Ôn phỏng vấn Bảo mật (Security)

Ôn phỏng vấn

Câu hỏi phỏng vấn Bảo mật (Security) thường gặp (kèm gợi ý trả lời)

Câu hỏi phỏng vấn Security: OWASP Top 10, mã hoá, xác thực, SOC, SIEM, ứng phó sự cố và bảo mật cloud, kèm gợi ý trả lời. Gồm 12 câu do Drama Công Ty biên soạn: đọc ý chính rồi tự trả lời bằng ví dụ từ dự án của bạn.

  1. 01Tam giác CIA trong an toàn thông tin là gì? Cho ví dụ biện pháp bảo vệ từng yếu tố.Junior

    Gợi ý trả lời

    CIA là ba mục tiêu cốt lõi: Confidentiality (bí mật), Integrity (toàn vẹn), Availability (sẵn sàng). Mọi biện pháp bảo mật đều nhằm bảo vệ ít nhất một trong ba.

    • Confidentiality: mã hoá dữ liệu khi lưu và truyền, phân quyền theo least privilege, MFA.
    • Integrity: hash và chữ ký số, kiểm soát thay đổi, log audit không sửa được.
    • Availability: dự phòng, backup, chống DDoS, vá lỗi kịp thời.

    Người phỏng vấn muốn nghe: các yếu tố đôi khi xung đột, ví dụ khoá tài khoản sau nhiều lần sai mật khẩu tăng bí mật nhưng có thể bị lạm dụng để làm người dùng thật không đăng nhập được.

  2. 02Mã hoá đối xứng, bất đối xứng và hash khác nhau thế nào? Lưu mật khẩu người dùng ra sao?Junior

    Gợi ý trả lời

    Đối xứng dùng một khoá cho cả mã hoá và giải mã (AES), nhanh; bất đối xứng dùng cặp khoá công khai/bí mật (RSA, ECC), dùng cho trao đổi khoá và chữ ký số; hash là hàm một chiều, không giải mã được.

    • HTTPS kết hợp cả hai: bất đối xứng để thoả thuận khoá, đối xứng để mã hoá dữ liệu.
    • Mật khẩu: lưu bằng hàm hash chậm có salt như Argon2id, bcrypt hoặc scrypt.

    Hay sai:

    • Lưu mật khẩu bằng MD5/SHA-256 thuần: quá nhanh, dễ bị dò hàng loạt.
    • Gọi base64 là "mã hoá".
    • Mã hoá mật khẩu (giải ngược được) thay vì hash.
  3. 03SQL injection là gì? Bạn phòng tránh trong code thế nào?Junior

    Gợi ý trả lời

    SQL injection xảy ra khi dữ liệu người dùng được ghép thẳng vào câu SQL, khiến dữ liệu bị hiểu thành lệnh. Cách phòng chính là tách dữ liệu khỏi câu lệnh.

    // Sai: ghép chuỗi
db.query("SELECT * FROM users WHERE email = '" + email + "'");
// Đúng: tham số hoá
db.query("SELECT * FROM users WHERE email = $1", [email]);
    • Dùng prepared statement hoặc ORM đúng cách; cẩn thận với các hàm cho viết raw SQL.
    • Tên cột/bảng động thì kiểm tra theo danh sách cho phép.
    • Tài khoản DB của ứng dụng chỉ có quyền tối thiểu.
    • WAF và SAST là lớp bổ sung, không thay cho code đúng.
  4. 04XSS và CSRF khác nhau thế nào? Biện pháp phòng chống cho từng loại?Junior

    Gợi ý trả lời

    XSS là khi script lạ chạy trong trang của bạn trên trình duyệt người dùng; CSRF là khi trang khác lợi dụng phiên đăng nhập của người dùng để gửi request thay họ.

    Phòng XSS:

    • Escape đầu ra theo ngữ cảnh (framework hiện đại làm mặc định); cẩn thận với dangerouslySetInnerHTML, innerHTML.
    • Sanitize HTML do người dùng nhập bằng thư viện uy tín.
    • Content-Security-Policy, cookie phiên đặt HttpOnly.

    Phòng CSRF:

    • Cookie SameSite=Lax hoặc Strict.
    • CSRF token cho request thay đổi dữ liệu; kiểm tra header Origin.
    • Không dùng GET để thay đổi trạng thái.

