Phỏng Vấn Cybersecurity & Information Security: 10 Câu Hỏi Từ Pentest Đến Incident Response - Công Ty Bị Hack, Bạn Xử Lý Thế Nào?
Mục lục bài viết
Cuộc chiến tuyển dụng bảo mật thông tin ngày càng khốc liệt. Chỉ riêng năm 2024, Statista ghi nhận 73% doanh nghiệp từng bị tấn công ransomware, với thiệt hại trung bình lên đến 14.056 USD mỗi phút ngừng hoạt động hệ thống. Giám đốc an ninh mạng (CISO) không chỉ cần am hiểu kỹ thuật mà còn phải biết đưa ra quyết định dưới áp lực cao - và các nhà tuyển dụng ngày nay muốn thấy điều đó ngay trong buổi phỏng vấn đầu tiên.
Bài viết này tổng hợp 10 câu hỏi phỏng vấn cybersecurity phổ biến nhất từ vòng sàng lọc kỹ thuật đến vòng scenario-based, giúp bạn hiểu rõ góc độ nhà tuyển dụng đang hướng đến và chuẩn bị câu trả lời có chiều sâu.
1. Pentest là gì? Phân biệt Vulnerability Assessment và Penetration Testing
Một trong những câu hỏi xuất hiện gần như bắt buộc ở vòng phỏng vấn kỹ thuật: "Sự khác biệt giữa Vulnerability Assessment (VA) và Penetration Testing (PT) là gì?"
Câu trả lời ngắn gọn: VA là kiểm tra cửa đã mở hay chưa, còn PT là bước bạn bước qua cửa đó thật sự.
Vulnerability Assessment dùng các công cụ tự động như Nessus, OpenVAS để quét và xác định, phân loại lỗ hổng bảo mật trong hệ thống. Kết quả trả về là danh sách các điểm yếu kèm mức độ ưu tiên dựa trên CVSS score. Quá trình này không cố gắng khai thác sâu hơn.
Penetration Testing đi xa hơn một bước: không chỉ phát hiện lỗ hổng mà còn thực sự khai thác chúng để xem hacker có thể đi sâu đến đâu trong hệ thống. PT bao gồm leo thang đặc quyền (privilege escalation), di chuyển ngang (lateral movement), và lấy cắp dữ liệu như một kẻ tấn công thực sự.
Nhiều ứng viên Junior Pentester gặp khó khi bị hỏi sâu hơn: "Tại sao cần cả hai, không chỉ dùng PT thôi?" Câu trả lý tưởng: VA rẻ hơn, nhanh hơn, phù hợp để quét định kỳ hàng tuần hoặc hàng tháng trên diện rộng. PT tốn kém hơn nhưng cho biết liệu lỗ hổng đó thực sự có thể bị khai thác để gây thiệt hại nghiêm trọng hay không. Chiến lược bảo mật hiệu quả cần kết hợp cả hai.
Luyện tập thêm câu hỏi bảo mật tại x-interview2. Các giai đoạn của một cuộc tấn công thử nghiệm
Câu hỏi tiếp theo thường được đặt ra ngay: "Hãy mô tả các giai đoạn của một penetration test."
Có nhiều mô hình phổ biến, nhưng framework được sử dụng rộng rãi nhất bao gồm 5 giai đoạn:
2.1. Thu thập thông tin (Reconnaissance)
Giai đoạn đầu tiên và quan trọng nhất, chiếm khoảng 40% thời gian của một pentester thực thụ. Bạn thu thập mọi thông tin có thể về mục tiêu: domain, IP range, employee names, email formats, web technologies đang sử dụng. Nguồn thông tin bao gồm WHOIS, DNS records, LinkedIn, shodan.io, và các công cụ quét port như Nmap.
Một pentester có kinh nghiệm sẽ nói: "Recon tốt có thể rút ngắn thời gian khai thác từ 2 tuần xuống còn 2 ngày."
