Đề thi IDS/IPS - Hệ thống Phát hiện và Phòng chống Xâm nhập mạng
Exam info
- Subject
- An ninh mạng
- Exam type
- High school
- Questions
- 50
- Duration
- 60 min
- Year
- 2026
- Answers
- ✓ With explanations
- School
- Yaly
Questions (50)
- Q 1.
[CLO a - Nhận biết] Firewall cổ điển hoạt động chủ yếu ở lớp nào trong mô hình OSI?
- A.
Lớp ứng dụng
- B.
Lớp mạng trở xuống
- C.
Lớp phiên
- D.
Lớp trình diễn
- A.
- Q 2.
[CLO a - Nhận biết] IDS là viết tắt của thuật ngữ nào?
- A.
Internet Detection System
- B.
Intrusion Detection System
- C.
Internal Defense System
- D.
Intruder Direct System
- A.
- Q 3.
[CLO a - Nhận biết] Theo tài liệu, IDS sử dụng mấy kỹ thuật chính để xác nhận các cuộc tấn công?
- A.
1 kỹ thuật
- B.
2 kỹ thuật
- C.
3 kỹ thuật
- D.
4 kỹ thuật
- A.
- Q 4.
[CLO a - Nhận biết] Kỹ thuật phát hiện dựa trên việc so sánh dữ liệu với các dấu hiệu mẫu tấn công đã biết trước được gọi là gì?
- A.
Anomaly Based Detection
- B.
Heuristic Detection
- C.
Signature Based Detection
- D.
Stateful Inspection
- A.
- Q 5.
[CLO a - Nhận biết] Kỹ thuật phát hiện tấn công dựa trên thống kê các hành động truy cập và cảnh báo khi giá trị vượt ngưỡng là?
- A.
Signature Based Detection
- B.
Anomaly Based Detection
- C.
Pattern Matching
- D.
Rule Based Filtering
- A.
- Q 6.
[CLO a - Nhận biết] NIDS là viết tắt của thuật ngữ nào?
- A.
Network Intrusion Detection System
- B.
Node Intrusion Detection System
- C.
Network Internal Defense System
- D.
New Internet Detection System
- A.
- Q 7.
[CLO a - Nhận biết] HIDS giám sát hoạt động ở phạm vi nào?
- A.
Toàn bộ mạng
- B.
Từng máy tính riêng biệt
- C.
Các router
- D.
Các firewall
- A.
- Q 8.
[CLO a - Nhận biết] IPS là viết tắt của thuật ngữ nào?
- A.
Internet Prevention System
- B.
Intrusion Prevention System
- C.
Internal Protection System
- D.
Information Prevention System
- A.
- Q 9.
[CLO a - Nhận biết] Nguồn thông tin chủ yếu của NIDS là gì?
- A.
System log
- B.
System audit
- C.
Các gói dữ liệu đang lưu thông trên mạng
- D.
Registry của Windows
- A.
- Q 10.
[CLO c - Nhận biết] Snort là công cụ thuộc loại nào?
- A.
HIDS mã nguồn đóng
- B.
NIDS mã nguồn mở
- C.
Phần mềm diệt virus
- D.
Hệ điều hành
- A.
- Q 11.
[CLO b - Nhận biết] Ngoài lưu lượng mạng, HIDS còn sử dụng nguồn thông tin nào?
- A.
System log và system audit
- B.
Chỉ email log
- C.
Chỉ web log
- D.
Chỉ application log
- A.
- Q 12.
[CLO b - Nhận biết] Theo tài liệu, NIDS làm việc tốt nhất khi được đặt ở đâu?
- A.
Trong vùng DMZ
- B.
Ngoài Internet
- C.
Trên máy client
- D.
Trên máy in
- A.
- Q 13.
[CLO a - Nhận biết] Firewall cổ điển không thể đọc được phần nào của gói tin?
- A.
Header
- B.
Payload
- C.
Footer
- D.
Trailer
- A.
- Q 14.
[CLO c - Nhận biết] Trong bảng công cụ IDS, công cụ nào là NIDS hỗ trợ Windows?
- A.
OSSEC
- B.
Snort
- C.
AIDE
- D.
Fail2Ban
- A.
- Q 15.
[CLO c - Nhận biết] Công cụ nào là HIDS hỗ trợ Mac OS?
- A.
Snort
- B.
Suricata
- C.
OSSEC
- D.
Bro
- A.
- Q 16.
[CLO c - Nhận biết] Theo tài liệu, thiết bị Cisco 4000 Series Integrated Services Routers sử dụng công cụ nào cho IPS/IDS?
- A.
OSSEC
- B.
Suricata
- C.
