Tất cả câu hỏi

Đáp án đúng: "The data types and number of columns in the original and injected queries must match.". Để phép UNION kết hợp được hai tập kết quả, các truy vấn phải trả cùng số cột và kiểu dữ liệu ở các vị trí tương ứng phải tương thích; nếu không, cơ sở dữ liệu thường từ chối phép kết hợp. "The database must have a specific number of tables." không phải điều kiện của UNION, vốn kết hợp kết quả truy vấn chứ không yêu cầu số lượng bảng cố định. "The database must be running on a 64-bit system." kiến trúc 64 bit không quyết định tính hợp lệ của cấu trúc UNION. "The user must have administrative privileges." không cần thiết để dùng UNION; quyền cần có phụ thuộc đối tượng mà truy vấn truy cập.

Đáp án đúng: "Monitoring and enforcing security policies". Quản trị viên cơ sở dữ liệu (DBA) chịu trách nhiệm vận hành an toàn, gồm theo dõi cấu hình và quyền truy cập, áp dụng chính sách bảo mật và xử lý rủi ro trong phạm vi hệ thống dữ liệu. "Developing front-end applications" thuộc công việc phát triển giao diện ứng dụng; "Writing SQL queries for users" có thể là hỗ trợ nghiệp vụ nhưng không phải trọng trách bảo mật chính; "Designing UI for database systems" thuộc thiết kế trải nghiệm giao diện, không phải chức năng quản lý an ninh của DBA.

Đáp án đúng: "Provide means to manipulate, analyze, store, and retrieve information". DBMS cung cấp phương tiện định nghĩa cấu trúc, lưu trữ, truy vấn, cập nhật và quản trị dữ liệu, giúp ứng dụng thao tác và khai thác thông tin có kiểm soát. Chỉ lưu trữ là mô tả quá hẹp; quản lý kết nối là chức năng vận hành nhưng không bao quát mục tiêu tổng thể; thiết lập quan hệ mạng không phải nhiệm vụ cốt lõi dù máy khách có thể kết nối qua mạng. "Facilitate data storage only" "Manage database connections" "Establish network relationships"

Đáp án đúng: "A malicious employee leaking sensitive data". Insider threat (mối đe dọa nội bộ) đến từ người có quyền truy cập hợp lệ hoặc hiểu biết bên trong tổ chức, và nhân viên cố ý làm lộ dữ liệu nhạy cảm là ví dụ trực tiếp. "SQL Injection by an external hacker" thường là tấn công từ bên ngoài khai thác đầu vào ứng dụng, không phải mối đe dọa nội bộ theo tình huống nêu. "Database failure due to a natural disaster" là rủi ro môi trường hoặc thảm họa, không phải hành vi của người nội bộ. "Network traffic congestion" là vấn đề hiệu năng hoặc sẵn sàng của mạng, không phải tác nhân nội bộ có chủ đích.

Đáp án đúng: "Single channel uses one communication channel to send and receive data, while multichannel uses multiple channels". Theo cách dùng channel trong câu này, phân biệt nằm ở số kênh giao tiếp được dùng để truyền và nhận dữ liệu; cách hiểu này cần giới hạn theo ngữ cảnh vì single-channel/multichannel không phải hệ phân loại SQL injection phổ quát như in-band, inferential hay out-of-band. "Single channel uses one input field to inject SQL commands" nói về số trường đầu vào, không nhất thiết là số kênh truyền nhận; "Single channel uses one SQL statement" đếm câu lệnh chứ không mô tả kênh; "Single channel uses one type of SQL injection technique" nhầm số kênh giao tiếp với số kỹ thuật tấn công.

