Câu hỏi: OSP201 Hệ thống nguồn mở và quản trị mạng – Bộ ôn tập thi lại số 1

Đáp án đúng: "TCP Wrapper". TCP Wrapper kiểm soát quyền truy cập dịch vụ mạng qua quy tắc máy khách, thường dùng hosts.allow và hosts.deny; nó có thể hoạt động với dịch vụ hỗ trợ libwrap mà không cần inetd/xinetd làm super server. "Network libraries" là khái niệm rộng, không phải công cụ kiểm soát truy cập cụ thể; "UDP ACLs" và "TCP ACLs" không chỉ tên tiện ích chuẩn độc lập trong ngữ cảnh câu hỏi; "All of the above" không phù hợp vì các tên đó không cùng là công cụ cụ thể được nêu.

Đáp án đúng: "Debian". Ubuntu được xây dựng dựa trên nhánh Debian; Linux Mint bản phổ biến chủ yếu dựa trên Ubuntu, ngoài ra có Linux Mint Debian Edition dựa trực tiếp trên Debian. Trong các lựa chọn, Debian là nguồn gốc phù hợp với quan hệ phân phối này. "Red Hat" là một họ phân phối khác với hệ gói và lịch sử riêng, không phải nền tảng của Ubuntu hay Mint. "Xubuntu" là một biến thể Ubuntu dùng môi trường desktop Xfce, không phải phân phối nền. "Gentoo" là một phân phối độc lập, thường biên dịch gói từ mã nguồn, không phải tổ tiên của các hệ đang hỏi.

Đáp án đúng: "Virtual machine escape". VM escape là tình huống mã hoặc người dùng trong máy ảo vượt qua ranh giới cô lập để tác động hypervisor hay máy chủ vật lý, vì vậy có thể làm ảnh hưởng các máy khác. "BIOS attack" và "Bootloader compromise" là các kiểu tấn công có thể xảy ra trên thiết bị nhưng không phải rủi ro riêng tiêu biểu của việc dùng VM. "Unused services" làm tăng bề mặt tấn công nếu để chạy, nhưng có thể giảm bằng hardening và không mô tả việc phá vỡ cô lập ảo hóa.

Đáp án đúng: "chmod g+s". Thành phần g+s của chmod đặt bit set-group-ID (SGID) cho nhóm trên thư mục; tệp mới bên trong thường kế thừa nhóm thư mục, thuận tiện cho cộng tác. "chmod u+s" đặt SUID, thường làm chương trình chạy với UID chủ sở hữu, không đặt SGID cho nhóm. "chmod +x" thêm quyền thực thi mà không bật bit set-group-ID. "chmod 644" đặt quyền đọc/ghi thông thường và loại bỏ các bit đặc biệt.

Đáp án đúng: "To manage authentication for system entry points". PAM là khung mô-đun cho phép các dịch vụ Linux dùng chính sách xác thực và kiểm soát phiên truy cập theo cấu hình; các điểm vào như đăng nhập, sudo hoặc dịch vụ mạng có thể gọi cùng cơ chế mà không phải tự cài toàn bộ quy trình xác thực. "To manage kernel modules" thuộc quản lý mô-đun nhân, thường dùng công cụ như modprobe, không phải PAM. "To configure network settings" là nhiệm vụ của trình quản lý mạng và tệp cấu hình mạng. "To automate system updates" thuộc trình quản lý gói và lịch cập nhật; PAM có thể kiểm soát ai được phép thao tác nhưng không tự cập nhật phần mềm.

Đáp án đúng: "/etc/services". Tệp này ánh xạ tên dịch vụ sang số cổng và giao thức vận chuyển để chương trình có thể tra cứu tên thay vì ghi nhớ số. Nó không mở hay lọc cổng, chỉ là cơ sở thông tin dịch vụ cục bộ. "/etc/network/interfaces" lưu cấu hình giao diện mạng trên một số bản phân phối; "/etc/iptables/rules.v4" chứa luật firewall IPv4 nếu hệ thống dùng định dạng đó; "/etc/firewall/rules" không phải tệp chuẩn ánh xạ tên dịch vụ và cổng.

Đáp án đúng: "chmod 640 example.txt". Trong hệ bát phân, 6 biểu thị đọc và ghi cho chủ sở hữu, 4 biểu thị chỉ đọc cho nhóm, còn 0 không cấp quyền cho người khác; vì vậy giá trị 640 khớp yêu cầu. "chmod 750 example.txt" cấp quyền thực thi cho chủ và nhóm, đồng thời cho người khác không quyền, nên vượt quá quyền đọc/ghi cần thiết và cấp quyền nhóm quá rộng. "chmod 440 example.txt" chỉ cho chủ đọc, không cho chủ ghi. "chmod 654 example.txt" cấp quyền ghi và thực thi cho nhóm, đồng thời cấp quyền đọc cho người khác, trái với yêu cầu giới hạn quyền.

