Câu hỏi: OSP201 - Chương 7: Tường lửa và kiểm soát mạng

Đáp án đúng: "Security Policy". Chính sách SELinux quy định miền hoặc loại nào được phép truy cập tài nguyên theo ngữ cảnh bảo mật; bộ thực thi trong nhân áp dụng các quyết định đó. "Context Manager" không phải tên thành phần chuẩn chịu trách nhiệm định nghĩa quy tắc; "Policy Server" không phải thành phần SELinux thường được gọi như vậy; "Targeted Security Module" nhầm một chính sách targeted với bộ phận định nghĩa chính sách.

Đáp án đúng: "iptables". Trong các phương án được đưa ra, iptables là công cụ cấu hình quy tắc lọc gói qua Netfilter, cơ chế xử lý trong nhân Linux; đây là lựa chọn tốt nhất theo ngữ cảnh kiến thức được kiểm tra. Câu gọi nó là lựa chọn hiện hành đã lỗi thời ở nhiều hệ mới, nơi nftables thường là backend mặc định, nhưng đáp án đó không có trong danh sách. "ipfirewall" không phải gói Linux chuẩn trong ngữ cảnh này; "ipchains" là cơ chế firewall Linux cũ; "ipsecurity" không phải công cụ chuẩn để tạo luật lọc.

Đáp án đúng: "Security Policy". Chính sách SELinux quy định miền hoặc loại nào được phép truy cập tài nguyên theo ngữ cảnh bảo mật; bộ thực thi trong nhân áp dụng các quyết định đó. "Context Manager" không phải tên thành phần chuẩn chịu trách nhiệm định nghĩa quy tắc; "Policy Server" không phải thành phần SELinux thường được gọi như vậy; "Targeted Security Module" nhầm một chính sách targeted với bộ phận định nghĩa chính sách.

Đáp án đúng: "It provides an additional layer of protection if perimeter defenses fail.". Firewall trên từng máy chủ tạo lớp lọc gần tài nguyên, có thể giới hạn lưu lượng được phép ngay cả khi firewall biên cấu hình sai hoặc mạng nội bộ bị xâm nhập. "It slows down the network traffic significantly to prevent attacks." mô tả sai mục đích và hiệu năng; "It enables remote administration over unsecured networks." không làm kết nối không an toàn trở nên an toàn; "It replaces the need for a perimeter firewall entirely." sai vì phòng thủ nhiều lớp vẫn cần kiểm soát ở biên mạng.

Đáp án đúng: "iptables". Trong các phương án được đưa ra, iptables là công cụ cấu hình quy tắc lọc gói qua Netfilter, cơ chế xử lý trong nhân Linux; đây là lựa chọn tốt nhất theo ngữ cảnh kiến thức được kiểm tra. Câu gọi nó là lựa chọn hiện hành đã lỗi thời ở nhiều hệ mới, nơi nftables thường là backend mặc định, nhưng đáp án đó không có trong danh sách. "ipfirewall" không phải gói Linux chuẩn trong ngữ cảnh này; "ipchains" là cơ chế firewall Linux cũ; "ipsecurity" không phải công cụ chuẩn để tạo luật lọc.

Đáp án đúng: "It provides an additional layer of protection if perimeter defenses fail.". Firewall trên từng máy chủ tạo lớp lọc gần tài nguyên, có thể giới hạn lưu lượng được phép ngay cả khi firewall biên cấu hình sai hoặc mạng nội bộ bị xâm nhập. "It slows down the network traffic significantly to prevent attacks." mô tả sai mục đích và hiệu năng; "It enables remote administration over unsecured networks." không làm kết nối không an toàn trở nên an toàn; "It replaces the need for a perimeter firewall entirely." sai vì phòng thủ nhiều lớp vẫn cần kiểm soát ở biên mạng.

Đáp án đúng: "They specify which IP addresses are allowed or denied access to certain services". TCP Wrapper đọc quy tắc trong hosts.allow và hosts.deny để quyết định máy khách nào được kết nối tới dịch vụ có hỗ trợ wrapper. Các quy tắc này kiểm soát truy cập dịch vụ, không thay cho firewall hay xác thực người dùng. "They define user permissions for file access" thuộc quyền hệ thống tệp; "They store encrypted data for network security" không đúng vì tệp chứa quy tắc truy cập dạng văn bản; "They log access attempts to network services" nhầm chức năng quyết định allow/deny với ghi nhật ký.

