Từ viết tắt ASP Nhà cung cấp dịch vụ ứng dụng Application Service Provider ATM Phương thức truyền không đồng bộ Asynchronous Transfer Mode DHCP Giao thức cấu hình máy chủ động Dynamic Ho
Trang 1Công ty luật Minh Khuê www.luatminhkhue.vn
TIÊU CHUẨN QUỐC GIA TCVN 8051-2:2009 ISO/IEC 18028-2:2006
CÔNG NGHỆ THÔNG TIN - KỸ THUẬT AN NINH - AN NINH MẠNG IT - PHẦN 2: KIẾN TRÚC AN
NINH MẠNG
Information technology - Security techniques - IT network security - Part 2: Network security
architecture
Lời nói đầu
TCVN 8051-2:2009 hoàn toàn tương đương với ISO/IEC 18028-2:2006
TCVN 8051-2:2009 do Ban Kỹ thuật Tiêu chuẩn quốc gia TCVN/JTC 1 “Công nghệ thông tin” biên
soạn, Tổng cục Tiêu chuẩn Đo lường Chất lượng đề nghị, Bộ Khoa học và Công nghệ công bố
CÔNG NGHỆ THÔNG TIN - KỸ THUẬT AN NINH - AN NINH MẠNG IT - PHẦN 2: KIẾN TRÚC AN
NINH MẠNG
Information technology - Security techniques - IT network security - Part 2: Network security
architecture
1 Phạm vi áp dụng
Tiêu chuẩn này xác định kiến trúc an ninh mạng để cung cấp an ninh mạng đầu mút Kiến trúc này có thể được áp dụng cho nhiều loại mạng trong đó tập trung vào an ninh mạng đầu mút và không phụ thuộc vào công nghệ nền tảng của mạng Mục đích của tiêu chuẩn này là cung cấp cơ sở xây dựng các khuyến cáo chi tiết đối với an ninh mạng đầu mút
2 Tài liệu viện dẫn
Các tài liệu viện dẫn sau là rất cần thiết cho việc áp dụng tiêu chuẩn này Đối với các tài liệu viện dẫn ghi năm ban hành thì áp dụng bản được nêu Đối với các tài liệu viện dẫn không ghi năm ban hành thì
áp dụng phiên bản mới nhất, bao gồm cả các sửa đổi
ISO 7498-2:1989, Information processing systems - Open Systems Interconnection - Basic Reference
Model - Part 2: Security Architecture (Hệ thống xử lý thông tin - Liên kết nối hệ thống mở - mô hình tham chiếu cơ bản - Phần 2: Kiến trúc an ninh);
Khuyến cáo X800 (1991) của CCITT, Security architecture for Open Systems - Interconnection for
CCITT applications (Kiến trúc an ninh của các hệ thống mở - Liên kết nối đối với các ứng dụng CCITT).
3 Thuật ngữ và định nghĩa
Tiêu chuẩn này áp dụng các thuật ngữ đã định nghĩa trong ISO 7498-2:1989 và khuyến cáo
Rec.X.800 của CCITT sau đây:
3.1 Kiểm soát truy cập (access control)
Việc ngăn ngừa sử dụng trái phép tài nguyên, bao gồm cả việc ngăn ngừa sử dụng tài nguyên theo cách trái phép
3.2 Xác thực nguồn gốc dữ liệu (data origin authentication)
Chứng thực rằng nguồn dữ liệu nhận được theo đúng yêu cầu
3.3 Xác thực thực thể ngang hàng (peer-entity authentication)
Chứng thực rằng thực thể ngang hàng trong một liên kết là thực thể yêu cầu
3.4 Tính sẵn có (availability)
Đặc tính có thể truy cập và sử dụng theo nhu cầu bởi thực thể cho phép
3.5 Tính bảo mật (confidentiality)
Đặc tính mà thông tin không sẵn dùng hoặc không bị lộ đối với các cá nhân, thực thể hoặc quá trình trái phép
3.6 Tính toàn vẹn dữ liệu (data integrity)
Trang 2Công ty luật Minh Khuê www.luatminhkhue.vn
Đặc tính mà dữ liệu không bị thay đổi hoặc phá hoại theo cách trái phép
3.7 Không từ chối cùng với bằng chứng về nguồn gốc (non-repudiation with proof of origin)
Dịch vụ an ninh trong đó người nhận dữ liệu được đưa ra chứng minh về nguồn gốc của dữ liệu đó CHÚ THÍCH 1: Dịch vụ này bảo vệ chống lại mọi sự cố gắng giả dối của người gửi phủ nhận việc gửi
