Giáotrình này nhằm cung cấp cho sinh viên các kiến thức cơ bản về an toànmạng máy tính, các kỹ thuật đảm bảo an toàn như firewall, mạng riêng ảo, hệ thống phát hiện và ngăn chặn xâm nhập
Trang 1BAN CƠ YẾU CHÍNH PHỦ
Trang 2BAN CƠ YẾU CHÍNH PHỦ
HỌC VIỆN KỸ THUẬT MẬT MÃ
TS LÊ ĐÌNH THÍCH, ThS HOÀNG SỸ TƯƠNG
GIÁO TRÌNH
AN TOÀN MẠNG MÁY TÍNH
Trang 3MỤC LỤCChương 1 TỔNG QUAN VỀ AN NINH MẠNG 1
TỔNG QUAN VỀ AN NINH MẠNG MÁY TÍNH 1
1.1.1 Sự cần thiết phải có an ninh mạng và các yếu tố cần
1.1.2 Các tiêu chí đánh giá mức độ an ninh an toàn mạng2
1.1.3 Xác định các mối đe dọa đến an ninh mạng 4
1.1.4 Xác định lỗ hổng hệ thống (Vulnerable) và các nguy cơ
2.1.1 Quy trình xây dựng hệ thống thông tin an toàn 17
2.1.2 Xây dựng mô hình an ninh mạng 18
2.1.9 Thống kê tài nguyên 31
Chương 3 MẠNG RIÊNG ẢO 32
3.1.1 Khái Niệm 32
PHÂN LOẠI MẠNG RIÊNG ẢO 34
Trang 4PHƯƠNG THỨC HOẠT ĐỘNG , TRIỂN KHAI CỦA MẠNG RIÊNG ẢO
37
Các thủ thuật bảo vệ mang VPN 45
3.1.2 Sử dụng phương thức mã hoá quyền truy cập VPN.46
3.1.3 Giới hạn quyền truy cập VPN với lý do thương mại
hợp lý và chỉ khi cần thiết 47
3.1.4 Cung cấp quyền truy cập các file được chọn qua mạng
Intranet hay Extranet thay vì VPN 47
3.1.5 Cho phép truy cập e-mail mà không cần truy cập vào
3.1.6 Thực thi và ép buộc nhân viên thực hiện chính sách
mật khẩu an toàn 48
3.1.7 Cung cấp chương trình diệt virus, chống spam, tường
lửa cá nhân cho người dùng từ xa và yêu cầu họ sử dụng
chúng 48
3.1.8 Cách ly người dùng để kiểm chứng mức an toàn trong
máy tính của họ trước khi cho phép kết nối vào mạng VPN
48
3.1.9 Cấm sử dụng mạng riêng ảo hay phần mềm điều khiển
từ xa khác khi đang kết nối tới mạng của chúng ta 49
3.1.10 Bảo mật mạng không dây từ xa 49
Chương 4 HỆ THỐNG PHÁT HIỆN VÀ NGĂN CHẶN XÂM NHẬP
50
SỰ CẦN THIẾT CỦA IDS/IPS 50
4.1.1 Sự cần thiết của IDS/IPS 50
4.1.2 Lợi ích của IDS/IPS 52
4.1.3 Sự khác nhau giữa IDS và IPS 52
HỆ THỐNG PHÁT HIỆN XÂM NHẬP IDS53
4.1.4 Giới thiệu về IDS 53
4.1.5 Chức năng của IDS 57
4.1.6 Phân loại IDS 58
4.1.7 Kiến trúc của IDS 66
Trang 54.1.9 Phân loại các dấu hiệu 75
4.1.10 Cách phát hiện các kiểu tấn công của IDS 78
HỆ THỐNG NGĂN CHẶN XÂM NHẬP IPS 86
4.1.11 Định nghĩa IPS 86
4.1.12 Chức năng của IPS 86