    Hay sai: nghĩ HTTPS chống được XSS hay CSRF.

  5. 05Xác thực (authentication) khác phân quyền (authorization) thế nào? Kể lỗi phân quyền hay gặp.

    Gợi ý trả lời

    Authentication trả lời "bạn là ai"; authorization trả lời "bạn được làm gì". Lỗi phân quyền (Broken Access Control) đứng đầu OWASP Top 10 trong các bản gần đây.

    Lỗi hay gặp:

    • IDOR: đổi /orders/123 thành /orders/124 xem được đơn người khác vì server không kiểm tra chủ sở hữu.
    • Chỉ ẩn nút trên giao diện mà API vẫn cho gọi.
    • Tin vào role gửi từ client.

    Cách phòng:

    • Kiểm tra quyền ở server cho mọi request, mặc định từ chối.
    • Tập trung logic phân quyền vào một chỗ (middleware, policy).
    • Viết test cho trường hợp người dùng A truy cập dữ liệu của B.
  6. 06Dùng JWT cho xác thực API cần lưu ý những gì?

    Gợi ý trả lời

    JWT là token tự chứa thông tin, server kiểm tra bằng chữ ký mà không cần tra DB; điểm yếu là khó thu hồi trước khi hết hạn.

    • Luôn kiểm tra chữ ký với thuật toán cố định phía server; từ chối alg: none.
    • Kiểm tra exp, iss, aud.
    • Access token sống ngắn (vài phút), kèm refresh token có thể thu hồi và xoay vòng.
    • Payload chỉ base64, ai cũng đọc được: không chứa dữ liệu nhạy cảm.
    • Trên trình duyệt, cân nhắc cookie HttpOnly thay vì localStorage để giảm hậu quả nếu có XSS.
    • Khoá ký đủ mạnh, quản lý trong secret manager.

    Người phỏng vấn muốn nghe: hiểu đánh đổi giữa JWT và session lưu phía server.

  7. 07SIEM là gì? Trong SOC, bạn xử lý một alert như thế nào?

    Gợi ý trả lời

    SIEM thu thập log từ nhiều nguồn (firewall, endpoint, server, cloud, AD), chuẩn hoá, tương quan và sinh alert theo rule hoặc phát hiện bất thường.

    Quy trình xử lý alert:

    1. Triage: đọc alert, xác định tài sản và người dùng liên quan, mức độ quan trọng.
    2. Điều tra: đối chiếu log xung quanh thời điểm, tra IOC (IP, hash, domain) với threat intel.
    3. Kết luận: dương tính thật hay giả; ghi lại bằng chứng.
    4. Leo thang theo playbook nếu là sự cố thật.
    5. Tinh chỉnh rule nếu là báo động giả lặp lại.

    Người phỏng vấn muốn nghe: ghi chép đầy đủ và biết khi nào cần leo thang thay vì tự xử lý.

  8. 08Bạn đưa bảo mật vào quy trình phát triển phần mềm (DevSecOps) thế nào?

    Gợi ý trả lời

    Ý chính là "shift left": phát hiện lỗi sớm, tự động trong pipeline, nhưng không làm chậm team quá mức.

    • Thiết kế: threat modeling cho tính năng nhạy cảm (thanh toán, đăng nhập).
    • Code: SAST, quét secret ở pre-commit và CI.
    • Phụ thuộc: SCA quét thư viện có lỗ hổng, cập nhật tự động; tạo SBOM.
    • Build: quét image container, ký artifact.
    • Chạy thử: DAST trên staging.
    • Hạ tầng: quét IaC tìm cấu hình sai.

    Chặn build chỉ với lỗi mức cao có thể khai thác; lỗi khác đưa vào backlog có hạn xử lý.

    Hay sai: bật mọi công cụ với ngưỡng gắt, dev ngập báo động giả và tìm cách tắt.

  9. 09Phát hiện một máy chủ có dấu hiệu bị xâm nhập. Bạn ứng phó theo các bước nào?Senior

    Gợi ý trả lời

    Theo vòng đời ứng phó sự cố: chuẩn bị, phát hiện và phân tích, ngăn chặn, loại bỏ, khôi phục, rút kinh nghiệm.

