Câu hỏi: OSP201 - Chương 7: Tường lửa và kiểm soát mạng

Đáp án đúng: "To offer additional protection by restricting IP connections". TCP Wrappers kiểm tra địa chỉ nguồn của kết nối tới dịch vụ có hỗ trợ, thường dựa trên quy tắc hosts.allow và hosts.deny, để cho phép hoặc từ chối máy khách. "To encrypt web traffic" không đúng vì công cụ này không mã hóa dữ liệu; cần TLS hoặc VPN. "To manage user access to web services" gần nghĩa nhưng quá rộng và dễ nhầm với xác thực người dùng; TCP Wrappers lọc kết nối theo host/IP. "To optimize TCP/IP performance" không phải mục đích, và việc lọc có thể thêm bước kiểm tra.

Đáp án đúng: "id -Z". Tùy chọn -Z của id hiển thị ngữ cảnh SELinux gắn với người dùng hoặc tiến trình hiện tại; thông tin này giúp phân biệt danh tính Unix thông thường với nhãn bảo mật SELinux đang áp dụng. "chcon" thay đổi nhãn SELinux trên tệp, vì vậy nó không phải lệnh xem ngữ cảnh người dùng hiện tại. "ls -Z" hiển thị nhãn của tệp hoặc thư mục được liệt kê, không phải danh tính SELinux của người dùng đang đăng nhập. "getenforce" cho biết SELinux đang Enforcing, Permissive hay Disabled, tức trạng thái thực thi toàn hệ thống chứ không cho biết ngữ cảnh người dùng.

Đáp án đúng: "May slightly obscure services from attackers". Dùng cổng không chuẩn có thể giảm lượt dò tự động nhắm vào cổng mặc định, tạo một lớp che giấu nhỏ; đây không thay thế xác thực, cập nhật hay firewall. "Enhances the encryption of data" sai vì số cổng không mã hóa lưu lượng; "Increases the bandwidth available" không thay đổi băng thông đường truyền; "Reduces the overall load on the system" cũng không phải tác dụng của việc đổi cổng và dịch vụ vẫn phải xử lý kết nối.

Đáp án đúng: "Cryptographic API". Câu hỏi yêu cầu nhận diện lựa chọn không thuộc kiểm soát truy cập bắt buộc (MAC). Cryptographic API cung cấp dịch vụ và thuật toán mật mã cho kernel, không quyết định chủ thể nào được truy cập tài nguyên. "SELinux" triển khai chính sách MAC dựa trên nhãn. "TOMOYO" là mô-đun bảo mật Linux áp dụng chính sách MAC theo đường dẫn. "AppArmor" giới hạn khả năng tiến trình theo profile, cũng là cơ chế MAC.

Đáp án đúng: "tcpdmatch". tcpdmatch mô phỏng quyết định của TCP Wrappers đối với một máy khách cụ thể dựa trên quy tắc trong hosts.allow và hosts.deny, nhờ đó cho biết host được phép hay bị từ chối theo cấu hình. "tcpcheck" không phải tên tiện ích chuẩn của TCP Wrappers để kiểm tra quyết định này. "accesschk" không đánh giá quyền truy cập theo hai tệp luật trên. "tcpwrapper" chỉ gọi tên cơ chế kiểm soát, không phải lệnh mô phỏng quyết định cho một host. Lưu ý, tcpdchk là công cụ gần tên và dùng để kiểm tra tính nhất quán của cấu hình, nhưng không mô phỏng quyết định truy cập cho host cụ thể; bởi vậy câu hỏi cần tcpdmatch.

Đáp án đúng: "To act as a fortified point of presence that hosts public services while protecting the internal network". Bastion host là máy chủ được gia cố, thường đặt ở vùng DMZ và làm điểm truy cập có kiểm soát cho dịch vụ hướng ra ngoài, giảm khả năng kết nối trực tiếp tới mạng nội bộ. "To serve as a backup server" mô tả chức năng sao lưu, không phải vai trò cốt lõi của bastion. "To distribute network traffic evenly" là chức năng cân bằng tải. "To monitor network performance" thuộc giám sát vận hành; bastion có thể ghi log nhưng không được định nghĩa bằng chức năng này.

Đáp án đúng: "permissive". Ở chế độ permissive, SELinux ghi nhận hành động vi phạm chính sách nhưng không chặn chúng; chế độ này hữu ích khi chẩn đoán chính sách và không tương đương bảo vệ cưỡng chế. "enforcing" vừa ghi log vừa từ chối hành động bị chính sách cấm. "lockdown" không phải một trong các chế độ SELinux thông thường được hỏi ở đây. "unauthorized" cũng không phải tên chế độ SELinux; nó mô tả trạng thái hành động trái phép chứ không phải cấu hình thực thi.

