Câu hỏi: DBS401 An ninh cơ sở dữ liệu – Bộ ôn tập thi lại số 1

Đáp án đúng: "A virus that activates on a specific date". Time bomb (mã độc kích hoạt theo thời điểm) được cài đặt để thực hiện hành vi khi tới ngày hoặc thời gian đã định, thay vì kích hoạt ngay khi lây nhiễm. "A virus that spreads via email attachments" mô tả một phương thức phát tán, không nhất thiết có bộ kích hoạt theo thời gian. "A virus that encrypts data for ransom" mô tả hành vi mã độc tống tiền, có thể xảy ra bất cứ lúc nào. "A virus that disguises itself as a legitimate program" mô tả ngụy trang kiểu Trojan, không chỉ ra kích hoạt vào một thời điểm cụ thể.

Đáp án đúng: "Symmetric-key cryptology". Kerberos cổ điển dựa trên khóa bí mật dùng chung giữa các bên và trung tâm phân phối khóa để tạo vé xác thực. "Asymmetric-key cryptography" không phải nền tảng cốt lõi của giao thức Kerberos truyền thống; "Quantum cryptography" là hướng khác về trao đổi khóa, không phải cơ chế Kerberos; "Blockchain technology" là công nghệ sổ cái phân tán, không phải kiểu mật mã xác thực mà giao thức này dùng.

Đáp án đúng: "SA". SA là tên đăng nhập quản trị tích hợp (System Administrator) trong SQL Server, có quyền rất cao và thường được ánh xạ vào vai trò máy chủ sysadmin; vì thế tài khoản này cần được bảo vệ, hạn chế sử dụng và tuân theo nguyên tắc đặc quyền tối thiểu. "BUILT-IN\Administration" không phải tên đăng nhập quản trị SQL Server chuẩn; "Admin" chỉ là tên chung, không xác định tài khoản tích hợp này; "SYS" thường gợi tài khoản quản trị trong một số hệ quản trị khác, không phải đăng nhập SA của SQL Server.

Đáp án đúng: "Multifunctional". Trong cấu hình MySQL lịch sử được câu hỏi nhắc tới, lựa chọn Multifunctional Database bật đồng thời InnoDB và MyISAM để hỗ trợ cả lưu trữ giao dịch lẫn không giao dịch; đây là tên lựa chọn cấu hình theo tài liệu phiên bản đó. "Transactional" chỉ cấu hình ưu tiên engine giao dịch, nên không diễn tả việc bật đồng thời hai engine. "Non-Transactional" hướng đến engine không giao dịch, không đáp ứng yêu cầu có cả InnoDB. "Non- Multifunctional" không phải cấu hình kết hợp hai engine được mô tả và còn mang nghĩa đối lập với lựa chọn đa chức năng.

Đáp án đúng: "It allows a large margin for error due to redundant data entries.". Mô hình phẳng lưu dữ liệu trong một danh sách đơn giản; khi cùng thông tin phải lặp ở nhiều dòng, cập nhật không đồng nhất dễ tạo sai lệch. "It allows too many simultaneous user connections." không phải đặc tính của mô hình dữ liệu và còn phụ thuộc hệ quản trị; "It automatically updates data across all entries." không phải khả năng mặc định của mô hình phẳng; "It uses complex algorithms that slow down data retrieval." trái với cấu trúc đơn giản thường thấy ở mô hình này. Rủi ro trùng lặp là nhược điểm phù hợp nhất.

Đáp án đúng gồm hai ý: "Replication" và "Full Text Search". Trong SQL Server 2008, Replication và Full Text Search là các thành phần tùy chọn gắn với Database Engine Services; chúng mở rộng chức năng sao chép dữ liệu và tìm kiếm văn bản toàn phần. "Analysis Services" là dịch vụ phân tích riêng; "Reporting Services" cung cấp chức năng báo cáo; "Integration Services" đảm nhiệm tích hợp và chuyển đổi dữ liệu. Các dịch vụ riêng này không phải hai thành phần con được hỏi của Database Engine Services.

Đáp án đúng: "They create relationships between tables". Foreign key (khóa ngoại) là trường hoặc nhóm trường tham chiếu khóa của bảng khác, biểu diễn quan hệ giữa các bảng và giúp duy trì toàn vẹn tham chiếu, chẳng hạn ngăn bản ghi con trỏ tới bản ghi cha không tồn tại. "They enhance data security" không phải chức năng trực tiếp của khóa ngoại; bảo mật cần xác thực, phân quyền và các kiểm soát khác. "They increase storage space" không phải mục tiêu; khóa có thể cần dung lượng lưu chỉ mục nhưng đó không phải lý do quan trọng để dùng. "They speed up data processing" không được bảo đảm vì ràng buộc và kiểm tra có thể thêm chi phí; hiệu năng không phải chức năng cốt lõi.