Đáp án đúng: "Loopback". Nếu cơ sở dữ liệu chỉ được ứng dụng trên cùng máy truy cập, cấu hình bind vào loopback giới hạn kết nối trong máy đó và giảm việc dịch vụ lộ ra mạng. "eth0" là giao diện mạng có thể cho phép máy khác kết nối, trái với nguyên tắc giảm phơi lộ khi không cần truy cập ngoài. "All ports" làm phạm vi lắng nghe rộng hơn và không phải một giao diện. "Looparound" không phải tên chuẩn của giao diện loopback. "Local" là từ chung, không chỉ rõ giao diện loopback.

Đáp án đúng: "chcon". chcon thay đổi nhãn ngữ cảnh SELinux của tệp, cho phép điều chỉnh thuộc tính bảo mật gắn với đối tượng. "semanage" quản lý cấu hình chính sách và ánh xạ bền vững như ánh xạ cổng hoặc nhãn đường dẫn, không trực tiếp đổi context một tệp theo cách này. "restorecon" tái áp dụng nhãn mặc định theo chính sách, thường hoàn tác chcon tùy chỉnh. "setenforce" chuyển SELinux giữa enforcing và permissive, không sửa context tệp.

Đáp án đúng: "Public/private key with passphrase". Xác thực SSH bằng cặp khóa công khai và khóa riêng tránh gửi mật khẩu tài khoản qua mạng; passphrase mã hóa khóa riêng khi lưu, giúp giảm hậu quả nếu tệp khóa bị sao chép. Khóa công khai được đặt trên máy chủ và khóa riêng phải được bảo vệ trên máy khách. "Public IP authentication" chỉ dựa trên địa chỉ nguồn, vốn có thể thay đổi hoặc bị giả mạo ở một số môi trường và không chứng minh danh tính người dùng. "Hostname whitelisting" giới hạn nguồn theo tên máy nhưng không thay thế xác thực mật mã. "FTP login" là đăng nhập qua giao thức khác, không phải phương thức xác thực SSH an toàn hơn mật khẩu.

Đáp án đúng: "To detect unauthorized changes to system files.". Công cụ kiểm tra toàn vẹn như Tripwire hoặc AIDE tạo đường cơ sở các thuộc tính tệp rồi so sánh về sau để phát hiện sửa đổi bất thường. Kết quả cảnh báo cần được điều tra, vì thay đổi hợp lệ do cập nhật cũng tạo sai khác. "To increase RAM usage for swap partitions." không liên quan tới kiểm tra toàn vẹn; "To enable automatic updates of log files." mô tả không đúng chức năng; "To upgrade the Linux kernel securely." là nhiệm vụ của quy trình quản lý gói và cập nhật, không phải công cụ so sánh tệp.

Đáp án đúng gồm hai ý: "Encrypting log transmissions across the network" và "Using centralized log management solutions for better analysis and storage". Mã hóa kênh truyền giúp giữ bí mật log khi đi qua mạng; thu thập tập trung cải thiện việc lưu trữ, tìm kiếm và phân tích từ nhiều máy. Tập trung hóa hỗ trợ quản lý nhất quán nhưng tự nó không bảo đảm tính toàn vẹn nếu thiếu phân quyền, kiểm soát sửa đổi hoặc lưu trữ chống chỉnh sửa. "Storing all logs in a publicly accessible network location" làm lộ dữ liệu và cho phép can thiệp. "Disabling logging for non-critical applications" tạo điểm mù và không bảo vệ log còn lại. "Manual log reviews at irregular intervals" không bảo đảm giám sát kịp thời hay quy trình nhất quán.

Đáp án đúng: "By consolidating log data from multiple systems for centralized monitoring". Thu thập nhật ký từ nhiều máy vào hệ thống tập trung giúp quản trị viên tìm kiếm, tương quan sự kiện và phát hiện hoạt động bất thường ngay cả khi máy nguồn gặp sự cố. "By encrypting all log data" có thể là biện pháp bảo vệ dữ liệu nhưng không phải tác dụng tự động của remote logging. "By reducing the amount of log data generated" không phải mục tiêu của giám sát từ xa. "By automating software updates" thuộc quản lý bản vá, không liên quan chức năng chính của nhật ký tập trung.

