Câu hỏi: DBS401 An ninh cơ sở dữ liệu – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "By following secure password practices". Mật khẩu mạnh, riêng cho từng tài khoản và được bảo vệ đúng cách làm giảm nguy cơ đoán, tái sử dụng thông tin bị lộ và truy cập trái phép. Tránh cập nhật khiến hệ thống thiếu bản vá; chia sẻ mật khẩu làm lộ bí mật xác thực và khó truy vết; cấp quyền cho người không được phép trực tiếp phá vỡ kiểm soát truy cập. "By avoiding system updates" "By frequently sharing passwords" "By granting system access to unauthorized individuals"

Đáp án đúng: "Hierarchical model". Mô hình phân cấp tổ chức dữ liệu thành cấu trúc cây: mỗi nút con có một nút cha, còn một nút cha có thể có nhiều nút con. Ràng buộc một cha và nhiều con là đặc trưng được hỏi. "Network model" cho phép một bản ghi liên kết với nhiều bản ghi cha, tạo quan hệ tổng quát hơn dạng cây; "Relational model" biểu diễn dữ liệu bằng bảng và liên kết qua khóa, không bắt buộc cấu trúc cha-con duy nhất; "Object-oriented model" tổ chức dữ liệu thành đối tượng và quan hệ giữa chúng, không đặt quy tắc mỗi thực thể chỉ có một cha.

Đáp án đúng: "Directly stopping or hindering the attacker's goals". Honeypot (bẫy mật) là hệ thống mồi được giám sát để phát hiện hành vi xâm nhập và thu thập thông tin; nó có thể khiến kẻ tấn công tiêu tốn thời gian trên môi trường mồi, nhưng không tự trực tiếp chặn mục tiêu của họ trên hệ thống thật. Vì thế phát biểu này, hiểu là ngăn cản trực tiếp, không phải lợi ích được bảo đảm. "Early detection of intrusion attempts" là lợi ích vì truy cập bất thường vào mồi có thể tạo tín hiệu cảnh báo. "Gathering information about attacker methods and tools" đúng vì hoạt động trong bẫy có thể được ghi nhận. "Wasting the attacker's time and resources" có thể xảy ra khi kẻ tấn công tập trung vào hệ thống mồi, dù không thay thế biện pháp phòng vệ.

Đáp án đúng: "Confidentiality". Câu hỏi hỏi điều không phải nhược điểm. Mật mã đối xứng có thể bảo vệ tính bí mật; khó khăn là quản lý, phân phối khóa an toàn và mở rộng số lượng khóa khi nhiều bên liên lạc. Quản lý khóa là gánh nặng vận hành; khả năng mở rộng bị hạn chế khi số người dùng tăng; phân phối khóa chung an toàn là vấn đề cốt lõi, nên các ý ấy là nhược điểm. "Key management" "Scalability" "Key distribution"

Đáp án đúng: "Worms exploit network vulnerabilities to replicate.". Sâu máy tính có thể tự nhân bản và lan truyền qua kết nối mạng bằng cách khai thác dịch vụ hoặc lỗ hổng, thường không cần người dùng mở một tệp chủ như cách virus thường lây. "Worms require user interaction to spread." đảo ngược điểm phân biệt thường gặp: tương tác có thể cần trong một số đường lây, nhưng không phải yêu cầu cốt lõi của sâu; "Worms disguise themselves in harmful code." mô tả gần với virus gắn vào vật chủ hoặc mã độc ngụy trang; "Worms self-update and encrypt information." nêu hành vi có thể gặp ở một số mã độc nhưng không định nghĩa khác biệt giữa sâu và virus.

Đáp án đúng: "Passive reconnaissance gathers information indirectly, without alerting the target system". Passive reconnaissance (trinh sát thụ động) thu thập dữ liệu gián tiếp từ nguồn công khai hoặc bên trung gian, tránh tương tác trực tiếp khiến hệ thống mục tiêu ghi nhận hoạt động; active reconnaissance chủ động gửi yêu cầu hoặc dò quét nên có thể bị phát hiện. "Passive reconnaissance involves direct system attacks" nhầm trinh sát thụ động với hành động trực tiếp và gây tác động. "Active reconnaissance uses only public information" sai vì nó có thể tương tác với mục tiêu, không giới hạn ở dữ liệu công khai. "Active reconnaissance is never used in security testing" quá tuyệt đối: kiểm thử được ủy quyền có thể dùng nó trong phạm vi đã thống nhất.

