Cách dùng bài này tốt nhất: đọc câu hỏi, chọn đáp án trước khi cuộn xuống phần giải thích. Nếu bạn đúng ngẫu nhiên — giải thích quan trọng hơn đáp án. Nếu bạn đúng và hiểu đúng — tick và chuyển câu. Nếu bạn sai — phần giải thích chính là bài học.
Đáp án nhanh (không giải thích): trang kèm theo. Xem sau khi đã làm hết 50 câu.
Phần A — Nền Tảng OT & Kiến Trúc (Câu 1–15)
Câu 1. Sự khác biệt cốt lõi giữa hệ thống IT và OT khi xử lý sự cố bảo mật là gì?
a) OT đắt tiền hơn IT nên phải bảo vệ kỹ hơn b) IT ưu tiên Tính bảo mật (Confidentiality), OT ưu tiên Tính sẵn sàng (Availability) c) OT không bao giờ được kết nối Internet d) IT không cần quản lý rủi ro vật lý
Đáp án: B. Trong IT, tam giác CIA (Confidentiality–Integrity–Availability) thường đặt bảo mật thông tin lên đầu. Trong OT, thứ tự đảo ngược: Availability (hệ thống phải tiếp tục chạy) quan trọng nhất, vì dừng một dây chuyền sản xuất hay một lưới điện có hậu quả ngay lập tức về vật lý và kinh tế. Đây là lý do vá lỗi trong OT phức tạp hơn IT nhiều — không thể reboot tùy tiện.
Câu 2. Mô hình Purdue chia hệ thống mạng nhà máy thành các cấp độ. Cấp độ nào chứa PLC, RTU và các bộ điều khiển trường?
a) Level 0 b) Level 1 c) Level 2 d) Level 3
Đáp án: B. Level 0 là các thiết bị vật lý (cảm biến, actuator, van). Level 1 là PLC, RTU — bộ điều khiển ra lệnh trực tiếp cho thiết bị. Level 2 là HMI, vận hành. Level 3 là SCADA server, Historian. Hiểu đúng phân cấp này là nền tảng để trả lời hầu hết câu hỏi về kiến trúc mạng OT.
Câu 3. IDMZ (Industrial DMZ) được đặt ở đâu trong kiến trúc Purdue?
a) Giữa Level 0 và Level 1 b) Giữa Level 2 và Level 3 c) Giữa Level 3 và Level 4 d) Giữa Level 4 và Level 5
Đáp án: C. IDMZ là vùng đệm giữa mạng OT (tối cao là Level 3 với SCADA/Historian) và mạng IT doanh nghiệp (Level 4/5). Nó đảm bảo không có kết nối trực tiếp từ IT xuống OT — tất cả dữ liệu phải “dừng lại” tại IDMZ và được chuyển tiếp bởi máy chủ trung gian.
Câu 4. Giao thức nào KHÔNG phải là giao thức công nghiệp OT?
a) Modbus TCP b) DNP3 c) SMTP d) PROFINET
Đáp án: C. SMTP là giao thức email — hoàn toàn thuộc thế giới IT. Modbus TCP, DNP3, và PROFINET đều là giao thức công nghiệp được dùng rộng rãi trong OT.
Câu 5. Trong IEC 62443, khái niệm “Zone” được định nghĩa như thế nào?
a) Một tầng trong mô hình Purdue b) Nhóm các tài sản có cùng yêu cầu bảo mật c) Một loại tường lửa công nghiệp d) Giao thức phân chia VLAN
Đáp án: B. Zone trong IEC 62443 là nhóm các tài sản (thiết bị, phần mềm, dữ liệu) có chung yêu cầu bảo mật và được bảo vệ bởi cùng một cơ chế. “Conduit” là kênh kết nối được kiểm soát giữa các Zone.
Câu 6. Giao thức Modbus TCP chạy trên cổng nào theo mặc định?
a) 102 b) 502 c) 4840 d) 9600
Đáp án: B. Port 502 là cổng mặc định của Modbus TCP. S7comm (Siemens) dùng TCP 102, OPC UA dùng 4840, FINS (Omron) dùng UDP/TCP 9600.
Câu 7. Vì sao không nên dùng Nmap để quét mạng OT đang sản xuất?
a) Nmap không nhận diện được thiết bị công nghiệp b) Nmap tốn nhiều băng thông c) Các gói tin quét của Nmap có thể gây treo hoặc crash thiết bị OT đời cũ d) Nmap bị cấm bởi mọi tiêu chuẩn OT
Đáp án: C. Nhiều PLC và thiết bị OT đời cũ được thiết kế trong thời kỳ mạng nhà máy là môi trường yên tĩnh, không có gói tin lạ. Khi nhận các gói tin quét của Nmap (SYN scan, UDP probe…) mà chúng không biết xử lý, chúng có thể bị treo hoặc crash. Đây không phải lỗ hổng bảo mật — đây là đặc tính phần cứng. Tham khảo: Tác động và rủi ro khi dùng Nmap trong hệ thống OT.