Đáp án đúng: "A text-based installation". Tham số khởi động linux text yêu cầu trình cài đặt Red Hat sử dụng giao diện văn bản thay cho giao diện đồ họa. "A graphical installation" là lựa chọn giao diện khác, không phù hợp với tham số text. "A network-based installation" yêu cầu nguồn cài qua mạng và cấu hình boot tương ứng. "An automated installation without user input" cần cấu hình kickstart hoặc chế độ tự động, không được kích hoạt chỉ bởi từ text.

Đáp án đúng: "To identify anomalies and ensure system availability". Đường cơ sở ghi nhận trạng thái được xem là bình thường của hệ thống như cấu hình, dịch vụ, gói phần mềm và dấu vết toàn vẹn; so sánh hiện trạng với mốc này giúp phát hiện thay đổi bất thường và điều tra nguyên nhân. Duy trì trạng thái chuẩn cùng giám sát hỗ trợ khả năng sẵn sàng, dù bản thân đường cơ sở không thể bảo đảm hệ thống luôn hoạt động. "To reduce system storage requirements" không phải chức năng của baseline; nhật ký và dữ liệu chuẩn còn có thể cần dung lượng lưu trữ. "To increase network speed" không phải tác dụng trực tiếp. "To configure user permissions" là một công việc quản trị; quyền có thể được ghi vào baseline để theo dõi, nhưng baseline không tự cấu hình chúng.

Đáp án đúng: "Faster bug fixes due to public access to source code". Mã nguồn công khai cho phép cộng đồng và nhà phát triển kiểm tra, báo lỗi và đề xuất bản vá; điều này có thể rút ngắn thời gian phát hiện, sửa lỗi nếu có người duy trì và phản hồi. Tính mở không tự bảo đảm phần mềm an toàn. "More developers" không nhất thiết đúng với mọi dự án và số lượng không bảo đảm chất lượng; "Stronger encryption standards" không phải hệ quả tự động của mô hình mã nguồn mở; "Government regulation" không phải ưu thế tất yếu của Linux.

Đáp án đúng gồm hai ý: "iptables" và "Snort". iptables lọc gói mạng và thực thi quy tắc tường lửa trong Linux. Snort phân tích lưu lượng để phát hiện dấu hiệu xâm nhập, dù triển khai cụ thể có thể dùng như IDS hoặc IPS. "Tripwire" đối chiếu trạng thái tệp để phát hiện thay đổi, không quản lý firewall hay phân tích lưu lượng xâm nhập. "systemd" khởi chạy và giám sát dịch vụ hệ thống, không phải công cụ firewall hoặc IDS. "GCC" biên dịch chương trình C/C++, không thực hiện chức năng bảo vệ mạng được hỏi.

Đáp án đúng: "CIA Triad". Parkerian Hexad mở rộng bộ ba CIA bằng các thuộc tính bổ sung như possession/control, authenticity và utility, tạo mô hình sáu yếu tố về an toàn thông tin. "CISSP Domains" là các miền kiến thức chuyên môn bảo mật, không phải mô hình ba thuộc tính mà Hexad mở rộng. "NIST Framework" là khung quản lý rủi ro an ninh mạng, không phải tên bộ ba nền tảng. "ISO Standards" là tập tiêu chuẩn rộng, không phải mô hình được mở rộng trong khái niệm này.

Đáp án đúng: "VPN with IPSec". VPN dùng IPsec tạo đường hầm được xác thực và mã hóa để nhân viên truy cập từ xa qua mạng không tin cậy; cấu hình cần giới hạn danh tính và thuật toán phù hợp. "Tripwire" giám sát thay đổi tính toàn vẹn tệp, không tạo kênh truy cập từ xa. "TCP Wrappers" có thể lọc kết nối tới một số dịch vụ nhưng không mã hóa toàn tuyến. "Sendmail" là tác nhân chuyển thư, không cung cấp kết nối VPN.

Đáp án đúng: "The kernel". Nhân Linux là phần lõi quản lý CPU, bộ nhớ, thiết bị, tiến trình và giao tiếp giữa phần cứng với chương trình; các dịch vụ và thư viện hoạt động bên trên hoặc tương tác với nhân qua giao diện hệ thống. Vì thế nhân là thành phần cốt lõi của hệ điều hành. "Cloned software from Unix" không đúng: Linux là hệ điều hành dạng Unix nhưng không phải bản sao mã nguồn của Unix. "Linux libraries" cung cấp hàm dùng chung cho chương trình nhưng không quản lý trực tiếp tài nguyên phần cứng như nhân. "Linux services" là tiến trình nền bổ trợ chức năng cụ thể; chúng không thay thế phần lõi quản lý hệ thống.