4.1.13 Kiến trúc chung của các hệ thống IPS 87
4.1.14 Phân loại hệ thống IPS 90
4.1.15 Công cụ hỗ trợ IPS(Giống của IDS) 91
4.1.16 Các kỹ thuật xử lý IPS91
4.1.17 Chữ ký và các kỹ thuật xử lý 97
Chương 5 TƯỜNG LỬA 104
TỔNG QUAN VỀ TƯỜNG LỬA 104
INTERNET FIREWALL 105
5.1.1 Định nghĩa Firewall 105
5.1.2 Chức năng của firewall 107
5.1.3 Các thành phần 107
BỘ LỌC GÓI TIN (packet-filtering router) 108
5.1.4 Nguyên lý hoạt động của bộ lọc gói 108
Trang 65.1.14 Mô hình Demilitarized Zone (DMZ-khu vực phiquân sự) hay Screened-subnet Firewall 120
5.1.19 CHỌN DỊCH VỤ MẠNG MÀ BASTTION HOSTCUNG CẤP 124
5.1.20 LÍ DO KHÔNG CUNG CẤP TÀI KHOẢN TRUYCẬP TRÊN BASTION HOST 125
XÂY DỰNG MỘT BASTION HOST AN TOÀN VÀ CHỐNGLẠI SỰ TẤN CÔNG 125
5.1.21 PROXY 126
5.1.22 SỰ RA ĐỜI CỦA PROXY 128
Chương 6 HỆ THỐNG HONEYNET 129
6.1.1 Khái niệm Honeypot 129
6.1.2 Phân loại Honeypot 131
Honeynet 133
6.1.3 Khái niệm Honeynet 133
6.1.4 Chức năng của Honeynet 135
6.1.5 Một số mô hình triển khai Honeynet trên thế giới 136Vai trò và ý nghĩa CỦA Honeynet 138
Mô hình KIẾN trúc honeynet 139
6.1.6 Mô hình kiến trúc vật lý 140
6.1.7 Hệ thống Honeynet ảo 143
Mô hình kiến trúc loggic của Honeynet 144
6.1.8 Module điều khiển dữ liệu (hay kiểm soát dữ liệu) 1466.1.9 Module thu nhận dữ liệu 155
Trang 7PHỤ LỤC 1 THỰC HÀNH TRIỂN KHAI HỆ THỐNG VPN TRÊN
Lab 2.1 Lab 1: VPN – Gateway to Gateway 165
Lab 2.2 VPN – Client to Gateway 181
Lab 2.3 VPN with PPTP and L2TP/IPSEC 185
Lab 2.4 VPN with Radius (CHỨNG THỰC USER TRÊN Domain)
195
PHỤ LỤC 2 THỰC HÀNH XÂY DỰNG TƯỜNG LỬA SỬ DỤNG MICROSOFT ISA FIREWALL 203
Lab 2.1 CÀI ĐẶT ISA Server 203
Lab 2.2 Secure NAT 211
Lab 2.3 Proxy 218
Lab 2.4 Firewall Client 220
Lab 2.5 ISA Server - Access Rule 224
Lab 2.6 ISA Server – Template 253
Lab 2.7 ISA Server - Server Publishing - Configuration 257
Lab 2.8 ISA Server - Server Publishing - HTTP – HTTPS 275
Lab 2.9 ISA Server - Server Publishing - SMTP - POP3 - OWA 290 PHỤ LỤC 3 THỰC HÀNH XÂY DỰNG HỆ THỐNG PHÁT HIỆN
Lab 3.1 Mô hình mạng sử dụng để tiến hành thử nghiệm
297Lab 3.2 chuẩn bị máy 297
Lab 3.3 Sử dụng Snort_inline để phát hiện và ngăn chặn tấn
công 312
PHỤ LỤC 4 THỰC HÀNH XÂY DỰNG HỆ THỐNG HONEYNET.
