Infrastructure & Security Engineer

Active Directory là dịch vụ thư mục của Windows Server, quản lý tập trung người dùng, máy tính, nhóm và xác thực (Kerberos) trong một domain.

• Tổ chức đối tượng theo OU (phòng ban, chi nhánh) để áp chính sách riêng.
• Cấp quyền qua group, không cấp trực tiếp cho từng user.
• Group Policy (GPO): chính sách mật khẩu, khoá màn hình, map ổ mạng, cài phần mềm.
• Có ít nhất 2 domain controller để dự phòng; AD phụ thuộc DNS nên DNS phải đúng.
• Tài khoản admin domain tách riêng khỏi tài khoản dùng hằng ngày.

Hay sai: đồng hồ lệch giữa máy và domain controller khiến Kerberos xác thực lỗi; cần đồng bộ NTP.

Trình bày theo lớp và nhấn vào phân vùng, dự phòng, quản lý.

• Phân VLAN: nhân viên, server, quản trị thiết bị, camera/IoT, Wi-Fi khách.
• Firewall ở biên và giữa các VLAN; Wi-Fi khách chỉ ra Internet, không vào mạng nội bộ.
• Core/access: switch L3 ở lõi, switch access có PoE cho AP và điện thoại IP; cân nhắc dự phòng đường lên.
• Internet: hai đường truyền từ hai nhà mạng, failover hoặc cân bằng tải.
• Dịch vụ: DHCP, DNS nội bộ, NTP, VPN cho làm việc từ xa.
• Vận hành: giám sát (SNMP, syslog), backup cấu hình thiết bị, sơ đồ mạng và tài liệu IP.

Người phỏng vấn muốn nghe: hỏi lại nhu cầu và ngân sách trước khi chốt thiết bị.

Bắt đầu từ RPO/RTO của từng hệ thống, rồi áp quy tắc 3-2-1: 3 bản sao dữ liệu, trên 2 loại phương tiện, 1 bản ở nơi khác.

• Có ít nhất một bản bất biến hoặc tách rời (offline, immutable) để chống ransomware mã hoá luôn cả backup.
• Kết hợp full và incremental; database dùng công cụ backup riêng để dữ liệu nhất quán.
• Phân quyền: tài khoản backup không dùng chung với tài khoản quản trị domain.
• Mã hoá bản backup, giám sát job thất bại.
• Diễn tập khôi phục định kỳ và đo thời gian thực tế.

Hay sai: coi RAID hoặc snapshot là backup. RAID không chống xoá nhầm; snapshot nằm cùng hệ thống với dữ liệu gốc.

Theo vòng đời ứng phó sự cố: chuẩn bị, phát hiện và phân tích, ngăn chặn, loại bỏ, khôi phục, rút kinh nghiệm.

1. Xác nhận và báo cáo theo quy trình, lập nhóm xử lý, ghi mốc thời gian.
2. Ngăn chặn: cô lập máy khỏi mạng nhưng không tắt nguồn vội, để giữ bằng chứng trong RAM.
3. Thu thập bằng chứng: snapshot đĩa, bộ nhớ, log; giữ chuỗi bảo quản.
4. Xác định phạm vi: tài khoản, máy khác, dữ liệu bị ảnh hưởng.
5. Loại bỏ và khôi phục: dựng lại từ image sạch, đổi toàn bộ credential liên quan, vá lỗ hổng gốc.
6. Sau sự cố: báo cáo, bổ sung rule phát hiện; thông báo theo nghĩa vụ pháp lý nếu lộ dữ liệu cá nhân.

Hay sai: chỉ xoá mã độc rồi dùng tiếp máy đó.

Zero Trust bỏ giả định "ở trong mạng nội bộ là tin cậy": mọi truy cập đều được xác thực, kiểm tra thiết bị và cấp quyền tối thiểu theo từng ứng dụng.

Lộ trình thực tế:

• Tập trung danh tính (SSO), bắt buộc MFA, ưu tiên loại chống phishing (passkey, FIDO2).
• Kiểm kê tài sản và ứng dụng, phân loại dữ liệu.
• Kiểm tra trạng thái thiết bị (đã mã hoá, đã vá, có EDR) trước khi cho truy cập.
• Thay VPN toàn mạng bằng truy cập theo từng ứng dụng qua access proxy.
• Phân đoạn mạng để hạn chế di chuyển ngang.
• Ghi log mọi truy cập và giám sát liên tục.

Người phỏng vấn muốn nghe: Zero Trust là chiến lược làm dần, không phải mua một sản phẩm.

