Câu hỏi: OSP201 Hệ thống nguồn mở và quản trị mạng – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "System availability and performance". Quản trị viên hệ thống chịu trách nhiệm giữ dịch vụ hoạt động ổn định, theo dõi tài nguyên và khắc phục sự cố ảnh hưởng đến hiệu năng. "Network advertising" thuộc hoạt động quảng bá, không phải vận hành hạ tầng; "Marketing strategies" là quyết định kinh doanh; "Financial budgeting" là công việc ngân sách, không trực tiếp bảo đảm máy chủ sẵn sàng.

Đáp án đúng: "yum or dnf". Trên các hệ thống thuộc họ Red Hat, yum và thế hệ kế tiếp dnf quản lý gói từ repository, giải quyết quan hệ phụ thuộc và cài bản cập nhật kernel phù hợp. "apt-get" là công cụ của Debian và Ubuntu, không phải công cụ phổ biến cho Red Hat. "make" điều phối quá trình biên dịch theo tệp Makefile, không quản lý gói đã cài. "pacman" là trình quản lý gói của Arch Linux và các hệ dẫn xuất, không thuộc hệ Red Hat.

Đáp án đúng: "To detect unauthorized changes". Kiểm tra tính toàn vẹn (integrity check) so sánh dấu vết hiện tại của tệp và chương trình đã cài với trạng thái đáng tin cậy để phát hiện nội dung bị sửa trái phép. "To optimize system performance" không phải mục đích của đối chiếu dấu vết, dù việc kiểm tra có thể tốn tài nguyên. "To clean up disk space" là tác vụ quản lý lưu trữ, không phát hiện sửa đổi. "To update software" cần trình quản lý gói; kiểm tra toàn vẹn chỉ nhận diện khác biệt, không tự cài bản mới.

Đáp án đúng: "They allow permissions to be managed collectively rather than individually.". Tài khoản nhóm (group account) gom người dùng có chung nhu cầu truy cập, nhờ đó quản trị viên cấp quyền đọc, ghi hoặc thực thi một lần cho nhóm thay vì sửa từng tài khoản. "They allow only administrators to manage security settings." sai vì nhóm không chỉ dành cho quản trị viên; thành viên được phân vào nhóm theo vai trò. "They are used only for backup purposes." thu hẹp sai chức năng; nhóm chủ yếu phục vụ quản lý quyền và có thể dùng ở nhiều tác vụ khác. "They disable login attempts from unknown locations." mô tả kiểm soát đăng nhập theo vị trí, không phải chức năng của nhóm Linux.

Đáp án đúng: "ext2". Phân vùng /boot chứa bộ nạp khởi động, nhân và các tệp khởi động cần đọc khi máy bật, ít thay đổi thường xuyên và thường cần tương thích rộng với firmware. ext2 không ghi nhật ký nên có cấu trúc đơn giản, phù hợp với tiêu chí nhẹ và ít ghi của câu hỏi; đây là lựa chọn theo ngữ cảnh đề, không phải khuyến nghị chung cho mọi hệ thống hiện đại. "ext4" có journaling và nhiều tính năng hữu ích cho phân vùng dữ liệu nhưng phức tạp hơn nhu cầu được nêu. "vfat" thường cần khi chia sẻ tệp khởi động với firmware hoặc hệ điều hành khác, không phải vì nó tối ưu cho phân vùng nhỏ ít ghi. "xfs" phù hợp hệ thống tệp lớn và tải cao, nên không phải lựa chọn đặc trưng cho /boot theo tiêu chí này.

Đáp án đúng: "Established at the system level and cannot be changed by users". Mandatory access control (kiểm soát truy cập bắt buộc) được áp dụng tập trung bởi chính sách hệ thống; người dùng thông thường không thể tự nới quyền truy cập. "Policies and permissions that can be changed by any user" mô tả kiểm soát tùy ý, không phải MAC; "Set exclusively at the application level" bỏ qua lớp hệ điều hành; "Only applicable to network services" giới hạn sai phạm vi vì MAC cũng kiểm soát tài nguyên cục bộ.

Đáp án đúng: "gpg --export". Tùy chọn --export xuất khóa công khai ở dạng có thể chuyển cho người khác; lệnh có thể nhận thêm định danh khóa để giới hạn nội dung xuất. "gpg --export-key" không phải tùy chọn chuẩn để xuất khóa công khai trong GnuPG. "gpg --send-key" gửi khóa tới máy chủ khóa thay vì xuất nội dung ra đầu ra để chuyển thủ công. "gpg --output-key" không phải tùy chọn GPG dùng cho mục đích này.