Đáp án đúng: "Enforces mandatory access control policies strictly.". Ở chế độ Enforcing, SELinux vừa ghi nhận vi phạm chính sách vừa ngăn hành động bị cấm theo type enforcement và các quy tắc đang nạp. "Logs policy violations without enforcing them." mô tả Permissive, khi vi phạm được ghi nhưng không bị chặn. "Disables all access control checks." sai vì SELinux vẫn áp dụng chính sách trong Enforcing. "Only applies SELinux to file systems, not processes." sai vì SELinux gắn nhãn và kiểm soát cả tiến trình, đối tượng, cổng và nhiều tài nguyên khác.

Đáp án đúng: "They specify which IP addresses are allowed or denied access to certain services". TCP Wrapper đọc quy tắc trong hosts.allow và hosts.deny để quyết định máy khách nào được kết nối tới dịch vụ có hỗ trợ wrapper. Các quy tắc này kiểm soát truy cập dịch vụ, không thay cho firewall hay xác thực người dùng. "They define user permissions for file access" thuộc quyền hệ thống tệp; "They store encrypted data for network security" không đúng vì tệp chứa quy tắc truy cập dạng văn bản; "They log access attempts to network services" nhầm chức năng quyết định allow/deny với ghi nhật ký.

Đáp án đúng: "Enforces mandatory access control policies strictly.". Ở chế độ Enforcing, SELinux vừa ghi nhận vi phạm chính sách vừa ngăn hành động bị cấm theo type enforcement và các quy tắc đang nạp. "Logs policy violations without enforcing them." mô tả Permissive, khi vi phạm được ghi nhưng không bị chặn. "Disables all access control checks." sai vì SELinux vẫn áp dụng chính sách trong Enforcing. "Only applies SELinux to file systems, not processes." sai vì SELinux gắn nhãn và kiểm soát cả tiến trình, đối tượng, cổng và nhiều tài nguyên khác.

Đáp án đúng: "Cryptographic API". Câu hỏi yêu cầu lựa chọn không liên quan MAC. Cryptographic API cung cấp thuật toán và giao diện mật mã trong kernel, không thiết lập quy tắc truy cập chủ thể-tài nguyên. "SELinux" gắn nhãn và áp chính sách truy cập bắt buộc. "TOMOYO" là framework MAC cho Linux dựa trên chính sách đường dẫn. "AppArmor" giới hạn chương trình theo profile, cũng thuộc nhóm MAC. Những cơ chế này kiểm soát hành động của tiến trình theo chính sách, bổ sung cho quyền DAC truyền thống của chủ sở hữu tệp.

Đáp án đúng: "To log and filter incoming network connections.". TCP Wrappers kiểm soát truy cập dịch vụ dựa trên địa chỉ máy khách qua quy tắc hosts.allow và hosts.deny, đồng thời có thể ghi nhận kết nối. "To encrypt network communications." không đúng vì TCP Wrappers không mã hóa dữ liệu; cần TLS hoặc VPN. "To optimize network performance by reducing latency." không phải mục tiêu của bộ lọc truy cập. "To monitor file system usage." thuộc công cụ quota, audit hoặc giám sát filesystem, không thuộc TCP Wrappers.

Đáp án đúng: "Cryptographic API". Câu hỏi yêu cầu lựa chọn không liên quan MAC. Cryptographic API cung cấp thuật toán và giao diện mật mã trong kernel, không thiết lập quy tắc truy cập chủ thể-tài nguyên. "SELinux" gắn nhãn và áp chính sách truy cập bắt buộc. "TOMOYO" là framework MAC cho Linux dựa trên chính sách đường dẫn. "AppArmor" giới hạn chương trình theo profile, cũng thuộc nhóm MAC. Những cơ chế này kiểm soát hành động của tiến trình theo chính sách, bổ sung cho quyền DAC truyền thống của chủ sở hữu tệp.

Đáp án đúng: "Deny all incoming and outgoing traffic by default, then allow specific services.". Chính sách mặc định từ chối rồi chỉ cho phép lưu lượng thực sự cần dùng tuân theo nguyên tắc đặc quyền tối thiểu, giảm cổng và kết nối phơi ra ngoài. "Allow all incoming and outgoing traffic." loại bỏ tác dụng kiểm soát của tường lửa. "Deny all incoming and outgoing traffic by default, allow all outgoing traffic." vẫn cho mọi ứng dụng kết nối ra ngoài, nên không giới hạn outbound như chính sách tối thiểu yêu cầu. "Allow incoming traffic and deny outgoing traffic by default." mở rộng truy cập từ bên ngoài và không phải thiết lập mặc định an toàn.

