Câu hỏi: OSP201 Hệ thống nguồn mở và quản trị mạng – Bộ ôn tập cuối kỳ số 2

Đáp án đúng: "The NSA". Security-Enhanced Linux được khởi xướng bởi National Security Agency (NSA) như một tập hợp mở rộng bảo mật cho Linux, sau đó được cộng đồng phát triển và tích hợp rộng rãi. "The CIA" là một cơ quan khác của Hoa Kỳ, không phải cơ quan khởi nguồn SELinux. "The Electronic Freedom Foundation" không phải tổ chức tạo SELinux; tổ chức này hoạt động về quyền tự do và quyền riêng tư số. "The GNU Foundation" không phải tên tổ chức khởi phát dự án này. "The memory" không phải cơ quan hay nhóm phát triển; cụm từ này không thể là chủ thể của quá trình phát triển.

Đáp án đúng: "To assign a unique group to each user". User private group scheme tạo một nhóm riêng làm nhóm chính cho từng tài khoản, giúp tệp mới có quyền nhóm an toàn và hạn chế chia sẻ ngoài ý muốn. "To share files with the local network" không phải mục đích của nhóm riêng; chia sẻ mạng cần cấu hình dịch vụ và quyền phù hợp. "To connect to wireless networks" thuộc cấu hình mạng không dây. "To monitor system logs" là nhiệm vụ của công cụ nhật ký và kiểm toán, không phải nhóm riêng người dùng.

Đáp án đúng: "It simplifies the process of duplicating system configurations". Gold baseline là cấu hình chuẩn đã kiểm tra; dùng lại nó giúp dựng nhiều máy nhất quán và giảm sai lệch do thao tác thủ công. "It provides an easy way to deploy new applications" có thể là lợi ích phụ nếu ứng dụng nằm trong ảnh chuẩn, nhưng baseline không chủ yếu là trình triển khai phần mềm mới. "It reduces the need for security updates" sai vì cấu hình chuẩn vẫn cần cập nhật bản vá. "It ensures compatibility with all hardware" không thể bảo đảm mọi thiết bị, vì hình ảnh cần driver và cấu hình tương thích.

Đáp án đúng: "True". PAM là Pluggable Authentication Modules, một lớp module cho phép các ứng dụng Linux dùng chính sách xác thực linh hoạt như kiểm tra mật khẩu, tài khoản, phiên làm việc hoặc khóa tài khoản. "False" không đúng vì phát biểu xác định đúng vai trò của PAM trong chuỗi xác thực. PAM không phải một phương thức xác thực duy nhất; từng ứng dụng cấu hình các stack module phù hợp, nên chính sách có thể được thay đổi mà không cần viết lại ứng dụng.

Đáp án đúng: "ListenAddress 192.168.0.1". Chỉ thị ListenAddress của sshd chỉ định địa chỉ IP cục bộ mà dịch vụ SSH sẽ bind; 192.168.0.1 là địa chỉ host cụ thể thường thuộc mạng 192.168.0.0/24. "ListenAddress 192.168.0.0/24" dùng ký hiệu CIDR cho cả mạng, trong khi chỉ thị này yêu cầu địa chỉ bind chứ không phải dải mạng. "ListenAddress 192.168.0.0/255" cũng không phải định dạng địa chỉ bind hợp lệ. "ListenAddress 192.168.0.255" thường là địa chỉ broadcast của mạng /24, không phải địa chỉ host để sshd lắng nghe. Nếu đề muốn bind đúng địa chỉ 192.168.0.0 thì đó thường là địa chỉ mạng, không phải địa chỉ card hợp lệ.

Đáp án đúng: "Identify and diagnose system issues". Nhật ký cục bộ ghi sự kiện của nhân, dịch vụ và ứng dụng; xem chúng giúp người quản trị xác định lỗi, dựng lại chuỗi sự kiện và khoanh vùng nguyên nhân. Cần bảo vệ nhật ký và đối chiếu thời gian, vì máy bị xâm nhập có thể bị sửa dấu vết. "Directly modify system settings" là thao tác cấu hình, không phải chức năng của việc theo dõi log. "Increase the storage space automatically" không xảy ra chỉ nhờ đọc nhật ký; lưu log còn tiêu thụ dung lượng cần quản lý. "Decrease system boot time" cũng không phải tác dụng trực tiếp, dù log khởi động có thể giúp tìm dịch vụ làm chậm máy.