    1. Xác nhận và báo cáo theo quy trình, lập nhóm xử lý, ghi mốc thời gian.
    2. Ngăn chặn: cô lập máy khỏi mạng nhưng không tắt nguồn vội, để giữ bằng chứng trong RAM.
    3. Thu thập bằng chứng: snapshot đĩa, bộ nhớ, log; giữ chuỗi bảo quản.
    4. Xác định phạm vi: tài khoản, máy khác, dữ liệu bị ảnh hưởng.
    5. Loại bỏ và khôi phục: dựng lại từ image sạch, đổi toàn bộ credential liên quan, vá lỗ hổng gốc.
    6. Sau sự cố: báo cáo, bổ sung rule phát hiện; thông báo theo nghĩa vụ pháp lý nếu lộ dữ liệu cá nhân.

    Hay sai: chỉ xoá mã độc rồi dùng tiếp máy đó.

  10. 10Zero Trust là gì? Bạn triển khai từng bước thế nào cho một công ty đang dùng VPN truyền thống?Senior

    Gợi ý trả lời

    Zero Trust bỏ giả định "ở trong mạng nội bộ là tin cậy": mọi truy cập đều được xác thực, kiểm tra thiết bị và cấp quyền tối thiểu theo từng ứng dụng.

    Lộ trình thực tế:

    • Tập trung danh tính (SSO), bắt buộc MFA, ưu tiên loại chống phishing (passkey, FIDO2).
    • Kiểm kê tài sản và ứng dụng, phân loại dữ liệu.
    • Kiểm tra trạng thái thiết bị (đã mã hoá, đã vá, có EDR) trước khi cho truy cập.
    • Thay VPN toàn mạng bằng truy cập theo từng ứng dụng qua access proxy.
    • Phân đoạn mạng để hạn chế di chuyển ngang.
    • Ghi log mọi truy cập và giám sát liên tục.

    Người phỏng vấn muốn nghe: Zero Trust là chiến lược làm dần, không phải mua một sản phẩm.

  11. 11Bạn bảo mật hạ tầng cloud cho công ty thế nào? Lỗi cấu hình nào nguy hiểm nhất?Senior

    Gợi ý trả lời

    Phần lớn sự cố cloud đến từ cấu hình sai và quản lý danh tính lỏng lẻo, không phải lỗ hổng của nhà cung cấp.

    Lỗi nguy hiểm hay gặp:

    • Bucket/storage để public, database mở ra Internet.
    • Access key dài hạn bị lộ, quyền quá rộng.
    • Tắt hoặc không bật log audit.

    Biện pháp:

    • IAM least privilege, ưu tiên role và credential ngắn hạn; MFA cho mọi người.
    • Guardrail cấp tổ chức chặn cấu hình nguy hiểm.
    • Bật log audit, đưa vào SIEM; dùng công cụ CSPM để phát hiện cấu hình sai liên tục.
    • Mã hoá mặc định, quản lý khoá tập trung.
    • Hạ tầng qua IaC có quét và review.

    Người phỏng vấn muốn nghe: nắm mô hình trách nhiệm chung giữa bạn và nhà cung cấp.

  12. 12Công ty có ngân sách bảo mật hạn chế. Bạn ưu tiên làm gì trước và đo hiệu quả thế nào?Senior

    Gợi ý trả lời

    Ưu tiên theo rủi ro: chặn những con đường tấn công phổ biến nhất với chi phí thấp nhất trước.

    Thứ tự hợp lý:

    1. Kiểm kê tài sản và dữ liệu quan trọng: không biết có gì thì không bảo vệ được.
    2. MFA cho email, VPN, tài khoản quản trị, cloud.
    3. Quản lý bản vá, nhất là hệ thống lộ ra Internet.
    4. Backup tách rời, có diễn tập khôi phục.
    5. EDR trên máy trạm và server, log tập trung.
    6. Đào tạo nhận diện phishing, quy trình báo cáo dễ dàng.

    Đo lường: tỷ lệ tài khoản có MFA, thời gian vá lỗ hổng nghiêm trọng, thời gian phát hiện và xử lý sự cố, kết quả diễn tập.

    Người phỏng vấn muốn nghe: nói được ngôn ngữ rủi ro kinh doanh với ban lãnh đạo.

Gặp câu hỏi khác khi phỏng vấn? Kể lại ẩn danh để người sau ôn đúng trọng tâm, hoặc xem câu hỏi thật hay gặp ở nhiều công ty.