dữ liệu hoặc nội dung dữ liệu đó
CHÚ THÍCH 2: Phù hợp với ISO 7498-2 và khuyến cáo Rec.X.800 của CCITT
3.8 Không từ chối cùng với bằng chứng về phân phát (non-repudiation with proof of delivery)
Dịch vụ an ninh trong đó người gửi dữ liệu được đưa ra chứng minh về việc phân phát dữ liệu đó CHÚ THÍCH 1: Dịch vụ này bảo vệ chống lại mọi sự cố gắng giả dối của người nhận phủ nhận việc nhận dữ liệu hoặc nội dung dữ liệu đó
CHÚ THÍCH 2: Phù hợp với ISO 7498-2 và khuyến cáo Rec X.800 của CCITT
3.9 Tính bí mật (privacy)
Quyền của các cá nhân để kiểm soát hoặc tác động đối với thông tin có thể được thu thập và lưu trữ bởi hoặc cho người khác mà thông tin có thể bị lộ
4 Từ viết tắt
ASP Nhà cung cấp dịch vụ ứng dụng (Application Service Provider)
ATM Phương thức truyền không đồng bộ (Asynchronous Transfer Mode)
DHCP Giao thức cấu hình máy chủ động (Dynamic Host Configuration Protocol)
DS-3 Tín hiệu mức số 3 (Digital Signal level 3)
IPsec Giao thức an ninh IP (IP Security protocol)
MD5 Bản tóm lược thông điệp phiên bản 5 (Message Digest Version 5)
OAM&P Cung cấp và duy trì quản trị điều hành (Operations Administration Maintenance and
Provisioning)
OSI Liên kết nối các hệ thống mở (Open Systems Interconnection)
PSTN Mạng điện thoại chuyển mạch công cộng (Public Switched Telephone Network)
PVC Mạch ảo vĩnh cửu (Permanent Virtual Circuit)
SHA-1 Thuật toán băm an toàn (Secure Hash Algorithm)
SIP Giao thức khởi tạo phiên (Session Initiation Protocol)
SMTP Giao thức truyền thư tin đơn giản (Simple Mail Transfer Protocol)
SONET Mạng quang đồng bộ (Synchronous Optical Network)
SS7 Hệ thống tín hiệu #7 (Signalling System #7)
SSL Lớp ổ cắm an toàn (mã hóa và giao thức xác thực) (Secure Socket Layer (encryption
and authentication protocol))
TLS An ninh tầng chuyển vận (mã hóa và giao thức xác thực) (Transport Layer Security
(encryption and authentication protocol))
VLAN Mạng cục bộ ảo (Virtual Local Area Network)
5 Kiến trúc tham chiếu an ninh mạng
Kiến trúc tham chiếu được tạo ra để hướng vào các thách thức an ninh toàn cầu của nhà cung cấp dịch vụ, doanh nghiệp, khách hàng và có thể ứng dụng cho các mạng hội tụ, dữ liệu, thoại thông qua đường dây, cáp quang hoặc không dây Trong nội dung của tiêu chuẩn này từ “tham chiếu” kết hợp với từ “kiến trúc” được sử dụng để truyền đạt đặc tả thể hiện ví dụ về kiến trúc an ninh mức cao được
sử dụng như cơ sở thiết kế hơn là các giải pháp an ninh chi tiết của các mạng khác nhau Kiến trúc tham chiếu này hướng vào các vấn đề an ninh đối với quản lý, kiểm soát và sử dụng hạ tầng, dịch vụ
và ứng dụng mạng Kiến trúc tham chiếu này đưa ra một viễn cảnh an ninh mạng đầu mút toàn diện,
từ trên xuống (top-down), và có thể áp dụng cho các phần tử, dịch vụ và ứng dụng mạng để dự báo, phát hiện và sửa chữa các điểm yếu an ninh
Trang 3Công ty luật Minh Khuê www.luatminhkhue.vn
Về mặt logic, kiến trúc tham chiếu này phân chia bộ phức tạp các đặc tính liên quan đến an ninh mạng đầu mút thành các thành phần kiến trúc riêng biệt một cách hợp lý Sự phân tách này cho phép một cách tiếp cận hệ thống đối với an ninh đầu mút mà có thể sử dụng cho việc lập kế hoạch các giải pháp an ninh mới cũng như việc đánh giá an ninh của mạng hiện tại
Kiến trúc tham chiếu hướng vào các nhu cầu an ninh mạng bao hàm các câu hỏi cần thiết sau đây:
