau để xâm nhập vào bên trong hệ thống như: Phishing, virus,
phần mềm gián điệp, worm,.. Do sự bất cẩn khi tải tệp dữ liệu xuống của một số nhân
viên.
 Nguy cơ mất ATTT do sử dụng Email, mạng xã hội: Phương pháp tấn công
của Hacker ngày nay rất tinh vi và đa dạng. Chúng có thể sử dụng kỹ thuật Phishing
gửi file đính kèm trong email chứa mã độc, sau đó yêu cầu người dùng click vào
đường Link/tệp và làm theo hướng dẫn, Hậu quả, nạn nhân có thể bị Hacker bắt
chuyển tiền hoặc máy tính của nạn nhân bị lộ lọt dữ liệu, nhiễm mã độc.
 Nguy cơ do lập kế hoạch, triển khai, thực thi, vận hành (vòng đời) không đồng
bộ
 Nguy cơ trong quy trình, chính sách an ninh bảo mật,…
 Nguy cơ do yếu tố con người: vận hành, đào đức nghề nghiệp.
- Nguy cơ từ môi trường bên ngoài
 Môi trường: hạ tầng CNTT, hạ tầng truyền thông, thảm họa từ thiên nhiên
hoặc con người.
 Các DN càng lớn càng là mục tiêu của nhiều đối tượng tấn công từ trong nước
và quốc tế.
Câu 11: Trình bày vai trò của an toàn và bảo mật thông tin trong tổ chức
hiện nay? Lấy ví dụ minh họa
Vai trò của an toàn và bảo mật thông tin trong hệ thống:
Không giống như các chương trình phần mềm hay các hệ thống ứng dụng khác,
các hệ thống đảm bảo an toàn thông tin cho tổ chức có nhiệm vụ chính là đảm bảo
rằng hệ thống thông tin và các nội dung của chúng đều hoạt động tốt, không có sai sót
hay hỏng hóc. Về cơ bản, các hệ thống đảm bảo an toàn thông tin cho các đơn vị tổ
chức có bốn vai trò chính sau đây:

Thứ nhất, bảo vệ chức năng hoạt động của tổ chức: Bao gồm cả khía cạnh quản
lý nói chung và quản lý CNTT nói riêng đều chịu trách nhiệm thực thì các biện pháp
an ninh thông tin để bảo vệ khả năng hoạt động của tổ chức không bị sai sót hay hỏng
hóc. Các tổ chức quan tâm đến các biện pháp an ninh thông tin có ảnh hướng đối với
các hoạt động kinh doanh cũng như tăng thêm chỉ phí gây nên các gián đoạn trong
hoạt động kinh doanh hay không, chứ không phái là chỉ đơn thuần lựa chọn một biện
pháp nhằm thiết lập một kỹ thuật nào đó để đảm bảo an ninh thông tỉn. Nghĩa là các hệ
thống đảm bảo an toản thông tin phải làm sao để nó trong suốt với các hoạt động kinh
doanh của tổ chức, hoặc làm cho các hoạt động được dễ dàng thuận tiện chứ không
phải đảm bảo an ninh mà ảnh hưởng nhiều đến kết quả hoạt động kinh doanh của tổ
chức.
Thứ hai, tạo môi trường thuận lợi cho các ứng dụng trong tổ chức thực thí an
toàn. Các tổ chức ngày nay đang chịu áp lực rất lớn trong thực thi và vận hành các ứng
dụng tích hợp, vì vậy, các hệ thống đảm bảo an toàn thông tin cần tạo ra một môi
trường thuận lợi trong đó các biện pháp bảo vệ các ứng dụng phải được thực hiện một
cách trong suốt.
Thứ ba, bảo vệ dữ liệu mà tổ chức thu thập và sử đụng. Nếu không, có dữ liệu thì
các tổ chức không thể có các giao dịch và/hoặc không có khả năng mang lại giá trị cho
khách hàng, vì vậy, mỗi tổ chức, doanh nghiệp đều mong muốn có các hệ thống thông
tin có thể đáp ứng được các dịch vụ kết nối với khách hàng, đưa ra nhiều dịch vụ cũng
như có khả năng đáp ứng các yêu cầu dựa vào hệ thống thông tin của họ. Vì vậy, bảo
vệ dữ liệu trong các hoạt động và lưu trữ chúng an toàn để sử dụng cho các lần sau là
khía cạnh quan trọng của an toàn thông tỉn. Một hệ thống bảo mật thông tin hiệu quả
sẽ thực hiện chức năng bảo vệ sự toàn vẹn và giá trị của dữ liệu trong tổ chức, doanh
nghiệp.
Thứ tự, bảo vệ các tài sản có tính công nghệ trong các tổ chức. Đề thực hiện các
hoạt động sản xuất, kinh doanh đạt hiệu quả, các tô chức phải sử dụng các địch vụ cơ
sở hạ tầng an toàn phủ hợp với quy mô và phạm vi của tổ chức mình. Ví dụ, sử dụng
các phần mềm diệt virus, các hệ thống tường lửa, các địch vụ kiểm soát truy cập trái
phép, các dịch vụ lưu trữ dữ liệu an toàn, các dịch vụ e-mail, các dịch vụ cung cấp gửi
và nhận tập tin,... đảm bảo hoạt động an toàn. Vì vậy, hệ thống dảm bảo an toàn thông

tin phải đảm bảo sao cho các tải sản mang tính công nghệ trong các tổ chức hoạt động
đúng và không bị hỏng hóc.
Ví dụ minh họa
Hệ thống tmđt Sendo đã tập trung đầu tư vào hệ thống bảo mật của mình.
Website Sendo.vn đã được tích hợp giao thức SSL cho phép truyền đạt thông tin một
cách bảo mật và an toàn qua mạng. Để loại trừ việc nghe trộm các thông tin “nhạy
cảm” được truyền qua Internet, dữ liệu phải được mã hóa để không bị đọc bởi những
người khác ngoài người gửi và người nhận. Công cụ được tích hợp sâu vào trong hệ
thống bao gồm các hoạt động: xác thực, mã hóa, toàn vẹn dữ liệu.
Câu 12: Vì sao cần giới hạn quyền tối thiểu cho người dùng trong các
HTTT? Hãy giải thích và cho ví dụ minh họa.
Khái niệm:
Người dùng (người sử dụng) là những người được quyền đăng nhập và sử dụng
tài nguyên của hệ thống trong phạm vi quyền hạn của mình.
Giới hạn quyền tối thiểu có thể hiểu lâ quyền hạn mà một tài khoản hoặc quy
trình nhất định có trong hệ thống máy tính hoặc mạng. Giới hạn quyền tối thiểu cung
cấp quyền ghi đè hoặc bỏ qua một số hạn chế bảo mật nhất định và có thể bao gồm
quyền để thực hiện các hành động như tắt hệ thống, tải trình điều khiển thiết bị, định
cấu hình mạng hoặc hệ thống, cấp phép và định cấu hình tài khoản và phiên bản đám
mây, v.v.
Cần giới hạn quyền tối thiểu cho người dùng trong các HTTT vì:
Giới hạn quyền tối thiểu cho người dùng trong hệ thống thông của tổ chức, doanh
nghiệp là nguyên tắc cơ bản nhất trong AT&BMTT, theo nguyên tắc này, bất kì một
đối tượng nào cũng chỉ có quyền hạn nhất định đối với tài nguyên trong hệ thống. Khi
thâm nhập vào hệ thống, mỗi đối tượng chỉ được sử dụng một số tài nguyên trong hệ
thống.
Người dùng hoặc tài khoản tích lũy càng nhiều quyền tối thiểu và quyền truy cập,
thì khả năng lạm dụng, lợi dụng hoặc lỗi càng lớn. Thực hiện giới hạn quyền tối thiểu
không chỉ giảm thiểu khả năng xảy ra vi phạm bảo mật mà còn giúp hạn chế phạm vi
vi phạm nếu có vi phạm xảy ra.
Tầm quan trọng của giới hạn quyền tối thiểu cho người dùng trong các
HTTT:

- Tránh các vấn đề bảo mật: Ví dụ điển hình về vấn đề này là Edward Snowden
- người đã làm rò rỉ hàng triệu tài liệu mật của NSA. Việc phân quyền, đặc biệt là các
quyền quan trọng, không cần thiết cho người dùng có thể gây ra các vấn đề về an toàn.
- Giảm thiểu khả năng bị tấn công: Việc giới hạn các đặc quyền đối với người,
tiến trình và ứng dụng làm giảm thiểu các con đường dẫn đến bị tấn công và khai thác.
- Hạn chế lây lan mã độc: Hệ thống triển khai tốt đặc quyền tối thiểu có thể hạn
chế đáng kể việc tấn công và lây nhiễm của mã độc.
- Cải thiện hiệu suất hoạt động: Đối với các ứng dụng và hệ thống, việc sử dụng
đặc quyền tối thiểu trong phạm vi tiến trình để thực hiện một hoạt động nhất định sẽ
giảm nguy cơ xảy ra các vấn đề không tương thích giữa các ứng dụng hoặc hệ thống
khác và giúp giảm nguy cơ downtime.
- Giảm sự phức tạp, giúp chứng minh sự tuân thủ: Bằng cách hạn chế các hoạt
động có thể, việc thực thi đặc quyền tối thiểu sẽ giúp tạo ra một môi trường ít phức tạp
hơn và do đó, thuận lợi hơn cho hoạt động audit. Hơn nữa, các quy định tuân thủ như
PCI DSS cũng yêu cầu các tổ chức áp dụng chính sách truy cập đặc quyền tối thiểu để
đảm bảo quản lý dữ liệu thích hợp và nâng cao bảo mật hệ thống.
https://whitehat.vn/threads/tim-hieu-nguyen-tac-dac-quyen-toi-thieu-trong-bao-
mat-thong-tin.16651/
Cơ quan an ninh quốc gia Mỹ bị tin tặc tấn công?
Các tài liệu mật của Edward Snowden đã khẳng định, các vũ khí tấn công
mạng do một nhóm tin tặc rao bán tuần qua chính là của Cơ quan an ninh quốc
gia Mỹ (NSA).
Theo The Intercept, tuần rồi, giới công nghệ rộ lên ồn ào về việc một nhóm tin
tặc tự xưng là ShadowBrokers tuyên bố bán đấu giá những cái họ gọi là "các vũ khí
tấn công mạng" do NSA tạo ra.
Căn cứ vào những tài liệu chưa từng được công bố của "người thổi còi" Edward
Snowden, The Intercept khẳng định, trong số những thứ nhóm hacker đem rao bán có
phần mềm đúng là của NSA và đó là một phần trong các công cụ cơ quan này dùng để
thao túng thông tin của nhiều máy tính trên toàn thế giới.

Theo đó các tin tặc của NSA được hướng dẫn sử dụng chuỗi 16 ký tự
“ace02468bdf13579.” khi sử dụng chương trình có tên SECONDDATE, chương trình
này có trong số những tài liệu bị rò rỉ của NSA.
Chuỗi ký tự trong các tài liệu của Snowden cũng khớp với chuỗi ký tự đã bị rò rỉ.
Ngoài ra tài liệu cũng nói chi tiết hơn về phần mềm SECONDDATE.
Đây là một phần mềm mã độc có khả năng ngăn chặn và gửi lại các lệnh thao tác
trên web của các máy tính về cho NSA. Chúng đã được sử dụng cho các hoạt động của
NSA tại Pakistan và Lebanon.
SECONDDATE đóng vai trò chuyên môn đặc biệt trong hệ thống do thám phức
tạp toàn cầu do chính phủ Mỹ tạo ra nhằm theo dõi hàng triệu máy tính trên thế giới.
Việc nhóm hacker ShadowBrokers rao bán phần mềm này cùng hàng chục công
cụ mã độc khác đánh dấu sự kiện lần đầu tiên các bản sao đầy đủ phần mềm tấn công
mạng của NSA bị công khai trước dư luận.
Và theo chuyên gia mật mã Matthew Green của Đại học Johns Hopkins, phần
mềm mã độc này không chỉ là nguy cơ với các chính phủ nước ngoài mà nó còn có thể
dùng để theo dõi bất cứ ai đang sử dụng một router dễ bị tấn công.
Hiện chưa rõ bằng cách nào các dữ liệu của NSA bị rò rỉ và ai đã thực sự tiến
hành cuộc tấn công này. Một số người ngờ vực tin tặc Nga đứng sau sự việc, nhưng
chưa có bằng chứng thuyết phục.
Cho tới nay, nhiều giả thuyết đã được nêu ra, nhưng một trong những giả thuyết
được nhiều người chấp nhận hơn cả cho rằng, một hacker nào đó của NSA đã sử dụng
các phần mềm mã độc này nhưng sau khi ra tay đã không loại bỏ hết dấu vết, do đó
khiến ai đó nắm được các ứng dụng mà không cần phải tiến hành cuộc tấn công quá
quy mô.
Tới giờ NSA vẫn chưa phản hồi về các vấn đề liên quan tới nhóm
ShadowBrokers, các tài liệu của Snowden và phần mềm mã độc của họ.
https://nguoilambao.vn/co-quan-an-ninh-quoc-gia-my-bi-tin-tac-tan-cong-
n3154.html
Câu 13: Tại sao cần triển khai mô hình bảo vệ thông tin trong HTTT theo
chiều sâu? Hãy giải thích và cho ví dụ minh họa.
Khái niệm

Mô hình bảo vệ theo chiều sâu (Defence In Depth- DiD) đề cập đến phương pháp
tiếp cận an ninh mạng sử dụng nhiều lớp bảo mật để bảo vệ toàn diện. Bảo vệ theo lớp
giúp các tổ chức bảo mật giảm thiểu các lỗ hổng, ngăn chặn các mối đe dọa và giảm
thiểu rủi ro. Nói một cách đơn giản, với cách tiếp cận bảo vệ theo chiều sâu, nếu một
kẻ xấu vi phạm một lớp phòng thủ, chúng có thể bị ngăn chặn bởi lớp phòng thủ tiếp
theo.
Cần triển khai mô hình bảo vệ thông tin trong HTTT theo chiều sâu vì:
Mô hình bảo vệ thông tin trong HTTT theo chiều sâu giúp bạn đảm bảo rằng bạn
đang bảo vệ hệ thống của mình hiệu quả nhất có thể. Nó buộc bạn phải tính đến vấn đề
bảo mật ngay cả khi các công cụ và giải pháp khác nhau của bạn đã bị xâm phạm.
Không có công cụ hoặc biện pháp bảo mật nào là hoàn hảo, vì vậy bạn cần tính đến
các lỗi có thể xảy ra. Bằng cách xây dựng các lớp bảo mật, bạn có thể giảm khả năng
xảy ra lỗi tại một điểm duy nhất trong hệ thống của mình, làm tăng đáng kể thời gian
và độ phức tạp cần thiết để thỏa hiệp thành công mạng, điều này càng làm cạn kiệt tài
nguyên của các tác nhân đe dọa mạng tham gia và tăng khả năng một cuộc tấn công
chủ động được xác định và giảm nhẹ trước khi hoàn thành..Tóm lại mô hình này là
một nguyên tắc đảm bảo cho hoạt động của HTQL an toàn và bảo mật thông tin không
phụ thuộc vào một cơ chế an toàn duy nhất nào cho dù chúng rất mạnh, mà trong các
HTQLTT cần tạo nhiều cơ chế đảm bảo an toàn để chúng tương hỗ lẫn nhau trong quá
trình đảm bảo an toàn và bảo mật thông tin cho HTTT.
Ví dụ minh họa
Có nhiều cách để phòng thủ theo chiều sâu có thể được áp dụng. Dưới đây là hai
ví dụ.
DiD bảo vệ trang web cho các trang web liên quan đến sự kết hợp giữa phần
mềm chống thư rác và phần mềm chống vi-rút, tường lửa ứng dụng web (WAF), kiểm
soát quyền riêng tư và đào tạo người dùng. Thông thường, các giải pháp này được gói
gọn trong một sản phẩm. Những công cụ này sau đó được sử dụng để bảo vệ chống lại
các mối đe dọa như cross-site scripting (XSS) hoặc cross-site request forgery (CSRF).
Cả hai cuộc tấn công này đều chiếm quyền điều khiển phiên của người dùng để thực
hiện các hành động độc hại.
Bảo mật mạng

DiD cho bảo mật mạng thường liên quan đến sự kết hợp của tường lửa, mã hóa
và hệ thống ngăn chặn xâm nhập. Lớp này hoạt động để trước tiên hạn chế lưu lượng
truy cập, sau đó để phát hiện khi xảy ra xâm nhập. Cuối cùng, ngay cả khi một cuộc
tấn công bị bỏ lỡ, mã hóa có thể ngăn những kẻ tấn công truy cập dữ liệu.
https://www.cisa.gov/uscert/bsi/articles/knowledge/principles/defense-in-depth
https://www.exabeam.com/explainers/information-security/defense-in-depth-
stopping-advanced-attacks-in-their-tracks/
Câu 14: Trình bày các nguy cơ, cách phòng chống và khắc phục sự cố đối
với hệ thống mạng LAN.Lấy ví dụ minh họa.
Mạng LAN là viết tắt của Local Area Network, dịch nghĩa là mạng máy tính nội
bộ, cho phép các máy tính trong cùng một đơn vị như doanh nghiệp, trường học, tổ
chức hành chính có thể kết nối với nhau để cùng làm việc và chia sẻ dữ liệu trên nền
Internet. Mạng LAN hữu ích vì nó cho phép những người sử dụng dùng chung tài
nguyên quan trọng như máy in, ổ CDROM, các phần mềm ứng dụng và các thông tin
cần thiết khác.
với người dùng cá nhân trên các phương tiện truyền thông xã hội (social media).
Lấy ví dụ minh họa
Khái niệm
Phương tiện tuyền thông xã hội (social media) là các phương tiện truyền thông sử
dụng các nền tảng công nghệ dựa trên mạng Intenet.
Các nguy cơ
- Có khả năng bị tin tặc tấn công, đánh cắp tài khoản người dùng và công khai
các tài khoản này lên mạng Internet để trao đổi, mua bán hoặc giả mạo. Ví dụ, những
người sử dụng các tài khoản facebook, twitter,... có thể bị lừa đảo hoặc rất nhiều do
các thông tin đưa lên không hề chính thống, đánh lừa người đọc nhập các thông tin
liên quan tới cá nhân: tên, tuổi, địa chỉ, tài khoản ngân hàng,..
- Có nguy cơ bị kiểm soát quyền truy cập tài khoản, rỏ rỉ thông tin cá nhân: Một
số lỗ hổng mới xuất hiện trên các ứng dụng mạng xã hội hoặc Blog cá nhân như
Twitter có thể khiến người dùng bị kiểm soát quyền truy cập tài khoản, tin tặc có thể
xem được tài khoản của người dùng hoặc cho phép chiểm quyền truy cập dữ liệu gồm
thông tin định vị, và các thông tin cá nhân khác có liên quan đến tài khoản người dùng.