Đáp án đúng: "chcon". Lệnh chcon thay đổi ngữ cảnh bảo mật SELinux gắn với tệp, như user, role, type và level; thay đổi trực tiếp có thể bị ghi đè khi khôi phục nhãn mặc định. "fixfiles" là công cụ sửa hoặc khôi phục nhãn hàng loạt, không phải lệnh chỉnh một nhãn cụ thể theo tham số context. "restorecon" áp nhãn mặc định lấy từ chính sách và ánh xạ, thay vì cho đặt tùy ý. "secon" hiển thị hoặc truy vấn ngữ cảnh SELinux, không dùng để thay đổi nhãn tệp.

Đáp án đúng: "TCP Wrapper". TCP Wrapper kiểm soát quyền truy cập dịch vụ mạng qua quy tắc máy khách, thường dùng hosts.allow và hosts.deny; nó có thể hoạt động với dịch vụ hỗ trợ libwrap mà không cần inetd/xinetd làm super server. "Network libraries" là khái niệm rộng, không phải công cụ kiểm soát truy cập cụ thể; "UDP ACLs" và "TCP ACLs" không chỉ tên tiện ích chuẩn độc lập trong ngữ cảnh câu hỏi; "All of the above" không phù hợp vì các tên đó không cùng là công cụ cụ thể được nêu.

Đáp án đúng: "Loopback". Nếu cơ sở dữ liệu chỉ được ứng dụng trên cùng máy truy cập, cấu hình bind vào loopback giới hạn kết nối trong máy đó và giảm việc dịch vụ lộ ra mạng. "eth0" là giao diện mạng có thể cho phép máy khác kết nối, trái với nguyên tắc giảm phơi lộ khi không cần truy cập ngoài. "All ports" làm phạm vi lắng nghe rộng hơn và không phải một giao diện. "Looparound" không phải tên chuẩn của giao diện loopback. "Local" là từ chung, không chỉ rõ giao diện loopback.

Đáp án đúng: "chcon". chcon thay đổi nhãn ngữ cảnh SELinux của tệp, cho phép điều chỉnh thuộc tính bảo mật gắn với đối tượng. "semanage" quản lý cấu hình chính sách và ánh xạ bền vững như ánh xạ cổng hoặc nhãn đường dẫn, không trực tiếp đổi context một tệp theo cách này. "restorecon" tái áp dụng nhãn mặc định theo chính sách, thường hoàn tác chcon tùy chỉnh. "setenforce" chuyển SELinux giữa enforcing và permissive, không sửa context tệp.

Đáp án đúng: "Protect using specific kernel settings". SYN flood khai thác lượng lớn yêu cầu bắt tay TCP chưa hoàn tất; các tham số nhân như cơ chế SYN cookies và hàng đợi kết nối có thể giúp hệ thống chống quá tải trong cấu hình phù hợp. Cần kết hợp giám sát và lọc lưu lượng, không coi một tham số là giải pháp duy nhất. "Disable all firewalls" làm giảm lớp bảo vệ; "Ignore security warnings" không giảm tấn công; "Use older kernel versions" có thể đưa vào lỗ hổng đã vá; "Disable root account" không xử lý trực tiếp trạng thái TCP.

Đáp án đúng: "iptables -A INPUT -s IP_ADDR -j DROP". Trong bảng filter, -A INPUT thêm luật vào chuỗi gói đi vào, -s khớp địa chỉ nguồn và -j DROP loại bỏ gói; cần thay IP_ADDR bằng địa chỉ thực. "iptables -P INPUT IP_ADDR DROP" sai vì -P đặt chính sách mặc định cho cả chuỗi và không nhận địa chỉ nguồn như một tham số. "iptables -A INPUT IP_ADDR -j REJECT" thiếu tùy chọn khớp nguồn -s, nên cú pháp không diễn đạt bộ lọc theo địa chỉ. "iptables -A INPUT -d IP_ADDR -j DROP" khớp địa chỉ đích, không phải nguồn của lưu lượng vào.

Đáp án đúng: "INPUT, OUTPUT, FORWARD". Bảng filter của iptables có ba chain dựng sẵn: INPUT xử lý gói gửi tới máy, OUTPUT xử lý gói do máy tạo, FORWARD xử lý gói đi qua máy như router. "ACCEPT, DROP, REJECT" là các target/hành động của luật, không phải chain. "LOCAL, REMOTE, FORWARD" không phải tên ba chain mặc định của iptables. "IN, OUT, THROUGH" là cách nói thông thường về hướng lưu lượng, không phải định danh chain hợp lệ.

