Câu hỏi ôn tập An toàn Cơ sở dũ liệu có đáp án

CHƯƠNG 1: TỔNG QUAN VỀ AN TỒN THƠNG TIN TRONG CƠ SỞ DỮ LIỆU Câu 1: Các mối đe dọa đến với CSDL gì? Nêu đặc điểm hệ thống dựa multilevel security Câu 2: Tìm hiểu cấu hình xử lý CSDL (CSDL tập trung, phân tán, client/server) Các cấu hình áp dụng thực tế Câu 3: Các bước thiết kế CSDL Học viết xác câu lệnh SQL trình thiết kế CSDL Câu 4: Khi cần thiết kế CSDL an toàn phải đưa giải pháp an tồn cho tốn Câu 5: Trình bày SQL Các câu lệnh SQL Câu 6: Các yêu cầu bảo vệ CSDL 10 Câu 7: Một số phương pháp đảm bảo tính tồn vẹn liệu (được tích hợp sẵn DBMS) 12 Câu 8: Tìm hiểu transaction Quá trình thực transaction 12 CHƯƠNG 2: CÁC MƠ HÌNH VÀ CHÍNH SÁCH AN TOÀN 13 Câu 9: Đặc điểm kiểm soát truy nhập MAC DAC sở liệu Nêu khác chúng Ứng dụng sách thực tế nào? 13 Câu 10: Thế mơ hình an tồn? Sự khác mơ hình an tồn sách an tồn? Tìm hiểu mơ hình an tồn Bell Lapadula 15 Câu 11: Một số phương pháp bảo vệ CSDL hệ quản trị Oracle 16 Câu 12: Trình bày lớp người dùng hệ thống an tồn CSDL vai trò họ 18 Câu 13: Trình bày việc gán thu hồi quyền MAC, DAC 18 Câu 14: Trình bày mơ hình RBAC 18 Câu 15: Trình bày mơ hình system – R Đặc biệt ý vấn đề thu hồi quyền đệ quy không đệ quy 19 Câu 16: Nêu ví dụ đặc quyền hệ thống (system prilvilege) đặc quyền đối tượng (object privilega) Viết câu lệnh SQL cho ví dụ Nêu khác admin option grant option Ví dụ câu lệnh SQL 21 CHƯƠNG 3: AN TOÀN TRONG HỆ QUẢN TRỊ CƠ SỞ DỮ LIỆU 22 Câu 17: tìm hiểu đặc điểm kiến thức chủ thể tin cậy (trusted subject) kiến thức Intergrity Lock Đặc biệt ý kiến trúc Intergrity 22 CHƯƠNG 4: AN TOÀN ỨNG DỤNG 24 Câu 18: Tìm hiểu kỹ thuật SQL Injection 24 CHƯƠNG 5: CƠ SỞ DỮ LIỆU THỐNG KÊ (SDB) 24 Câu 19: Cơ sở liệu thống kê gì? Viết câu lệnh SQL cho thống kê Ứng dụng thực tế? Các dạng biểu diễn 24 Câu 20: Tìm hiểu khái niệm sở liệu thống kê 25 Câu 21: Thế thống kê nhạy cảm? Cho ví dụ Working knowledge sumplementary knowledge? 26 Câu 22: Nêu cách thức công công dựa vào trình theo dõi, cơng dựa vào hệ tuyến tính Cho ví dụ 27 Câu 23: Các kỹ thuật chống suy diễn sở liệu thống kê Nêu ưu, nhược điểm phương pháp 28 Câu 24:Tại phải bảo vệ CSDL Những vấn đề cần giải mã hóa CSDL Nhận xét so với phương pháp bảo vệ khác 33 Câu 25: Địa rào Ưu- nhược điểm 34 Câu 26: Tái định vị? Tái định vị động – tĩnh thực thời điểm 36 Câu 27:Tìm hiểu chế phân trang, phân đoạn so sánh (vẽ hình) Thế phân mảnh nội vi, phân mảnh ngoại vi Ví dụ 36 Câu 28: So sánh hệ thống HIDS(máy trạm) NIDS(mạng) 38 Câu 29:Trình bày mơ hình phát xâm nhập IDS Nêu ưu-nhược điểm mơ hình Cho ví dụ 39 CHƯƠNG 1: TỔNG QUAN VỀ AN TỒN THƠNG TIN TRONG CƠ SỞ DỮ LIỆU Câu 1: Các mối đe dọa đến với CSDL gì? Nêu đặc điểm hệ thống dựa multilevel security  Các mối đe dọa đến với CSDL hiểm họa xác định đối phương sử dụng kỹ thuật đặc biệt để tiếp cận nhằm khám phá, sửa đổi trái phép thông tin quan trọng hệ thống quản lý o Những mối đe dọa xuất phát từ nhiều nguyên nhân: ngẫu nhiên hay có chủ ý o Xâm phạm : đọc, sửa, xóa liệu trái phép  Khai thác trái phép thông qua suy diễn thông tin phép  Sửa đổi liệu trái phép  