1 Loại thông tin nào cần được bảo vệ?
2 Rủi ro an ninh nào và loại bảo vệ nào cần để quản lý rủi ro?
3 Kiểu hoạt động mạng phân biệt nào cần được bảo vệ?
4 Kiểu thiết bị và nhóm phương tiện mạng phân biệt nào cần được bảo vệ?
Đánh giá rủi ro nên chỉ dẫn các yêu cầu bảo vệ ưu tiên và giúp xác định biện pháp an ninh thích hợp đối với kiến trúc an ninh
Các câu hỏi trên được đưa ra thông qua ba thành phần kiến trúc là: Kích thước an ninh, mặt phẳng
an ninh và tầng an ninh
Các nguyên tắc được mô tả bởi kiến trúc tham chiếu đa khía cạnh này có thể được áp dụng rộng rãi cho nhiều mạng khác nhau độc lập với công nghệ hoặc vị trí của mạng trong ngăn xếp giao thức Các điều tiếp theo mô tả chi tiết các phần tử cấu trúc và chức năng của chúng đối với các mối đe dọa
an ninh chính
6 Kích thước an ninh
Thông thường, trong quá trình quản lý rủi ro, các biện pháp an ninh thích hợp được định danh để quản lý hoặc giảm bớt các rủi ro được đánh giá Kích thước an ninh đưa ra việc nhóm các biện pháp
an ninh được sử dụng để thực thi các khía cạnh riêng của an ninh mạng Khái niệm kích thước an ninh không hạn chế đối với mạng, mà có thể được sử dụng trong bối cảnh ứng dụng hoặc thông tin người sử dụng cuối, kích thước an ninh áp dụng đối với các nhà cung cấp dịch vụ hoặc các doanh nghiệp để cung cấp các dịch vụ an ninh cho khách hàng Kích thước an ninh là: (1) Kiểm soát truy cập, (2) Xác thực, (3) Không từ chối, (4) Bảo mật dữ liệu, (5) An ninh luồng truyền thông, (6) Tính toàn vẹn dữ liệu, (7) Tính sẵn có và (8) Tính bí mật
Kích thước an ninh được thiết kế và thực thi thích hợp hỗ trợ chính sách an ninh được định nghĩa cho mạch riêng biệt và tạo thuận lợi cho bộ các quy tắc thông qua việc quản lý an ninh
6.1 Kích thước an ninh về kiểm soát truy cập
Kích thước an ninh về kiểm soát truy cập đưa ra việc phân quyền để sử dụng các tài nguyên mạng Kiểm soát truy cập bảo đảm rằng chỉ cá nhân hoặc thiết bị được cấp phép mới được phép truy cập các phần tử mạng, thông tin lưu trữ, luồng thông tin, dịch vụ và ứng dụng mạng; Kiểm soát truy cập dựa trên vai trò (RBAC) đưa ra các mức độ truy cập khác nhau để bảo đảm rằng các cá nhân và thiết
bị chỉ có thể tiến hành truy cập và thực thi điều hành đối với các phần tử mạng, thông tin lưu trữ và luồng thông tin được phân quyền
6.2 Kích thước an ninh về xác thực
Kích thước an ninh về xác thực sử dụng để xác nhận các định danh hoặc thuộc tính phân quyền khác của các thực thể truyền thống Xác thực bảo đảm tính hợp lệ của định danh đã tuyên bố được sử dụng bởi việc phân quyền hoặc kiểm soát truy cập của các thực thể tham gia truyền thông (như là; cá nhân, thiết bị, dịch vụ và ứng dụng) và đưa ra việc đảm bảo rằng thực thể không cố gắng giả mạo hoặc xem lại một cách trái phép thông tin trước đó Các phương pháp xác định sử dụng các kỹ thuật dựa trên cặp định danh và mật khẩu của người sử dụng (ví dụ: mã thông báo), các phương pháp sinh trắc học trong các phương pháp được sử dụng rộng rãi
6.3 Kích thước an ninh về không từ chối
Kích thước an ninh về không từ chối đưa ra các biện pháp kỹ thuật đối với việc ngăn ngừa cá nhân hoặc thực thể từ chối đã thực hiện một hành động đặc biệt liên quan đến dữ liệu bởi việc tạo ra bằng chứng có hiệu lực về các hành động khác nhau liên quan đến mạng (như là bằng chứng về bổn phận, mục đích hoặc cam kết, bằng chứng về nguồn gốc dữ liệu, bằng chứng về quyền sở hữu, bằng chứng về sử dụng tài nguyên) Nó giúp bảo đảm tính sẵn có của chứng cớ có thể được trình bày cho bên thứ ba như là bằng chứng kỹ thuật rằng một vài sự kiện hoặc hành động nào đó đã xảy ra Tuy nhiên, chú ý rằng không từ chối được đưa ra bởi biện pháp kỹ thuật không dẫn tới một kết luận luật cần thiết, phương pháp mã hóa thường được sử dụng đối với việc đưa ra về không từ chối
