Câu hỏi: OSP201 Hệ thống nguồn mở và quản trị mạng – Bộ ôn tập thi lại số 1

Đáp án đúng: "To recover dynamic data from compromised systems". Khi điều tra pháp chứng, khởi chạy môi trường live từ đĩa ngoài giúp chuyên gia dùng công cụ cứu hộ và thu thập dữ liệu đang tồn tại trên hệ thống bị xâm nhập, đồng thời hạn chế khởi động cài đặt trên ổ đĩa cần kiểm tra. "To install new software" không phải mục tiêu pháp chứng chính; "To update system drivers" là bảo trì thông thường; "To format hard drives" có thể phá hủy chứng cứ và đi ngược yêu cầu bảo toàn dữ liệu.

Đáp án đúng: "Investigate the activity using system authentication logs and processes". Khi phát hiện đăng nhập đáng ngờ, cần kiểm tra log xác thực, tài khoản, thời điểm, nguồn kết nối và tiến trình đang chạy để xác định phạm vi trước khi ứng phó. "Reboot the system immediately" có thể làm mất dữ liệu biến động hữu ích và không tự xử lý nguyên nhân. "Notify all users of a potential breach" có thể cần trong kế hoạch truyền thông sau khi đánh giá sự cố, nhưng thông báo ngay cho mọi người không thay thế điều tra ban đầu. "Ignore the activity unless it repeats" bỏ qua chỉ dấu rủi ro và có thể để kẻ tấn công tiếp tục truy cập.

Đáp án đúng: "https://kernel.org/". kernel.org là địa chỉ chính thức gắn với cộng đồng và dự án phát triển kernel Linux, nơi công bố mã nguồn kernel. "https://linux-kernel.org" không phải địa chỉ nêu cho tổ chức này. "https://www.linux.com/" là trang thông tin về Linux, không phải trang kernel.org. "https://www.centos.org/" là trang của dự án CentOS, một bản phân phối Linux, không phải tổ chức kernel.

Đáp án đúng: "To use a real-time kernel for specialized applications like audio processing or low-latency systems.". Kernel thời gian thực được tùy biến để giảm và kiểm soát độ trễ, hữu ích với xử lý âm thanh hoặc hệ thống cần đáp ứng đúng hạn. "To enable additional debugging and performance monitoring tools." có thể là lý do tùy biến kernel trong phát triển hoặc chẩn đoán, nhưng không phải lý do được chốt ở đây. "To disable all security features and streamline system performance." không phải mục tiêu an toàn và làm tăng rủi ro. "To improve compatibility with proprietary hardware not supported by the stock kernel." cũng là lý do hợp lệ trong thực tế; vì vậy câu có hơn một động cơ hợp lý, nhưng đáp án được giữ theo ngữ cảnh kernel thời gian thực.

Đáp án đúng: "YUM automates dependency detection and installation, while RPM users must specify each dependency's location manually.". RPM làm việc trực tiếp với tệp gói và có thể báo các phụ thuộc còn thiếu, nhưng thường không tự tìm và tải chúng từ kho. YUM làm lớp quản lý kho ở mức cao hơn, giải quyết phụ thuộc và cài các gói cần thiết. "RPM is a graphical package manager" sai vì RPM chủ yếu là công cụ dòng lệnh; YUM cũng thường được điều khiển từ dòng lệnh. "RPM can automatically resolve package dependencies" đảo vai trò: RPM kiểm tra quan hệ phụ thuộc nhưng không tự xử lý toàn bộ chuỗi từ kho. "RPM and YUM are essentially the same" bỏ qua khác biệt giữa công cụ thao tác gói và trình quản lý kho/phụ thuộc.

Đáp án đúng: "It can lead to data loss if passwords are forgotten". Mã hóa bảo vệ dữ liệu khi thiết bị hoặc ổ đĩa bị truy cập trái phép, nhưng dữ liệu có thể không khôi phục được nếu mất mật khẩu hoặc khóa giải mã; cần sao lưu khóa an toàn. "It can complicate the resizing of filesystems later on" cũng có thể đúng với một số cách bố trí mã hóa, nhưng phụ thuộc công nghệ và không phải nhược điểm phổ quát; đây là điểm tranh luận cần nêu rõ. "It significantly reduces system performance" nói quá mức vì tác động tùy phần cứng và tải; "It is incompatible with most Linux distributions" sai vì nhiều bản phân phối hỗ trợ mã hóa.

Đáp án đúng: "The primary UID for the user is the same as the primary GID for the user". Trong mô hình user private group, hệ thống thường tạo nhóm riêng cho mỗi tài khoản và đặt GID chính bằng UID của tài khoản đó, giúp tệp mới có nhóm mặc định riêng. "There are no private groups in Linux" sai vì nhiều bản phân phối hỗ trợ cách tổ chức này. "User information in the group is private" nhầm tên private group với tính bí mật dữ liệu; nhóm riêng vẫn là cấu trúc phân quyền. "Users are members of the same private group" trái với ý tưởng mỗi người dùng có nhóm riêng. "All users only have GID, no UID" sai vì mỗi tài khoản có UID và thường có GID chính.