Từ chối dịch vụ hợp phép ( DoS) o Hiểm họa ngẫu nhiên:  Các thảm họa thiên nhiên  Các lỗi phần cứng hay phần mềm dẫn đến việc áp dụng sách an tồn thơng tin khơng  Các sai phạm vô ý người gây o Hiểm họa có chủ ý:  Người dùng hợp pháp: lạm quyền, sử dụng vượt mức quyền hạn cho phép  Người dùng truy nhập thông tin trái phép, người ngồi tổ chức bên tổ chức: công, phá hoại, leo thang đặc quyền  Đặc điểm hệ thống dựa multilevel security: o Là hệ thống an toàn nhiều mức, chủ thể đối tượng gán nhãn an toàn thể mức độ nhạy cảm chủ thể đối tượng o Mục đích: đảm bảo tính bí mật Thường áp dụng lĩnh vực quân o Cơ sở liệu đa mức: sở liệu mà người dùng liệu chia thành mức an toàn khác o Chủ thể truy cập bị giới hạn điều khiển truy nhập bắt buộc “not read up, not write down” theo mơ hình Bell Lapadula Câu 2: Tìm hiểu cấu hình xử lý CSDL (CSDL tập trung, phân tán, client/server) Các cấu hình áp dụng thực tế  Có thành phần mơ hình xử lý CSDL: ứng dụng, hệ quản trị CSDL (DBMS), sở liệu  Có mơ hình:  Mơ hình CSDL tập trung  Mơ hình CSDL phân tán  Mơ hình CSDL Client/Server  Mơ hình CSDL tập trung: thành phần ứng dụng, DBMS, DB nằm chung máy o Ưu điểm: xử lý nhanh, dễ dàng, khơng tốn chi phí o Nhược điểm: khơng lưu trữ nhiều; máy hỏng tồn liệu; khơng lưu trữ có nhiều dự án o Áp dụng cho cá nhân, tổ chức nhỏ, liệu o Mơ hình: Application DBMS DB  Mơ hình CSDL phân tán: Bao gồm server kế nối tới nhiều máy tính Mỗi máy tính chứa DB riêng có DBMS Khi máy chủ cần truy xuất liệu, gọi đến máy tính con, u cầu cần trình đồng liệu o Ưu điểm: lưu trữ nhiều; máy hỏng liệu khơng bị mất; lưu trữ nhiều địa điểm khác o Nhược điểm: chi phí cao, khó quản lý o Mơ hình áp dụng phù hợp cho cơng ty có nhiều chi nhánh khác o Mơ hình:  Mơ hình CSDL client/server: bao gồm máy chủ server máy trạm Dữ liệu hệ quản trị sở liệu nằm máy chủ, thành phần ứng dụng làm client o Ưu điểm: xử lý nhanh, truy xuất liệu từ xa o Nhược điểm: server sập tồn liệu bị o Mơ hình: Câu 3: Các bước thiết kế CSDL Học viết xác câu lệnh SQL trình thiết kế CSDL  Các bước thiết kế CSDL: o Bước 1: đặc tả vấn đề  Phân tích đặc tả để xác định liệu yêu cầu mối liên quan chúng để xây dựng mơ hình thực thể kết hợp o Bước 2: Mơ hình thực kết hợp (ER)  Áp dụng quy tắc biến đổi thực thể kết hợp thành CSDL o Bước 3: Lược đồ CSDL (bảng mối quan hệ)  Các thành phần mơ hình ER: o Thực thể, tập thực thể, loại thực thể o Thuộc tính o Mối quan hệ, loại mối quan hệ, số mối quan hệ  Thực thể: danh từ biểu diễn = hcn  Loại thực thể: khái niệm thực thể giống nhau, có chung số thuộc tính, biểu diễn hình gạch chân  Loại thuộc tính: quan trọng thuộc tính khóa  Mối quan hệ: thể liên hệ thực thể, biểu diễn  Bản số mối quan hệ: 1:1, 1:N, N:N -> biểu thị số thực thể tối thiểu tối đa xuất ứng với thực thể bên  Xây dựng mơ hình ER :  Biến đổi từ ER sang mơ hình quan hệ  Một số câu lệnh SQL trình thiết kế CSDL: o Tạo bảng ( Creat) Creat table NhanVien( MaNV int notnull, TenNV varchar(100), DiaChi varchar(100), ); o Lệnh ALTER (thay đổi) Alter table NhanVien ADD email varchar(30) o Lệnh DROP (xóa hồn tồn bảng liệu) DROP