6.4 Kích thước an ninh về bảo mật dữ liệu
Trang 4Công ty luật Minh Khuê www.luatminhkhue.vn
Kích thước an ninh về bảo mật dữ liệu, bảo vệ dữ liệu khỏi sự làm lộ trái phép Mật mã hóa là một phương pháp thường được sử dụng để bảo đảm tính bảo mật dữ liệu Danh sách kiểm soát truy cập
và sự cho phép tệp tin là phương pháp giữ bảo mật dữ liệu
6.5 Kích thước an ninh về luồng truyền thông
Kích thước an ninh về luồng truyền thông bảo đảm rằng các thông tin chỉ truyền giữa các điểm đầu mút cho phép (thông tin đó không bị lệch hướng hoặc bị chặn khi nó truyền giữa các điểm đầu mút này) Cơ chế an ninh của kích thước an ninh về luồng truyền thông không bảo vệ chống lại sự sửa đổi/làm sai lệch; đây là chức năng của tính toàn vẹn dữ liệu Đường hầm MPLS, VLAN và VPN là các
ví dụ về công nghệ có thể đưa ra an ninh luồng truyền thông
6.6 Kích thước an ninh về tính toàn vẹn dữ liệu
Kích thước an ninh về tính toàn vẹn dữ liệu bảo đảm tính đúng đắn hoặc mức chính xác (nghĩa là; dữ liệu chỉ được xử lý bởi quá trình được phân quyền hoặc hành động của các cá nhân hoặc thiết bị được phân quyền) của dữ liệu Dữ liệu được bảo vệ chống lại sự sửa đổi, xóa bỏ, tạo ra và sao chép trái phép và đưa ra dấu hiệu về các hoạt động trái phép đó Phương pháp mã hóa xác thực thông điệp băm (như MD5, SHA-1) thường được sử dụng cho việc đảm bảo tính toàn vẹn dữ liệu
6.7 Kích thước an ninh về tính sẵn có
Kích thước an ninh về tính sẵn có bảo đảm rằng không từ chối truy cập được phân quyền đối với các phần tử mạng, thông tin lưu trữ, luồng thông tin, dịch vụ và ứng dụng do các sự kiện tác động đến mạng đó Các giải pháp khắc phục tai họa nằm trong phạm vi kích thước an ninh này
6.8 Kích thước an ninh về tính bí mật
Kích thước an ninh về tính bí mật bảo vệ mọi thông tin (định danh của bên tham gia truyền thông hoặc mọi dữ liệu bao gồm tiêu đề gói gắn liền với mọi hoạt động được tiến hành bởi bên tham gia đó) có thể tạo ra từ quan sát hoạt động mạng Ví dụ về thông tin này bao gồm các trang web mà người sử dụng đã vào, địa điểm địa lý của người sử dụng và địa chỉ IP và tên DNS của thiết bị trong mạng nhà cung cấp dịch vụ Việc chuyển dịch địa chỉ mạng (NAT) và ủy quyền của ứng dụng là ví dụ về các kỹ thuật có thể sử dụng trong việc bảo vệ tính bí mật Phụ thuộc vào luật và quy chuẩn về bảo vệ dữ liệu
và tính bí mật của từng quốc gia, kích thước an ninh về tính bí mật này cũng đưa ra các kiểm soát và cấu trúc bảo vệ thích hợp về thu thập, xử lý và phổ biến thông tin cá nhân
7 Tầng an ninh
Để cung cấp giải pháp an ninh đầu cuối, kích thước an ninh đã mô tả ở trên phải được áp dụng cho
hệ thống phân cấp thiết bị mạng và nhóm phương tiện được đề cập đến như tầng an ninh Kiến trúc tham chiếu này xác định ba tầng an ninh; Tầng an ninh hạ tầng, tầng an ninh dịch vụ và tầng an ninh ứng dụng, xây dựng trên một tầng an ninh khác để cung cấp giải pháp trên cơ sở mạng
Các tầng an ninh là chuỗi các cấp phép đối với giải pháp mạng an toàn: Tầng an ninh hạ tầng cấp phép cho tầng an ninh dịch vụ và tầng an ninh dịch vụ cấp phép cho tầng an ninh ứng dụng Kiến trúc tham chiếu này hướng vào việc sự việc rằng mỗi tầng có điểm yếu an ninh khác nhau và đòi hỏi tính linh hoạt của việc chống lại các mối đe dọa tiềm ẩn theo cách phù hợp nhất với tầng an ninh riêng Việc quyết định các mức cao hơn phải giả định rằng an ninh mức thấp hơn đã hoạt động như dự kiến hoặc chúng bao gồm các quy trình để phát hiện lỗi còn lại trong thực thi