Câu 8. “Air-gap” trong OT Security nghĩa là gì, và vì sao nó không phải là biện pháp bảo mật đủ?
a) Khoảng cách vật lý giữa hai máy tính; đủ an toàn nếu >1 mét b) Cách ly hoàn toàn không có kết nối mạng; bị vượt qua bởi USB và thiết bị di động c) Mã hóa dữ liệu trong vùng OT; cần thêm tường lửa d) Phân vùng VLAN; cần thêm IDS
Đáp án: B. Air-gap là cách ly vật lý hoàn toàn khỏi mạng. Stuxnet dạy chúng ta rằng air-gap bị vượt qua bằng USB mà nhà thầu mang vào. Laptop của người được phép mang vào và cắm USB là con đường vào hoàn hảo — không cần một byte nào đi qua mạng.
Câu 9. Trong mô hình Defense-in-Depth cho OT, cấp độ phòng thủ nào được ưu tiên thấp nhất?
a) Bảo mật vật lý (khóa tủ điện, kiểm soát ra vào) b) Phân vùng mạng (VLAN, firewall) c) Bảo mật thiết bị đầu cuối (antivirus trên HMI Windows) d) Quy trình và chính sách (quản lý tài khoản, vá lỗi)
Đáp án: C. Antivirus trên HMI Windows trong OT là vấn đề phức tạp — cần kiểm thử kỹ trước khi triển khai vì có thể ảnh hưởng đến real-time performance và tương thích với phần mềm SCADA. Không phải là không làm, nhưng đây là lớp cần thận trọng nhất và thường có ưu tiên thấp hơn so với phân vùng mạng và bảo mật vật lý.
Câu 10. Passive Monitoring (giám sát thụ động) khác Active Scanning (quét chủ động) ở điểm gì quan trọng nhất trong môi trường OT?
a) Passive Monitoring rẻ hơn b) Passive Monitoring không gửi gói tin vào mạng, không ảnh hưởng thiết bị c) Active Scanning cho kết quả chính xác hơn d) Passive Monitoring cần cài phần mềm trên mỗi thiết bị
Đáp án: B. Giám sát thụ động dùng TAP hoặc SPAN port để “nhìn” vào lưu lượng mạng mà không gửi bất kỳ gói tin nào — như camera quan sát. Với thiết bị OT nhạy cảm, đây là phương pháp phát hiện duy nhất không có rủi ro làm treo thiết bị.
Câu 11. Một kỹ sư phát hiện PLC Siemens S7-1200 đang để Access Level “Full access (no protection)”. Rủi ro chính là gì?
a) PLC có thể bị mất điện đột ngột b) Bất kỳ ai kết nối được đến PLC đều có thể tải chương trình mới xuống không cần mật khẩu c) HMI không kết nối được với PLC d) PLC không thể cập nhật firmware
Đáp án: B. “Full access” nghĩa là không có bảo vệ truy cập nào. Ai kết nối được qua mạng đều có thể đọc chương trình, ghi chương trình mới, và thay đổi cấu hình — không cần xác thực. Đây chính xác là điểm mà hardening S7-1200 nhắm tới.
Câu 12. IEC 62443 định nghĩa các cấp độ Security Level (SL) từ 0 đến 4. SL2 có nghĩa là gì?
a) Chỉ bảo vệ chống lỗi ngẫu nhiên b) Bảo vệ chống kẻ tấn công có chủ đích với kỹ năng thấp và ít nguồn lực c) Bảo vệ chống kẻ tấn công tinh vi, có nguồn lực nhà nước d) Không cần bảo vệ
Đáp án: B. SL1: chống vi phạm ngẫu nhiên (lỗi người dùng). SL2: chống kẻ tấn công có chủ đích, kỹ năng thấp, nguồn lực hạn chế — mức phù hợp cho phần lớn nhà máy sản xuất thông thường. SL3: kẻ tấn công có kỹ năng cao và tinh vi. SL4: tấn công nhà nước, nguồn lực gần như không giới hạn.
Câu 13. “Least Privilege” trong bối cảnh OT nghĩa là gì?
a) Dùng thiết bị rẻ nhất có thể b) Mỗi tài khoản/thiết bị chỉ có quyền truy cập tối thiểu cần thiết để thực hiện chức năng của nó c) Giới hạn số lượng người dùng trong hệ thống d) Ưu tiên tài sản có giá trị thấp khi cấp phát tài nguyên
Đáp án: B. Nguyên tắc Least Privilege: HMI chỉ cần đọc/ghi tag vận hành — không cần quyền tải chương trình xuống PLC. Kỹ sư tự động hóa cần quyền tải chương trình — nhưng không cần quyền truy cập mạng văn phòng. Giới hạn quyền đúng mức giảm thiệt hại khi một tài khoản bị chiếm.