Đáp án đúng: "The creation of Security-Enhanced Linux (SELinux)". SELinux bắt nguồn từ công trình nghiên cứu an ninh của NSA, sau đó được phát triển thành cơ chế kiểm soát truy cập bắt buộc cho Linux; chính sách có thể giới hạn tiến trình vượt ra ngoài quyền Unix thông thường. "The development of kernel-based encryption" không mô tả đóng góp nổi bật được hỏi; "The introduction of real-time intrusion detection systems" không phải nguồn gốc SELinux; "The implementation of sandboxing techniques" là mô tả rộng về kỹ thuật cô lập, không phải câu trả lời cụ thể về dự án NSA.

Đáp án đúng: "To log and filter incoming network connections.". TCP Wrappers kiểm soát truy cập dịch vụ dựa trên địa chỉ máy khách qua quy tắc hosts.allow và hosts.deny, đồng thời có thể ghi nhận kết nối. "To encrypt network communications." không đúng vì TCP Wrappers không mã hóa dữ liệu; cần TLS hoặc VPN. "To optimize network performance by reducing latency." không phải mục tiêu của bộ lọc truy cập. "To monitor file system usage." thuộc công cụ quota, audit hoặc giám sát filesystem, không thuộc TCP Wrappers.

Đáp án đúng: "Security Enhanced Linux". SELinux là tên viết tắt của Security-Enhanced Linux, một cơ chế kiểm soát truy cập bắt buộc cho Linux; cách viết trong phương án bỏ dấu gạch nối nhưng giữ đúng các từ. "Secure Enhanced Linux" dùng sai từ đầu. "Simple Encrypted Linux" không phải tên dự án và nhầm kiểm soát truy cập với mã hóa. "Server Encapsulation Linux" cũng không khai triển đúng tên và không mô tả công nghệ.

Đáp án đúng: "Deny all incoming and outgoing traffic by default, then allow specific services.". Chính sách mặc định từ chối rồi chỉ cho phép lưu lượng thực sự cần dùng tuân theo nguyên tắc đặc quyền tối thiểu, giảm cổng và kết nối phơi ra ngoài. "Allow all incoming and outgoing traffic." loại bỏ tác dụng kiểm soát của tường lửa. "Deny all incoming and outgoing traffic by default, allow all outgoing traffic." vẫn cho mọi ứng dụng kết nối ra ngoài, nên không giới hạn outbound như chính sách tối thiểu yêu cầu. "Allow incoming traffic and deny outgoing traffic by default." mở rộng truy cập từ bên ngoài và không phải thiết lập mặc định an toàn.

Đáp án đúng: "To control network access by analyzing incoming and outgoing packets". Packet filtering firewall kiểm tra các thuộc tính như địa chỉ, giao thức, cổng và chiều lưu lượng rồi áp dụng quy tắc cho phép hoặc chặn. "To monitor outbound traffic" chỉ nêu một hướng và không đầy đủ chức năng kiểm soát cả gói đến lẫn gói đi. "To provide VPN services" là vai trò của công nghệ VPN, có thể kết hợp với firewall nhưng không phải chức năng lọc gói cơ bản. "To encrypt network traffic" thuộc giao thức mã hóa như TLS hoặc IPsec; firewall lọc lưu lượng chứ tự thân không mã hóa payload.

Đáp án đúng: "The creation of Security-Enhanced Linux (SELinux)". SELinux bắt nguồn từ công trình nghiên cứu an ninh của NSA, sau đó được phát triển thành cơ chế kiểm soát truy cập bắt buộc cho Linux; chính sách có thể giới hạn tiến trình vượt ra ngoài quyền Unix thông thường. "The development of kernel-based encryption" không mô tả đóng góp nổi bật được hỏi; "The introduction of real-time intrusion detection systems" không phải nguồn gốc SELinux; "The implementation of sandboxing techniques" là mô tả rộng về kỹ thuật cô lập, không phải câu trả lời cụ thể về dự án NSA.