Vấn đề an toàn thông tin trong cơ sở dữ liệu quốc gia kinh tế công nghiệp và thương mại bộ công thương

Nhiều văn bản của Nhànước đã quy định về việc xây dựng các cơ sở dữ liệu quốc gia và các hạ tầng kỹthuật bảo đảm cho các cơ sở dữ liệu này phát huy tác dụng, hoạt động có hiệu quả.Trong

ĐẠI HỌC QUỐC GIA HÀ NỘI

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ

- 

-MAI NGỌC LƯƠNG

VẤN ĐỀ AN TOÀN THÔNG TIN TRONG

“CƠ SỞ DỮ LIỆU QUỐC GIA KINH TẾ CÔNG NGHIỆP VÀ THƯƠNG MẠI – BỘ CÔNG THƯƠNG”

LUẬN VĂN THẠC SỸ CÔNG NGHỆ THÔNG TIN

Hà Nội - 2013

Chuyên ngành: Hệ thống thông tin

LUẬN VĂN THẠC SỸ CÔNG NGHỆ THÔNG TIN

NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS.TS TRỊNH NHẬT TIẾN

Hà Nội - 2013

3

LỜI CAM ĐOAN

MỤC LỤC

DANH MỤC CÁC KÝ HIỆU VÀ CHỮ VIẾT TẮT

BẢNG CÁC THUẬT NGỮ

DANH MỤC CÁC BẢNG

DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ

LỜI MỞ ĐẦU

LỜI CẢM ƠN

CHƯƠNG 1 TỔNG QUAN VỀ DỰ ÁN CƠ SỞ DỮ LIỆU QUỐC GIA KINH TẾ CÔNG NGHIỆP VÀ THƯƠNG MẠI – BỘ CÔNG THƯƠNG

1.1 GIỚI THIỆU VỀ DỰ ÁN

1.1.1 Cơ sở pháp lý

1.1.2 Thông tin về dự án

1.1.3 Mục tiêu của dự án

1.1.4 Phạm vi của dự án

1.1.5 Đối tượng tham gia dự án

1.2 KIẾN TRÚC TỔNG THỂ HỆ THỐNG

1.2.1 Phân hệ thu thập dữ liệu đầu vào

1.2.2 Chuyển đổi và lưu trữ vào kho dữ liệu trung tâm

1.2.3 Tạo các Khối dữ liệu đa chiều

1.2.4 Tạo lập các báo cáo đầu ra

1.2.5 Khai thác thông tin báo cáo

CHƯƠNG 2 TỔNG QUAN VỀ AN TOÀN THÔNG TIN

2.1 MỘT SỐ KHÁI NIỆM CƠ BẢN

2.1.1 Khái niệm về CSDL

2.1.2 Khái niệm Hệ quản trị CSDL

2.1.3 Khái niệm An ninh CSDL

2.1.4 Khái niệm về dữ liệu

2.1.5 Khái niệm chung về thông tin

2.1.6 An toàn máy tính

2.1.7 An toàn truyền tin

2.1.8 Các mức bảo toàn dữ liệu

2.1.9 Phương pháp bảo toàn dữ liệu

2.2 MỤC TIÊU CỦA AN TOÀN THÔNG TIN 29

2.2.1 Bảo đảm bí mật (Bảo mật) 29

2.2.2 Bảo đảm toàn vẹn (Bảo toàn) 29

2.2.3 Bảo đảm xác thực (xác minh, xác thực) 29

2.2.4 Bảo đảm sẵn sàng 29

2.2.5 Đảm bảo tính chống từ chối 29

2.3 BẢO ĐẢM AN TOÀN CƠ SỞ DỮ LIỆU 30

2.3.1 Hiểm họa với cơ sở dữ liệu 30

2.3.2 Phân loại hiểm họa 30

2.3.3 Chức năng, nhiệm vụ của an ninh CSDL 31

2.3.4 Phương pháp bảo vệ CSDL 33

2.3.5 Bảo vệ thông tin trong CSDL 35

2.3.6 An ninh trong hệ quản trị CSDL Oracle 36

2.4 BẢO ĐẢM AN TOÀN HỆ ĐIỀU HÀNH 37

2.4.1 Khái niệm hệ điều hành 37

2.4.2 Các chức năng của hệ điều hành 37

2.4.3 Mô hình và chức năng An ninh của hệ điều hành 38

2.4.4 An ninh trong hệ điều hành Unix 41

2.4.5 Mô hình an ninh HĐH Bell-La Padula 44

2.5 BẢO ĐẢM AN TOÀN MẠNG 45

2.5.1 Khái niệm, thành phần mạng máy tính 45

2.5.2 Phân loại mạng máy tính 45

2.5.3 Tấn công mạng máy tính 46

2.5.4 Lỗ hổng mạng máy tính 48

CHƯƠNG 3 MỘT SỐ BÀI TOÁN AN TOÀN THÔNG TIN ĐẶC TRƯNG TRONG “CƠ SỞ DỮ LIỆU QUỐC GIA KINH TẾ CÔNG NGHIỆP VÀ THƯƠNG MẠI – BỘ CÔNG THƯƠNG” 50