table NhanVien o Select ( chọn) Select * From NhanVien Where MaNV=01; o Insert ( thêm ghi ) Insert into NhanVien Values ( 02, ‘Nga’, ‘Ha Noi’); o Update (Cập nhật) Update NhanVien Set TenNV = ‘Lan’ Where MaNV = 02; o Delete: ( xóa liệu) Delete From NhanVien Where MaNV =01; Câu 4: Khi cần thiết kế CSDL an toàn phải đưa giải pháp an tồn cho tốn Có bước thiết kế CSDL an tồn: Phân tích sơ Các yêu cầu sách an tồn Thiết kế khái niệm Thiết kế lơgíc Thiết kế vật lý Bước Phân tích sơ Mục đích: nghiên cứu tính khả thi hệ thống an toàn Nội dung:+ Đánh giá rủi ro + Ước lượng chi phí thiết kế + Phát triển ứng dụng cụ thể xác định quyền ưu tiên chúng Rủi ro hệ thống: Là đe dọa đáng kể xảy CSDL: đọc sửa đổi trái phép liệu, từ chối dịch vụ Các đặc trưng môi trg CSDL: xem có bảo vệ đa mức hay k? - Khả ứng dụng sản phẩm an tồn có - Khả tích hợp chế phần cứng phần mềm thực tế - Hiệu đạt đc hệ thống an tồn - Phân tích sơ bộ: + Phân tích rủi ro co thể xảy đếnn với CSDL (tấn công, sửa đổi trái phép, công DoS, ) + Ứng dụng CSDL gì? + Ước lượng chi phí + Có bảo vệ đa mức không + Hệ quản trị lựa chọn gì? Bước Các u cầu sách an toàn Xuất phát từ tất đe dọa xảy với hệ thống Yêu cầu bảo vệ CSDL khác phụ thuộc vào: Tính nhạy cảm TT Tính tương quan dl Chia sẻ dl Độ chi tiết: mức hàng, mức cột, mức ô Kỹ thuật đc lựa chọn • Phân tích u cầu: + Phân tích giá trị : xác định mức nhạy cảm liệu + Nhận dạng đe doạ/phân tích điểm yếu +Phân tích đánh giá rủi ro: khả xảy biến cố không mong muốn tác động chúng + Xác định yêu cầu bảo vệ • Lựa chọn sách: + Chính sách quy tắc mức cao, bắt buộc phải tuân theo trình thiết kế, thực thi quản lý hệ thống an toàn + Định nghĩa chế độ truy nhập (đọc, ghi) chủ thể vào đối tượng hệ thống Tính bí mật, tính tồn vẹn, tính tin Chia sẻ tối đa đặc quyền tối thiểu Mức độ chi tiết kiểm sốt Các thuộc tính đc sd cho kiểm soát truy nhập Bước Thiết kế khái niệm: Xây dựng mơ hình E-R: Vẽ thực thể mối quan hệ thực thể Các đặc trưng mơ hình tồn khái niệm Biểu diễn ngữ nghĩa an tồn sở liệu: tính bí mật toàn vẹn mục liệu thể qua phạm vi thông tin mục Hỗ trợ việc phân tích luồng quyền, có nghĩa phân tích kết trao/thu hồi quyền Hỗ trợ người quản trị sở liệu Yêu cầu mơ hình an tồn khái niệm: Đầy đủ (complete):Mơ hình đáp ứng tất yêu cầu an toàn xác định ban đầu Nhất qn (consistent): đảm bảo u cầu khơng có xung đột hay dư thừa Bước Thiết kế lơgíc Xây dựng lược đồ sở liệu ( bảng thuộc tính chúng) Chuyển đổi từ mơ hình khái niệm sang mơ hình logic dựa DBMS cụ thể Sử dụng số kỹ thuật dựa vào câu truy vấn khung nhìn để kiểm sốt truy nhập Cần quan tâm chế mức OS chức mà gói an tồn đưa Bước Thiết kế lý - Thiết kế thật vào hệ thống - Trong giai đoạn người ta quan tâm đến chi tiết liên quan đến việc tổ chức lưu trữ chế độ thực hiện/tích hợp mơ hình Từ mơ hình logic, thiết kế chi tiết chế an toàn, bao gồm: Thiết kế cấu trúc vật lý Các quy tắc truy nhập Câu 5: Trình bày SQL Các câu lệnh SQL  SQL (Structured Query Language) ngôn ngữ truy vấn liệu: chuẩn ANSI (America National Standard Institute) truy xuất hệ thống CSDL  SQL cho phép truy cập CSDL thực thao tác : lấy liệu, chèn, xóa, sửa, … o Có thể thực thi câu lệnh SQL CSDL như: select, insert, update, delete… o SQL hoạt động hầu hết với chương trình CSDL MS Acsess, Oracle, SQL server, My SQL… o SQL có ngôn ngữ sau:  Ngôn ngữ định nghĩa liệu (DDL): ngơn ngữ máy tính để định nghĩa lược đồ CSDL ( creat, alter, drop table ( index- mục))  Ngôn ngữ thao tác liệu (DML): họ ngơn ngữ máy tính người dùng sử dụng để tìm kiếm, chèn, xóa, cập nhật liệu cho CSDL.