Đáp án đúng: "Runlevel". Runlevel là tên gọi truyền thống cho các trạng thái vận hành của hệ Linux, chẳng hạn chế độ một người dùng hoặc nhiều người dùng; systemd hiện dùng target tương ứng. "Initrd" là ảnh hệ thống tệp ban đầu dùng trong quá trình khởi động, không phải trạng thái vận hành. "Systemd" là init và trình quản lý dịch vụ, không phải tên một chế độ. "Inittab" là tệp cấu hình của init kiểu SysV, không biểu thị trạng thái hiện tại.

Đáp án đúng: "To offer additional protection by restricting IP connections". TCP Wrappers kiểm tra địa chỉ nguồn của kết nối tới dịch vụ có hỗ trợ, thường dựa trên quy tắc hosts.allow và hosts.deny, để cho phép hoặc từ chối máy khách. "To encrypt web traffic" không đúng vì công cụ này không mã hóa dữ liệu; cần TLS hoặc VPN. "To manage user access to web services" gần nghĩa nhưng quá rộng và dễ nhầm với xác thực người dùng; TCP Wrappers lọc kết nối theo host/IP. "To optimize TCP/IP performance" không phải mục đích, và việc lọc có thể thêm bước kiểm tra.

Đáp án đúng: "id -Z". Tùy chọn -Z của id hiển thị ngữ cảnh SELinux gắn với người dùng hoặc tiến trình hiện tại; thông tin này giúp phân biệt danh tính Unix thông thường với nhãn bảo mật SELinux đang áp dụng. "chcon" thay đổi nhãn SELinux trên tệp, vì vậy nó không phải lệnh xem ngữ cảnh người dùng hiện tại. "ls -Z" hiển thị nhãn của tệp hoặc thư mục được liệt kê, không phải danh tính SELinux của người dùng đang đăng nhập. "getenforce" cho biết SELinux đang Enforcing, Permissive hay Disabled, tức trạng thái thực thi toàn hệ thống chứ không cho biết ngữ cảnh người dùng.

Đáp án đúng: "She has different user IDs (UIDs) on each system for user authentication.". NFS truyền danh tính người dùng thường dựa trên UID/GID số; nếu cùng một người có UID khác nhau giữa máy khách Ubuntu và máy chủ Red Hat, quyền sở hữu và quyền truy cập có thể không khớp. "She has two different usernames and passwords" thường không phải nguyên nhân vì NFS truyền thống dựa vào UID/GID chứ không đăng nhập bằng mật khẩu SMB; "She used a username and password" không bắt buộc trong xác thực NFS thông thường; "She forgot to specify a port number" sai vì dịch vụ NFS dùng cổng được quản lý tự động hoặc cấu hình phía hệ thống.

Đáp án đúng: "To correlate repeated failed logins from one account or source address". Theo dõi các lần đăng nhập sai có thể làm lộ thử đoán mật khẩu lặp lại từ một tài khoản hoặc địa chỉ nguồn, giúp quản trị viên điều tra dấu hiệu xâm nhập. "It is a requirement for all Linux installations" sai vì Linux không bắt buộc mọi hệ thống phải dùng một quy trình giám sát cụ thể. "To detect and respond to possible security breaches" mô tả mục tiêu rộng hơn của giám sát an ninh, nhưng không nêu dấu hiệu cụ thể mà câu hỏi đang hỏi. "It enhances the system's performance by logging access" sai vì ghi log không tăng hiệu năng và có thể tiêu tốn tài nguyên.

Đáp án đúng: "Samba/CIFS offers better encryption capabilities compared to NFS, ensuring secure file transfers.". SMB/CIFS ở các phiên bản mới có thể mã hóa lưu lượng chia sẻ tệp, bảo vệ dữ liệu khi đi qua mạng; đây là lợi thế khi cấu hình yêu cầu truyền dữ liệu kín. Tuy nhiên, mức bảo vệ thực tế phụ thuộc phiên bản SMB hoặc NFS, cơ chế xác thực và cấu hình: NFS cũng có thể dùng Kerberos/RPCSEC_GSS để bảo vệ luồng dữ liệu. "NFS provides more granular control over file access permissions compared to Samba/CIFS." nói về quyền truy cập, không trả lời ưu thế mã hóa; cả NFS lẫn Samba đều có thể hỗ trợ quyền chi tiết tùy môi trường. "Samba/CIFS introduces higher network latency than NFS due to its encryption protocols." khẳng định độ trễ do mã hóa như đặc tính cố định, trong khi mã hóa không phải lúc nào cũng bật và hiệu năng phụ thuộc tải, mạng, phiên bản. "NFS facilitates easier file sharing among diverse platforms compared to Samba/CIFS." có thể đúng trong môi trường Unix/Linux nhưng nói về tính tiện dụng, không phải bảo mật truyền tải.