313
Lab 4.1 Mô hình triển khai thực tế 313
Lab 4.2 Cài đặt và cấu hình hệ thống Honeynet 314
Lab 4.3 Cài đặt và cấu hình Sebek 319
Lab 4.4 Vận hành hệ thống honeynet và phân tích quá trình tấn công của hacker 321
Lab 4.5 Quá trình phân tích tấn công 323
Trang 8Lab 4.6 Một số cách phòng chống 333
Trang 9LỜI MỞ ĐẦU
Với nhu cầu trao đổi thông tin ngày nay bắt buộc các c á n h â n
c ũ n g n h ư c á c cơ quan, tổ chức phải hoà mình vào mạng toàn cầuInternet An toàn và bảo mật thông tin là một trong những vấn đề quantrọng hàng đầu khi thực hiện kết nối Internet
Ngày nay, các biện pháp an toàn thông tin cho máy tính cá nhân cũngnhư các mạng nội bộ đã được nghiên cứu và triển khai Tuy nhiên, vẫnthường xuyên có các mạng bị tấn công, có các tổ chức bị đánh cắp thôngtin,…gây nên những hậu quả vô cùng nghiêm trọng Những vụ tấn công nàynhằm vào tất cả các máy tính có mặt trên mạng Internet, đa phần vì mụcđích xấu và các cuộc tấn công không được báo trước, số lượng các vụ tấncông tăng lên nhanh chóng và các phương pháp tấn công cũng liên tụcđược hoàn thiện Vì vậy việc kết nối một máy tính vào mạng nội bộ cũngnhư vào mạng Internet cần phải có các biện pháp đảm bảo an ninh Giáotrình này nhằm cung cấp cho sinh viên các kiến thức cơ bản về an toànmạng máy tính, các kỹ thuật đảm bảo an toàn như firewall, mạng riêng ảo,
hệ thống phát hiện và ngăn chặn xâm nhập, hệ thống honeynet, đồng thờigiáo trình cũng cung cấp các bài thực hành giúp sinh viên có thể xây dựngđược các hệ thống firewall, vpn, IDS/IPS, HONEYNET
Nội dung chính của cuốn giáo trình gồm 1 chương
Chương 1: Tổng quan về an toàn mạng
Chương 2: Xây dựng mô hình an ninh mạng
Chương 3: Mạng riêng ảo – VPN
Chương 4: Hệ thống phát hiện và ngăn chặn xâm nhập (IDS/IPS) Chương 5: Tường lửa - firewall
Chương 6: Honeynet
Phụ lục 1: Thực hành xây dựng mạng riêng ảo trên nền windows
Phụ lục 2: Thực hành xây dựng hệ thống firewall trên nền ISA
Phục lục 3: Thực hành xây dựng hệ thống phát hiện và ngăn chặn xâmnhập
Trang 11CHƯƠNG 1 TỔNG QUAN VỀ AN NINH MẠNGTỔNG QUAN VỀ AN NINH MẠNG MÁY TÍNH
1.1 Sự cần thiết phải có an ninh mạng và các yếu tố cần bảo vệ
Trong hệ thống mạng, vấn đề an toàn và bảo mật một hệ thống thôngtin đóng một vai trò hết sức quan trọng Thông tin chỉ có giá trị khi nó giữđược tính chính xác, thông tin chỉ có tính bảo mật khi chỉ có những ngườiđược phép nắm giữ thông tin biết được nó Khi ta chưa có thông tin, hoặc việc
sử dụng hệ thống thông tin chưa phải là phương tiện duy nhất trong quản lý,điều hành thì vấn đề an toàn, bảo mật đôi khi bị xem thường Nhưng một khinhìn nhận tới mức độ quan trọng của tính bền hệ thống và giá trị đích thựccủa thông tin đang có thì chúng ta sẽ có mức độ đánh giá về an toàn và bảomật hệ thống thông tin Để đảm bảo được tính an toàn và bảo mật cho một hệthống cần phải có sự phối hợp giữa các yếu tố phần cứng, phần mềm và conngười
Để thấy được tầm quan trọng của việc đảm bảo an ninh mạng ta tìmhiểu các tác động của việc mất an ninh mạng và từ đó đưa ra các yếu tố cầnbảo vệ:
Tác hại của việc không đảm bảo an ninh mạng
Trang 12- Tài nguyên: con người, hệ thống, đường truyền
- Danh tiếng của công ty
1.2 Các tiêu chí đánh giá mức độ an ninh an toàn mạng
Để đảm bảo an ninh an toàn cho mạng, cần phải xây dựng một số tiêuchuẩn đánh giá mức độ an ninh an toàn mạng Một số tiêu chuẩn đã được thừanhận là thước đo mức độ an ninh mạng
1.2.1 Đánh giá trên phương diện vật lý
An toàn thiết bị
Các thiết bị sử dụng trong mạng cần đáp ứng được các yêu cầu sau:
- Có thiết bị dự phòng nóng cho các tình huống hỏng đột ngột Có khảnăng thay thế nóng từng phần hoặc toàn phần (hot-plug, hot-swap)