2.2. Quét và xác định lỗ hổng (Scanning and Enumeration)
Sau khi có bản đồ bề mặt tấn công, pentester tiến hành quét các service đang chạy, xác định version numbers, và tìm lỗ hổng đã biết (known vulnerabilities) thông qua CVE databases. Enumeration tập trung vào các thông tin cụ thể hơn: user accounts, shared folders, routing tables.
2.3. Khai thác (Exploitation)
Đây là giai đoạn nhiều người hình dung nhất khi nghĩ đến hacker. Pentester sử dụng các exploit đã được public hoặc tự viết, nhắm vào lỗ hổng đã xác định. Metasploit Framework, Burp Suite, SQLMap là những công cụ phổ biến.
Lưu ý quan trọng từ chuyên gia: luôn kiểm tra lại scope document (ROE - Rules of Engagement) trước khi thực hiện bất kỳ exploit nào. Một sai lầm phổ biến là nhắm sai IP - đôi khi IP trong scope không thuộc về client và bạn có thể vô tình tấn công hệ thống của bên thứ ba.
2.4. Leo thang đặc quyền (Post-Exploitation / Privilege Escalation)
Sau khi có được initial access, pentester kiểm tra mức đặc quyền hiện tại. Nếu chỉ có user-level access, họ tìm cách leo lên privileged account hoặc domain administrator. Trên Windows, điều này có thể bao gồm misconfigured services, unquoted service paths, hoặc stored credentials. Trên Linux, thường nhắm đến SUID binaries, sudo misconfigurations, hoặc kernel exploits.
2.5. Báo cáo (Reporting)
Giai đoạn thường bị đánh giá thấp nhưng thực tế quyết định giá trị của toàn bộ engagement. Báo cáo pentest tốt bao gồm: executive summary cho board, technical details cho đội ngũ IT, proof-of-concept screenshots, và đặc biệt là recommendations được sắp xếp theo mức độ ưu tiên rõ ràng.
3. Mô hình Incident Response chuẩn ngành: NIST và SANS
Incident Response (IR) là phần không thể thiếu trong mọi vòng phỏng vấn cybersecurity, đặc biệt với các vị trí SOC Analyst, Security Engineer, và Incident Responder.
Hai framework được công nhận rộng rãi nhất:
3.1. NIST SP 800-61 - 4 giai đoạn
National Institute of Standards and Technology định nghĩa incident response gồm 4 phase liên tục:
- Preparation - Xây dựng policies, procedures, tuyển chọn IR team, trang bị công cụ giám sát, thiết lập kênh liên lạc khẩn cấp.
- Detection and Analysis - Sử dụng SIEM, IDS/IPS, EDR để phát hiện anomalous behavior. Phân tích log, xác định scope, phân loại mức độ nghiêm trọng.
- Containment, Eradication, and Recovery - Cô lập hệ thống bị ảnh hưởng, loại bỏ malware/backdoor, khôi phục từ backup, xác minh tính toàn vẹn.
- Post-Incident Activity - Họp lessons learned trong vòng 72 giờ sau sự cố, cập nhật documentation và procedures.
3.2. SANS Incident Response Lifecycle - 6 giai đoạn
SANS mở rộng thành 6 bước, chi tiết hơn NIST:
| Phase | Hoạt động chính |
|---|---|
| Preparation | Đánh giá rủi ro, xây dựng policy, training đội ngũ |
| Identification | Phát hiện và xác thực sự cố, xác định timeline |
| Containment | Cô lập ngắn hạn (isolating affected system) và dài hạn (temporary fix) |
| Eradication | Loại bỏ hoàn toàn malware, backdoor, compromised credentials |
| Recovery | Khôi phục hệ thống, giám sát tái nhiễm |
| Lessons Learned | Post-incident review, cập nhật plan cho lần sau |
Câu hỏi thường gặp: "Sự khác nhau giữa Containment ngắn hạn và dài hạn là gì?" Containment ngắn hạn là hành động immediately isolate để ngăn chặn lateral spread - có thể bao gồm unplugging cable, disabling switch port. Containment dài hạn xây dựng temporary workaround trong khi chờ permanent fix, đảm bảo business operations tiếp tục được.