3.1 BÀI TOÁN 1: KIỂM SOÁT, NGĂN CHẶN CÁC THÔNG TIN VÀO – RA HỆ THỐNG 50

3.1.1 Giới thiệu chung về bài toán 50

3.1.2 Ý nghĩa thực tiễn của bài toán 51

3.2 BÀI TOÁN 2: CẤP QUYỀN NGƯỜI SỬ DỤNG CÁC THÔNG TIN TRONG HỆ THỐNG 52

3.2.1 Phân quyền người sử dụng trong hệ thống 52

3.2.2 Cơ chế phân quyền người dùng 53

3.2.3 Sử dụng mật khẩu an toàn khi được phân quyền 54

3.3 BÀI TOÁN 3: TẠO HÀNH LANG RIÊNG CHO THÔNG TIN ĐI LẠI

3.3.1 Giới thiệu chung về bài toán 55

3.3.2 Lợi ích của bài toán 56

CHƯƠNG 4 PHƯƠNG PHÁP GIẢI QUYẾT CÁC BÀI TOÁN TRÊN

4.1 PHƯƠNG PHÁP GIẢI QUYẾT BÀI TOÁN KIỂM SOÁT, NGĂN CHẶN CÁC THÔNG TIN VÀO – RA HỆ THỐNG

4.1.1 Tổng quan về tường lửa

4.1.2 Thiết bị tường lửa của dự án

4.2 PHƯƠNG PHÁP GIẢI QUYẾT BÀI TOÁN CẤP QUYỀN NGƯỜI SỬ DỤNG CÁC THÔNG TIN TRONG HỆ THỐNG

4.2.1 Người sử dụng và nhóm người sử dụng

4.2.2 Một số biện pháp bảo vệ mật khẩu

4.3 PHƯƠNG PHÁP GIẢI QUYẾT BÀI TOÁN TẠO HÀNH LANG RIÊNG CHO THÔNG TIN ĐI LẠI

4.3.1 Tổng quan về mạng ảo riêng (VPN)

4.3.2 Mô hình kết nối mạng ra ngoài hệ thống

CHƯƠNG 5 THỬ NGHIỆM CHƯƠNG TRÌNH AN TOÀN THÔNG TIN

5.1.BÀI TOÁN THỬ NGHIỆM

5.2.CẤU HÌNH HỆ THỐNG

5.2.1 Yêu cầu phần cứng

5.2.2 Yêu cầu phần mềm

5.3.CÁC THÀNH PHẦN CỦA CHƯƠNG TRÌNH

5.4.HƯỚNG DẪN SỬ DỤNG CHƯƠNG TRÌNH

5.4.1 Kết nối VPN Check Point

5.4.2 Biểu mẫu đầu vào

5.4.3 Nhập dữ liệu

5.4.4 Phân quyền cho người dùng

5.4.5 Duyệt dữ liệu

5.4.6 Chuyển đổi dữ liệu

5.4.7 Tạo lập báo cáo cho dữ liệu

5.4.8 Khai thác dữ liệu

KẾT LUẬN

CẢI TIẾN MỚI TRONG LUẬN VĂN

ĐỊNH HƯỚNG NGHIÊN CỨU

TÀI LIỆU THAM KHẢO

PHỤ LỤC

DANH MỤC CÁC KÝ HIỆU VÀ CHỮ VIẾT TẮT

viết tắt

ABBYY

ModeATTT

EncapsulationHĐH

IBM International Business

Machines

KSTN

NĐ-CP

ProtocolQĐ-

BCT

QĐ-TTg

QH

SSO Single Sign On

Protocol

Protocol/Internet Protocol

Language

Mutiple dimension model

Oracle Business Intelligence

Bảng 5.4: Chỉ số giá tiêu dùng các tháng năm 2010.

Hình 1.3: Khai thác thông tin báo cáo.

Hình 3.1: Mô hình phân quyền toàn hệ thống

Hình 3.2: Cơ chế phân quyền người dùng

Hình 4.1: Sơ đồ hạ tầng tường lửa, server và lưu trữ

Hình 5.4: Quy trình nhập liệu dữ liệu đầu vào

Hình 5.5: Cấu hình biểu mẫu cho dữ liệu đầu vào

Hình 5.6: Chọn chỉ tiêu và biểu mẫu cần nhập

Hình 5.7: Nhập dữ liệu cho biểu mẫu 04 chỉ tiêu số 1

Hình 5.10: Phân quyền cho người khai thác thông tin.Hình 5.11: Phân quyền xem báo cáo.

Hình 5.12: Xác nhận dữ liệu trước khi duyệt

Hình 5.13: Phê duyệt dữ liệu

Hình 5.14: Chuyển đổi dữ liệu từ CSDL trung gian sang CSDLtập trung

Hình 5.15: Data model cho Giá trị sản xuất Công nghiệp theo giáthực tế

Hình 5.16: Tạo báo cáo cho Giá trị sản xuất Công nghiệp theo giáthực tế

Hình 5.17: Trang chủ - CSDL Quốc gia kinh tế công nghiệp vàthương mại

Bảng 5.18: Biểu đồ giá trị sản xuất công nghiệp theo giá thực tế

LỜI MỞ ĐẦU

Ngày nay, Công nghệ thông tin đang được ứng dụng rộng rãi trong hầu khắpcác lĩnh vực của kinh tế - xã hội Thông tin là “chìa khóa” của quá trình hoạt độngkhông chỉ của Nhà nước, của các tổ chức mà cả của các cá nhân và đang trở thànhnguồn lực đặc biệt như các nguồn lực khác của quốc gia và cấu thành nên hoạt độngsống của các tổ chức và của mọi thành viên xã hội

Tuy nhiên, thông tin ngày càng phát triển, càng quan trọng thì nảy sinh ra cáchiểm họa rình rập như lộ tin, thông tin sai lệch, xâm phạm tính toàn vẹn, từ chốidịch vụ, phát tán virus, lấy cắp dữ liệu nhạy cảm như: thông tin cá nhân, tài khoảnngân hàng, mật khẩu truy cập, của người dùng

Trước những vấn đề đó, để có thể phát triển bền vững thì các ứng dụng CNTTluôn phải gắn liền với yêu cầu đảm bảo an toàn thông tin (ATTT), và các chính sáchquản lý của Nhà nước trong lĩnh vực ATTT cũng cần theo phương châm “quản lýphải theo kịp phát triển” Chính vì vậy, ngày 13/1/2010, Thủ tướng Chính phủ đãphê duyệt quy hoạch phát triển An toàn thông tin số quốc gia đến năm 2020 Đây làdấu mốc quan trọng, thể hiện quan điểm, định hướng và chính sách của Nhà nướctrong việc bảo đảm an toàn và an ninh thông tin trên nhiều lĩnh vực Mục tiêu củaquy hoạch trong từng giai đoạn đề cập tới việc đảm bảo an toàn mạng và hạ tầngthông tin, đảm bảo an toàn cho dữ liệu và ứng dụng CNTT, phát triển nguồn nhânlực và nâng cao nhận thức về ATTT, xây dựng môi trường pháp lý về ATTT

Là một trong những quốc gia có tốc độ phát triển CNTT vào loại cao nhất khuvực và thế giới, Việt Nam đang đứng trước những thách thức về yêu cầu nâng caotính hiệu quả ứng dụng của CNTT Và một trong những cơ sở quan trọng để pháttriển các ứng dụng CNTT là các Cơ sở dữ liệu về thông tin Nhiều văn bản của Nhànước đã quy định về việc xây dựng các cơ sở dữ liệu quốc gia và các hạ tầng kỹthuật bảo đảm cho các cơ sở dữ liệu này phát huy tác dụng, hoạt động có hiệu quả.Trong đó, một vấn đề được đặc biệt quan tâm là xây dựng các trung tâm tích hợp dữliệu ở quy mô quốc gia, nơi các tài nguyên thông tin riêng biệt được tích hợp lại, vớinăng lực xử lý mạnh và các hệ thống quản trị tiên tiến

Ý thức được đây là một lĩnh vực nghiên cứu có nhiều triển vọng, cấp thiết tôi

đã chọn hướng nghiên cứu trong luận văn với đề tài là các kỹ thuật, phương phápbảo mật, an toàn thông tin trong "Cơ sở dữ liệu Quốc gia Kinh tế Công nghiệp vàThương mại - Bộ Công Thương"

Luận văn được tổ chức thành 5 chương như sau:

Chương 1: Giới thiệu về dự án “Cơ sở dữ liệu quốc gia kinh tế Công nghiệp

và Thương mại – Bộ Công Thương”: Căn cứ pháp lý, sự cấp thiết xây dựng dự án;mục tiêu của dự án; phạm vi của dự án; đối tượng tham gia dự án; các phân hệ chínhtrong dự án như phân hệ thu thập dữ liệu đầu vào, chuyển đổi và lưu trữ vào kho dữliệu trung tâm, tạo lập báo cáo đầu ra, khai thác thông tin

Chương 2: Tổng quan về an toàn thông tin: Giới thiệu một số khái niệm

chung về CSDL, hệ quản trị CSDL, an toàn dữ liệu, an toàn CSDL (an ninh trong hệquản trị CSDL Oracle), an toàn hệ điều hành (an ninh trong hệ điều hành Unix), antoàn mạng máy tính (các loại lỗ hổng và tấn công), và một số vấn đề về bảo vệ dữliệu