Đáp án đúng: "Protecting against attack". Gia cố hệ điều hành giảm bề mặt tấn công bằng cách tắt dịch vụ không cần thiết, cập nhật phần mềm, áp quyền tối thiểu và bật các kiểm soát phù hợp; mục tiêu là giảm khả năng bị khai thác và giới hạn thiệt hại. "Creating a bastion host" là một kiến trúc triển khai có thể hỗ trợ an ninh nhưng không phải mục tiêu tổng quát của hardening; "Building a Web server" là triển khai dịch vụ; "Building a kernel" là công việc phát triển hoặc biên dịch kernel.

Đáp án đúng: "To lower the risk of attacks and misuse". Mỗi dịch vụ đang chạy có thể mở cổng, xử lý dữ liệu hoặc có cấu hình dễ lỗi; tắt dịch vụ không cần thiết làm giảm bề mặt tấn công và cơ hội lạm dụng. "To increase the number of available IP addresses" không liên quan đến số dịch vụ trên máy; địa chỉ IP được cấp bởi cấu hình mạng. "To reduce the system’s power consumption" có thể là hệ quả nhỏ của ít tiến trình hơn, nhưng không phải lý do bảo mật chính. "It is not recommended; more services mean better functionality" bỏ qua rủi ro khi dịch vụ không cần thiết tạo thêm điểm vào và yêu cầu bảo trì.

Đáp án đúng: "gpg --export". Tùy chọn --export xuất khóa công khai ở dạng có thể chuyển cho người khác; lệnh có thể nhận thêm định danh khóa để giới hạn nội dung xuất. "gpg --export-key" không phải tùy chọn chuẩn để xuất khóa công khai trong GnuPG. "gpg --send-key" gửi khóa tới máy chủ khóa thay vì xuất nội dung ra đầu ra để chuyển thủ công. "gpg --output-key" không phải tùy chọn GPG dùng cho mục đích này.

Đáp án đúng: "Monolithic". Linux được phân loại là kernel nguyên khối: các dịch vụ cốt lõi chạy trong không gian kernel, dù nhiều driver và tính năng có thể được biên dịch thành mô-đun nạp động. "Microkernel" chuyển nhiều dịch vụ ra không gian người dùng, không mô tả cấu trúc Linux truyền thống. "Hybrid" thường chỉ kiến trúc kết hợp đặc tính microkernel và monolithic. "Exokernel" là kiến trúc tối giản khác, không phải loại kernel Linux.

Đáp án đúng: "To protect against installation failure due to read errors". Kiểm tra phương tiện cài đặt trong trình cài Red Hat xác nhận dữ liệu trên đĩa hoặc ảnh cài có thể đọc được trước khi quá trình cài đặt phụ thuộc vào chúng. "To enhance graphical performance" không liên quan tính toàn vẹn phương tiện. "To speed up the installation process" kiểm tra có thể làm tăng thời gian ban đầu, nhưng giảm nguy cơ lỗi giữa chừng. "To verify user credentials" là xác thực tài khoản, không phải chức năng kiểm tra đĩa cài.

Đáp án đúng: "A monolithic core with modular components". Linux thường được mô tả là nhân nguyên khối vì nhiều dịch vụ lõi như quản lý bộ nhớ, lập lịch và hệ thống tệp hoạt động trong không gian nhân; đồng thời có thể nạp hoặc gỡ nhiều mô-đun để bổ sung trình điều khiển và chức năng. Mô tả này phân biệt kiến trúc tổng thể với khả năng mô-đun hóa. "A single monolithic kernel" gần đúng về lõi nhưng bỏ qua mô-đun có thể nạp. "A completely modular kernel" sai vì thành phần nền tảng vẫn thuộc nhân lõi và không phải toàn bộ nhân đều là mô-đun tách rời. "A modular core with monolithic components" đảo ngược quan hệ: Linux có lõi nguyên khối cùng các mô-đun, không phải lõi mô-đun bao quanh thành phần nguyên khối.

Đáp án đúng: "/etc/group". Tệp /etc/group liệt kê các nhóm cục bộ và danh sách thành viên bổ sung; thông tin nhóm chính cũng liên kết với GID trong tài khoản. "/etc/passwd" lưu thông tin tài khoản và UID/GID chính, nhưng không phải danh sách thành viên từng nhóm. "/etc/shadow" chứa hash mật khẩu và thuộc tính tuổi thọ mật khẩu. "/etc/gshadow" lưu thông tin nhạy cảm của nhóm, như mật khẩu nhóm và quản trị viên nhóm, nhưng danh sách nhóm/thành viên thông thường xem ở /etc/group.

