Câu hỏi: OSP201 Hệ thống nguồn mở và quản trị mạng – Bộ ôn tập cuối kỳ số 2

Đáp án đúng: "They load Linux into system memory without using a hard drive". Bản live khởi động hệ điều hành từ USB, CD hoặc phương tiện ngoài và chạy mà không cần cài lên ổ đĩa trong; môi trường có thể dùng RAM cho hệ thống đang chạy. Một số bản live vẫn có tùy chọn lưu bền vững riêng. "They permanently store all user data" không đúng với chế độ live thông thường; "They disable security controls for easy access" không phải đặc tính bắt buộc; "They require a dedicated hard disk" trái với khả năng chạy từ phương tiện rời.

Đáp án đúng: "A reference to a file name in the filesystem". Symlink, hay symbolic link, là một tệp đặc biệt chứa tham chiếu tới đường dẫn của tệp hoặc thư mục khác; khi truy cập liên kết, hệ thống theo tham chiếu đó. "Another name for an Internet hyperlink" mô tả liên kết web trong trình duyệt, không phải liên kết biểu tượng trong filesystem. "A service dependency" là quan hệ phụ thuộc giữa dịch vụ, thường được khai báo trong hệ thống init. "An application dependency" là thư viện hoặc gói mà phần mềm cần để chạy, không phải một đường dẫn liên kết trong filesystem.

Đáp án đúng: "LUKS with dm-Crypt". dm-crypt cung cấp lớp mã hóa thiết bị khối trong kernel, còn LUKS định dạng siêu dữ liệu và quản lý các khóa để mã hóa toàn bộ phân vùng hoặc ổ đĩa. "EncFS" mã hóa nội dung theo tệp/thư mục trong không gian người dùng, không phải mã hóa toàn đĩa bằng lớp kernel. "TrueCrypt" là phần mềm mã hóa ổ đĩa cũ, không phải phương án dm-crypt/LUKS tích hợp kernel được mô tả. "AES" là thuật toán mật mã, không tự xác định cách mã hóa và quản lý khóa cho toàn ổ đĩa.

Đáp án đúng: "VNC". VNC là giao thức truy cập giao diện máy tính từ xa, không tham gia chuyển thư điện tử. "MUA" là ứng dụng người dùng dùng để soạn, gửi và đọc thư. "MRA" là tác nhân truy xuất thư, hỗ trợ người dùng lấy thư từ kho hoặc máy chủ. "MTA" là tác nhân chuyển thư giữa các máy chủ, thường dùng SMTP. Vì vậy ba thuật ngữ này gắn với quy trình thư còn VNC thuộc truy cập đồ họa từ xa. VNC dùng để điều khiển màn hình qua mạng, không gửi thư hoặc định tuyến thư giữa các máy chủ.

Đáp án đúng: ".gnupg". GnuPG lưu cấu hình, khóa bí mật và khóa công khai của người dùng trong thư mục ẩn ~/.gnupg; khóa riêng cần được bảo vệ bằng quyền truy cập hạn chế. ".gpg" thường là phần mở rộng tệp được mã hóa hoặc chữ ký, không phải thư mục keyring mặc định. ".gpgkeys" không phải tên thư mục chuẩn GnuPG. ".keys" là tên chung, có thể do ứng dụng tự chọn nhưng không phải vị trí mặc định được hỏi.

Đáp án đúng: "Providing a standardized way to handle authentication and access control.". PAM cung cấp giao diện mô-đun để dịch vụ Linux gọi chính sách xác thực, kiểm tra tài khoản và quản lý phiên truy cập; quản trị viên có thể thay đổi quy tắc mà không viết lại từng ứng dụng. Điều này giúp thống nhất cách xử lý ở các điểm vào hệ thống. "Managing hardware devices and drivers." là vai trò của nhân và công cụ quản lý thiết bị. "Configuring the graphical user interface (GUI)." thuộc môi trường desktop và cấu hình giao diện, không phải PAM. "Optimizing system performance and resource utilization." là mục tiêu tinh chỉnh tài nguyên; PAM có thể kiểm soát quyền truy cập nhưng không tối ưu hiệu năng hệ thống.