Đáp án đúng: "To improve release cycle predictability and maintainability". Các mốc có mục tiêu và nội dung rõ giúp dự đoán tiến độ, kiểm soát thay đổi và duy trì phần mềm thuận lợi qua từng đợt. Tăng tốc đồng thời giảm tần suất không mô tả lợi ích chính; loại bỏ đóng góp và báo lỗi của cộng đồng làm giảm phản hồi; giảm sự tham gia của người dùng và tăng tự động hóa không phải mục tiêu của mô hình milestone. "To accelerate development and reduce release frequency" "To eliminate community contributions and bug reporting" "To decrease user involvement and increase automation"

Đáp án đúng: "Guessing the structure of the database". Blind SQL Injection (SQL injection mù) xảy ra khi ứng dụng không trả trực tiếp kết quả truy vấn hay thông báo lỗi hữu ích; người kiểm thử suy luận thông tin từ tín hiệu gián tiếp như khác biệt phản hồi hoặc thời gian. Dò cấu trúc cơ sở dữ liệu là một mục tiêu thường gặp và là phương án gần nhất, nhưng không phải toàn bộ định nghĩa hay mục tiêu duy nhất của kỹ thuật này. "Directly accessing the database without using SQL code" sai vì SQL injection dựa vào việc làm ứng dụng thực thi SQL bị chèn. "Attacking a database that is blind to SQL syntax" nhầm “blind” là cơ sở dữ liệu không hiểu cú pháp; thuật ngữ nói về phản hồi bị che khuất. "Injecting SQL code without understanding its effects" không định nghĩa kỹ thuật mù; việc thiếu hiểu biết của người tấn công không phải đặc điểm cốt lõi.

Đáp án đúng: "To detect and analyze unauthorized access attempts". Honeypot (bẫy an ninh) là tài nguyên mồi được cô lập hoặc giám sát để thu hút truy cập đáng ngờ; hoạt động tương tác với nó giúp phát hiện và phân tích hành vi xâm nhập mà không đặt dữ liệu thật vào nguy cơ tương tự. "To store sensitive data securely" mô tả kho dữ liệu cần bảo vệ, không phải bẫy; "To provide a legitimate service to distract attackers" có thể là một phần của cách bố trí mồi nhưng không nêu mục tiêu giám sát chính; "To trap and neutralize attackers permanently" phóng đại khả năng vì honeypot ghi nhận và cảnh báo, không thể bảo đảm vô hiệu hóa kẻ tấn công.

Đáp án đúng: "To gather evidence of the effectiveness of existing security policies and practices". Đánh giá không chính thức thường thu thập bằng chứng xem chính sách và biện pháp bảo vệ hiện hành có được áp dụng, hoạt động như dự kiến hay không. Khai thác lỗ hổng thuộc kiểm thử xâm nhập có chủ đích hơn; công khai cam kết là truyền thông; tuân thủ quy định kiểm toán bên ngoài là mục đích của một cuộc kiểm toán bắt buộc, không phải đặc trưng của rà soát nội bộ không chính thức. "To identify and exploit vulnerabilities in an organization's systems" "To publicly demonstrate an organization's commitment to cybersecurity" "To comply with mandatory external security regulations and audits"

Đáp án đúng: "Source code installation.". Cài từ mã nguồn cho phép quản trị viên tùy chỉnh các tùy chọn biên dịch và cấu hình ứng dụng phù hợp môi trường, đổi lại cần tự quản lý quá trình xây dựng và cập nhật. "Binary code installation." dùng chương trình đã biên dịch, thuận tiện triển khai nhưng ít khả năng điều chỉnh cách biên dịch. "Precompiled package installation." cài gói dựng sẵn theo cấu hình nhà phân phối nên ưu tiên tính tiện dụng, không linh hoạt bằng tự dựng khi cần tùy biến sâu. "Automated script installation." tự động hóa các bước cài đặt, nhưng bản thân việc dùng script không đồng nghĩa có thể tùy chỉnh mã nguồn hay tùy chọn biên dịch.

