tìm hiểu về an toàn và bảo mật trên mạng

Khikết nối với Internet, có 3 thứ sẽ gặp nguy hiểm, đó là:  Dữ liệu : là thông tin được lưu trữ trong máy tính  Nguồn tài nguyên : là bản thân những máy tính  Danh tiếng của chúng ta

Máy chủ pháo đài, bảo mật mạng máy tính

LỜI MỞ ĐẦU

Những năm cuối của thế kỉ 20 được coi là thời đại bùng nổ thông tin, cùng với nó

là sự phát triển mạnh mẽ của những ngành công nghệ cao: điện tử, vật liệu mới Đặc biệt, công nghệ thông tin đã được áp dụng, len lỏi vào hầu hết các lĩnh vực của đời sống

xã hội, nó góp phần đáng kể trong việc công nghiệp hoá hiện đại hoá của mỗi một quốc gia.

Trong những năm gần đây, hệ thống mạng máy tính của nước ta phát triển một cách mạnh mẽ Hầu hết các ngành đều đã dần dần từng bước đưa ứng dụng tin học vào phục vụ công việc của ngành Đặc biệt từ năm 1997 nước ta chính thức kết nối vào hệ thống Internet toàn cầu, sau hơn 5 năm chúng ta đó cú hàng trăm ngàn thuê bao Internet

Internet thực sự là một nguồn tài nguyên thông tin rộng lớn và phong phú nhất hiện nay Đặc biệt là trong thời đại kinh tế tri thức, nắm bắt được thông tin sớm và chính xác có ý nghĩa vô cùng quan trọng, giúp cho các doanh nghiệp, các tổ chức, chính phủ hoạch định chính sách, chiến lược, đảm bảo sự phát triển bền vững của doanh nghiệp, tổ chức cũng như một quốc gia.

Lợi ích từ việc sử dụng hệ thống Internet là rất lớn, tuy nhiên bản thân Internet cũng chứa đựng rất nhiều mối hiểm hoạ thường trực từ những tin tặc (hacker), chỳng luụn tìm cách thâm nhập vào bên trong các mạng nội bộ để khai thác thông tin, phá hoại

hệ thống thông tin của chúng ta Có những kẻ lợi dụng Internet để truyền bá thông tin bất hợp pháp nhằm truyền bá tư tưởng phản động, văn hoá phẩm không lành mạnh

Vấn để cần đặt ra là làm thế nào để ngăn chặn sự xâm nhập trái phép từ bên ngoài vào hệ thống mạng nội bộ cũng như kiểm soát được thông tin trên mạng, đồng thời phải đảm bảo cho việc hoạt động bình thường của hệ thống.

Trong bản báo cáo thực tập chuyên ngành này bao gồm 3 phần:

PhầnI: Bảo mật mạng máy tính.

Là một cách nhìn tổng quan về vấn đề giữ an toàn cho mạng máy tính: có những kiểu tấn công mạng như thế nào và cỏc cỏch phòng chống.

Phần II: Máy chủ pháo đài

Phần này nghiên cứu về lý thuyờt và thực hành để xây dựng và vận hành một máy chủ pháo đài.

Phần III: Tấn công từ chối dịch vụ

Phần này nghiên cưu một cách sơ bộ kiểu tấn công rất phổ biến trên mạng hiện nay là kiểu tấn công từ chối dịch vụ.

Phần I: Bảo mật mạng máy tính

1 Hệ thống cần bảo vệ những gì

Bức tường lửa về cơ bản là một thiết bị bảo vệ Khi xây dựng một bứctường lửa, điều đầu tiên ta cần quan tâm là chúng ta muốn bảo vệ cái gì Khikết nối với Internet, có 3 thứ sẽ gặp nguy hiểm, đó là:

 Dữ liệu : là thông tin được lưu trữ trong máy tính

 Nguồn tài nguyên : là bản thân những máy tính

 Danh tiếng của chúng ta

1.1.Dữ liệu

Dữ liệu có ba đặc tính riêng rẽ cần được bảo vệ, đó là :

 Tính bảo mật ( Secrecy): ta không muốn những người khácxem được dữ liệu

 Tính toàn vẹn(Integrity): ta không muốn những người khác cóthể thay đổi được dữ liệu

 Tính sẵn sàng(Availability): ta muốn chắc chắn là ta lúc nàocũng có thể sử dụng được dữ liệu

Mọi người đều có khuynh hướng tập trung vào sự tổn thất liên quanđến tính bảo mật, và điều đó là đúng vì đó là sự tổn thất lớn Rất nhiều tổchức có những thông tin rất bí mật như những thông tin về mẫu sản phẩmmới, về tài chính, hay trong các trường đại học thì là những thông tin liênquan đến quản lý sinh viên được lưu trong máy tính Nói cách khác, trongmáy tính của chúng ta luụn cú những thông tin quan trong khác nhau màchúng ta không muốn những người không nên biết được biết đến

Giả sử ta không có những dữ liệu cần bảo mật, chúng ta vẫn phải quantâm đến an toàn trên mạng vì ngoài tính bảo mật, ta còn phải quan tâm đếntính toàn vẹn và sẵn sàng của dữ liệu Nếu như dữ liệu của ta không cần bảomật, chúng ta vẫn có nguy cơ trong trường hợp dữ liệu bị xoá hay bị sửa đổi

đi Hậu quả là chúng ta sẽ phải tốn rất nhiều thời giờ và tiền bạc để khôiphục lại dữ liệu Ngoài ra nếu an toàn mạng bị phỏ, thỡ nhà quản trị tiêu tốnrất nhiều tiền của và công sức cho việc khôi phục lại hiện trạng cho mạngnhư ban đầu

1.2 Nguồn tài nguyên

Hầu hết mọi người muốn sử dụng những chiếc máy tính của chínhmình và buộc người khác phải trả chi phí khi sử dụng máy tính của họ.Nhưng không ai có thể đòi hỏi điều này đối với những kẻ xâm nhập tráiphép Chúng ta phải tiêu tốn rất nhiều thời gian và tiền bạc cho tài nguyên và

ta có quyền quyết định chúng phải được sử dụng như thế nào

Hơn nữa, trên thực tế, trong các cuộc tấn công tên Internet, kẻ tấncông sau khi đã làm chủ được hệ thống bên trong có thể sử dụng sử dụngcỏc mỏy này để phục vụ cho mục đích của họ như chạy các chương trình dòmật khẩu người dùng, sử dụng các liên kết mạng sẵn có để tiếp tục tấn côngcác hệ thống khác v.v

1.3 Danh tiếng của chúng ta

Trong một số trường hợp, các hacker ăn cắp user của mạng máy tínhcủa chúng ta rồi dựng nú để truy nhập Internet và thực hiện các cuộc tấncông vào các mạng máy tính khác Trong hầu hết các trường hợp, các mạng

bị tấn công đó sẽ gọi đến mạng chúng ta và chất vấn về việc có người dùng

ở đây xâm nhập vào mạng của họ Điều này sẽ ảnh hưởng rất lớn đến uy tíncủa mạng

Đôi khi, những kẻ mạo danh cũn dựng thư điện tử của mạng chúng ta

để gửi những thư có nội dung xấu đến các nơi khác Điều này cũng có ảnhhưởng rất xấu đến mạng của chúng ta

2 Những nguy hiểm hệ thống phải đương đầu

2.1 Những kiểu tấn công

Có rất nhiều kiểu tấn công khác nhau vào hệ thống, và có nhiều cách

để phân loại chúng Trong phần này, ta chia các kiểu tấn công thành 3 loại :xâm nhập, từ chối dịch vụ và ăn cắp thông tin

a Xâm nhập

Kiểu tấn công vào hệ thống thông thường nhất là xâm nhập(intrusions), bằng xâm nhập, tin tặc có khả năng sử dụng những máy tínhcủa hệ thống như những người quản lý hệ thống thực sự

Tin tặc có hàng chục con đường để xâm nhập vào Chúng có thể dùngkiểu tấn công bằng mánh lới (tìm hiểu tên tuổi của người lãnh đạo cấp caocủa công ty, sau đó giả danh là người đó gọi điện đến người quản trị hệthống yêu cầu đổi mật khẩu truy cập) hay dựng cỏch đoỏn mật khẩu (sửdụng việc thử hàng loạt tên và mật khẩu khác nhau để tìm ra tên và mật khẩuđúng) và có thể dựng cỏc cỏch phức tạp để truy nhập vào mạng mà khôngcần dùng tên và mật khẩu

Tường lửa có thể chống lại kiểu tấn công bằng xâm nhập Một cách lýtưởng, tường lửa khoá tất cả các đường vào hệ thống nếu như không biết tên

và mật khẩu Khi được cài đặt hoàn hảo, nó làm giảm số lượng tài khoản cókhả năng truy cập từ bên ngoài, do đó làm giảm nguy cơ tấn công bằng đoánmật khẩu hay dựng mỏnh khoộ Nhiều hệ thống thiết kế tường lửa chỉ cho

phép mật khẩu đưa vào một lần mà thôi, nếu như sai mật khẩu thì lập tức từchối truy nhập ngay lập tức để tránh việc đoán mật khẩu

b Từ chối dịch vụ

Kiểu tấn công từ chối dịch vụ là kiểu tấn công hệ thống bằng cách

ngăn cản người dùng sử dụng các dịch vụ của hệ thống

Tin tặc làm tràn ngập hệ thống mạng bằng những thông điệp, haynhững yêu cầu hệ thống làm cho mạng phải mất nhiều thời gian để trả lờinhững thông điệp và yêu cầu đó, mạng sẽ có thể bị nghẽn vì quá tải