Chương 3: Một số bài toán An toàn thông tin đặc trưng trong "Cơ sở dữ liệu

Quốc gia Kinh tế Công nghiệp và Thương mại - Bộ Công Thương": Kiểm soát, ngănchặn các thông tin vào - ra hệ thống nhằm ngăn chặn các truy nhập từ ngoài vàotrong hệ thống, bảo vệ thông tin nội bộ, hạn chế rò rỉ thông tin mật ra bên ngoài; cấpquyền sử dụng các thông tin trong hệ thống với mục đích mỗi người sử dụng đượcphân quyền vừa đủ để tham gia vào hệ thống; tạo hành lang riêng cho thông tin đi lại

để đảm bảo thông tin truyền đi với độ an toàn cao và kịp thời nhất

Chương 4: Phương pháp giải quyết các bài toán trong "Cơ sở dữ liệu Quốc

gia Kinh tế Công nghiệp và Thương mại - Bộ Công Thương": Với sự phát triển vượtbậc về công nghệ đã cung cấp cho chúng ta những phương pháp giải quyết với kỹthuật cao như kỹ thuật tường lửa: Ngăn chặn truy nhập trái phép, lọc thông tin hợpphép; kỹ thuật mạng ảo riêng: tạo ra hành lang riêng cho thông tin đi lại; kỹ thuậtđặt mật khẩu; phân quyền người sử dụng; chuẩn an ninh công nghệ (Secure SocketsLayer); Bảo vệ lớp truyền tải (Transport Layer Security)

Chương 5: Thử nghiệm chương trình an toàn thông tin: Cài đặt, cấu hình hệ

thống bao gồm yêu cầu về phần cứng, phần mềm, các thiết bị khác; các thành phầncủa chương trình, truy cập vào hệ thống để chạy chương trình đảm bảo an toàn cho

“Cơ sở dữ liệu quốc gia kinh tế Công nghiệp và Thương mại – Bộ Công Thương”;hướng dẫn sử dụng chương trình

Kết luận: Kết quả đạt được của luận văn, định hướng nghiên cứu tiếp theo.

LỜI CẢM ƠN

Lời đầu tiên, tôi muốn gửi lời cảm ơn chân thành và sâu sắc nhất đến thầy

giáo PGS.TS Trịnh Nhật Tiến Thầy đã truyền cho tôi nguồn cảm hứng nghiên cứu

khoa học, đưa tôi đến với lĩnh vực nghiên cứu này Thầy đã trực tiếp giảng dạy,hướng dẫn trong suốt quá trình nghiên cứu của tôi

Tôi xin trân trọng cảm ơn các thầy giáo, cô giáo khoa Công nghệ thông tintrường Đại học công nghệ - Đại học Quốc gia Hà Nội đã giảng dạy, truyền đạt, bùđắp cho tôi kiến thức quý báu trong những năm học ở đây

Tôi cũng xin trân thành cảm ơn các cán bộ công tác tại Phòng sau đại học,khoa Công nghệ thông tin trường Đại học công nghệ - Đại học Quốc Gia Hà Nội đãgiúp đỡ tôi trong quá trình học tập và bảo vệ luận văn

Cuối cùng, tôi muốn gửi lời cảm ơn vô hạn đến tất cả người thân trong giađình, bạn bè tôi, những người thân yêu luôn bên cạnh tôi, động viên để tôi vững tâmtrong công tác cũng như trong học tập

Hà Nội, ngày 02 tháng 12 năm 2013

Học viên

Mai Ngọc Lương

Chương 1 TỔNG QUAN VỀ DỰ ÁN CƠ SỞ DỮ LIỆU QUỐC GIA

KINH TẾ CÔNG NGHIỆP VÀ THƯƠNG MẠI – BỘ CÔNG THƯƠNG

+ Căn cứ Nghị định số 64/2007/NĐ-CP ngày 10 tháng 4 năm 2007 của Chínhphủ về Ứng dụng Công nghệ thông tin trong hoạt động của cơ quan nhà nước.+ Quyết định số 48/2009/QĐ-TTg ngày 31 tháng 3 năm 2009 của Thủ tướngChính phủ về phê duyệt kế hoạch ứng dụng CNTT trong hoạt động của nhà nước giai đoạn 2009 - 2010, trong đó giao Bộ Công Thương triển khai dự án xây dựng

“Cơ sở dữ liệu quốc gia kinh tế Công nghiệp và Thương mại”

+ Căn cứ quyết định số 5449/QĐ-BCT ngày 30 tháng 10 năm 2009 của Bộtrưởng Bộ Công Thương về việc phê duyệt báo cáo nghiên cứu khả thi dự án xâydựng “Cơ sở dữ liệu quốc gia kinh tế Công nghiệp và Thương mại”

+ Căn cứ quyết định số 1330/QĐ-BCT ngày 19 tháng 3 năm 2010 của Bộtrưởng Bộ Công Thương về việc phê duyệt kế hoạch đấu thầu gói thầu tư vấn lậpthiết kế thi công và tổng dự toán – dự án xây dựng “Cơ sở dữ liệu quốc gia kinh tếCông nghiệp và Thương mại”

1.1.2 Thông tin về dự án

+ Tên dự án: Dự án xây dựng “Cơ sở dữ liệu quốc gia kinh tế Công nghiệp và Thương mại”

+ Cơ quan chủ quản: Bộ Công Thương

+ Một trong những mục tiêu và định hướng đến năm 2015 là ứng dụng côngnghệ thông tin để đổi mới phương thức quản lý tài nguyên thông tin trong các cơquan nhà nước, phát triển cơ sở dữ liệu quốc gia về con người, đất đai, tài chính,kinh tế, công nghiệp và thương mại, tạo nền tảng cho việc triển khai Chính phủ điện

tử Việt Nam

+ Cùng với sự phát triển và hội nhập của nền kinh tế, vai trò của ngành côngthương nói chung và của Bộ Công Thương nói riêng ngày càng được đánh giá cao.Với chức năng quản lý nhà nước về công nghiệp và thương mại, Bộ Công Thương

có nhiệm vụ giúp Chính phủ, lãnh đạo Đảng, Nhà nước đưa ra các chính sách vĩ môđúng đắn, toàn diện nhằm thúc đẩy nền kinh tế đất nước phát triển, đáp ứng với yêucầu công nghiệp hóa, hiện đại hóa đất nước

+ Trong các hoạt động của ngành công thương, thông tin đóng vai trò hết sứcquan trọng Trên tầm vĩ mô, để phục vụ quản lý nhà nước, thông tin công nghiệp vàthương mại là một căn cứ quan trọng để hoạch định chính sách phát triển sản xuất,thương mại trong nước cũng như hội nhập quốc tế; xây dựng chiến lược, quy hoạch,xây dựng, giám sát và kiểm tra việc thực hiện kế hoạch công nghiệp và thương mại.+ Ở tầm vi mô, thông tin công nghiệp và thương mại, mà trước hết là thông tinthị trường đóng vai trò cực kỳ quan trọng trong việc kịp thời điều chỉnh các cân đốicung - cầu nhằm ổn định thị trường, phục vụ tốt sản xuất và đời sống xã hội Ngoài

ra, thông tin công nghiệp và thương mại cần thiết trong việc định hướng phát triển,quyết định phương án sản xuất - kinh doanh tối ưu của cộng đồng dân cư và doanhnghiệp

+ Để đáp ứng kịp thời, đầy đủ các yêu cầu thông tin phục vụ công tác quản lýnhà nước về công thương, đồng thời phục vụ cho nhu cầu sản xuất kinh doanh củadoanh nghiệp, hoạt động của các hiệp hội ngành hàng, các tổ chức liên quan, … tấtyếu phải xây dựng CSDL kinh tế Công nghiệp và Thương mại ở tầm Quốc gia.+ Trong đó, dữ liệu đầu vào chung phải là một hệ thống chỉ tiêu thông tinphản ánh mọi mặt hoạt động của ngành công nghiệp và thương mại nước nhà Dữliệu đầu ra phải thoả mãn được yêu cầu thông tin của các cơ quan quản lý nhà nướccác cấp và nhu cầu thông tin phục vụ hoạt động sản xuất kinh doanh của doanhnghiệp, đồng thời cung cấp thông tin cho tập thể và cá nhân khi có nhu cầu theokhuôn khổ luật pháp.