(select, insert,update, delete)  Ngôn ngữ điều khiển liệu (DCL): sử dụng hai từ khóa GRANT, REVOKE  Ngơn ngữ hỏi (QL): câu lệnh Select DML  Các câu lệnh SQL” o Create table o Alter table o Drop table o Create index o Drop index o Select o Insert o Update o Delete Câu 6: Các yêu cầu bảo vệ CSDL Có 10 yêu cầu bảo vệ CSDL:  Bảo vệ chống truy nhập trái phép: o Chỉ trao quyền cho người dùng hợp pháp o Việc kiểm soát truy nhập cần tiến hành đối tượng liệu mức thấp file: ghi, thuộc tính, giá trị  Bảo vệ chống suy diễn: Suy diễn khả có thơng tin bí mật từ thơng tin khơng bí mật (cơng khai)  Bảo vệ tồn vẹn CSDL: o Bảo vệ sở liệu khỏ người dùng không hợp pháp, tránh sửa đổi nội dụng liệu trái phép o Hệ quản trị sở liệu kiểm soát ràng buộc liệu, thủ tục lưu, phục hồi, thủ tục an toàn đặc biệt, file nhật ký 10  Kiến thức làm việc (working knowledge): tập mực thông tin (field) giá trị thuộc tính SDB kiểu thống kê có sẵn SDB mà người dùng biết cách hợp lệ  Kiến thức bổ sung người sử dụng (sumplementary knowledge): người sử dụng có kiến thức bên ngồi cá nhân biểu diễn SDB Người dùng hồn tồn lợi dụng kiến thức cho mục đích xấu để suy diễn  Công thức đặc trưng: công thức logi, ký hiệu chữ viết hoa, giá trị thuộc tính kết hợp với thơng qua tốn tử boolean or, and, not  Tập truy vấn (query set) công thức đặc trưng C tập tất ghi thỏa mãn C Kí hiệu: X (C)  Thống kê C: câu truy vấn thống kê C Kí hiệu q (C) Ví dụ: count (C)  Khái niệm bậc: thống kê gồm m thuộc tính khác gọi thống kê bậc m  Thống kê nhạy cảm: thống kê tính tốn thuộc tính bí mật tập truy vấn có kích cỡ Câu 21: Thế thống kê nhạy cảm? Cho ví dụ Working knowledge sumplementary knowledge?  Thống kê nhạy cảm: o Là thống kê sử dụng để nhận dạng thơng tin bí mật cá nhân biểu diễn SDB o Là thống kê tính tốn thuộc tính bí mật tập truy vấn có kích cỡ  Ví dụ: COUNT(AGE >50) =1 =>SUM (Salary, AGE >50) thống kê nhạy cảm  Kiến thức làm việc (working knowledge): tập mục thông tin (field) giá trị thuộc tính SDB kiểu thống kê có sẵn SDB mà người dùng biết cách hơp lệ  Kiến thức bổ sung (sumplementary knowledge): người sử dụng có kiến thức bên cá nhân biểu diễn SDB Người dùng hồn tồn lợi dụng kiến thức cho mục đích xấu để suy diễn 26 Câu 22: Nêu cách thức công cơng dựa vào trình theo dõi, cơng dựa vào hệ tuyến tính Cho ví dụ  Tấn cơng dựa vào trình theo dõi(Tracker) o Trình theo dõi tập cơng thức đặc trưng, sử dụng để đưa thêm ghi vào tập truy vấn kích cỡ nhỏ, làm cho kích cỡ chúng nằm khoảng [k, N-k] o Thơng qua trình theo dõi tính tốn thống kê bị hạn chế o Giả sử C công thức đặc trưng người dùng yêu cầu o T trình theo dõi T thỏa mãn điều kiện: K