Đáp án đúng: "To gain unauthorized access or manipulate database data". SQL injection xảy ra khi đầu vào không tin cậy làm thay đổi cấu trúc truy vấn SQL; kẻ tấn công có thể đọc dữ liệu, vượt kiểm tra quyền hoặc sửa nội dung tùy quyền tài khoản ứng dụng. Bảo vệ cơ sở dữ liệu là mục tiêu phòng vệ; tạo bản sao lưu là tác vụ quản trị; tối ưu hiệu năng không khai thác lỗi diễn giải đầu vào. "To secure the database" "To create backups of the database" "To optimize database performance"

Đáp án đúng: "Milestone achieved". Trong cách đặt tên phiên bản MySQL 5.5.0-m2, hậu tố m2 biểu thị milestone 2, tức một mốc phát triển của bản phát hành trước khi phiên bản ổn định chính thức được công bố. Hậu tố này không tự nói rằng sản phẩm đã đạt General Availability. "General Availability" chỉ trạng thái phát hành ổn định rộng rãi; "Release Candidate" là giai đoạn ứng viên phát hành sau các vòng thử nghiệm; "Beta phase" là giai đoạn beta, một nhãn giai đoạn khác với ký hiệu m2 trong chuỗi phiên bản này.

Đáp án đúng: "An installation that completes without user prompting". Silent installation (cài đặt im lặng) chạy mà không yêu cầu người dùng trả lời từng bước hoặc xác nhận hộp thoại; quản trị viên thường cung cấp tùy chọn và cấu hình trước qua dòng lệnh hay tệp thiết lập. "An installation requiring user interaction" trái với đặc điểm không cần nhắc người dùng. "An installation with multiple configuration steps" mô tả số bước cấu hình, không cho biết chúng có tương tác hay không. "An installation with advanced settings only" giới hạn tùy chọn cài đặt nhưng không định nghĩa chế độ im lặng.

Đáp án đúng: "By encoding characters in unexpected formats like URL or Hex". Mã hóa đầu vào ở dạng bất ngờ có thể đánh lừa bộ lọc dựa trên mẫu nếu ứng dụng không chuẩn hóa nhất quán trước khi kiểm tra; truy vấn tham số hóa mới là biện pháp phòng vệ chính. Viết SQL đơn giản tránh từ đáng ngờ không phải kỹ thuật né lọc đặc trưng; kết nối thẳng là đường truy cập khác, không né bộ lọc ứng dụng; chỉ kiểm tra phía máy chủ mô tả vị trí kiểm tra, không phải thủ thuật tấn công. "By writing simplified SQL code that avoids using suspicious keywords" "By establishing direct database connections instead of going through the web interface" "By performing only backend validation"

Đáp án đúng: "Middleware". Middleware (phần mềm trung gian) nằm giữa ứng dụng bên ngoài và hệ quản trị cơ sở dữ liệu, có thể tiếp nhận yêu cầu, chuyển tiếp chúng và quan sát phản hồi để hỗ trợ kiểm soát hoặc giám sát truy cập. "Mixed mode" thường chỉ chế độ xác thực kết hợp trong SQL Server, không phải loại ứng dụng trung gian; "Communicator" là từ chung cho thành phần giao tiếp, không xác định lớp phần mềm có vai trò này; "Logical" là tính từ chỉ khía cạnh logic, không phải tên một loại ứng dụng giám sát yêu cầu truy cập cơ sở dữ liệu.

Đáp án đúng: "Ensuring proper software updates, backup strategies, and resource management". Kiểm toán bảo trì máy chủ xem xét việc cập nhật phần mềm, khả năng sao lưu và phục hồi, cùng quản lý tài nguyên để duy trì tính an toàn và sẵn sàng của dịch vụ cơ sở dữ liệu. "Checking user account creation" thuộc rà soát quản lý tài khoản và vòng đời người dùng. "Verifying access control measures" tập trung vào kiểm soát truy cập và quyền. "Monitoring data privilege assignments" là xem xét việc cấp quyền trên dữ liệu; các nội dung đó quan trọng trong kiểm toán nhưng không diễn tả trọng tâm bảo trì máy chủ như đáp án.

Đáp án đúng gồm hai ý: "GA marks a version as stable and ready for production" và "RC indicates the version is nearing stability but may have serious bugs". MySQL mô tả GA là bản ổn định dành cho production; RC là ứng viên phát hành đang được đánh giá và tập trung sửa lỗi trước GA. Mô tả RC trong lựa chọn thứ hai chỉ là phương án gần nhất: tài liệu không nói RC thường có lỗi nghiêm trọng, mà nói bản RC được tin là ổn định sau kiểm thử nội bộ. "GA indicates a version is in the Alpha testing phase" nhầm GA với giai đoạn phát triển sớm; "RC suggests the version is ready for experimental use only" không phản ánh RC đã qua kiểm thử nội bộ; "GA and RC are both used to indicate the software is not yet released" sai vì GA là bản phát hành production. Cần đọc phần RC với lưu ý về cách diễn đạt quá mạnh.

