Câu hỏi: DBS401 An ninh cơ sở dữ liệu – Bộ ôn tập thi lại số 1

Đáp án đúng gồm hai ý: "More control over the installation options and features" và "More flexibility and customization of the software". Biên dịch từ mã nguồn cho phép chọn tùy chọn và thành phần cài đặt phù hợp, tăng quyền kiểm soát và khả năng tùy chỉnh; đổi lại cần kiến thức, thời gian và tự quản lý phụ thuộc. Cài từ nguồn không tự bảo đảm tương thích nhiều hệ điều hành hay phần cứng vì còn phụ thuộc mã, trình biên dịch và nền tảng hỗ trợ; nó cũng không tự làm phần mềm an toàn hoặc tin cậy hơn, vốn phụ thuộc phiên bản, cấu hình, kiểm thử và vận hành. "More compatibility with different operating systems and hardware" "More security and reliability of the software"

Đáp án đúng: "SQL Server Configuration Manager". SQL Server Configuration Manager là công cụ quản trị cấu hình các dịch vụ SQL Server và giao thức mạng của chúng trên máy chủ, nên phù hợp với việc bật, tắt hoặc điều chỉnh giao thức kết nối. "SQL Server Management Studio" chủ yếu dùng để truy vấn và quản trị đối tượng cơ sở dữ liệu; "Business Intelligence Development Studio" là môi trường phát triển các dự án BI; "SQL Server Installation Wizard" hỗ trợ cài đặt sản phẩm, không phải công cụ chuyên quản lý giao thức mạng sau cài đặt.

Đáp án đúng: "Source code installation.". Cài từ mã nguồn cho phép quản trị viên tùy chỉnh các tùy chọn biên dịch và cấu hình ứng dụng phù hợp môi trường, đổi lại cần tự quản lý quá trình xây dựng và cập nhật. "Binary code installation." dùng chương trình đã biên dịch, thuận tiện triển khai nhưng ít khả năng điều chỉnh cách biên dịch. "Precompiled package installation." cài gói dựng sẵn theo cấu hình nhà phân phối nên ưu tiên tính tiện dụng, không linh hoạt bằng tự dựng khi cần tùy biến sâu. "Automated script installation." tự động hóa các bước cài đặt, nhưng bản thân việc dùng script không đồng nghĩa có thể tùy chỉnh mã nguồn hay tùy chọn biên dịch.

Đáp án đúng: "To gather evidence of the effectiveness of existing security policies and practices". Đánh giá không chính thức thường thu thập bằng chứng xem chính sách và biện pháp bảo vệ hiện hành có được áp dụng, hoạt động như dự kiến hay không. Khai thác lỗ hổng thuộc kiểm thử xâm nhập có chủ đích hơn; công khai cam kết là truyền thông; tuân thủ quy định kiểm toán bên ngoài là mục đích của một cuộc kiểm toán bắt buộc, không phải đặc trưng của rà soát nội bộ không chính thức. "To identify and exploit vulnerabilities in an organization's systems" "To publicly demonstrate an organization's commitment to cybersecurity" "To comply with mandatory external security regulations and audits"

Đáp án đúng: "To detect and analyze unauthorized access attempts". Honeypot (bẫy an ninh) là tài nguyên mồi được cô lập hoặc giám sát để thu hút truy cập đáng ngờ; hoạt động tương tác với nó giúp phát hiện và phân tích hành vi xâm nhập mà không đặt dữ liệu thật vào nguy cơ tương tự. "To store sensitive data securely" mô tả kho dữ liệu cần bảo vệ, không phải bẫy; "To provide a legitimate service to distract attackers" có thể là một phần của cách bố trí mồi nhưng không nêu mục tiêu giám sát chính; "To trap and neutralize attackers permanently" phóng đại khả năng vì honeypot ghi nhận và cảnh báo, không thể bảo đảm vô hiệu hóa kẻ tấn công.

Đáp án đúng: "Guessing the structure of the database". Blind SQL Injection (SQL injection mù) xảy ra khi ứng dụng không trả trực tiếp kết quả truy vấn hay thông báo lỗi hữu ích; người kiểm thử suy luận thông tin từ tín hiệu gián tiếp như khác biệt phản hồi hoặc thời gian. Dò cấu trúc cơ sở dữ liệu là một mục tiêu thường gặp và là phương án gần nhất, nhưng không phải toàn bộ định nghĩa hay mục tiêu duy nhất của kỹ thuật này. "Directly accessing the database without using SQL code" sai vì SQL injection dựa vào việc làm ứng dụng thực thi SQL bị chèn. "Attacking a database that is blind to SQL syntax" nhầm “blind” là cơ sở dữ liệu không hiểu cú pháp; thuật ngữ nói về phản hồi bị che khuất. "Injecting SQL code without understanding its effects" không định nghĩa kỹ thuật mù; việc thiếu hiểu biết của người tấn công không phải đặc điểm cốt lõi.