Trong khi làm tràn ngập là một cách thức thông thường và đơn giảnnhất để tiến hành tấn công từ chối dịch vụ, tin tặc thông minh hơn có thể làm

vô hiệu hoỏ cỏc dịch vụ, thay đổi đường dẫn hay thay thế chúng

Khó có thể tránh được tất cả các cuộc tấn công từ chối dịch vụ Ví dụ

rất nhiều mạng thiết kế để người dùng sẽ bị khoá sau một số lần truy cập sai.Thiết kế như vậy để bảo vệ kiểu tấn công bằng cách đoán mật khẩu Nhưngmặt khác, nó tạo cơ hội cho tin tặc tấn công bằng từ chối dịch vụ Nú khoỏtài khoản của bất kỳ người dùng nào bằng cách thử truy nhập vào mạngnhiều lần bằng tài khoản đó

Nguy cơ của việc bị tấn công bằng từ chối dịch vụ là không thể tránhkhỏi Nếu hệ thống chấp nhận việc nhận thông tin từ bên ngoài : thư điện tử,gói tin thì rất có khả năng hệ thống sẽ bị làm nghẽn Điều quan trọng làkhi thiết lập những dịch vụ, phải đảm bảo rằng nếu như một dịch vụ bịnghẽn (flooded) thì phần còn lại của hệ thống vẫn phải hoạt động đồng thờivới việc tìm kiếm và sửa chữa lỗi

c Ăn cắp thông tin

Một số kiểu tấn công cho phép tin tặc lấy được dữ liệu mà không cầntrực tiếp sử dụng máy tính của hệ thống Dữ liệu đó có thể là tài khoản củangười dùng là tên truy nhập và mật khẩu Tin tặc có thể lấy được dữ liệu đóbằng cách nối trộm thiết bị vào mạng và thu lấy tất cả thông tin đi qua.Thông tin về tên truy nhập và mật khẩu thường dễ dàng đoán ra ở ngaythông tin tương tác ban đầu trong rất nhiều mạng máy tính Việc nối trộm

vào mạng để dò la thông tin thường được gọi là sniffing.

3 Các phương pháp để bảo vệ hệ thống

Ở trên là liệt kê một loạt các kiểu tấn công Thông thường người quảntrị mạng chọn rất nhiều kiểu bảo mật, từ kiểu bảo mật gọi là “ Bảo mật quaviệc che giấu” và bảo mật máy chủ , đến bảo mật cho toàn mạng

3.1 Bảo mật qua việc che giấu

Một kiểu bảo mật được sử dụng thông thường là “bảo mật qua việcche giấu” Với kiểu bảo mật này, hệ thống được an toàn đơn giản là không aibiết gì về nó : sự tồn tại của nó, nội dung bên trong, các biện pháp bảo mậthay những cỏi khỏc Kiểu này thường khó có thể làm việc được lõu vỡ có rấtnhiều cách để tìm ra một hệ thống

Nhiều người cho rằng thậm chí khi tin tặc tìm thấy hệ thống, chúngcũng không thèm để ý đến khi thấy đó chỉ là một mạng máy tính nhỏ Trongthực tế thì lại khác có rất nhiều tin tặc nhằm vào bất kỳ hệ thống nào nếu cóthể Đối với chúng, những mạng nhỏ được coi là những mục tiêu dễ tấn côngnhất

3.2 Bảo mật máy chủ

Kiểu bảo mật máy chủ là kiểu hay sử dụng nhất hiện nay Theo kiểunày, hệ thống thiết lập bảo mật cho từng máy chủ một cách riêng rẽ Khó

khăn lớn nhất cho kiểu bảo mật này là nó rất phức tạp khi thiết lập chonhững hệ thống lớn Những hệ thống hiện đại bao gồm nhiều máy chủ từnhiều nhà cung cấp khác nhau, chạy với nhiều hệ điều hành khác nhau, vàmỗi máy chủ với hệ điều hành khác nhau đó sẽ có vấn đề riêng về bảo mật.Thậm chí khi hệ thống chỉ gồm máy chủ từ một nhà cung cấp, việc sử dụngcác phiên bản khác nhau của một hệ điều hành sẽ dẫn đến nhiều vấn đề vềbảo mật khác nhau Ngay cả khi những máy chủ đó chạy cùng một phiênbản của hệ điều hành, các cài đặt khác nhau (các dịch vụ chạy trờn cỏc mỏy

là khác nhau) có thể gây ra các vấn đề về bảo mật khác nhau

Kiểu bảo mật máy chủ chỉ nên áp dụng ở những hệ thống mạng nhỏ,hay ở những hệ thống đòi hỏi phải được bảo mật thật cao Tuy nhiên mọimạng thực sự đều cần vài mức bảo mật máy chủ trong toàn bộ kế hoạch bảomật Thậm chí khi hệ thống sử dụng kiểu bảo mật toàn mạng (được trình bày

ở phần tiếp theo), một số thiết lập áp dụng kiểu bảo mật máy chủ cũng rất cóích Ví dụ như một hệ thống mạng được bảo vệ bởi một bức tường lửa thìcũng có một số phần của hệ thống phải đứng ngoài tường lửa để liên hệ vớicác mạng khác cần được bảo mật theo kiểu bảo mật máy chủ Vấn đề là nếuchỉ một kiểu bảo mật máy chủ thụi thỡ sẽ không đạt hiệu quả về kinh tế (trừnhững hệ thống nhỏ, đơn giản); nó đòi hỏi quá nhiều hạn chế và nhiều người

để vận hành

3.3 Bảo mật toàn mạng

Khi hệ thống mạng luôn thay đổi và phát triển, và khi việc bảo mậtchúng theo kiểu bảo mật từng máy chủ càng ngày càng khó khăn, rất nhiềumạng đã chuyển sang kiểu bảo mật toàn mạng Với kiểu bảo mật toàn mạng,

hệ thống tập trung vào quản lý truy nhập mạng cho rất nhiều máy chủ và cácdịch vụ chạy ở trên các máy chủ đó chứ không bảo mật từng máy chủ một

Phương pháp bảo mật toàn mạng bao gồm xây dựng tường lửa để bảo vệ hệthống mạng bên trong, sử dụng việc kiểm tra quyền truy cập một cách chặtchẽ( như vào mật khẩu một lần), và sử dụng mó hoỏ để bảo vệ những dữ liệuquan trọng khi dữ liệu đó truyền trên mạng.

Một hệ thống mạng dùng phương pháp bảo mật toàn mạng sẽ đạtđược hiệu quả rất lớn Ví dụ một tường lửa bảo vệ mạng có thể bảo vệ hàngtrăm, hàng ngàn những máy tính chống lại sự tấn công từ bên ngoài màkhông hề cần đến mức bảo vệ từng máy chủ cho từng máy tính

4 Tường lửa Internet

Như đã nói trên, tường lửa là một kiểu bảo mật hữu hiệu trong bảomật hệ thống Phần này đề cập ngắn gọn về tác dụng của tường lửa đối vớibảo mật mạng máy tính

Trong xây dựng, một tường lửa được thiết kế để ngăn lửa không cháylan từ một phần của ngôi nhà đến các phần khác Về nguyên lý, một tườnglửa Internet thực hiện cùng công việc đú : nú ngăn những nguy hiểm củaInternet lan sang mạng máy tính của chúng ta Trong thực tế, một tường lửaInternet giống như một cái hào của lâu đài thời Trung cổ hơn là tường lửatrong xây dựng Nó thực hiện các chức năng sau:

 Nó hạn chế người đi vào tại những điểm cần kiểm soát cẩn thận

 Nó ngăn cản những tin tặc lại gần những điểm cần bảo vệ

 Nó hạn chế người đi ra tại những điểm cần kiểm soát cẩn thậnMột tường lửa Internet thường được thiết lập tại điểm kết nối giữamạng bên trong và Internet Như hình vẽ :

Tất cả dòng thông tin đi từ Internet vào hay đi từ mạng bên trong rađều phải qua tường lửa, do đó tường lửa có khả năng đảm bảo những thôngtin đó là tin cậy.