Đo trước: chi phí và độ trễ đến từ số token vào/ra, kích thước mô hình, số lần gọi trong một yêu cầu.

• Chọn mô hình: định tuyến, việc dễ cho mô hình nhỏ, việc khó mới gọi mô hình lớn.
• Giảm token: prompt gọn, truy xuất ít đoạn nhưng chính xác hơn (rerank), giới hạn độ dài đầu ra.
• Prompt caching cho phần prompt cố định lặp lại; cache câu trả lời cho câu hỏi trùng.
• Streaming để người dùng thấy chữ sớm, cải thiện độ trễ cảm nhận.
• Gộp việc không gấp thành batch.
• Tự host: quantization, batching động, engine suy luận tối ưu.

Người phỏng vấn muốn nghe: mọi tối ưu đều kiểm tra lại bằng bộ eval để chắc chất lượng không giảm.

Mục tiêu là thu nhỏ bề mặt tấn công và có khả năng phát hiện bất thường.

• Cập nhật hệ thống, bật cập nhật bảo mật tự động; gỡ dịch vụ không dùng.
• SSH: chỉ đăng nhập bằng key, tắt đăng nhập root và mật khẩu, giới hạn IP nguồn hoặc đi qua VPN/bastion.
• Firewall (nftables, ufw, security group) chỉ mở port cần thiết.
• Tài khoản riêng cho từng người, dùng sudo, không chia sẻ tài khoản.
• Chống dò mật khẩu (fail2ban), bật SELinux/AppArmor nếu ứng dụng hỗ trợ.
• Đẩy log sang hệ thống tập trung, giám sát đăng nhập và thay đổi file quan trọng.

Người phỏng vấn muốn nghe: làm bằng script hoặc Ansible để mọi server giống nhau, không làm tay từng máy.

Ưu tiên khôi phục, giao tiếp rõ ràng, rồi mới tìm nguyên nhân và khắc phục tận gốc.

1. Báo cho người dùng và quản lý biết đang xử lý, ước lượng thời gian.
2. Kiểm tra nhanh: nguồn điện, đèn cổng, console vào được không, log thiết bị.
3. Nghi vòng lặp L2 (broadcast storm): rút dây gần đây, kiểm tra STP.
4. Hỏng phần cứng: thay bằng thiết bị dự phòng, nạp lại cấu hình đã backup.
5. Sau sự cố: viết báo cáo, xác định điểm lỗi đơn, đề xuất dự phòng (stack/hai switch lõi, nguồn kép, UPS), quy trình thay đổi cấu hình có duyệt.

Người phỏng vấn muốn nghe: có backup cấu hình và tài liệu sẵn, không phải dựng lại từ trí nhớ.

OSI có 7 tầng: Physical, Data Link, Network, Transport, Session, Presentation, Application. Thực tế người ta hay dùng mô hình TCP/IP 4 tầng, nhưng vẫn gọi tên theo OSI.

• Switch (L2): chuyển frame theo địa chỉ MAC; switch L3 có thêm định tuyến.
• Router (L3): định tuyến gói theo địa chỉ IP giữa các mạng.
• Firewall: lọc ở L3/L4 (IP, port); firewall thế hệ mới đọc được tới L7 (ứng dụng, URL).
• TCP/UDP ở L4; HTTP, DNS ở L7.

Người phỏng vấn muốn nghe: dùng OSI để khoanh vùng sự cố, ví dụ "ping được nhưng không mở được web" là vấn đề từ L4 trở lên.

Dùng STAR: Situation (bối cảnh), Task (nhiệm vụ), Action (bạn làm gì), Result (kết quả). Phần Action nên chiếm nhiều nhất.

Câu mẫu:

• S: "Lead muốn dùng một thư viện mới cho module báo cáo, em thấy thư viện đó còn ít người dùng và lo về bảo trì."
• T: "Em cần nêu rủi ro mà không làm chậm tiến độ."
• A: "Em gặp riêng anh, đưa so sánh hai phương án và đề xuất làm thử một bản nhỏ trong hai ngày để đánh giá."
• R: "Kết quả thử cho thấy thư viện cũ đáp ứng đủ, anh đồng ý giữ lại. Từ đó team có thói quen làm bản thử trước khi đổi công nghệ."

Người phỏng vấn muốn nghe: bạn tranh luận bằng dữ liệu, tôn trọng người khác, và chấp nhận quyết định cuối cùng kể cả khi không theo ý mình.