Đáp án đúng: "To improve release cycle predictability and maintainability". Các mốc có mục tiêu và nội dung rõ giúp dự đoán tiến độ, kiểm soát thay đổi và duy trì phần mềm thuận lợi qua từng đợt. Tăng tốc đồng thời giảm tần suất không mô tả lợi ích chính; loại bỏ đóng góp và báo lỗi của cộng đồng làm giảm phản hồi; giảm sự tham gia của người dùng và tăng tự động hóa không phải mục tiêu của mô hình milestone. "To accelerate development and reduce release frequency" "To eliminate community contributions and bug reporting" "To decrease user involvement and increase automation"

Đáp án đúng: "Single channel uses one communication channel to send and receive data, while multichannel uses multiple channels". Theo cách dùng channel trong câu này, phân biệt nằm ở số kênh giao tiếp được dùng để truyền và nhận dữ liệu; cách hiểu này cần giới hạn theo ngữ cảnh vì single-channel/multichannel không phải hệ phân loại SQL injection phổ quát như in-band, inferential hay out-of-band. "Single channel uses one input field to inject SQL commands" nói về số trường đầu vào, không nhất thiết là số kênh truyền nhận; "Single channel uses one SQL statement" đếm câu lệnh chứ không mô tả kênh; "Single channel uses one type of SQL injection technique" nhầm số kênh giao tiếp với số kỹ thuật tấn công.

Đáp án đúng: "A malicious employee leaking sensitive data". Insider threat (mối đe dọa nội bộ) đến từ người có quyền truy cập hợp lệ hoặc hiểu biết bên trong tổ chức, và nhân viên cố ý làm lộ dữ liệu nhạy cảm là ví dụ trực tiếp. "SQL Injection by an external hacker" thường là tấn công từ bên ngoài khai thác đầu vào ứng dụng, không phải mối đe dọa nội bộ theo tình huống nêu. "Database failure due to a natural disaster" là rủi ro môi trường hoặc thảm họa, không phải hành vi của người nội bộ. "Network traffic congestion" là vấn đề hiệu năng hoặc sẵn sàng của mạng, không phải tác nhân nội bộ có chủ đích.

Đáp án đúng: "Provide means to manipulate, analyze, store, and retrieve information". DBMS cung cấp phương tiện định nghĩa cấu trúc, lưu trữ, truy vấn, cập nhật và quản trị dữ liệu, giúp ứng dụng thao tác và khai thác thông tin có kiểm soát. Chỉ lưu trữ là mô tả quá hẹp; quản lý kết nối là chức năng vận hành nhưng không bao quát mục tiêu tổng thể; thiết lập quan hệ mạng không phải nhiệm vụ cốt lõi dù máy khách có thể kết nối qua mạng. "Facilitate data storage only" "Manage database connections" "Establish network relationships"

Đáp án đúng: "Monitoring and enforcing security policies". Quản trị viên cơ sở dữ liệu (DBA) chịu trách nhiệm vận hành an toàn, gồm theo dõi cấu hình và quyền truy cập, áp dụng chính sách bảo mật và xử lý rủi ro trong phạm vi hệ thống dữ liệu. "Developing front-end applications" thuộc công việc phát triển giao diện ứng dụng; "Writing SQL queries for users" có thể là hỗ trợ nghiệp vụ nhưng không phải trọng trách bảo mật chính; "Designing UI for database systems" thuộc thiết kế trải nghiệm giao diện, không phải chức năng quản lý an ninh của DBA.

Đáp án đúng: "The data types and number of columns in the original and injected queries must match.". Để phép UNION kết hợp được hai tập kết quả, các truy vấn phải trả cùng số cột và kiểu dữ liệu ở các vị trí tương ứng phải tương thích; nếu không, cơ sở dữ liệu thường từ chối phép kết hợp. "The database must have a specific number of tables." không phải điều kiện của UNION, vốn kết hợp kết quả truy vấn chứ không yêu cầu số lượng bảng cố định. "The database must be running on a 64-bit system." kiến trúc 64 bit không quyết định tính hợp lệ của cấu trúc UNION. "The user must have administrative privileges." không cần thiết để dùng UNION; quyền cần có phụ thuộc đối tượng mà truy vấn truy cập.

Đáp án đúng: "Identifying priority assets and making a conceptual perimeter". Ưu tiên tài sản rồi dựng ranh giới khái niệm giúp xác định hệ thống, dữ liệu và luồng thuộc phạm vi cũng như phần nằm ngoài cuộc đánh giá. Phỏng vấn sơ bộ có thể cung cấp thông tin nhưng không tự xác lập phạm vi; bao gồm toàn mạng cùng lúc bỏ qua mức ưu tiên; sửa lịch theo rủi ro là điều chỉnh kế hoạch thời gian, không phải định nghĩa ranh giới. "By conducting preliminary interviews" "Including all areas of the network at the same time" "Modifying the schedule based on risks identified"

Đáp án đúng: "Server installation center". Trung tâm cài đặt máy chủ trong bộ cài SQL Server cung cấp các mục thao tác liên quan đến lập kế hoạch, cài đặt, quản lý và công cụ cho sản phẩm máy chủ. "Client installation center" hướng tới thành phần máy khách, không phải tài nguyên triển khai và quản lý SQL Server; "Help Center" là nơi trợ giúp chung, không phải trung tâm thiết lập máy chủ; "All of the mentioned" không phù hợp vì các mục được nêu không cùng cung cấp các chức năng cài đặt máy chủ như câu hỏi mô tả.

