Câu hỏi: DBS401 An ninh cơ sở dữ liệu – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "Worms". Worm (sâu máy tính) thường tự nhân bản và lan truyền qua mạng; dò hệ thống dễ bị tổn thương để tiếp tục lây lan phù hợp nhất trong các lựa chọn. Tuy nhiên câu còn gán cho worms việc chiếm quyền và trích xuất mọi thông tin nhạy cảm, vốn không phải đặc tính bắt buộc của mọi sâu máy tính và có thể mô tả tải trọng hoặc hành động của kẻ tấn công. "Applications" là phần mềm nói chung, không mặc nhiên tự nhân bản hay khai thác mạng; "Data" là nội dung được xử lý, không tự có hành vi tấn công; "All of the mentioned" sai vì hai khái niệm trên không có các đặc tính của worm. Do đó Worms là đáp án gần đúng nhất, đồng thời câu dẫn đã khái quát quá mức hành vi của mã độc.

Đáp án đúng: "Connection Manager". Trong kiến trúc MySQL, thành phần quản lý các phiên và kết nối từ client là Connection Manager: nó tiếp nhận kết nối và phối hợp việc xác thực, duy trì hoặc đóng phiên. "Query Engine" xử lý câu lệnh truy vấn sau khi kết nối đã được thiết lập, còn "Buffer Manager" quản lý vùng đệm phục vụ truy cập dữ liệu. "Storage Engine" chịu trách nhiệm cách lưu trữ và truy xuất dữ liệu, không phải quản lý kết nối client.

Đáp án đúng: "Windows 98". Windows 98 không được hỗ trợ bởi SQL Server 2008. "Windows XP" được hỗ trợ với các phiên bản và gói dịch vụ phù hợp; "Windows Server 2008" là nền tảng máy chủ được hỗ trợ; "Windows 7" được hỗ trợ sau khi cài gói dịch vụ thích hợp. Vì vậy Windows 98 là lựa chọn duy nhất không nằm trong các nền tảng được hỗ trợ. Câu hỏi hỏi hệ điều hành không hỗ trợ, nên cần phân biệt máy khách với hệ điều hành dùng để cài dịch vụ máy chủ; dù phạm vi từng phiên bản khác nhau, Windows 98 không phù hợp cho các thành phần SQL Server 2008.

Đáp án đúng: "Polyinstantiation". Polyinstantiation (đa thể hiện) cho phép lưu nhiều bản ghi có cùng khóa định danh nhưng giá trị khác nhau theo mức phân loại bảo mật, nhằm tránh việc người dùng ở mức thấp suy ra dữ liệu mật từ sự tồn tại của bản ghi. "Encryption" biến đổi dữ liệu để người không có khóa không đọc được, chứ không tạo các phiên bản bản ghi theo phân loại; "Parallel recording" không phải tên chiến lược kiểm soát truy cập đa mức này; "Cryptography" là lĩnh vực các kỹ thuật mật mã nói chung, không mô tả cơ chế nhiều bản ghi cùng khóa.

Đáp án đúng: "Auditing covers security policies, human resources, and legal compliance, while testing does not". Security audit (kiểm toán an ninh) thường đánh giá rộng các chính sách, kiểm soát nội bộ, trách nhiệm nhân sự và tuân thủ; security testing (kiểm thử an ninh) chủ yếu kiểm tra kỹ thuật để tìm hoặc xác nhận điểm yếu. Đây là khác biệt phù hợp nhất ở đây, dù câu “testing does not” tuyệt đối hóa ranh giới: một chương trình kiểm thử thực tế vẫn có thể xem xét một phần quy trình. "Auditing is time-consuming, while testing is quick" không đúng phổ quát vì thời lượng tùy phạm vi và phương pháp. "Auditing focuses on internal controls, while testing does not" bỏ qua việc kiểm toán có thể xem cả kiểm soát bên ngoài và kiểm thử cũng xem xét kiểm soát. "Testing is more costly and time-consuming than auditing" cũng không phải quy luật; chi phí phụ thuộc quy mô và cách thực hiện.

Đáp án đúng: "Placing servers behind firewalls and locked doors.". Bảo vệ trước cài đặt cần kiểm soát vật lý lẫn mạng: cửa khóa hạn chế tiếp cận máy chủ, còn tường lửa giới hạn lưu lượng dịch vụ. Ngoại lệ dải cổng có thể mở rộng bề mặt tấn công; chia sẻ quyền quản trị làm giảm khả năng truy vết và tăng nguy cơ lạm dụng; bật tài khoản khách mặc định tạo truy cập không cần thiết, trái nguyên tắc tối thiểu quyền. "Using group range exceptions for port configurations." "Sharing administrative access with multiple users." "Enabling guest accounts by default."