Nên chú ý rằng các tầng an ninh (như định nghĩa ở trên) khác so với ý nghĩa của các tầng OSI Các tầng an ninh định danh nơi an ninh phải hướng vào trong các sản phẩm và giải pháp bằng việc đưa ra viễn cảnh tuần tự của an ninh mạng Ví dụ, điểm yếu an ninh đầu tiên được đề cập đối với tầng an ninh hạ tầng, sau đó đối với tầng an ninh dịch vụ và cuối cùng điểm yếu an ninh được đề cập đối với tầng an ninh ứng dụng Kích thước an ninh định danh phạm vi cần đề cập trong mỗi tầng an ninh Hình 1 mô tả cách thức các cơ chế trong mỗi kích thước an ninh được áp dụng cho các tầng an ninh để giảm bớt các điểm yếu tồn tại trong mỗi tầng và do đó giảm bớt tấn công an ninh
Trang 5Công ty luật Minh Khuê www.luatminhkhue.vn
Hình 1 - Việc áp dụng kích thước an ninh cho tầng an ninh 7.1 Tầng an ninh hạ tầng
Tầng an ninh hạ tầng bao gồm các phương tiện truyền tải mạng cũng như các phần tử mạng riêng lẻ được bảo vệ bởi cơ chế được thực thi đối với kích thước an ninh Tầng an ninh hạ tầng trình bày các khối xây dựng mạng nền tảng, dịch vụ và ứng dụng của chúng Ví dụ về các thành phần thuộc tầng
an ninh hạ tầng là bộ định tuyến, chuyển mạch và máy chủ riêng lẻ, cũng như các đường liên kết truyền thông giữa bộ định tuyến, chuyển mạch và máy chủ riêng lẻ đó
7.2 Tầng an ninh dịch vụ
Tầng an ninh dịch vụ hướng vào an ninh của các dịch vụ do nhà cung cấp dịch vụ đưa ra cho khách hàng của họ Dịch vụ này sắp xếp từ truyền tải và ghép nối cơ bản tới các cấp phép dịch vụ cần thiết
để cung cấp việc truy cập mạng/internet (ví dụ; xác thực, cấp phép, dịch vụ thanh toán, dịch vụ cấu hình máy chủ động, dịch vụ tên miền v.v…) cho tới các dịch vụ giá trị gia tăng như dịch vụ điện thoại miễn phí, QoS, VPN, dịch vụ định vị, truyền thông điệp tạm thời, v.v…Tầng an ninh dịch vụ thường được sử dụng để bảo vệ nhà cung cấp dịch vụ và khách hàng của họ, cả nhà cung cấp dịch vụ và khách hàng đều là mục tiêu tiềm ẩn của các đe dọa an ninh Ví dụ, người tấn công có thể cố gắng từ chối khả năng đưa ra các dịch vụ của nhà cung cấp dịch vụ, hoặc người tấn công có thể cố gắng phá
vỡ dịch vụ của khách hàng riêng lẻ của nhà cung cấp dịch vụ đó (như là; một công ty)
7.3 Tầng an ninh ứng dụng
Tầng an ninh ứng dụng tập trung vào tính an toàn của các ứng dụng trên cơ sở mạng được truy cập bởi khách hàng của nhà cung cấp dịch vụ Các ứng dụng này được cho phép bởi các dịch vụ mạng
và bao gồm truyền tải tệp tin cơ sở (như là, FTP) và các ứng dụng trình duyệt web, các ứng dụng nền tảng như hỗ trợ thư mục, truyền thông điệp thoại trên cơ sở mạng, thư điện tử/email, cũng như ứng dụng đầu trên quản lý quan hệ khách hàng, thương mại điện tử/di động, đào tạo trên cơ sở mạng, cộng tác video, v.v…Các ứng dụng trên cơ sở mạng có thể được đưa ra bởi bên thứ ba như nhà cung cấp dịch vụ ứng dụng (ASP), nhà cung cấp dịch vụ hoạt động giống như nhà cung cấp dịch vụ ứng dụng (ASP) hoặc bởi các máy chủ doanh nghiệp trong các trung tâm dữ liệu mà họ sở hữu (hoặc thuê) Tại tầng này, có bốn mục tiêu tiềm tàng cho các cuộc tấn công an ninh; người sử dụng ứng dụng, nhà cung cấp ứng dụng, phần sụn được cung cấp bởi bên hợp nhất thứ ba (như là, dịch vụ máy chủ web) và nhà cung cấp dịch vụ
8 Mặt phẳng an ninh
Mặt phẳng an ninh là một kiểu hoạt động mạng nào đó được bảo vệ bởi cơ chế thực thi kích thước an ninh Kiến trúc tham chiếu này xác định ba mặt phẳng an ninh đại diện cho ba kiểu hoạt động được bảo vệ tiến hành trên một mạng Các mặt phẳng an ninh là: (1) Mặt phẳng an ninh quản lý, (2) Mặt phẳng an ninh kiểm soát và (3) Mặt phẳng an ninh người sử dụng cuối Các mặt phẳng an ninh này hướng vào nhu cầu an ninh cụ thể tương ứng với hoạt động quản lý mạng, các hoạt động truyền tín hiệu hoặc kiểm soát mạng và các hoạt động người sử dụng cuối tương ứng
