Defense in Depth Phòng thủ theo chiều sâu Đây là một mô hình sử dụng nhiều lớp để bảo vệ cho hệ thống để chống lại nhiều mối đe dọa khác nhau và gây thêm khó khăn cho kẻ tấn công khi muố
Trang 1MỤC LỤC
MỤC LỤC 1
LÝ THUYẾT 2
I Triển khai chiến lược an ninh theo mô hình 3Ds, thiết kế và đề xuất mô hình an ninh tổng thể với chi tiết các lớp theo mô hình Onion 2
1 Defense in Depth (Phòng thủ theo chiều sâu) 2
2 Triển khai chiến lược an ninh 2
3 Mô hình đề xuất (Onion Model) 3
II Các công nghệ và công cụ áp dụng 5
1 Các yếu tố cần quan tâm: 5
2 Kiểm soát theo các cấp độ: 6
3 Qui định sử dụng 7
III Các giao thức an toàn 8
THỰC HÀNH 11
Trang 2LÝ THUYẾT
Đề bài: Phân tích thiết kế và xây dựng chiến lược an ninh theo mô hình Defence in Depth cho các ứng dụng thuộc loại Client/Server (Đề xuất ứng dụng thư điện tử E-Mail)
I Triển khai chiến lược an ninh theo mô hình 3Ds, thiết kế và đề xuất mô hình
an ninh tổng thể với chi tiết các lớp theo mô hình Onion
1 Defense in Depth (Phòng thủ theo chiều sâu)
Đây là một mô hình sử dụng nhiều lớp để bảo vệ cho hệ thống để chống lại nhiều mối đe dọa khác nhau và gây thêm khó khăn cho kẻ tấn công khi muốn xâm nhập vào hệ thống Có ba yếu tố tạo thành một hệ thống bao gồm: network perimeter (mạng ngoài), internal network (mạng bên trong) và nhân tố con người
Có một chi tiết cần phải được lưu ý là không có bất kì lớp bảo vệ nào đủ sức chống lại mọi loại tấn công, sức mạnh của hệ thống phòng thủ là sự kết hợp sức mạnh của từng lớp bảo vệ, mỗi lớp thực hiện nhiệm vụ riêng của mình
2 Triển khai chiến lược an ninh
Hiện nay, lĩnh vực an ninh thông tin không ngừng được phát triển nhưng những vấn đề cơ bản để đảm bảo an ninh thì không thay đổi Trong đó, nguyên
lý cơ bản nhất là 3Ds.
- Defence: Bảo vệ
Tăng cường thêm các qui định, chức năng để đảm bảo quá trình xử lí, chọn lọc Mail một cách chính xác
Sử dụng Gateway cho mail cũng giúp kiểm soát số lượng lớn các email, tệp đính kèm, virus, spyware hay các nội dung không mong muốn Một
Trang 3tích nội dung ở gateway và tránh thất thoát dữ liệu quan trọng trong nội
bộ ra ngoài
Có thể cài đặt phần mềm chống spam thư rác ngay trên mail server (server sẽ chặn spam trước khi nó đến inbox người dùng) hoặc trên máy người dùng
- Deterrence: Cản trở, gây khó khăn
Xây dựng các luật lệ, điều khoản và các qui định rõ ràng khi xảy ra các vấn đề
Đảm bảo an toàn cho Cơ sở dữ liệu, thường xuyên sao lưu, cập nhật hệ thống
- Detection: Phát hiện
Sử dụng các phần mềm Anti-virus
Có thể triển khai tại Mail server, nhà cung cấp dịch vụ, hay Mail gateway (tại cổng đường truyền)
Ngoài ra, khi triển khai chiến lược an ninh ta cũng nên lưu ý:
Không thể đảm bảo an ninh tuyệt đối
Ta có thể quản lý được các rủi ro về an ninh
Sử dụng các công nghệ chống lại các rủi ro để đạt được mục tiêu
3 Mô hình đề xuất (Onion Model)
Trang 4Hình 1: Mô hình an ninh
- Quyền truy nhập (Access Right):
Đây là mức bảo vệ sâu nhất nhằm kiểm soát tài nguyên mạng, kiểm soát ở mức độ file và việc xác định quyền hạn của người dung do nhà quản trị quyết định như: chỉ đọc (Only Read), chỉ ghi (Only Write) hay thực thi (Execute)
- Đăng nhập/Mật khẩu (Login/Password):
Đây là lớp bảo vệ mức độ truy nhập thông tin ở mức độ hệ thống và được sử dụng phổ biến nhất vì nó đơn giản và ít tốn kém Nhà quản trị chỉ cần cho mỗi người dùng một Username và Password và kiểm soát mọi hoạt động của mạng thông qua hình thức đó Mỗi khi truy cập, hệ thống sẽ kiểm tra tài khoản và nếu thấy hợp lệ mới cho đăng nhập