Xem thêm câu hỏi phỏng vấn IR tại x-interview4. Câu hỏi kỹ thuật: XSS, SQL Injection, Encryption
Dù bạn ứng tuyển vị trí nào trong ngành cybersecurity, kiến thức kỹ thuật cơ bản là bắt buộc. Ba chủ đề được hỏi nhiều nhất:
4.1. Cross-Site Scripting (XSS)
Câu hỏi kinh điển: "Có bao nhiêu loại XSS, và loại nào nguy hiểm nhất?"
Ba loại XSS chính: Reflected, Stored, và DOM-based. Reflected XSS phản hồi script từ request ngay trong response mà không lưu trữ. Stored XSS lưu trữ malicious payload trên server - đây là loại nguy hiểm nhất vì chỉ cần một lần inject, script sẽ tự động chạy cho mọi user truy cập. DOM-based XSS thao túng DOM environment phía client mà không liên quan đến server.
Câu hỏi tiếp theo thường là: "Làm sao để ngăn chặn XSS?" Các biện pháp chính bao gồm: input validation, output encoding, content security policy (CSP), và sử dụng WAF.
Một câu hỏi đặc biệt thú vị dành cho vị trí Senior: "Nếu các thẻ script và alert đã bị block, bạn có thể khai thác XSS bằng cách nào?" Có thể dùng image payload hoặc video payload, hoặc thay thế prompt và confirm cho alert.
4.2. SQL Injection
SQL injection vẫn là một trong những lỗ hổng OWASP Top 10 phổ biến nhất. Union-based SQL injection sử dụng toán tử UNION để kết hợp kết quả của hai hay nhiều SELECT queries, cho phép attacker trích xuất dữ liệu từ các bảng khác trong database.
Câu trả lời đáng giá: "Phân biệt SQL Injection và Blind SQL Injection." Blind SQL Injection xảy ra khi ứng dụng vulnerable nhưng không hiển thị database error messages. Attacker phải suy ra thông tin từ behavior của ứng dụng (có hoặc không có response khác nhau, thời gian phản hồi khác nhau) thay vì đọc trực tiếp từ error messages.
4.3. Symmetric vs Asymmetric Encryption
Câu hỏi này kiểm tra foundation knowledge về cryptography. Symmetric encryption dùng cùng một key cho cả mã hóa và giải mã - nhanh hơn nhưng vấn đề là key phải được chia sẻ qua kênh an toàn. Asymmetric encryption dùng cặp key public/private - bảo mật hơn cho việc trao đổi key ban đầu nhưng chậm hơn.
Trong thực tế, hầu hết các hệ thống kết hợp cả hai: dùng asymmetric để secure key exchange, sau đó dùng symmetric cho bulk data encryption - đây là cách HTTPS hoạt động với TLS handshake.
Thực hành XSS tại x-interview5. Câu hỏi tình huống: Công ty bị hack, bạn xử lý thế nào?
Đây là phần quan trọng nhất trong buổi phỏng vấn. Các nhà tuyển dụng muốn thấy bạn có thể suy nghĩ có hệ thống dưới áp lực.
5.1. Ransomware tấn công 30% file servers
Một kịch bản cụ thể được nhiều công ty đưa vào phỏng vấn: "Ransomware đã mã hóa 30% file servers của công ty. Bạn phản ứng như thế nào?"
Framework trả lời theo thứ tự ưu tiên:
- Ngay lập tức cô lập (Isolate) - Tắt kết nối mạng của các server bị ảnh hưởng để ngăn lateral spread. Không tắt máy vì điều đó có thể phá hủy forensic evidence.