Câu 14. Khi thiết kế IDMZ, nguyên tắc nào là quan trọng nhất?
a) IDMZ phải có băng thông cao nhất b) IDMZ không được chứa bất kỳ máy chủ nào c) Không có kết nối trực tiếp từ IT xuống OT hoặc ngược lại — mọi dữ liệu phải dừng lại tại IDMZ d) IDMZ phải nằm trong mạng OT
Đáp án: C. Mục đích cốt lõi của IDMZ là đảm bảo không có kết nối “xuyên thẳng” từ IT sang OT. Dữ liệu từ Historian OT được đẩy lên Historian Replica ở IDMZ — nhân viên văn phòng truy cập Historian Replica, không truy cập xuống Historian gốc.
Câu 15. Tại sao vá lỗi (patch management) trong OT khó hơn trong IT?
a) Phần mềm OT không có lỗ hổng bảo mật b) Nhà cung cấp OT không phát hành bản vá c) Việc vá đòi hỏi dừng hệ thống, kiểm thử tương thích kỹ lưỡng, và thường cần cửa sổ bảo trì hiếm d) Vá lỗi trong OT là tự động và không cần can thiệp người
Đáp án: C. Nhà máy không thể dừng tùy tiện. Một bản vá kernel Windows cho máy HMI cần kiểm thử xem nó có làm phần mềm SCADA bị crash không. Cửa sổ bảo trì có thể chỉ có một lần mỗi năm. Tham khảo: Hướng dẫn vá lỗi an toàn trong OT.
Phần B — Giao Thức & Thiết Bị (Câu 16–30)
Câu 16. Giao thức S7comm (Siemens) chạy trên cổng nào?
a) TCP 502 b) TCP 102 c) UDP 9600 d) TCP 44818
Đáp án: B. TCP 102 là cổng của S7comm. Đây là giao thức riêng của Siemens để giao tiếp với S7-300/400/1200/1500. Nếu firewall của bạn chặn TCP 102, các kết nối TIA Portal hoặc WinCC tới PLC sẽ bị chặn.
Câu 17. GOOSE trong IEC 61850 được thiết kế để làm gì?
a) Ghi nhật ký sự kiện dài hạn b) Truyền tín hiệu bảo vệ tức thời (TRIP) giữa các IED với độ trễ mili-giây c) Mã hóa dữ liệu giữa các IED d) Cung cấp xác thực cho hệ thống bảo vệ
Đáp án: B. GOOSE (Generic Object Oriented Substation Events) được thiết kế cho tốc độ — phát tín hiệu TRIP và các sự kiện bảo vệ với độ trễ cực thấp (4–12ms theo IEC 61850). Đây là lý do nó là giao thức Layer 2 không qua routing — thêm một hop cũng đã thêm độ trễ.
Câu 18. Vì sao GOOSE không có xác thực trong thiết kế gốc?
a) Tác giả IEC 61850 quên thêm b) Xác thực thêm độ trễ, xung đột với yêu cầu thời gian thực của hệ thống bảo vệ c) Xác thực quá đắt để triển khai d) GOOSE được thiết kế chỉ dùng trong môi trường Internet
Đáp án: B. Đây là đánh đổi thiết kế có chủ đích. Khi mạng trạm biến áp là hệ khép kín vật lý, không xác thực là chấp nhận được để đổi lấy tốc độ. Vấn đề xảy ra khi môi trường thay đổi nhưng giao thức không thay đổi theo.
Câu 19. MC Protocol của Mitsubishi MELSEC dùng cổng nào?
a) TCP 502 và UDP 502 b) TCP 5006 (Binary) và TCP 5007 (ASCII) c) TCP 102 và TCP 103 d) UDP 9600 và UDP 9601
Đáp án: B. TCP 5006 cho Binary mode và 5007 cho ASCII mode là cổng mặc định của MC Protocol (MELSEC Communication Protocol). Khi hardening Mitsubishi, đây là các cổng cần kiểm soát ở tầng firewall.
Câu 20. FINS protocol của Omron chạy trên cổng nào và thiếu tính năng bảo mật gì quan trọng?
a) TCP 102; thiếu mã hóa dữ liệu b) UDP/TCP 9600; thiếu xác thực người gọi c) TCP 44818; thiếu kiểm soát toàn vẹn d) TCP 502; thiếu kiểm soát truy cập dựa trên vai trò
Đáp án: B. FINS chạy trên port 9600, và điểm yếu cốt lõi là không xác thực nguồn gọi — ai gửi được gói tin FINS đúng định dạng đều đọc/ghi được bộ nhớ PLC.
Câu 21. Trong bảo mật OT, “Compensating Control” là gì?
a) Biện pháp thay thế khi biện pháp gốc không thể triển khai b) Hệ thống bồi thường thiệt hại sau sự cố c) Biện pháp tự động vá lỗi thiết bị OT d) Phương pháp kiểm soát chất lượng sản xuất
Đáp án: A. Khi không thể vá một thiết bị (vì quá cũ, vì dừng máy là không thể), compensating control là biện pháp thay thế giảm rủi ro: phân vùng mạng chặt hơn, giám sát chặt hơn, kiểm soát vật lý bổ sung.