Đáp án đúng: "To provide detailed access controls". Access Control Lists (ACL) mở rộng quyền Unix cơ bản bằng cách cho phép gán quyền cụ thể cho thêm người dùng hoặc nhóm trên tệp và thư mục. "To format filesystems" là tác vụ của công cụ tạo filesystem, chẳng hạn mkfs. "To encrypt file contents" cần công cụ hoặc lớp mã hóa, ACL chỉ quyết định ai được truy cập chứ không biến nội dung thành bản mã. "To manage network configurations" thuộc công cụ mạng; ACL ở đây là danh sách quyền trên đối tượng hệ thống tệp.

Đáp án đúng gồm hai ý: "To store password hashes with aging information" và "To ensure secure password policies". Shadow password suite giữ hash mật khẩu cùng thông tin tuổi thọ và chính sách đổi mật khẩu trong các tệp được hạn chế quyền truy cập. "To manage user group memberships" thuộc cơ sở dữ liệu nhóm như /etc/group. "To limit access to system files" không phải mục đích trực tiếp; quyền đọc hạn chế trên thông tin xác thực không đặt quyền cho toàn bộ tệp hệ thống. "To control network authentication" thuộc các dịch vụ xác thực mạng; shadow chủ yếu hỗ trợ tài khoản cục bộ.

Đáp án đúng: "To increase security by isolating sensitive data". Tách /home, /var và /tmp thành các phân vùng riêng có thể giới hạn tác động khi một khu vực đầy dung lượng hoặc bị ghi quá mức; các tùy chọn mount riêng cũng cho phép áp dụng hạn chế phù hợp. Đây là lợi ích về cô lập và quản trị, nhưng cần lập kế hoạch vì phân vùng sai kích thước có thể gây cạn chỗ. "To enhance the user interface" không liên quan đến bố trí hệ thống tệp. "To improve the speed of the Linux kernel" không phải tác động trực tiếp của việc chia phân vùng. "To reduce the overall system memory usage" nhầm dung lượng đĩa với bộ nhớ RAM; phân vùng riêng không làm giảm mức RAM cần dùng.

Đáp án đúng: "Protect using specific kernel settings". SYN flood khai thác lượng lớn yêu cầu bắt tay TCP chưa hoàn tất; các tham số nhân như cơ chế SYN cookies và hàng đợi kết nối có thể giúp hệ thống chống quá tải trong cấu hình phù hợp. Cần kết hợp giám sát và lọc lưu lượng, không coi một tham số là giải pháp duy nhất. "Disable all firewalls" làm giảm lớp bảo vệ; "Ignore security warnings" không giảm tấn công; "Use older kernel versions" có thể đưa vào lỗ hổng đã vá; "Disable root account" không xử lý trực tiếp trạng thái TCP.

Đáp án đúng: "make clearmenu". Các mục tiêu cấu hình kernel phổ biến gồm make config, make menuconfig và make nconfig; make clean dọn sản phẩm biên dịch cũ. make clearmenu không phải mục tiêu chuẩn trong quy trình cấu hình kernel được hỏi. "make config" mở cấu hình dạng hỏi-đáp trong terminal. "make menuconfig" mở giao diện cấu hình dạng menu trong terminal. "make clean" xóa các tệp kết quả biên dịch để chuẩn bị một lượt build mới, nên có liên quan đến quy trình tùy biến dù không chọn tùy chọn cấu hình.

Đáp án đúng: "iptables -A INPUT -s IP_ADDR -j DROP". Trong bảng filter, -A INPUT thêm luật vào chuỗi gói đi vào, -s khớp địa chỉ nguồn và -j DROP loại bỏ gói; cần thay IP_ADDR bằng địa chỉ thực. "iptables -P INPUT IP_ADDR DROP" sai vì -P đặt chính sách mặc định cho cả chuỗi và không nhận địa chỉ nguồn như một tham số. "iptables -A INPUT IP_ADDR -j REJECT" thiếu tùy chọn khớp nguồn -s, nên cú pháp không diễn đạt bộ lọc theo địa chỉ. "iptables -A INPUT -d IP_ADDR -j DROP" khớp địa chỉ đích, không phải nguồn của lưu lượng vào.