- Xác định scope - những server, bao nhiêu endpoint, dữ liệu nào đã bị encrypt, liệu backup có bị ảnh hưởng không.
- Thu thập bằng chứng (Evidence collection) - Chụp ảnh ransom note, lưu samples của malware (nếu có thể an toàn), ghi lại timeline.
- Báo cáo lên quản lý cấp cao - Không che giấu. Theo luật nhiều quốc gia, có thể có nghĩa vụ pháp lý thông báo cho cơ quan chức năng và khách hàng trong khung thời gian nhất định.
- Đánh giá backup - Kiểm tra backup integrity. Nếu backup sạch và tested, đây là con đường phục hồi nhanh nhất.
- Quyết định về việc trả tiền chuộc - FBI khuyến cáo không trả tiền chuộc. Tuy nhiên, trong thực tế doanh nghiệp cần cân nhắc: có backup không? Thời gian phục hồi ảnh hưởng đến doanh thu bao nhiêu?
- Eradication - Đảm bảo malware đã bị loại bỏ hoàn toàn trước khi khôi phục. Nếu không, hệ thống sẽ bị encrypt lại ngay sau khi restore.
5.2. Nhân viên nhận email lừa đảo từ "CEO"
Một kịch bản phishing whaling attack phổ biến: "Một nhân viên báo đã nhận được email lừa đảo giả mạo từ CEO. Một số nhân viên khác cũng có thể đã nhận được. Bạn xử lý ra sao?"
Framework phản ứng:
- Ngăn chặn ngay (Block) - Đánh dấu email là malicious trong email gateway, block domain/IP nguồn.
- Điều tra - Kiểm tra ai đã click, ai đã nhập credentials, scope của sự cố.
- Reset credentials - Nếu có nhân viên đã nhập password, reset ngay lập tức và revoke các sessions đang hoạt động.
- Quét endpoint - Kiểm tra malware trên các máy có thể đã bị ảnh hưởng.
- Training - Biến sự cố thành cơ hội training: gửi company-wide reminder về cách nhận diện phishing.
6. Công cụ và nền tảng cần biết: SIEM, EDR, MITRE ATT&CK
Nhà tuyển dụng muốn biết bạn có thể làm việc với công cụ thực tế. Ba nền tảng quan trọng nhất:
6.1. SIEM (Security Information and Event Management)
SIEM tổng hợp logs từ nhiều nguồn trong hệ thống để phát hiện anomalies. Các công cụ phổ biến bao gồm Splunk, IBM QRadar, Microsoft Sentinel, và ELK Stack.
Câu hỏi thường gặp: "MTTD và MTTR là gì, và tại sao chúng quan trọng?" MTTD (Mean Time to Detect) - thời gian trung bình từ khi incident xảy ra đến khi được phát hiện. MTTR (Mean Time to Respond/Resolve) - thời gian trung bình từ phát hiện đến khi xử lý xong. Theo benchmark 2024, MTTD trung bình của ngành là 30 phút đến 4 giờ. MTTR lý tưởng là 2-4 giờ cho mọi mức độ nghiêm trọng.
6.2. EDR (Endpoint Detection and Response)
EDR giám sát endpoint (laptop, server, workstation) để phát hiện suspicious activity. Các công cụ như CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint cung cấp real-time visibility và automated response capabilities.
6.3. MITRE ATT&CK Framework
MITRE ATT&CK là database cataloging hơn 211 techniques và 468 sub-techniques mà attackers sử dụng. Framework này giúp security teams mapping observed adversary behavior với known tactics và techniques, từ đó hiểu rõ hơn về attack chain và xây dựng detection rules phù hợp.