- Khả năng cập nhật, nâng cấp, bổ xung phần cứng và phần mềm
- Yêu cầu nguồn điện, có dự phòng trong tình huống mất điện đột ngột
- Các yêu cầu phù hợp với môi trường xung quanh: độ ẩm, nhiệt độ,chống sét, phòng chống cháy nổ, vv
An toàn dữ liệu
- Có các biện pháp sao lưu dữ liệu một cách định kỳ và không định kỳtrong các tình huống phát sinh
- Có biện pháp lưu trữ dữ liệu tập trung và phân tán nhằm chia bớt rủi
ro trong các trường hợp đặc biệt như cháy nổ, thiên tai, chiến tranh, vv
1.2.2 Đánh giá trên phương diện logic
Đánh giá theo phương diện này có thể chia thành các yếu tố cơ bản sau:Tính bí mật, tin cậy (Confidentiality)
Là sự bảo vệ dữ liệu truyền đi khỏi những cuộc tấn công bị động Cóthể dùng vài mức bảo vệ để chống lại kiểu tấn công này Dịch vụ rộng nhất làbảo vệ mọi dữ liệu của người sử dụng truyền giữa hai người dùng trong mộtkhoảng thời gian Nếu một kênh ảo được thiết lập giữa hai hệ thống, mức bảo
vệ rộng sẽ ngăn chặn sự rò rỉ của bất kỳ dữ liệu nào truyền trên kênh đó
Cấu trúc hẹp hơn của dịch vụ này bao gồm việc bảo vệ một bản tinriêng lẻ hay những trường hợp cụ thể bên trong một bản tin Khía cạnh khác
Trang 13những kẻ tấn công không thể quan sát được tần suất, độ dài của nguồn và đíchhoặc những đặc điểm khác của lưu lượng trên một phương tiện giao tiếp.
Tính xác thực (Authentication)
Liên quan tới việc đảm bảo rằng một cuộc trao đổi thông tin là đáng tincậy Trong trường hợp một bản tin đơn lẻ, ví dụ như một tín hiệu báo độnghay cảnh báo, chức năng của dịch vụ ủy quyền là đảm bảo bên nhận rằng bảntin là từ nguồn mà nó xác nhận là đúng
Trong trường hợp một tương tác đang xẩy ra, ví dụ kết nối của một đầucuối đến máy chủ, có hai vấn đề sau: thứ nhất tại thời điểm khởi tạo kết nối,dịch vụ đảm bảo rằng hai thực thể là đáng tin Mỗi chúng là một thực thểđược xác nhận Thứ hai, dịch vụ cần phải đảm bảo rằng kết nối là không bịgây nhiễu do một thực thể thứ ba có thể giả mạo là một trong hai thực thể hợppháp để truyền tin hoặc nhận tin không được cho phép
Tính toàn vẹn (Integrity)
Cùng với tính bí mật, toàn vẹn có thể áp dụng cho một luồng các bảntin, một bản tin riêng biệt hoặc những trường lựa chọn trong bản tin Một lầnnữa, phương thức có ích nhất và dễ dàng nhất là bảo vệ toàn bộ luồng dữ liệu
Một dịch vụ toàn vẹn hướng kết nối, liên quan tới luồng dữ liệu, đảmbảo rằng các bản tin nhận được cũng như gửi không có sự trùng lặp, chèn,sửa, hoán vị hoặc tái sử dụng Việc hủy dữ liệu này cũng được bao gồm trongdịch vụ này Vì vậy, dịch vụ toàn vẹn hướng kết nối phá hủy được cả sự thayđổi luồng dữ liệu và cả từ chối dữ liệu Mặt khác, một dịch vụ toàn vẹn khôngkết nối, liên quan tới từng bản tin riêng lẻ, không quan tâm tới bất kỳ mộthoàn cảnh rộng nào, chỉ cung cấp sự bảo vệ chống lại sửa đổi bản tin
Chúng ta có thể phân biệt giữa dịch vụ có và không có phục hồi Bởi vìdịch vụ toàn vẹn liên quan tới tấn công chủ động, chúng ta quan tâm tới pháthiện hơn là ngăn chặn Nếu một sự vi phạm toàn vẹn được phát hiện, thì phầndịch vụ đơn giản là báo cáo sự vi phạm này và một vài những phần của phầnmềm hoặc sự ngăn chặn của con người sẽ được yêu cầu để khôi phục từnhững vi phạm đó Có những cơ chế giành sẵn để khôi phục lại những mấtmát của việc toàn vẹn dữ liệu
Không thể phủ nhận (Non repudiation)
Trang 14Tính không thể phủ nhận bảo đảm rằng người gửi và người nhận khôngthể chối bỏ 1 bản tin đã được truyền Vì vậy, khi một bản tin được gửi đi, bênnhận có thể chứng minh được rằng bản tin đó thật sự được gửi từ người gửihợp pháp Hoàn toàn tương tự, khi một bản tin được nhận, bên gửi có thểchứng minh được bản tin đó đúng thật được nhận bởi người nhận hợp lệ.
