Câu hỏi: OSP201 Hệ thống nguồn mở và quản trị mạng – Bộ ôn tập thi lại số 2

Đáp án đúng: "Snort". Snort phân tích gói và luồng lưu lượng để so khớp chữ ký hoặc phát hiện hành vi bất thường, hỗ trợ phát hiện xâm nhập mạng. "SELinux" kiểm soát truy cập bắt buộc trên máy Linux, không phân tích lưu lượng mạng như IDS. "Kismet" chủ yếu dò và giám sát mạng không dây, không phải lựa chọn IDS mạng tổng quát được mô tả. "Nessus" quét lỗ hổng và cấu hình yếu của hệ thống, khác với việc phát hiện xâm nhập bằng cách phân tích traffic liên tục.

Đáp án đúng: "To avoid potential downtime on the production system". Thử bản cập nhật trên hệ thống không sản xuất giúp phát hiện xung đột, lỗi cấu hình hoặc vấn đề tương thích trước khi ảnh hưởng dịch vụ thật. "To train users on the new updates" có thể hữu ích khi thay đổi quy trình, nhưng không phải lý do chính của môi trường thử nghiệm kỹ thuật. "To improve the update's graphical interface" không liên quan mục tiêu kiểm thử gói hệ thống. "To generate additional documentation" có thể là sản phẩm phụ của quy trình, không phải lý do cốt lõi để thử trước.

Đáp án đúng: "Cryptographic API". Câu hỏi yêu cầu lựa chọn không liên quan MAC. Cryptographic API cung cấp thuật toán và giao diện mật mã trong kernel, không thiết lập quy tắc truy cập chủ thể-tài nguyên. "SELinux" gắn nhãn và áp chính sách truy cập bắt buộc. "TOMOYO" là framework MAC cho Linux dựa trên chính sách đường dẫn. "AppArmor" giới hạn chương trình theo profile, cũng thuộc nhóm MAC. Những cơ chế này kiểm soát hành động của tiến trình theo chính sách, bổ sung cho quyền DAC truyền thống của chủ sở hữu tệp.

Đáp án đúng: "ps". Lệnh ps chụp danh sách tiến trình tại thời điểm chạy, kèm các trường như PID, trạng thái, người dùng hoặc dòng lệnh tùy tùy chọn; đầu ra mặc định có phạm vi giới hạn, còn ps aux hoặc ps -ef thường dùng để xem rộng hơn. "top" cũng hiển thị tiến trình và làm mới liên tục theo thời gian, nên phù hợp giám sát tương tác hơn là lệnh chụp danh sách tĩnh được hỏi. "strace" theo dõi lời gọi hệ thống của tiến trình, không phải công cụ liệt kê tổng quát. "lsof" liệt kê tệp đang mở và liên kết tiến trình với chúng, không tạo snapshot danh sách tiến trình như ps.

Đáp án đúng: "Keeping all systems updated with the latest security patches". Baseline là cấu hình chuẩn dùng để giữ nhiều máy ở trạng thái an toàn nhất quán; theo thời gian, bản vá mới phải được kiểm tra và triển khai mà không làm các máy lệch khỏi chuẩn đã duyệt. Quản lý quyền cũng là một thách thức thực tế, nhưng căn cứ đã chốt chọn cập nhật bản vá và cần nêu rằng câu không giới hạn phạm vi thách thức. "Ensuring all systems have the same hardware specifications" không cần thiết để giữ cấu hình phần mềm; "Reducing network bandwidth usage" không phải mục tiêu baseline; "Improving user interface consistency" không phải trọng tâm an ninh; "Managing user permissions across systems" cũng quan trọng nhưng không phải đáp án đã chọn.

Đáp án đúng: "Unverified patches can introduce stability issues, security vulnerabilities, or break compatibility with existing hardware.". Kernel patch tác động vào phần lõi hệ điều hành, nên kiểm thử trước giúp phát hiện lỗi khởi động, lỗi ổn định, lỗ hổng mới hoặc driver không tương thích trước khi ảnh hưởng máy sản xuất. "Custom patches can inadvertently disable all networking services." là một khả năng cụ thể nhưng nói quá tuyệt đối; kiểm thử nhằm kiểm tra nhiều dạng rủi ro hơn. "Custom patches are often incompatible with standard user-space applications." có thể xảy ra nếu thay đổi giao diện kernel, nhưng không phải mọi patch đều gây vấn đề đó. "Patches often decrease the overall performance of the system if not properly configured." có thể ảnh hưởng hiệu năng nhưng không bao quát rủi ro ổn định, bảo mật và phần cứng.