+ Song song với việc phát triển ứng dụng công nghệ thông tin trong hoạt động

cơ quan nhà nước vấn đề chính sách bảo mật, khung pháp lý về bảo mật của quốc tế

và Việt Nam, công tác quản lý và những vấn đề liên quan đến lĩnh vực bảo mật côngnghệ cao, đại diện các tổ chức và cơ quan quản lý, chuyên gia bảo mật đã đề xuấtxây dựng một chiến lược đảm bảo an toàn thông tin quốc gia, làm cơ sở để hìnhthành các chính sách của Nhà nước trong lĩnh vực này Chiến lược cần hướng tớimục tiêu bảo đảm lợi ích quốc gia, an toàn thông tin trong những lĩnh vực trọng yếunhư an ninh quốc phòng, đối ngoại, an ninh thông tin cho các cơ quan Chính phủ vàcác nguồn tài nguyên thông tin quốc gia, an toàn cho thương mại điện tử và các giaodịch điện tử của công dân

1.1.3 Mục tiêu của dự án

Cơ sở dữ liệu quốc gia kinh tế Công nghiệp và Thương mại được xây dựng đáp ứng các mục tiêu tổng quát sau:

+ Xây dựng cơ sở dữ liệu chuyên ngành thuộc lĩnh vực của Bộ Công Thương

để phục vụ công tác quản lý nhà nước cho các đơn vị chức năng trong và ngoài Bộ.+ Cung cấp thông tin kinh tế công nghiệp và thương mại cho các doanh

nghiệp, các hiệp hội và các tổ chức kinh tế trong và ngoài nước

+ Phục vụ các hoạt động hợp tác đầu tư và hội nhập quốc tế trong lĩnh vựccông nghiệp và thương mại của Chính phủ; Bộ Công Thương; các Bộ, ngành liên quan và cộng đồng doanh nghiệp

+ Phục vụ công tác nghiên cứu khoa học trong kinh tế công nghiệp và thươngmại, nhằm đáp ứng nhu cầu tìm kiếm, khai thác dữ liệu đối với các đề tài nghiên cứu khoa học của tổ chức, cá nhân

+ Phổ biến thông tin kinh tế công nghiệp và thương mại của Việt Nam chocộng đồng dân cư trong và ngoài nước nhằm phục vụ hoạt động sản xuất kinh

doanh, phát triển kinh tế và hội nhập quốc tế

+ Thiết lập một hệ thống CSDL kinh tế công nghiệp và thương mại bao gồmcác dữ liệu liên quan đến các chỉ tiêu thông tin về công nghiệp, thị trường trongnước, xuất nhập khẩu, thông tin về tiềm lực và phát triển công nghiệp, thương mại

và các chỉ tiêu tổng hợp liên quan Hệ thống cơ sở dữ liệu cho phép thu thập, xử lý,tổng hợp, chuyển đổi dữ liệu từ các nguồn khác nhau, lưu trữ dưới các dạng thuậntiện cho việc kết xuất thông tin, tra cứu, tìm kiếm và phân tích theo nhu cầu của cácđơn vị thuộc Bộ Công Thương

+ Xây dựng hạ tầng công nghệ thông tin bao gồm các máy chủ, thiết bị lưu trữ,

an ninh, mạng, phần mềm hệ thống, tiện ích và kết nối Internet để phục vụ cho việctruy cập, vận hành hệ thống, đảm bảo an toàn thông tin

+ Xây dựng quy trình và chức năng cho việc thu thập, xử lý, lưu trữ, quản lý

và khai thác thông tin trên hệ thống cơ sở dữ liệu Trên cơ sở đó, thiết lập các chuẩntrao đổi dữ liệu với các nguồn dữ liệu, tuân thủ các chuẩn dữ liệu, thông tin quốc tế, quốc gia và Bộ Công Thương bao gồm các dữ liệu danh mục thông tin

+ Tạo lập số liệu ban đầu cho hệ thống CSDL quốc gia kinh tế Công nghiệp vàThương mại, đảm bảo hệ thống bao gồm dữ liệu danh mục, thông tin thu thập được

từ các nguồn và từ các năm phục vụ cho việc tổng hợp báo cáo và phân tích

+ Xây dựng dự thảo các văn bản về tổ chức quản trị, duy trì vận hành và mạnglưới thu thập, cung cấp, phổ biến thông tin kinh tế công nghiệp và thương mại từCSDL quốc gia Các văn bản tài liệu bao gồm các quy trình, quy phạm, tiêu chuẩn

kỹ thuật cho hệ thống cơ sở dữ liệu phù hợp với chức năng và nhiệm vụ của ngành.+ Tiến hành xây dựng cổng thông tin điện tử phục vụ cho nhu cầu tìm kiếm,tra cứu thông tin, kết xuất các báo cáo, quản lý người dùng tập trung, quản lý việcxuất bản thông tin ra bên ngoài, truyền nhận thông tin từ các nguồn khác gửi về vàthực hiện thử nghiệm các dịch vụ thông tin cho người dùng bên ngoài

+ Tổ chức đào tạo chuyển giao công nghệ và quản trị hệ thống cho cán bộ kỹthuật quản lý, vận hành; đào tạo thu thập, tổng hợp, xử lý, cập nhật dữ liệu khai thác

sử dụng cho chuyên viên tại các đơn vị chức năng của Bộ Công Thương, Sở CôngThương; khảo sát mô hình CSDL; học tập mô hình hệ thống tương tự cho các cán

bộ lãnh đạo và quản lý

1.1.4 Phạm vi của dự án

+ Những thông tin dữ liệu cần được thu thập, lưu trữ trong hệ thống gồm có:

- Thông tin chỉ tiêu trong lĩnh vực công nghiệp

- Thông tin chỉ tiêu trong lĩnh vực thương mại

- Thông tin chỉ tiêu về tiềm lực công nghiệp, thương mại Việt Nam

- Thông tin chỉ tiêu về phát triển công nghiệp và thương mại

- Thông tin chỉ tiêu liên quan khác

+ Thông tin dữ liệu đầu ra: Những thông tin, số liệu, thống kê, báo cáo, phântích và dự báo mà hệ thống CSDL quốc gia sẽ cung cấp nhằm phục vụ công tácquản lý điều hành của các cơ quan quản lý nhà nước, doanh nghiệp, hiệp hội và các

tổ chức kinh tế liên quan, bao gồm:

- Hệ thống chỉ tiêu về công nghiệp

- Hệ thống chỉ tiêu về thương mại trong nước

- Hệ thống chỉ tiêu về thị trường xuất nhập khẩu

- Hệ thống chỉ tiêu về tiềm lực công nghiệp và thương mại

- Hệ thống chỉ tiêu về phát triển công nghiệp và thương mại

- Hệ thống các chỉ tiêu khác

1.1.5 Đối tƣợng tham gia dự án

+ Đối tượng cung cấp thông tin dữ liệu cho CSDL sẽ tùy thuộc vào phạm vinội dung thông tin cần được quản lý và tùy thuộc vào từng giai đoạn triển khai xây

+ Việc xác định các đối tượng cung cấp thông tin cho CSDL quốc gia có vaitrò quan trọng trong việc duy trì, vận hành của hệ thống Đối tượng cung cấp thôngtin cho CSDL bao gồm:

- Các đơn vị chức năng của Bộ Công Thương

- Các Sở Công Thương; Thương vụ và đơn vị sự nghiệp thuộc Bộ

1.2 KIẾN TRÚC TỔNG THỂ HỆ THỐNG

Phân hệ thu thập

dữ liệu đầu vào

CSDL Trung gian

Phân hệ chuyển đổi và lưu trữ

vào kho dữ liệu trung tâm

Hình 1.1: Kiến trúc tổng thể hệ

thống

1.2.1 Phân hệ thu thập dữ liệu đầu vào

+ Dữ liệu từ nhiều nguồn khác nhau: Đơn vị vụ, cục thuộc Bộ Công Thương,Tổng cục thống kê, Tổng cục hải quan, Sở công thương, dưới nhiều định dạng khác nhau (Excel, Word, Pdf, CSDL quan hệ ) được lưu vào CSDL tổng hợp.+ Phân hệ thu thập dữ liệu đầu vào hỗ trợ các phương thức sau:

- Đối với hệ thống nguồn dữ liệu đầu vào được lưu dưới dạng hệ thống cơ sở

dữ liệu quan hệ như Oracle, DB2, SQL server… chúng ta có cơ chế hợp tác trao đổi

dữ liệu trực tiếp, hệ thống có thể cung cấp phương thức kết nối trực tiếp giữa CSDLnguồn với CSDL Quốc gia kinh tế công nghiệp và thương mại

- Đối với dữ liệu đầu vào là các file có cấu trúc (Xml, Excel), phân hệ chophép nhập trực tiếp file vào hệ thống Hệ thống sẽ tính toán và lưu trữ những trườngthông tin cần thiết

- Đối với dữ liệu phi cấu trúc phân hệ thống cho phép chuyên viên nhập liệuthông qua các màn hình nhập liệu

1.2.2 Chuyển đổi và lưu trữ vào kho dữ liệu trung tâm

+ Tại CSDL tổng hợp (trung gian), dữ liệu đã được tổ chức dưới dạng dữ liệuquan hệ Phân hệ chuyển đổi và lưu trữ vào kho dữ liệu trung tâm bao gồm cácmodule ETL (Extract – Transform – Load) có chức năng đọc dữ liệu từ CSDL tổng hợp và ghi vào CSDL trung tâm

+ Phân hệ bao gồm các luật chuyển đổi, mỗi luật chuyển đổi được định nghĩa các thông tin sau:

- Bảng nguồn: Dữ liệu nguồn tại CSDL tổng hợp

- Bảng đích: Dữ liệu đích tại kho dữ liệu trung tâm

- Luật chuyển đổi: Luật chuyển đổi dữ liệu

- Lịch chuyển đổi: Lịch chuyển đổi dữ liệu

+ Một đặc điểm của kho dữ liệu trung tâm là dữ liệu đã lưu trữ trong kho dữliệu thì không thay đổi Phân hệ chuyển đổi và lưu trữ dữ liệu trung tâm có nhiệm

vụ lọc những dữ liệu mới (theo thời gian) từ CSDL tổng hợp để chuyển đổi và lưutrữ vào kho dữ liệu trung tâm

1.2.3 Tạo các Khối dữ liệu đa chiều

+ Sau khi dữ liệu đã được tập hợp vào vùng dữ liệu trung tâm việc tiếp theo làxây dựng các khối (Cube) thông qua việc xây dựng các bảng chiều phân tích(Dimension tables) và các bảng dữ kiện (Fact Tables) để thực hiện việc này chúng ta

có thể sử dụng hệ thống phần mềm xử lý, phân tích trực tuyến (OLAP)

+ Đối với dự án CSDL quốc gia việc xây dựng các khối đó là xây dựng cácchủ đề cần phân tích hay các chỉ tiêu cần báo cáo

Hình 1.2: Xây dựng khối cho chỉ tiêu “Giá trị sản xuất công nghiệp theo giá thực tế”.

1.2.4 Tạo lập các báo cáo đầu ra

Dữ liệu trong kho dữ liệu trung tâm được khai thác thông qua công cụ BI (Business Intelligence) bao gồm các phương pháp sau:

+ Tạo báo cáo tùy biến: Người dùng có thể dễ dàng tạo báo cáo theo yêu cầu

sử dụng của mình

+ Dự báo: Hỗ trợ khả năng dự báo, kết hợp với kinh nghiệm của người sửdụng, phân tích, dự báo được tổng hợp khá nhanh và có độ chính xác

+ Phân tích đa chiều: Việc tổ chức dữ liệu thành các kho dữ liệu cục bộ,

hướng chủ đề (data mart) và khối (cube) thuận tiện cho việc phân tích đa chiều

+ Tích hợp với các công cụ thiết kế: Người sử dụng có thể thiết kế các biểumẫu báo cáo bằng các công cụ thông dụng như: Microsoft Word, Microsoft Excel, + Kết nối với nhiều nguồn dữ liệu: Công cụ BI có thể truy vấn từ nhiều nguồn

dữ liệu: CSDL, dịch vụ web, Công cụ BI cho phép tổng hợp từ nhiều nguồn dữliệu để đưa ra báo cáo tổng hợp chứa thông tin của tất cả các nguồn dữ liệu này.+ Hỗ trợ nhiều loại đầu ra: Người dùng có thể xem báo cáo trực tuyến, xuấtbản trên cổng thông tin điện tử, hoặc chuyển báo cáo tới các nguồn khác nhau nhưmáy in, email, máy fax,

Hình 1.3: Khai thác thông tin báo cáo.