Câu hỏi thường gặp: "ATT&CK được sử dụng như thế nào trong incident response thực tế?" Trả lời: Security analyst sử dụng ATT&CK để:
- Tạo hypothesis về attacker behavior trong quá trình investigation
- Map IOCs (Indicators of Compromise) với specific techniques
- Đánh giá coverage của detection rules hiện tại
- Xác định gaps trong security controls
Ôn luyện câu hỏi ATT&CK tại x-interview
7. Câu hỏi về con người: Làm việc dưới áp lực, giao tiếp với ban lãnh đạo
Kỹ năng kỹ thuật chỉ là một nửa của cuộc phỏng vấn. Phần còn lại kiểm tra cách bạn làm việc với con người.
7.1. Trình bày vấn đề kỹ thuật cho người không chuyên
Một câu hỏi phổ biến: "Hãy giải thích XSS như đang nói chuyện với một đứa trẻ 10 tuổi."
Đây không phải câu hỏi vô nghĩa. Nó đo lường khả năng communication - kỹ năng mà hầu hết các security professional thiếu hụt. Câu trả lời mẫu: "XSS giống như việc ai đó lợi dụng sân nhà của bạn để chơi trò chơi nguy hiểm mà bạn không biết. Họ không cần vào nhà, chỉ cần tìm một chỗ đứng trong sân của bạn là có thể làm được điều gì đó không tốt."
Một phiên bản chuyên nghiệp hơn: "XSS cho phép attacker inject malicious script vào webpage mà người dùng tin tưởng. Kết quả có thể bao gồm đánh cắp session cookies, thực hiện giao dịch trái phép, hoặc leo thang đặc quyền - giống như kẻ trộm không cần phá cửa mà chỉ cần lẻn theo sau khi bạn mở cửa."
7.2. Báo cáo sự cố cho ban lãnh đạo
Câu hỏi scenario-based: "Bạn phát hiện một breach nghiêm trọng vào lúc 2 giờ sáng. Bạn sẽ làm gì?"
Không phải lúc nào cũng nên đánh động ngay lập tức. Framework ưu tiên:
- Assess mức độ nghiêm trọng và verify đây là real incident, không phải false positive.
- Contain nếu có thể làm ngay mà không cần approval (isolating an affected system).
- Gọi escalation theo process đã định nghĩa trước.
- Chuẩn bị tài liệu ngắn gọn (incident brief) trước khi gặp lãnh đạo: đã xảy ra gì, đã làm gì, cần quyết định gì.
7.3. Bất đồng với đồng nghiệp hoặc cấp trên
Một câu hỏi về soft skill: "Một đồng nghiệp senior insits rằng mật khẩu của họ mạnh và không cần thay đổi. Bạn xử lý thế nào?"
Cách tiếp cận: không bao giờ confront trực tiếp trong public. Schedule một cuộc trò chuyện riêng tư, trình bày risk dựa trên data cụ thể (số lần password reused, độ dài entropy). Đề xuất giải pháp thay thế: password manager, MFA như middle ground. Nếu vẫn không được, escalate theo chain of command với documented concerns.
8. Kỹ năng mềm và con đường sự nghiệp dài hạn
8.1. Cập nhật kiến thức liên tục
Câu hỏi phổ biến: "Bạn theo dõi tin tức bảo mật bằng cách nào?"
Không có câu trả lời sai hoàn toàn, nhưng nhà tuyển dụng muốn thấy bạn có hệ thống. Ví dụ câu trả lời tốt: "Tôi follow các nguồn sau: Twitter/X cho real-time threat intelligence (theo dõi các security researchers như @briankrebs, @ SwiftOnSecurity), podcast như Darknet Diaries, newsletter từ US-CERT và CISA, MITRE ATT&CK để cập nhật techniques mới. Hàng tuần tôi dành 2 giờ đọc CVE updates cho các sản phẩm tôi quản lý."
8.2. Lộ trình chứng chỉ
Với người mới vào ngành, các chứng chỉ quan trọng bao gồm: CompTIA Security+ (foundation), CEH (Certified Ethical Hacker - kiến thức pentest), CISSP (cho senior roles), OSCP (hands-on penetration testing - được đánh giá cao trong community).