Đáp án đúng: "chmod". Lệnh chmod thay đổi mode bit đọc, ghi và thực thi trên tệp hoặc thư mục; quyền có thể biểu diễn bằng số bát phân hoặc ký hiệu. "usermod" sửa thuộc tính tài khoản người dùng. "chown" đổi chủ sở hữu tệp, không đặt bộ quyền. "chgrp" đổi nhóm sở hữu; dù cả chủ và nhóm ảnh hưởng truy cập, lệnh này không thay quyền đọc/ghi/thực thi. Sau khi cấp quyền phù hợp, cần kiểm tra chủ sở hữu, nhóm và ACL để bảo đảm quyền hiệu lực đúng với mục tiêu bảo vệ dữ liệu.

Đáp án đúng gồm hai ý: "lpadmin" và "sys". Nhóm lpadmin là nhóm quen thuộc để quản trị máy in qua CUPS; cấu hình CUPS được viện dẫn cũng cho phép nhóm sys đảm nhiệm quyền quản trị máy in. Quyền thực tế do cấu hình chính sách của hệ thống quyết định, vì vậy không nên suy rộng tên nhóm thành quyền mặc định trên mọi bản phân phối. "admin" có thể được cấp quyền quản trị rộng hoặc được ánh xạ tới quyền in trong một số cấu hình, nhưng không phải nhóm được chọn theo cấu hình đang xét. "adm" thường cho phép đọc một số nhật ký hệ thống, không đồng nghĩa quyền quản trị máy in.

Đáp án đúng: "chage". chage quản lý thông tin lão hóa mật khẩu như ngày hết hạn, thời gian tối thiểu giữa các lần đổi và số ngày tối đa; thông tin này được phản ánh trong dữ liệu tài khoản, thường gồm /etc/shadow. Cần dùng quyền quản trị khi sửa tài khoản khác. "passwd" đổi mật khẩu và có thể mở khóa hoặc khóa tài khoản, nhưng không phải tiện ích chuyên chỉnh toàn bộ chính sách tuổi mật khẩu. "useradd" tạo tài khoản mới và thiết lập một số mặc định, không dùng làm công cụ thường ngày để sửa hết hạn của người dùng hiện có. "usermod" sửa nhiều thuộc tính tài khoản, nhưng lão hóa mật khẩu được quản lý trực tiếp bằng chage.

Đáp án đúng: "Network File System, used for enabling file sharing across network systems". NFS là Network File System, giao thức cho phép máy khách truy cập tệp và thư mục được chia sẻ qua mạng như tài nguyên từ xa. Quyền truy cập vẫn cần cấu hình đúng ở máy chủ, danh tính UID/GID và quyền hệ thống tệp. "Network File Service, used for network optimization" gọi sai tên và chức năng; "Network Functionality Service, used for enhancing system services" không phải tên viết tắt NFS; "None of the above" không đúng vì một lựa chọn đã nêu đúng tên mở rộng và mục đích chính.

Đáp án đúng: "id". Lệnh id hiển thị UID, GID chính và các nhóm bổ sung của người dùng hoặc tiến trình hiện tại, giúp kiểm tra danh tính hiệu lực và quyền nhóm. "whoami" chỉ cho biết tên người dùng hiệu lực, không liệt kê UID/GID và các nhóm. "groups" liệt kê nhóm mà người dùng thuộc về nhưng không cung cấp đầy đủ UID và GID chính. "su" chuyển sang tài khoản khác nếu được phép; nó không phải lệnh truy vấn danh tính hiện tại.

Đáp án đúng: "To log and filter incoming network connections.". TCP Wrappers kiểm soát truy cập dịch vụ dựa trên địa chỉ máy khách qua quy tắc hosts.allow và hosts.deny, đồng thời có thể ghi nhận kết nối. "To encrypt network communications." không đúng vì TCP Wrappers không mã hóa dữ liệu; cần TLS hoặc VPN. "To optimize network performance by reducing latency." không phải mục tiêu của bộ lọc truy cập. "To monitor file system usage." thuộc công cụ quota, audit hoặc giám sát filesystem, không thuộc TCP Wrappers.

Đáp án đúng: "Install the latest kernel version". Meta package thường không chứa kernel thực mà phụ thuộc vào gói kernel phiên bản mới nhất trong một nhánh; cài hoặc nâng cấp meta package sẽ kéo phiên bản phù hợp theo sau. "Store kernel logs" thuộc hệ thống nhật ký như journal hoặc /var/log. "Build custom kernels" cần công cụ biên dịch và mã nguồn, không phải chức năng meta package. "Compile source code" là nhiệm vụ của compiler/build system; meta package chủ yếu gom phụ thuộc.

Đáp án đúng gồm hai ý: "exit" và "logout". Khi nhập một trong hai lệnh này trong shell đang chạy trên máy từ xa, shell kết thúc và phiên SSH bị ngắt. "kill" gửi tín hiệu tới tiến trình theo PID hoặc tên; bản thân nó không phải lệnh thoát shell được hỏi. "disconnect" không phải lệnh shell chuẩn để kết thúc phiên đăng nhập từ xa. Có thể nhấn Ctrl-D để đạt kết quả tương tự, nhưng đây không phải một trong các phương án được hỏi. Lệnh cần gõ ở shell từ xa, không chạy dưới dạng ssh exit từ máy cục bộ.