Câu 22. Stuxnet xác định mục tiêu của nó bằng cách kiểm tra điều gì?
a) Địa chỉ IP của mạng b) Tên đăng nhập người dùng Windows c) Loại CPU Siemens + loại biến tần + dải tần hoạt động cụ thể d) Phiên bản STEP 7 đang cài
Đáp án: C. Stuxnet kiểm tra CPU có phải S7-315/417 không, có đúng loại biến tần (Vacon, Fararo Paya) không, và dải tần có trong khoảng 807–1210 Hz không. Nếu bất kỳ điều kiện nào không khớp, Stuxnet không làm gì. Đây là thiết kế nhắm mục tiêu cực kỳ chính xác.
Câu 23. Colonial Pipeline bị gián đoạn 6 ngày vì điều gì?
a) Hệ thống điều khiển đường ống bị ransomware mã hóa b) Kẻ tấn công mở van làm tràn nhiên liệu c) Hệ thống billing IT bị ransomware + không chắc chắn về ranh giới IT/OT → tự dừng OT d) Lỗi kỹ thuật trong hệ thống SCADA
Đáp án: C. OT không bị tấn công. Colonial dừng đường ống vì hai lý do: (1) không chắc chắn kẻ tấn công có đường sang OT không, và (2) hệ thống billing bị mã hóa khiến họ không thể ghi nhận và tính tiền lượng nhiên liệu bơm qua — không thể vận hành thương mại. Bài phân tích đầy đủ.
Câu 24. DNP3 Secure Authentication version 5 (SAv5) cung cấp điều gì mà DNP3 cơ bản thiếu?
a) Mã hóa dữ liệu end-to-end b) Xác thực challenge-response giữa master và outstation c) Nén dữ liệu để tiết kiệm băng thông d) Tự động phát hiện xâm nhập
Đáp án: B. SAv5 thêm cơ chế xác thực: master gửi thử thách, outstation phải trả lời đúng bằng HMAC dựa trên khóa bí mật chung. Nếu không xác thực được, lệnh điều khiển bị từ chối.
Câu 25. Keyswitch trên bộ điều khiển an toàn Triconex (Schneider) có vai trò gì trong vụ TRITON?
a) Mã hóa firmware của SIS b) Ở vị trí PROGRAM thay vì RUN, cho phép tải firmware từ xa — lý do mã độc cài được c) Kiểm soát nguồn điện dự phòng d) Phân chia vùng bộ nhớ của SIS
Đáp án: B. Keyswitch ở PROGRAM (thay vì RUN) cho phép tải firmware và chương trình từ xa vào Triconex. Nếu ở RUN, phải có người đến tận nơi xoay chìa khóa — ngăn chặn hoàn toàn tấn công từ xa. Chiếc khóa bị để quên ở PROGRAM sau một lần bảo trì là lý do vật lý trực tiếp khiến TRITON thành công một phần.
Câu 26. Trong IEC 61850, “Merging Unit” có chức năng gì?
a) Gộp nhiều Zone IEC 62443 thành một b) Chuyển đổi dữ liệu analog từ CT/PT thành tín hiệu số theo chuẩn IEC 61850-9-2 (Sampled Values) c) Kết nối mạng Station Level và Bay Level d) Lưu trữ và đồng bộ cấu hình IED
Đáp án: B. Merging Unit đứng giữa CT (Current Transformer), PT (Potential Transformer) vật lý và mạng IEC 61850. Nó số hóa dòng điện và điện áp analog thành Sampled Values truyền qua mạng. Đây là thành phần của trạm biến áp số (Digital Substation) thế hệ mới nhất.
Câu 27. “Historian” trong hệ thống SCADA là gì, và tại sao nó liên quan đến bảo mật?
a) Phần mềm ghi nhật ký sự cố bảo mật b) Cơ sở dữ liệu time-series lưu dữ liệu quá trình; thường là cầu nối giữa OT và IT nếu không được thiết kế đúng c) Hệ thống sao lưu cấu hình PLC d) Công cụ phân tích lịch sử tấn công
Đáp án: B. Historian (OSIsoft PI, Ignition Historian…) lưu dữ liệu quá trình theo thời gian để phân tích sau. Vì nó cần nhận dữ liệu từ OT và chia sẻ với IT/ERP, nó thường là điểm mà hai mạng giao nhau. Nếu Historian đặt sai vị trí (không trong IDMZ), nó trở thành “cây cầu không có kiểm soát” từ IT xuống OT.
Câu 28. Tại sao “Industroyer/CrashOverride” (Ukraine 2016) đáng sợ hơn BlackEnergy (Ukraine 2015)?
a) Gây mất điện nhiều hơn về quy mô b) Tự học được ngôn ngữ của lưới điện (IEC 104, IEC 61850) — không cần con người ngồi bấm chuột, có thể nhân bản sang lưới điện khác c) Phá hủy phần cứng vật lý d) Lây nhiễm qua USB thay vì mạng
Đáp án: B. Đây là điểm cốt lõi của bài Ukraine 2016. Industroyer tự nói được giao thức điện lực — không cần biết giao diện HMI của nạn nhân. Đổi cấu hình là đổi được mục tiêu. BlackEnergy cần người ngồi bấm chuột — không thể nhân bản.