Đáp án đúng: "The download being corrupted". Hash mật mã tạo dấu kiểm tra để so sánh tệp đã tải với giá trị được công bố; nếu truyền tải vô tình lỗi làm thay đổi nội dung, giá trị hash sẽ khác. "A backdoor being installed in the software" không được bảo đảm nếu kẻ tấn công có thể sửa cả tệp lẫn hash công bố; cần chữ ký số hoặc nguồn xác thực. "An attacker generating a new MD5" không phải điều hash tự ngăn chặn, và MD5 còn yếu trước va chạm. "The tarball being packed" chỉ nói định dạng đóng gói, không phải rủi ro được hash bảo vệ.

Đáp án đúng: "It allows for system analysis and recovery without relying on the potentially compromised local system's OS". Live CD khởi chạy một môi trường hệ điều hành đáng tin cậy từ thiết bị ngoài, cho phép kiểm tra ổ đĩa, thu thập dấu vết hoặc phục hồi mà không phải tin vào hệ thống đang nghi bị xâm nhập. Cách này giảm nguy cơ mã độc đang chạy can thiệp trực tiếp vào quá trình phân tích. "It increases the compromised system's performance" không phải mục tiêu của môi trường khởi động trực tiếp; hiệu năng còn phụ thuộc thiết bị và phần cứng. "It permanently installs critical security updates" mô tả cập nhật hệ thống đã cài, không phải chức năng tự động của Live CD. "It provides additional storage space" nhầm môi trường khởi động với thiết bị lưu trữ; Live CD không tự mở rộng dung lượng máy.

Đáp án đúng: "May slightly obscure services from attackers". Dùng cổng không chuẩn có thể giảm lượt dò tự động nhắm vào cổng mặc định, tạo một lớp che giấu nhỏ; đây không thay thế xác thực, cập nhật hay firewall. "Enhances the encryption of data" sai vì số cổng không mã hóa lưu lượng; "Increases the bandwidth available" không thay đổi băng thông đường truyền; "Reduces the overall load on the system" cũng không phải tác dụng của việc đổi cổng và dịch vụ vẫn phải xử lý kết nối.

Đáp án đúng: "Rsyslog". Rsyslog là dịch vụ ghi nhật ký có thể nhận và chuyển tiếp log qua mạng tới máy chủ tập trung, nhờ đó hỗ trợ thu thập từ xa. "Logstash" cũng có thể nhận và xử lý log trong một pipeline, nhưng thường là thành phần của nền tảng phân tích log rộng hơn. "Fluentd" là bộ thu thập và định tuyến dữ liệu log, không phải câu trả lời định danh công cụ Linux phổ biến trong ngữ cảnh này. "Splunk" là nền tảng phân tích và quản lý log, thường được triển khai như sản phẩm riêng thay vì tiện ích hệ thống Linux.

Đáp án đúng: "GNU GPL". GNU General Public License là giấy phép phần mềm tự do và nguồn mở, quy định quyền sử dụng, sửa đổi, phân phối và nghĩa vụ khi phân phối tác phẩm phái sinh. "Freeware" chỉ nói phần mềm được dùng miễn phí, không xác định quyền truy cập hay sửa mã nguồn. "Public license" là cụm từ chung, không nêu một giấy phép cụ thể hoặc điều khoản nguồn mở. "Microsoft license" không phải tên một giấy phép nguồn mở xác định; Microsoft có nhiều giấy phép khác nhau.

Đáp án đúng: "Cryptographic API". Câu hỏi yêu cầu nhận diện lựa chọn không thuộc kiểm soát truy cập bắt buộc (MAC). Cryptographic API cung cấp dịch vụ và thuật toán mật mã cho kernel, không quyết định chủ thể nào được truy cập tài nguyên. "SELinux" triển khai chính sách MAC dựa trên nhãn. "TOMOYO" là mô-đun bảo mật Linux áp dụng chính sách MAC theo đường dẫn. "AppArmor" giới hạn khả năng tiến trình theo profile, cũng là cơ chế MAC.

Đáp án đúng: "netbios name". Trong cấu hình Samba, chỉ thị netbios name đặt tên NetBIOS mà máy chủ công bố trên mạng Windows; tên này phục vụ nhận diện máy chủ và khác với tên DNS hay tên miền. Giá trị cần tuân theo quy tắc đặt tên NetBIOS của môi trường. "hostname" là tên máy ở cấp hệ điều hành và có thể được dùng trong phân giải tên, nhưng không phải chỉ thị Samba chuyên đặt tên NetBIOS. "server_name" thường xuất hiện trong cấu hình máy chủ hoặc ứng dụng khác, không phải từ khóa Samba được hỏi. "domain name" nói về miền mạng hoặc miền DNS, không chỉ định tên NetBIOS cục bộ của máy chủ.