Đáp án đúng: "apt-get update". Trên Ubuntu, apt-get update làm mới chỉ mục gói từ các kho đã cấu hình; lệnh này chưa cài bản nâng cấp. Muốn nâng cấp gói cần chạy lệnh upgrade phù hợp sau khi cập nhật chỉ mục. "yum update" là lệnh thuộc họ quản lý gói RPM thường dùng trên Fedora/RHEL, không phải công cụ chuẩn Ubuntu; "rpm update" không phải lệnh cập nhật gói Ubuntu; "make install" cài phần mềm được biên dịch từ mã nguồn và không đồng bộ danh sách kho APT.

Đáp án đúng: "Deny all incoming and outgoing traffic by default, then allow specific services.". Chính sách mặc định từ chối rồi chỉ cho phép lưu lượng thực sự cần dùng tuân theo nguyên tắc đặc quyền tối thiểu, giảm cổng và kết nối phơi ra ngoài. "Allow all incoming and outgoing traffic." loại bỏ tác dụng kiểm soát của tường lửa. "Deny all incoming and outgoing traffic by default, allow all outgoing traffic." vẫn cho mọi ứng dụng kết nối ra ngoài, nên không giới hạn outbound như chính sách tối thiểu yêu cầu. "Allow incoming traffic and deny outgoing traffic by default." mở rộng truy cập từ bên ngoài và không phải thiết lập mặc định an toàn.

Đáp án đúng: "It acts as a centralized server that issues TGTs and service tickets for users.". Key Distribution Center (KDC) là thành phần trung tâm của Kerberos, gồm dịch vụ xác thực và cấp vé dịch vụ; người dùng dùng Ticket Granting Ticket (TGT) để xin vé truy cập dịch vụ. "It stores and manages encryption keys for end-to-end communication." mô tả không chính xác vai trò KDC như kho khóa mã hóa toàn bộ liên lạc đầu cuối. "It provides logging and monitoring for Kerberos ticket usage." không phải chức năng cấp vé cốt lõi. "It acts as a firewall, controlling access to critical network services." nhầm xác thực dựa trên vé với lọc lưu lượng mạng.

Đáp án đúng: "NTP". Kerberos kiểm tra dấu thời gian trong vé và giới hạn chênh lệch đồng hồ giữa máy khách, máy chủ và KDC; NTP giúp đồng bộ thời gian để vé không bị từ chối. "Telnet" là giao thức terminal từ xa không an toàn, không bắt buộc cho Kerberos. "NFS" có thể tích hợp xác thực Kerberos nhưng bản thân không cần thiết để Kerberos hoạt động. "Samba" cũng có thể dùng Kerberos trong môi trường miền, nhưng không phải dịch vụ nền tảng bắt buộc.

Đáp án đúng: "Ensuring that the Kerberos client configuration file (/etc/krb5.conf) includes the correct Kerberos server realm and KDC (Key Distribution Center) information.". Máy khách cần biết realm đang xác thực và địa chỉ KDC để yêu cầu vé Kerberos; cấu hình sai tên realm hoặc máy chủ sẽ khiến quá trình xác thực không tìm được dịch vụ phù hợp. Phân giải tên và đồng bộ thời gian cũng quan trọng, nhưng cấu hình realm/KDC là bước cốt lõi được hỏi. "Configuring the Kerberos client to use a static IP address" không bắt buộc nếu DNS hoặc cơ chế phân giải khác hoạt động chính xác. "Adding the Kerberos server’s hostname and IP address to the /etc/hosts file" có thể giúp phân giải tên khi cần, nhưng không thay thế khai báo realm và KDC. "Setting up a dedicated firewall rule to allow all incoming traffic on port 88" mở quá rộng và không phải cấu hình phía client cần có; Kerberos cần luồng phù hợp, không phải mọi lưu lượng vào.

Đáp án đúng: "The creation of Security-Enhanced Linux (SELinux)". SELinux bắt nguồn từ công trình nghiên cứu an ninh của NSA, sau đó được phát triển thành cơ chế kiểm soát truy cập bắt buộc cho Linux; chính sách có thể giới hạn tiến trình vượt ra ngoài quyền Unix thông thường. "The development of kernel-based encryption" không mô tả đóng góp nổi bật được hỏi; "The introduction of real-time intrusion detection systems" không phải nguồn gốc SELinux; "The implementation of sandboxing techniques" là mô tả rộng về kỹ thuật cô lập, không phải câu trả lời cụ thể về dự án NSA.