Một tường lửa có chức năng chia, hạn chế và phân tích thông tin.Thông thường, một tường lửa là một tập hợp của các thiết bị phần cứng :một bộ dẫn đường (router), một máy tính chủ, hay là một sự kết hợp của cácrouter, máy tính và mạng với phần mềm thích hợp Có rất nhiều cách thức đểđịnh cấu hình những thiết bị đó và điều này phụ thuộc vào chiến lược, ngânquỹ của từng mạng

Một tường lửa ít khi là một thực thể vật lý đơn chiếc, thông thườngmột tường lửa bao gồm nhiều phần, và một số trong đó thực hiện các nhiệm

vụ khác bên cạnh chức năng là một phần của tường lửa Kết nối với Internethầu như luôn là một phần của tường lửa

4.1 Tường lửa có thể làm gì

Tường lửa có thể làm nhiều việc trong việc bảo mật mạng Dưới đây

là liệt kê một số ưu điểm của việc sử dụng tường lửa

a Một tường lửa là trung tâm cho những quyết định bảo mật

Tường lửa giống như một điểm kiểm tra Tất cả dòng thông tin vào và

ra phải qua một điểm kiểm tra duy nhất Hệ thống có khả năng bảo mật lớn

vì tường lửa cho phép hệ thống tập trung những biện pháp bảo mật vào điểmkiểm tra này, điểm mà mạng bên trong nối với Internet

b Một tường lửa có thể thi hành những chính sách bảo mật

Rất nhiều những dịch vụ mà người dùng mong muốn từ Internetthường là không an toàn Một tường lửa giống như một cảnh sát giao thôngcho những dịch vụ đú Nú thi hành những chính sách bảo mật của mạng, chỉcho phép những dịch vụ đã được duyệt đi qua và chỉ những dịch vụ đó màthôi

c Một tường lửa có thể ghi lại những hoạt động của mạng một cách hữu hiệu

Với một điểm truy cập, tường lửa có thể ghi lại tất cả các sự kiện xảy

ra giữa mạng bên trong và mạng bên ngoài

4.2 Tường lửa không thể làm những gì

Tường lửa đưa ra những bảo vệ hoàn hảo chống lại những nguy cơvới mạng máy tính, những chúng không thể giải quyết hoàn toàn các vấn đềbảo mật Một số nguy cơ nằm ngoài phạm vi kiểm soát của tường lửa Hệthống cần phải đưa ra các phương pháp khác để chống lại các nguy cơ đónhư kết hợp các phương pháp bảo mật vật lý, bảo mật máy chủ và đào tạongười sử dụng trong kế hoạch bảo mật toàn bộ hệ thống Một số điểm yếucủa tường lửa được liệt kê dưới đây

a Một tường lửa không thể bảo vệ hệ thống chống lại tấn công

từ những người trong nội bộ

Nếu như tin tặc ở ngay trong tường lửa thì tường lửa không thể làm gìđược Người dùng ở bên trong mạng có thể ăn cắp dữ liệu, làm hư hại phầncứng và phần mềm, và có thể sửa đổi chương trình mà không đến gần tườnglửa Nguy cơ từ bên trong đòi hỏi hệ thống phải có những phương pháp bảomật bên trong, như là máy chủ pháo đài hay nâng cao cảnh giác của ngườidùng.

b Một tường lửa không thể bảo vệ hệ thống với những kết nối không đi qua tường lửa

Một tường lửa có thể quản lý hiệu quả những luồng thông tin đi qua;tuy nhiên tường lửa không thể làm gì với những luồng thông tin không qua

nó Ví dụ nếu như một hệ thống mạng cho phép truy nhập bằng phươngpháp quay số vào mạng bên trong ở sau tường lửa thì tường lửa rõ ràngkhông có cách gì ngăn cản tin tặc dùng modem nối vào

c Một tường lửa không thể ngăn cản những nguy cơ hoàn toàn mới

Một tường lửa được thiết kế để ngăn cản những nguy cơ đã biết Mộttường lửa được thiết kế tốt có thể bảo vệ hệ thống chống lại nhiều nguy cơmới ( Ví dụ bằng việc từ chối tất cả các dịch vụ khác, chỉ cho phép một sốdịch vụ tin cậy đi qua, tường lửa sẽ ngăn chặn người dùng thiết lập các dịch

vụ mới không an toàn) Tuy nhiên, không tường lửa nào có thể tự động bảo

vệ hệ thống chống lại mọi nguy cơ mới đang ngày càng tăng lên Càng ngàytin tặc càng nghĩ ra nhiều cách thức mới để tấn công vào mạng máy tính, do

đó không thể chỉ xây dựng tường lửa một lần mà có thể đảm bảo nó sẽ bảo

vệ hệ thống mãi mãi

d Một tường lửa không thể bảo vệ chống lại virus

Tường lửa không thể kiểm soát virus trên mạng Mặc dù nhiều tườnglửa quét tất cả luồng thông tin để quyết định xem thông tin nào được phép điqua tường lửa vào hệ thống mạng bên trong, nhưng việc quét này chỉ nhằmxác định địa chỉ nguồn, địa chỉ đích và cổng mà dữ liệu sẽ gửi đến mà thôi,chứ không xác định chi tiết về dữ liệu đó Thậm chí với những phần mềmlọc gói dữ liệu tinh vi hay những phần mềm proxy, việc bảo vệ chống lạivirus ở tường lửa không thực tế lắm Đơn giản là vì có quá nhiều loại virus

và quá nhiều cách thức mà virus có thể ẩn trong dữ liệu

4.3 Lựa chọn phương án mua hay xây dựng tường lửa

Ngày nay, một hệ thống mạng muốn có một tường lửa, thì hệ thống đóphải lựa chọn hoặc là mua, hoặc là tự xây dựng lấy Trong vài năm gần đây,rất nhiều tường lửa được đưa ra bán ở thị trường Những sản phẩm đó ngàycàng tăng về số lượng và chức năng với tốc độ rất nhanh, do đó nhiều hệthống mạng có thể dễ dàng tìm ra một sản phẩm thích hợp Tuy nhiên, khixây dựng tường lửa, chúng ta phải hiểu rõ là hệ thống cần những gì để quyếtđịnh xem cú nờn mua tường lửa hay không hay là chỉ cần dùng những công

cụ mà ta có thể tự xây dựng Đây là một sự tính toán đòi hỏi phải xem xétthật kỹ lưỡng Một mạng có khả năng về tài chính nhưng cú ớt chuyên giathường mua sản phẩm tường lửa, trong đó mạng có nhiều chuyên gia nhưnghạn chế về tài chính có thể tự xây dựng lấy

5 Các vấn đề bảo mật với các dịch vụ của mạng Internet

Khi xây dựng bức tường lửa, ta phải xem xét kỹ lưỡng nhiều yếu tố đểquyết định, trong đó việc nghiên cứu kỹ về các vấn đề ta cần bảo mật làquan trọng nhất.Cỏi mà chúng ta cần bảo vệ là những dịch vụ mà ta sẽ dùng

hay cung cấp lên mạng Internet Do đó phần này đi vào xem xét các dịch vụcủa Internet và những vấn đề về bảo mật liên quan.

Có rất nhiều các dịch vụ Internet chuẩn người dùng mạng yêu cầu, vàhầu hết các mạng đều cố gắng cung cấp Có nhiều lý do quan trọng trongviệc sử dụng các dịch vụ đó Nếu không có chỳng thỡ việc kết nối vớiInternet là vô nghĩa Nhưng cũng có rất nhiều vấn đề về bảo mật với từngloại dịch vụ đó

Có rất nhiều các loại dịch vụ trong Internet, nhưng có 6 dịch vụ cơbản quan trọng nhất Đó là:

 Thư điện tử (SMTP)

 Truyền file (FTP)

 Tin tức trên mạng (NNTP)

 Truy nhập thiết bị từ xa ( Telnet)

 Truy cập World Wide Web (HTTP)

 Dịch vụ cung cấp tên và địa chỉ (DNS) : người dùng về cơbản không sử dụng trực tiếp dịch vụ này, nhưng nó nằm dưới 5dịch vụ trờn vỡ nú chuyển đổi từ tên miền Internet sang địa chỉ

IP và ngược lại

Cả 6 dịch vụ trên có thể được cung cấp một cách an toàn bằng nhiềucách khác nhau, bao gồm dùng lọc cỏc gúi hay dùng bức tường lửa proxy sẽđược đề cập ở phần sau Việc cung cấp các dịch vụ này cho phép ngườidùng có thể truy cập được vào hầu hết các nguồn tài nguyên trên Internet

5.1 Thư điện tử

Thư điện tử là một trong những dịch vụ mạng cơ bản và thông dụngnhất Nó ít khi bị nguy hiểm, nhưng không thể nói là hoàn toàn không bị

nguy hiểm Giả mạo thư điện tử là việc dễ dàng thực hiện, và giả mạo thưđiện tử có thể dẫn đến hai kiểu tấn công : tấn công vào thanh danh của mạng

và tấn công vào giao dịch xã hội ( Ví dụ : hacker có thể giả mạo thư củangười quản trị mạng gửi cho người dùng mạng với yêu cầu là đổi passwordtruy nhập) Ngoài ra, việc gửi thư điện tử có thể gắn với việc gửi kốm cỏcvirus

Giao thức truyền thư đơn giản (SMTP) là giao thức chuẩn của Internetdùng cho việc gửi và nhận thư điện tử SMTP thường không gặp nguy hiểm,nhưng máy chủ SMTP thì có khả năng bị tấn công Chương trình chạy trongmáy chủ SMTP để thực hiện dịch vụ thư điện tử thường là phổ dụng, và điềunày làm cho nó dễ là mục tiêu của các hacker