Đáp án đúng: "Source code installation allows customization, while binary code installation is faster". Cài từ mã nguồn yêu cầu biên dịch và cấu hình, cho phép điều chỉnh theo môi trường nhưng cần công sức và kiến thức kỹ thuật; gói nhị phân đã được biên dịch sẵn nên thường cài đặt nhanh, thuận tiện hơn. "Binary code installation requires programming expertise" gán nhầm yêu cầu chuyên môn cao cho gói có sẵn; "Source code installation is recommended for large organizations" khái quát quá mức vì lựa chọn phụ thuộc nhu cầu vận hành; "Binary code installation involves long compiling times" sai vì gói nhị phân không cần người cài biên dịch mã nguồn.

Đáp án đúng: "In multiple, related tables". Mô hình quan hệ tổ chức dữ liệu thành các bảng gồm hàng và cột, rồi liên kết các bảng bằng khóa như khóa chính và khóa ngoại để biểu diễn thực thể cùng mối quan hệ. "In a single table" chỉ phù hợp với dữ liệu rất đơn giản và không mô tả mô hình quan hệ nói chung. "In a hierarchical structure" là cách tổ chức dạng cây, thường gắn với mô hình phân cấp. "In a network structure" biểu diễn bản ghi qua các liên kết mạng; đó là mô hình dữ liệu khác, dù một hệ quan hệ cũng có thể thể hiện những quan hệ phức tạp bằng nhiều bảng.

Đáp án đúng: "Oracle Real Application Clusters (RAC)". RAC cho phép nhiều nút máy chủ cùng chạy một cơ sở dữ liệu Oracle, nhờ đó tăng khả năng mở rộng và duy trì dịch vụ khi một nút hỏng. Streams truyền và đồng bộ dữ liệu; TAF hỗ trợ ứng dụng tiếp tục sau lỗi phiên nhưng không tạo cụm; Data Guard duy trì bản dự phòng cho bảo vệ và khôi phục sau thảm họa, không phải cụm mở rộng RAC. "Oracle Streams" "Transparent Application Failover (TAF)" "Oracle Data Guard"

Đáp án đúng: "Using alternative encodings or unexpected words". Kẻ tấn công có thể biến đổi cách biểu diễn đầu vào hoặc dùng cách viết bất thường để né bộ lọc dựa trên mẫu đơn giản; bộ lọc cần chuẩn hóa dữ liệu và kiểm tra truy vấn an toàn thay vì chỉ dò chuỗi cố định. "Increasing query performance" là mục tiêu tối ưu hệ thống, không phải cách né bộ lọc; "Creating database backups" là biện pháp phục hồi dữ liệu, không che giấu đầu vào độc hại; "Encrypting their SQL queries" không phải cách thông thường để vượt bộ lọc ứng dụng, vốn phải xử lý dữ liệu trước khi gửi truy vấn tới cơ sở dữ liệu.

Đáp án đúng: "Lexical analysis scanning tools". Phân tích từ vựng (lexical analysis) tách mã nguồn thành token, tức các đơn vị như từ khóa, tên định danh và toán tử; bộ quét có thể nhóm token theo tiêu chí để tìm mẫu mã nguy hiểm. "Data flow analysis tools" theo dõi cách giá trị được truyền qua chương trình, hữu ích để phát hiện luồng dữ liệu rủi ro nhưng không phải công cụ được mô tả bằng việc nhóm token. "Several tools" không chỉ ra loại phân tích cụ thể. "String-based matching tools" tìm chuỗi ký tự khớp trực tiếp, không hiểu mã như chuỗi token theo quy tắc từ vựng.

Đáp án đúng: "It allows for more frequent releases with fewer changes per release.". Mô hình milestone chia phát triển thành các mốc nhỏ, giúp phát hành thay đổi thường xuyên hơn và dễ kiểm thử, đánh giá, sửa lỗi. Giảm ổn định không phải lợi ích; kéo dài đáng kể chu kỳ trái với chia nhỏ tiến độ; hạn chế người dùng tiếp cận tính năng mới cũng không phải mục tiêu của các mốc phát hành. "It decreases the software's stability." "It prolongs the development cycle significantly." "It restricts access to newer features."

Đáp án đúng: "dynamic analysis". Phân tích động (dynamic analysis) kiểm tra chương trình khi nó đang chạy, quan sát hành vi và trạng thái thực tế để phát hiện lỗi hoặc điểm yếu phụ thuộc vào đường thực thi. "static SQL statement" là câu lệnh SQL tĩnh, không phải phương pháp phân tích chương trình đang thực thi; "Static analysis" phân tích mã mà không chạy chương trình; "None of the mentioned." không đúng vì dynamic analysis chính là thuật ngữ khớp với mô tả trong câu hỏi.