Đáp án đúng: "Confidentiality". Bộ ba CIA gồm confidentiality (tính bí mật), integrity (tính toàn vẹn) và availability (tính sẵn sàng), ba mục tiêu nền tảng khi thiết kế kiểm soát an ninh thông tin. Tính bí mật giới hạn việc xem dữ liệu cho chủ thể được phép. "Compromise" là sự xâm phạm hoặc sự cố, không phải mục tiêu bảo vệ; "Connectivity" nói về khả năng kết nối mạng; "Computer" là thiết bị, không phải thuộc tính bảo mật trong mô hình CIA.

Đáp án đúng: "To serve as a fortified gateway to protect internal networks from external threats". Bastion host là máy chủ được gia cố và đặt ở vùng biên hoặc DMZ, tạo điểm truy cập kiểm soát tới dịch vụ công khai trong khi hạn chế đường đi trực tiếp vào mạng nội bộ. "To monitor network traffic and optimize speed" gần với nhiệm vụ giám sát hoặc tối ưu mạng, không phải vai trò chính của bastion host. "To provide backup services for data recovery" thuộc hệ thống sao lưu và phục hồi. "To manage internal databases and user information" mô tả máy chủ ứng dụng hoặc cơ sở dữ liệu nội bộ, không phải cổng phòng thủ ở vùng biên.

Đáp án đúng: "Encrypt the password using MD5 or another secure method". Mật khẩu GRUB nên được lưu dưới dạng giá trị băm thay vì văn bản rõ để giảm lộ thông tin nếu tệp cấu hình bị đọc; MD5 là lựa chọn lịch sử yếu hơn, nên cần ưu tiên thuật toán băm mật khẩu hiện đại mà phiên bản GRUB hỗ trợ. "Use simple passwords for ease of recovery" làm tăng nguy cơ đoán mật khẩu. "Use the same password as the root user" khiến một lần lộ mật khẩu ảnh hưởng cả khởi động và tài khoản quản trị. "None, GRUB does not support password protection" sai vì GRUB có cơ chế bảo vệ bằng mật khẩu.

Đáp án đúng: "It is used to add and manage Kerberos principals and policies in the KDC database.". kadmin là công cụ quản trị cơ sở dữ liệu Kerberos, cho phép tạo/sửa principal và chính sách thông qua KDC. "It manages Kerberos ticket granting tickets (TGTs) for users." không chính xác vì KDC phát vé trong luồng xác thực; người dùng không dùng kadmin để quản lý TGT thường nhật. "It configures encryption algorithms for Kerberos tickets." thuật toán được quy định trong cấu hình Kerberos và chính sách mã hóa, không phải vai trò chính của kadmin. "It verifies the Kerberos configuration for proper communication with the realm." là kiểm tra kết nối/cấu hình, không phải tác vụ quản trị principal.

Đáp án đúng: "To enhance security by using multiple methods to regulate access and actions". Phòng thủ nhiều lớp kết hợp các cơ chế như xác thực, giới hạn quyền, firewall và kiểm soát ở dịch vụ để một điểm yếu đơn lẻ không tự động mở toàn bộ hệ thống. Với FTP, cần lưu ý giao thức cổ điển có thể truyền thông tin dạng rõ, nên lớp bảo vệ phải chọn giải pháp phù hợp như thay bằng giao thức mã hóa. "To provide redundancy in case one layer fails" gần với khả năng dự phòng, nhưng lớp bảo mật không nhất thiết là bản sao có thể tiếp quản khi hỏng. "To improve FTP performance" không phải mục tiêu an ninh và thêm kiểm soát đôi khi còn tăng chi phí xử lý. "To simplify the FTP setup process" cũng không phải lợi ích chính; nhiều lớp thường cần cấu hình cẩn thận.

Đáp án đúng: "iptables -L INPUT". Tùy chọn -L liệt kê các luật của chain được nêu; khi không ghi bảng, iptables mặc định dùng bảng filter, nên lệnh này xem INPUT trong filter. Có thể thêm tùy chọn hiển thị chi tiết hoặc đánh số luật khi kiểm tra cấu hình. "iptables -A INPUT -p tcp --dport 22 -j ACCEPT" thêm luật cho phép SSH; "iptables -I INPUT -j DROP" chèn luật chặn; "iptables -F INPUT" xóa các luật trong chain, không hiển thị chúng.