Đáp án đúng: "Security Policy". Chính sách SELinux quy định miền hoặc loại nào được phép truy cập tài nguyên theo ngữ cảnh bảo mật; bộ thực thi trong nhân áp dụng các quyết định đó. "Context Manager" không phải tên thành phần chuẩn chịu trách nhiệm định nghĩa quy tắc; "Policy Server" không phải thành phần SELinux thường được gọi như vậy; "Targeted Security Module" nhầm một chính sách targeted với bộ phận định nghĩa chính sách.

Đáp án đúng: "Security updates and bug fixes". Trong quy ước phiên bản kernel cũ, thành phần patch-level thường biểu thị các lần sửa lỗi và cập nhật bảo mật trong cùng nhánh; cách đánh số cụ thể thay đổi theo nhánh và nhà cung cấp. "Performance improvements" có thể xuất hiện trong một số bản cập nhật nhưng không định nghĩa ý nghĩa chung của patchnumber. "Major kernel overhaul" thường gắn với thay đổi phiên bản lớn hơn, không phải patch-level. "Module count" không được mã hóa trong số patch; số lượng module phụ thuộc cấu hình build và hệ thống.

Đáp án đúng: "Global Domain". Danh sách bảy miền hạ tầng IT thường gồm User, Workstation, LAN, LAN-to-WAN, WAN, Remote Access và System/Application; không có miền tên Global Domain trong cách phân loại này. "User Domain" mô tả người dùng và chính sách hành vi. "Workstation Domain" gồm máy trạm và thiết bị đầu cuối. "System Domain" là cách gọi rút gọn của System/Application Domain, nên thuộc danh sách được nhắc đến.

Đáp án đúng: "Authenticity". Parkerian Hexad bổ sung ba thuộc tính possession/control, authenticity và utility bên cạnh confidentiality, integrity, availability trong CIA Triad; authenticity là xác thực nguồn gốc hoặc tính chân thực. "Confidentiality" đã nằm trong CIA. "Integrity" cũng là thành tố gốc của CIA. "Availability" là thành tố thứ ba của CIA, không phải phần bổ sung của Hexad. Hai thuộc tính còn lại được bổ sung là possession/control và utility, giúp phân tích mất quyền kiểm soát hoặc mất tính hữu dụng của dữ liệu.

Đáp án đúng: "By providing backups in case of system failure". Dự phòng duy trì thành phần hoặc bản sao thay thế để dịch vụ tiếp tục khi máy chủ, nguồn điện, đường mạng hay dữ liệu chính gặp lỗi; chuyển đổi dự phòng có thể giảm gián đoạn và hỗ trợ tính sẵn sàng. Bản sao cần được kiểm thử và đồng bộ phù hợp, vì dự phòng không tự sửa nguyên nhân sự cố. "By increasing system complexity" có thể là chi phí quản trị của dự phòng, nhưng không giải thích cách nó nâng availability. "By reducing the efficiency of system operations" không phải mục tiêu; thiết kế tốt giới hạn ảnh hưởng hiệu năng. "By lowering the overall cost of the IT infrastructure" cũng không đảm bảo, vì thiết bị và vận hành dự phòng thường làm tăng chi phí.

Đáp án đúng: "iptables". Trong các phương án được đưa ra, iptables là công cụ cấu hình quy tắc lọc gói qua Netfilter, cơ chế xử lý trong nhân Linux; đây là lựa chọn tốt nhất theo ngữ cảnh kiến thức được kiểm tra. Câu gọi nó là lựa chọn hiện hành đã lỗi thời ở nhiều hệ mới, nơi nftables thường là backend mặc định, nhưng đáp án đó không có trong danh sách. "ipfirewall" không phải gói Linux chuẩn trong ngữ cảnh này; "ipchains" là cơ chế firewall Linux cũ; "ipsecurity" không phải công cụ chuẩn để tạo luật lọc.

Đáp án đúng: "It automatically resolves and installs dependent packages". yum truy vấn metadata repository, tìm gói phụ thuộc và cài đặt chúng cùng gói được yêu cầu, giúp hạn chế xử lý thủ công. "It allows for graphical user interface management of updates" không phải lợi thế cốt lõi vì yum là công cụ dòng lệnh, dù có thể có giao diện khác gọi backend quản lý gói. "It bypasses the need for security checks on packages" sai vì kiểm tra nguồn và chữ ký gói vẫn quan trọng; yum không nên được hiểu là bỏ qua an toàn. "It provides faster download speeds for updates" không được đảm bảo, vì tốc độ tùy mạng, mirror và dung lượng gói.