- Có nguy cơ bị nhiễm mã độc do nhiều ứng dụng lại lợi dụng chính việc người
dùng đã nhiễm virus để tiếp tục lây nhiễm loại virus mới vào máy tính hoặc chúng giả
dạng làm các ứng dụng chống virus để thực chất làm máy tính của người dùng nhiễm
độc.
- Mất an toàn qua mạng
 Các tin nhắn nhanh / hòm thư điện tử do bị kẻ xấu lợi dụng các phương tiện
truyền thông xã hội để lừa đảo qua mạng ( social engineering) hoặc qua các email.
 Các trò chơi xã hội như rò rỉ thông tin cá nhân hoặc khi người dùng sử dụng
một số phần mềm miễn phí qua các phương tiện truyền thông xã hội.
 Bị lộ thông tin vị trí/ bị theo dõi theo địa chỉ IP hoặc bị đánh cắp thông tin
Cách phòng chống và khắc phục sự cố:
- Đối với các ban ngành chức năng, cơ quan, tổ chức, doanh nghiệp
 Tuyên truyền, giáo dục phổ biến hệ thống pháp luật về những phương thức,
thủ đoạn mới của tội phạm sử dụng công nghệ cao nhằm nâng cao ý thức, trách nhiệm
của toàn thể người dùng đối với loại tội phạm này.
 Xây dựng chính sách pháp luật, quán triệt và triển khai thực hiện nghiêm tycs
các văn bản quy định về công tác đảm bảo an ninh, an toàn thông tin
 Sử dụng các biện pháp kỹ thuật công nghệ để tự bảo vệ trước sự tấn công của
tội phạm sử dụng CN cao
 Có cơ chế xác thực người dùng
 Khuyến cáo người dùng khi đăng nhập
- Đối với người dùng cá nhân
 Tạo thói quen kiểm tra và sử dụng mạng Internet an toàn, tránh việc truy cập
vào các đường link lạ, đường link độc hại, không an toàn.
 Hạn chế chia sẻ thông tin cá nhân trên mạng Internet. Đây là phương án đơn
giản nhưng lại là cách bảo mật hiệu quả nhất. Khi người dùng càng chia sẻ nhiều thông
tin cá nhân, sẽ càng có nhiều cơ hội cho các đối tượng thwucj hiện hành vi phạm tội.
Cách tốt nhất để BMTT cá nhân trên amngj xã hội là chia sẻ với TG càng ít thông tin
càng tốt, đặc biệt là tránh cung cấp các thông tin chi tiết như ngày sinh, SĐT, địa chỉ
email, mối quan hệ gia đình, nơi làm việc, địa chỉ riêng, các loại giấy tờ tùy thâ,…
Trong trường hợp cần chia sẻ các thông tin đó, bản thân người dùng nên có các hình
thức bảo mật khác hoặc thay đổi các thông tin tài khoản ngay sau khi cung cấp.

 Sử dụng mật khẩu đủ mạnh: Mật khẩu là phương pháp xác thực phổ biến nhất
hiện nay giúp người dùng dễ dàng đăng nhập vào tài khoản, các dịch vụ trực tuyến. Để
đảm bảo tính bảo mật người dùng nên đặt mật khẩu tối thiểu có 8 kí tự (số, ký hiệu,
dấu câu). Các ký tự phải là duy nhất, chọn lọc ngẫu nhiên và đặc biệt là không được
tuân theo một trật tự , ý nghĩa nào (tên một loài hoa, ngày sinh, SĐT,…). Cũng không
nên sử dụng cùng một mật khẩu cho 2 hoặc nhiều tài khoản.
 Cài đặt các cơ chế xác thực và kiểm tra : Để tăng tính bảo mật cho những tài
khoản quan trọng, người dùng nên kích hoạt tính năng xác thực hai bước để năng cao
tính bảo mật dữ liệu. Tránh việc kết nối vào các mạng wifi công cộng và tại các điểm
nóng. Hầu hết các điểm truy cập wifi không mã hóa thông tin người dùng gửi qua
Internet và do đó không an toàn. Nếu phải sử dụng Wifi công cộng, hãy đảm bảo sử
dụng ứng dụng mã hóa dữ liệu hoặc sử dụng VPN. Tuyệt đối tránh trao đổi những
công việc riêng tư hay thực hiện các giao dịch tài chính khi đang sử dụng wifi công
cộng. Thường xuyên cập nhập hệ thống. thường xuyên cập nhật và quét virus bằng
phiên bản mới của phần mềm diệt virus sẽ giúp bạn hạn chế tối đa nguy cơ lây nhiễm
virus vào máy tính, tăng cường khả năng phòng, chống virus cho máy tính. Để đảm
bảo an toàn cho máy tính, người dùng nên chọn các phần mềm bản quyền để cài đặt và
sử dụng lâu dài.
Theo thông tin từ The Digital kẻ tắn công (tháng 4/2020), 267 triệu đữ liệu người
dùng Facebook hiện được rao bán trên một trang web đen với giá chỉ 600 USD. Bên
cạnh đó, hơn 500 nghìn tài khoản Zoom cũng được rao bán trên các trang web đen.
Những thông tin cá nhân của người dùng bị rò rỉ là do họ đã bị tin tặc tắn công tài
khoản Facebook và lấy đi một số thông tin cá nhân. Những dữ liệu này chủ yếu đến từ
các tài khoản Facebook tại Mỹ.
Các dữ liệu người dùng bị đánh cắp không chứa mật khâu tài khoản, tuy nhiên,
nó bao gồm một số thông tin khác như họ tên đầy đủ, địa chỉ email, ngày sinh, số điện
thoại và một số thông tin định danh khác. Mặc dù chỉ là những thông tin cơ bản nhưng
nó có thê tạo ra những giao dịch thu về số tiền lớn cho các tin tặc. Đặc biệt là đối với
những cá nhân mua thông tin với mục đích lừa đảo. Từ những dữ liệu này, tin tặc có
thể dễ dàng thu thập thêm thông tin của người dùng bằng cách đóng giả thành các
công ty tuyển dụng hay ngân hàng..

với hệ thống quản trị dữ liệu (DBMS) của doanh nghiệp. Lấy ví dụ minh họa
Khái niệm
Hệ quản trị cơ sở dữ liệu (DBMS – Database Management System) là hệ thống
được xây dựng để quản lý tự động các cơ sở dữ liệu một cách có trật tự. Các hoạt động
quản lý bao gồm lưu trữ, tìm kiếm, chỉnh sửa và xóa thông tin trong một nhóm dữ liệu
nhất định.
Hệ quản trị cơ sở dữ liệu là một chương trình lưu trữ, truy xuất và chạy các truy
vấn trên dữ liệu. DBMS quản lý dữ liệu đến, tổ chức dữ liệu và cung cấp các cách để
người dùng hoặc các chương trình khác sửa đổi hoặc trích xuất dữ liệu.
Ví dụ về hệ quản trị cơ sở dữ liệu bao gồm MySQL, PostgreSQL, Microsoft
Access, SQL Server, FileMaker, Oracle, RDBMS, dataBASE, Clipper và FoxPro.
Câu 17: (Giống câu 1)
với đường truyền trên các kênh truyền thông (communication channels). Lấy ví
dụ minh họa
Khái niệm
Kênh truyền thông là con đường riêng biệt hoặc công cộng để truyền thông điệp
từ người gửi đến người nhận, từ đó thông tin được truyền tải đến đông đảo công
chúng.

Câu 20: Quy trình chung để đảm bảo an toàn cho hệ thống thông thông tin?
Lấy ví dụ minh họa
1. Xác định, nhận dạng các nguy cơ gây mất an toàn và bảo mật thông tin:
Trong bước này, phân tích trực tiếp toàn bộ hệ thống dữ liệu và thông tin, nhận
dạng, phát hiện những kẽ hở mà các tin tặc có thê lợi dụng đề tấn công gây mắt an
toàn và bảo mật thông tỉn, xác định các rủi ro, các mối hiểm họa, các nguy cơ mả
thông tin có thể gặp phải khi vận hành hệ thông thông tin. Trên cơ sở tổng hợp, lập
danh mục các nguy cơ, hiểm họa, tiến hành sắp xếp, phân loại các rủi ro mà thông tin
và hệ thống thông tin có thê gặp phải trong quá trình hoạt động; đồng thời chỉ ra các
nguy cơ đặc biệt nghiêm trọng, mức độ nguy hiểm cao. Để thực hiện tốt công đoạn
này, phải trả lời được 3 câu hỏi:
(1) Bảo vệ cái gì?
(2) Bảo vệ khỏi ai?
(3) Bảo vệ bằng cách nào?
Để tìm ra những điểm yếu hoặc lỗ hồng trong hệ thống thông tin, người quản trị
hãy xem mình như một kẻ tấn công, có gắng dự đoán được tất cả các kịch bản tấn công
có thề có đề tắn công vào chính hệ thống của mình. Một hệ thống thông tin dù hoàn
thiện đến đâu cũng không tránh khỏi những kẽ hở, những lỗ hỏng, dù là rất nhỏ, trong
khi đó, các kỹ thuật tấn công ngày càng phát triên, các đôi tượng xâm phạm ngày càng
thông minh, thủ đoạn ngày càng tỉnh vi, vì vậy những người quản trị an toàn và bảo
mật thông tin càng ngày càng gặp nhiều khó khăn trong các biện pháp phòng chống và

phục hồi, đòi hỏi phải không ngừng nâng cao trình độ, năng lực đê kịp thời đối phó với
những tình huống mới.
2. Phân tích, đánh giá các nguy cơ gây mắt an toàn và bảo mật thông tin
Sau khi đã xác định được những điêm yếu, những kẽ hở, những lỗ hồng và phân
tích các nguy cơ có thẻ bị tân công của hệ thông thông tin, người quản trị an toàn và
bảo mật thông tin tiễn hành nghiên cứu, phân tích từng mối nguy cơ, hiểm họa đã được
nhận dạng, chỉ ra nguyên nhân của chúng. Đồng thời đánh giá, đo lường mức độ tôn
thất, thiệt hại, chỉ phí sẽ phải bỏ ra để tiến hành khắc phục các lỗ hồng đã phát hiện
cũng như chỉ phí cho thiệt hại khi xảy ra tắn công; đánh giá nhằm tìm các giải pháp,
biện pháp phòng tránh, loại bỏ hoặc hạn chế, giảm nhẹ thiệt hại.
Ngoài ra, khi hệ thống dữ liệu bị tấn công thì cần nhanh chóng xác định rõ là bị
tấn công từ đâu và tấn công bằng cách nào đề có thê đưa ra các biện pháp khắc phục
trong thời gian nhanh nhất.
3. Lựa chọn giải pháp đảm bảo an toàn và bảo mật thông tin
Trên cơ sở đánh giá tắt cả các yếu tố: độ toàn, tính khả thi, chỉ phí.... người quản
trị an toàn và bảo mật thông tin lựa chọn trong số những giải pháp, biện pháp đã được
đánh giá, đẻ đưa ra giải pháp thích hợp nhất, xác định các phương pháp và phương
tiện, công cụ đảm bảo an toàn và bảo mật cho thông tin, dữ liệu khi bị tấn công gây
mắt an toàn cũng như cho việc hàn gắn các lỗ hông của hệ thống dữ liệu hoặc khắc
phục hỏng hóc khi thông tin đã bị tắn công, mất an toàn và bảo mật. Trong trường hợp
hệ thống thông tin đã bị tắn công gây mất an toàn và bảo mật cho thông tin thì cần lựa
chọn nhanh nhất một giải pháp đề giảm bớt các tôn thất, ngăn chặn các cuộc tắn công
tương tự và xây dựng biện pháp đảm bảo an toàn ở mức cao hơn cho hệ thống thông
tin nhằm hạn chế những thiệt hại về sau.

Câu 21: An toàn và bảo mật thông tin là gì? Vì sao an toàn và bảo mật thông
tin lại đóng vai trò quan trọng trong DN hiện nay?
 An toàn:
 Là sự đảm bảo yên ổn hoàn toàn, không gặp trắc trở, không bị nguy hiểm về
tính mạng, sức khỏe và vật chất
 Là sự ổn định, phát triển bền vững, tránh được các thiệt hại về vật chất và con
người
 Là sự thoải mái về tâm lý, sự yên tâm về thể xác, tâm hồn và tài sản
 An toàn thông tin là hành động ngăn cản, phòng ngừa sự sử dụng, truy cập,
tiết lộ, chia sẻ, phát tán, ghi lại or phá hủy thông tin chưa có sự cho phép
 Một hệ thống thông tin được cho là an toàn khi:
+ Đảm bảo an toàn thông tin
+ Đảm bảo hệ thống có khả năng hoạt động liên tục
+ Đảm bảo khả năng phục hồi khi gặp sự cố
 Bảo mật thông tin:

- Đảm bảo tính bí mật: đảm bảo thông tin đó là duy nhất, chỉ những người được
cho phép mới được tiếp cận đến.
VD Trong hệ thống ngân hàng, một khách hàng được phép xem thông tin số dư
tài khoản của mình nhưng không được phép xem thông tin của khách hàng khác.
 Đảm bảo tính toàn vẹn: Đảm bảo sự hoàn chỉnh, toàn diện của thông tin
VD: Trong hệ thống ngân hàng, không cho phép khách hàng tự thay đối thông tin
số dư của tài khoản của mình.
 Đảm bảo tính chính xác: Thông tin đưa ra phải chính xác, đầy đủ, không được
sai lệch hay không được vi phạm bản quyền nội dung
VD: Trong hệ thống ngân hàng, phải đảm bảo thông tin của khách hàng là chính
xác, không được sai lệch cũng như trùng thông tin với khách hàng khác
 Đảm bảo tính sẵn sàng: Thông tin luôn phải sẵn sàng, có thể được cung cấp ở
bất cứ đâu, bất cứ khi nào khi có yêu cầu
VD: Trong hệ thống ngân hàng, cần đảm bảo rằng khách hàng có thể truy vấn
thông tin số dư tài khoản bất kỳ lúc nào theo như quy định.
 An toàn và bảo mật thông tin đóng vai trò quan trọng trong DN hiện nay vì:
An toàn và bảo mật thông tin đóng vai trò quan trọng đối với sự phát triển bền
vững, liên quan tới sự sống còn của các tổ chức, doanh nghiệp này.
Thông tin là tài sản vô giá của DN. Đó có thể là thông tin về nhân viên, khách
hàng or thông tin về việc nghiên cứu thị trường hay sản phẩm mới. Việc nắm bắt thông
tin nhanh chóng và kịp thời giúp cho DN, cá nhân có thể có được những chiến lược
hoạt động đúng đắn.
Rủi ro về thông tin của mỗi DN có thể gây thất thoát tiền bạc, tài sản, con người
và gây thiệt hại đến uy tín, hoạt động kinh doanh của DN
Xây dựng một HTTT an toàn giúp cho việc quản lý hệ thống trở nên dễ dàng và
minh bạch hơn, giảm thiểu chi phí quản lý và hoạt động của DN, nâng cao uy tín, tạo
điều kiện thuận lợi cho sự hội nhập một môi trường thông tin lành mạnh.
Câu 22: Trình bày ngắn gọn các xu hướng tấn công được dự đoán trong
năm nay?
 Hướng mục tiêu vào khu vực những nhà cung cấp tư nhân
Năm 2022 cùng với việc phát triển và sử dụng những thiết bị và phần mềm giám
sát do các nhà cung cấp tư nhân phát triển ngày càng được chú ý. Thông qua những

khả năng sinh lời của các doanh nghiệp cũng như các tác động của các phần mêm thiết
bị với những đối tượng được nhắm mục tiêu. Nhiều chuyên gia cho rằng các nhà cung
cấp phần mềm sẽ đóng một vai trò lớn hơn rất nhiều.
Trong khi đó, các nhà cung cấp phần mềm độc hại và ngành công nghiệp bảo mật
tấn công sẽ hướng đến việc hỗ trợ những người dùng cũ nhưng cũng là những người
dùng mới trong hoạt động của họ.
 Gia tăng mục tiêu vào các thiết bị di động
Phần mềm độc hại nhắm mục tiêu vào các thiết bị di động đã xuất hiện trên
tin tức trong hơn một thập kỷ qua.
Cho đến nay, hai hệ điều hành phổ biến nhất cho thiết bị di động là iOS và
Android. Trong khi iOS dựa trên một App Store đóng, chỉ cho phép các ứng
dụng đã được kiểm duyệt, thì Android cho phép người dùng cài đặt ứng dụng
của bên thứ ba trực tiếp trên thiết bị. Điều này đã dẫn đến sự khác biệt lớn về
loại phần mềm độc hại nhắm mục tiêu vào hai nền tảng này; trong khi các thiết
bị đầu cuối dựa trên Android đang bị cản trở bởi rất nhiều phần mềm độc hại ,
iOS chủ yếu nằm trong nhóm hoạt động gián điệp mạng tiên tiến được nhà nước
bảo trợ.
Theo quan điểm của những kẻ tấn công, thiết bị di động là mục tiêu lý
tưởng, chúng chứa thông tin chi tiết về cuộc sống riêng tư của chủ nhân và rất
khó để ngăn chặn hoặc phát hiện các bệnh lây nhiễm.
Gia tăng các cuộc tấn công chuỗi cung ứng
Các chuyên gia đã nhận thấy một số cuộc tấn công chuỗi cung ứng đáng
chú ý trong năm nay và đã thảo luận về việc các tác nhân đe dọa APT áp dụng
phương pháp này ở trên. Tội phạm mạng lợi dụng những điểm yếu trong cách
bảo mật của các nhà cung cấp để thu thập thông tin khách hàng của công ty bị
xâm phạm.
Các ví dụ nổi bật bao gồm cuộc tấn công vào hệ thống đường ống dẫn dầu
của Hoa Kỳ vào tháng 5, cuộc tấn công vào một nhà sản xuất thịt toàn cầu vào
tháng 6 và nhắm mục tiêu vào các Nhà cung cấp dịch vụ được quản lý MSP và
khách hàng của họ vào tháng 7. Các cuộc tấn công như vậy thể hiện sự vi phạm