Đáp án đúng: "SQL Server Configuration Manager". SQL Server Configuration Manager là công cụ quản trị cấu hình các dịch vụ SQL Server và giao thức mạng của chúng trên máy chủ, nên phù hợp với việc bật, tắt hoặc điều chỉnh giao thức kết nối. "SQL Server Management Studio" chủ yếu dùng để truy vấn và quản trị đối tượng cơ sở dữ liệu; "Business Intelligence Development Studio" là môi trường phát triển các dự án BI; "SQL Server Installation Wizard" hỗ trợ cài đặt sản phẩm, không phải công cụ chuyên quản lý giao thức mạng sau cài đặt.

Đáp án đúng gồm hai ý: "More control over the installation options and features" và "More flexibility and customization of the software". Biên dịch từ mã nguồn cho phép chọn tùy chọn và thành phần cài đặt phù hợp, tăng quyền kiểm soát và khả năng tùy chỉnh; đổi lại cần kiến thức, thời gian và tự quản lý phụ thuộc. Cài từ nguồn không tự bảo đảm tương thích nhiều hệ điều hành hay phần cứng vì còn phụ thuộc mã, trình biên dịch và nền tảng hỗ trợ; nó cũng không tự làm phần mềm an toàn hoặc tin cậy hơn, vốn phụ thuộc phiên bản, cấu hình, kiểm thử và vận hành. "More compatibility with different operating systems and hardware" "More security and reliability of the software"

Đáp án đúng: "Using third-party applications or browser add-ons". Để kiểm tra lưu lượng HTTP trong một bài kiểm thử được phép, công cụ proxy hoặc tiện ích trình duyệt có thể quan sát và chỉnh sửa yêu cầu, phản hồi trước khi gửi đến ứng dụng; cần bảo đảm có ủy quyền và tránh dùng trên hệ thống ngoài phạm vi. "Through the use of database management tools" thao tác với cơ sở dữ liệu, không trực tiếp chặn và sửa dữ liệu HTTP giữa trình duyệt với ứng dụng. "By utilizing strong encryption mechanisms" mã hóa giúp bảo vệ tính bí mật và toàn vẹn khi truyền, không phải cách để chủ động chỉnh sửa nội dung. "By conducting regular database backups" tạo bản sao phục hồi dữ liệu, không can thiệp vào lưu lượng HTTP.

Đáp án đúng: "Audit objectives and key findings". Báo cáo kiểm toán an ninh thường nêu mục tiêu và phạm vi kiểm toán, phương pháp đánh giá, phát hiện chính, mức độ rủi ro và khuyến nghị khắc phục để người chịu trách nhiệm có thể theo dõi. "Software licenses used" có thể liên quan đến kiểm kê tài sản hoặc tuân thủ giấy phép nhưng không phải thành phần cốt lõi của mọi báo cáo; "List of all network devices" có thể là phụ lục kiểm kê trong một cuộc đánh giá cụ thể, không thay thế mục tiêu và phát hiện; "The salary of the audit team" không phải thông tin chuyên môn cần đưa vào kết quả kiểm toán.

Đáp án đúng: "Highly effective, offering comprehensive support for a range of issues.". Đây là mô tả phù hợp nhất theo cách hỏi vì Microsoft có nhiều kênh tài liệu và hỗ trợ cho vấn đề SQL Server. Tuy nhiên, câu hỏi không đưa tình huống hay thước đo để kết luận hiệu quả khách quan áp dụng cho mọi sự cố; độ nghiêm trọng, nhu cầu và kênh hỗ trợ đều ảnh hưởng kết quả. Giới hạn chỉ ở vấn đề sơ cấp là khẳng định tuyệt đối không có căn cứ; quy toàn bộ tài nguyên là lỗi thời cũng vậy; kết luận thiếu hỗ trợ chuyên sâu cũng không được dữ kiện ở đây chứng minh. "Only effective for beginner-level issues." "Ineffective due to outdated information." "Moderately effective, but lacking in advanced technical support."