Báo cáo đầu ra được tích hợp lên cổng thông tin phục vụ cho người dùng khaithác Hệ thống được thiết kế giúp người dùng dễ dàng tìm đến thông tin, báo cáo màmình mong muốn với các chức năng sau:

+ Báo cáo được đánh dấu bởi các thông tin mô tả giúp người dùng có thể tìmkiếm theo các từ khóa liên quan

+ Báo cáo được hỗ trợ xuất ra các định dạng khác nhau: Word, Excel, Pdf, giúp người dùng tổng hợp, phân tích phục vụ cho công việc của đơn vị mình

+ Cổng thông tin điện tử hỗ trợ phân quyền khai thác thông tin đến từng ngườidùng, nhóm người dùng

+ Dựa vào mối quan hệ của các chỉ tiêu thông tin, hệ thống giúp người dùng

dễ dàng tìm những thông tin liên quan đến lĩnh vực mà mình quan tâm

Chương 2 TỔNG QUAN VỀ AN TOÀN THÔNG TIN

2.1.1 Khái niệm về CSDL

Cơ sở dữ liệu (CSDL) là tập hợp các dữ liệu và tập hợp các quy tắc tổ chức dữliệu chỉ ra các mối quan hệ giữa chúng Thông qua các quy tắc này, người tạo lậpCSDL mô tả khuôn dạng logic cho các dữ liệu

2.1.2 Khái niệm Hệ quản trị CSDL

+ Hệ quản trị CSDL là hệ thống chương trình, hỗ trợ thuận lợi cho người tạo lập CSDL và quản lý CSDL

+ Người quản trị CSDL là người xác định các quy tắc tổ chức và kiểm soát,cấp quyền truy nhập đến các thành phần của CSDL

+ Người dùng tương tác với CSDL thông qua hệ quản trị CSDL

2.1.3 Khái niệm An ninh CSDL

An ninh CSDL là nhận ra các hiểm họa (các nguy cơ) thiếu an ninh, sau đó lựachọn đúng cách giải quyết các hiểm họa đó

2.1.4 Khái niệm về dữ liệu

Dữ liệu (data) là những dữ kiện thô chưa qua xử lý Có nhiều kiểu dữ liệu cóthể được sử dụng để biểu diễn các dữ kiện này Khi các yếu tố này được tổ chứchoặc sắp xếp theo một cách có nghĩa thì chúng trở thành thông tin

2.1.5 Khái niệm chung về thông tin

Thông tin (information) là một bộ các dữ liệu được tổ chức theo một cách saocho chúng mang lại một giá trị tăng so với giá trị vốn có của bản thân dữ liệu đó

2.1.6 An toàn máy tính

Là việc bảo vệ các thô ng tin cốđinḥ bên trong máy tinh́ và là khoa học về bảođảm an toàn thông tin trong máy tinh́

2.1.7 An toàn truyền tin

Là việc bảo vệ thông tin trên đường truyền tin Thông tin đang đ ược truyền từ

hê ̣thống này sang hê ̣thống khác và là khoa hoc ̣ vềbảo đảm an toàn thông tin trên đường truyền tin

2.1.8 Các mức bảo toàn dữ liệu

Có 5 mức bảo toàn dữ liệu như sau:

+ Mức 1: Không cho phép truy nhập dữ liệu

+ Mức 2: Cho phép truy nhập hệ thống thông tin, nhưng không nhìn thấy dữliệu

+ Mức 3: Cho phép nhìn dữ liệu, nhưng không hiểu gì

+ Mức 4: Cho phép hiểu dữ liệu, nhưng không thể sửa đổi được dữ liệu

+ Mức 5: Có thể sửa đổi được dữ liệu, nhưng sẽ bị phát hiện

2.1.9 Phương pháp bảo toàn dữ liệu

Với 5 mức bảo toàn tương ứng với 5 phương pháp như sau:

+ Mức 1: Dùng phương pháp kiểm soát truy nhập thông tin

+ Mức 2: Dùng phương pháp giấu tin

+ Mức 3: Dùng phương pháp mã hóa

+ Mức 4: Dùng phương pháp chỉ cho đọc (read only)

+ Mức 5: Dùng chữ ký số, hàm băm, thuỷ vân, mã xác thực

2.2 MỤC TIÊU CỦA AN TOÀN THÔNG TIN

2.2.1 Bảo đảm bí mật (Bảo mật)

Bảo đảm thông tin “khó” bi lộ ̣đối với người không đươc ̣ phép Người không đươc ̣ phép “khó” thể hiểu được nội dung thông tin

2.2.2 Bảo đảm toàn vẹn (Bảo toàn)

Bảo đảm thông tin “khó” bi thaỵ đ ổi đối với người không đươc ̣ phép Ngăn chăṇ hay haṇ chếviêc ̣ bổsung , loại bỏ và sửa đổi dữliêụ không đươc ̣ phép

2.2.3 Bảo đảm xác thực (xác minh, xác thực)

+ Xác thực đúng thực thể cần kết nối đ ể giao dịch Xác thực đúng thực thể có trách nhiệm về nôịdung thông tin (xác thực đúng nguồn gốc của thông tin)

+ Xác thực thông tin là xác thực thông tin có nguồn gốc từ đâu ? Xác thựcthông tin có bị sửa đổi trên đường truyền hay trong bộ nhớ ?

+ Xác thực thông tin có hai dạng: Xác thực nguồn gốc thông tin (chủ sở hữucủa thông tin, người có trách nhiệm về thông tin, ); xác thực tính toàn vẹn củathông tin

+ Phương pháp xác thực thông tin: Xác thực nguồn gốc thông tin: Dùng chữ

ký số, thủy vân số, ; xác thực tính toàn vẹn của thông tin: Dùng chữ ký số, thủyvân số, đại diện tài liệu, mã xác thực,

2.2.4 Bảo đảm sẵn sàng

Tính sẵn sàng được thể hiện là thông tin được đưa tới người dùng kịp thời,không bị gián đoạn Mọi hành vi làm gián đoạn quá trình truyền tin, khiến thông tinkhông tới được người dùng, chính là đang tấn công vào tính sẵn sàng của hệ thống

đó Thông tin sẵn sàng cho người dùng hơp ̣ pháp

2.2.5 Đảm bảo tính chống từ chối

Là một chức năng ngăn một thực thể phủ nhận những hành động hoặc lời camkết của mình trước đó Khi có những cuộc tranh cãi do một thực thể phủ nhận mìnhkhông thực hiện một hành động nào đó thì một biện pháp xác minh để giải quyếttình huống này Ví dụ như chối bỏ chữ ký

2.3.1 Hiểm họa với cơ sở dữ liệu

Hiểm họa đối với CSDL là sự cố tiềm tàng có chủ ý hay những tác độngkhông mong muốn lên tài sản và tài nguyên gắn liền với hệ thống máy tính

2.3.2 Phân loại hiểm họa

2.3.2.1 Phân loại hiểm họa theo đặc trƣng của hiểm họa

1/ Hiểm họa lộ tin (Thông tin không bảo mật)

Thông tin được cất giữ trong máy tính hoặc trên đường truyền bị lộ với ngườikhông được cấp quyền Hiểm họa này bao gồm cả khả năng lấy được tin bí mậtbằng việc suy diễn từ các thông tin được phép truy nhập

Trên thực tế, phần lớn các nghiên cứu và phát triển trong an toàn máy tính đềutập trung vào loại hiểm họa này

2/ Hiểm họa xâm phạm tính toàn vẹn (Thông tin không bảo toàn)

Thông tin bị thay đổi trái phép trong quá trình sử dụng

3/ Hiểm họa từ chối dịch vụ (Thông tin không sẵn sàng)

Ngăn cản người dùng truy nhập dữ liệu hoặc sử dụng tài nguyên

2.3.2.2 Xây dựng hiểm họa theo cách thức xảy ra hiểm họa

Hiểm họa có thể được phân loại theo cách chúng có thể xảy ra, đó là cố ý vàkhông cố ý

1/ Hiểm họa cố ý

Những người lạm dụng đặc quyền của mình để gây nên các hiểm họa như tạo

ra Virus hay tạo ra các “cửa sập” để trộm cắp thông tin

2/ Hiểm họa không cố ý

Đó là các rủi ro như: thiên tai (động đất, lụt, hoả hoạn, ), có thể tác động đến

hệ thống và dữ liệu; lỗi hoặc thiếu sót kỹ thuật trong phần cứng hay phần mềm, dẫnđến truy cập không hợp pháp; lỗi của con người xâm phạm không cố ý