5.2 Truyền file

Giao thức truyền file (FTP) là một giao thức chuẩn của Internet đểdùng cho việc truyền các file từ máy chủ đến các máy trạm Nhưng việc chophép người dùng sử dụng FTP để truyền file từ máy chủ của mạng sẽ cónhiều nguy cơ ảnh hưởng đến an toàn của hệ thống mạng FTP ẩn danh làmột biện pháp phổ thông cho phép người dùng từ xa truy cập vào các file màkhông cho phép họ truy cập tự do vào máy chủ Khi mạng chạy máy chủFTP server, mạng có thể cho phép người dùng gọi ra các file được đặt ởnhững vùng công cộng riêng rẽ trong mạng nhưng không cho phép họ truynhập vào tất cả hệ thống mạng

Để truy nhập vào các file trong máy chủ FTP, người dùng truy nhậpvào mạng với tên truy nhập đặc biệt “anonymous”

Để thiết lập server FTP ẩn danh, mạng phải đảm bảo rằng người dùngkhông thể truy cập vào những vựng khỏc và những file khác trong mạng

Mạng cũng phải đảm bảo rằng người dùng không thể sử dụng máychủ một cách không thích hợp

5.3 Tin tức thảo luận trên mạng

Dịch vụ này cho phép một người có thể gửi thông điệp cho một nhómngười về cùng một đề tài họ đang quan tâm trên mạng TIn tức thảo luậntrên mạng là một phần của Internet, thể hiện dưới dạng những bảng tin, vàđược thiết kế cho nhiều giao tiếp cựng lỳc Mọi người có thể gửi thông điệpcủa mình lên bảng tin đó để nhiều người khác có thể đọc được Kiểu trao đổithông tin này rất giống với thư điện tử, nhưng trong khi thư điện tử chỉ gửiđược cho một hoặc một số ít người thì tin tức thảo luận trên mạng có thể gửicho hàng ngàn người

Nguy cơ của thảo luận trên mạng cũng giống như thư điện tử: ngườidùng tin tưởng vào những thông tin sai trên đó ; người dùng có thể tiết lộnhững thông tin bí mật; và hệ thống mạng có thể bị làm nghẽn Tin tức thảoluận thường gây nghẽn mạch vì số lượng các tin tức nhận về là rất lớn,thuờng hầu hết các mạng nhận được hàng trăm Megabyte thông tin mỗingày, và số lượng đó càng ngày càng tăng Do đó khi thiết lập dịch vụ này,mạng phải được định dạng sao cho không để các dịch vụ khác bị nghẽn

Giao thức truyền tin tức mạng (NNTP) được sử dụng để truyền tin tứcthảo luận trên mạng Khi cài đặt máy chủ phục vụ dịch vụ tin tức thảo luận,phải thực hiện bảo mật cao nhất để đảm bảo cho NNTP không thể tấn côngvào mạng Một số mạng cài đặt máy chủ pháo đài để bảo mật cho dịch vụnày

5.4 Truy cập đầu cuối từ xa

Những chương trình cung cấp truy cập đầu cuối từ xa cho phép hệthống sử dụng hệ thống từ xa giống như là hệ thống được kết nối trực tiếp

Telnet là một chuẩn cho truy cập đầu cuối từ xa trên Internet Telnetcho phép hệ thống cung cấp truy cập từ xa cho người dùng từ bất kỳ site nàođược nối với Internet mà không phải cài đặt gì đặc biệt

Telnet đã được coi là một dịch vụ tương đối an toàn vì mỗi ngườidùng đều phải cung cấp tên và mật khẩu của họ để truy cập vào Nhưngkhông may là Telnet gửi tất cả thông tin đi mà không mó hoỏ, và điều nàylàm cho nó rất dễ bị tấn công Vì lý do đó, giờ đây Telnet được coi là mộttrong những dịch vụ nguy hiểm nhất khi sử dụng để truy nhập vào hệ thống

từ những mạng từ xa Telnet được an toàn chỉ khi máy từ xa và tất cả mạnggiữa nó và máy nội bộ an toàn Điều này có nghĩa là Telnet không an toàntrên mạng Internet Nhưng mặt khác, Telnet cũng thật sự có ích và kinh tếkhi là một phương pháp truy cập từ xa khi người sử dụng thường xuyên phải

đi xa ở những nơi mà sử dụng modem còn khó khăn, chậm và đắt tiền thì sửdụng kết nối Internet qua Telnet là một biện pháp tốt nhất

5.5 The World Wide Web

Mail, FTP, Telnet xuất hiện từ những ngày đầu tiên của Internet, cònWorld Wide Web (WWW) là một khái niệm mới và hoàn toàn dựa trên nềnInternet, dựa vào một phần của những dịch vụ có sẵn, và một phần vào mộtgiao thức mới, giao thức truyền siêu văn bản (HTTP)

WWW là một tập hợp của những máy chủ HTTP trên Internet Ngàynay có rất nhiều tổ chức và cá nhân phát triển Web cho người dùng và phầnmềm cho máy chủ Web sử dụng công nghệ liên kết siêu văn bản để kết nối

những trang web của tài liệu với nhau Những tài liệu này bao gồm văn bản,hình ảnh, các tệp âm thanh, các tệp phim, và nhiều khuôn dạng khác Liênkết siêu văn bản cho phép kết nối từ một tài liệu tới những tài liệu khỏc trờnInternet Người dùng có thể chuyển tự do từ tài liệu này đến tài liệu khác màkhông cần quan tâm đến những tài liệu đó được đặt ở đâu, bằng cách kíchchuột vào một từ hay một hình ảnh đã được gán đó là liên kết.

HTTP là một giao thức ứng dụng sơ cấp làm cơ sở cho World WideWeb: nó cung cấp cho người dùng khả năng truy cập tới những tệp tạo nênWeb Như đề cập ở trên, những tệp đó có thể có nhiều khuôn dạng khácnhau ( văn bản, hình ảnh, âm thanh, phim ), nhưng khuôn dạng thôngthường nhất trên Web là Ngôn ngữ siêu văn bản (HTML) HTML là mộtngôn ngữ mô tả trang được chuẩn hoá để tạo những trang Web

Trình duyệt Web là một chương trình được chạy trên máy tính củangười dùng sử dụng dịch vụ Web dùng để xem các trang Web Nhưngnhững trình duyệt Web và máy chủ Web lại khó có thể bảo mật Sự hữu íchcủa Web phần lớn dựa vào tính linh hoạt của nó, nhưng chớnh tớnh linh hoạtlại làm cho việc quản lý khó khăn hơn Việc các trình duyệt Web dễ dànglấy về và chạy các chương trình trờn mỏy từ Internet gây ra nguy cơ có thểcác trình duyệt Web đưa về và chạy các chương trình nguy hiểm

5.6 Dịch vụ cung cấp tên miền (DNS)

Dịch vụ cung cấp tên miền là dịch vụ chuyển đổi giữa tên của máychủ mà người dùng sử dụng với địa chỉ IP mà máy tính dùng Trong thờigian đầu của Internet, mỗi mạng đều có một bảng danh sách các máy chủ,trong đó liệt kê tất cả cỏc tờn và địa chỉ số của những máy tính trên Internet

mà họ quan tâm Do có hàng triệu máy chủ trên Internet nên việc mỗi mạngmáy tính có một bảng danh sách máy chủ của tất cả cỏc mỏy trờn Internet là

không thực tế Thay vào đó, dịch vụ cung cấp tên miền (DNS) cho phép mỗimạng máy tính giữ thông tin về các máy chủ của mạng đó, và có thể tìmkiếm thông tin về các mạng khác DNS không là mức dịch vụ người dùng,nhưng nó là cơ sở cho các dịch vụ khác như SMTP, FTP, Telnet bởi vìngười dùng muốn gõ vào là “ telnet fictional.com “ hơn là gõ vào “ telnet10.100.242.32” Hơn nữa, nhiều máy chủ FTP ẩn danh không cho phép kếtnối từ người dùng trừ khi họ dùng DNS để tỡm tờn máy chủ, và truy cậpvào.

Kết quả cuối cùng là hệ thống mạng phải dùng và cung cấp dịch vụcung cấp tên miền để có thể kết nối với Internet Nguy cơ chính khi cungcấp dịch vụ DNS là có thể hệ thống đưa nhiều thông tin ra ngoài hơn dựđịnh Ví dụ DNS cho phép chúng ta đưa kèm thông tin về phần cứng vàphần mềm đang sử dụng mà thông tin này chúng ta không muốn tin tặc biếtđược Trên thực tế, thậm chí hệ thống mạng không muốn tin tặc biết đượctên của tất cả các máy tính bên trong

5.7 Những dịch vụ quản lý mạng

Có rất nhiều dịch vụ dùng để quản lý và duy trì mạng; đó là nhữngdịch vụ mà hầu hết người dùng không sử dụng, nhưng chúng là những công

cụ rất quan trọng cho người quản trị mạng

Hai công cụ thông dụng nhất để quản trị mạng là ping và traceroute.