Khả năng điều khiển truy nhập (Access Control)
Trong hoàn cảnh của an ninh mạng, điều khiển truy cập là khả năng hạnchế các truy nhập tới máy chủ thông qua đường truyền thông Để đạt đượcviệc điều khiển này, mỗi một thực thể cố gắng đạt được quyền truy nhập cầnphải được nhận diện, hoặc được xác nhận sao cho quyền truy nhập có thểđược đáp ứng nhu cầu đối với từng người
Tính khả dụng, sẵn sàng (Availability)
Một hệ thống đảm bảo tính sẵn sàng có nghĩa là có thể truy nhập dữliệu bất cứ lúc nào mong muốn trong vòng một khoảng thời gian cho phép.Các cuộc tấn công khác nhau có thể tạo ra sự mất mát hoặc thiếu về sự sẵnsàng của dịch vụ Tính khả dụng của dịch vụ thể hiện khả năng ngăn chặn vàkhôi phục những tổn thất của hệ thống do các cuộc tấn công gây ra
1.3 Xác định các mối đe dọa đến an ninh mạng
1.3.1 Mối đe dọa không có cấu trúc ( Untructured threat)
Công cụ hack và script có rất nhiều trên Internet, vì thế bất cứ ai tò mò
có thể tải chúng về và sử dụng thử trên mạng nội bộ và các mạng ở xa Cũng
có những người thích thú với việc xâm nhập vào máy tính và các hành độngvượt khỏi tầm bảo vệ Hầu hết tấn công không có cấu trúc đều được gây rabởi Script Kiddies (những kẻ tấn công chỉ sử dụng các công cụ được cungcấp, không có hoặc có ít khả năng lập trình) hay những người có trình độ vừaphải Hầu hết các cuộc tấn công đó vì sở thích cá nhân, nhưng cũng có nhiềucuộc tấn công có ý đồ xấu Những trường hợp đó có ảnh hưởng xấu đến hệthống và hình ảnh của công ty
Mặc dù tính chuyên môn của các cuộc tấn công dạng này không caonhưng nó vẫn có thể phá hoại hoạt động của công ty và là một mối nguy hạilớn Đôi khi chỉ cần chạy một đoạn mã là có thể phá hủy chức năng mạng của
Trang 15công vào tất cả các host của hệ thống với mục đích truy nhập vào mạng,nhưng kẻ tấn công đã tình cờ gây hỏng hóc cho vùng rộng của hệ thống Haytrường hợp khác, chỉ vì ai đó có ý định thử nghiệm khả năng, cho dù không cómục đích xấu nhưng đã gây hại nghiêm trọng cho hệ thống.