Như vậy, vấn đề đảm bảo an ninh CSDL là phát hiện ra những hiểm họa, sau

đó lựa chọn đúng cách để giải quyết các hiểm họa đó

2.3.3 Chức năng, nhiệm vụ của an ninh CSDL

2.3.3.1 Chức năng bảo mật CSDL

1/ Bảo vệ tránh những truy nhập trái phép

Chỉ cho phép người dùng hợp lệ truy nhập tới CSDL Các truy nhập phải được

hệ quản trị CSDL kiểm soát, để chống lại người dùng hoặc ứng dụng không đượcphép Việc kiểm soát truy nhập CSDL phức tạp hơn nhiều so với quản lý các tập tin(file) của Hệ điều hành (HĐH)

2/ Bảo vệ tránh những suy diễn

Suy diễn thông tin là khả năng thu được dữ liệu bí mật từ những dữ liệu không

bí mật Thông tin thu được có thể hình thành từ việc thống kê, do đó người quản trị

hệ thống phải ngăn ngừa việc truy tìm tới các thông tin bắt đầu từ việc thống kê thuthập thông tin

2.3.3.2 Chức năng bảo toàn CSDL

Bảo toàn (Bảo đảm toàn vẹn) CSDL là bảo vệ CSDL, tránh các truy nhập tráiphép, từ đó có thể thay đổi nội dung thông tin trong CSDL Việc bảo vệ CSDLthông qua hệ thống kiểm soát, các thủ tục sao lưu dự phòng và phục hồi dữ liệu của

hệ quản trị CSDL, mặt khác thông qua các thủ tục an ninh đặc biệt

Bảo toàn CSDL gồm có các loại sau:

1/ Bảo vệ toàn vẹn hoạt động của dữ liệu

Bảo đảm tính ổn định logic của dữ liệu trong CSDL, khi xảy ra tranh chấp

2/ Bảo vệ toàn vẹn ngữ nghĩa của dữ liệu

Bảo đảm tính ổn định logic của dữ liệu trong CSDL, khi chỉnh sửa dữ liệu

3/ Bảo vệ toàn vẹn dữ liệu về mặt vật lý

Ghi lại tất cả các truy nhập tới dữ liệu

4/ Quản lý và bảo vệ các dữ liệu nhạy cảm

CSDL có thể chứa các dữ liệu nhạy cảm, không được công khai Một vàiCSDL chỉ chứa các dữ liệu nhạy cảm (Ví dụ CSDL quân sự) Trong khi một sốCSDL khác lại hoàn toàn công khai (Ví dụ CSDL thư viện) CSDL pha trộn, baogồm cả dữ liệu nhạy cảm và dữ liệu công khai, thì vấn đề bảo vệ phức tạp hơn

5/ Bảo vệ đa mức

Thiết lập yêu cầu bảo vệ, thông tin có thể được phân thành các mức bảo vệkhác nhau, ở đó mức nhạy cảm có thể khác nhau trong các mục của cùng một bảnghi hay cùng thuộc tính giá trị Phân chia theo lớp các mục thông tin khác nhau,phân chia truy nhập tới từng thành phần của bản ghi

6/ Hạn chế dịch chuyển thông tin tùy tiện

Loại bỏ việc dịch chuyển thông tin không được phép giữa các chương trình.Việc chuyển thông tin xuất hiện theo các kênh được quyền, các kênh bộ nhớ, cáckênh chuyển đổi

Kênh được quyền cung cấp thông tin ra, qua các hoạt động được phép nhưsoạn thảo hoặc dịch chuyển tập tin Kênh bộ nhớ là vùng nhớ, ở đó thông tin đượclưu trữ bởi chương trình và có thể đọc được bằng các chương trình khác Kênhchuyển đổi là kênh liên lạc trên cơ sở sử dụng tài nguyên hệ thống không bìnhthường cho liên lạc giữa các đối tượng của hệ thống

2.3.3.3 Chức năng xác thực CSDL

Tính xác thực là đảm bảo thông tin cần được xác thực nguồn gốc Tính xácthực thường đi kèm với tính chống chối cãi, không cho phép người dùng chối bỏthông tin của họ

+ Xác lập một cơ chế xác thực người dùng nào đó, thường dựa trên cặp thôngtin về người dùng và mật khẩu để cho phép, từ chối hoặc hạn chế truy cập Phươngpháp này còn có thể áp dụng cho các tiểu hệ thống nhỏ bên trong một hệ thống lớn,đôi khi xóa nhòa ranh giới giữa bên trong và bên ngoài hệ thống

+ Người ta cũng có thể củng cố cơ chế xác thực này bằng những phương pháp

an toàn hơn như xác thực sử dụng hai nhân tố hoặc mật khẩu sử dụng một lần, hoặccác biện pháp xác thực dựa trên sinh trắc học (các đặc điểm nhận dạnh sinh học cótính chất duy nhất như vân tay, tròng mắt )

2.3.3.4 Chức năng sẵn sàng truy cập CSDL

Tính sẵn sàng được thể hiện là thông tin được đưa tới người dùng kịp thời,không bị gián đoạn Mọi hành vi làm gián đoạn quá trình truyền thông tin, khiếnthông tin không tới được người dùng, chính là đang tấn công vào tính sẵn sàng của

hệ thống đó

2.3.4 Phương pháp bảo vệ CSDL

2.3.4.1 Kiểm soát lối vào – ra CSDL

Kiểm soát truy nhập là việc đáp ứng các truy nhập đến đối tượng hệ thống, tuân theo phương pháp và chính sách bảo vệ dữ liệu

Cần xây dựng hệ thống có nhiệm vụ kiểm soát mọi truy nhập của người dùng

và tiến trình

1/ Hệ thống kiểm soát lối vào - ra

Hệ thống kiểm soát truy nhập gồm ba phần chính:

+ Các chính sách an ninh và quy tắc truy nhập: Đặt ra kiểu khai thác thông tin lưu trữ trong hệ thống

+ Các thủ tục kiểm soát (cơ chế an ninh): Kiểm tra yêu cầu truy nhập, chophép hay từ chối yêu cầu khai thác

+ Các công cụ và phương tiện thực hiện kiểm soát truy nhập

2/ Chính sách an ninh

+ Chính sách kiểm soát truy nhập (KSTN):

- Chính sách KSTN thiết lập khả năng, chỉ ra cách để chủ thể và đối tượngtrong hệ thống được nhóm lại, để dùng chung kiểu truy nhập nào đó, cho phép thiếtlập việc chuyển quyền truy nhập

- Chính sách KSTN liên quan đến thiết kế và quản lý hệ thống cấp quyềnkhai thác Cách thông thường để bảo đảm an ninh CSDL là định danh các đối tượng tham gia hệ thống và xác định quyền truy nhập của chủ thể tới đối tượng

- Định danh (Identifier): Gán cho mỗi đối tượng một định danh (tên gọi) theo một cách thống nhất, không có sự trùng lặp các định danh

- Uỷ quyền (Authrization): Uỷ quyền khai thác một phép toán của một chủ thểtrên một đối tượng

