DBS401 - Chương 10: Kiểm thử an ninh cơ sở dữ liệu

Đáp án đúng: "Auditing covers security policies, human resources, and legal compliance, while testing does not". Security audit (kiểm toán an ninh) thường đánh giá rộng các chính sách, kiểm soát nội bộ, trách nhiệm nhân sự và tuân thủ; security testing (kiểm thử an ninh) chủ yếu kiểm tra kỹ thuật để tìm hoặc xác nhận điểm yếu. Đây là khác biệt phù hợp nhất ở đây, dù câu “testing does not” tuyệt đối hóa ranh giới: một chương trình kiểm thử thực tế vẫn có thể xem xét một phần quy trình. "Auditing is time-consuming, while testing is quick" không đúng phổ quát vì thời lượng tùy phạm vi và phương pháp. "Auditing focuses on internal controls, while testing does not" bỏ qua việc kiểm toán có thể xem cả kiểm soát bên ngoài và kiểm thử cũng xem xét kiểm soát. "Testing is more costly and time-consuming than auditing" cũng không phải quy luật; chi phí phụ thuộc quy mô và cách thực hiện.

Đáp án đúng: "Passive reconnaissance". Trinh sát thụ động thu thập dữ liệu từ nguồn công khai hoặc bên trung gian mà không gửi yêu cầu trực tiếp đến mục tiêu. Trinh sát chủ động tương tác trực tiếp như dò cổng; kiểm thử hộp đen chỉ nói về mức độ hiểu biết nội bộ của người kiểm thử; kiểm thử nội bộ chỉ bối cảnh thực hiện, không mô tả cách thu thập thụ động. "Active reconnaissance" "Black box testing" "Internal testing"

Đáp án đúng: "White box testing". Kiểm thử hộp trắng (white box testing) giả định người kiểm thử có hiểu biết về cấu trúc nội bộ, mã nguồn hoặc thiết kế hệ thống để xây dựng ca kiểm thử bao phủ đường đi và điều kiện bên trong. "Black box testing" đánh giá đầu vào và đầu ra mà không cần biết cấu trúc nội bộ; "Grey box testing" chỉ có một phần hiểu biết về hệ thống; "Blue box testing" không phải thuật ngữ phân loại phổ biến cho kiểm thử dựa trên hiểu biết đầy đủ về hệ thống.

Đáp án đúng: "Directly stopping or hindering the attacker's goals". Honeypot (bẫy mật) là hệ thống mồi được giám sát để phát hiện hành vi xâm nhập và thu thập thông tin; nó có thể khiến kẻ tấn công tiêu tốn thời gian trên môi trường mồi, nhưng không tự trực tiếp chặn mục tiêu của họ trên hệ thống thật. Vì thế phát biểu này, hiểu là ngăn cản trực tiếp, không phải lợi ích được bảo đảm. "Early detection of intrusion attempts" là lợi ích vì truy cập bất thường vào mồi có thể tạo tín hiệu cảnh báo. "Gathering information about attacker methods and tools" đúng vì hoạt động trong bẫy có thể được ghi nhận. "Wasting the attacker's time and resources" có thể xảy ra khi kẻ tấn công tập trung vào hệ thống mồi, dù không thay thế biện pháp phòng vệ.

Đáp án đúng: "Passive reconnaissance gathers information indirectly, without alerting the target system". Passive reconnaissance (trinh sát thụ động) thu thập dữ liệu gián tiếp từ nguồn công khai hoặc bên trung gian, tránh tương tác trực tiếp khiến hệ thống mục tiêu ghi nhận hoạt động; active reconnaissance chủ động gửi yêu cầu hoặc dò quét nên có thể bị phát hiện. "Passive reconnaissance involves direct system attacks" nhầm trinh sát thụ động với hành động trực tiếp và gây tác động. "Active reconnaissance uses only public information" sai vì nó có thể tương tác với mục tiêu, không giới hạn ở dữ liệu công khai. "Active reconnaissance is never used in security testing" quá tuyệt đối: kiểm thử được ủy quyền có thể dùng nó trong phạm vi đã thống nhất.