Đáp án đúng: "Oracle Database Express Edition (XE)". Oracle Database Express Edition (XE) là bản miễn phí, gọn, phù hợp để người mới học làm quen và triển khai quy mô nhỏ trong giới hạn tài nguyên của phiên bản. "Oracle Database Standard Edition" là sản phẩm thương mại với phạm vi triển khai rộng hơn, thường không phải điểm bắt đầu nhẹ nhất. "Oracle Database Enterprise Edition" hướng tới môi trường doanh nghiệp và tính năng nâng cao, vượt quá nhu cầu nhập môn. "Oracle Database Standard Edition One" là tên một phiên bản lịch sử, không phải lựa chọn nhập môn hiện hành được nêu bằng XE.

Đáp án đúng: "Integrated services". Tích hợp dịch vụ dữ liệu giúp kết nối, biến đổi và nạp dữ liệu từ nhiều nguồn để kho dữ liệu có thể tổng hợp cho báo cáo và phân tích; trong hệ sinh thái Microsoft, Integration Services là tên nền tảng gắn với vai trò này. Cụm được in là "Integrated services" chứ không phải tên chính xác Integration Services, nên đây là lựa chọn gần nhất theo ý câu hỏi và có thể có lỗi thuật ngữ trong cách ghi. "Gathered services" không phải tên dịch vụ tích hợp dữ liệu; "Imported services" chỉ gợi việc nhập dữ liệu, không bao quát ghép nối và biến đổi; "Exported services" gợi việc xuất dữ liệu, không mô tả quy trình tích hợp vào kho.

Đáp án đúng: "Direct database access". Khi khai thác SQL injection qua một ứng dụng, attacker thường suy luận từ phản hồi của ứng dụng hoặc cơ sở dữ liệu. "Error messages from the database" có thể tiết lộ cú pháp hoặc cấu trúc; "Inferential exploration" rút thông tin từ thay đổi đúng/sai hoặc thời gian phản hồi; "Observing database behavior in response to crafted inputs" là cách kiểm tra tác động của đầu vào tạo tác. Truy cập trực tiếp cơ sở dữ liệu đòi hỏi một đường truy cập hoặc thông tin xác thực riêng, nên không phải cách thu thập thông tin qua lỗ hổng SQL injection đang xét.

Đáp án đúng: "Execute a specified action based on a true or false condition". Trong SQL injection dạng điều kiện, biểu thức Boolean (đúng/sai) chi phối nhánh hoặc phản hồi mà truy vấn tạo ra; người kiểm thử có thể so sánh kết quả khi điều kiện đúng và sai để suy luận hành vi. "Used for optimizing SQL queries" nói về tối ưu hóa truy vấn hợp lệ, không phải đặc trưng của điều kiện bị chèn. "Break up common words using URL code" mô tả biến đổi hoặc mã hóa ký tự, không phải logic điều kiện. "Initiate time-based responses" liên quan kỹ thuật dựa trên độ trễ thời gian; đó là một cách khai thác mù riêng, không phải định nghĩa chung của conditional statements.

Đáp án đúng: "Identifying potential buffer overflows and memory leaks in an application". Phân tích động quan sát chương trình khi thực thi, nên công cụ có thể theo dõi truy cập bộ nhớ, phát hiện một số trường hợp tràn bộ đệm hoặc vùng nhớ được cấp phát nhưng không giải phóng. Khả năng phát hiện phụ thuộc ca chạy và công cụ, nên không bảo đảm tìm mọi lỗi. "Checking for adherence to coding standards and style guidelines" thường phù hợp với phân tích tĩnh; "Analyzing the complexity and maintainability of a codebase" chủ yếu cần phân tích cấu trúc mã; "Verifying the correctness of mathematical algorithms and logic" đòi hỏi chứng minh hoặc kiểm thử logic, không phải mục tiêu đặc trưng của phân tích động.