Câu hỏi thường bị hỏi sai: "Bạn có kế hoạch lấy chứng chỉ gì tiếp theo?" Nếu bạn là Junior, đừng nói bạn sẽ lấy CISSP ngay - nó yêu cầu 4-5 năm kinh nghiệm. Nói thật về lộ trình ngắn hạn và dài hạn sẽ thuyết phục hơn.
8.3. Tự đánh giá
Câu hỏi mà nhiều người bối rối: "Bạn có điểm nào cần cải thiện?"
Câu trả lời thành thật được đánh giá cao hơn false confidence. Ví dụ: "Tôi giỏi về social engineering và đã ít practice viết script tự động hóa. Gần đây tôi bắt đầu học Python để viết tool riêng - điều đó vừa giúp tôi hiểu sâu hơn về cách exploit hoạt động, vừa bổ sung kỹ năng automation."
9. Câu hỏi ôn tập và chuẩn bị cho vòng phỏng vấn tiếp theo
9.1. Những câu hỏi dành cho nhà tuyển dụng
Phỏng vấn là đường hai chiều. Chuẩn bị sẵn các câu hỏi để hỏi nhà tuyển dụng:
- "Đội IR của công ty hiện tại bao nhiêu người và họ xử lý bao nhiêu incident mỗi tháng?"
- "Công ty đang sử dụng framework nào cho incident response?"
- "Có chương trình bug bounty hoặc định kỳ pentest không?"
- "Red team và blue team làm việc riêng hay có collaboration chặt chẽ?"
Những câu hỏi này cho thấy bạn nghiêm túc về vai trò và giúp bạn đánh giá culture fit.
9.2. Hands-on challenges
Nhiều công ty (đặc biệt các công ty lớn hoặc startup cybersecurity) sẽ đưa ra một bài test thực hành. Chuẩn bị:
- Làm quen với TryHackMe, HackTheBox, hoặc PentesterLab để practice.
- Ôn lại cách đọc và phân tích log files trong Linux (grep, awk, cut).
- Thực hành viết script đơn giản bằng Python hoặc Bash để automate reconnaissance.
- Làm quen với Wireshark để phân tích packet captures.
10. Tóm tắt: 3 điều cốt lõi cần nhớ trước buổi phỏng vấn
Điều 1 - Framework là nền tảng, không phải công thức. Dù là NIST, SANS hay OWASP, nhà tuyển dụng muốn thấy bạn hiểu tại sao các bước đó tồn tại và có thể adapt linh hoạt theo tình huống thực tế. Học thuộc tên các phase là mức tối thiểu; hiểu khi nào thay đổi thứ tự hoặc bỏ qua bước nào mới là điều tạo nên khác biệt.
Điều 2 - Kỹ năng giao tiếp quan trọng ngang kỹ năng kỹ thuật. Một Incident Responder giỏi không chỉ dừng được breach mà còn truyền đạt được mức độ nghiêm trọng, các bước đã thực hiện, và những gì ban lãnh đạo cần quyết định - trong vòng 5 phút. Càng gần vị trí Senior/CISO, yêu cầu về communication càng cao.
Điều 3 - Thực hành với tình huống thực tế, không chỉ lý thuyết. Trước buổi phỏng vấn, dành thời gian đọc ít nhất một case study breach thực tế (WannaCry, SolarWinds, MoveIT) và tự hỏi: "Mình sẽ phản ứng như thế nào nếu ở vị trí đó?" Những câu trả lời có chiều sâu từ kinh nghiệm thực tế hoặc nghiên cứu nghiêm túc sẽ luôn ghi điểm cao hơn đáp án sáo rỗng.
Tài liệu tham khảo
- NIST SP 800-61 - Incident Handling Guide
- MITRE ATT&CK Framework
- OWASP Top 10
- SANS Institute White Papers
Bạn có thể đọc thêm: Câu hỏi phỏng vấn theo ngành IT