Câu 29. “Defense in Depth” trong OT Security không phải là:
a) Phòng thủ nhiều lớp độc lập b) Không có một lớp nào hoàn hảo — sự kết hợp tạo nên sức mạnh c) Một lớp bảo mật duy nhất đủ mạnh để ngăn chặn mọi tấn công d) Bao gồm cả bảo mật vật lý, mạng, và quy trình
Đáp án: C. Defense in Depth dựa trên nguyên tắc ngược lại: không có lớp nào đủ mạnh một mình. Mỗi lớp đảm nhận một phần, và kẻ tấn công phải vượt qua tất cả.
Câu 30. Trong TRITON/TRISIS, kẻ tấn công nhắm vào SIS với mục tiêu cuối cùng là gì?
a) Đánh cắp dữ liệu quy trình b) Làm gián đoạn sản xuất để tống tiền c) Vô hiệu hóa lớp bảo vệ cuối cùng, cho phép DCS gây ra tình huống nguy hiểm mà không bị chặn d) Cài backdoor để theo dõi lâu dài
Đáp án: C. Đây là lý do TRITON là sự cố đáng lo nhất trong lịch sử OT Security: nó không nhắm vào sản xuất hay dữ liệu, mà nhắm vào thứ được đặt ở đó để cứu mạng người. Bước hai sẽ là dùng DCS gây sự cố thật mà SIS không chặn được. Phân tích đầy đủ.
Phần C — Ứng Phó & Quản Lý (Câu 31–42)
Câu 31. Khi phát hiện có mã độc trên một máy HMI đang điều khiển dây chuyền sản xuất, bước đầu tiên là gì?
a) Tắt máy HMI ngay lập tức b) Cài lại Windows c) Đánh giá tác động vận hành trước khi quyết định cô lập — dừng HMI đột ngột có thể nguy hiểm hơn d) Gọi vendor SCADA
Đáp án: C. Đây là điểm OT IR (Incident Response) khác hoàn toàn với IT IR. Trong IT, “cô lập máy bị nhiễm” là bước đúng đắn. Trong OT, tắt HMI có thể khiến dây chuyền mất điều khiển, làm tràn bồn, quá nhiệt lò. Bước đầu tiên phải là hiểu hậu quả vật lý của việc tắt máy trước khi tắt.
Câu 32. “Tabletop Exercise” (diễn tập bàn giấy) trong OT Security có giá trị gì?
a) Kiểm tra hiệu năng hệ thống SCADA b) Phát hiện các khoảng trống trong quy trình phối hợp và ra quyết định mà không cần dừng sản xuất c) Kiểm tra mật khẩu của tất cả người dùng d) Thay thế cho pentest thực tế
Đáp án: B. Diễn tập bàn giấy không cần thiết bị, không dừng máy, không tốn nhiều. Nó đặt đội ngũ vào một kịch bản giả định và để lộ: ai gọi ai, ai có quyền quyết định gì, quy trình trên giấy khác quy trình thực tế ở đâu. Chi phí thấp nhất, thông tin nhiều nhất.
Câu 33. Quy trình “Change Management” (quản lý thay đổi) quan trọng trong OT vì:
a) Giúp kế toán theo dõi chi phí thiết bị b) Mọi thay đổi (firmware, cấu hình, cáp mạng) phải được ghi nhận — đây là thứ phân biệt “thay đổi hợp lệ” và “tấn công” c) Pháp luật Việt Nam yêu cầu d) Giúp nhà thầu lập hóa đơn chính xác hơn
Đáp án: B. Khi hệ thống hoạt động bất thường, câu hỏi đầu tiên là: “có ai thay đổi gì không?” Nếu mọi thay đổi đều được ghi nhận với timestamp, người thực hiện, lý do, và phê duyệt — bạn có thể phân biệt thay đổi hợp lệ với sự can thiệp bất hợp lệ. Không có log này, điều tra sự cố gần như mù.
Câu 34. Trong OT Security, “Asset Inventory” (kiểm kê tài sản) thường khó hơn IT vì:
a) Thiết bị OT đắt hơn và khó đếm b) Nhiều thiết bị OT không thể quét chủ động, firmware không báo cáo, và một số thiết bị không ai nhớ tên c) Phần mềm quản lý tài sản OT không tồn tại d) Nhà cung cấp OT giữ bí mật thông tin thiết bị
Đáp án: B. Kiểm kê OT phức tạp vì: không thể quét mạng (sẽ làm treo thiết bị), thiết bị cũ không tự báo cáo, hồ sơ thiết kế không cập nhật theo thay đổi thực tế. Một trạm có thể có vài chục IED mà danh sách chính thức chỉ ghi vài cái. Đây là lý do Active Monitoring kết hợp với Passive Discovery (giám sát thụ động để phát hiện tài sản) là phương pháp thực tế nhất.