Đáp án đúng: "Providing additional layers of protection against data breaches and unauthorized access". Advanced Security trong Oracle tập trung vào các biện pháp bảo vệ dữ liệu và kiểm soát truy cập, bổ sung lớp phòng vệ trước việc lộ lọt hoặc truy cập trái phép; đây là mục tiêu an ninh, không phải chức năng tiện ích chung. "Simplifying user access and enhancing database performance" ghép sự thuận tiện và hiệu năng, không nêu trọng tâm bảo vệ; "Integrating with social media platforms for user authentication" không phải mục tiêu của tính năng an ninh cơ sở dữ liệu; "Automatically backing up your data to the cloud" nói về sao lưu, một hoạt động khác và không đồng nghĩa với Advanced Security.

Đáp án đúng: "Eliminating all organizational risks". Kiểm toán an ninh nhằm nhận diện rủi ro, xem biện pháp kiểm soát có phù hợp và đề xuất cách giảm thiểu; nó không thể bảo đảm xóa bỏ mọi rủi ro của tổ chức. "Identifying the purpose of security measures" là việc cần làm để đánh giá biện pháp có đáp ứng mục tiêu không. "Locating any risks that might prevent security measures from achieving their purpose" mô tả việc tìm rủi ro làm suy yếu kiểm soát. "Finding processes in place to lessen identified risks" cũng thuộc đánh giá cách tổ chức xử lý rủi ro đã nhận diện.

Đáp án đúng: "Passive reconnaissance". Trinh sát thụ động thu thập dữ liệu từ nguồn công khai hoặc bên trung gian mà không gửi yêu cầu trực tiếp đến mục tiêu. Trinh sát chủ động tương tác trực tiếp như dò cổng; kiểm thử hộp đen chỉ nói về mức độ hiểu biết nội bộ của người kiểm thử; kiểm thử nội bộ chỉ bối cảnh thực hiện, không mô tả cách thu thập thụ động. "Active reconnaissance" "Black box testing" "Internal testing"

Đáp án đúng: "GRANT privilege_list ON *.*". Trong MySQL, cú pháp GRANT gắn danh sách quyền với phạm vi đối tượng; *.* biểu thị mọi cơ sở dữ liệu và mọi đối tượng phù hợp trong phạm vi đó, nên đây là dạng cấp quyền toàn cục mà câu hỏi mô tả. Vì quyền toàn cục có phạm vi rộng, nguyên tắc đặc quyền tối thiểu khuyên chỉ cấp khi thật sự cần. "GRANT privilege_list OFF *.*" dùng OFF thay cho mệnh đề ON nên không phải cú pháp cấp quyền; "GRANT authentication_list ON *.*" đưa danh sách xác thực vào vị trí dành cho quyền; "GRANT authentication_list OFF *.*" vừa sai loại danh sách vừa sai mệnh đề phạm vi.

Đáp án đúng: "It allows for many-to-many relationships". Mô hình mạng biểu diễn bản ghi bằng các liên kết, cho phép một bản ghi có nhiều bản ghi cha và con; nhờ đó mô tả được quan hệ nhiều-nhiều trực tiếp hơn mô hình phân cấp vốn tổ chức theo cây với một cha cho mỗi nút con. "It supports simpler queries" không phải ưu thế điển hình, vì điều hướng mạng thường đòi hỏi hiểu cấu trúc liên kết. "It uses less storage space" không được bảo đảm: liên kết và con trỏ cũng chiếm không gian. "It is easier to implement" không đúng nói chung, bởi thiết kế và điều hướng mạng có thể phức tạp hơn cấu trúc cây.

Đáp án đúng: "The specific areas or systems that the audit will focus on". Phạm vi kiểm toán xác định tài sản, hệ thống và quy trình sẽ được xem xét, qua đó định hướng thủ tục và tiêu chí đánh giá. Chi phí thuộc dự toán; danh sách toàn bộ nhân viên không xác định đối tượng kiểm toán; phần mềm kiểm toán là công cụ thực hiện chứ không phải ranh giới công việc. "The cost of the audit" "The names of all employees in the organization" "The software used during the audit"

Đáp án đúng: "Implementing multiple layers of security.". Phòng thủ nhiều lớp (defense in depth) kết hợp các biện pháp như kiểm soát truy cập, vá lỗi, giám sát và bảo vệ mạng để một biện pháp thất bại không lập tức dẫn đến xâm phạm dữ liệu. "Using a single, strong firewall." chỉ dựa vào một ranh giới phòng thủ, có thể bị vượt qua hoặc không xử lý được rủi ro nội bộ; "Deploying antivirus solutions only." giới hạn bảo vệ vào mã độc và bỏ sót nhiều dạng tấn công; "Relying solely on user training and awareness." chỉ dựa vào hành vi người dùng, không thay thế được kiểm soát kỹ thuật và giám sát.