Đáp án đúng: "An internal access control mechanism". Oracle Database Vault bổ sung các vùng bảo vệ và quy tắc kiểm soát quyền truy cập ngay bên trong cơ sở dữ liệu, kể cả với một số tài khoản có đặc quyền cao. "A backup solution" tạo bản sao để khôi phục dữ liệu; "A firewall" lọc lưu lượng mạng giữa các vùng kết nối; "A GUI development tool" hỗ trợ xây dựng giao diện. Các chức năng này khác với kiểm soát truy cập nội bộ của Database Vault.

Đáp án đúng gồm hai ý: "passive" và "active". Trinh sát thông tin thụ động thu thập dữ liệu gián tiếp từ nguồn công khai hoặc quan sát mà không tương tác trực tiếp với mục tiêu; trinh sát chủ động gửi yêu cầu hoặc thăm dò hệ thống, vì vậy có thể để lại dấu vết. Hai cách này phân biệt theo mức độ tương tác với mục tiêu. "Standard" không phải một trong hai loại được mô tả; "complex" chỉ tính phức tạp, không phân loại phương thức thu thập thông tin.

Đáp án đúng: "They allow intruders to execute different actions based on whether a condition is true or false.". Biểu thức điều kiện trong SQL bị chèn cho phép nhánh truy vấn hoặc phản hồi thay đổi theo kết quả đúng/sai; so sánh các phản hồi này có thể giúp suy luận dữ liệu trong một số kiểu tấn công. "They improve the accuracy of the attack." không nêu cơ chế cụ thể và độ chính xác phụ thuộc nhiều yếu tố, không phải tác dụng định nghĩa. "They automatically grant administrative privileges." điều kiện SQL không tự nâng quyền; quyền vẫn do cấu hình tài khoản và kiểm soát truy cập quyết định. "They help secure the database from further attacks." là mục tiêu phòng vệ, trái với việc kẻ xâm nhập lợi dụng điều kiện để thao túng truy vấn.

Đáp án đúng: "Internet". Hậu tố i trong Oracle 8i biểu thị định hướng tích hợp Internet vào nền tảng cơ sở dữ liệu. "Instance" là một thuật ngữ về tiến trình và bộ nhớ của Oracle; "Integration" có nghĩa rộng nhưng không phải phần mở rộng của tên phiên bản được hỏi; "Interface" chỉ giao diện, không diễn tả định hướng Internet. Vì vậy chữ i ở đây gắn với Internet. Đây là cách đặt tên lịch sử cho dòng sản phẩm; chữ i không phải một tính năng Oracle riêng lẻ hay một dạng đối tượng cơ sở dữ liệu.

Đáp án đúng: "To confirm that an environment is reasonably secure by identifying weaknesses". Kiểm thử xâm nhập (penetration testing) mô phỏng hành vi tấn công có kiểm soát trong phạm vi được phép để phát hiện và xác minh điểm yếu, từ đó đánh giá mức độ bảo vệ và ưu tiên khắc phục. Kết quả chỉ phản ánh phạm vi và thời điểm kiểm thử, không chứng minh an toàn tuyệt đối. "To create a new database system" là công việc phát triển; "To bypass all security protocols for maintenance" mô tả hành vi bỏ qua kiểm soát, không phải mục tiêu kiểm thử được cấp phép; "To test the physical durability of the servers" thuộc thử nghiệm phần cứng, không phải đánh giá an ninh xâm nhập.

Đáp án đúng: "Gathering comprehensive information about the database environment". Trước cuộc kiểm toán, cần hiểu kiến trúc, phiên bản, cấu hình, dữ liệu, luồng kết nối và cách quản trị môi trường cơ sở dữ liệu để xác định phạm vi và chọn kiểm soát cần rà soát. "Ensuring that all database-related software remains in its outdated versions without applying patches" làm tăng rủi ro đã biết; việc chuẩn bị cần ghi nhận tình trạng cập nhật để đánh giá, không cố ý giữ phần mềm lỗi thời. "Focusing exclusively on external threats while disregarding potential internal vulnerabilities" bỏ qua rủi ro nội bộ và tạo phạm vi đánh giá thiếu. "Ignoring the roles, privileges, and access levels assigned to individual users within the database system" loại bỏ phần trọng yếu của rà soát quyền truy cập.