Mạng nên được thiết kế theo cách các sự kiện trên mặt phẳng an ninh được duy trì càng nhiều càng tốt và được cách ly thích hợp với mặt phẳng an ninh khác Ví dụ, tra cứu DNS trên mặt phẳng an ninh người sử dụng cuối bị tràn, được khởi tạo bởi các yêu cầu người sử dụng cuối nên không đóng giao diện OM&P trong mặt phẳng an ninh quản lý để cho phép người quản trị chỉnh sửa vấn đề đó
Hình 2 minh họa kiến trúc tham chiếu với các mặt phẳng an ninh Mỗi kiểu hoạt động mạng được mô
tả có các nhu cầu an ninh của riêng nó Khái niệm mặt phẳng an ninh cho phép phân biệt các vấn đề
Trang 6Công ty luật Minh Khuê www.luatminhkhue.vn
an ninh cụ thể tương ứng với các hoạt động đó và khả năng đề cập chúng một cách độc lập Ví dụ, dịch vụ VoIP được đề cập bởi tầng an ninh dịch vụ Bảo vệ việc quản lý của dịch vụ VoIP (như là, việc cung cấp người sử dụng) phải độc lập với bảo vệ việc kiểm soát dịch vụ đó (như là, các giao thức SIP) và cũng phải độc lập với việc bảo vệ dữ liệu người sử dụng cuối đang được truyền tải bởi dịch
vụ đó (như là; tín hiệu thoại của người sử dụng)
Hình 2 - Mặt phẳng an ninh phản ánh các kiểu hoạt động mạng khác nhau
8.1 Mặt phẳng an ninh quản lý
Mặt phẳng an ninh quản lý liên quan đến việc bảo vệ các chức năng OAM&P của các phần tử mạng, các phương tiện truyền tải, hệ thống hỗ trợ văn phòng (hệ thống hỗ trợ điều hành, hệ thống hỗ trợ kinh doanh, hệ thống chăm sóc khách hàng, v.v.), và các trung tâm dữ liệu Mặt phẳng an ninh quản lý
hỗ trợ các chức năng về: lỗi, quản trị, cung cấp và an ninh (FCAPS) Nên chú ý rằng, mạng mang lưu lượng cho các hoạt động có thể trong dải hoặc ngoài dải đối với lưu lượng người sử dụng của nhà cung cấp dịch vụ đó
8.2 Mặt phẳng an ninh kiểm soát
Mặt phẳng an ninh kiểm soát liên quan đến việc bảo vệ các hoạt động cho phép sự truyền phát tín hiệu quả thông tin, dịch vụ và ứng dụng qua mạng Thông thường, nó bao gồm truyền thông tin từ máy đến máy (như là; tổng đài chuyển mạch hoặc bộ định tuyến) cho phép các máy xác định cách thức tốt nhất lưu lượng chuyển mạch hoặc định tuyến qua mạng truyền tải cơ sở Kiểu thông tin này đôi khi được xem như thông tin kiểm soát hoặc truyền tín hiệu Mạng mang các kiểu thông điệp này
có thể nằm trong dải hoặc ngoài dải đối với lưu lượng người sử dụng của nhà cung cấp dịch vụ Ví
dụ, các mạng IP mang thông tin kiểm soát trong dải, trong khi PSTN mang thông tin kiểm soát trong mạng tín hiệu riêng (mạng SS7) Ví dụ về lưu lượng kiểu này gồm: giao thức định tuyến, DNS, SIP, SS7, Megacol/H.248, v.v…
8.3 Mặt phẳng an ninh người sử dụng cuối
Mặt phẳng an ninh người sử dụng cuối hướng vào an ninh truy cập và việc sử dụng mạng của nhà cung cấp dịch vụ bởi khách hàng Mặt phẳng này liên quan đến việc bảo vệ các luồng dữ liệu người
sử dụng cuối hiên thời Người sử dụng cuối có thể sử dụng mạng chỉ cung cấp kết nối, có thể sử dụng các dịch vụ giá trị gia tăng như VPN, hoặc sử dụng để truy cập các ứng dụng dựa trên mạng
9 Đe dọa an ninh
Kiến trúc tham chiếu xác định kế hoạch và bộ các nguyên tắc mô tả cấu trúc an ninh cho giải pháp an ninh đầu mút Kiến trúc này định danh vấn đề an ninh cần thiết phải hướng vào để ngăn ngừa các mối
đe dọa có chủ ý cũng như ngẫu nhiên Các mối đe dọa sau đây được mô tả trong ISO 7498-2:1989 và Rec X.800 (1991) của CCITT:
- Phá hoại thông tin và/hoặc nguồn tài nguyên khác;
- Sửa đổi hoặc làm sai lạc thông tin;
- Đánh cắp, xóa bỏ hoặc làm mất thông tin và/hoặc nguồn tài nguyên khác;
- Làm lộ thông tin;
- Ngắt dịch vụ
Trang 7Công ty luật Minh Khuê www.luatminhkhue.vn
Phần giao của mỗi tầng an ninh với mặt phẳng an ninh biểu diễn một viễn cảnh an ninh trong đó kích thước an ninh được áp dụng để chống lại các mối đe dọa Bảng 1 đưa ra việc ánh xạ kích thước an ninh vào mối đe dọa an ninh Việc ánh xạ này là giống nhau đối với mỗi viễn cảnh an ninh
Ký tự “Y” trong mỗi ô được tạo ra bởi phần giao giữa các cột và hàng định rõ ràng một mối đe dọa nào đó được bảo vệ bởi kích thước an ninh tương ứng