lòng tin ở đâu đó trong chuỗi cung ứng và chúng đặc biệt có giá trị đối với
những kẻ tấn công, vì chúng cung cấp một bước đệm cho nhiều mục tiêu khác.
Do đó, các cuộc tấn công chuỗi cung ứng sẽ là một xu hướng phát triển vào năm
2022.
 Tiếp tục khai thác lỗ hổng WFH (Work From Home)
Bất chấp việc nới lỏng các quy định về ngăn chặn đại dịch ở nhiều nơi khác nhau
trên thế giới, nhiều nhân viên vẫn tiếp tục làm việc tại nhà trong tương lai gần. Điều
này sẽ tiếp tục tạo cơ hội cho những kẻ tấn công xâm phạm mạng công ty, bao gồm
việc sử dụng kỹ nghệ xã hội để đánh cắp thông tin đăng nhập và các cuộc tấn công dồn
dập vào các dịch vụ của công ty, với hy vọng tìm thấy các máy chủ được bảo vệ kém.
Ngoài ra, khi nhiều người tiếp tục sử dụng thiết bị của riêng họ, thay vì các thiết
bị bị khóa bởi nhóm CNTT của công ty, những kẻ tấn công sẽ tìm kiếm cơ hội mới để
khai thác các máy tính gia đình không được bảo vệ hoặc chưa được vá lỗi, làm vật
trung gian xâm nhập vào mạng công ty.
 Bùng nổ các cuộc tấn công chống lại bảo mật đám mây và các dịch vụ thuê
ngoài
Ngày càng có nhiều công ty kết hợp điện toán đám mây trong các mô hình kinh
doanh của họ do sự tiện lợi và khả năng mở rộng mà chúng mang lại.
Mô hình này gần đây mang hàm ý bảo mật tuy nhiên phần lớn các nhà phát triển
hiểu không đầy đủ nên cho đến nay vẫn chưa thực sự điều tra ra các cuộc tấn công đó.
Dự đoán này liên quan đến các dịch vụ thuê ngoài như chỉnh sửa tài liệu trực
tuyến, lưu trữ tệp, lưu trữ email,…. Các nhà cung cấp đám mây bên thứ ba hiện tập
trung đủ dữ liệu để thu hút sự chú ý của các tác nhân nhà nước và sẽ trở thành mục
tiêu chính trong các cuộc tấn công tinh vi.
 Sự trở lại của các cuộc tấn công cấp thấp: bootkit lại nóng trở lại
Tin tặc thường tránh các thiết bị tấn công cấp thấp do có nguy cơ gây ra lỗi hệ
thống và sự phức tạp cần thiết để tạo ra chúng. Các báo cáo được Kaspersky công bố
trong suốt năm 2021 chỉ ra rằng nghiên cứu tấn công về bootkit vẫn tồn tại; lợi ích vô
hình hiện vượt trội hơn rủi ro hoặc phát triển cấp thấp đã trở nên dễ tiếp cận hơn. Các
chuyên gia hy vọng sẽ khám phá ra nhiều thiết bị cấy ghép tiên tiến hơn thuộc loại này
vào năm 2022. Ngoài ra, khi Khởi động an toàn ngày càng phổ biến, những kẻ tấn

công sẽ cần phải tìm ra các khai thác hoặc lỗ hổng trong cơ chế bảo mật này để vượt
qua nó và tiếp tục triển khai các công cụ của chúng.
Câu 23: Trong các nguy cơ mất an toàn thông tin trong doanh nghiệp thì
những nguy cơ nào hiện nay ít được để ý đến nhất? Vì sao?
Trong các nguy cơ mất an toàn thông tin trong doanh nghiệp thì những nguy cơ
hiện nay ít được để ý đến nhất là:
- Các nguy cơ từ thiên nhiên như hỏa hoạn, lũ lụt, động đất, sét, sóng thần
- Bị phá hoại: Bị cố ý phá hoại làm hỏng hóc HTTT như sự tấn công từ con
người, các HT điều khiển làm ngừng hoạt động của HT
- Trộm cắp: Bị trộm cắp các tbi vật lý, tbi lưu trữ thông tin, tbi mạng,...
- Hỏng hóc or lỗi của tbi phần cứng
- Các tbi công nghệ lỗi thời, không được cập nhật kịp thời cũng làm cho các
HTTT không được an toàn khi vận hành
Vì:
- đây là nhóm nguy cơ xảy ra bất người, khó biết trước, khó nắm bắt.
- do sự bất cẩn, chủ quan của một số cá nhân gây mất ATTT,
- do hacker ngày càng tinh vi, hình thức tấn công đa dạng hơn nên khó phòng
tránh
- thiên tai ít ảnh hưởng nhiều tới một số DN
Câu 24: Trình bày các nguy cơ mất an toàn trong HTTT TMĐT? Vì sao các
hệ thống thông tin thương mại điện tử lại dễ bị tấn công hơn các hệ thống thông
tin khác?
 Các nguy cơ mất an toàn trong HTTT TMĐT:
- Vấn đề về bảo mật sự riêng tư:
Sự riêng tư bị xâm phạm là một trong những vấn đề phức tạp nhất mà các doanh
nghiệp tmđt phải đối mặt. Nếu không bảo mật quyền riêng tư tốt cho KH, các hacker
có thể thu thập thông tin website, dữ liệu nhân viên, khách hàng và lấy trộm.
Vào cuối tháng 3 năm 2017, một số vụ đánh cắp tài khoản của KH đã diễn ra khi
các hacker mạo danh là bên thứ 3 và mua hàng tại website tmđt Amazon. Hiện tại, bất
kì rủi ro nào cũng có thể xảy ra dưới hình thức tmđt nằm trong tay nhà cung cấp, VD:
paypal, Amazon, tiki, lazada,…
- Sự từ chối các dịch vụ:

Các cuộc tấn công (dos) là một vấn đề nghiêm trọng mà các DN, TC ngành tmđt
đã và đang phải đối mặt hàng ngày. Chúng chỉ nhằm vào những tổ chức lớn như:
amazon, Shopee, Tiki, Lazada,.. hoặc các cty thẻ tín dụng.
Khi bị tấn công dos, hàng loạt các giao dịch, dịch vụ đều bị từ chối và trong thời
gian ngắn, mạng trở nên chậm đến “nghẹt thở” và người dùng khó có thể truy cập vào
website đó hoặc khó tiếp tục giao dịch.
- Phishing:
Phishing là hình thức lừa đảo mà hacker thiết lập 1 trang web giống như một bản
sao của trang web tmđt gốc và sau đó ăn cắp dữ liệu bí mật từ cá nhân or tổ chức. Một
khi thông tin cá nhân của nạn nhân được xác thực khi người dùng gõ vào, hacker có
thể sd thông tin này để lấy cắp danh tính của họ. Khi website đã bị tấn công, hacker sẽ
thay đổi website làm cho trang web không thể sd được sau đó.
Qua nhiều năm, hình thức tấn công phishing lừa đảo này đã ảnh hưởng tiêu cực
đến sự tin tưởng và mối quan hệ giữa khách hàng với nhà cung cấp trực tuyến.
 Các doanh nghiệp trực tuyến phải thực hiện những chính sách bảo mật cùng
với các quy trình mã hóa và xác thực mạnh mẽ để có thể đứng vững trước những sự cố
về bảo mật, an ninh mạng. Bên cạnh đó, DN, cty tmđt cần sd dvu an ninh mạng, dv
bảo mật thường xuyên để bảo vệ toàn diện website của mình.
 Các hệ thống thông tin thương mại điện tử lại dễ bị tấn công hơn các hệ thống
thông tin khác vì:
- Lợi nhuận từ TMĐT luôn là nguồn thu nhập hấp dẫn đối với các tên tội phạm
khi mà còn có nhiều DN thiếu kinh nghiệm về bảo mật trong TMĐT cùng với khung
pháp luật cho loại tội phạm này là chưa đủ
- Do cá nhân người tham gia chưa nhận thức được tầm quan trọng của việc bị
đánh cắp thông tin, cũng như kiến thức về bảo mật còn hạn chế
Câu 25: Hãy trình bày và giải thích các phương pháp xác định nguy cơ mất
an toàn trong các hệ thống thông tin hiện nay? Lấy ví dụ minh họa
Phương pháp chung để nhận dạng, xác định nguy cơ gây mất AT và BMTT trong
HTTT là thực hiện theo quy trình chung gồm 6 bước sau:
 B1: Lập kế hoạch và tổ chức thực hiện
- Thực hiện theo nguyên tắc quản lý dự án, bắt đầu bằng cách tổ chức một nhóm
or một đội,

- Quá trình nhận dạng, xác định rủi ro cho thông tin phải được lên kế hoạch,
thực hiện định kỳ, có các bản đánh giá chi tiết và báo cáo cụ thể gửi bộ phận lãnh đạo,
quản lý của TC, DN
- Thực hiện theo từng bước: xác định các nvu, tổ chức phân công thực hiện, sắp
xếp thời gian biểu cụ thể
 B2: Phân loại các thành phần trong HTTT
- Con người bao gồm: Nhân viên, những cộng sự tgia vào vận hành, khai thác
hệ thống và KH. Trong tổ chức, DN thường có 2 nhóm nv: nhóm những người có
thẩm quyền, có trách nhiệm cao và nhóm các nv bình thường
- Các thủ tục bao gồm các quy trình, thủ tục đã được ban hành và các quy trình,
thủ tục nhạy cảm chưa được xđ bằng văn bản cụ thể
- Dữ liệu trong HTTT bao gồm toàn bộ DL đang lưu trữ, sd trong HT, các DL
tgia vào các quy trình xử lý và các dữ liệu đang được truyền trên kênh truyền
- Phần mềm trong HTTT bao gồm các phần mềm ứng dụng, điều hành, chuyên
dụng, bảo mật,…
- Các tbi phần cứng bao gồm: các tbi phần cứng máy tính, các tbi phần cứng
mạng, các tbi bảo vệ và các tbi ngoại mạng khác của tổ chức, DN
 B3: Phân loại các tài nguyên trong HT
Các tài nguyên liên quan đến ATVBMTT trong HTTT là cả 5 thành phần của
HTTT:
- Nhân sự tgia vào hoạt động của HTTT thường được đánh số, cấp mã or chỉ
mục theo số hiệu, chức danh, phòng ban, vị trí làm việc
- Các quy trình thủ tục cần được mô tả cụ thể, rõ ràng mục đích, phạm vi, mối
quan hệ với các phần cứng, phần mềm, vị trí lưu trữ, các bản sao nếu có
- Các dữ liệu cần lưu trữ và xử lý trong HT cũng cần được phân loại theo chủ sở
hữu, người tạo ra, người quản lý, kích thước của cấu trúc DL, vị trí lưu trữ ở đâu, ai có
thể sd
- Đối với phần cứng, phần mềm, HT mạng: cần xđ rõ các thành phần của các tbi
 B4: Xác định độ ưu tiên dựa trên vai trò, sự quan trọng của các tài nguyên
Cách phân loại và đánh giá phải được lựa chọn sao cho chúng bao hàm hết được
các mức độ và không bị chồng chéo or loại trừ lẫn nhau

Các bước thường tiến hành thực hiện là: đánh giá thông tin, xác định độ ưu tiên,
xác định mối đe dọa dựa trên các nhóm, xác định các lỗ hổng và xd tài liệu đánh giá
 B5: Xác định hay nhận dạng các mối đe dọa
Mối đe dọa kiểu vecto là một thuật ngữ dùng để mô ta nơi một mối đe dọa bắt
nguồn và con đường cần thiết phải đi qua để mục tiêu tấn công đạt được
VD: Một thông điệp qua thư điện tử được gửi từ bên ngoài tổ chức cho một nhân
viên bên trong tổ chức, thư điện tử có một tập tin đính kèm chứa một đoạn mã độc
Trojan, khi người nhận mở ra se kích hoạt mã độc Trojan hoạt động. Ở đây, nguồn gốc
của nguy cơ là tệp tin và đường dẫn đến mục tiêu là thư điện tử
 B6: Đặc tả lỗ hổng của các tài nguyên
Các nguồn và mục tiêu của các mối đe dọa thường chia vào các nhóm: Phòng
ngừa, phát hiện, ngăn chặn, khắc phục, phục hồi, bồi thường
Câu 26: Mục tiêu của an toàn và bảo mật thông tin trong doanh nghiệp là gì
(câu 3)? Lấy ví dụ minh họa(câu 8)
 An toàn và bảo mật thông tin là:
- An toàn thông tin là hành động ngăn cản, phòng ngừa sự sử dụng, truy cập,
tiết lộ, chia sẻ, phát tán, ghi lại or phá hủy thông tin chưa có sự cho phép
- Bảo mật thông tin là duy trì tính bí mật, tính toàn vẹn, toàn diện và tính sẵn
sàng cho toàn bộ thông tin
 Mục tiêu của ANBMTT trong DN
- Phát hiện các lỗ hổng của HTTT cũng như dự đoán trước những nguy cơ tấn
công vào thông tin của tổ chức, DN gây mất ATTT
- Ngăn chặn những hành động gây mất ATTT và BMTT từ bên trong, ngoài của
TC, DN
- Phục hồi kịp thời các tổn thất của TC, DN trong trường hợp HTTT bị tấn công
gây mất an toàn và bảo mật thông tin, nhằm đưa hệ thống thông tin trở lại hoạt động
bình thường trong thời gian sớm nhất.
 Ví dụ minh họa:
Hệ thống tmđt Sendo đã tập trung đầu tư vào hệ thống bảo mật của mình.
Website Sendo.vn đã được tích hợp giao thức SSL cho phép truyền đạt thông tin một
cách bảo mật và an toàn qua mạng. Để loại trừ việc nghe trộm các thông tin “nhạy
cảm” được truyền qua Internet, dữ liệu phải được mã hóa để không bị đọc bởi những

người khác ngoài người gửi và người nhận. Công cụ được tích hợp sâu vào trong hệ
thống bao gồm các hoạt động: xác thực, mã hóa, toàn vẹn dữ liệu.
Câu 27: Trình bày các hình thức tấn công thụ động và nêu biện pháp phòng
tránh? Trình bày các hình thức tấn công chủ động và nêu biện pháp phòng tránh
?
 Các hình thức tấn công thụ động
- KN: Tấn công thụ động là kiểu tấn công mà đối tượng bị tấn công không biết
minh đang bị tấn công, tin tặc không tác động trực tiếp đến HT hay mục tiêu tấn công
mà chỉ nghe, xem, đọc nội dung mà không làm thay đổi nd thông điệp.
- Ví dụ: Nghe lén dữ liệu
Thông điệp đang được truyền từ Bob sang Alice. Darth nghe trộm được nhưng
không thay đổi được nội dung của thông điệp.
- Nghe trộm đường truyền:

+ Là phương thức tấn công chủ yếu trong loại hình tấn công thụ động
+ Kẻ nghe lén thông qua các dịch vụ mạng xen ngang quá trình truyền thông điệp
giữa 2 máy nguồn và máy đích, qua đó có thể rút ra được những thông tin quan trọng.
+ Các dạng của nghe trộm đường truyền bao gồm: nghe trộm (Packet Sniffer),
nghe trộm Password, xem lén thư tín điện tử
+ Biện pháp phòng tránh:
 Bảo mật đường truyền: sd các giao thức SSL, SET, WEP
 Mã hóa dữ liệu: Sử dụng các phương thức mã hóa, cơ chế dùng chữ kí điện tử
- Phân tích lưu lượng:
+ Phương pháp này dựa vào sự thay đổi của lưu lượng của luồng thông tin nhằm
xác định được một số thông tin có ích, thường được dùng trong các nhiệm vụ do thám
chiến tranh, sử dụng khi dữ liệu đã bị mã hóa mà không thể giải mã được
+ Biện pháp phòng tránh: thường xuyê độn thêm dữ liệu thừa vào luồng thông tin
lưu chuyển trên mạng
 Tấn công chủ động:
- Kn: Tấn công chủ động là loại hình tấn công có chủ ý, có sự tác động trực tiếp
lên nội dung của thông điệp bao gồm cả việc sửa đổi dữ liệu trong khi truyền từ người
nhận đến người gửi

- Ví dụ: Giả mạo người gửi
Bob và Alice đã trao đổi thông tin với nhau từ trước. Darth phát hiện ra bằng
cách nào đó giả mạo Bob rồi gửi thông điệp cho Alice (chỉ áp dụng với mạng bảo mật
kém, không có mã hóa hay xác thực). Các thông báo giả mạo để lấy user và pass để
xâm nhập vào máy chủ hệ thống.
- Giả mạo người gửi: lấy cắp tài khoản, mật khẩu, phá hủy dữ liệu
Biện pháp phòng tránh: sử dụng những phương pháp để xác thực cả hai bên gửi
và nhận, mã hóa thông điệp trước khi gửi, sử dụng chữ kí điện tử
- Giả mạo địa chỉ: kiểu tấn công mà máy tính của kẻ tấn công sẽ giả mạo tự đặt
địa chỉ IP của mình trùng với một địa chỉ nào đó ở mạng bên trong
Biện pháp phòng tránh: Dùng danh sách kiểm soát việc truy cập để ngăn chặn
những gói tin dữ liệu tải về có địa chỉ IP cá nhân. Cài đặt bộ lọc dữ liệu đi vào và đi ra
khỏi hệ thống mạng.
- Thay đổi thông điệp: kẻ tấn công không lấy cắp hoàn toàn mà chỉ chặn và sửa
đổi thông điệp nào đó rồi gửi cho phía nhận
Biện pháp phòng tránh: đảm bảo tính toàn vẹn cho thông điệp, mã hóa thông điệp
trước khi gửi
- Tấn công làm trễ hay tấn công lặp lại: kẻ tấn công lưu lại một thông điệp mà
hắn bắt được trước đó, chờ thời gian và gửi lại cho bên nhận
Biện pháp phòng tránh: sử dụng mã hóa or chữ kí điện tử có thêm thời gian gửi
vào trong thông báo
Câu 29: Bảo mật kênh truyền là gì? Vì sao cần bảo mật kênh truyền tin? Có
những cơ chế bảo mật kênh truyền nào?
 Bảo mật kênh truyền: là việc bảo mật các dữ liệu khi chúng được truyền trên
kênh truyền thông
 Cần bảo mật kênh truyền tin vì:
Dữ liệu thường bị mất an toàn và dễ bị tấn công nhất trong khi truyền giữa người
gửi và người nhận. Hầu hết các phương pháp tấn công nhằm vào DL đều thực hiện
trong quá trình giao dịch qua các phương tiện điện tử đặc biệt là trong môi trường
không dây. Kẻ tấn công có thể bắt được cũng như có thể can thiệp vào các gói tin bất
cứ lúc nào khi chúng muốn miễn là nằm cùng trong một vùng phủ sóng. Trên môi
trường internet, thông tin trước khi được truyền từ máy chủ đến máy người sử dụng

phải trải qua nhiều router trung gian, hacker chỉ cần đột nhập vào một trong các router
này là có thể lấy được gói tin một cách dễ dàng.
=> Bảo mật kênh truyền là việc làm rất quan trọng đặc biệt là trong giao dịch
điện tử.
 Những cơ chế bảo mật kênh truyền:
- Giao thức SSL: được sd rộng rãi trong các giao dịch thanh toán qua mạng, hỗ
trợ bởi hầu hết các trình duyệt và các phần mềm phía server, mọi hoạt động của SSL
đều trong suốt với người sử dụng
- Giao thức SET: đảm bảo tính chính xác và tính toàn vẹn của thông tin; do
khóa dùng để mã hóa và giải mã được mã bằng phương pháp khóa công khai nên khả
năng bị bẻ khóa là rất khó xảy ra; có cơ chế xác thực cho cả hai phía gửi và nhận tin
thông qua các chứng thực điện tử nên giảm được tình trạng lừa đảo trên mạng; sự xác
nhận các thông tin về tài khoản là do các ngân hàng trung gian thực hiện nên người
dùng không sợ lộ các thông tin về tài khoản của mình khi tiến hành các giao dịch trên
mạng.
- Giao thức WEP: cung cấp tính bảo mật và toàn vẹn của thông tin trên mạng
không dây; được xem như là một phương pháp kiểm soát truy cập
- Tường lửa: bảo vệ HT khỏi các dịch vụ không cần thiết trên mạng internet;
điều khiển việc truy cập vào các tài nguyên trong hệ thống; tạo ra cơ chế bảo vệ tập
trung; thống kê lại lưu lượng các giao dịch ra bên ngoài và kiểm soát được các giao
dịch đó; bảo vệ mạng nội bộ khỏi bị xác định bởi bên ngoài; tạo ra các chính sách bảo
mật đối với toàn bộ HT mạng và yêu cầu mọi người đều phải tuân theo.
Câu 30: Khi máy tính của bạn bị nhiễm các mã độc, bạn cần làm gì để loại
bỏ chúng khỏi máy tính? Vì sao càng ngày càng khó phòng tránh những loại mã
độc này?
 Khi máy tính bị nhiễm các mã độc, các cách để loại bỏ mã độc khỏi máy
tính:
- Cách 1: Dùng phần mềm diệt virus chính hãng quét trong khi đó thì phần mềm
này đã được cập nhật thường xuyên.
- Cách 2:
Bước 1: Nếu tìm thấy mã độc trong máy, ngắt kết nối máy ra khỏi internet và
ngưng sử dụng.