Chúng không có giao thức riêng mà sử dụng cùng giao thức nền là ICMP( Giao thức thông điệp điều khiển Internet) ICMP là một giao thức bổ sung

ở mức thấp, một phần của giao thức TCP/IP mà tất cả người dùng Internetđều sử dụng

Ping dùng để kiểm tra sự đến của cỏc gúi tin; nó cho ta biết cỏc gúi

tin có đi đến được một máy chỉ định không, thời gian mà cỏc gúi đi đến và

quay về máy của ta là bao nhiêu Traceroute cho ta biết chi tiết hơn ping,

ngoài sự đến và thời gian truyền của cỏc gúi tin, cũn cú thờm thông tin về

đường truyền của cỏc gúi tin để đến được máy chỉ định Traceroute rất có

ích cho việc phân tích và sửa lỗi của đường truyền giữa hệ thống mạng vàcác mạng khác Không có nhiều nguy cơ bên ngoài gây ra với ping vàtraceroute, chúng có thể được dùng để tấn công kiểu từ chối dịch vụ, nhưngcũng không nhiều hơn so với các giao thức khác Nguy cơ lớn hơn là chúng

có thể được sử dụng để kiểm tra sự tồn tại của các máy chủ trong hệ thốngmạng, trước khi tấn công vào các máy chủ đú Vỡ lý do này mà nhiều mạngngăn cản hoặc hạn chế những gói tin giống vậy đi vào

Giao thức quản lý mạng đơn giản (SNMP) là một giao thức được thiết

kế để quản lý những thiết bị mạng ( router, bridge, hub và rộng hơn làmáy chủ) Dùng giao thức này có thể từ một máy trạm điều khiển các chứcnăng của thiết bị mạng Nguy cơ với giao thức SNMP là tin tặc có thể nắmquyền kiểm soát các thiết bị mạng và có thể định dạng lại cấu hình củachúng, làm cho hệ thống bị sai, hỏng

6 Các kỹ thuật, thiết bị và phương pháp dùng để xây dựng tường lửa

Như đã trình bày ở trên, một tường lửa là một tập hợp của các thiết bịphần cứng : một router, một máy tính chủ, hay là một sự kết hợp của cácrouter, máy tính và mạng với phần mềm thích hợp Nói rộng hơn, tường lửa

là một sự kết hợp giữa phần cứng và phần mềm để kiểm soát việc trao đổithông tin giữa mạng cần bảo vệ và mạng Internet bên ngoài, hay giữa những

phần của mạng với nhau Phần này trình bày một loạt các kỹ thuật, các thiết

bị phục vụ cho việc xây dựng tường lửa

Dưới đây là một số những định nghĩa cơ bản:

Firewall : Tường lửa

Router : bộ dẫn đường, là một thiết bị phần cứng dùng để kết nối giữacác mạng máy tính với nhau

6.1 Các giải pháp phần mềm cho tường lửa

6.1.1 Phương pháp lọc gói dữ liệu

Phần đầu của mỗi gói dữ liệu có chứa các thông tin sau:

Kỹ thuật lọc gói dữ liệu thường được thiết kế trong các bộ dẫn đườngrouter là thiết bị cơ bản để liên kết giữa các mạng IP Cỏc gúi dữ liệu đượctruyền từ router này đến router khác cho đến khi nó tới được đích

Router thực hiện việc chỉ đường cho mỗi gói dữ liệu mà nó nhậnđược Mỗi router có chứa bảng đường truyền trong bộ nhớ và router dựngchỳng để thực hiện việc truyền cỏc gúi tin nhận được đến đích Trong routerlọc gói dữ liệu, khi nhận được gói dữ liệu, nó không truyền ngay đến đích

mà kiểm tra xem gói dữ liệu này có được phép truyền không, bằng cách dựavào các luật (rule) đã được thiết lập trong hệ thống Cỏc gúi dữ liệu khônghợp lệ sẽ bị giữ lại và cũng không gửi phản hồi lại cho nơi phát

Hình aa.2 Lọc gói dữ liệu dùng router có lọc

b Các ưu điểm của lọc gói dữ liệu

1 Một router lọc gói dữ liệu có thể bảo vệ cả một hệ thống

Một trong những ưu điểm chính của lọc gói dữ liệu là một router đượcthiết lập tốt có thể bảo vệ cả một hệ thống Nếu như chỉ có một router để nốigiữa mạng và Internet, hệ thống có được khả năng to lớn trong việc bảo mật,

không phụ thuộc vào kích cỡ của hệ thống mạng, bằng việc sử dụng lọc gói

dữ liệu trong router

2 Lọc gói dữ liệu đơn giản trong sử dụng

Lọc gói dữ liệu không cần bất kỳ phần mềm bổ trợ nào và cũng khôngphải định dạng cho máy chủ Các thao tác của người dùng vẫn như vậy,không đòi hỏi bất kỳ yêu cầu nào đối với người dùng trong mạng Thậm chíngười dùng trong mạng không biết đến sự có mặt của việc lọc gói dữ liệutrong hệ thống, trừ khi họ gửi đi những dữ liệu không hợp lệ với các luậtđược thiết lập trong router lọc gói dữ liệu

3 Lọc gói dữ liệu được sử dụng rộng rãi ở rất nhiều router

Kỹ thuật lọc gói dữ liệu được sử dụng rộng rãi ở nhiều sản phẩm phầncứng và phần mềm Hầu hết các router trong các hệ thống mạng đều có tínhnăng lọc gói dữ liệu

c Yếu điểm của phương pháp lọc gói dữ liệu

1 Những công cụ lọc gói dữ liệu chưa thật sự hoàn hảo

 Những luật trong lọc gói dữ liệu khó thiết lập

 Khi thiết lập xong,cỏc luật để lọc gói dữ liệu khó có thểkiểm tra được

 Tính năng lọc gói dữ liệu trong nhiều sản phẩm không đầy

đủ, làm cho việc bổ sung thờm cỏc kiểu lọc với yêu cầu caohơn khó hay nhiều lúc không thể làm được

 Cỏc gói dữ liệu sau khi lọc có thể có lỗi

2 Một số giao thức không tương thích với lọc gói dữ liệu

Một số giao thức không tương thích với lọc gói dữ liệu, do đó sẽ cólỗi khi dữ liệu dùng giao thức đó truyền qua bộ lọc.

3 Một số luật không thể dễ dàng thực hiện được với các router lọc gói dữliệu thông thường

Do hạn chế trong thông tin mà router lọc gói dữ liệu có được, một sốluật không thể thực hiện được Ví dụ như cỏc gúi chỉ cho biết địa chỉ đến,chứ không cho biết tên người dùng gửi thông tin, do đó không thể hạn chếnhững người dùng khác nhau

Router lọc gói dữ liệu thường được gọi là router có lọc (screenedrouter) Nú chớnh là router thông thường cú thờm tính năng lọc gói dữ liệu

6.1.2 Đặt cấu hình cho router có lọc

Để đặt cấu hình cho router có lọc, chúng ta phải quyết định loại dịch

vụ nào được phép truyền và loại dịch vụ nào bị loại bỏ, sau đó chuyểnnhững quyết định đó thành những luật cho cỏc gúi tin Phần này đưa ra một

số khái niệm chung mà ta cần ghi nhớ khi chuyển những quyết định về cácloại dịch vụ thành những luật cho cỏc gúi tin

a Các giao thức thường là hai hướng

Các giao thức truyền thường có hai hướng; đó là một hướng gửi yêucầu hay lệnh và hướng ngược lại để trả lời Do đó khi ta đưa ra các luật, taphải nhớ là cỏc gúi tin đi theo hai chiều

b Chế độ mặc định cho router nên là từ chối

Thông thường khi thiết lập các luật, khi loại hình dịch vụ nào ta không

đề cập đến trong các luật thì loại hình đó sẽ nhận được giá trị mặc định củarouter Nếu router để chế độ mặc định là cho phép thì rất dễ gây nguy hiểm

cho hệ thống vỡ cỏc loại dịch vụ mới có thể đi qua lọc gói dữ liệu xâm nhậpvào Do đó tốt hơn cả là chế độ mặc định của router là từ chối, sau đó ta thiếtlập các luật cho từng dịch vụ mà ta quan tâm.