Bảng 1 - Việc ánh xạ kích thước an ninh vào mối đe dọa an ninh
Kích thước an
ninh
Mối đe dọa an ninh Phá hoại thông
tin và/hoặc nguồn tài nguyên khác
Sửa đổi hoặc làm sai lạc thông tin
Đánh cắp, xóa bỏ hoặc làm mất thông tin và/hoặc nguồn tài nguyên khác
Làm lộ thông tin Ngắt dịch vụ
Kiểm soát truy
Bảo mật dữ
An ninh luồng
Tính toàn vẹn
Hình 3 minh họa kiến trúc tham chiếu với các phần tử kiến trúc thể hiện và chỉ rõ mối đe dọa an ninh được mô tả ở trên Hình vẽ bên dưới mô tả khái niệm bảo vệ mạng bởi kích thước an ninh tại mỗi mặt phẳng an ninh của từng tầng an ninh để cung cấp giải pháp an ninh toàn diện Nên chú ý rằng sự phụ thuộc vào yêu cầu an ninh của mạng cho trước, không cần thiết có toàn bộ các phần tử kiến trúc được thực thi (bộ đầy đủ kích thước an ninh, tầng an ninh và mặt phẳng an ninh)
Hình 3 - Kiến trúc tham chiếu đối với an ninh mạng đầu mút
10 Mô tả mục tiêu đạt được bởi việc ứng dụng kích thước an ninh cho tầng an ninh
Kiến trúc tham chiếu có thể áp dụng đối với tất cả các khía cạnh và giai đoạn của chương trình an ninh như mô tả trong Hình 4 Trong Hình 4, một chương trình an ninh bao gồm các chính sách và thủ tục bổ sung cho công nghệ và tiến trình thông qua 3 giai đoạn trong thời gian tồn tại: (1) giai đoạn định nghĩa và lập kế hoạch, (2) giai đoạn thực thi, (3) giai đoạn duy trì Kiến trúc tham chiếu này cùng với các hướng dẫn trong ISO/IEC 13335 có thể được áp dụng cho các chính sách và thủ tục an ninh cũng như công nghệ cho toàn bộ 3 giai đoạn của một chương trình an ninh
Trang 8Công ty luật Minh Khuê www.luatminhkhue.vn
Dựa trên các yêu cầu kinh doanh, kiến trúc mạng, định nghĩa chính sách, phản hồi rắc rối và các kế hoạch khôi phục được xác định Trong quá trình này, kiến trúc tham chiếu có thể hướng dẫn xây dựng định nghĩa chính sách an ninh toàn diện, phản hồi rắc rối và kế hoạch khôi phục và kiến trúc công nghệ bằng việc tính đến mỗi kích thước an ninh tại mỗi tầng an ninh và mặt phẳng an ninh trong giai đoạn định nghĩa và lập kế hoạch Kiến trúc an ninh này cũng có thể được sử dụng như cơ sở đánh giá an ninh để nghiên cứu cách thực thi các chương trình an ninh hướng vào kích thước an ninh, tầng
an ninh và mặt phẳng an ninh như các chính sách và thủ tục được giới thiệu và công nghệ được triển khai Ngay khi chương trình an ninh được triển khai, nó có thể được duy trì để giữ trạng thái hiện tại trong môi trường an ninh luôn thay đổi Tham chiếu an ninh này có thể hỗ trợ việc quản lý các chính sách và thủ tục an ninh, phản hồi rắc rối, kế hoạch khôi phục và kiến trúc công nghệ bằng việc đảm bảo rằng sửa đổi đối với chương trình an ninh hướng vào từng kích thước an ninh tại mỗi tầng và mặt phẳng an ninh
Trang 9Công ty luật Minh Khuê www.luatminhkhue.vn
Hình 4 - Việc áp dụng kiến trúc an ninh tham chiếu đối với chương trình an ninh
Ngoài ra, kiến trúc tham chiếu có thể được áp dụng cho mọi kiểu mạng tại mọi mức ngăn xếp giao thức Ví dụ, mạng IP tập trung tại 3 tầng ngăn xếp giao thức an ninh hạ tầng, kiến trúc an ninh này đề cập đến các bô định tuyến riêng rẽ, truyền thông điểm-điểm liên kết giữa các bô định tuyến (như là: NET, ATM PVCs, v.v…), và các nền tảng máy chủ được sử dụng để cung cấp dịch vụ hỗ trợ được yêu cầu bởi một mạng IP Tầng an ninh dịch vụ, đề cập đến bản thân dịch vụ IP cơ sở (như là; tính kết nối mạng toàn cầu), dịch vụ hỗ trợ IP (như là: AAA, DNS, DHCP, v.v…) và các dịch vụ giá trị gia tăng tiên
Trang 10Công ty luật Minh Khuê www.luatminhkhue.vn
tiến được đưa ra bởi nhà cung cấp dịch vụ (như là: VoIP, QoS, VPN, v.v…) Cuối cùng, tầng an ninh ứng dụng đề cập đến an ninh ứng dụng người được truy cập qua mạng IP (như là; thư điện tử, v.v….)