Đáp án đúng: "ls -Z filename". Tùy chọn -Z hiển thị nhãn bảo mật SELinux gắn với tệp, gồm user, role, type và level theo định dạng context. "ls filename" chỉ liệt kê tên tệp và không hiển thị context. "ls -SE filename" không phải tổ hợp tùy chọn ls chuẩn để xem thuộc tính SELinux. "ls -l filename" hiển thị quyền Unix, chủ sở hữu, nhóm, kích thước và thời gian nhưng không hiện nhãn SELinux. "ls -S filename" sắp xếp theo kích thước, không hiển thị context bảo mật.

Đáp án đúng: "Enhance the system's security and reduce vulnerabilities". Khởi động một hệ thống đã harden nghĩa là triển khai cấu hình đã giảm dịch vụ, quyền và thành phần không cần thiết, qua đó thu hẹp bề mặt tấn công và giảm khả năng khai thác lỗ hổng. Mức bảo vệ thực tế còn tùy cấu hình, cập nhật và giám sát sau khi khởi động. "Increase the graphical capabilities of the system" thuộc cài đặt phần mềm đồ họa chứ không phải mục tiêu hardening. "Improve the system's boot time" có thể thay đổi tùy cấu hình nhưng không phải kết quả bảo mật cốt lõi. "Expand the system's storage capacity" cần thêm hoặc thay thiết bị lưu trữ, không thể đạt chỉ bằng cấu hình an ninh.

Đáp án đúng: "PPP". PPP là giao thức điểm-điểm để vận chuyển lưu lượng mạng, không phải phương thức xác thực như PAP, CHAP hay EAP. RADIUS thường nhận yêu cầu xác thực dùng các phương thức đó. "CHAP" là thử thách-phản hồi dùng chung với máy chủ RADIUS trong nhiều cấu hình truy cập từ xa. "PAP" có thể được chuyển tiếp tới RADIUS để xác thực, dù bản thân PAP yếu hơn vì gửi thông tin mật khẩu theo cách kém an toàn. "EAP" cũng thường được vận chuyển qua RADIUS trong mạng truy cập có kiểm soát. PPP có thể dùng RADIUS để ủy quyền xác thực, nên câu hỏi dùng từ “configured with” chưa thật chặt.

Đáp án đúng: "Managing the boot process and loading the operating system.". GRUB là bootloader, cung cấp lựa chọn khởi động và nạp kernel cùng dữ liệu cần thiết vào bộ nhớ để hệ điều hành tiếp quản. "Managing the Linux desktop environment." là chức năng của môi trường desktop/window manager. "Editing system configuration files." là việc của quản trị viên và trình soạn thảo, không phải bootloader. "Handling printer configurations." thuộc hệ thống in như CUPS, không thuộc trình khởi động.

Đáp án đúng: "Gaming performance optimization". Câu hỏi phủ định, cần chọn mục không thuộc nhóm cấu hình kernel thông thường. Tùy chọn kernel có thể bật hỗ trợ 64-bit, thiết lập CPU và General Setup, còn tối ưu hiệu năng chơi game là mục tiêu ứng dụng chứ không phải nhóm tùy chọn kernel chuẩn. "64-Bit Kernel support" cấu hình kiến trúc hệ thống. "Processor Type and Features" chọn hỗ trợ bộ xử lý và tính năng liên quan. "General Setup" là nhóm cấu hình chung có thật trong hệ thống xây dựng kernel.

Đáp án đúng: "A text-based installation". Tham số khởi động linux text yêu cầu trình cài đặt Red Hat sử dụng giao diện văn bản thay cho giao diện đồ họa. "A graphical installation" là lựa chọn giao diện khác, không phù hợp với tham số text. "A network-based installation" yêu cầu nguồn cài qua mạng và cấu hình boot tương ứng. "An automated installation without user input" cần cấu hình kickstart hoặc chế độ tự động, không được kích hoạt chỉ bởi từ text.

Đáp án đúng: "/etc/hosts.allow and /etc/hosts.deny". TCP Wrapper dựa vào các tệp này để cho phép hoặc từ chối máy khách theo địa chỉ hay mẫu tên dịch vụ; quy tắc allow thường được xét trước deny. "/etc/tcpwrapper.conf and /etc/firewall.conf" không phải cặp tệp cấu hình TCP Wrapper chuẩn; "/etc/tcp.allow and /etc/tcp.deny" là tên không đúng; "/etc/security/access.conf and /etc/services" phục vụ kiểm soát đăng nhập PAM và ánh xạ dịch vụ/cổng, không phải tệp quy tắc hosts của wrapper.