Câu 35. “Secure Remote Access” cho nhà thầu OT tốt nhất nên bao gồm gì?
a) Cấp tài khoản VPN vĩnh viễn với full access b) Cho phép dùng TeamViewer không hạn chế c) Truy cập tạm thời, có xác thực 2 yếu tố, ghi log mọi phiên, giới hạn quyền theo nhiệm vụ d) Cho nhà thầu mang laptop vào cắm trực tiếp vào switch OT
Đáp án: C. Nhà thầu cần truy cập nhưng không cần truy cập vĩnh viễn. Tài khoản theo phiên, bật khi cần, tắt khi xong, ghi log toàn bộ, chỉ vào được hệ thống liên quan. Đây là nguyên tắc Least Privilege áp dụng cho truy cập từ xa.
Câu 36. Sau một cuộc tấn công OT, điều tra pháp chứng số (forensics) trong OT khó hơn IT vì:
a) OT không có log b) Thiết bị OT thường thiếu bộ nhớ đủ lớn cho log, log có thể bị ghi đè, và một số thiết bị không hỗ trợ export log c) Pháp luật cấm điều tra OT d) Hệ thống OT quá phức tạp để phân tích
Đáp án: B. PLC và RTU không thiết kế để lưu log điều tra — chúng thiết kế để điều khiển. Bộ nhớ hạn chế, vòng ghi đè nhanh, và giao thức không lưu lịch sử kết nối. Đây là lý do giám sát mạng thụ động (Zeek, Suricata) quan trọng: nó lưu lịch sử giao tiếp ở tầng mạng, không phụ thuộc vào khả năng log của thiết bị.
Câu 37. Shodan được dùng trong bảo mật OT phòng thủ như thế nào một cách hợp lệ?
a) Quét mạng OT của đối thủ cạnh tranh để so sánh b) Tra cứu dải IP của chính đơn vị để xem thiết bị nào đang lộ ra Internet c) Tìm kiếm lỗ hổng trong phần mềm SCADA mới d) Theo dõi các cuộc tấn công đang diễn ra
Đáp án: B. Shodan là công cụ hợp lệ để “external attack surface discovery” — xem mình trông như thế nào từ phía ngoài Internet. Chỉ tra dải IP do chính mình sở hữu. Tra IP của người khác là vi phạm pháp luật ở hầu hết quốc gia.
Câu 38. Trong bối cảnh OT, “Legacy system” (hệ thống cũ) là thách thức bảo mật vì:
a) Chúng quá đắt tiền b) Nhà sản xuất đã ngừng hỗ trợ, không có bản vá, không thể nâng cấp phần mềm bảo mật, nhưng vẫn phải chạy vì lý do vận hành c) Chúng không kết nối được với mạng hiện đại d) Nhà cung cấp giữ bí mật giao thức
Đáp án: B. Windows XP chạy SCADA mà nhà cung cấp phần mềm không hỗ trợ trên Windows mới hơn là ví dụ điển hình. Không vá được, không nâng cấp được, nhưng dừng máy thì mất sản xuất. Compensating control là câu trả lời: phân vùng chặt, giám sát, kiểm soát vật lý.
Câu 39. “Cyber-HAZOP” kết hợp điều gì?
a) Phân tích mã độc và nguy cơ cháy nổ b) Phương pháp HAZOP truyền thống với các guideword mối đe dọa mạng để phân tích rủi ro an toàn từ nguyên nhân cyber c) Hệ thống cảnh báo mạng và hệ thống cảnh báo hóa chất d) Chứng chỉ an ninh mạng cho kỹ sư hóa chất
Đáp án: B. HAZOP truyền thống dùng guideword (More, Less, No, Reverse…) để phân tích rủi ro quy trình từ nguyên nhân vật lý. Cyber-HAZOP thêm nguyên nhân cyber: “Nếu một tác nhân có chủ đích thay đổi setpoint này thì sao?” Đây là cách đưa nguy cơ mạng vào ngôn ngữ của kỹ sư an toàn.
Câu 40. Một nhà máy phát hiện một máy tính Windows không rõ nguồn gốc đã cắm vào switch OT. Ưu tiên xử lý theo đúng quy trình OT Incident Response là gì?
a) Rút ngay máy tính đó ra b) Tắt toàn bộ hệ thống OT c) Đánh giá tác động vận hành, thông báo cho người có thẩm quyền, sau đó cô lập theo quy trình được phê duyệt d) Gọi cảnh sát ngay lập tức
Đáp án: C. Hành động vội vàng (rút ngay, tắt máy) có thể gây hậu quả vận hành ngay lập tức. Bước đúng: hiểu hệ thống đang ở trạng thái gì, thông báo đúng người có thẩm quyền ra quyết định, rồi cô lập theo quy trình đã được phê duyệt trước.