Bước 2: Đăng nhập vào một máy khác sạch và an toàn rồi đổi các mật khẩu
- Cách 3: cài đặt lại hệ điều hành trong máy để tháo gỡ mã độc.
 Càng ngày càng khó phòng tránh các loại mã độc này. Vì:
- Mã độc tinh vi ngày càng nhiều với nhiều cách xâm nhập khác nhau nhiều khi
người bị nhiễm mã độc còn không biết là máy tính, thiết bị di động của mình đã bị
nhiễm.
- Đánh vào lòng tham của con người (tin tặc sẽ gửi email thông báo cho người
dùng rằng họ đã thắng một cuộc thi và cần thông tin về tài khoản ngân hàng trực tuyến
của họ). Hoặc họ đã bỏ lỡ đơn hàng nào đó, hay thông báo về việc bạn cần nộp thuế…
và một số thông điệp khác có thể gây sốc khiến bạn vì tò mò hoặc lo sợ mà nhấp vào
liên kết để biết thêm thông tin. Sau đó, thiết bị của bạn đã kích hoạt các loại mã độc.
Trojan hay Ransomware thường hay sử dụng cách này.
- Với những kẻ tấn công có mục tiêu cụ thể, các email sẽ được thiết kế riêng để
thu hút những người trong một tổ chức hoặc một cá nhân nào đó. Đây là cách lây
nhiễm phức tạp nhất.
Câu 31: Tấn công từ chối dịch vụ là gì? Trình bày đặc trưng của các kiểu
tấn công từ chối dịch vụ phổ biến hiện nay? Vì sao hiện nay tấn công từ chối dịch
vụ rất khó phòng tránh?
 Tấn công từ chối dịch vụ: là tên gọi chung của kiểu tấn công làm cho một hệ
thống nào đó bị quá tải dẫn tới không thể cung cấp dịch vụ, hoặc phải ngưng hoạt
động. Đối với các HT được bảo mật tốt, khó thâm nhập, tấn công từ chối dịch vụ được
kẻ tấn công sử dụng như một cú dứt điểm để triệt hạ HT đó
 Đặc trưng của các kiểu tấn công từ chối dịch vụ phổ biến hiện nay :
- SYN Attack: là một trong những kiểu tấn công DoS kinh điển nhất, lợi dụng
sơ hở của giao thức TCP trong “bắt tay ba bước”. Kiểu tấn công này làm cho client
không hồi đáp được cho server và có càng nhiều client như thế trong khi server vẫn lặp
lại việc gửi packet đó và giành không gian để chờ trong lúc tài nguyên của hệ thống là
có giới hạn
- Flood attack: là kiểu tấn công DoS cũng hay được dùng vì tính đơn giản của
nó và vì có rất nhiều công cụ sẵn có hỗ trợ đắc lực cho kẻ tấn công là Flood attack, chủ
yếu thông qua các web.

- Smurf attack: Thủ phạm sinh ra cực nhiều giao tiếp ICMP tới địa chỉ
Broadcast của các mạng với địa chỉ nguồn là mục tiêu cần tấn công
- Tấn công từ chối dịch vụ phân tán (DdoS): kẻ tấn công tìn cách chiếm dụng và
điều khiển nhiều máy tính or mạng máy tính trung gian từ nhiều nơi để đồng loạt gửi
ào ạt các gói tin với số lượng rất lớn
- Tấn công từ chối dịch vụ phản xạ (DRDoS): là loại hình nguy hiểm nhất. HT
các máy dùng để tấn công bao gồm: Attacker, Master, Slave, Reflecter
 Tấn công từ chối dịch vụ rất khó phòng tránh vì:
- Do nhiều người đang dùng các phần mềm crack hay phần mềm lậu được chia
sẻ tràn lan trên mạng bị chèn mã độc, virus.
- Thủ đoạn tinh vi
Câu 32: Giả sử A đang gửi một thông điệp đã được mã hóa cho B. Các hình
thức tấn công thụ động nào sẽ ảnh hưởng đến nội dung thông điệp của A? Hãy
giải thích?
 Kn: Tấn công thụ động là kiểu tấn công mà đối tượng bị tấn công không biết
mình đang bị tấn công. Trong kiểu tấn công này, tin tặc không tác động trực tiếp đến
HTTT hay mục tiêu mà chỉ nghe, xem, đọc nội dung mà không làm thay đổi nội dung
thông điệp
 Các hình thức tấn công thụ động ảnh hướng đến nội dung thông điệp của A
bao gồm:
- Nghe trộm đường truyền: tin tặc có thể sử dụng các thiết bị bắt sóng Wifi trên
đường truyền, phá vỡ hệ thống bảo vệ kết nối qua Internet không dây để đánh cắp
thông tin nhạy cảm. Sử dụng phần mềm Packet Sniffer để bắt toàn bộ gói tin bên trong
một mạng LAN
- Phân tích lưu lượng: với những phương pháp mã hóa tiên tiến hiện nay, việc
dò ra được khóa để giải mã thông tin gần như không thể thực hiện được. Tuy nhiên,
việc truyền dữ liệu chưa hẳn đã an toàn. Kẻ tấn công không giải mã được dữ liệu
nhưng vẫn có khả năng sử dụng pp phân tích lưu lượng để tấn công HT. PP này dựa
vào sự thay đổi lưu lượng của luồng thông tin nhằm xđ được một số thông tin có ích

Câu 33: Tường lửa là gì? Trình bày các loại tường lửa phổ biến hiện nay?
Trình bày đặc trưng và xu hướng phát triển của các loại tường lửa hiện nay?
 Tường lửa: là một bức rào chắn giữa mạng nội bộ (local network) với một
mạng khác (chẳng hạn như Internet), điều khiển lưu lượng ra vào giữa hai mạng này.
Nếu như không có tường lửa thì lưu lượng ra vào mạng nội bộ sẽ không chịu bất kỳ sự
điều tiết nào, còn một khi tường lửa được xây dựng thì lưu lượng ra vào sẽ do các thiết
lập trên tường lửa quy định.
Tường lửa chính là công cụ thực thi chính sách an toàn mạng máy tính bằng cách
định nghĩa các dịch vụ và các truy cập được phép hoặc bị ngăn cản.
 Các loại tường lửa phổ biến hiện nay:
- Phân loại theo phạm vi của các truyền thông được lọc, có các loại sau:
+ Tường lửa cá nhân hay tường lửa máy tính, một ứng dụng phần mềm với chức
năng thông thường là lọc dữ liệu ra vào một máy tính đơn.
+ Tường lửa mạng, thường chạy trên một thiết bị mạng hay máy tính chuyên
dụng đặt tại ranh giới của hai hay nhiều mạng hoặc các khu phi quân sự (mạng con
trung gian nằm giữa mạng nội bộ và mạng bên ngoài). Một tường lửa thuộc loại này
lọc tất cả truyền thông dữ liệu vào hoặc ra các mạng được kết nối qua nó.
- Khi phân loại theo các tầng giao thức nơi giao thông dữ liệu có thể bị chặn,
có ba loại tường lửa chính:
+ Tường lửa tầng mạng:
Ví dụ iptables.
+ Tường lửa tầng ứng dụng
Ví dụ TCP Wrappers.
+ Tường lửa ứng dụng.
Ví dụ: hạn chế các dịch vụ ftp bằng việc định cấu hình tại tệp /etc/ftpaccess.
- Phân loại theo tiêu chí rằng tường lửa theo dõi trạng thái của các kết nối
mạng hay chỉ quan tâm đến từng gói tin một cách riêng rẽ, có hai loại tường lửa:
+ Tường lửa có trạng thái (Stateful firewall)
+ Tường lửa phi trạng thái (Stateless firewall)
 Đặc trưng của các loại tường lửa hiện nay:
- Là kỹ thuật được tích hợp vào mạng để chống lại sự truy cập trái phép, nhằm
bảo vệ nguồn thông tin nội bộ, hạn chế xâm nhập

- Thường được xây dựng trên HT mạnh, chịu lỗi cao
- Là thiết bị nằm giữa mạng nội bộ Intranet (công ty, tổ chức, quốc gia,..) Và
internet
 Xu hướng phát triển
Khi công nghệ xung quanh chúng ta phát triển, tường lửa cũng cần được đưa lên
đám mây để bắt kịp xu hướng. Đó chính là lý do thuật ngữ cloud firewall (tường lửa
điện toán đám mây) ra đời. Tường lửa dựa trên đám mây có nghĩa là các doanh nghiệp
không phải phụ thuộc vào các dịch vụ on-prem nữa, mà thay vào đó, họ có thể chuyển
tường lửa tới bất cứ nơi nào mong muốn.
Câu 33: Phân tích các ưu điểm của bảo mật kênh truyền trong giao dịch
TMĐT? Hãy so sánh các giao thức SSL, SET và WEP về khả năng ứng dụng và
mức độ an toàn?
 Phân tích các ưu điểm của bảo mật kênh truyền trong giao dịch thương mại
điện tử?
An toàn dữ liệu liên quan chặt chẽ tới hai yếu tố là an toàn dữ liệu ngay tại máy
tính của người sử dụng và an toàn dữ liệu khi truyền thông. Dữ liệu thường bị mất an
toàn nhất trong khi truyền giữa người gửi và người nhận. Đây là lúc dữ liệu dễ bị tấn
công nhất. Hầu hết các phương pháp tấn công nhằm vào dữ liệu đề thực hiện trong quá
trình giao dịch qua các phương tiện điện tử. Đặc biệt là trong những môi trường truyền
thông không dây, kẻ tấn công có thể bắt được cũng như cso thể can thiệp vào các gói
tin bất cứ lúc vào chúng muốn, miễn là nằm trong cùng một vòng phủ sóng. Trên môi
trường Internet, dữ liệu trước khi được truyền từ máy chủ đến máy của người sử dụng
phải qua khá nhiều router trung gian, hacker chỉ cần đột nhập vào một trong các router
là có thể lấy được gói tin một cách dễ dàng. Chính vì vậy, bảo mật kênh truyền dữ liệu
là việc làm rất quan trọng giúp bảo mật các dữ liệu khi chúng đượ truyền trên kênh
truyền thông.
 Ưu điểm của bảo mật kênh truyền: Giúp bảo mật dữ liệu khi truyền, đặc biệt
là môi trường không dây.

Khả năng ứng dụng và mức độ an toàn của các giao thức SSL, SET và WEP:
Giao thức Khả năng ứng dụng Mức độ an toàn
SSL Sử dụng rộng rãi trong Có tính bảo mật tương đối cao tuy nhiên vẫn
các giao dịch yêu cầu cò một vài hạn chế như: không có cơ chế xác
thanh toán qua mạng: nhận người dùng một cách chắc chắn, có nguy
truyền số hiệu thẻ tín có bị lộ thông tin vê tài khoản của mình nếu
dụng, mật khẩu, số bí gặp người bán hàng là kẻ lừa đảo trên mạng.
mạt cá nhân trên Vẫn có khả năng các hacker dò tìm ra khóa bí
Internet mật để mã háo thông tin.
SET Giao thức thanh toán Đảm bảo tính chính xác của thông tin cho cả
trực tuyến trên mạng hai bên gửi và nhận, đảm bảo tính toàn vẹn của
dựa trên kỹ thật sử dụng thoongt in.
đồng tiền số Sử dụng mã kháo công khai nên khó bị bẻ
khóa, có cơ chế xác thực cho 2 phí nhận và gửi
WEP Đươc thiết kế để đảm Với phương thức mã hóa RC4, WEP cung cấp
bảo tính bảo mật cho tính bảo mật và toàn vẹn thông itn trên mạng
mạng không dây đạt không dây, đồng thời được xem như một
mức như mạng nối cáp phương pháp kiểm soát truy cập. Tuy nhiên
truyền thống gần đây giới phân tich cho thấy nếu bắt được
một số lượng lớn dữ lieeuju và mã hóa và sử
dụng WEP, thì có thể dò tìm được chính xác
khóa WEP trong thời gian ngắn
Câu 34: Bảo mật website là gì? Trình bày các nguy cơ mất an toàn đối với
các loại website
 Bảo mật Website: một loại chức năng hoặc thao tác quan trọng, cần thiết trong
quá trình sử dụng và vận hành website. Là một hình thức cho phép chúng ta bảo vệ các
thông tin và tài nguyên của hệ thống máy tính, đảm bảo cho trang Web được hoạt
động một cách liên tục.
 Các nguy cơ mất an toàn đối với các loại Website:

- Tấn công vào hệ thống máy tính của người sử dụng bằng các phần mềm gián
điệp bằng nhằm ăn cắp thông tin mỗi khi người dùng nhận hoặc truyền tin.
- Tấn công vào hệ thống máy chủ lấy cắp thông tin của hệ thống. Kẻ tấn công
có thể trực tiếp truy nhập vào máy chủ theo các tài khoản quản trị hoặc có thể dùng
những phương thức điều khiển truy nhập từ xa để chiếm quyền điều khiển máy chủ và
qua đó ăn cắp dữ liệu hoặc thực hiện công việc phá hoại.
- Tấn công làm tê liệt hoạt động của máy chủ Web. Đây là hình thức tấn công
DOS nhằm vào hệ thống máy chủ Web của chúng ta và đây cũng là hình thức tấn công
khá phổ biến trên mạng nhằm vào các hệ thống máy chủ Web.
- Giả mạo người dùng để thực hiện các giao dịch giả.
- Nghe lén thông tin trên đường truyền.
Câu 35: Tường lửa phần mềm là gì? Tại sao cần cài đặt tường lửa phần
mềm cho máy tính cá nhân của bạn?
 Tường lửa phần mềm: các ứng dụng bảo vệ máy tính, ngăn chặn sự hoạt
động vào/ra mạng bất thường từ các chương trình trên máy tính. Cài đặt phần mềm
tường lửa lên máy tính để đảm bảo máy tính của bạn luôn an toàn trước các hoạt động
mạng bất thường trên máy.
 Cài đặt tường lửa phần mềm cho máy tính cá nhân khi:
- Firewall bảo vệ thiết bị khỏi sự truy cập trái phép từ xa
Một trong những điều tồi tệ nhất có thể xảy ra với máy tính của bạn khi lên mạng
Internet là ai đó có thể đang cố để chiếm quyền kiểm soát từ xa. Nếu nhìn thấy hiện
tượng con trỏ chuột máy tính tự động di chuyển xung quanh màn hình hoặc bỗng dưng
bị đóng băng hoàn toàn thì đó có thể là dấu hiệu cho thấy máy tính của bạn đang bị
xâm nhập từ xa. Tuy nhiên, nếu thiết bị của bạn có thiết lập bật tính năng firewall thì
trong hầu hết các trường hợp sẽ tránh được tình trạng nêu trên.
- Firewall chặn nội dung xấu hoặc không phù hợp
Chẳng hạn, firewall có thể bảo vệ các thư mục cá nhân khỏi ransomware, đồng
thời cũng có tùy chọn để chặn một số địa chỉ trực tuyến cụ thể. Đối với người dùng cá
nhân trong gia đình, tường lửa được dùng để ngăn chặn những trang web có nội dung
xấu, những địa chỉ không mong muốn. Đây là một tính năng khá hữu ích đối với các
bậc cha mẹ, nhằm mục đích kiểm soát việc truy cập Internet của trẻ em.
- Firewall giúp chơi game online an toàn hơn
Chơi game online là một trong những nhu cầu giải trí hiện nay của không ít
người dùng máy tính, nhưng nó cũng mang nguy cơ tiềm tàng về bảo mật. Nhiều phần
mềm độc hại đã được phát triển nhằm nhắm đến những game online phổ biến, vốn là
lĩnh vực ít được chú ý đến vấn đề bảo mật hiện nay. Khi tin tặc cố sử dụng phần mềm
độc hại để xâm nhập vào hệ thống thì sẽ bị firewall chặn lại và hệ thống của bạn sẽ an
toàn hơn.
Câu 36: Mã hóa dữ liệu là gì? Khi nào cần mã hóa dữ liệu? Trình bày các
ứng dụng của mã hóa dữ liệu?
 Mã hóa dữ liệu: việc sử dụng các thuật toán máy tính để biến đổi dữ liệu ban
đầu thành các loại dữ liệu có cấu trúc khác hẳn so với ban đầu mà không thể đọc bằng
mắt hoặc sử dụng các phần mềm đơn thuần để đọc, bởi nó không tuân theo các định
dạng dữ liệu được quy chuẩn. Từ đó giúp bảo mật thông tin tối đa.
 Khi nào cần mã hóa dữ liệu:
Do mục đích chính của mã hóa là để đảm bảo tính bảo mật của thông tin khi
chúng được truyền trong những môi trường không đảm bảo tín bảo mật. Do vậy, dữ
liệu cần được mã hóa khi cần giấu đi nội dung thực tế của thông tin muốn truyền trong
quá trình truyền tin cũng như trong việc lưu trữ thông tin, hạn chế tình trjang thông tin
bị ăn cắp và sử dụng vào những mục đích không tốt.
 Trình bày các ứng dụng của mã hóa dữ liệu.
- Đối với chính phủ: Để bảo mật thông tin trong quân sự và ngoại giao, bảo vệ
các lĩnh vực thông tin mang tầm quốc tế.
- Trong hoạt động của các tổ chức: Bảo mật các thông tin nhạy cảm mang tính
chiến lược của tố chức.
- Cho các cá nhân: Bảo vệ các thông tin riêng tư trong liên lạc với thế giới bên
ngoài thông qua các kênh truyền tin, đặc biệt là trên mạng Internet
- Ứng dụng cụ thể:
Mã hóa chủ yếu để tránh những cái nhìn soi mói của những người tò mò tọc
mạch, nói chung là những người mà bạn không muốn thông tin của mình lộ ra ngoài.
HTTPS là một ví dụ, nó dùng thuật toán mã hóa TLS (lai giữa đối xứng và bất đối
xứng) để mã hóa dữ liệu của bạn khi gửi thông tin giữa trình duyệt và máy chủ.
HTTPS là dạng mã hóa thông tin đang di chuyển, và người ta còn có thể dùng mã
hóa để đảm bảo an toàn cho rất nhiều thứ khác, từ email, thông tin di động, Bluetooth