6.1.3 Phương pháp dùng máy chủ đại diện (proxy server)

Nguyên lý của phương pháp này là dùng một máy chủ, được cài đặtmột chương trình chuyên dụng là “proxy program” để trở thành máy chủ đạidiện Máy chủ này có thể là máy chủ có hai giao diện “dual-home host” vớimột giao diện kết nối với mạng bên trong và một giao diện kết nối với mạngbên ngoài hay có thể là máy chủ pháo đài “bastion host” có quyền truy nhậpvào Internet và cỏc mỏy khỏc có thể truy nhập vào nó Chương trình proxychạy trên máy chủ đại diện tiếp nhận các yêu cầu dịch vụ của các máy trạmbên trong mạng, gửi những yêu cầu đó đi ra bên ngoài tuỳ thuộc vào các luậtbảo mật của mạng, và sau đó lại gửi trả lại kết quả cho các máy trạm Nhưvậy máy chủ đại diện như là một cổng kết nối giữa mạng bên trong và mạngbên ngoài

Máy chủ đại diện như tên gọi, là trung gian cho các giao tiếp dịch vụgiữa các máy trạm trong mạng và Internet Thay cho việc dựng cỏc dịch vụInternet trực tiếp, từng máy trạm làm việc với máy chủ đại diện Máy chủđại diện thực hiện tất cả giao tiếp giữa người dùng và những dịch vụ Internetmột cách bí mật

Dùng máy chủ đại diện là máy chủ hai giao diện

Tính trong suốt là một lợi thế lớn của việc sử dụng chương trìnhproxy Về phía người dùng, máy chủ đại diện làm cho người dùng tưởngrằng đang làm việc trực tiếp với Internet Về phía Internet, máy chủ làm chocỏc mỏy trờn Internet tưởng là đang làm việc trực tiếp với người dùng bêntrong mạng

Một điều cần lưu ý là việc sử dụng máy chủ đại diện chỉ có ý nghĩakhi chúng được sử dụng cùng với các kỹ thuật khác không cho phép kết nốitrực tiếp giữa mạng bên trong và Internet Dùng máy chủ hai giao diện haylọc gói dữ liệu là hai kỹ thuật đi kèm Nếu máy bên trong có thể kết nối trựctiếp với bên ngoài, người dùng sẽ không cần sử dụng máy chủ đại diện, vàthường là họ không sử dụng Việc này sẽ không phù hợp với các luật bảomật của mạng

Chương trình proxy thông thường gồm hai phiên bản, phiên bản

“proxy server” dùng để cài cho máy chủ và phiên bản “proxy client” dùngcho máy trạm của mạng Phiên bản proxy cho máy trạm có thể là một phần

của các chương trình thông thường chạy trên máy trạm Khi làm việc, máytrạm gửi các yêu cầu đến máy chủ đại diện Máy chủ kiểm tra các yêu cầu

đó, và quyết định xem yêu cầu nào là chấp nhận được và yêu cầu nào bị loại

bỏ Với các yêu cầu được chấp nhận, máy chủ đại diện kết nối với cỏc mỏy

ở trên Internet bên ngoài gửi yêu cầu, sau đó nhận trả lời và dùng kết quả đógửi trả cho các máy trạm

Dùng kiểu máy chủ đại diện là một giải pháp phần mềm, do đó nó cóthể kết hợp với các cấu trúc tường lửa khác nhau, ta sẽ núi sõu trong phầntiếp theo

a Ưu điểm của phương pháp dùng đại diện

- Máy chủ đại diện cho phép người dùng có thể truy cập vào Internet

“trực tiếp”

Với máy chủ kiểu hai giao diện( sẽ nói phần sau), người dùng phảiđăng nhập vào máy chủ trước khi sử dụng các dịch vụ Internet Điều nàythường không thuận tiện cho người dùng và dễ khiến người dùng chán nản.Với máy chủ đại diện, người dùng có cảm giác là đang kết nối trực tiếp vớiInternet

- Dễ dàng cho việc ghi lại

Do máy chủ đại diện có thể hiểu được các giao thức cấp thấp, chúngcho phép ghi lại các sự kiện một cách hiệu quả Ví dụ thay cho việc ghi lạitất cả dữ liệu truyền qua, một máy chủ đại diện chỉ ghi lại các lệnh và các trảlời, các kết quả này nhỏ hơn và có ích hơn

b Nhược điểm của phương pháp

- Những dịch vụ mà máy chủ đại diện cung cấp thường ít hơn so với

các dịch vụ trên Internet Việc này gây ra khó khăn cho mạng khi muốn

cung cấp những dịch vụ mới Trước khi chờ việc nâng cấp chương trìnhproxy cho các dịch vụ mới, hệ thống muốn cung cấp dịch vụ mới thì phải đặtchúng ở bên ngoài tường lửa, dẫn đến gây lỗ hổng trong bảo mật hệ thống.

- Phương pháp này thường đòi hỏi việc sửa đổi cấu hình trong chươngtrình sử dụng dịch vụ, trong máy trạm

Ngoại trừ một số dịch vụ được thiết kế phù hợp với phương pháp máychủ đại diện, máy chủ đại diện thường đòi hỏi phải cấu hình lại cho chươngtrình sử dụng dịch vụ và cho máy trạm, dẫn đến gây khó khăn cho ngườidùng trong việc sử dụng các dịch vụ đó Do có sự sửa đổi đó, những dịch vụqua máy chủ đại diện thường chạy không tốt bằng chạy trực tiếp

- Phương pháp này không áp dụng được cho một số dịch vụ

Một số dịch vụ không thể chạy qua máy chủ đại diện vỡ tớnh phức tạpcủa dịch vụ như nói chuyện trên mạng

- Phương pháp này không thể bảo vệ hệ thống khỏi các yếu điểm củagiao thức truyền

Là một giải pháp bảo mật, phương pháp dựa trên khả năng có thể xácđịnh thao tác nào trong giao thức là an toàn Với một số giao thức, việc đó làkhó có thể thực hiện được Ví dụ với giao thức X Window System, giao thứcđưa ra một số lượng lớn các thao tác không an toàn, và giao thức này sẽkhông chạy được nếu bỏ đi những thao tác không an toàn đó HTTP đượcthiết kế để làm việc thích nghi với máy chủ đại diện, nhưng nó cũng đượcthiết kế với tính mở rộng cao, và với việc mở rộng đú nú cho phép nhiều loại

dữ liệu đi qua Máy chủ đại diện không thể bảo vệ hệ thống khỏi những dữliệu đó nếu những dữ liệu đó là không an toàn

6.2 Các giải pháp thiết bị của một tường lửa

6.2.1 Máy chủ hai giao diện (đa giao diện)

Máy chủ hai giao diện là một máy chủ có cài đặt hai phần cứng mạnggiao tiếp hay hai card mạng Card mạng là một thiết bị phần cứng cài đặttrong máy tính để thực hiện giao tiếp với hệ thống mạng Do có hai giaotiếp nên máy chủ có thể giao tiếp với hai hệ thống mạng khác nhau Khichức năng dẫn đường(routing) của máy chủ hai giao diện tắt đi, máy chủ cóthể thực hiện việc cách ly giao thông giữa hai hệ thống mạng Mỗi hệ thốngmạng có thể chạy các ứng dụng trên máy chủ hai giao diện Hơn thế nữa,nếu được phép, hai mạng có thể chia sẻ dữ liệu qua máy chủ hai giao diện.Không có bất kỳ kết nối nào giữa mạng bên trong và mạng bên ngoài, tất cảcác trao đổi thông tin giữa hai mạng là trên máy chủ hai giao diện

Những dịch vụ trên Internet như thư điện tử hay tin tức trên mạng lànhững dịch vụ cơ bản dạng lưu trữ- và - gửi đi Nếu những dịch vụ đó chạytrên máy chủ hai giao diện, chúng có thể được cấu hình để truyền nhữngdịch vụ ứng dụng từ mạng bên trong ra bên ngoài Nếu những dữ liệu ứngdụng muốn truyền qua máy chủ hai giao diện, hệ thống thường sử dụng phầnmềm “proxy program” cài đặt trên máy chủ hai giao diện để truyền những

dữ liệu đó Phần mềm này thực hiện việc gửi các yêu cầu giữa mạng bêntrong và mạng bên ngoài Dữ liệu gửi đi và nhận về đều được lưu trữ trênmáy chủ hai giao diện, được kiểm tra và sau đó được gửi đi Một cách khác

để cho phép sử dụng những dịch vụ trên máy chủ hai giao diện là cho phépngười dùng trực tiếp truy nhập vào máy chủ hai giao diện, sau đó truy nhập

ra những dịch vụ bên ngoài từ giao diện với mạng bên ngoài

Nếu sử dụng chương trình “proxy program”, những luồng thông tinkhông thể đi qua máy chủ hai giao diện trừ khi chương trình này chạy và

được cấu hình trên máy chủ Nếu như cho phép người dùng truy nhập trựctiếp vào máy chủ hai giao diện, bảo mật mạng có thể bị phá vỡ Đó là vì máychủ hai giao diện là tâm điểm của kết nối giữa mạng bên trong và mạng bênngoài, hay nói cách khác là máy chủ hai giao diện ở trong vùng nguy hiểm.Nếu như người dùng sử dụng mật khẩu dễ đoán, vùng nguy hiểm sẽ lan đếnmạng bên trong, dẫn đến làm mất tác dụng của máy chủ hai giao diện.

