Câu hỏi: DBS401 An ninh cơ sở dữ liệu – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "Oracle Database Standard Edition One". Mô tả cấp phép theo người dùng hoặc bộ xử lý, giới hạn máy chủ hai bộ xử lý và ngưỡng người dùng thuộc phiên bản Standard Edition One trong mô hình cấp phép lịch sử. Đây là nhận diện phiên bản được mô tả, không nên dùng các điều kiện ấy như quy tắc cấp phép Oracle hiện hành vì tên sản phẩm và điều khoản thay đổi theo thời kỳ. "Oracle Database Standard Edition" là phiên bản khác, không khớp tên và giới hạn lịch sử nêu trong mô tả. "Enterprise Edition-" là phiên bản hướng đến tính năng doanh nghiệp rộng hơn, không phải phiên bản được giới hạn hai bộ xử lý ở đây. "Express Edition" là bản miễn phí có giới hạn riêng về tài nguyên và dung lượng, trái với mô tả không giới hạn bộ nhớ hay dữ liệu người dùng.

Đáp án đúng: "Traversing the network and locating vulnerable ports". Máy quét cổng xác định máy chủ nào phản hồi trên cổng nào, giúp kiểm kê dịch vụ mở và tìm cổng không cần thiết để kiểm soát; cổng mở tự nó chưa chứng minh lỗ hổng. Giải mã khóa WEP là hoạt động tấn công mạng không dây; ghi phím là hành vi phần mềm gián điệp; thao túng dịch vụ Windows để leo thang quyền là kỹ thuật khác, không phải mục đích quét cổng. "Decrypting WEP keys in a wireless network" "Recording keystrokes of a user" "Manipulating Windows services for privilege escalation"

Đáp án đúng: "Identifying potential buffer overflows and memory leaks in an application". Phân tích động quan sát chương trình khi thực thi, nên công cụ có thể theo dõi truy cập bộ nhớ, phát hiện một số trường hợp tràn bộ đệm hoặc vùng nhớ được cấp phát nhưng không giải phóng. Khả năng phát hiện phụ thuộc ca chạy và công cụ, nên không bảo đảm tìm mọi lỗi. "Checking for adherence to coding standards and style guidelines" thường phù hợp với phân tích tĩnh; "Analyzing the complexity and maintainability of a codebase" chủ yếu cần phân tích cấu trúc mã; "Verifying the correctness of mathematical algorithms and logic" đòi hỏi chứng minh hoặc kiểm thử logic, không phải mục tiêu đặc trưng của phân tích động.

Đáp án đúng: "Execute a specified action based on a true or false condition". Trong SQL injection dạng điều kiện, biểu thức Boolean (đúng/sai) chi phối nhánh hoặc phản hồi mà truy vấn tạo ra; người kiểm thử có thể so sánh kết quả khi điều kiện đúng và sai để suy luận hành vi. "Used for optimizing SQL queries" nói về tối ưu hóa truy vấn hợp lệ, không phải đặc trưng của điều kiện bị chèn. "Break up common words using URL code" mô tả biến đổi hoặc mã hóa ký tự, không phải logic điều kiện. "Initiate time-based responses" liên quan kỹ thuật dựa trên độ trễ thời gian; đó là một cách khai thác mù riêng, không phải định nghĩa chung của conditional statements.

Đáp án đúng: "Direct database access". Khi khai thác SQL injection qua một ứng dụng, attacker thường suy luận từ phản hồi của ứng dụng hoặc cơ sở dữ liệu. "Error messages from the database" có thể tiết lộ cú pháp hoặc cấu trúc; "Inferential exploration" rút thông tin từ thay đổi đúng/sai hoặc thời gian phản hồi; "Observing database behavior in response to crafted inputs" là cách kiểm tra tác động của đầu vào tạo tác. Truy cập trực tiếp cơ sở dữ liệu đòi hỏi một đường truy cập hoặc thông tin xác thực riêng, nên không phải cách thu thập thông tin qua lỗ hổng SQL injection đang xét.