1.3.2 Mối đe dọa có cấu trúc ( Structured threat)
Structured threat là các hành động cố ý, có động cơ và kỹ thuật cao.Không như Script Kiddes, những kẻ tấn công này có đủ kỹ năng để hiểu cáccông cụ, có thể chỉnh sửa các công cụ hiện tại cũng như tạo ra các công cụmới Những kẻ tấn công này hoạt động độc lập hoặc theo nhóm, họ hiểu, pháttriển và sử dụng các kỹ thuật hack phức tạp nhằm xâm nhập vào mục tiêu
Động cơ của các cuộc tấn công này thì có rất nhiều Một số yếu tốthường thấy có thể vì tiền, hoạt động chính trị, tức giận hay báo thù Các tổchức tội phạm, các đối thủ cạnh tranh hay các tổ chức sắc tộc có thể thuê cácchuyên gia để thực hiện các cuộc tấn công dạng structured threat Các cuộctấn công này thường có mục đích từ trước, như để lấy được mã nguồn của đốithủ cạnh tranh Cho dù động cơ là gì, thì các cuộc tấn công như vậy có thểgây hậu quả nghiêm trọng cho hệ thống Một cuộc tấn công structured thànhcông có thể gây nên sự phá hủy cho toàn hệ thống
1.3.3 Mối đe dọa từ bên ngoài (External threat)
External threat là các cuộc tấn công được tạo ra khi không có một quyềnnào trong hệ thống Người dùng trên toàn thế giới thông qua Internet đều cóthể thực hiện các cuộc tấn công như vậy
Các hệ thống bảo vệ vành đai là tuyến bảo vệ đầu tiên chống lại externalthreat Bằng cách gia tăng hệ thống bảo vệ vành đai, ta có thể giảm tác độngcủa kiểu tấn công này xuống tối thiểu Mối đe dọa từ bên ngoài là mối đe dọa
mà các công ty thường phải bỏ nhiều tiền và thời gian để ngăn ngừa
1.3.4 Mối đe dọa từ bên trong ( Internal threat )
Thuật ngữ “Mối đe dọa từ bên trong” được sử dụng để mô tả một kiểutấn công được thực hiện từ một người hoặc một tổ chức có một vài quyền truycập mạng của chúng ta Các cách tấn công từ bên trong được thực hiện từ mộtkhu vực được tin cậy trong mạng Mối đe dọa này có thể khó phòng chốnghơn vì các nhân viên có thể truy cập mạng và dữ liệu bí mật của công ty Hầu
Trang 16hết các công ty chỉ có các tường lửa ở đường biên của mạng, và họ tin tưởnghoàn toàn vào các ACL (Access Control Lists) và quyền truy cập server đểquy định cho sự bảo mật bên trong Quyền truy cập server thường bảo vệ tàinguyên trên server nhưng không cung cấp bất kì sự bảo vệ nào cho mạng.Mối đe dọa ở bên trong thường được thực hiện bởi các nhân viên bất bình,muốn “quay mặt” lại với công ty Nhiều phương pháp bảo mật liên quan đếnvành đai của mạng, bảo vệ mạng bên trong khỏi các kết nối bên ngoài, như làInternet Khi vành đai của mạng được bảo mật, các phần tin cậy bên trong cókhuynh hướng bị bớt nghiêm ngặt hơn Khi một kẻ xâm nhập vượt qua vỏ bọcbảo mật cứng cáp đó của mạng, mọi chuyện còn lại thường là rất đơn giản.Đôi khi các cuộc tấn công dạng structured vào hệ thống được thực hiện với sựgiúp đỡ của người bên trong hệ thống Trong trường hợp đó, kẻ tấn công trởthành structured internal threat, kẻ tấn công có thể gây hại nghiên trọng cho
hệ thống và ăn trộm tài nguyên quan trọng của công ty Structured internelthreat là kiểu tấn công nguy hiểm nhất cho mọi hệ thống
1.4 Xác định lỗ hổng hệ thống (Vulnerable) và các nguy cơ (Risk)
1.4.1 Lỗ hổng hệ thống
Lỗ hổng hệ thống là nơi mà đối tượng tấn công có thể khai thác để thựchiện các hành vi tấn công hệ thống Lỗ hổng hệ thống có thể tồn tại trong hệthống mạng hoặc trong thủ tục quản trị mạng
Nguy cơ hệ thống được hình thành bởi sự kết hợp giữa lỗ hổng hệ
thống, các mối đe dọa đến hệ thống và các biện pháp an toàn hệ thống hiện có
Nguy cơ = Mối đe dọa + Lỗ hổng hệ thống + Các biện pháp an toànhiện có
Xác định các lỗ hổng hệ thống