Câu 41. Tại sao backup và khả năng phục hồi quan trọng đặc biệt trong OT?
a) Thiết bị OT hỏng thường xuyên hơn IT b) Khi bị tấn công (như ransomware), khả năng phục hồi nhanh quyết định thiệt hại thực tế; backup chương trình PLC là thứ cần khi thay CPU c) Pháp luật bắt buộc backup mọi 24 giờ d) SCADA không thể tự lưu trạng thái
Đáp án: B. Colonial Pipeline trả tiền chuộc nhưng vẫn mất 6 ngày vì phục hồi từ công cụ của kẻ tấn công quá chậm — cuối cùng dùng backup của chính mình. Backup chương trình PLC (lưu offline, không phải trên máy kết nối mạng) là thứ cho phép thay CPU hỏng và phục hồi trong giờ thay vì ngày.
Câu 42. “Purple Team Exercise” trong OT Security là gì?
a) Diễn tập chỉ có đội tấn công b) Diễn tập chỉ có đội phòng thủ c) Đội tấn công (Red) và phòng thủ (Blue) làm việc cùng nhau để cải thiện cả hai d) Diễn tập với khách hàng bên ngoài
Đáp án: C. Purple Team là mô hình học tập hai chiều: Red Team thực hiện kỹ thuật tấn công và giải thích cho Blue Team thấy, Blue Team điều chỉnh phát hiện và phòng thủ. Trong OT, đây thường hiệu quả hơn Red Team thuần túy vì rủi ro vận hành giới hạn khả năng tấn công “thật”.
Phần D — Tình Huống Thực Tế (Câu 43–50)
Câu 43. Kỹ sư A phát hiện một PLC Omron trong nhà máy đang nghe cổng 9600 từ mọi địa chỉ IP trong mạng OT. Biện pháp phòng thủ ngay lập tức nào hiệu quả nhất mà không làm gián đoạn vận hành?
a) Tắt PLC để vá firmware b) Cài antivirus trên PLC c) Cấu hình firewall/ACL tầng mạng để chỉ IP của HMI hợp lệ được gửi gói tin tới cổng 9600 d) Đổi PLC sang dòng khác
Đáp án: C. Kiểm soát ở tầng mạng là biện pháp không ảnh hưởng đến PLC, không cần dừng máy, và hiệu quả ngay. PLC vẫn chạy bình thường — chỉ có các kết nối không được phép bị chặn trước khi tới nó.
Câu 44. Một nhà máy muốn kết nối dữ liệu Historian OT lên hệ thống ERP của phòng kế hoạch. Thiết kế nào đúng nhất theo mô hình Purdue?
a) Kết nối trực tiếp từ ERP server (Level 4) xuống Historian OT (Level 3) b) Đặt Historian Replica trong IDMZ; ERP đọc từ Replica, Historian OT đẩy lên Replica — không có kết nối ngược c) Cho phòng kế hoạch truy cập VPN vào mạng OT d) Đặt ERP server vào mạng OT
Đáp án: B. Đây là cách IDMZ hoạt động đúng: dữ liệu chỉ đi một chiều từ OT lên IDMZ (push), không bao giờ ERP kéo trực tiếp xuống OT (pull). Kết nối ngược chiều tạo ra đường từ IT xuống OT — phá vỡ toàn bộ mục đích của phân vùng.
Câu 45. Một kỹ sư nhà thầu xin cấp tài khoản VPN để hỗ trợ SCADA từ xa. Quy trình đúng là gì?
a) Cấp ngay tài khoản VPN full access vĩnh viễn để nhà thầu hỗ trợ nhanh b) Từ chối hoàn toàn — không cho nhà thầu truy cập từ xa c) Cấp tài khoản tạm thời cho phiên hỗ trợ cụ thể, với quyền hạn giới hạn đúng hệ thống cần hỗ trợ, có 2FA, ghi log toàn phiên, xóa sau khi xong d) Cho nhà thầu dùng tài khoản admin của kỹ sư nội bộ
Đáp án: C. Nguyên tắc Least Privilege và Just-In-Time Access áp dụng cho nhà thầu: quyền tối thiểu, thời gian tối thiểu, ghi log đầy đủ.
Câu 46. Trong quá trình audit mạng OT, bạn phát hiện máy trạm kỹ thuật (Engineering Workstation) đang nối cả mạng OT lẫn có kết nối WiFi văn phòng. Đây là vấn đề gì?
a) Không phải vấn đề — kỹ sư cần cả hai để làm việc b) Máy này tạo ra “cây cầu” vô tình giữa IT và OT — nếu bị nhiễm mã độc từ WiFi văn phòng, mã độc có đường sang mạng OT c) Chỉ là vấn đề hiệu năng mạng d) Vi phạm chính sách bảo mật IT
Đáp án: B. Đây chính xác là kiểu cầu nối không có trong sơ đồ mạng nhưng rất phổ biến trong thực tế. Stuxnet vào nhà máy Natanz qua USB từ laptop của nhà thầu — kiểu tương tự. Máy này phải được cô lập: hoặc dùng riêng cho OT (không có WiFi văn phòng), hoặc cắm vào mạng OT chỉ khi có công việc được phê duyệt.