cho đến ứng dụng vào các máy ATM. Ngoài ra, người ta còn mã hóa dữ liệu đang nằm
yên, ví dụ như mấy tấm hình trong máy, các tập tin đã lưu vô ổ cứng hoặc cơ sở dữ
liệu của các công ty.
Nhiều bút nhớ USB ngày nay cũng cung cấp phần mềm AES đi kèm để bạn có
thể mã hóa dữ liệu của mình thông qua password, nếu lỡ có làm rớt mất USB thì cũng
không lo bị ai đó lấy trộm dữ liệu chứa bên trong. Ngay cả khi kẻ xấu cố gắng gỡ chip
ra, gắn vào một phần cứng khác để đọc thì cũng chỉ thấy dữ liệu đã mã hóa mà thôi.
Chúng ta cũng hay nghe đến “chữ kí điện tử”, thứ mà các doanh nghiệp hay sử
dụng để đính kèm vào tài liệu để chứng minh rằng chính họ là người soạn thảo tài liệu
chứ không phải là ai khác giả mạo. “Chữ kí” đó cũng được tạo ra dựa trên những
phương pháp bảo mật nói trên. Thời sơ khai người ta xài RSA, sau này có những thứ
tiên tiến hơn, an toàn hơn được phát triển thêm và nhanh chóng phổ biến ra toàn thế
giới.
Câu 37: So sánh 3 giao thức bảo mật kênh truyền SSL, SET và WEP trên 2
tiêu chí: Tính phổ dụng và độ an toàn khi sử dụng chúng?
- Ưu điểm của bảo mật kênh truyền: Giúp bảo mật dữ liệu khi truyền, đặc biệt
là môi trường không dây,
Giao thức Khả năng ứng dụng Mức độ an toàn
SSL Sử dụng rộng rãi trong Có tính bảo mật tương đối cao tuy nhiên vẫn
các giao dịch yêu cầu cò một vài hạn chế như: không có cơ chế xác
thanh toán qua mạng: nhận người dùng một cách chắc chắn, có
truyền số hiệu thẻ tín nguy có bị lộ thông tin vê tài khoản của mình
dụng, mật khẩu, số bí nếu gặp người bán hàng là kẻ lừa đảo trên
mạt cá nhân trên Internet mạng. Vẫn có khả năng các hacker dò tìm ra
khóa bí mật để mã háo thông tin.
SET Giao thức thanh toán trực Đảm bảo tính chính xác của thông tin cho cả
tuyến trên mạng dựa trên hai bên gửi và nhận, đảm bảo tính toàn vẹn
kỹ thật sử dụng đồng tiền của thông tin.
số Sử dụng mã khóa công khai nên khó bị bẻ
khóa, có cơ chế xác thực cho 2 phí nhận và
gửi
WEP Đươc thiết kế để đảm Với phương thức mã hóa RC4, WEP cung

bảo tính bảo mật cho cấp tính bảo mật và toàn vẹn thông itn trên
mạng khôn dây đạt mức mạng không dây, đồng thời được xem như
như mạng nối cáp truyền một phương pháp kiểm soát truy cập. Tuy
thống nhiên gần đây giới phân tich cho thấy nếu bắt
được một số lượng lớn dữ lieeuju và mã hóa
và sử dụng WEP,thì có thể dò tìm được chính
xác khóa WEP trong thời gian ngắn
Câu 38: Phân quyền người dùng là gì? Vì sao trong HTTT DN cần phân
quyền người dùng?
 Phân quyền người dùng: những biện pháp giúp phân chia rõ ràng quyền hạn,
các thức thao tác đối với hệ thống theo những yêu cầu khác nhau nhằm đảm bảo được
sự an toàn của hệ thống cũng như đảm bảo tính riêng tư của mỗi người.
 Trong HTTT DN cần phân quyền người dùng vì:
Ngày nay, trong công việc hàng ngày chúng ta thường xuyên phải làm việc trong
môi trương làm việc với các hệ thống máy tính lớn được kết nối liên thông với nhau,
ngoài ra ngay trên 1 máy cũng có thể có nhiều người dùng khác nhau. Vì vậy, nếu
chúng ta không phân biệt rõ ràng về quyền hạn người dùng thì sẽ gây ra tình trạng mất
an toàn trong hệ thống đồng thời làm mất tính riêng tư cảu những người dùng trong hệ
thống. Tóm lại, phân quyền người sử dụng giúp:
- Đảm bảo tính riêng tư của người dùng
- Đảm bảo an toàn thông tin của hệ thống
- Nâng cao tính bảo mật cho hệ thống
Câu 39: Chứng thực điện tử là gì? Trình bày và giải thích đặc điểm của các
loại chứng thực điện tử được sử dụng phổ biến hiện nay? Chứng thực điện tử
được xây dựng dựa trên hệ mã hóa nào? Lấy ví dụ minh họa?
 Hệ thống chứng thực: một hạ tầng an ninh mạng được xây dựng trên một hạ
tầng cơ sở khóa công khai (PKI) cung cấp các giải pháp đảm bảo an toàn cho các hoạt
động (gọi chung là giao dịch) thông qua mạng.

Chứng thực điện tử được lưu trữ trên máy tính dưới dạng một tệp tin (file). Nội
dung chứng thực điên tử bao gồm: Nội dung chứng thư số + Khóa công khai + Mọt số
thông tin khác + Chữ ký số của CA cấp chứng thư số đó.
 Các loại chứng thực điện tử được sử dụng phổ biến hiện nay.
- Chứng thực cho máy chủ Web (Server certificate): dùng để các nhận cho một
máy chủ web trong quá trình trao đổi thông tin với các trình duyệt web. Ngoài ra, nó
còn được sử dụng để trao đổi khóa giữa máy chủ web và trình duyệt.
- Chứng thực cho các phần mềm (Softwave Certificate): Sử dụng để đảm bảo là
phầm mềm đó là 1 phần mwfm hợp pháp, không chứa virus, hay là một phần mềm độc
hại, lừa đảo…
- Chứng thực cá nhân (Personal Certificate): Được dùng cho 1 người nào đó
muốn trao đổi thông tin với 2 người khác ở trên mạng hay tham gia vào các giao dịch
trên mạng.
- Chứng thực của các nhà cung cấp CTĐT: Được sử dụng để các bên tham gia
vào các hoạt động trên mạng Internet các nhận công khai của nhà cung cấp trên chứng
thực của đối tác.
 Chứng thực điện tử được xây dựng dựa trên hệ mã hóa công khai của
người dử dụng chứng thực.
 Ví dụ minh họa:
Thông tin giữa A và X sẽ được xác nhận bằng một bên trung gian mà A và X tin
tưởng. Bên chung gian là nhà cung cấp chứng chỉ số CA (Certificate Authority). CA
có một chứng chỉ số của riêng mình, CA sẽ cấp chứng chỉ số A và X cũng như những
đối tượng khác. Trở lại vấn dề trên, A và X sẽ có cạc kiểm tra thông tin của nhau dựa
trên chứng chỉ số như sau: khi A giao dích với X, họ sẽ chuyển chứng chỉ số với nhau,
đồng thời họ cũng có chứng chỉ số của CA, phần mềm tại máy tính của A có cơ chế
kiểm tra chứng chỉ số của A có hợp lệ không, phần mềm sẽ kết hợp chứng chỉ số của
nhà cung cấp CA và chứng chỉ của X để thông báo cho A về tính xác thực của đối
tượng X. Nếu phần mềm kiểm tra và tháy chứng chỉ của X là phù hợp với chứng chỉ
CA thìn A có thể tin tưởng vào X.

Câu 40: Thế nào là truyền tin an toàn? Trình bày mô hình truyền tin an
toàn?
 Truyền tin an toàn: sự truyền thông tin từ đối tượng này đến đối tượng khác
mà trong qua trình truyền tin thông tin phải đảm bảo sự bí mật, tình toàn vẹn và tính
đáng tin cậy., đảm bảo thông tin không bị ăn cắp và sử dụng vào mục đich không tốt.
Để thực hiện quá trình truyền tin an toàn, người ta thường tiến hành mã hóa
thông tin trước khi gửi
 Mô hình truyền tin an toàn:
Giả sử có 3 đối tượng tgia qtrinh truyền tin là người gửi là S, người nhận là R và
kẻ tấn công là E.
S muốn gửi một thông điệp X đến R qua một kênh truyền thông tin nào đó và E
có thể nghe trộm và ăn cắp thông tin này. Để chống lại việc mất thông tin, S sd một
phép biến đổi (mã hóa) lên thông điệp X đang ở dạng nguyên gốc ban đầu để tạo thành
một đoạn mã hóa Y không thể đọc được hoặc nd đã bị thay đổi đi nhiều
Khi đó Cryptogram Y đã thực hiện che giấu nd của đoạn Plaintext X ban đầu.
Khóa dùng để mã hóa dữ liệu này là một thông số chỉ có bên gửi S và bên nhận R biết,
sau khi R nhận Y sẽ tiến hành giải mã và lấy về nd ban đầu
Giả sử trong quá trình truyền tin, E nghe lén và đánh cắp được thông tin (Y) thì
cũng không thể giải mã và biết được nd thông tin ban đầu

Câu 41: Trình bày các ứng dụng của mã hóa khóa công khai hiện nay? Lấy
ví dụ minh họa? Phân tích những lợi ích của mã hóa dữ liệu?
 Ứng dụng của mã hóa công khai hiện nay:
- Mã hóa: giữ bí mật thông tin và chỉ có khóa bí mật mới giải mã được.
- Tạo chữ ký số: cho phép kiểm tra một văn bản có phía đã được tạo với một
khóa bí mật nào đó hay không.
- Thỏa thuận khóa: cho phép thiết lập khóa dùng để trao đổi thông tin mật giữa
hai bên.
Thông thường các ký thuật mã hóa công khai đòi hỏi khối lượng tính toán lớn
hơn các ký thuật mã hóa đối xứng nhưng những lợi ích và chúng mang lại thì có nhiều
ứng dụng hơn.
Các thuật toán mã công khai được dùng nhiều trong các giao thức bảo mật như
SSL/TLS, sử dụng các giao thức truyền nhận nội dung trên mạng như https
PKC cũng được ứng dụng nổi bật trong công nghệ Blockchain và tiền ddiejn tử.
Khi một ví tiền điện tửu được thiết lập, một cặp chìa khóa sẽ được tạo (bao gồm khóa
công khai và khóa bí mật). Địa chỉ công khai sẽ được tạo bằng cách sử dụng khóa
công khai và có thể xhi sẻ an tòa với người khác. Mặt khác, chìa khóa bí mật được sử
dụng để tạo ra các chữ ký điện tử và xác minh các giao dịch, do đó, phải được giữ bí
mật. Khi một giao dịch đã được xác minh bằng cách xác nhận Hash có trong chữ kỹ
điện tử, giao dịch đó được thêm vào sổ cái Blockchain. Hệ thống xác minh chữ ký
điệnt ử đảm bảo rằng chỉ người có chìa khóa bí mật được liên kết với ví tiền điện tử
tương ứng mới có thể rút tiền. Từ bảo mật cho đến xác minh các giao dịch tiền điện
tuer. Mã khóa công khai đóng vai trò vô cùng quantrojng trong việc bảo mật các hệ
thống kỹ thuật số hiện đại.
 Ví dụ: Bitcoin và Ethereum sử dụng một mật mã chuyên dụng được gọi là
Thuật tóa Chữ ký số Elliptic Curve để xác minh giao dịch.
 Lợi ích của mã hóa công khai:
Đơn giản trong việc lưu chuyển khóa vì chỉ cần đăng kí một khóa công khai và
mọi người sẽ lấy khóa này về để trao đổi thông tin với chúng ta, không cần phải có
một kênh bí mật để truyền khóa.
Mỗi người chỉ cần một cặp khóa công khai - khóa bí mật là có thể trao đổi thông
tin với tất cả mọi người

Là tiền đề cho sự ra đời của chữ ký điện tử và các phương pháp chứng thực điện
tử sau này
Câu 42: Trình bày sơ đồ mã hóa khóa đối xứng và ứng dụng của chúng?
Lấy ví dụ minh họa?
 Sơ đồ mã hóa ứng dụng:
Một hệ thống mã hóa đối xứng gồm có 5 thành phần cơ bản gồm:
(1) Nguyên bản: bản thông điệp trước khi được mã hóa hay nguyên bản
(2) Giải thuật mã hóa: thuật toán dùng để mã hóa nguyên bản hay chuyển đối
nguyên bản thành bản mã
(3) Khóa bí mật: Khóa mã, hay khóa được dùng trong qtrinh mã hóa và giải mã
(4) Bản mã: thông điệp sau khi được mã hóa hay bản mã
(5) Giải thuật giải mã: thuật toán dùng để giải mã hay chuyển đổi bản mã thành
nguyên bản
 Ứng dụng của mã hóa đối xứng:
Mọi người có thể dễ dàng tạo ra được một thuật toán mã hóa đối xứng cho riêng
mình. Các thuật toán mã hóa đối xứng hiện nay đều khá dễ cài đặt và hoạt động hiệu
quả, do có tốc độ và giải mã cao. Các thuật toán mã hóa đối xứng được sử dụng nhiều
trong các hệ thống máy tính hiện đại với mục đích tăng cường bảo mật dữ liệu và cho
người dùng. Chuẩn Mã Hóa Cấp Cao (AES) được sử dụng rộng rãi trong các ứng dụng
nhắn tin an toàn lẫn lưu trữ đám mây, chính là một ví dụ điển hình của mật mã đối
xứng.
Câu 43: Chữ ký điện tử điện tử là gì? Trình bày các ứng dụng của chữ ký
điện tử? Trình bày các đặc điểm của chữ ký điện tử? Lấy ví dụ minh họa?
 Chữ ký điện tử là gì?
Chữ ký điện tử hay còn gọi là chữ ký số được sử dụng để xác nhận tính hợp pháp
của 1 văn bản hay hợp đồng trong các giao dịch điện tử.
Khái niệm chữ ký điện tử bắt đầu được đưa vào từ năm 1976 bới Diffie và
Hellman: Chữ ký điện tử căn bản phải có thuộc tính giống như chữ ký tay, tuy nhiên
lại mang bản chất tin học là một chuỗi các bit nhị phân có thể được sao chép, hiểu bởi
máy tính và có thể truyền đi trên mạng Internet.
Luật giao dịch điện tử - Điều 21 khoản 1: Chữ ký điện tử được tạo lập dưới dạng
từ, chữ, số, ký hiệu, âm thanh hoặc các hình thức khách bằng phương tiện điện tử gắn

liền hoặc kết hợp một cách logic với thông điệp dữ liệu, có khả năng xác nhận người
kỹ thông điệp dữ liệu và xác nhận chấp thuận của người đó với 1 nội dung thông điệp
được ký”
 Trình bày các ứng dụng của chữ ký điện tử?
Chữ ký số có thể sử dụng trong các giao dịch thư điện tử, các e-mail, để mua bán
hàng trực tuyến, đầu tư chứng khoán trực tuyến, chuyển tiền ngân hàng, thanh toán
trực tuyến mà không sợ bị đánh cắp tiền như với các tài khoản Visa, Master. Ngoài ra,
Chữ ký số cũng có thể dùng để kê khai, nộp thuế trực tuyến, khai báo hải quan và
thông quan trực tuyến mà không phải mất thời gian đi in các tờ khai, đóng dấu đỏ của
công ty rồi đến cơ quan thuế xếp hàng để nộp tờ khai này. Chữ ký số giúp cho các đối
tác có thể ký hợp đồng làm ăn hoàn toàn trực tuyến không cần ngồi trực tiếp với nhau,
chỉ cần ký vào file hợp đồng và gửi qua e-mail.
 Trình bày các đặc điểm của chữ ký điện tử
- Do mang đầy đủ thuộc tính của chữ ký thông thường, chữ ký điện tử gắn liền
với thông tin mà nó “ký”, nên chữ ký ddiejn tử phải chứng minh được tính tin cậy của
thông tin, nghĩa là:
- Có khả năng kiểm tra được người lý và thời gian ký
- Có khả năng xác thực các nội dung tjai thời điểm ký, có nghĩa là có thể cho
phép khẳng định được thông tin đúng là do 1 người gửi chứ kp là do người thứ 3 mạo
danh và thông tin bị sửa đổi.
- Các thành viên thứ 3 có thể kiểm tra chữ ký để giải quyết các vấn dề tranh
chấp (nếu có)
 Tóm tắt ứng dụng chữ ký điện tử thông thường của người dùng:
- Ký và mã hóa với email
- Ký file tài liệu PDF.
- Ký file Microsoft Office: Word, Excel, …
- Đăng nhập Windows, Website.
- Mã hóa và giải mã
- ….
 Một số ứng chữ ký điện tử điển hình:
- Ứng dụng trong chính phủ điện tử.
-Ứng dụng của Bộ Tài chính
-Ứng dụng của Bộ Công thương
-Ứng dụng của Bộ KHCN, …
- Ứng dụng trong thương mại điện tử.
-Mua bán, đặt hàng trực tuyến
-Thanh toán trực tuyến, …
- Ứng dụng trong giao dịch trực tuyến.
-Giao dịch qua email
Hội nghị truyền hình và làm việc từ xa với Mega e-Meeting.
 ví dụ minh họa
Hiện tại công nghệ chữ ký số tại Việt Nam có thể sử dụng trong các giao dịch để
mua bán hàng trực tuyến, đầu tư chứng khoán trực tuyến, chuyển tiền ngân hàng,
thanh toán trực tuyến. Ngoài ra, Bộ Tài chính cũng đã áp dụng chữ ký số vào kê khai,
nộp thuế trực tuyến qua mạng Internet và các thủ tục hải quan điện tử như khai báo hải
quan và thông quan trực tuyến mà không phải in các tờ khai, đóng dấu đỏ của công ty
và chạy đến cơ quan thuế xếp hàng và ngồi đợi vài tiếng đồng hồ, có khi đến cả ngày
để nộp tờ khai này.
Trong tương lai tại Việt Nam chữ ký số có thể sử dụng với các ứng dụng chính
phủ điện tử bởi các cơ quan nhà nước sắp tới sẽ làm việc với người dân hoàn toàn trực
tuyến và một cửa. Khi cần làm thủ tục hành chính hay một sự xác nhận của cơ quan
nhà nước, người dân chỉ cần ngồi ở nhà khai vào mẫu đơn và ký số để gửi là xong.
trước. Để tránh thông điệp dễ bị tấn công chủ động thì A cần các biện pháp
phòng tránh nào? Giải thích?
 Kn: Tấn công chủ động là loại hình tấn công có chủ ý, có sự tác động trực tiếp
lên nội dung của thông điệp bao gồm cả việc sửa đổi dữ liệu trong khi truyền từ người
nhận đến người gửi
 Các loại tấn công chủ động:
- Giả mạo người gửi: lấy cắp tài khoản, mật khẩu, phá hủy dữ liệu
- Giả mạo địa chỉ: kiểu tấn công mà máy tính của kẻ tấn công sẽ giả mạo tự đặt
địa chỉ IP của mình trùng với một địa chỉ nào đó ở mạng bên trong
- Thay đổi thông điệp: kẻ tấn công không lấy cắp hoàn toàn mà chỉ chặn và sửa
đổi thông điệp nào đó rồi gửi cho phía nhận

