Câu hỏi: DBS401 An ninh cơ sở dữ liệu – Bộ ôn tập thi lại số 1

Đáp án đúng: "Unreliable data, flawed programs, and system failures.". Tính toàn vẹn bảo đảm dữ liệu chính xác, đầy đủ và không bị sửa trái phép; khi mất tính toàn vẹn, quyết định và chương trình dựa trên dữ liệu sai có thể cho kết quả lỗi, kéo theo sự cố hệ thống. Dư thừa dữ liệu là vấn đề thiết kế riêng chứ không tất yếu từ vi phạm toàn vẹn; hiệu năng không tự cải thiện; tăng khả năng quan sát không phải hậu quả của dữ liệu sai. "Increased data redundancy." "Improved system performance." "Enhanced data visibility across the organization."

Đáp án đúng: "Social engineering". Kỹ nghệ xã hội là thao túng con người để họ tiết lộ thông tin hoặc làm trái quy trình bảo mật; phương thức này khai thác niềm tin, thói quen hay áp lực thay vì chỉ khai thác lỗi kỹ thuật. "Phishing" là một kỹ thuật cụ thể thường dùng thông điệp giả mạo để lừa nạn nhân, nên là trường hợp hẹp hơn; "Spoofing" là giả mạo danh tính hoặc nguồn gửi, có thể hỗ trợ lừa đảo nhưng không bao quát hành vi thao túng quy trình; "SQL injection" khai thác cách ứng dụng xây dựng truy vấn cơ sở dữ liệu, không thao túng người dùng.

Đáp án đúng: "Vulnerabilities within the system". Kiểm toán không tự loại bỏ lỗ hổng; nó đánh giá rủi ro, kiểm tra chính sách và quy trình kiểm soát, rồi đưa ra phát hiện để tổ chức khắc phục. Vì vậy cần có chính sách và thủ tục phù hợp nhằm quản lý lỗ hổng. "Employee productivity metrics" đo hiệu suất nhân sự, không phải đặc tính an ninh mà kiểm toán được hỏi. "Network speed optimizations" liên quan hiệu năng mạng. "Hardware upgrades" là hoạt động nâng cấp hạ tầng; chúng có thể cần thiết trong một số khuyến nghị nhưng không phải đối tượng mà chính sách kiểm toán loại bỏ.

Đáp án đúng: "To fix network issues". Kiểm toán viên đánh giá kiểm soát, thu thập bằng chứng, nhận diện rủi ro và báo cáo thiếu sót một cách độc lập; sửa lỗi trực tiếp thuộc chủ hệ thống hoặc nhóm vận hành để giữ tính khách quan. Xác định mục đích của biện pháp an ninh, tìm rủi ro mạng và báo cáo nơi thiếu chính sách đều là công việc đánh giá phù hợp với vai trò kiểm toán. "To identify the purpose of security measures" "To locate any network risks" "To report areas where no policies are in place"

Đáp án đúng: "Client Access License". Client Access License (CAL) là giấy phép cấp quyền truy cập SQL Server cho người dùng hoặc thiết bị trong mô hình cấp phép máy chủ cộng CAL; việc cần CAL và cách tính phụ thuộc phiên bản, thỏa thuận và mô hình cấp phép áp dụng. "Server Access License" không phải tên giấy phép truy cập máy khách chuẩn trong mô hình này; "Client -Server Access License" không phải tên loại giấy phép chính thức; "All of the mentioned." không đúng vì các tên còn lại không mô tả các loại giấy phép hợp lệ tương đương.

Đáp án đúng: "By combining results from multiple queries into a single response". UNION kết hợp các hàng kết quả của những câu truy vấn tương thích thành một tập kết quả; khi ứng dụng đưa kết quả đó ra phản hồi, kẻ tấn công có thể tìm cách làm lộ dữ liệu ngoài dự kiến. "By executing commands that delete important records from the database" là hành vi của lệnh xóa, không phải chức năng của UNION. "By running commands that modify or update the structure of the database schema" là hành vi lệnh định nghĩa hoặc sửa cấu trúc, không phải phép ghép kết quả. "By isolating data in standalone tables" mô tả cách tách dữ liệu, không liên quan đến cách UNION kết hợp hàng. "By encrypting sensitive data before retrieval" là hoạt động mã hóa, không phải tác dụng của phép UNION.

Đáp án đúng: "They ensure data integrity and enforce referential integrity". Khóa chính định danh duy nhất bản ghi; khóa ngoại yêu cầu giá trị tham chiếu khớp bản ghi liên quan, giúp duy trì toàn vẹn tham chiếu giữa các bảng. Khóa không thay thế xác thực hay phân quyền nên không tự ngăn truy cập trái phép; chúng không nhằm tăng dư thừa hay giảm dung lượng; chất lượng dữ liệu và phân tích có thể được lợi gián tiếp, nhưng lợi ích trực tiếp đặc trưng là toàn vẹn dữ liệu và tham chiếu. "They improve data security and prevent unauthorized access" "They increase data redundancy and reduce storage space" "They enhance data quality and facilitate data analysis"

Đáp án đúng: "Full-featured versions are free for learning and testing". Ý của lựa chọn là bản Oracle đầy đủ tính năng dành cho phát triển, học tập hoặc kiểm thử có thể được dùng theo điều khoản miễn phí giới hạn mục đích; điều này nói về quyền sử dụng, không phải tính năng bị cắt giảm. Cần đối chiếu phiên bản và điều khoản giấy phép cụ thể, không thể kết luận mọi bản đầy đủ tính năng đều miễn phí trong mọi hoàn cảnh. "There's no difference" bỏ qua khác biệt về quyền sử dụng; "Full-featured versions have limited features" nhầm giới hạn giấy phép với giới hạn chức năng; "Licensed versions are only for students" sai vì giấy phép sản xuất không chỉ dành cho sinh viên.

Đáp án đúng: "Dynamic SQL statements, because they're built on-the-fly from user input". Dynamic SQL (SQL động) được tạo lúc chạy; nếu ứng dụng nối đầu vào không tin cậy trực tiếp vào chuỗi truy vấn thay vì tham số hóa và kiểm tra phù hợp, dữ liệu đầu vào có thể bị diễn giải thành cú pháp SQL, gây injection. "Static SQL statements, because they cannot be modified at runtime" thường có cấu trúc cố định nên không dễ bị thay đổi bằng cách nối đầu vào; vẫn cần xử lý đầu vào an toàn nhưng lý do nêu không làm chúng dễ tổn thương hơn. "Encrypted SQL statements, due to weak encryption algorithms" mã hóa yếu không phải đặc điểm chung của câu lệnh SQL và không giải thích cơ chế injection. "Hardcoded SQL statements, because they are visible to the attacker" việc câu lệnh được viết sẵn không đồng nghĩa kẻ tấn công nhìn thấy hay sửa được nó; rủi ro chủ yếu đến từ cách dữ liệu không tin cậy được đưa vào truy vấn.

Đáp án đúng: "Flat Model". Mô hình phẳng lưu bản ghi trong danh sách hai chiều gồm hàng và trường, tương tự bảng đăng ký; cấu trúc đơn giản nhưng khó biểu diễn quan hệ và dễ phát sinh dư thừa khi dữ liệu lớn. Mô hình quan hệ dùng các bảng liên kết qua khóa; mô hình mạng tổ chức bản ghi thành liên kết nhiều-nhiều; mô hình phân cấp biểu diễn cây cha-con chứ không phải danh sách phẳng. "Relational Model" "Network Model" "Hierarchical Model"