Câu 47. Một alarm SCADA báo giá trị flow meter bất thường. Bạn kiểm tra tại hiện trường, flow thật sự bình thường. Khả năng nào đáng lo nhất từ góc nhìn bảo mật OT?
a) Cảm biến bị hỏng b) Lỗi phần mềm SCADA c) Ai đó đang ghi đè dữ liệu cảm biến — SCADA hiển thị dữ liệu giả trong khi giá trị thật bình thường (hoặc ngược lại) d) Vấn đề truyền thông tạm thời
Đáp án: C. Khi dữ liệu trên màn hình không khớp với thực tế vật lý, khả năng bảo mật đáng lo nhất là ai đó đang can thiệp vào dữ liệu. Đây là “HMI nói dối” của Stuxnet — và đây là lý do giám sát độc lập ở tầng mạng (không qua SCADA) quan trọng: nó không bị nói dối.
Câu 48. Nhà máy bạn vừa mua một thiết bị SCADA mới từ nhà cung cấp. Trước khi đưa vào mạng OT, bước bảo mật đầu tiên là gì?
a) Kết nối thẳng vào mạng OT và kiểm tra hoạt động b) Đánh giá bảo mật thiết bị: firmware mới nhất, mật khẩu mặc định đổi chưa, dịch vụ không cần thiết đã tắt chưa, tài liệu bảo mật từ nhà cung cấp đã đọc chưa c) Cài antivirus trước d) Báo cáo lên ban giám đốc
Đáp án: B. Thiết bị mới không có nghĩa là an toàn. Thiết bị ra khỏi hộp thường có: mật khẩu mặc định, firmware chưa phải mới nhất, dịch vụ không cần thiết bật. Tất cả phải được kiểm tra và cấu hình trước khi đưa vào môi trường sản xuất.
Câu 49. Sự khác biệt quan trọng nhất giữa “Vulnerability Assessment” (đánh giá lỗ hổng) và “Penetration Testing” (kiểm tra xâm nhập) trong bối cảnh OT là gì?
a) Pentest đắt hơn b) Vulnerability Assessment chỉ xác định lỗ hổng, Pentest khai thác chúng — và trong OT, khai thác thật có thể gây hại vật lý nên Pentest OT rất hạn chế và cẩn thận c) Vulnerability Assessment chỉ dùng cho IT d) Không có khác biệt
Đáp án: B. Trong IT, pentest là thực hành phổ biến. Trong OT, khai thác thật một lỗ hổng trên thiết bị điều khiển có thể làm treo máy, gián đoạn sản xuất, hoặc gây nguy hiểm vật lý. OT “pentest” thường thực tế là Vulnerability Assessment kết hợp kiểm tra cấu hình — không phải khai thác thật trên thiết bị sản xuất.
Câu 50. Một kỹ sư tự động hóa với 5 năm kinh nghiệm muốn chuyển sang OT Security. Kỹ năng nào họ cần học THÊM (không phải là lợi thế đã có)?
a) Hiểu quy trình công nghệ của nhà máy b) Biết PLC, HMI, SCADA hoạt động thế nào c) Hiểu mạng TCP/IP, giao thức Ethernet, cách phân tích gói tin d) Biết tại sao không được restart PLC tùy tiện
Đáp án: C. Câu a, b, d là những thứ kỹ sư tự động hóa đã có và là lợi thế lớn. TCP/IP, mạng, phân tích gói tin là phần họ cần học thêm — và đây là phần có tài liệu, có lab miễn phí, có thể học được trong vài tháng. Đây là luận điểm trung tâm của lộ trình 12 tháng.
Đáp Án Nhanh (Không Giải Thích)
1-B | 2-B | 3-C | 4-C | 5-B | 6-B | 7-C | 8-B | 9-C | 10-B 11-B | 12-B | 13-B | 14-C | 15-C | 16-B | 17-B | 18-B | 19-B | 20-B 21-A | 22-C | 23-C | 24-B | 25-B | 26-B | 27-B | 28-B | 29-C | 30-C 31-C | 32-B | 33-B | 34-B | 35-C | 36-B | 37-B | 38-B | 39-B | 40-C 41-B | 42-C | 43-C | 44-B | 45-C | 46-B | 47-C | 48-B | 49-B | 50-C
Tự Đánh Giá
45–50 đúng: Bạn sẵn sàng thi. Xem xét đăng ký EC-Council ICS/SCADA hoặc GICSP. 35–44 đúng: Nền tảng tốt. Ôn lại các phần sai, dựng lab thực hành. 25–34 đúng: Cần củng cố thêm. Đọc lại các bài nền tảng, làm lab 0-A, 0-B. Dưới 25: Bắt đầu từ lộ trình học và lab miễn phí — đừng vội thi.
🎓 Tiếp Theo Sau 50 Câu Này
Đọc hiểu và thi trắc nghiệm là một chuyện. Biết xử lý khi xảy ra thật là chuyện khác.
Khóa EC-Council ICS/SCADA Cyber Security đặt bạn vào các tình huống từ Phần D — nhưng trong môi trường OT mô phỏng, bạn tự xử lý thật, có người sửa khi làm sai.
📞 Zalo 0948432780 · 🗺️ Lộ trình học miễn phí
BQT OT SECURITY VN
Leave a Reply