Đáp án đúng: "They enable the injection of additional queries to be executed with the original query". Trong ngữ cảnh SQL injection, UNION có thể ghép tập kết quả từ một truy vấn khác vào kết quả truy vấn ban đầu nếu cấu trúc cột tương thích; điều này có thể làm dữ liệu ngoài dự kiến xuất hiện trong phản hồi ứng dụng. "They allow attackers to alter database encryption settings" không phải chức năng của UNION, vốn kết hợp hàng kết quả. "They are required to delete data from the database" sai vì UNION không phải lệnh xóa và không bắt buộc để xóa dữ liệu. "They help in creating new user accounts in the database" mô tả hành động thay đổi dữ liệu hoặc quyền, không phải mục đích của phép kết hợp tập kết quả.

Đáp án đúng: "By matching the host name, MySQL username, and password". MySQL khớp tài khoản dựa trên tên người dùng và máy chủ nguồn, rồi xác thực thông tin bí mật tương ứng; cùng tên người dùng từ host khác nhau có thể gắn với quyền khác nhau. Mã định danh duy nhất không mô tả cách khớp tài khoản thông thường; dịch vụ bên ngoài có thể dùng khi cấu hình plugin nhưng không phải cơ chế cơ bản; sinh trắc học không phải phương thức xác thực tiêu chuẩn của máy chủ MySQL. "By a unique user ID" "Through an external third-party service" "Using a biometric authentication method"

Đáp án đúng: "Observing how the server behaves in response to manipulated inputs". Kiểm thử suy luận (inferential testing) đánh giá phản ứng quan sát được của hệ thống trước đầu vào được thay đổi; người kiểm thử suy ra điều kiện hoặc dữ liệu bên trong từ khác biệt về kết quả, lỗi hay thời gian phản hồi. "Encrypting user inputs to test database security" là thao tác biến đổi hoặc bảo vệ dữ liệu, không phải phương pháp suy luận; "Testing the strength of SQL database encryption" đánh giá mã hóa; "Assessing the database's response time to complex queries" có thể là đo hiệu năng, nhưng riêng thời gian truy vấn phức tạp không nêu phép so sánh phản ứng trước đầu vào thao túng.

Đáp án đúng: "Planning and preparation phase". Giai đoạn lập kế hoạch và chuẩn bị xác định phạm vi, mục tiêu, quyền hạn và thu thập thông tin nền về hệ thống trước khi tiến hành kiểm tra; bước này giúp chọn phương pháp phù hợp và tránh tác động ngoài dự kiến. "Reporting phase" tổng hợp phát hiện và khuyến nghị sau khi đánh giá. "Remediation phase" xử lý hoặc khắc phục điểm yếu đã được xác định. "Execution phase" thực hiện các hoạt động kiểm thử theo kế hoạch, dù có thể tiếp tục ghi nhận thông tin trong quá trình chạy, nhưng không phải giai đoạn chuẩn bị thu thập ban đầu được hỏi.

Đáp án đúng: "It ensures the quick reinstatement of a network that has fallen to a disaster.". Kế hoạch khôi phục xác định trách nhiệm và các bước cần thiết để đưa mạng cùng dịch vụ trở lại sau thảm họa; chữ ensures trong câu là cách nói mạnh, vì kế hoạch hỗ trợ phục hồi chứ không bảo đảm thời gian chính xác. "It ensures the prediction of incidents." không đúng vì kế hoạch không thể dự đoán chắc sự cố; "It ensures damage prediction." không đúng vì mức thiệt hại vẫn phụ thuộc sự kiện thực tế; "It ensures no disasters occur." sai vì kế hoạch giảm tác động và hỗ trợ khôi phục, không ngăn mọi thảm họa.

Đáp án đúng: "Determine system performance under stress". Kiểm thử hộp trắng dùng hiểu biết về cấu trúc bên trong để tìm đường đi, điểm yếu và tác động có thể phát sinh; đo hiệu năng khi chịu tải là mục tiêu kiểm thử tải hoặc hiệu năng, không phải mục tiêu cốt lõi của cách tiếp cận này. "Assess damage that can be done with prior knowledge of the infrastructure" phù hợp đánh giá có hiểu biết trước về hệ thống; "Provide a thorough picture of specific system weaknesses" mô tả việc tìm hiểu điểm yếu nội bộ; "Focus on a specific target based on existing information" cũng phù hợp với kiểm thử có thông tin và phạm vi mục tiêu xác định.