Snort
- D.
Bro
- A.
- Q 17.
[CLO c - Nhận biết] Snort có thể hoạt động ở những chế độ nào?
- A.
Chỉ chế độ Sniffer Mode
- B.
Chỉ chế độ IDS/IPS
- C.
Sniffer Mode, Packet Logger Mode và NIDS Mode
- D.
Chỉ chế độ Packet Logger Mode
- A.
- Q 18.
[CLO a - Nhận biết] Anomaly Based Detection tạo cảnh báo khi nào?
- A.
Khi phát hiện dấu hiệu mẫu tấn công
- B.
Khi giá trị thống kê vượt quá ngưỡng cho phép
- C.
Khi người dùng đăng nhập
- D.
Khi có bất kỳ gói tin nào
- A.
- Q 19.
[CLO a - Nhận biết] Nguyên tắc hoạt động cơ bản của IDS là gì?
- A.
Ngăn chặn truy cập trái phép
- B.
Theo dõi và cảnh báo các dấu hiệu tấn công
- C.
Mã hóa dữ liệu truyền đi
- D.
Nén dữ liệu truyền đi
- A.
- Q 20.
[CLO b - Nhận biết] Để tạo thành hệ thống bảo mật hoàn chỉnh, IDS nên kết hợp với những hệ thống nào?
- A.
Hệ thống giám sát, tường lửa, diệt virus
- B.
Chỉ tường lửa
- C.
Chỉ phần mềm diệt virus
- D.
Không cần kết hợp
- A.
- Q 21.
[CLO a - Thông hiểu] Tại sao Firewall không thể phát hiện các cuộc tấn công xuất phát từ bên trong mạng?
- A.
Vì Firewall quá đắt tiền
- B.
Vì Firewall không có khả năng đọc nội dung gói tin
- C.
Vì Firewall không có điện để hoạt động
- D.
Vì Firewall không cài driver
- A.
- Q 22.
[CLO a - Thông hiểu] IDS khác biệt cơ bản so với Firewall ở điểm nào?
- A.
IDS chỉ sinh ra cảnh báo, không ngăn chặn truy cập
- B.
IDS ngăn chặn gói tin trực tiếp
- C.
IDS là thiết bị vật lý riêng biệt
- D.
IDS là phần mềm diệt virus
- A.
- Q 23.
[CLO a - Thông hiểu] Ưu điểm nổi bật của Anomaly Based Detection so với Signature Based là gì?
- A.
Có thể phát hiện được các cuộc tấn công mới chưa biết trước
- B.
Không tốn tài nguyên hệ thống
- C.
Không cần cập nhật
- D.
Không bao giờ có false positive
- A.
- Q 24.
[CLO a - Thông hiểu] Nhược điểm lớn nhất của Signature Based Detection là gì?
- A.
Không phát hiện được tấn công mới chưa có mẫu và phải cập nhật liên tục
- B.
Tốn nhiều tài nguyên CPU nhất
- C.
Không thể cập nhật mẫu mới
- D.
Không phát hiện được bất kỳ tấn công nào
- A.
- Q 25.
[CLO b - Thông hiểu] Tại sao cần kết hợp IDS với Firewall để tạo hệ thống an ninh hiệu quả?
- A.
Vì IDS chưa triệt để, cần IDS phát hiện và Firewall ngăn chặn
- B.
Vì IDS không hoạt động được một mình
- C.
Vì Firewall không có cổng kết nối
- D.
Vì cả hai đều không hoạt động riêng lẻ
- A.
- Q 26.
[CLO b - Thông hiểu] HIDS phù hợp nhất với môi trường nào?
- A.
Giám sát nhiều máy chủ quan trọng cần bảo vệ chi tiết
- B.
Giám sát mạng lớn
- C.
Giám sát thiết bị IoT
- D.
Giám sát máy in
- A.
- Q 27.
[CLO b - Thông hiểu] NIDS sử dụng kỹ thuật nào để thu thập dữ liệu từ các gói tin trên mạng?
- A.
Packet sniffing
- B.
Data mining
- C.
SQL injection
- D.
Port scanning
- A.
- Q 28.
[CLO c - Thông hiểu] Để bảo vệ máy chủ web với Snort, vị trí đặt Snort phù hợp nhất là đâu?
- A.
Trước Firewall, ngoài Internet
- B.
Trong DMZ, phía sau Firewall
- C.
Trên Internet công cộng
- D.
Trên máy client của người dùng
- A.
- Q 29.
[CLO c - Thông hiểu] Snort ở chế độ Network Intrusion Detection System Mode có thể làm gì?
- A.
Chỉ cảnh báo (alert)
- B.