- Tấn công làm trễ hay tấn công lặp lại: kẻ tấn công lưu lại một thông điệp mà
hắn bắt được trước đó, chờ thời gian và gửi lại cho bên nhận
 Để tránh thông điệp dễ bị tấn công chủ động thì A cần các biện pháp phòng
tránh sau:
- Bảo mật kênh truyền dữ liệu:Thông tin dễ bị tấn công chủ động trong quá
trình truyền giữa người nhận và người gửi. Trên môi trường Internet, dữ liệu trước khi
truyền từ máy chủ đến máy người sử dụng phải trải qua nhiều router trung gian,
hacker thường đột nhập vào và đánh cắp thông tin dễ dàng. Vì vậy để tránh tấn công
chủ động nên sử dụng bảo mật kênh truyền dữ liệu. Một vài giao thức bảo mật kênh
truyền thông như: SSL, SET, WEP,.. Hoặc
- Sử dụng tường lửa: giúp ngăn cấm những người không được phép từ bên
ngoài tuy cập vào mạng máy tính của tổ chức
 Mã hóa thông tin: mã hóa thông tin nhằm giấu đo nội dung thực tế của thông
điệp mà ta muốn truyền trong quá trình truyền tin, giúp tránh tình trạng thông tin bị ăn
cắp và sử dụng vào mục đích không tốt.
Câu 45: Khi nào một thuật toán mã hóa được coi là an toàn vô điều kiện và
an toàn tính toán?
 Một thuật toán được coi là an toàn vô điều kiện khi bản mã không chứa đủ
thông tin để xác định duy nhất một nguyên bản tương ứng. Nói cách khác chúng ta
không thể giải mã được với bất kể thời gian giải mã nào, cũng như với tốc độ máy tính
vô hạn. Trên thực tế chỉ có hệ mã hóa độn một lần là an toàn vô điều kiện
 Một hệ thống được coi là an toàn tính toán khi nó thỏa mãn một trong hai
điều kiện sau:
Chi phí để phá mã vượt qua giá trị của thông tin mang lại. Chẳng hạn để ăn cắp
được 1 tỷ đồng của ngân hàng mà chi phí bỏ ra để phá mã là 2 tỷ đồng thì cũng không
có tác dụng gì.
Thời gian phá mã vượt qua tuổi thọ thông tin. Chẳng hạn, một thông báo có giá
trị trong vòng một tháng mà thời gian phá mã là hai tháng thì có giải mã xong cũng
không giải quyết vấn đề gì.

Câu 46: Bạn đang sử dụng một máy tính tại văn phòng làm việc có kết nối
mạng Internet.
Hãy liệt kê và phân tích các nguy cơ mất an toàn đối với các thông tin trong
máy tính đó?
Thông tin, dữ liệu trong hệ thống bị lộ lọt, truy nhập, lấy cắp, nghe lén và sử
dụng trái phép (thông tin bị rò rỉ, lộ bí mật);
Thông tin, dữ liệu trong hệ thống bị thay thế hoặc sửa đổi làm sai lệch nội dung
(thông tin thiếu xác thực, toàn vẹn và thiếu tin cậy);
Thông tin, dữ liệu không đảm bảo hoặc không được cam kết về pháp lý của
người cung cấp; thông tin, dữ liệu không mong muốn bị tán phát hoặc hệ thống bị tấn
công mà không được, không thể kiểm soát (tính pháp lý và an ninh hệ thống…);
Thông tin, dữ liệu không đảm bảo tính thời gian thực, hệ thống hay bị sự cố,
ngưng trệ, hỏng hóc; truy cập, khai thác khó khăn (tính kém sẵn sàng của hệ thống
Hãy liệt kê và phân tích các lỗ hổng bảo mật có thể có của máy tính đó?
Các cổng mở trên một mạng máy in
Máy in hoạt động không khác gì một chiếc máy tính mấy. Nó cũng có hệ điều
hành, ổ cứng, kết nối mạng, bộ nhớ, đảm nhận chức năng chia sẻ chung nhưng lại ít
được bảo vệ, vì thường do bộ phận không liên quan đến bảo mật mua và quản lý và
hầu hết không nằm trong kế hoạch củng cố an ninh bảo mật doanh nghiệp. Chúng có
thể trở thành kẽ hở cho kẻ xấu khai thác. Vì máy in nối mạng đang có những cổng mở
cho tin tặc lợi dụng, phá vỡ lớp tường lửa an ninh mà doanh nghiệp bỏ nhiều công sức
thiết lập. Nó có thể bị tấn công qua BIOS và firmware. Hacker có thể cài cắm mã ẩn
vào tác vụ in ấn, đồng thời đánh cắp thông tin từ các tác vụ in ấn thông qua mạng. Do
đó, việc xây dựng chiến lược an ninh thông tin doanh nghiệp vẫn chưa được gọi là
toàn diện, nếu bỏ qua việc bảo mật máy in kết nối mạng này.
Nhân viên download không hợp pháp
Mạng ngang hàng (Peer to peer- P2P) là mạng mà trong đó hai hay nhiều máy
tính chia sẻ tập tin và truy cập các thiết bị như máy in mà không cần đến máy chủ hay
phần mềm máy chủ. Trong một công ty lớn, sẽ là rất dễ dàng để tìm được một nhân
viên sử dụng hệ thống mạng ngang hàng để download các sản phẩm bất hợp pháp hoặc
tự cài đặt riêng cho mình một máy chủ nhằm tăng khả năng chuyển dữ liệu. Và việc

lây nhiễm mã độc vào các file P2P không hề khó khăn chút nào. Nó có thể tạo ra một
lỗ hổng để thâm nhập vào bên trong một tổ chức, dựa theo thiết kế code.
Các ứng dụng web được phát triển với code tồi
Rất nhiều doanh nghiệp hiện đang sử dụng ứng dụng web để cung cấp dịch vụ
thương mại trực tuyến, kết nối khách hàng, đối tác và nhân viên một cách hiệu quả
nhất. Tuy nhiên, ứng dụng web cũng đem đến những rủi ro đáng kể đến an toàn của
hệ thống và dữ liệu. Điều này xảy ra do các ứng dụng web được tạo ra bởi thói quen
lập trình ẩu. Có rất nhiều lỗi về lập trình có thể gây ra mất an toàn hệ thống.
1 vài lỗ hổng phổ biến thường gặp :
Dữ liệu đầu vào không được kiểm tra
Lưu trữ thiếu an toàn
Lỗi liên quan đến quá trình quản lý xác thực và phiên truy cập.
Câu 47: Bạn đang sử dụng một tài khoản email tại văn phòng làm việc có
kết nối mạng internet để trao đổi thông tin với khách hàng.
Hãy liệt kê và phân tích các nguy cơ mất an toàn có thể gặp phải đối với tài
khoản email đó?
Dễ bị kẻ xấu mạo danh
Việc sử dụng email cá nhân để trao đổi thông tin với khách hàng độ rủi ro rất
cao. Bất cứ ai cũng có thể tạo một tài khoản tương tự và giả mạo bạn. Sẽ gây ảnh
hưởng xấu đến công việc kinh doanh hoặc một vài vấn đề quan trọng về tài chính, nội
bộ công ty. Đối với những kẻ có ý đồ ngay từ đầu, bạn sẽ bị lọt vào danh sách mục
tiêu và email hoàn toàn có thể bị hack bởi những hacker chuyên nghiệp. Cách tốt nhất
để bạn tránh khỏi nguy cơ này là sử dụng email tên miền riêng của công ty. Email
doanh nghiệp có khả năng bảo mật rất cao, đồng thời có thể khôi phục dữ liệu khi
không may gặp sự cố.
Thiếu chuyên nghiệp, dễ đánh mất khách hàng tiềm năng
Với email cá nhân bạn có thể để đánh mất một đối tác quan trọng chỉ vì email
hoặc tên email cá nhân không thực sự nghiêm túc, phù hợp với công việc. Ngoài ra,
một vài email với mục đích quảng cáo, khuyến mãi sẽ dễ dàng bị xem là tin nhắn rác
và không đủ độ tin cậy nếu dùng email cá nhân.

Email theo tên miền riêng công ty có uy tín luôn luôn nhận được sự tin tưởng
lớn hơn từ bất kỳ ai. Dù là khách hàng hay đối tác, khi bạn làm việc dưới danh nghĩa là
nhân viên của một công ty họ sẽ dễ dàng tiếp nhận và đánh giá cao sự chuyên nghiệp.
Khó quản lý thông tin, dễ mất dữ liệu vào tay đối thủ
Sự cạnh tranh là điều không thể tránh khỏi khi ngày càng nhiều công ty, doanh
nghiệp cùng ngành nghề xuất hiện. Với trường hợp cạnh tranh lành mạnh thì không có
gì quá lo lắng ngoài việc không ngừng hoàn thiện sản phẩm, dịch vụ của mình. Còn
với trường hợp cạnh tranh không lành mạnh, email của nhân viên có thể là một kẽ hở
khiến công ty bạn mất dữ liệu. Việc thiết lập email tên miền riêng sẽ giúp công ty
đồng bộ dữ liệu và quản lý nhân sự dễ dàng hơn. Đồng thời có thể kiểm soát thông tin
làm việc qua email và tạm ngưng hoặc hủy email dễ dàng khi có sự thay đổi nhân sự.
Cản trở công việc kinh doanh vì không tương thích với nhiều thiết bị
Nhiều trường hợp công việc cần được giải quyết ngay lập tức, nhưng các loại
email thông thường không đủ khả năng tương thích trên nhiều thiết bị khiến cho công
việc không thể được xử lý. Chậm trễ có thể gây ảnh hưởng lớn về về kinh tế, đồng thời
trong một vài trường hợp nguy hiểm, công ty, doanh nghiệp có thể rơi vào tình trạng
điêu đứng, ngưng trệ kinh doanh, mất uy tín.
Hãy đề xuất và giải thích các biện pháp đảm bảo an toàn khi sử dụng tài
khoản email đó?
Sử dụng nhiều tài khoản email
Nếu bạn sử dụng một tài khoản email cho tất cả hoạt động như tin nhắn
Facebook, đăng ký website an toàn hoặc không an toàn, nhân các bản tin mới từ các
website đã đăng ký, quản lý nhiều tên miền... Thì có nghĩa bạn đang đặt tất cả các
trứng vào cùng một giỏ. Nếu chẳng may giỏ bị rơi hoặc bị mất thì các trứng trong giỏ
sẽ không còn. Chính vì vậy, bạn nên sử dụng nhiều tài khoản email, không những giúp
bảo mật những email quan trọng mà còn giúp bạn an tâm khi hoạt động trên thế giới
Internet. Trong thị trường cung cấp địa chỉ email miễn phí có ba dịch vụ Gmail,
Yahoo!, Outlook với khả năng bảo mật khá tốt, bạn có thể đăng ký nhiều tài khoản
email để phục vụ công việc và cuộc sống.
Tạo một mật khẩu an toàn
Cùng với việc sử dụng nhiều tài khoản email, bạn cũng nên tạo cho mình một
mật khẩu an toàn cho mỗi tài khoản email. Nếu bạn quyết định sử dụng một tài khoản

cho mọi hoạt động thì cũng nên tạo ra một mật khẩu đủ khó và độc nhất. Mỗi website
cung cấp dịch luôn có phần kiểm tra độ khó của tài khoản, các bạn cần đảm bảo rằng
mật khẩu mà mình đặt ra phải ở mức "strong" và cũng phải dễ nhớ đối với bạn. Theo
nhiều báo cáo cho thấy số lượng người đã và đang sử dụng chuỗi "123456" và
"password" làm mật khẩu cho tài khoản email của họ là rất nhiều, chứng tỏ họ chưa
quan tâm đến mức độ phức tạp của mật khẩu và sự an toàn của tài khoản email. Đôi
lúc, việc sử dụng một mật khẩu cho tất cả tài khoản có thể là một sai lầm. Bởi vì khi
một tin tặc đã đột nhập được vào một tài khoản email của bạn, lấy được thông tin mật
khẩu thì khi đó tin tặc này hoàn toàn có thể đăng nhập vào các tài khoản khác của bạn.
Cảnh giác với Phishing lừa đảo
Phishing là một cách thức mà tin tặc sử dụng để lừa lấy những thông tin như mật
khẩu, tài khoản ngân hàng, tài liệu bí mật công ty ,.... Khi nhận được một email yêu
cầu nhập thông tin tài khoản thì bạn đừng nên nhập những thông tin cá nhân, mật khẩu
của tài khoản email. Về cơ bản tin tặc bắt chước và mạo danh hồ sơ của các website
danh tiếng như ebay, Amazon, Facebook... Để lừa gạt người dùng nhập vào những
thông tin quan trọng, ngay lập tức những thông tin này sẽ được gửi đến tin tặc. Hình
thức thực hiện của tác tin tặc ngày càng tinh vi, họ tạo ra các website có giao diện rất
giống với website thật. Do đó, hãy cảnh giác với những email yêu cầu nhập thông tin
cá nhân, luôn luôn kiểm tra đường dẫn URL để chắc chắn đó là tên miền chính thức
của những dịch vụ danh tiếng.
Hạn chế bấm vào liên kết trong thư

Phishing lừa đảo và thư rác là những nỗi kinh hoàng cho người sử dụng thư điện
tử. Khi nhìn thấy trong email có một liên kết thì bạn không nên bấm ngay vào nó. Bởi
vì liên kết đó có thể dẫn bạn đến những website chứa mã độc, phần mềm độc hại, virus
và có thể khiến bạn trở thành nạn nhân của hệ thống thư rác. Có một số đường link mà
bạn có thể tin tưởng và nhấp vào đó là những đường link từ diễn đàn khi bạn đăng ký
và kích hoạt tài khoản, chẳng hạn như liên kết đăng ký diễn đàn hoặc các tài khoản
game. Nếu nhận được email từ ngân hàng hay các dịch vụ khác thì bạn hãy truy cập
vào từ trang chủ của ngân hàng hay dịch vụ đó, không cần phải bấm trực tiếp vào liên
kết trong thư.
Không nên mở tập tin đính kèm khi không biết người gửi

Việc nhận file đính kèm với những định dang tập tin phổ biến trong email từ
những người mà bạn quen biết là khá an toàn và bạn có thể mở ra ngay khi nhận được.
Tuy nhiên, nếu bạn nhận được những tập tin đính kèm lạ hoặc từ những người không
quen biết thì bạn không nên mở những tập tin này. Các tập tin này có thể chứa mã độc
tự động tải về máy tính. Cao tay hơn là những kẻ phá hoại đã cài một file có định dạng
exe được ngụy trang ở định dạng ảnh jpeg, chúng sẽ xâm nhập ngay vào hệ thống khi
mở tập tin.
Quét virút và mã độc
Khi đã lỡ tay bấm vào một liên kết hoặc mở một email nghi ngờ có virus, mã độc
thì việc đầu tiên mà bạn nên làm đó là sử dụng phần mềm diệt virus để quét lại toàn bộ
máy tính. Việc trang bị cho máy tính một phần mềm diệt virus mạnh mẽ là hết sức cần
thiết. Đây là một giải pháp đơn giản và có hiệu quả nhất trong quá trình sử dụng và
quản lý tập tin. Có thể sử dụng các phần mềm diệt virút uy tín như Norton Antivirus,
Avira Premium Security Suite, bitdefender Total Security, Kaspersky Internet
Security, Webroot secureanywhere Antivirus…
Tránh sử dụng Wi-Fi công cộng
Cuối cùng, bạn không nên đăng nhập vào tài khoản email khi đang ở các dịch vụ
Internet công cộng bằng mạng không dây bởi vì mức độ an toàn của Wi-Fi ở những
nơi đó rất thấp. Tin tặc cso thể sử dụng những phần mềm đánh hơi sniffer, virus,
trojan,v.v..và truyền chúng vào môi trường mạng không dây để để giám sát và thông
dịch dữ liệu di chuyển trong mạng không dây, từ đó tìm kiếm thông tin người dùng,
mật khẩu khi nó được truyền tải.
Câu 48: Công ty của bạn đang sử dụng một website để quảng bá và giới
thiệu thông tin các sản phẩm đến đối tác và khách hàng.
Hãy liệt kê và phân tích các nguy cơ mất an toàn có thể gặp phải đối với
website đó?
Tấn công vào hệ thống máy tính của người sử dụng bằng các phần mềm gián
điệp bằng nhằm ăn cắp thông tin mỗi khi người dùng nhận hoặc truyền tin.
Tấn công vào hệ thống máy chủ lấy cắp thông tin của hệ thống. Kẻ tấn công có
thể trực tiếp truy nhập vào máy chủ theo các tài khoản quản trị hoặc có thể dùng
những phương thức điều khiển truy nhập từ xa để chiếm quyền điều khiển máy chủ và
qua đó ăn cắp dữ liệu hoặc thực hiện công việc phá hoại.