Tương tự, đối với mạng ATM nằm tại tầng đôi của ngăn xếp giao thức, tầng an ninh hạ tầng đề cấp đến chuyển mạch riêng và truyền thông điểm- điểm liên kết giữa các chuyển mạch (phương tiện mạng, ví dụ DS-3) Tầng an ninh dịch vụ đề cập tới các tầng truyền tải khác nhau được cung cấp bởi dịch vụ ATM (tốc độ bít bất biến, tốc độ bít biến đổi - thời gian thực, tốc độ bít biến đổi - thời gian phi-thực, tốc độ bít hiệu dụng và tốc độ bít không xác định) Cuối cùng, tầng an ninh ứng dụng đề cập tới người sử dụng cuối ứng dụng đang sử dụng mạng ATM để truy cập, như ứng dụng hội nghị video Hình 5, trình bày kiến trúc tham chiếu dưới dạng bảng và minh họa phương pháp tiếp cận an ninh mạng Như được trình bày trên hình, phần giao của tầng an ninh với mặt phẳng an ninh thể hiện viễn cảnh duy nhất để xem xét tám kích thước an ninh Mỗi mô đun trong chín mô đun kết hợp với tám kích thước an ninh được áp dụng cho tầng an ninh cụ thể trong một mặt phẳng an ninh cụ thể Cần chú ý là kích thước an ninh của mô đun khác nhau có thể có mục tiêu khác nhau và do đó có thể gồm
bộ kích thước an ninh khác nhau Bảng dưới đây đưa ra cách mô tả các mục tiêu của kích thước an ninh cho mỗi mô đun
Hình 5 - Kiến trúc tham chiếu ở dạng bảng
Cần chú ý là khái niệm bảo vệ được sử dụng trong bảng bao hàm việc tạo ra các cơ chế để phát hiện
ra nơi mà các cơ chế kiểm soát lỗi và để bảo đảm rằng sự kiện được báo cáo đối với các hành động và/hoặc thiết bị/quá trình mà tại đó chỉnh sửa mọi hệ quả của lỗi như vậy
10.1 Tầng an ninh hạ tầng
Việc bảo vệ mặt phẳng an ninh quản lý của tầng an ninh hạ tầng liên quan đến việc bảo vệ các thao tác, việc quản trị, duy trì và cung cấp (OAM&P) cũng như cấu hình phần tử mạng riêng, liên kết truyền thông, nền tảng máy chủ bao gồm mạng đó Ví dụ về quản lý hạ tầng cần được bảo vệ là cấu hình của bộ định tuyến hoặc chuyển mạch riêng bởi các cá nhân hoạt động mạng Bảng 2 mô tả mục tiêu của việc áp dụng kích thước an ninh vào tầng an ninh hạ tầng, mặt phẳng an ninh quản lý
Bảng 2 - Việc áp dụng kích thước an ninh cho tầng an ninh hạ tầng, mặt phẳng an ninh quản lý
Mô đun 1: Tầng an ninh hạ tầng, mặt phẳng an ninh quản lý Kích thước an
Kiểm soát truy
cập
Bảo đảm rằng chỉ cá nhân hoặc thiết bị được cho phép (như là; thiết bị được quản lý SNMP) được phép thực hiện hoặc cố gắng thực hiện các hoạt động quản trị hoặc quản lý trên thiết bị mạng hoặc liên kết truyền thông Điều này áp dụng cho cả quản lý trực tiếp các thiết bị qua một cổng và quản lý thiết bị từ xa
Xác thực Kiểm tra định danh của con người hoặc thiết bị thực hiện hoạt động quản trị hoặc quản lý trên thiết bị mạng hoặc liên kết truyền thông Các kỹ thuật xác thực
có thể được yêu cầu như một phần của kiểm soát truy cập