Đáp án đúng: "To serve as a fortified gateway to protect internal networks from external threats". Bastion host là máy chủ được gia cố và đặt ở vùng biên hoặc DMZ, tạo điểm truy cập kiểm soát tới dịch vụ công khai trong khi hạn chế đường đi trực tiếp vào mạng nội bộ. "To monitor network traffic and optimize speed" gần với nhiệm vụ giám sát hoặc tối ưu mạng, không phải vai trò chính của bastion host. "To provide backup services for data recovery" thuộc hệ thống sao lưu và phục hồi. "To manage internal databases and user information" mô tả máy chủ ứng dụng hoặc cơ sở dữ liệu nội bộ, không phải cổng phòng thủ ở vùng biên.

Đáp án đúng: "To enhance security by using multiple methods to regulate access and actions". Phòng thủ nhiều lớp kết hợp các cơ chế như xác thực, giới hạn quyền, firewall và kiểm soát ở dịch vụ để một điểm yếu đơn lẻ không tự động mở toàn bộ hệ thống. Với FTP, cần lưu ý giao thức cổ điển có thể truyền thông tin dạng rõ, nên lớp bảo vệ phải chọn giải pháp phù hợp như thay bằng giao thức mã hóa. "To provide redundancy in case one layer fails" gần với khả năng dự phòng, nhưng lớp bảo mật không nhất thiết là bản sao có thể tiếp quản khi hỏng. "To improve FTP performance" không phải mục tiêu an ninh và thêm kiểm soát đôi khi còn tăng chi phí xử lý. "To simplify the FTP setup process" cũng không phải lợi ích chính; nhiều lớp thường cần cấu hình cẩn thận.

Đáp án đúng: "iptables -L INPUT". Tùy chọn -L liệt kê các luật của chain được nêu; khi không ghi bảng, iptables mặc định dùng bảng filter, nên lệnh này xem INPUT trong filter. Có thể thêm tùy chọn hiển thị chi tiết hoặc đánh số luật khi kiểm tra cấu hình. "iptables -A INPUT -p tcp --dport 22 -j ACCEPT" thêm luật cho phép SSH; "iptables -I INPUT -j DROP" chèn luật chặn; "iptables -F INPUT" xóa các luật trong chain, không hiển thị chúng.

Đáp án đúng: "ls -Z filename". Tùy chọn -Z hiển thị nhãn bảo mật SELinux gắn với tệp, gồm user, role, type và level theo định dạng context. "ls filename" chỉ liệt kê tên tệp và không hiển thị context. "ls -SE filename" không phải tổ hợp tùy chọn ls chuẩn để xem thuộc tính SELinux. "ls -l filename" hiển thị quyền Unix, chủ sở hữu, nhóm, kích thước và thời gian nhưng không hiện nhãn SELinux. "ls -S filename" sắp xếp theo kích thước, không hiển thị context bảo mật.

Đáp án đúng: "/etc/hosts.allow and /etc/hosts.deny". TCP Wrapper dựa vào các tệp này để cho phép hoặc từ chối máy khách theo địa chỉ hay mẫu tên dịch vụ; quy tắc allow thường được xét trước deny. "/etc/tcpwrapper.conf and /etc/firewall.conf" không phải cặp tệp cấu hình TCP Wrapper chuẩn; "/etc/tcp.allow and /etc/tcp.deny" là tên không đúng; "/etc/security/access.conf and /etc/services" phục vụ kiểm soát đăng nhập PAM và ánh xạ dịch vụ/cổng, không phải tệp quy tắc hosts của wrapper.

Đáp án đúng: "The NSA". Security-Enhanced Linux được khởi xướng bởi National Security Agency (NSA) như một tập hợp mở rộng bảo mật cho Linux, sau đó được cộng đồng phát triển và tích hợp rộng rãi. "The CIA" là một cơ quan khác của Hoa Kỳ, không phải cơ quan khởi nguồn SELinux. "The Electronic Freedom Foundation" không phải tổ chức tạo SELinux; tổ chức này hoạt động về quyền tự do và quyền riêng tư số. "The GNU Foundation" không phải tên tổ chức khởi phát dự án này. "The memory" không phải cơ quan hay nhóm phát triển; cụm từ này không thể là chủ thể của quá trình phát triển.