Tấn công làm tê liệt hoạt động của máy chủ Web. Đây là hình thức tấn công
DOS nhằm vào hệ thống máy chủ Web của chúng ta và đây cũng là hình thức tấn công
khá phổ biến trên mạng nhằm vào các hệ thống máy chủ Web.
Giả mạo người dùng để thực hiện các giao dịch giả.
Nghe lén thông tin trên đường truyền.
Hãy liệt kê và phân tích các lỗ hổng bảo mật có thể có của Website đó?
Lỗ hổng XSS (Cross Site Scripting)
Thông qua lỗ hổng XSS, kẻ tấn công có thể chiếm quyền điều khiển phiên người
dùng, gỡ bỏ trang web, và có thể đánh cắp thông tin của người dùng dựa trên trình
duyệt. Bản chất của dạng tấn công này là dựa vào trình duyệt. Tin tặc có thể chèn mã
javascript vào các trang web có lỗi XSS, khi người dùng truy cập vào những trang web
này, lập tức mã script của tin tặc sẽ hoạt động lưu lại thông tin người dùng.
.Chèn mã độc hại (Injection flaws)
Hacker có thể sử dụng điểm yếu của các truy vấn đầu vào bên trong ứng dụng để
chèn thêm dữ liệu không an toàn, từ đó máy chủ có thể bị tấn công bởi một số dạng
như: SQL Injection, Xpath Injection, XML Injection, Buffer overflow, LDAP lookups,
Shell command Injection.
Hậu quả: Một số hoặc tất cả những dữ liệu quan trọng của tổ chức bạn sẽ bị
hacker truy cập trái pháp, chúng có thể sửa đổi, xóa bỏ thông tin hoặc thậm chí lợi
dụng để tống tiến. Trong các lỗ hổng trên, SQL Injejection là phương thức tấn công
thường gặp nhất trong ứng dụng web.
Tệp tin chứa mã độc
Nguy cơ bị tấn công tiềm ẩn với việc mã hóa trong tích hợp tệp tin từ xa (RFI) có
thể cho phép kẻ tấn công tạo sự thỏa hiệp của máy chủ. Dạng tấn công bằng tệp tin
chứa mã độc này có thể ảnh hưởng đến PHP, XML và bất kỳ tập tin nào từ người
dùng.
CSRF (Cross-Site Request Fogery)
Một trong những lỗ hổng bảo mật thường gặp trong ứng dụng web là lỗ hổng
CSRF.
Lợi dụng cơ chế tự động đăng nhập vào một số website, tin tặc có thể điều hướng
người dùng thực hiện các đoạn chứa mã độc, nhúng vào các website mà người dùng
đang trong phiên làm việc. Từ đó, mã độc sẽ chạy trên trình duyệt của người dùng và

hacker sẽ thực hiện các hành vi gian lận. Vì vậy, trong một số diễn đàn hoặc website
khi bạn đăng nhập tài khoản, tốt nhất không nên lưu mật khẩu, tên người dùng.
Tham chiếu đối tượng trực tiếp không an toàn
Mối đe dọa tiềm ẩn ở đây là những kẻ tấn công có thể lợi dụng những tài liệu
tham khảo để truy cập vào quyền của các đối tượng khác mà không sự cho phép. Ví
dụ: A có thể mạo danh là B để truy cập vào hệ thống.
Việc tham chiếu các đối tượng, tệp tin, file, bản ghi cơ sở dữ liệu cần được thực
hiện gián tiếp và những thông tin nhạy cảm nên được che giấu. Bên cạnh đó, việc phân
quyền nhà quản trị cũng cần cài đặt bảo mật ở chế độ cao nhất, không cho phép người
lạ truy cập trái phép. Một khi hacker có thể xác định được cấu trúc thông tin chuyển
tới server, chúng có thể thu thập dữ liệu người dùng, ăn cắp tài khoản thẻ tín dụng,….
Ví dụ: tham chiếu không an toàn
Rò rỉ thông tin và xử lý lỗi không đúng cách
Mối đe dọa tiềm ẩn từ việc rò rỉ thông tin và xử lý lỗi không đúng cách (Broken
Authentication and Session Management) có thể giúp tin tặc ăn cắp dữ liệu nhạy cảm,
hoặc tiến hành các cuộc tấn công nghiêm trọng hơn. Một ứng dụng web không được
bảo mật tốt có thể vô ý rò rỉ thông tin về cấu hình, hoạt động bên trong, hoặc vi phạm
sự riêng tư thông qua một loạt các vấn đề ứng dụng.
Quản lý xác thực và quản lý phiên yếu
Khâu xác thực (authentication) và trao quyền (authorisation) được sử dụng khá
phổ biến trong các ứng dụng web. Nếu một trong 2 khâu này không bảo mật mạnh mẽ
thì đây chính là lỗ hổng tiềm ẩn giúp tin tặc xâm nhập vào hệ thống. Mối đe dọa tiềm
ẩn ở đây là kẻ tấn công có thể thỏa hiệp mật khẩu, mã khóa hoặc danh tính người
dùng. Để hạn chế nguy cơ tấn công, quản trị viên nên thiết lập session thật tốt.
Không hạn chế truy nhập vào URL nội bộ
Một trong những giải pháp nhằm hạn chế sự tấn công từ bên trong nội bộ mà nhà
quản trị nên làm là hạn chế sự truy cập vào các URL quan trọng. Bạn có thể hạn chế
địa chỉ IP, hạn chế sử dụng phân quyền, sự truy cập trực tiếp vào url.
Không kiểm tra sự điều hướng và chuyển tiếp của URL
Lợi dụng sơ hở này, tin tặc có thể điều hướng đường link gốc đến một trang web
hoặc 1 ứng dụng lừa đảo hoặc trang web đen. Khi click vào đường dẫn tới trang web

lừa đảo, máy tính của người dùng có thể bị nhiễm mã độc và hacker sau đó có thể ép
người dùng tiết lộ thông tin cá nhân.
Sử dụng các lỗ hổng có sẵn trong thư viện
Thực tế hiện nay, một số tổ chức và doanh nghiệp Việt Nam chưa cập nhật
những bản vá lỗi trong ứng dụng web của mình, và cá nhân cũng vậy. Một số lỗi xuất
phát từ thư viện ứng dụng, một số nằm trong plugin cài thêm, số khác ở trong module
ứng dụng. Cũng chính vì điều này mà hacker nhanh chóng khai thác các lỗ hổng bảo
mật và hàng loạt người dùng, thiết bị bị ảnh hưởng.
Hãy trình bày các biện pháp đảm bảo an toàn cho Website đó?
Không dùng share hosting
Hiện nay, rất nhiều website bị tấn công do hosting chung trên cùng máy chủ với
các website khác. Với hiện trạng bảo mật còn yếu, khi tin tặc tấn công vào một website
thì sẽ thực hiện leo thang đặc quyền dùng website này làm “bàn đạp” để tấn công vào
các website khác trong cùng máy chủ. Đây là một lỗ hổng rất phổ biến mà các tin tặc
thường dùng để xâm nhập website hiệu quả.
Để tránh tình trạng này thì các nhà quản trị nên sử dụng máy chủ ảo (VPS). Với
máy chủ ảo, website sẽ chạy trên một máy chủ độc lập, do đó tính bảo mật cao hơn,
giảm thiểu khả năng bị tấn công từ các đối tượng khác.
Kiểm tra mã nguồn website thường xuyên
Website được công khai cho tất cả mọi người truy cập, do đó phải thường xuyên
giám sát, kiểm tra mã nguồn. Trong trường hợp phát hiện những tệp tin bất thường thì
phải tiến hành kiểm tra, vì đây có thể là các Trojan/Backdoor do tin tặc cài vào hệ
thống website.
Quá trình kiểm tra chống xâm nhập được thực hiện như: kiểm thử xâm nhập hộp
đen (đánh giá từ bên ngoài hệ thống), kiểm thử xâm nhập hộp trắng (đánh giá từ bên
trong hệ thống), sửa chữa các lỗi tìm thấy, trang bị các hệ thống phát hiện và phòng
chống xâm nhập như: modsecurity, tường lửa....
Không cài thêm các plugin “lạ” vào website
Hiện nay, rất nhiều website được phát triển trên các mã nguồn mở miễn phí như
Joomla, Wordpress… các mã nguồn này cho phép cài thêm các plugin để tăng tính
năng của website. Tuy nhiên, rất nhiều plugin “lạ”, được cung cấp miễn phí trên
internet có chứa Trojan/Backdoor đính kèm. Khi người sử dụng cài đặt plugin này vào

website thì Trojan/Backdoor cũng được cài đặt và nằm “âm thầm” bên trong hệ thống
để chờ lệnh.
Sao lưu dữ liệu thường xuyên
Dữ liệu là một phần rất quan trọng của hệ thống website. Dữ liệu có thể bị mất
do tin tặc xâm nhập và xóa mất, hoặc do bị thiên tai, hỏa hoạn, lũ lụt.... Thực tế đã
chứng minh rằng, nhiều doanh nghiệp mất toàn bộ dữ liệu, thiệt hại kinh tế rất lớn do
không thực hiện quy trình sao lưu dữ liệu. Do đó, công việc này phải được đưa vào
danh sách công việc thường xuyên, có phân công nhân sự đảm trách.
Nâng cao ý thức bảo mật, an ninh, an toàn
Doanh nghiệp phải có ý thức bảo vệ, xây dựng đội ngũ nhân sự có chuyên môn
ATTT, trong trường hợp không đủ khả năng thì cần hợp tác với một bên thứ ba có
chuyên môn về ATTT.
Theo trung tâm ATHENA, các doanh nghiệp (chủ yếu là các doanh nghiệp vừa
và nhỏ) không đủ điều kiện xây dựng riêng đội ngũ chuyên môn ATTT cho mình, đều
chọn phương án hợp tác với các tổ chức cung cấp dịch cụ ATTT. Với cách thức hợp
tác này, doanh nghiệp tận dụng được nguồn lực của bên thứ ba và tập trung hoạt động
của mình vào kinh doanh
Hãy trình bày các cách phân quyền người dùng trên website đó?
5 nhóm người dùng mặc định để quy định các quyền hạn của các nhóm người
dùng này, bao gồm:
Super Admin – Nhóm người dùng cao nhất và có quyền quản trị toàn bộ hệ
thống. Ngoài ra, Super Admin có quyền xóa các người dùng trong nhóm
Administrator.
Administrator – Nhóm người dùng có quyền sử dụng toàn bộ các tính năng có
trong một website du lịch, không bao gồm chức năng quản lý và xóa người dùng trong
hệ thống.
Editor – Nhóm này có quyền đăng bài viết lên website (publish) và quản lý các
post khác của những người dùng khác.
Author – Nhóm này sẽ có quyền đăng bài lên website và quản lý các post của
họ.

Bookingsys – Nhóm này sẽ có quyền xem danh sách các booking và xử lý các
booking trong hệ thống, không có quyền post bài viết hoặc các quyền khác nếu không
được thêm nhóm vai trò
Subscriber – Người dùng trong nhóm này chỉ có thể quản lý thông tin cá nhân
của họ.
Câu 49: Công ty của bạn đang sử dụng một mạng LAN bao gồm 200 máy
tính kết nối với nhau để trao đổi thông tin nội bộ của DN?
Hãy trình bày và phân tích các nguy cơ mất an toàn đối với mạng LAN đó?
Các tấn công khám phá thăm dò mạng: Trước khi thực hiện một hành động tấn
công thực sự, thì đầu tiên kẻ tấn công sẽ thực hiện khám phá mạng WLAN đích. Có
hai kiểu khám phá thăm dò là Active và Passive. Trong kiểu thăm dò Active, kẻ tấn
công gửi các gói tin thăm dò không có số hiệu SSID đến AP, để thu thập số hiệu SSID
của các AP. Kiểu tấn công này sẽ không thực hiện được nếu AP được cấu hình để bỏ
qua những gói tin không có SSID. Trong kiểu tấn công Passive, kẻ tấn công sẽ thu tất
cả các gói tin gửi và nhận trên mạng mà không có bất cứ hành động gì, đây là kiểu tấn
công không thể phát hiện. Một công cụ tấn công khám phá mạng tương đối phổ biến là
netstumber.
Các tấn công thu thập thông tin: Mỗi khi mạng đích đã được xác định, kẻ tấn
công có thể tiếp tục thu thập thông tin truyền trên mạng bằng các công cụ sniffer (như
Kismet hoặc Airodump). Nếu dòng dữ liệu không được mã hóa, kẻ tấn công có thể thu
thập được các thông tin từ dòng dữ liệu đó hoặc các tham số liên quan đến mạng như
địa chỉ MAC, địa chỉ IP, Gateway,…Nếu dòng dữ liệu được mã hóa bằng các phương
thức yếu như giao thức WEP, kẻ tấn công có thể sử dụng các công cụ như Aircrack để
phá mã.
Tấn công từ chối dịch vụ: Tấn công này có hai mức khác nhau. Ở mức 1, kẻ tấn
công sử dụng các công cụ phát sóng radio cực mạnh để làm nhiễu các kênh sóng của
mạng không dây đang hoạt động. Ở mức 2, kẻ tấn công thường thực hiện việc làm
“lụt” các máy client bằng dòng dữ liệu giả để các máy client không còn khả năng kết
nối vào mạng.
Tấn công giả mạo địa chỉ MAC: Trong kiểu tấn công này, kẻ tấn công thường
làm giả địa chỉ MAC của những client hợp lệ có quyền truy cập vào hệ thống mạng.
Mục đích của tấn công này là để đánh lừa các AP có sử dụng dịch vụ lọc địa chỉ MAC.

Tấn công này rất dễ thực hiện vì địa chỉ MAC của các máy client hợp lệ có thể dễ dàng
được khám phá trong các tấn công thu thập thông tin. Ngoài ra, địa chỉ MAC của các
card mạng không dây cũng có thể dễ dàng thay đổi khi sử dụng các phần mềm điều
khiển của nó.
Tấn công giả mạo AP: Trong kiểu tấn công này, kẻ tấn công cố gắng can thiệp
vào dòng dữ liệu truyền thông giữa hai thiết bị hợp lệ với mục đích thực hiện việc sửa
đổi hoặc phá hủy dữ liệu của người gửi. Để thực hiện tấn công này cần thực hiện hai
bước. Thứ nhất, làm cho các AP hợp lệ trở nên không còn khả năng phục vụ bằng các
tấn công từ chối dịch vụ, vì vậy các client sẽ khó kết nối đến. Thứ hai, thiết lập một
AP giả mạo có tên giống như tên của AP hợp lệ để hướng các client kết nối đến AP giả
mạo này. Một công cụ khá phổ biến để thực hiện công việc nay là Monkey_jack.
Hãy trình bày và giải thích các giải pháp đảm bảo an toàn cho mạng LAN
đó?
Xây dựng tài liệu chính sách cho WLAN: Chính sách phải định nghĩa rõ phạm vi
hoạt động của WLAN, chức năng của mạng WLAN trong các hoạt động nghiệp vụ,
các đối tượng được phép sử dụng WLAN và trách nhiệm của họ trong khi sử dụng. Tài
liệu cũng phải chỉ rõ các biện pháp bảo mật, các biện pháp xác thực, điều khiển truy
cập,… cho mạng WLAN. Nói tóm lại tài liệu phải thể hiện được những định hướng
cũng như những quy định cụ thể trong việc thực hiện bảo mật WLAN.
Xác định vị trí cho các AP: Vị trí đặt các AP nên đảm bảo rằng khu vực phát
sóng có thể bao phủ được các khu vực làm việc của các thiết bị client, nhưng không
bao phủ ra các phạm vi không cần thiết và khó kiểm soát. Tùy thuộc vào chức năng sử
dụng, vị trí logic của WLAN nên được ngăn cách với các mạng LAN bằng các thiết bị
như Firewall hay Router. AP nên được đổi tên phù hợp và không nên ẩn chức năng
Broadcast của AP vì điều này sẽ gây bất tiện cho người sử dụng nhưng không có tác
dụng nhiều trong việc ngăn cản tấn công. Nên để một phân vùng WLAN riêng cho
những người làm việc tạm thời tại cơ quan hoặc các khách hàng đến làm việc cần truy
cập Internet. Phân vùng này phải bị hạn chế đến mức tối đa việc truy cập vào trong
mạng LAN của tổ chức.
Thực hiện các biện pháp điều khiển truy cập: Việc điều khiển truy cập nên được
thực hiện ở các Firewall và AP. Trên các firewall cần định nghĩa các chính sách phù
hợp để cho phép các WLAN truy cập vào trong các nguồn tài nguyên trên mạng LAN

của tổ chức, sử dung chiến lược phân quyền một cách ít nhất. Trên AP có thể áp dụng
phương pháp lọc địa chỉ MAC để bỏ qua những truy cập bất hợp pháp.
Thực hiện các biện pháp xác thực mạnh: Về cơ bản trong các mạng WLAN, các
client nên được xác thực trước khi chúng có thể được truy cập vào mạng. Nên triển
khai các phương pháp xác thực truy vấn lẫn nhau (nếu có điều kiện). Tuy nhiên, còn
tùy thuộc vào mức độ quan trọng và khả năng đáp ứng về mặt công nghệ của hệ thống
mạng trong tổ chức. Đối với các doanh nghiệp nhỏ, có thể triển khai các phương pháp
xác thực PSK. Đối với các tổ chức lớn thì có thể sử dụng các phương pháp xác thực
802.1 X có sử dụng đến RADIUS server, thậm trí có thể triển khai chứng chỉ số cho
người dùng WLAN. Việc triển khai này hầu như không phải đầu tư công nghệ vì có
thể sử dụng hạ tầng của mạng LAN sẵn có. Đặc biệt với các hệ thống mạng thực hiện
trên môi trường Mircosoft, thì hầu hết các dịch vụ như RADIUS server, CA có thể sử
dụng miễn phí.
Triển khai các công nghệ mã hóa: Nếu hạ tầng WLAN hỗ trợ giao thức WPA2
thì nên kích hoạt nó để sử dụng thư viện AES cho quá trình mã dòng dữ liệu, đây là
một phương thức mã hóa có độ an toàn cao. Trong trường hợp hạ tầng không trợ giúp
chuẩn WPA2 thì có thể dụng WPA hoặc thậm chí WEP. Tuy nhiên nếu dòng dữ liệu
trên WLAN là rất quan trọng thì việc sử dụng WEP sẽ không thể an toàn. Vì vậy, nên
triển khai một công nghệ mã hóa khác để giải quyết vấn đề này, ví dụ như VPN hay
Ipsec.
Thực hiện bảo vệ cho máy tính client: Để bảo vệ các tài nguyên quan trọng trên
các máy tính client, nên triên khai cài đặt các công cụ như Firewall cá nhân, phần mềm
diệt virus hay thiết lập các chính sách nhóm để ngăn chặn các nguy cơ tấn công từ
Internet.
Phát hiện các nguy cơ tấn công: Sử dụng các công cụ dò quét để phát hiện kịp
thời các thiết bị không dây truy cập bất hợp pháp, và các thiết bị AP giả. Có thể sử
dụng thêm các hệ thống WIDS để phát hiện ra các tấn công trong thời gian thực.
trước. Để tránh thông điệp bị tấn công bị động thì A cần các biện pháp phòng
tránh nào? Giải thích?
Biện pháp phòng tránh:
 Với hình thức tấn công nghe trộm đường truyền:

