ATTT_91011

Tại sao cơ sở dữ liệu (CSDL) lại cần được bảo mật đặc biệt?

• Vì CSDL chứa lượng lớn thông tin nhạy cảm (khách hàng, tài chính, nhân sự) và có thể là mục tiêu của tin tặc.

• Vì CSDL hoạt động trên phần cứng yếu kém.

• Vì CSDL không có người dùng truy cập.

• Vì CSDL chỉ chứa dữ liệu công khai.

Chương trình độc hại “SQL injection” là gì?

• Kẻ tấn công chèn các câu lệnh SQL độc hại vào yêu cầu của ứng dụng web để đọc hoặc sửa dữ liệu

• Tạo thêm mã SQL để tăng tốc cơ sở dữ liệu

• Gửi email chứa mã độc vào địa chỉ của quản trị viên cơ sở dữ liệu

• Xóa toàn bộ SQL Server

Tấn công suy luận (inference attack) trong cơ sở dữ liệu hiểu là gì?

• Lấy thông tin gián tiếp bằng cách tổng hợp các dữ liệu hợp pháp (ví dụ truy vấn trích lọc) để suy ra thông tin nhạy cảm.

• Sử dụng khẩu súng định lượng số để phá khóa dữ liệu.

• Trực tiếp tấn công vào kernel của máy chủ cơ sở dữ liệu.

• Không thể xảy ra nếu sử dụng SQL

SQL injection có thể làm ảnh hưởng đến tính chất nào của cơ sở dữ liệu?

• Cả tính bảo mật (confidentiality) và tính toàn vẹn (integrity).

• Chỉ tính sẵn sàng (availability).

• Chỉ tính tái sử dụng (usability).

• Chỉ tính xác thực (authentication).

Trong bảo mật cơ sở dữ liệu, mục tiêu CIA gồm những gì?

• Tính bảo mật, tính toàn vẹn, tính sẵn sàng của dữ liệu

• Tính công khai, tính toàn vẹn, tính bền vững

• Tính bảo mật, khả năng kiểm toán, tính khả dụng

• Tính chính xác, tính bảo mật, tính nhanh chóng

Khi nói đến cơ sở dữ liệu, tại sao nên tách tài khoản người dùng và tài khoản ứng dụng?

• Để giới hạn quyền hạn của ứng dụng và giảm thiểu rủi ro nếu ứng dụng bị tấn công (ví dụ SQL injection)

• Để giảm số lượng mật khẩu người dùng phải nhớ

• Để tất cả người dùng c

tài khoản ứng dụng?

• Để giới hạn quyền hạn của ứng dụng và giảm thiểu rủi ro nếu ứng dụng bị tấn công (ví dụ SQL injection)

• Để giảm số lượng mật khẩu người dùng phải nhớ

• Để tất cả người dùng có thể truy cập cùng dữ liệu

• Không cần thiết và làm phức tạp hệ thống

Thành phần nào KHÔNG phải là yếu tố cần được bảo vệ trong một hệ thống cơ sở dữ liệu an toàn?

• Dữ liệu bên trong cơ sở dữ liệu (data)

• Hệ quản trị cơ sở dữ liệu (DBMS)

• Ứng dụng liên kết (application) truy cập cơ sở dữ liệu

• Nguồn điện cấp cho máy chủ

Để kiểm tra và giám sát hoạt động trong cơ sở dữ liệu, ta thường sử dụng gì?

• Nhật ký (logs) ghi lại các truy vấn và phiên làm việc

• Tường lửa ứng dụng

• Sao lưu hàng tuần

• Phần cứng mã hóa

Quyền truy cập nào thích hợp để ngăn chặn tấn công SQL injection?

• Sử dụng câu lệnh SQL đã được chuẩn bị trước (prepared statements) và truy vấn có tham số

• Tắt tất cả tài khoản trên hệ thống

• Lưu mật khẩu ở dạng văn bản thuần (plain text)

• Sử dụng mật khẩu rất đơn giản