6.2.2 Máy chủ pháo đài

Máy chủ pháo đài là những máy chủ đại diện của hệ thống mạng trênInternet Một máy chủ pháo đài là một hệ thống mà tất cả những ai ở ngoài

hệ thống mạng, phải nối với nó để truy nhập vào dịch vụ hay hệ thống ở bêntrong tường lửa

Như thiết kế, một máy chủ pháo đài thường bị phơi bày ra ngoài vì sựhiện diện của nó được Internet biết đến Vì lý do này, những người xây dựngtường lửa cần tập trung những biện pháp bảo mật vào máy chủ pháo đài.Máy chủ pháo đài là những máy chủ dễ bị nguy hiểm nhất trong bảo mậtmạng Một máy chủ pháo đài là một máy chủ trung tâm trong hệ thống bảomật Do nó dễ gặp nguy hiểm trong bảo mật nờn nú phải được bảo vệ tốtnhất Điều này có nghĩa là máy chủ pháo đài được giám sát chặt chẽ bởingười quản trị mạng Những phần mềm trong máy chủ pháo đài và bảo mật

hệ thống cần được đều đặn kiểm tra Những nhật ký truy nhập phải đượckiểm tra thường xuyên để tìm ra những lỗ hổng trong bảo mật cũng nhưnhững hành động nhằm tấn công vào máy chủ pháo đài

Xây dựng máy chủ pháo đài

Việc xây dựng máy chủ pháo đài được thực hiện theo các bước sau:

a Làm tin cậy máy chủ

Cài đặt máy chủ với hệ điều hành chuẩn và thực hiện bảo mật hệ điềuhành càng cao càng tốt Thực hiện sửa hết các lỗi trong hệ điều hành bằngcác chương trình sửa lỗi mới nhất

b Bỏ đi những dịch vụ không cần thiết

Những dịch vụ máy chủ pháo đài cung cấp đều có thể có lỗi và có thể

bị thiết lập sai Điều này dẫn đến nguy cơ với bảo mật cho máy chủ pháođài Do đó những dịch vụ không thực sự cần thiết trong máy chủ pháo đàinên bỏ đi ngay vì càng ít dịch vụ thì càng hạn chế các lỗi bảo mật

c Cài đặt các dịch vụ cần cung cấp và xây dựng các thiết lập chodịch vụ

Các dịch vụ cần cung cấp sẽ được cài đặt lên máy chủ cùng với cácthiết lập cân nhắc kỹ lưỡng để đảm bảo bảo mật cho từng loại hình dịch vụ.Chú ý cập nhật các bản sửa lỗi mới nhất để nâng cấp tính bảo mật của dịchvụ

d Kiểm tra lại máy chủ một lần nữa trước khi vận hành

Sau khi cài đặt các dịch vụ, việc kế tiếp là kiểm tra toàn bộ hệ thốngcủa máy chủ pháo đài, bỏ đi những chương trình không cần thiết trong máychủ Các tệp dữ liệu và hệ điều hành chuyển đến số lượng tối đa cho phépsang chế độ chỉ đọc

e Chạy trương trình kiểm tra bảo mật

Nờn dùng một số phần mềm kiểm tra các lỗi bảo mật để kiểm tra máychủ pháo đài Các phần mềm này sẽ phát hiện những lỗi bảo mật cũn súttrong hệ thống Sau đó thực hiện sửa các lỗi bảo mật đó

f Kết nối máy chủ pháo đài với Internet

Sau khi hoàn thành việc bảo mật cho máy chủ pháo đài ta tiến hànhviệc kết nối máy chủ pháo đài vào mạng và kết nối với Internet Trong quátrình hoạt động của máy chủ pháo đài phải thường xuyên kiểm tra theo dõicác nhật ký để phát hiện kịp thời các lỗi bảo mật.

6.3 Kết hợp các kỹ thuật và thiết bị để xây dựng các cấu trúc tường lửa khác nhau

6.3.1 Cấu trúc máy chủ hai giao diện

Cấu trúc máy chủ hai giao diện được xây dựng trên một máy tính cóhai giao diện mạng Máy chủ này có thể đóng vai là một bộ dẫn đường giữahai hệ thống mạng mà máy chủ nối tới Hệ thống bên trong tường lửa có thểliên hệ với máy chủ hai giao diện, và những mạng bên ngoài tường lửa(Internet ) có thể liên hệ với máy chủ hai giao diện, nhưng giữa bên trong vàbên ngoài không thể liên hệ trực tiếp với nhau

Cấu trúc máy chủ hai giao diện

Cấu trúc này tương đối đơn giản, máy chủ hai giao diện nằm ở giữa vàđược kết nối với Internet và mạng bên trong.

Máy chủ hai giao diện có thể cung cấp quản lý ở mức cao Trong một

số trường hợp, máy chủ hai giao diện có thể cho phép hệ thống ngắt bỏ kếtnối của một số dịch vụ khi các dịch vụ này truyền sai kiểu dữ liệu ( Một hệthống lọc gói dữ liệu khó có thể làm gì với mức quản lý này) Tuy nhiên, nócũng đòi hỏi phải thực hiện một số lớn công việc để có thể có được tínhnăng này

Một máy chủ đại diện chỉ có thể cung cấp các dịch vụ bằng việc chạychương trình “proxy program” đã nói ở trên hay cho phép người dùng truynhập vào máy chủ một cách trực tiếp Tuy nhiên việc cung cấp dịch vụ bằngcách cho người dùng truy nhập trực tiếp có thể gây ra nguy hiểm cho hệthống nếu người dùng không cẩn thận ( để mất mật khẩu, chạy sai chươngtrình ), hơn nữa, nhiều người dùng cảm thấy không thuận lợi khi phải truynhập vào máy chủ hai giao diện trước khi sử dụng các dịch vụ

Dùng chương trình proxy thuận tiện hơn, nhưng như đã nói ở trên,không thể cung cấp cho tất cả các dịch vụ Cấu trúc tường lửa mạng con cólọc phần kế tiếp đưa ra một số lựa chọn cho việc cung cấp các dịch vụ mới

và không tin cậy lắm

6.3.2 Cấu trúc máy chủ có lọc

Ngược với cấu trúc máy chủ hai giao diện, cấu trúc máy chủ có lọccung cấp các dịch vụ từ máy chủ chỉ nối với mạng bên trong, sử dụng routerriêng Trong cấu trúc này, bảo mật đầu tiên được cung cấp bởi lọc gói dữliệu

Hình 3.3.2 Cấu trúc máy chủ có lọc

Máy chủ pháo đài nằm ở mạng bên trong Lọc gói dữ liệu trên router

có lọc được cài đặt sao cho máy chủ pháo đài là nơi duy nhất ở mạng bêntrong mà các máy chủ trên Internet có thể kết nối tới ( ví dụ như để phânphối những thư điện tử đi tới) Thậm chí hơn nữa là chỉ một số kiểu kết nối

là được chấp nhận Bất kỳ mạng bên ngoài nào muốn truy nhập vào hệ thốnghay dịch vụ bên trong đều phải nối tới máy chủ này Máy chủ pháo đài do đócần phải thiết lập bảo mật máy chủ ở mức cao

Lọc gói dữ liệu cũng cho phép máy chủ pháo đài mở những kết nốiđược phép (“ được phộp” ở đây được quyết định bởi chính sách bảo mật của

hệ thống) tới Internet bên ngoài Lọc gói dữ liệu được cấu hình trong router

có lọc sẽ thực hiện một trong những liệt kê dưới đây:

 Cho phép những máy chủ bên trong có thể mở những kết nối tớinhững máy chủ trên Internet cho những dịch vụ nhất định ( cho phép nhữngdịch vụ đó qua lọc gói dữ liệu)

 Cấm tất cả những kết nối từ những máy chủ bên trong ra ngoài (bắttất cả những máy chủ đó phải qua máy chủ đại diện là máy chủ pháo đài sửdụng chương trình proxy)

Hệ thống có thể kết hợp các kiểu trên cho những dịch vụ khác nhau;một số dịch vụ có thể được cho phép qua lọc gói dữ liệu trong khi nhữngdịch vụ khác chỉ được cho phép đi không trực tiếp qua máy chủ đại diện Tất

cả đều phụ thuộc vào chính sách riêng của từng mạng

Vì cấu trúc này cho phép cỏc gúi tin truyền từ Internet tới mạng bêntrong, do đó dường như nó có thể gây nguy hiểm cho hệ thống hơn cấu trúcmáy chủ hai giao diện, là kiểu được thiết kế sao cho không có gói dữ liệubên ngoài nào có thể trực tiếp đến được mạng bên trong Nhưng trong thực

tế, cấu trúc máy chủ hai giao diện cũng dễ bị phá hỏng làm cho cỏc gúi tin

có thể thực sự truyền từ mạng bên ngoài vào mạng bên trong (Do kiểu hỏngnày khó dự đoán được, cho nên dường như không thể chống lại kiểu tấncông theo kiểu này) Hơn thế nữa, việc bảo vệ router là dễ hơn (do router chỉcung cấp một số hữu hạn các dịch vụ) so với bảo vệ máy chủ Để đáp ứnghầu hết các mục đích , cấu trúc máy chủ có lọc là bảo mật hơn và tính năng

sử dụng cũng tốt hơn so với cấu trúc máy chủ hai giao diện

Tuy nhiên khi so sánh với các cấu trúc khác, như cấu trúc mạng con

có lọc được trình bày trong phần tiếp theo, thì cấu trúc máy chủ có lọc cómột số hạn chế nhất định Hạn chế lớn nhất là nếu tin tặc xâm nhập đượcvào máy chủ pháo đài thì không còn có tuyến bảo vệ nào nữa giữa máy chủpháo đài và các máy chủ còn lại của hệ thống Router cũng là một điểm dễ bịtổn thương Nếu router bị xâm nhập vào, thì toàn bộ hệ thống mạng bị nguyhiểm Vì lý do này, cấu trúc mạng con có lọc trở nên phổ biến

6.3.3 Cấu trúc mạng con có lọc

Cấu trúc mạng con có lọc là cấu trúc máy chủ có lọc cộng thêm mộtlớp bảo mật nữa bằng cách đưa thêm một mạng vòng ngoài để cách ly giữamạng bên trong và Internet Ta sẽ giải thích lý do tại sao lại thực hiện nhưvậy