Trang 5- Host (Operation Systems of Servers):
Có thể sử dụng Anti-virus, nâng cấp mức độ quản lí trên hệ thống máy chủ
server/phòng làm việc
- Mã hóa dữ liệu (Data Encryption):
Sử dụng các phương pháp mã hóa dữ liệu ở bên phát và thực hiện giải mã ở bên thu, bên thu chỉ có thể mã hóa chính xác khi có khóa mã hóa do bên phát cung cấp Ngoài ra có thể thực hiện phân vùng mạng với ACL (Access Control List)
- Bảo vệ vật lí (Physical Protect):
Đây có thể là hình thức, chính sách hay điều luật ngăn chặn nguy cơ truy nhập vật lí bất hợp pháp vào hệ thống như ngăn cấm tuyệt đối người không phận sự vào phòng đặt máy mạng (dùng ổ khóa máy tính, camera theo dõi hay cài đặt cơ chế thông báo khi có truy nhập lạ vào hệ thống,…)
- Kiến trúc mạng ngoài (có thể sử dụng Firewall, Router, Switches,…):
Giúp ngăn chặn những truy nhập trái phép (theo danh sách truy nhập cho phép đã xác định trước) và thậm chỉ có thể lọc các gói tin mà ta không muốn gửi đi hoặc nhận vào vì một lí do nào đó Và có thể được tích hợp cả khả năng chống tấn công từ bên ngoài
II Các công nghệ và công cụ áp dụng
1 Các yếu tố cần quan tâm:
- Vấn đề về con người:
Chúng ta cần phải quan tâm xem ai sẽ được phép tham gia vào hệ thống mạng,
họ có trách nhiệm như thế nào Ở mức độ vật lí khi một người không có thẩm
Trang 6quyền vào phòng máy họ có thể thực hiện một số hành vi phá hoại ở mức độ vật lí đối với hệ thống
- Kiến trúc mạng:
Xây dựng và nâng cấp mạng để phù hợp với hiện trạng và cơ sở hạ tầng hiện nay, tăng cường bảo mật an ninh khi truy cập trên hệ thống mạng
- Phần cứng và phần mềm:
Xem xét, nghiên cứu tính tương thích giữa phần cứng và phần mềm để đảm bảo an toàn cho hệ thống,…
2 Kiểm soát theo các cấp độ:
- Mức mạng:
Ngăn chặn kẻ xâm nhập bất hợp pháp vào hệ thống mạng, sử dụng Firewalls cho các khu vực an ninh khác nhau
Phân chia thành các khu vực an ninh khác nhau trên hệ thống mạng (external, DMZ, internal, …) và phân vùng mạng bằng ACL (Access Control List) để việc quản lí và khắc phục vấn đề được tối ưu hơn
Nên tích hợp thêm cách theo dõi và ngăn ngừa các rủi ro trên hệ thống với IDS(Intrusion Detection System) và IPS (Stateful Packet Inspection)
- Mức Server:
Kiểm soát quyền truy cập, các cơ chế bảo mật, quá trình nhận dạng và xác thực mã người dùng, phân quyền truy cập, cho phép các tác vụ tùy theo cấp độ
- Mức Cơ sở dữ liệu:
Trang 7Sẽ quy định kiểm soát những ai và cấp cho người đó quyền truy cập như thế nào đối với mỗi CSDL Ngoài ra, nên thường xuyên backup lại dữ liệu để tránh mất mát nếu có xảy ra sự cố
- Mức trường thông tin:
Trong mỗi CSDL kiểm soát được mỗi trường dữ liệu chứa thông tin khác nhau
sẽ cho phép các đối tượng khác nhau có quyền truy cập khác nhau
- Mức mật mã:
Mã hóa toàn bộ file dữ liệu theo một phương pháp nào đó và chỉ cho phép người có “chìa khóa” mới có thể sử dụng được file dữ liệu
3 Qui định sử dụng
Đối với mỗi hệ thống mạng, không nên cài đặt và chỉ sử dụng một chế độ an toàn cho dù nó có thể rất mạnh, mà nên lắp đặt hay sử dụng nhiều cơ chế an toàn khác nhau để chúng có thể hỗ trợ lần nhau giúp đảm bảo an toàn ở mức cao nhất
Chúng ta có thể cung cấp một số loại tài khoản dành cho người dùng khi đăng nhập vào hệ thống như:
Người quản trị (Administrator), người cấp quyền (tạo ra các quy định, luật lệ), người thực hiện (có thể thực hiện một nhiệm vụ nào đó đã được quy định
trước), người xem (có thể xem ở những khu vực đã cho phép, không tác động
được đến dữ liệu)
Ngoài ra, chúng ta có thể đặt ra các quy định, giải pháp bảo mật giúp người quản trị quản lí hệ thống một cách kín đáo và an toàn hơn như:
Đặt những tên hệ thống hay tên tài khoản dưới dạng bí mật, được quy định ngầm với nhau, như vậy có thể gây cản trở hơn cho hacker khi xâm nhập vào hệ thống
Trang 8 Hệ thống nên trang bị phần mềm giúp phát hiện và ngăn chăn trường hợp có IP lạ xuất hiện, có ý định phá hoại hoặc sử dụng những mã code
để nhập kèm khi đăng nhập giúp tăng tính bảo mật hơn
III Các giao thức an toàn
- Đối với giao thức mạng:
Các giao thức chuẩn (ở tầng mạng và vận chuyển) được sử dụng rộng rãi nhất hiện nay như: giao thức TCP/IP, giao thức SNA của IBM, OSI, ISDN, X.25 hoặc giao thức LAN-to-LAN NetBIOS
TCP/IP version 4 hiện nay vẫn đang được sử dụng chủ yếu Nhưng vẫn tồn tại một số các lỗ hổng mà kẻ tấn công có thể lợi dụng được như Spoofing ( giả mạo IP), session guessing và highjacking (chiếm dụng phiên làm việc) và authentication or encryption (không xác thực và mã hóa SYN floofding)…
Vì vậy chúng ta nên sử dụng giao thức TCP/IP version 6 được thiết kế với IPSec (giúp mã hóa và xác thực ở lớp mạng), SSL (Secure Sockets Layer), authenticaton và encryption mạnh mẽ hơn Có thể chống lại spoofing, data integrity (tính toàn vẹn của dữ liệu), confidentiality (bảo mật) và privacy (bí mật)
- Đối với Wireless:
Hiện tại dữ liệu được mã hóa và xác thực theo chuẩn Wireless Equivalent Privacy (WEP) đối với các thiết bị theo chuẩn 802.11a,b,g sử dụng thuật toán
mã hóa dòng RC4 với khóa 64-128 bits
Bắt đầu từ chuẩn 802.11i, các thiết bị WLAN sử dụng TKIP và EAP thay cho WEP với khả năng mạnh hơn
- Ứng dụng:
Trang 9Cần phải thêm các đặc quyền (privileges), quyền admin thiêt lập cấu hình, updates(bug fixes), tích hợp với an ninh của hệ điều hành, trao đổi dữ liệu qua mạng
- Người dùng:
Tránh chủ quan, không download hoặc cài đặt phần mềm không rõ nguồn gốc
và nên trang bị thêm cho mình các kiến thức về an ninh và bảo mật
Ngoài ra, có thể sử dụng một số phương pháp chứng thực như:
Chứng thực bằng tay (tất cả tài khoản chỉ có thể tạo bởi người quản trị)
Chứng thực qua POP3 Server (dùng account của một POP3 server để
chứng thực)
Chứng thực thông qua Databasse bên ngoài (sử dụng một bảng cơ sở dữ
liệu bên ngoài để kiểm tra tên đăng nhập và mật khẩu đưa ra là hợp lệ)
Chứng thực thông qua CAS (Central Authentication Service, giúp xác
thực nhiều loại thông tin như tên truy câp/mật khẩu, chứng chỉ khóa công khai X509,… để xác thực những thông tin người dùng khác nhau)
Phân công và thực hiện của từng thành viên trong nhóm:
Nguyễn Đình Quốc Anh:
- Tìm hiểu về triển khai chiến lược an ninh, đề xuất mô hình an ninh tổng thể
Trang 10- Lựa chọn công nghệ và công cụ để áp dụng cho mô hình
Đào Quang Dũng:
- Xây dựng các quy định về phân quyền người sử dụng đối với hệ thống
- Đề xuất các giao thức an toàn trong trao đổi và đảm bảo dữ liệu của ứng dụng
- Hỗ trợ việc viết chương trình mô phỏng sơ đồ trao đổi khóa
Hoàng Quốc Phong:
- Xây dựng chương trình chính mô phỏng sơ đồ trao đổi khóa công khai vá tấn công theo kiểu người trung gian
THỰC HÀNH
Dưới đây là một số hình ảnh của chương trình code