Đáp án đúng: "Table". Trong ngữ cảnh cơ sở dữ liệu quan hệ, bảng là đơn vị tổ chức và lưu trữ logic cơ bản; mỗi hàng là một bản ghi trong bảng, còn cột biểu diễn thuộc tính. Cần lưu ý câu hỏi nói “database” mà không nêu rõ mức vật lý, nên thuật ngữ “unit of storage” có thể thiếu chính xác nếu hiểu là đơn vị lưu trên thiết bị; theo cách dùng quan hệ và các lựa chọn này, bảng là đáp án phù hợp nhất. "Query" là yêu cầu thao tác hoặc lấy dữ liệu, không phải đơn vị lưu trữ. "Row" là một bản ghi bên trong bảng, không phải cấu trúc cơ bản bao trùm dữ liệu quan hệ. "Key" định danh hoặc liên kết bản ghi, chứ không chứa tổ chức lưu trữ toàn bộ dữ liệu.

Đáp án đúng gồm hai ý: "To protect data confidentiality" và "To ensure data integrity". Mã hóa bảo vệ tính bí mật bằng cách khiến dữ liệu không thể đọc được nếu thiếu khóa; tính toàn vẹn chỉ được hỗ trợ khi dùng mã hóa xác thực hoặc cơ chế kiểm tra mật mã đi kèm, chứ không phải mọi kiểu mã hóa đều tự ngăn sửa đổi. "To enhance database aesthetics" không làm tăng bảo mật; "To increase data accessibility" không phải mục tiêu của mã hóa và khóa có thể làm truy cập chặt hơn; "To make database management easier" mô tả tiện ích vận hành, không phải mục tiêu bảo vệ dữ liệu. Đây là hai mục tiêu phù hợp nhất trong các lựa chọn của câu hỏi.

Đáp án đúng: "Enterprise Edition". Oracle Enterprise Edition hướng tới hệ thống doanh nghiệp có yêu cầu cao về khả năng mở rộng, tính sẵn sàng và các tính năng nâng cao; vì vậy phù hợp nhất trong các lựa chọn với môi trường có khối lượng giao dịch lớn hoặc truy vấn chuyên sâu. "Standard Edition" cung cấp bộ chức năng và giới hạn triển khai khác, phù hợp các nhu cầu quy mô vừa hơn; "Express Edition" là bản miễn phí có giới hạn tài nguyên, không dành cho tải lớn; "Standard Edition One" là lựa chọn Standard giới hạn hơn, không phải bản hướng tới môi trường truy vấn cường độ cao.

Đáp án đúng: "Based on the specific network scenarios and needs". Việc chọn thành phần SQL Server cần dựa trên vai trò máy chủ, cấu trúc mạng, ứng dụng và nhu cầu quản trị để cài đúng tính năng cần dùng, giảm phần mềm không cần thiết và bề mặt tấn công. "By installing all components" có thể tăng tiêu thụ tài nguyên và cài thêm dịch vụ không cần dùng. "By guessing" không dựa trên yêu cầu có thể kiểm chứng, dễ dẫn đến thiếu hoặc thừa tính năng. "By flipping a coin" là quyết định ngẫu nhiên, không đánh giá tương thích hay nhu cầu vận hành.

Đáp án đúng: "General Availability (GA)". GA là giai đoạn phát hành ổn định, được khuyến nghị cho môi trường production. "Alpha" là bản phát triển sớm; "Beta" còn đang được thử nghiệm và nhận phản hồi; "Release Candidate (RC)" là ứng viên phát hành được đánh giá trước khi chuyển sang GA, nên chưa phải trạng thái phát hành phổ dụng mà câu hỏi mô tả. Một bản GA vẫn có thể nhận bản vá sau phát hành; cụm rất ít lỗi đã biết không đồng nghĩa với việc phần mềm không bao giờ còn lỗi.

Đáp án đúng: "White box testing". Kiểm thử hộp trắng (white box testing) giả định người kiểm thử có hiểu biết về cấu trúc nội bộ, mã nguồn hoặc thiết kế hệ thống để xây dựng ca kiểm thử bao phủ đường đi và điều kiện bên trong. "Black box testing" đánh giá đầu vào và đầu ra mà không cần biết cấu trúc nội bộ; "Grey box testing" chỉ có một phần hiểu biết về hệ thống; "Blue box testing" không phải thuật ngữ phân loại phổ biến cho kiểm thử dựa trên hiểu biết đầy đủ về hệ thống.

Đáp án đúng: "To simplify management of user privileges". Role (vai trò) gom các quyền liên quan thành một nhóm để quản trị viên cấp hoặc thu hồi quyền cho người dùng theo chức năng, thuận tiện hơn cấp từng quyền riêng lẻ và hỗ trợ nguyên tắc đặc quyền tối thiểu. "To limit the number of users in the database" không phải mục tiêu của vai trò; role không đặt trần số tài khoản. "To encrypt data transfers between databases" là nhiệm vụ của cơ chế mã hóa và bảo vệ kết nối, không phải phân quyền. "To backup and restore the database" thuộc công cụ và quy trình sao lưu, phục hồi.