Chỉ chặn (block)
- C.
Có thể chọn cảnh báo hoặc chặn các mối đe dọa
- D.
Không thực hiện hành động nào
- A.
- Q 30.
[CLO a - Thông hiểu] Vì sao Firewall cổ điển không đọc được nội dung nguy hiểm trong payload?
- A.
Vì Firewall hoạt động ở lớp vật lý
- B.
Vì Firewall chỉ đọc được phần header của gói tin
- C.
Vì Firewall không có CPU
- D.
Vì Firewall không có RAM
- A.
- Q 31.
[CLO b - Thông hiểu] Khi phát hiện dấu hiệu tấn công, IDS sẽ thực hiện hành động nào?
- A.
Tự động ngăn chặn gói tin
- B.
Sinh ra cảnh báo cho hệ thống hoặc người quản trị
- C.
Khởi động lại server ngay lập tức
- D.
Tắt toàn bộ mạng
- A.
- Q 32.
[CLO c - Thông hiểu] Đặc điểm nổi bật nhất của Snort trong cộng đồng an ninh mạng là gì?
- A.
Mã nguồn đóng, bản quyền thương mại
- B.
Mã nguồn mở với cộng đồng lớn, có giá trị cả trong doanh nghiệp
- C.
Chỉ chạy trên Windows
- D.
Chỉ dành cho doanh nghiệp lớn
- A.
- Q 33.
[CLO a - Thông hiểu] Tại sao IDS cần kết hợp cả hai kỹ thuật Anomaly Based và Signature Based?
- A.
Vì cả hai kỹ thuật đều miễn phí
- B.
Vì Anomaly phát hiện tấn công mới, Signature phát hiện tấn công đã biết chính xác
- C.
Vì một mình không kỹ thuật nào hoạt động được
- D.
Vì cả hai đều có cùng ưu điểm
- A.
- Q 34.
[CLO b - Thông hiểu] HIDS phân tích những nguồn dữ liệu nào trên máy chủ?
- A.
Chỉ gói tin mạng
- B.
Lưu lượng mạng đến/đi, system log và system audit
- C.
Chỉ hệ thống tập tin
- D.
Chỉ registry
- A.
- Q 35.
[CLO b - Thông hiểu] IDS có thể phát hiện tấn công xuất phát từ bên trong mạng hay không?
- A.
Có, vì IDS phân tích nội dung payload của gói tin
- B.
Không, chỉ Firewall mới phát hiện được
- C.
Chỉ HIDS mới phát hiện được
- D.
Chỉ NIDS mới phát hiện được
- A.
- Q 36.
[CLO a - Vận dụng] Một công ty phát hiện lưu lượng HTTP bất thường từ máy chủ ra ngoài vào lúc 2h sáng với lượng data lớn. Kỹ thuật IDS nào phù hợp nhất để phát hiện?
- A.
Signature Based Detection
- B.
Anomaly Based Detection
- C.
Stateful Inspection
- D.
Heuristic Detection
- A.
- Q 37.
[CLO a - Vận dụng] Hệ thống IDS phát hiện chuỗi 'cmd.exe' xuất hiện trong gói tin HTTP POST đến server. Kỹ thuật nào được sử dụng?
- A.
Anomaly Based Detection
- B.
Signature Based Detection
- C.
Statistical Analysis
- D.
Behavior Monitoring
- A.
- Q 38.
[CLO a - Vận dụng] Nếu muốn phát hiện một loại malware zero-day chưa từng xuất hiện, kỹ thuật IDS nào phù hợp nhất?
- A.
Chỉ sử dụng Signature Based
- B.
Anomaly Based Detection
- C.
Không thể phát hiện được
- D.
Antivirus truyền thống
- A.
- Q 39.
[CLO b - Vận dụng] Một doanh nghiệp có 100 server quan trọng và cần giám sát chi tiết hoạt động trên từng server. Giải pháp nào phù hợp nhất?
- A.
Chỉ dùng NIDS
- B.
Triển khai HIDS trên từng server
- C.
Chỉ dùng Firewall
- D.
Chỉ dùng phần mềm diệt virus
- A.
- Q 40.
[CLO b - Vận dụng] Doanh nghiệp muốn giám sát toàn bộ lưu lượng mạng đi qua gateway Internet. Giải pháp nào phù hợp nhất?
- A.
HIDS
- B.
NIDS đặt tại gateway
- C.
Antivirus
- D.
VPN
- A.
- Q 41.
[CLO c - Vận dụng] Khi triển khai Snort để chủ động chặn các cuộc tấn công SQL Injection vào web server, cần cấu hình Snort ở chế độ nào?
- A.
Sniffer Mode
- B.