Đáp án đúng: "To test the strength of security measures put into place". Kiểm thử an ninh đánh giá biện pháp bảo vệ đã triển khai có chống được các tình huống đe dọa trong phạm vi kiểm tra hay không, từ đó phát hiện điểm yếu để khắc phục. "To replace security policies with automated systems" sai vì tự động hóa không thay thế chính sách; "To ensure 100% elimination of vulnerabilities" hứa hẹn mức bảo đảm không thể chứng minh bằng kiểm thử; "To train employees on security protocols" là hoạt động đào tạo riêng, không phải mục tiêu chính của kiểm thử hệ thống.

Đáp án đúng: "HIPAA". HIPAA là luật liên bang Hoa Kỳ đặt ra yêu cầu bảo vệ thông tin sức khỏe được bảo vệ và quy định trách nhiệm đối với các tổ chức, đơn vị liên quan trong lĩnh vực chăm sóc sức khỏe. "FERPA" chủ yếu bảo vệ hồ sơ giáo dục thuộc phạm vi áp dụng; "SOX" tập trung vào báo cáo tài chính và kiểm soát doanh nghiệp đại chúng; "GDPR" là quy định bảo vệ dữ liệu của Liên minh châu Âu, không phải luật liên bang Hoa Kỳ về hồ sơ bệnh nhân.

Đáp án đúng: "SQL Server Management Studio". SQL Server Management Studio (SSMS) là giao diện quản trị chính để kết nối, truy vấn và quản lý các đối tượng của SQL Server. "SQL Server Configuration Manager" dùng cấu hình dịch vụ, giao thức mạng và một số thiết lập kết nối, nhưng không phải giao diện quản trị cơ sở dữ liệu tổng quát chính. "Business Intelligence Development Studio" là môi trường phát triển các dự án BI trong các phiên bản trước, không phải công cụ quản trị SQL Server nói chung. "Server Profiler" dùng theo dõi sự kiện và hoạt động máy chủ để phân tích, không cung cấp vai trò quản trị toàn diện như SSMS.

Đáp án đúng: "authentication". Xác thực (authentication) kiểm chứng cá nhân hoặc ứng dụng đúng là danh tính họ tuyên bố trước khi cấp phiên hay xử lý yêu cầu. Authorization là quyết định danh tính đã xác thực được phép làm gì; credential là thông tin hoặc vật chứng dùng để xác thực chứ không phải tên quá trình; phủ nhận mọi thuật ngữ đều sai vì authentication mô tả đúng việc xác minh danh tính. "authorization" "credential" "None of the mentioned"

Đáp án đúng: "Error messages that specifically mention SQL syntax issues". Thông báo lỗi nêu rõ cú pháp SQL có thể cho thấy đầu vào đã ảnh hưởng tới cách truy vấn được phân tích, qua đó là dấu hiệu cần điều tra khả năng chèn SQL; bản thân dấu hiệu này chưa đủ chứng minh lỗ hổng nhưng có thể làm lộ chi tiết nội bộ. "User input always improves query performance" là khẳng định không liên quan và không thể hiện lỗi; "Generic error messages that provide no details" thường giảm rò rỉ thông tin, không phải dấu hiệu đặc trưng được hỏi; "Messages that confirm successful database updates" chỉ báo thao tác thành công, không chỉ ra vấn đề cú pháp truy vấn.

Đáp án đúng: "To fix security vulnerabilities". Bản vá Oracle thường sửa lỗi đã biết, trong đó có lỗ hổng bảo mật; áp dụng bản vá phù hợp giúp giảm nguy cơ khai thác và giữ hệ thống được hỗ trợ an toàn hơn. "To add new GUI features" không phải mục tiêu chính của bản vá bảo mật, dù một bản cập nhật có thể đi kèm thay đổi khác. "To improve backup speed" không phải lý do cốt lõi để cập nhật bản vá. "To enhance color themes in SQL Developer" nói về giao diện công cụ phát triển, không phải mục đích của bản vá cho cơ sở dữ liệu Oracle.

Đáp án đúng gồm hai ý: "GA marks a version as stable and ready for production" và "RC indicates the version is nearing stability but may have serious bugs". MySQL mô tả GA là bản ổn định dành cho production; RC là ứng viên phát hành đang được đánh giá và tập trung sửa lỗi trước GA. Mô tả RC trong lựa chọn thứ hai chỉ là phương án gần nhất: tài liệu không nói RC thường có lỗi nghiêm trọng, mà nói bản RC được tin là ổn định sau kiểm thử nội bộ. "GA indicates a version is in the Alpha testing phase" nhầm GA với giai đoạn phát triển sớm; "RC suggests the version is ready for experimental use only" không phản ánh RC đã qua kiểm thử nội bộ; "GA and RC are both used to indicate the software is not yet released" sai vì GA là bản phát hành production. Cần đọc phần RC với lưu ý về cách diễn đạt quá mạnh.