+ Chính sách giới hạn quyền truy nhập Có hai chính sách cơ bản:

- Chính sách đặc quyền tối thiểu: Các chủ thể sử dụng lượng thông tin tối thiểu cần thiết cho hoạt động

- Chính sách đặc quyền tối đa: Các chủ thể sử dụng lượng thông tin tối đa cần thiết cho hoạt động

+ Chính sách quản lý quyền truy nhập: Được dùng trong kiểm soát tập trunghoặc phân tán, việc lựa chọn này cũng là một chính sách an ninh, có thể kết hợp để

có chính sách phù hợp

- Phân cấp uỷ quyền: Cơ chế kiểm soát được thực hiện tại nhiều trạm

- Chọn người sở hữu: Mô tả quan hệ, mô tả người sở hữu và đảm bảo quyềnkhai thác thông tin của họ

- Quyết định tập thể: Tài nguyên có thể do một nhóm sở hữu, khi có yêu cầu truy nhập tài nguyên này, cần được sự đồng ý của cả nhóm

+ Chính sách phân cấp Đó là chính sách kiểm soát luồng thông tin, ngăn ngừaluồng thông tin đi tới các đối tượng có mức phân loại thấp hơn Hệ thống có cácmức phân loại sau: 0 - Bình thường (Unclassified); 1- Mật (Confidential); 2 - Tối mật (Secret); 3 - Tuyệt mật (Top Secret)

2.3.4.2 Kiểm soát luồng

+ Luồng xuất hiện giữa hai đối tượng X và Y khi có trạng thái đọc giá trị từ X

và ghi giá trị vào Y

+ Kiểm soát luồng là kiểm tra các thông tin từ đối tượng này có bị rò rỉ sangđối tượng khác hay không Nếu có, người dùng đã nhận được trong Y những gì anh

ta không nhận được trực tiếp từ X Như vậy thông tin đã bị lộ

+ Kiểm soát luồng còn ngăn ngừa luồng thông tin đi tới các đối tượng có mứcphân loại thấp hơn

2.3.4.3 Kiểm soát suy diễn

Kiểm soát suy diễn để kiểm soát truy nhập gián tiếp vào dữ liệu cần bảo vệ, kiểm soát suy diễn nhằm bảo vệ dữ liệu khỏi các truy cập gián tiếp

+ Dạng 1: Truy nhập gián tiếp xảy ra khi người dùng không được quyền, thuđược dữ liệu cần bảo vệ M, qua câu hỏi trên tập dữ liệu X được phép sử dụng.+ Dạng 2: Truy nhập gián tiếp xảy ra khi người dùng không được quyền, cóthể thu được dữ liệu cần bảo vệ Y, qua câu hỏi về dữ liệu X được phép sử dụng.+ Dạng 3: Là kênh suy diễn cho người dùng biết sự có mặt của tập dữ liệu X,đặc biệt người dùng có thể biết tên đối tượng, qua đó có thể truy nhập thông tin chứa trong tập dữ liệu X

2.3.5 Bảo vệ thông tin trong CSDL

2.3.5.1 Bảo vệ bằng phương pháp mã hóa

Để bảo đảm an toàn thông tin lưu trữ trong máy tính (giữ gìn thông tin cố định)hay bảo đảm an toàn thông tin trên đường truyền tin (trên mạng máy tính, điệnthoại), người ta phải “Che giấu” các thông tin này

+ “Che” thông tin (dữ liệu) hay “Mã hóa” thông tin là thay đổi hình dạng thông tin gốc, và người khác “khó” nhận ra

+ “Giấu” thông tin (dữ liệu) là cất giấu thông tin trong bản tin khác, và người khác cũng “khó” nhận ra

2.3.5.2 Bảo vệ bằng phương pháp ký số

- Ký số thực hiện trên từng bit tài liệu nên độ dài của chữ ký số ít nhất cùngbằng độ dài của tài liệu Do đó thay vì ký lên tài liệu, người ta thường dùng hàm băm để tạo đại diện cho tài liệu, sau đó mới ký số lên đại diện này

- Để chứng thực nguồn gốc (người chủ của tài liệu) hay hiệu lực của các tàiliệu số hóa, thậm chí có thể “ký” vào tài liệu từ rất xa trên mạng công khai

- Tài liệu khác nhau sẽ có chữ ký khác nhau, điều này giúp chống kẻ gian saochép chữ ký để đặt vào một tài liệu số khác bất hợp pháp

2.3.5.3 Bảo vệ bằng mã xác thực

Có 3 phương pháp để xác thực như sau:

+ Biết cái gì ? Ví dụ: khóa ký, mật khẩu, giao thức “bắt tay”,

+ Có cái gì ? Ví dụ : điện thoại di động, thẻ ATM,

+ Sở hữu riêng cái gì ? Ví dụ : vân tay, giọng nói,

(phương pháp sinh trắc học)

2.3.6 An ninh trong hệ quản trị CSDL Oracle

2.3.6.1 Đặc điểm của hệ quản trị CSDL Oracle

Cơ sở dữ liệu oracle là một trong những cơ sở dữ liệu mạnh nhất thế giới Việccài đặt, quản lý rất dễ dàng, các công cụ để phát triển các ứng dụng một cách hoànthiện và nhanh chóng Cơ sở dữ liệu Oracle phù hợp cho mọi loại dữ liệu, các ứngdụng và các môi trường khác nhau bao gồm cả Window và Linux với chi phí tốithiểu Bao gồm một số đặc điểm như sau:

+ Oracle hỗ trợ việc quản lý dữ liệu có dung lượng hàng trăm Gb

+ Hỗ trợ mạnh cho các tính năng nhiều người dùng truy xuất cùng đơn vị dữliệu trong cùng thời gian; Có thể làm việc 24/24

+ Phù hơp với mọi hệ điều hành, mạng, ngôn ngữ truy xuất

+ Cung cấp cơ chế an toàn và bảo mật tốt

+ Đảm bảo tạo các ràng buộc toàn vẹn đơn giản và phức tạp trên CSDL

+ Hỗ trợ nhiều thuận lợi cho mô hình máy trạm / máy chủ

+ Dùng để phát triển ứng dụng và có thể sử dụng trên bất kì hệ thống nào

2.3.6.2 Cơ chế an ninh của hệ quản trị CSDL Oracle

1/ Cơ chế an ninh cơ bản của hệ quản trị CSDL

Oracle

+ Ngăn cản sự truy xuất dữ liệu trái phép

+ Điều khiển việc sử dụng các tài nguyên hệ thống (như thời gian CPU)

+ Giám sát các hành động, ghi nhật ký người dùng vào hệ thống

2/ Cơ chế về người dùng

Mỗi CSDL Oracle có một danh sách người dùng Mỗi người dùng có một mậtkhẩu kết hợp để ngăn ngừa sự truy xuất trái phép Một CSDL cần một phương phápnhận biết người dùng của mình, phân biệt được khu vực hoạt động và quyền hạn củangười dùng đó để có thể cung ứng đủ các yêu cầu được phép của người sử dụng

3/ Phân quyền (Privilege)

Quyền kết nối vào CSDL; quyền tạo các bảng trong CSDL; quyền thêm, sửaxóa dữ liệu trong CSDL,

4/ Vai trò

Vai trò là một nhóm các quyền có liên quan để cấp cho người dùng, nhóm người dùng truy xuất vào CSDL