Trang 17Việc xác định các lỗ hổng hệ thống được bắt đầu từ các điểm truy cậpvào hệ thống như:
- Kết nối mạng Internet
- Các điểm kết nối từ xa
- Kết nối đến các tổ chức khác
- Các môi trường truy cập vật lý đến hệ thống
- Các điểm truy cập người dùng
- Các điểm truy cập không dây
Xác định các mối đe dọa
Việc xác định các mối đe dọa là rất khó khăn vì các lý do:
- Các mối đe dọa thường không xuất hiện rõ ràng (ẩn)
- Các hình thức và kỹ thuật tấn công đa dạng:
DoS/DDoS, BackDoor, Tràn bộ đệm,…
Virus, Trojan Horse, Worm
Social Engineering
- Thời điểm tấn công không biết trước
- Qui mô tấn công không biết trước
Kiểm tra các biện pháp an ninh mạng hiện có
Các biện pháp an ninh gồm các loại sau:
- Bức tường lửa - Firewall
Trang 18dùng Chương trình nguồn Virus và các bản copy của nó có thể tự biến thể.Virus chỉ có thể lây nhiễm từ máy này sang máy khác khi máy tính có giaotiếp với nguồn gây bệnh thông qua các phương thức trao đổi dữ liệu như quađĩa mềm, CD hoặc USB, đặc biệt trong trường hợp trao đổi qua hệ thốngmạng
1.5.2 Con ngựa thành Troy(Trojan Horse)
Trojan là một file xuất hiện một cách vô hại trước khi thi hành Tráingược với Virus Trojan không chèn các đoạn mã lệnh vào các file khác.Trojan thường được gắn vào các chương trình trò chơi hoặc phần mềm miễnphí, vô thưởng vô phạt Khi một ứng dụng được thực thi thì Trojan cũng đồngthời thực hiện nhiệm vụ của nó Nhiều máy tính cá nhân khi kết nối Internet làđiều kiện thuận lợi để bị lây nhiễm Trojan Ngày nay Trojan được cài đặt như
là một bộ phận của phần mềm thâm nhập vào cửa sau của hệ thống và từ đóphát hiện các lỗ hổng bảo mật
1.5.3 Sâu mạng-Worm
Sâu mạng Worm có thể lây nhiễm tự động từ máy này sang máy kháckhông nhất thiết phải dịch chuyển như là một bộ phận của host Worm làchương trình có thể tự tái tạo thông qua giao dịch tìm kiếm các file đã bị lâynhiễm của hệ điều hành Hiện nay Worm thường lây nhiễm qua đường thưđiện tử, Worm tự động nhân bản và gửi đến các địa chỉ trong danh mục địachỉ thư của ngời dùng Worm cũng có thể lây nhiễm thông qua việc downloadfile, sự nguy hiểm của Worm là nó có thể làm vô hiệu hoá các chương trìnhdiệt virus và các biện pháp an ninh như là việc ăn cắp mật khẩu,
1.5.4 Bom logic – Logic Bombs
Bom Logic là một đoạn mã lệnh ngoại lai được chèn vào hệ thống phầnmềm có mục đích phá hoại được cài đặt ở chế độ tắt, khi gặp điều kiện thuậnlợi sẽ được kích hoạt để phá hoại Ví dụ người lập trình sẽ cài ẩn vào phầnmềm của mình đoạn mã lệnh xoá file nếu trong quá trình sử dụng khách hàngkhông trả phí Thông thường logic Bombs được kích hoạt theo chế độ giớihạn thời gian Các kỹ thuật này cũng được sử dụng trong các chương trìnhVirus và Worm hoặc các Trojan được kích hoạt đồng loạt tại một thời điểm
Trang 191.5.5 Adware - advertising-supported software
Adware hay còn gọi là phần mềm hỗ trợ quảng cáo là một gói phầnmềm tự động thực hiện, trình diễn hoặc tải về các chương trình quảng cáo saukhi được kích hoạt
1.5.6 Spyware
Spyware là phần mềm máy tính dùng để thu thập các thông tin của cá
nhân không được sự chấp thuận của họ Thuật ngữ Spyware xuất hiện năm
1995 và được phổ biến rộng rãi sau đó 5 năm Thông tin cá nhân bao gồm
hệ thống khoá truy cập (username, password, ), địa chỉ các trang Web ường xuyên truy cập, các thông tin được lưu trữ trên đĩa cứng của máy tính
th-cá nhân
Spyware thường dùng phương thức đánh lừa khi khai báo để truy cậpvào trang Web nào đó, đặc biệt là các thông tin mật, số PIN của thẻ tíndụng, số điện thoại,
1.5.7 Backdoor