Đáp án đúng: "Integrated services". Tích hợp dịch vụ dữ liệu giúp kết nối, biến đổi và nạp dữ liệu từ nhiều nguồn để kho dữ liệu có thể tổng hợp cho báo cáo và phân tích; trong hệ sinh thái Microsoft, Integration Services là tên nền tảng gắn với vai trò này. Cụm được in là "Integrated services" chứ không phải tên chính xác Integration Services, nên đây là lựa chọn gần nhất theo ý câu hỏi và có thể có lỗi thuật ngữ trong cách ghi. "Gathered services" không phải tên dịch vụ tích hợp dữ liệu; "Imported services" chỉ gợi việc nhập dữ liệu, không bao quát ghép nối và biến đổi; "Exported services" gợi việc xuất dữ liệu, không mô tả quy trình tích hợp vào kho.

Đáp án đúng: "Oracle Database Express Edition (XE)". Oracle Database Express Edition (XE) là bản miễn phí, gọn, phù hợp để người mới học làm quen và triển khai quy mô nhỏ trong giới hạn tài nguyên của phiên bản. "Oracle Database Standard Edition" là sản phẩm thương mại với phạm vi triển khai rộng hơn, thường không phải điểm bắt đầu nhẹ nhất. "Oracle Database Enterprise Edition" hướng tới môi trường doanh nghiệp và tính năng nâng cao, vượt quá nhu cầu nhập môn. "Oracle Database Standard Edition One" là tên một phiên bản lịch sử, không phải lựa chọn nhập môn hiện hành được nêu bằng XE.

Đáp án đúng: "Highly effective, offering comprehensive support for a range of issues.". Đây là mô tả phù hợp nhất theo cách hỏi vì Microsoft có nhiều kênh tài liệu và hỗ trợ cho vấn đề SQL Server. Tuy nhiên, câu hỏi không đưa tình huống hay thước đo để kết luận hiệu quả khách quan áp dụng cho mọi sự cố; độ nghiêm trọng, nhu cầu và kênh hỗ trợ đều ảnh hưởng kết quả. Giới hạn chỉ ở vấn đề sơ cấp là khẳng định tuyệt đối không có căn cứ; quy toàn bộ tài nguyên là lỗi thời cũng vậy; kết luận thiếu hỗ trợ chuyên sâu cũng không được dữ kiện ở đây chứng minh. "Only effective for beginner-level issues." "Ineffective due to outdated information." "Moderately effective, but lacking in advanced technical support."

Đáp án đúng: "Audit objectives and key findings". Báo cáo kiểm toán an ninh thường nêu mục tiêu và phạm vi kiểm toán, phương pháp đánh giá, phát hiện chính, mức độ rủi ro và khuyến nghị khắc phục để người chịu trách nhiệm có thể theo dõi. "Software licenses used" có thể liên quan đến kiểm kê tài sản hoặc tuân thủ giấy phép nhưng không phải thành phần cốt lõi của mọi báo cáo; "List of all network devices" có thể là phụ lục kiểm kê trong một cuộc đánh giá cụ thể, không thay thế mục tiêu và phát hiện; "The salary of the audit team" không phải thông tin chuyên môn cần đưa vào kết quả kiểm toán.

Đáp án đúng: "Using third-party applications or browser add-ons". Để kiểm tra lưu lượng HTTP trong một bài kiểm thử được phép, công cụ proxy hoặc tiện ích trình duyệt có thể quan sát và chỉnh sửa yêu cầu, phản hồi trước khi gửi đến ứng dụng; cần bảo đảm có ủy quyền và tránh dùng trên hệ thống ngoài phạm vi. "Through the use of database management tools" thao tác với cơ sở dữ liệu, không trực tiếp chặn và sửa dữ liệu HTTP giữa trình duyệt với ứng dụng. "By utilizing strong encryption mechanisms" mã hóa giúp bảo vệ tính bí mật và toàn vẹn khi truyền, không phải cách để chủ động chỉnh sửa nội dung. "By conducting regular database backups" tạo bản sao phục hồi dữ liệu, không can thiệp vào lưu lượng HTTP.