Packet Logger Mode
- C.
Network Intrusion Detection System Mode với tùy chọn block
- D.
Không cần cấu hình, Snort tự động chặn
- A.
- Q 42.
[CLO c - Vận dụng] Trong hệ thống pfSense, để sử dụng Snort làm IPS bảo vệ mạng LAN, cần thực hiện thao tác nào?
- A.
Cài đặt package Snort từ Package Manager của pfSense
- B.
Cắm USB chứa Snort vào pfSense
- C.
Cài thêm hệ điều hành Windows lên pfSense
- D.
Mua thêm một server vật lý riêng
- A.
- Q 43.
[CLO c - Nhận biết] Trong bảng "Top Intrusion Detection Tools & Software", công cụ nào sau đây được phân loại là NIDS và chỉ hỗ trợ duy nhất hệ điều hành Linux (không hỗ trợ Unix, Windows, Mac OS)?
- A.
Snort
- B.
Open WIPS-NG
- C.
Suricata
- D.
Bro
- A.
- Q 44.
[CLO c - Nhận biết] Theo bảng công cụ IDS trong tài liệu, công cụ nào được phân loại là "Both" (vừa HIDS vừa NIDS) và chỉ hỗ trợ duy nhất hệ điều hành Linux?
- A.
Sagan
- B.
Security Onion
- C.
OSSEC
- D.
SolarWinds Security Event Manager
- A.
- Q 45.
[CLO a - Nhận biết] Theo tài liệu, một số Firewall cổ điển có khả năng ngăn chặn truy cập dựa trên địa chỉ MAC Address ở lớp nào của mô hình OSI?
- A.
Lớp ứng dụng (Application Layer)
- B.
Lớp vật lý (Physical Layer)
- C.
Lớp mạng (Network Layer)
- D.
Lớp phiên (Session Layer)
- A.
- Q 46.
[CLO c - Thông hiểu] Theo tài liệu, chế độ Sniffer Mode của Snort có chức năng chính là gì?
- A.
So sánh gói tin với các signature tấn công để phát cảnh báo
- B.
Chặn (block) ngay lập tức các gói tin nguy hiểm
- C.
Hoạt động như một packet sniffer, bắt và hiển thị các gói tin trên mạng
- D.
Ghi log toàn bộ lưu lượng mạng vào file lưu trữ
- A.
- Q 47.
[CLO b - Thông hiểu] Tại sao NIDS hoạt động hiệu quả khi được đặt trên các subnet có chứa các server?
- A.
Vì server tự cung cấp nguồn điện cho NIDS hoạt động
- B.
Vì server là nơi duy nhất có địa chỉ IP trong mạng
- C.
Vì server thường là mục tiêu tấn công phổ biến, cần được giám sát chặt chẽ
- D.
Vì NIDS chỉ hoạt động được khi có server vật lý cùng subnet
- A.
- Q 48.
[CLO a - Thông hiểu] Điểm khác biệt cơ bản giữa IDS và IPS theo tài liệu là gì?
- A.
IDS sử dụng kỹ thuật Signature Based, còn IPS sử dụng Anomaly Based
- B.
IDS chỉ phát hiện và phát cảnh báo, còn IPS chủ động ngăn chặn các cuộc tấn công
- C.
IDS chạy trên phần cứng, còn IPS chạy trên phần mềm
- D.
IDS dành cho cá nhân, còn IPS chỉ dành cho doanh nghiệp
- A.
- Q 49.
[CLO b - Vận dụng] Một tổ chức cần một giải pháp IDS toàn diện có thể vừa giám sát lưu lượng mạng (NIDS) vừa giám sát hoạt động trên từng máy chủ (HIDS), triển khai trên nền tảng Linux với chi phí thấp. Theo bảng công cụ trong tài liệu, công cụ nào phù hợp nhất?
- A.
Snort
- B.
OSSEC
- C.
Security Onion
- D.
Fail2Ban
- A.
- Q 50.
[CLO c - Vận dụng] Một quản trị mạng đắn đo khi triển khai Snort vì cho rằng Snort quá phức tạp và chỉ có bộ luật cố định, không thể tùy chỉnh. Nhận định nào sau đây là đúng theo tài liệu?
- A.
Snort hoàn toàn không cho phép viết luật tùy chỉnh
- B.
Snort cho phép viết luật tùy chỉnh và được hỗ trợ bởi cộng đồng lớn với nhiều bộ luật phong phú
- C.
Snort chỉ hỗ trợ viết luật tùy chỉnh trên bản thương mại
- D.
Snort chỉ có thể hoạt động ở chế độ Sniffer Mode
- A.
Answers and explanations are in mode.