Q: Hãy thực hiện threat modeling (theo phương pháp STRIDE) cho tính năng chuyển tiền giữa các ngân hàng qua Napas tại Việt Nam. Bạn sẽ xác định những threat quan trọng nhất là gì?

STRIDE áp dụng: (1) Spoofing: giả mạo người dùng/ngân hàng nguồn - mitigate: MFA + mutual TLS với Napas, (2) Tampering: thay đổi số tiền/số tài khoản trong transit - mitigate: request signing, integrity check, (3) Repudiation: chối bỏ giao dịch - mitigate: immutable audit log, digital signature, (4) Information Disclosure: lộ thông tin giao dịch - mitigate: encryption at rest + in transit, (5) DoS: flood API chuyển tiền - mitigate: rate limiting per user per day, (6) Elevation of Privilege: thực hiện giao dịch vượt hạn mức - mitigate: server-side limit check. Điểm cộng: vẽ DFD (Data Flow Diagram) trước khi STRIDE; nhận ra rằng race condition trong giao dịch song song là threat quan trọng (TOCTOU); đề cập đến Napas HSM (Hardware Security Module) cho transaction signing.

Question 1

Trong số OWASP Top 10, lỗ hổng nào bạn gặp phổ biến nhất tại các công ty Việt Nam và bạn đã xử lý nó như thế nào trong thực tế?

Accepted Answer

Trả lời nên: (1) Xác định 2-3 lỗ hổng cụ thể với ví dụ thực tế tại VN (SQL injection trong legacy PHP, IDOR trong REST API, misconfiguration của cloud services), (2) Mô tả cách phát hiện (pentest, code review, SAST/DAST), (3) Remediation cụ thể không chỉ dừng ở lý thuyết, (4) Cách ngăn chặn tái phát (secure coding guidelines, training). Nhà tuyển dụng tìm kiếm ứng viên có kinh nghiệm thực chiến về bảo mật, không chỉ thuộc danh sách OWASP Top 10. Ứng viên mạnh nêu được một hoặc hai lỗ hổng phổ biến nhất tại các công ty Việt Nam - kiểm soát truy cập bị phá vỡ (Broken Access Control) cực kỳ phổ biến ở hệ thống legacy thiếu xác thực/phân quyền đúng chuẩn, SQL injection vẫn nhiều ở hệ thống PHP cũ - kèm ví dụ cụ thể về cách phát hiện và xử lý trong dự án thực tế. Điểm cộng nếu ứng viên phân biệt được IDOR và BAC và giải thích cách kiểm tra từng loại. Nhà tuyển dụng có thể hỏi thêm: "Bạn đã từng thuyết phục dev ưu tiên sửa lỗi bảo mật trước tính năng mới chưa?"

Question 2

Hãy mô tả phương pháp luận pentest của bạn cho một ứng dụng web banking tại Việt Nam. Bạn sẽ phân biệt và xử lý phạm vi (scope) như thế nào để tránh vi phạm pháp luật?

Accepted Answer

Các giai đoạn: (1) Pre-engagement: ký NDA, xác định scope rõ ràng bằng văn bản (IP ranges, domains, excluded systems như production DB), (2) Reconnaissance: passive (OSINT, Shodan, Certificate Transparency) → active, (3) Scanning & Enumeration (Nmap, Burp Suite), (4) Exploitation với báo cáo ngay khi tìm thấy critical, (5) Reporting: CVSS scoring, PoC, remediation guidance, (6) Retest. Yếu tố Việt Nam cần đề cập: Thông tư 09/2020/TT-NHNN yêu cầu NHNN được thực hiện security assessment; Nghị định 13/2023 về bảo vệ dữ liệu cá nhân; cần có written authorization từ phía client trước khi bắt đầu bất kỳ activity nào.

Question 3

Lúc 2 giờ sáng, hệ thống cảnh báo phát hiện lưu lượng bất thường từ một máy chủ nội bộ đang gửi dữ liệu ra ngoài với tốc độ 500MB/giờ. Bạn là người trực sự cố. Bạn làm gì trong 30 phút đầu tiên?

Accepted Answer

Theo NIST IR framework: (1) Triage (5 phút): xác nhận alert không phải false positive, notify incident commander, (2) Containment (10 phút): isolate server khỏi network nhưng KHÔNG tắt máy (preserve memory forensics), capture memory dump và packet capture, (3) Eradication: xác định vector xâm nhập, (4) Ghi chép timeline đầy đủ, (5) Communication: alert CISO, chuẩn bị thông báo cho management. Điểm cộng quan trọng: không tắt máy ngay (mất volatile memory - running processes, network connections, encryption keys); sử dụng chain of custody cho evidence; kiểm tra xem đây có phải scheduled backup hay data replication không trước khi escalate.

Question 4

Công ty bạn đang chuyển từ mô hình bảo mật perimeter-based (VPN + firewall) sang Zero Trust. Hãy mô tả lộ trình thực hiện trong 12 tháng với ngân sách hạn chế.