Đáp án đúng: "INPUT, OUTPUT, FORWARD". Bảng filter của iptables có ba chain dựng sẵn: INPUT xử lý gói gửi tới máy, OUTPUT xử lý gói do máy tạo, FORWARD xử lý gói đi qua máy như router. "ACCEPT, DROP, REJECT" là các target/hành động của luật, không phải chain. "LOCAL, REMOTE, FORWARD" không phải tên ba chain mặc định của iptables. "IN, OUT, THROUGH" là cách nói thông thường về hướng lưu lượng, không phải định danh chain hợp lệ.

Đáp án đúng: "Configuring hot-pluggable device support". Câu hỏi hỏi lựa chọn không trực tiếp thuộc giảm thiểu rủi ro an ninh nhân; hỗ trợ thiết bị cắm nóng chủ yếu phục vụ khả năng nhận thiết bị khi hệ thống đang chạy, còn tác động bảo mật phụ thuộc thiết bị và cấu hình cụ thể. "Enabling SELinux support" đưa kiểm soát truy cập bắt buộc vào hệ thống và giúp giới hạn hành động của tiến trình. "Utilizing the Cryptographic API" cho phép thành phần nhân dùng các thuật toán mật mã nhằm bảo vệ dữ liệu hoặc giao tiếp. "Disabling unnecessary filesystems" giảm mã và chức năng không cần thiết trong nhân, qua đó thu hẹp bề mặt tấn công.

Đáp án đúng: "TGT (Ticket Granting Ticket)". Trong Kerberos, máy khách nhận Ticket Granting Ticket sau xác thực ban đầu rồi dùng vé này xin vé truy cập dịch vụ mà không phải gửi lại mật khẩu cho từng dịch vụ. "LDAP (Lightweight Directory Access Protocol)" có thể cung cấp thư mục danh tính nhưng không phải thành phần vé cốt lõi của Kerberos; "DNS (Domain Name System)" phân giải tên mạng; "SSH (Secure Shell)" là giao thức truy cập từ xa, có thể dùng Kerberos nhưng không cấu thành hệ thống xác thực Kerberos.

Đáp án đúng: "ListenAddress 192.168.0.1". Chỉ thị ListenAddress của sshd chỉ định địa chỉ IP cục bộ mà dịch vụ SSH sẽ bind; 192.168.0.1 là địa chỉ host cụ thể thường thuộc mạng 192.168.0.0/24. "ListenAddress 192.168.0.0/24" dùng ký hiệu CIDR cho cả mạng, trong khi chỉ thị này yêu cầu địa chỉ bind chứ không phải dải mạng. "ListenAddress 192.168.0.0/255" cũng không phải định dạng địa chỉ bind hợp lệ. "ListenAddress 192.168.0.255" thường là địa chỉ broadcast của mạng /24, không phải địa chỉ host để sshd lắng nghe. Nếu đề muốn bind đúng địa chỉ 192.168.0.0 thì đó thường là địa chỉ mạng, không phải địa chỉ card hợp lệ.

Đáp án đúng: "NTP". Kerberos dựa vào dấu thời gian trong vé và giới hạn độ lệch giữa đồng hồ máy khách, máy chủ và KDC; đồng bộ thời gian qua NTP giúp xác thực không bị từ chối vì đồng hồ lệch. "ping" kiểm tra khả năng kết nối IP, không đồng bộ thời gian. "trace" dò đường đi mạng, không cung cấp thời gian đáng tin cậy. "ARP" ánh xạ địa chỉ IP và MAC trong mạng cục bộ. "All of the above" không đúng vì các giao thức này không thay thế dịch vụ đồng bộ thời gian.

Đáp án đúng: "user". Trong cấu hình Samba kiểu PDC cổ điển, security = user xác thực tài khoản ở chế độ cấp người dùng; vai trò PDC được tạo thêm bằng các thiết lập domain logons và thông tin tương ứng. "domain" thường chỉ chế độ thành viên máy chủ trong Windows domain, không phải giá trị để Samba tự làm PDC cổ điển. "server" là chế độ bảo mật cũ chuyển tiếp xác thực sang máy chủ khác. "ads" dùng tích hợp Active Directory như thành viên miền, không thiết lập máy chủ PDC.

Đáp án đúng: "They are suited for mission-critical servers with support for quick patching and updates". Kế hoạch phần mềm có hỗ trợ nhà cung cấp thường đem lại chu kỳ cập nhật được quản lý, thông báo bảo mật và kênh hỗ trợ nhanh, phù hợp hệ thống quan trọng cần giảm thời gian xử lý lỗ hổng. Chi phí và phạm vi hỗ trợ tùy gói, nên vẫn cần đánh giá nhu cầu. "They provide unlimited software licenses" không phải lợi ích mặc định; giấy phép phụ thuộc điều khoản sản phẩm. "They require extensive Linux system administration knowledge" không phải ưu điểm của hỗ trợ, dù quản trị viên vẫn cần năng lực vận hành. "They are cheaper than community-supported plans" không thể khẳng định chung vì dịch vụ thương mại có thể phát sinh phí.