Bảo mật kênh truyền dữ liệu:Thông tin dễ bị tấn công bị động trong quá trình
truyền giữa người nhận và người gửi. Trên môi trường Internet, dữ liệu trước khi
truyền từ máy chủ đến máy người sử dụng phải trải qua nhiều router trung gian,
hacker thường đột nhập vào và đánh cắp thông tin dễ dàng. Vì vậy để tránh tấn công bị
động nên sử dụng bảo mật kênh truyền dữ liệu. Một vài giao thức bảo mật kênh truyền
thông như: SSL, SET, WEP,..
Mã hóa dữ liệu: sử dụng các phương pháp mã hóa bởi cơ chế dùng chữ kí điện
tử.
 Với hình thức tấn công phân tích lưu lượng:
Thường xuyên độn thêm dữ liệu thừa vào luồng thông tin lưu trên mạng (dù có
hay không thông tin thì lưu lượng dữ liệu được truyền đi vẫn ổn định, không gây chú ý
cho kể tấn công ).
 Giải thích:
Bởi vì: Khi thông điệp được truyền trên kênh biết trước, mục đích của tấn công
bị động là kẻ tấn công nhằm thu thập và lấy những thông tin quan trọng và cần thiết,
kẻ tấn công vào hệ thống mà không sửa, thay đổi hay là sai lệch đi nội dung của đường
truyền.Vì vậy các biện pháp được nêu trên nhằm tạo ra hạn chế cho các hình thức tấn
công bị động.
Câu 51: Hãy so sánh ưu điểm và nhược điểm của các hệ mã hóa hiện đại?
Vì sao các hệ mã hóa đều không thể thỏa mãn an toàn vô điều kiện? Hãy giải
thích.
Ưu điểm Nhược điểm
Mã Mô hình khá đơn giản. Phải dùng khóa chung.

hóa Các thuật toán mã hóa đối Việc bảo mật và phân khối khóa khó khăn,
đối xứng hiện nay đều dễ cài phức tạp.
xứng đặt và hoạt động hiệu quả. Môi trường truyền tin rất dễ bị hóa giải ( bị “ bẻ
- Các thuật toán hoạt khóa” ).
động nhanh và hiệu qua Không thể gửi thông tin đã mã hóa cho một
hơn nhiều do tốc độ mã người nào đó khi không có khả năng gửi khóa
hóa và giải mã cao. cho họ và số lượng khóa sử dụng sẽ rất lớn khi

số người tham gia trao đổi thông tin lớn( n(n-
1)/2 khóa cho n người).
Mã Đơn giản trong việc lưu Tốc độ xử lý chậm, không thích hợp cho những
hóa chuyển khóa. trường hợp mã hóa thông thường, thường dùng
công Mỗi người chỉ cần một cặp trao đổi khóa bí mật đầu phiên truyền tin.
khai khóa công khai – khóa bí Tính xác thực của khóa công khai:
mật là có thể trao đổi + Có thể gặp tình huống là khóa công khai có
thông tin với tất cả mọi thể bị giả mạo.
người +Bất cứ ai cũng có thể tạo ra một khóa và công
- Là tiền đề cho sự ra bố đó là của một người khác.
đời của chữ ký điện tử và + Chừng nào việc giả mạo chưa bị phát hiện thì
các phương pháp chứng đều có thể đọc được nội dung của các thông báo
thực điện tử sau này gửi cho người kia.
+Cần có cơ chế đảm bảo những người đăng ký
khóa là đáng tin .
Một hệ thống mã hóa được đánh giá là an toàn vô điều nếu nó thỏa mãn hai điều
kiện:
- Không có nhược điểm.
- Khóa có quá nhiều giá trị không thể thử hết.
Có hai phương pháp mã hóa cơ bản là phương pháp mã hóa đối xứng ( còn gọi là
mã hóa khóa bí mật ) và phương pháp mã hóa bất đối xứng ( mã khóa công khai). Hai
phương pháp này đều có nhược điểm , đồng thời đều có giới hạn về số lượng khóa sử
dụng.
Ð Các hệ mã hóa đều không thể thỏa mãn an toàn vô điều kiện.
BÀI TẬP TÌNH HUỐNG

Câu 1: Cho các tình huống sau:
Những kẻ tấn công đằng sau phần mềm độc hại SolarMarker đang sử dụng các
tài liệu PDF chứa các từ khóa tối ưu hóa công cụ tìm kiếm (SEO) để tăng khả năng
hiển thị của chúng trên các công cụ tìm kiếm, nhằm đưa các nạn nhân tiềm năng đến
phần mềm độc hại trên một trang web độc hại giả mạo Google Drive.

Các trang web mà nhiều người dùng đã tải tài liệu xuống thường được xếp thứ
hạng cao trong kết quả tìm kiếm. Những kẻ tấn công hiện đang lưu trữ các trang trên
Google Sites để làm mồi nhử cho các tệp tải xuống độc hại. Các nhà nghiên cứu của
Microsoft phát hiện những kẻ tấn công đã bắt đầu sử dụng Amazon Web Services
(AWS) và dịch vụ của Strikingly cũng như Google Sites.
"Khi được mở, tệp PDF sẽ nhắc người dùng tải xuống tệp .doc hoặc phiên bản
.pdf của thông tin mà họ muốn. Người dùng sẽ nhấp vào liên kết được chuyển hướng
qua 5 đến 7 trang web có TLD như .site, .tk và .ga". Sau nhiều lần chuyển hướng,
người dùng sẽ bị dẫn đến một trang web do kẻ tấn công kiểm soát, trang này bắt chước
Google Drive và được yêu cầu tải xuống tệp tài liệu. Trong đó thường chứa phần mềm
độc hại SolarMarker".
(Theo http://antoanthongtin.vn)
- Hãy xác định và giải thích các nguy cơ mà người dùng gặp phải trong tình
huống này
- Hãy đưa ra các giải pháp nhằm đảm bảo an toàn cho người dùng trong tình
huống này và giải thích
GIẢI:
Trong trường hợp này, người dùng gặp phải nguy cơ từ các phần mềm độc hại: lỗ
hổng bảo mật của các phần mềm được sd trong HTTT là mục tiêu chung của các kẻ
tấn công, bởi các lỗ hổng, các bug và các vđ của phần mềm cho phép kẻ tấn công có
thể truy cập từ xa vào máy tính hoặc các tbi phần cứng, có thể tác động đến hệ thống
dữ liệu, các tài nguyên mạng nội bộ, các nguồn dữ liệu và cơ chế xử lý thông tin khác
của tổ chức, DN.
Nhắm được thời cơ khi nhu cầu tìm kiếm các biểu mẫu về tài chính hay giáo dục
như “Biểu mẫu kinh doanh”, “Cách tham gia vào SQL”,… khiến cho tin tặc dễ dàng
xâm nhập vào hệ thống. Khi tải các biểu mẫu này, người dùng sẽ bị điều hướng đến
một website độc hại có chứa mã độc mà không hề hay biết.
Khi người dùng tìm thấy một trong các tệp PDF độc hại và mở chúng, họ sẽ được
nhắc tải một tệp tài liệu PDF hoặc DOC khác có chứa thông tin mà họ tìm kiếm. Thay
vì có được quyền truy cập và thông tin, chúng được chuyển hướng qua nhiều trang
web sử dụng TLD .site, .tk và .ga đến một trang web Google Drive clone có chứa phần

mềm độc hại Solar Marker. Khi truy cập vào, máy tính nạn nhân đã vô tình bị cài đặt
Trojan truy cập từ xa (Remote Access Trojan – RAT)
Những trang web này sẽ đánh vào lớp bảo mật Internet của máy tính người dùng,
tìm kiếm lỗ hổng để phát tán virus hoặc chương trình phần mềm độc hại vào đó. Một
khi người dùng bị nhiễm mã độc, virus hay các ứng dụng phần mềm độc hại, chúng có
thể ăn cắp thông tin cá nhân, đánh cắp thông tin hay xác thực hoặc sử dụng RAT như
một gián điệp ngầm trong máy tính người dùng
Để có thể đảm bảo an toàn trong trường hợp này, người dùng cần:
- Thường xuyên cập nhật máy tính và phần mềm, những bản cập nhật này có thể
bao gồm các bản sửa lỗi cải thiện tính bảo mật của hệ thống. Phiên bản cập nhật mới
hơn thường chứa bản sửa lỗi bảo mật hơn để ngăn chặn phần mềm độc hại tấn công
- Hạn chế sử dụng tài khoản quản trị viên giúp ngăn chặn phần mềm độc hại tấn
công và thực hiện thay đổi hệ thống
- Cân nhắc kĩ trước khi tải xuống các tài liệu hay nhấn vào các liên kết. Những
trang web hay tài liệu đó có thể đi kèm phần mềm độc hại
- Cẩn thận với những file đính kèm hay email spam vì có thể chứa phần mềm
độc hại
- Thường xuyên sử dụng các phần mềm diệt virus để sớm phát hiện phần mềm
độc hại và ngăn chặn phần mềm độc hại đó phát tán
Happy Blog - một trang web đen được duy trì bởi những tên tội phạm mạng đứng
sau các mã độc tống tiền được biết đến với cái tên REvil, Sodin và Sodinokibi đã bắt
đầu quá trình đấu giá trực tuyến vào đầu tháng 6/2020.
Tính đến ngày 3/6/2020, Happy Blog đã quảng cáo đấu giá dữ liệu từ hai công ty,
trong đó, một nạn nhân được mô tả như là một nhà phân phối thực phẩm. Cuộc đấu giá
hứa hẹn sẽ tung ra hơn 10.000 tệp chứa các phân tích dòng tiền bí mật, dữ liệu nhà
phân phối, nội dung bảo hiểm kinh doanh, thông tin nhà cung cấp và hình ảnh quét
giấy phép lái xe của những người trong mạng lưới phân phối của công ty. Cuộc đấu
giá thứ hai hứa hẹn sẽ tung ra các tài liệu và tài khoản kế toán, cùng với rất nhiều
thông tin quan trọng có giá trị đối với các đối thủ hoặc các bên quan tâm. Các nhà đấu
giá nói rằng nó đến từ một công ty sản xuất cây trồng nông nghiệp Canada.

Một trang đi kèm với vụ đấu giá dữ liệu của công ty bao gồm email của nhân
viên, các bản ghi nhớ ghi lại những cuộc gọi bí mật, bản kê khai tài sản cá nhân của
nhân viên và các tài liệu khác. Cuộc đấu giá tuyên bố bao gồm hơn 22.000 tệp ở định
dạng PDF, DOCX và XLSX. Ưu đãi tối thiểu là 50.000 USD và giá Blitz là 100.000
USD. Phí trong cả hai phiên đấu giá được thanh toán bằng loại tiền kỹ thuật số
Monero.
huống này
GIẢI:
Trong tình huống này, người dùng gặp phải nguy cơ từ các mối đe dọa của mã
độc tống tiền: Những kẻ điều hành mã độc tống tiền tung tin rằng hiện chúng đang bán
đấu giá dữ liệu bí mật của nạn nhân để gây thêm áp lực, buộc họ trả các khoản phí
khổng lồ để chuộc lại dữ liệu.
Là một công cụ tấn công không ngừng phát triển, thậm chí một mã độc tống tiền
ở dạng đơn giản nhất cũng gây thiệt hại tốn kém thời gian và tiền bạc đáng kể, và
những đợt tấn công nghiêm trọng hơn có khiến một công ty lụn bại hoặc bị phá hủy
hoàn toàn, không chừa một ai – thậm chí những tên tuổi lớn, nổi tiếng. Người dùng và
các công ty không có sự chuẩn bị trước có thể nhanh chóng mất đi dữ liệu quý giá và
tiền bạc do những đợt tấn công này.
Mã độc tống tiền (ransomware) sẽ yêu cầu người dùng trả tiền cho thủ phạm
đứng sau loại mã độc này, đổi lại sẽ được thủ phạm cung cấp cách thức để giải mã các
dữ liệu đã bị ransomware mã hóa hoặc cung cấp giải pháp để gỡ bỏ các phần mềm độc
hại đang hoạt động trên thiết bị.
Để có thể đảm bảo an toàn trong trường hợp này, người dùng cần:
- Cài đặt và thường xuyên nâng cấp một phần mềm diệt virus trên máy tính.
- Đảm bảo Windows và mọi phần mềm đang sử dụng trên máy tính đều thường
xuyên được nâng cấp để vá lại các lỗ hổng bảo mật.
- Tuyệt đối không kích vào các đường link khả nghi, dù được gửi đến từ người
quen (bởi lẽ tài khoản của họ có thể đã bị hacker chiếm đoạt hoặc tự động phát tán

đường link có chứa mã độc). Nhìn chung, nếu không chắc chắn về các trang web, tuyệt
đối không mở chúng.
- Tuyệt đối không mở các file đính kèm được gửi đến từ những người không
quen biết hoặc không tải các file từ các trang web không rõ nguồn gốc. Sau khi tải các
file từ Internet, bạn nên truy cập vào trang web https://virustotal.com/ (một công cụ
của Google) để kiểm tra xem file đó có “sạch” và an toàn để mở ra hay không.
- Thường xuyên sao lưu những dữ liệu quan trọng trên máy tính ra các thiết bị
lưu trữ bên ngoài hoặc các dịch vụ lưu trữ đám mây.
Theo VNCERT, hai phương pháp lây lan chủ yếu của mã độc Ransomware là:
- Gửi tệp tin nhiễm mã độc kèm theo thư điện tử, khi người sử dụng kích hoạt tệp
tin đính kèm thư điện tử sẽ làm lây nhiễm mã độc vào máy tính;
- Gửi thư điện tử hoặc tin nhắn điện tử có chứa đường dẫn đến phần mềm bị giả
mạo bởi mã độc Ransomware và đánh lừa người sử dụng truy cập vào đường dẫn này
để vô ý tự cài đặt mã độc lên máy tính. Ngoài ra, máy tính còn có thể bị nhiễm thông
qua các con đường khác như lây lan qua các thiết bị lưu trữ, lây qua cài đặt phần mềm,
sao chép dữ liệu, phần mềm...
Mã độc Ransomware sau khi lây nhiễm vào máy tính của người bị hại, sẽ dò quét
các tệp tin tài liệu có đuôi mở rộng như: .doc, .docx, .pdf, .xls, .xlsx, .jpg, .zip... trên
tất cả các thiết bị lưu trữ trên máy nạn nhân, tự động mã hóa và đổi tên các tệp tin đó
bằng cách sử dụng thuật toán mã hóa với khóa công khai, một số loại mã độc còn tiến
hành khóa máy tính nạn nhân không cho sử dụng. Sau đó, mã độc sẽ yêu cầu người bị
hại thanh toán qua mạng (thẻ tín dụng hoặc bitcoin) để lấy được khóa giải mã các tệp
tin đã bị mã hóa trái phép.
huống này
GIẢI:
Trong tình huống này, nguy cơ mà người dùng gặp phải là mã độc Ransomware

Ransomeware là loại mã độc rất nguy hiểm, có thể dẫn đến mất mát dữ liệu lớn
trong các cơ quan, tổ chức và cá nhân, đặc biệt khi bị nhiễm mã độc và các tài liệu đã
bị mã hóa thì không thể khôi phục dữ liệu. Một số trường hợp có thể thực hiện được
nhưng tốn nhiều thời gian, chi phí và không thể khôi phục lại được toàn bộ dữ liệu.
Mã độc ransomware sẽ yêu cầu người dùng trả tiền cho thủ phạm đứng sau loại
mã độc này, đổi lại sẽ được thủ phạm cung cấp cách thức để giải mã các dữ liệu đã bị
ransomware mã hóa hoặc cung cấp giải pháp để gỡ bỏ các phần mềm độc hại đang
hoạt động trên thiết bị.
Trong tình hình hiện nay, để phòng ngừa các loại mã độc mã hóa dữ liệu đòi tiền
chuộc, VNCERT khuyến cáo người sử dụng không click vào các đường link nhận
được qua chat, tuyệt đối không mở file đính kèm từ các email không rõ nguồn gốc vì
tin tặc có thể đánh cắp hoặc giả mạo hòm thư điện tử người gửi phát tán các kết nối
chứa mã độc. Trường hợp bắt buộc phải mở file để xem nội dung, người sử dụng có
thể mở trong môi trường cách ly an toàn Safe Run.
Bên cạnh việc thực hiện sao lưu định kỳ dữ liệu, cần đặc biệt chú ý phòng ngừa
nhằm hạn chế tối đa khả năng bị nhiễm mã độc.Cần thường xuyên cập nhật bản vá,
phiên bản mới nhất cho hệ điều hành và phần mềm chống mã độc (Kaspersky,
Synmatec, Avast, AVG, MSE, Bkav, CMC...).
Bên cạnh đó, VNCERT còn khuyến khích các cơ quan, tổ chức sử dụng các
phiên bản phần mềm phòng chống mã độc có chức năng đảm bảo an toàn khi truy cập
mạng Internet và phát hiện mã độc trực tuyến.
Mới đây, LastPass - trình quản lý mật khẩu phổ biến với hơn 25 triệu người dùng
đã bị chỉ trích là bí mật thu thập dữ liệu của người dùng. Một báo cáo đã cho thấy
rằng, ứng dụng Android của LastPass, tích hợp 07 trình theo dõi quảng cáo và phân
tích đã thu thập dữ liệu của người dùng như loại thiết bị, phiên bản Android, người
dùng có đang sử dụng gói miễn phí hay không và liệu đã kích hoạt bảo vệ sinh trắc
học hay chưa.
Nhà nghiên cứu người Đức Mike Kuketz là người đã phát hiện vấn đề này. Ông
nhận thấy rằng việc các ứng dụng xử lý dữ liệu nhạy cảm để tích hợp các mô-đun
quảng cáo và phân tích là hoàn toàn không thể chấp nhận được. Tóm lại, mã code bên
ngoài, độc quyền và không rõ ràng là không thể được tích hợp vào các ứng dụng xử lý

dữ liệu nhạy cảm. Đôi khi chính các nhà phát triển ứng dụng, những người tích hợp
các mô-đun này vào ứng dụng của họ thậm chí không biết những dữ liệu nào mà các
mô-đun này thu thập và truyền đến các nhà cung cấp bên thứ ba.
huống này
GIẢI:

AN TOÀN BẢO MẬT THÔNG TIN MỚI NHẤT

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

AN TOÀN BẢO MẬT THÔNG TIN MỚI NHẤT

Uploaded by

Copyright:

Available Formats

Facebook: photocopy Thành Đạt 0986.319.

AN TOÀN BẢO MẬT THÔNG TIN ( MỚI NHẤT )

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

- Nghe trộm đường truyền:

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu

Luôn cập nhập tài liệu