Đáp án đúng: "Traversing the network and locating vulnerable ports". Máy quét cổng xác định máy chủ nào phản hồi trên cổng nào, giúp kiểm kê dịch vụ mở và tìm cổng không cần thiết để kiểm soát; cổng mở tự nó chưa chứng minh lỗ hổng. Giải mã khóa WEP là hoạt động tấn công mạng không dây; ghi phím là hành vi phần mềm gián điệp; thao túng dịch vụ Windows để leo thang quyền là kỹ thuật khác, không phải mục đích quét cổng. "Decrypting WEP keys in a wireless network" "Recording keystrokes of a user" "Manipulating Windows services for privilege escalation"

Đáp án đúng: "To detect and analyze unauthorized access attempts". Honeypot (bẫy an ninh) là tài nguyên mồi được cô lập hoặc giám sát để thu hút truy cập đáng ngờ; hoạt động tương tác với nó giúp phát hiện và phân tích hành vi xâm nhập mà không đặt dữ liệu thật vào nguy cơ tương tự. "To store sensitive data securely" mô tả kho dữ liệu cần bảo vệ, không phải bẫy; "To provide a legitimate service to distract attackers" có thể là một phần của cách bố trí mồi nhưng không nêu mục tiêu giám sát chính; "To trap and neutralize attackers permanently" phóng đại khả năng vì honeypot ghi nhận và cảnh báo, không thể bảo đảm vô hiệu hóa kẻ tấn công.

Đáp án đúng: "Planning and preparation phase". Giai đoạn lập kế hoạch và chuẩn bị xác định phạm vi, mục tiêu, quyền hạn và thu thập thông tin nền về hệ thống trước khi tiến hành kiểm tra; bước này giúp chọn phương pháp phù hợp và tránh tác động ngoài dự kiến. "Reporting phase" tổng hợp phát hiện và khuyến nghị sau khi đánh giá. "Remediation phase" xử lý hoặc khắc phục điểm yếu đã được xác định. "Execution phase" thực hiện các hoạt động kiểm thử theo kế hoạch, dù có thể tiếp tục ghi nhận thông tin trong quá trình chạy, nhưng không phải giai đoạn chuẩn bị thu thập ban đầu được hỏi.

Đáp án đúng: "Determine system performance under stress". Kiểm thử hộp trắng dùng hiểu biết về cấu trúc bên trong để tìm đường đi, điểm yếu và tác động có thể phát sinh; đo hiệu năng khi chịu tải là mục tiêu kiểm thử tải hoặc hiệu năng, không phải mục tiêu cốt lõi của cách tiếp cận này. "Assess damage that can be done with prior knowledge of the infrastructure" phù hợp đánh giá có hiểu biết trước về hệ thống; "Provide a thorough picture of specific system weaknesses" mô tả việc tìm hiểu điểm yếu nội bộ; "Focus on a specific target based on existing information" cũng phù hợp với kiểm thử có thông tin và phạm vi mục tiêu xác định.

Đáp án đúng gồm hai ý: "passive" và "active". Trinh sát thông tin thụ động thu thập dữ liệu gián tiếp từ nguồn công khai hoặc quan sát mà không tương tác trực tiếp với mục tiêu; trinh sát chủ động gửi yêu cầu hoặc thăm dò hệ thống, vì vậy có thể để lại dấu vết. Hai cách này phân biệt theo mức độ tương tác với mục tiêu. "Standard" không phải một trong hai loại được mô tả; "complex" chỉ tính phức tạp, không phân loại phương thức thu thập thông tin.

Đáp án đúng: "To confirm that an environment is reasonably secure by identifying weaknesses". Kiểm thử xâm nhập (penetration testing) mô phỏng hành vi tấn công có kiểm soát trong phạm vi được phép để phát hiện và xác minh điểm yếu, từ đó đánh giá mức độ bảo vệ và ưu tiên khắc phục. Kết quả chỉ phản ánh phạm vi và thời điểm kiểm thử, không chứng minh an toàn tuyệt đối. "To create a new database system" là công việc phát triển; "To bypass all security protocols for maintenance" mô tả hành vi bỏ qua kiểm soát, không phải mục tiêu kiểm thử được cấp phép; "To test the physical durability of the servers" thuộc thử nghiệm phần cứng, không phải đánh giá an ninh xâm nhập.

Đáp án đúng: "To test the strength of security measures put into place". Kiểm thử an ninh đánh giá biện pháp bảo vệ đã triển khai có chống được các tình huống đe dọa trong phạm vi kiểm tra hay không, từ đó phát hiện điểm yếu để khắc phục. "To replace security policies with automated systems" sai vì tự động hóa không thay thế chính sách; "To ensure 100% elimination of vulnerabilities" hứa hẹn mức bảo đảm không thể chứng minh bằng kiểm thử; "To train employees on security protocols" là hoạt động đào tạo riêng, không phải mục tiêu chính của kiểm thử hệ thống.