Accepted Answer

Lộ trình theo 3 giai đoạn: (1) Q1 - Nền tảng: triển khai Identity Provider mạnh (MFA bắt buộc, SSO), inventory toàn bộ assets, (2) Q2-Q3 - Micro-segmentation: chia network thành segments nhỏ, implement RBAC nghiêm ngặt, thiết lập device trust (EDR), (3) Q4 - Continuous verification: conditional access policies, SIEM + behavior analytics, loại bỏ VPN dần dần. Nguyên tắc Zero Trust: 'Never trust, always verify'; 'Assume breach'; 'Least privilege access'. Với ngân sách hạn chế: ưu tiên identity (Microsoft Entra/Okta là investment xứng đáng nhất), sau đó là privileged access management (PAM).

Question 5

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân có ảnh hưởng như thế nào đến kiến trúc hệ thống bạn đang xây dựng? Hãy nêu 3 yêu cầu cụ thể và cách bạn implement về mặt kỹ thuật.

Accepted Answer

Các yêu cầu kỹ thuật từ NĐ 13: (1) Consent management - cần lưu trữ consent với timestamp, version, scope; implement consent audit log, (2) Right to erasure - thiết kế data deletion cascade, soft delete với scheduler xóa sau 30 ngày, anonymization thay vì xóa với analytics data, (3) Data breach notification - hệ thống phải có khả năng báo cáo trong 72 giờ cho Bộ Công An. Điểm cộng: biết rằng NĐ 13 phân loại dữ liệu thành 'cơ bản' và 'nhạy cảm' (sức khỏe, sinh trắc học, tôn giáo...) với mức bảo vệ khác nhau; data localization requirement cho dữ liệu công dân VN; DPO (Data Protection Officer) không bắt buộc nhưng khuyến nghị.

Question 6

Bạn được giao thực hiện security audit cho một ứng dụng mobile banking (iOS + Android) đang có 500.000 người dùng tại Việt Nam. Bạn sẽ ưu tiên kiểm tra những gì và tại sao?

Accepted Answer

Ưu tiên theo risk và impact: (1) Authentication và session management (token storage an toàn, certificate pinning, biometric bypass), (2) API security (IDOR trong transaction endpoints, mass assignment, rate limiting), (3) Data storage local (không lưu sensitive data trong SharedPreferences/NSUserDefaults, SQLite không mã hóa), (4) Network security (SSL pinning, traffic analysis), (5) Business logic (transfer limits bypass, race conditions trong giao dịch). Tìm kiếm: tham chiếu đến OWASP Mobile Top 10 (khác với Web Top 10); biết cách sử dụng Frida/Objection cho dynamic analysis; MAS Testing Guide (MASTG) của OWASP; yêu cầu về kiểm thử theo Thông tư 35/2018/TT-NHNN.

Question 7

Team engineering của công ty bạn đang làm việc nhanh với CI/CD nhưng security review đang là bottleneck. Bạn sẽ tích hợp security vào pipeline như thế nào mà không làm chậm quá trình phát triển?

Accepted Answer

DevSecOps pipeline: (1) IDE plugins (SonarLint, Semgrep) - developer tự phát hiện sớm, (2) Pre-commit hooks: secret scanning (Gitleaks, detect-secrets), (3) CI pipeline: SAST (Semgrep/Checkmarx), dependency scanning (Snyk/OWASP Dependency Check), (4) Container image scanning (Trivy) trước khi push registry, (5) DAST (OWASP ZAP) trong staging environment, (6) SLA cho security findings: Critical < 24h, High < 7 ngày. Chiến lược quan trọng để không làm chậm: chỉ block pipeline ở Critical/High; Medium/Low tạo issue tracker ticket thay vì block; security champion model trong từng team; threat modeling sớm ở design phase.

Question 8

Hãy thực hiện threat modeling (theo phương pháp STRIDE) cho tính năng chuyển tiền giữa các ngân hàng qua Napas tại Việt Nam. Bạn sẽ xác định những threat quan trọng nhất là gì?

Accepted Answer

STRIDE áp dụng: (1) Spoofing: giả mạo người dùng/ngân hàng nguồn - mitigate: MFA + mutual TLS với Napas, (2) Tampering: thay đổi số tiền/số tài khoản trong transit - mitigate: request signing, integrity check, (3) Repudiation: chối bỏ giao dịch - mitigate: immutable audit log, digital signature, (4) Information Disclosure: lộ thông tin giao dịch - mitigate: encryption at rest + in transit, (5) DoS: flood API chuyển tiền - mitigate: rate limiting per user per day, (6) Elevation of Privilege: thực hiện giao dịch vượt hạn mức - mitigate: server-side limit check. Điểm cộng: vẽ DFD (Data Flow Diagram) trước khi STRIDE; nhận ra rằng race condition trong giao dịch song song là threat quan trọng (TOCTOU); đề cập đến Napas HSM (Hardware Security Module) cho transaction signing.