Như thiết kế ban đầu, máy chủ pháo đài là những máy dễ bị tấn côngnhất trong mạng máy tính Mặc dù người quản trị mạng luôn cố gắng tối đa

để bảo vệ chúng, nhưng những máy này dường như thường xuyên bị tấncông Và với cấu trúc máy chủ có lọc, khi máy chủ pháo đài bị xâm nhậpvào thì không có sự bảo vệ nào khác giữa nó và những máy chủ khác trongmạng Nếu như tin tặc thành công trong việc xâm nhập vào máy chủ pháođài, cả hệ thống mạng sẽ gặp nguy hiểm

Bằng việc cách ly máy chủ pháo đài trên mạng vòng ngoài, hệ thống

có thể giảm bớt nguy hiểm khi máy chủ pháo đài bị xâm nhập

Kiểu đơn giản nhất của cấu trúc mạng con có lọc gồm có hai router cólọc, mỗi cái được nối với mạng vòng ngoài Một cái ở giữa mạng vòng ngoài

và mạng bên trong, và cái còn lại nằm giữa mạng vòng ngoài và Internet Đểxâm nhập vào mạng bên trong của cấu trúc này, tin tặc phải vượt qua cả hairouter Nếu như bằng cách nào đó mà tin tặc xâm nhập vào được máy chủpháo đài, hắn ta phải vượt qua router bên trong ở đây không có điểm nguyhiểm nào để có thể gây tổn hại đến mạng bên trong

Một số mạng còn làm hơn thế nữa bằng cách tạo một loạt các mạngvòng ngoài giữa Internet và mạng bên trong Những dịch vụ kém tin tưởng

và nhiều nguy hiểm được đặt ở những lớp mạng vòng ngoài xa mạng bêntrong nhất ý tưởng này là nếu tin tặc thành công trong việc xâm nhập vào

máy chủ trên mạng vòng ngoài thì sẽ phải mất nhiều thời gian để có thể xâmnhập vào mạng bên trong Điều này chỉ đúng nếu như hệ thống lọc giữa cáclớp mạng được thiết lập khác nhau Nếu như bảo mật giữa các lớp mạng lànhư nhau thì việc tạo nhiều lớp mạng vòng ngoài là không có ý nghĩa.

Cấu trúc mạng con có lọc ( sử dụng hai router)

Sau đây ta sẽ tìm hiểu sâu hơn về các thành phần của cấu trúc này

a Mạng vòng ngoài

Mạng vòng ngoài là một lớp khác của bảo mật, một mạng đưa thêmvào giữa mạng bên trong và Internet Nếu tin tặc thành công trong việc xâmnhập vào phần ngoài của tường lửa, mạng vòng ngoài sẽ thực hiện việc bảomật ngăn cản tin tặc với mạng bên trong

Sau đây là một ví dụ cho thấy tác dụng của mạng vòng ngoài Rấtnhiều phần thiết lập mạng cho phép bất kỳ máy tính nào trong mạng cũng cóthể nhìn thấy được thông tin truyền trên mạng của tất cả cỏc mỏy khỏc (Ví

dụ với các mạng Ethernet) Những tin tặc có thể thành công trong việc lấy

cắp được mật khẩu bằng cách theo dõi các luồng thông tin đó bằng cách sửdụng các lệnh của Telnet, FTP hay rlogin Thậm chí nếu không ăn cắp đượcmật khẩu, tin tặc cũng có thể xem trộm được nội dung của các tệp dữ liệuquan trọng khi người dùng đang sử dụng.

Với mạng vòng ngoài, nếu như tin tặc xâm nhập vào máy chủ pháođài trong mạng vòng ngoài, hắn ta chỉ có thể theo dừi cỏc luồng thông tintrên mạng đó mà thôi Tất cả các luồng thông tin trên mạng vòng ngoài cóthể là từ máy chủ pháo đài hay từ Internet Do chắc chắn không có luồngthông tin trao đổi bên trong được truyền qua mạng vòng ngoài, luồng thôngtin trao đổi bên trong luôn được an toàn trước con mắt rình mò của tin tặc

Tuy nhiên, luồng thông tin trao đổi từ máy chủ pháo đài hay mạngbên ngoài vẫn có thể nhìn thấy Một phần trong việc xây dựng tường lửa làphải đảm bảo những luồng thông tin đó không có chứa những thông tin bímật mà việc đọc trộm được nó không thể gây nguy hại cho toàn bộ hệ thốngmạng

b Máy chủ pháo đài

Với cấu trúc mạng con có lọc, hệ thống gắn máy chủ pháo đài vàomạng vòng ngoài Máy chủ này là điểm liên kết chính cho các kết nối đi vào

từ Internet, ví dụ như :

 Cho những kết nối email đi vào (SMTP) để truyền thư điện tử tớimạng

 Cho những kết nối FTP đi vào tới các máy chủ FTP

 Cho những yêu cầu dịch vụ cung cấp tên miền đi vào

Những dịch vụ bên ngoài ( từ máy trạm bên trong tới các máy chủtrên Internet) được thực hiện theo các cách thức sau :

 Thiết lập lọc gói dữ liệu trên cả router bên ngoài và router bên trongcho phép máy trạm bên trong có thể truy nhập trực tiếp ra các máy chủ trênInternet

 Thiết lập chương trình proxy chạy trên máy chủ pháo đài cho phépmáy trạm bên trong có thể truy nhập gián tiếp ra các máy chủ trên Internet.Cũng có thể thiết lập lọc gói dữ liệu cho phép máy trạm bên trong có thể nóichuyện được với máy chủ pháo đài và ngược lại thông qua chương trìnhproxy, nhưng cấm kết nối trực tiếp giữa máy trạm bên trong và Internet

Trong cả hai trường hợp, lọc gói dữ liệu cho phép máy chủ pháo đài

có thể nối tới và cho phép nối tới với các máy chủ trên Internet Máy chủnào, và dịch vụ nào được chỉ định bởi chính sách bảo mật của mạng

c Router bên trong

Router bên trong bảo vệ mạng bên trong chống lại nguy cơ từ cảmạng vòng ngoài và Internet

Router bên trong thực hiện hầu hết việc lọc gói dữ liệu cho tường lửa

hệ thống Nó cho phép những dịch vụ đã được chọn lựa từ mạng bên trong

ra bên ngoài Internet Những dịch vụ này là những dịch vụ mà hệ thốngmạng có thể cung cấp an toàn bằng việc sử dụng lọc gói dữ liệu hơn là dùngchương trình proxy Những dịch vụ router bên trong cho phép truyền giữamáy chủ pháo đài (ở trên mạng vòng ngoài) và mạng bên trong không nhấtthiết phải giống như những dịch vụ router bên trong cho phép truyền giữaInternet và mạng bên trong Lý do của việc hạn chế những dịch vụ giữa máychủ pháo đài và mạng bên trong là để giảm số lượng máy tính có thể bị tấncông từ máy chủ pháo đài

Người quản trị mạng nên giới hạn những dịch vụ cho phép giữa máychủ pháo đài và mạng bên trong tới mức ít nhất, chỉ cho phép những dịch vụcần thiết nhất đi qua như SMTP ( để máy chủ pháo đài có thể gửi thư đến),DNS ( để máy chủ pháo đài có thể trả lời những yêu cầu của cỏc mỏy bêntrong, hay hỏi những máy bên trong, tuỳ thuộc vào việc đặt cấu hình củamạng) Người quản trị mạng cũng nên giới hạn phạm vi của dịch vụ, nhưchỉ cho phép chúng từ máy chủ pháo đài truyền tới một số máy cụ thể ở bêntrong Ví dụ SMTP được hạn chế chỉ cho kết nối giữa máy chủ pháo đài tớimáy chủ thư điện tử bên trong.

d Router bên ngoài

Theo lý thuyết, router bên ngoài được dùng để bảo vệ mạng vòngngoài và mạng bên trong chống lại nguy cơ từ Internet Trên thực tế, routerbên ngoài có xu hướng cho phép hầu hết mọi thứ từ mạng vòng ngoài đi rangoài, và router bên ngoài thực hiện lọc gói dữ liệu rất ít Những luật lọc gói

dữ liệu để bảo vệ mạng bên trong về cơ bản cần phải giống nhau giữa routerbên trong và router bên ngoài Nếu có lỗi trong các luật dẫn đến việc chophép tin tặc bên ngoài truy nhập vào, sẽ có thông báo lỗi thể hiện trên cả hairouter

Những luật lọc gói dữ liệu thực sự riêng biệt trên router bên ngoài lànhững luật để bảo vệ những máy tính trên mạng vòng ngoài ( đó là nhữngmáy chủ pháo đài và router bên trong) Tuy nhiên thông thường thì khôngcần thiết phải có nhiều luật bảo vệ vì máy chủ trên mạng vòng ngoài thườngđược bảo vệ chủ yếu bằng bảo mật máy chủ

những luật còn lại mà người quản trị nên thiết lập trên router bênngoài là sao lại những luật trên router bên trong Đó là những luật dùng để