Backdoor là một giải pháp tìm đường vòng để truy cập từ xa vào hệthống được đảm bảo an ninh một cách vô hình từ sự cẩu thả quá trình kiểmduyệt Backdoor có thể được đặt kèm theo chương trình hoặc biến đổi từ mộtchương trình hợp pháp
MỘT SỐ PHƯƠNG PHÁP TẤN CÔNG MẠNG VÀ CÁCH PHÒNG CHỐNG
Các kiểu tấn công vào mạng ngày càng vô cùng tinh vi, phức tạp vàkhó lường, gây ra nhiều tác hại Các kỹ thuật tấn công luôn biến đổi và chỉđược phát hiện sau khi đã để lại những hậu quả xấu Một yêu cầu cần thiết đểbảo vệ an toàn cho mạng là phải phân tích, thống kê và phân loại được cáckiểu tấn công, tìm ra các lỗ hổng có thể bị lợi dụng để tấn công Có thể phânloại các kiểu tấn công theo một số cách sau
Theo tính chất xâm hại thông tin
- Tấn công chủ động: Là kiểu tấn công can thiệp được vào nội dung vàluồng thông tin, sửa chữa hoặc xóa bỏ thông tin Kiểu tấn công này dễ nhậnthấy khi phát hiện được những sai lệch thông tin nhưng lại khó phòng chống
Trang 20- Tấn công bị động: Là kiểu tấn công nghe trộm, nắm bắt được thôngtin nhưng không thể làm sai lạc hoặc hủy hoại nội dung và luồng thông tin.Kiểu tấn công này dễ phòng chống nhưng lại khó có thể nhận biết được thôngtin có bị rò rỉ hay không
Theo vị trí mạng bị tấn công
- Tấn công trực tiếp vào máy chủ cung cấp dịch vụ làm tê liệt máy chủdẫn tới ngưng trệ dịch vụ, hay nói cách khác là tấn công vào các thiết bị phầncứng và hệ điều hành
- Tấn công vào cơ sở dữ liệu làm rỏ rỉ, sai lệch hoặc mất thông tin
- Tấn công vào các điểm (node) truyền tin trung gian làm nghẽn mạnghoặc có thể làm gián đoạn mạng
- Tấn công đường truyền (lấy trộm thông tin từ đường truyền vật lý)Theo kỹ thuật tấn công
- Tấn công từ chối dịch vụ (Denied of service): tấn công vào máy chủlàm tê liệt một dịch vụ nào đó
- Tấn công kiểu lạm dụng quyền truy cập (Abose of acccess privileges):
kẻ tấn công chui vào máy chủ sau khi đã vượt qua được các mức quyền truycập Sau đó sử dụng các quyền này để tấn công hệ thống
- Tấn công kiểu ăn trộm thông tin vật lý (Physical theft): lấy trộm thôngtin trên đường truyền vật lý
- Tấn công kiểu thu lượm thông tin (information gather): bắt các tập tinlưu thông trên mạng, tập hợp thành những nội dung cần thiết
- Tấn công kiểu bẻ khóa mật khẩu (password cracking): dò, phá, bẻkhóa mật khẩu
- Tấn công kiểu khai thác những điểm yếu, lỗ hổng (exploitation ofsystem and network vulnerabilities): tấn công trực tiếp vào các điểm yếu, lỗhổng của mạng
- Tấn công kiểu sao chép, ăn trộm thông tin (spoofing): giả mạo ngườikhác để tránh bị phát hiện khi gửi thông tin vô nghĩa hoặc tấn công mạng
- Tấn công bằng các đoạn mã nguy hiểm (malicious code): gửi theo góitin đến hệ thống các đoạn mã mang tính chất nguy hại đến hệ thống
Trang 211.6 Các phương pháp xâm nhập hệ thống
1.6.1 Phương thức ăn cắp thống tin bằng Packet Sniffers
Đây là một chương trình ứng dụng bắt giữ được tất cả các các gói lưuchuyển trên mạng (trên một collision domain) Sniffer thường được dùng chotroubleshooting network hoặc để phân tích traffic Tuy nhiên, do một số ứngdụng gửi dữ liệu qua mạng dưới dạng clear text (telnet, FTP, SMTP, POP3, )nên sniffer cũng là một công cụ cho hacker để bắt các thông tin nhạy cảm như
là username, password, và từ đó có thể truy xuất vào các thành phần khác củamạng
1.6.2 Phương thức tấn công mật khẩu Password attack
Các hacker tấn công password bằng một số phương pháp như: force attack, chương trình Trojan Horse, IP spoofing, và packet sniffer Mặc
brute-dù brute-dùng packet sniffer và IP spoofing có thể lấy được user account vàpassword, nhưng hacker lại thường sử dụng brute-force để lấy user accounthơn
Tấn công brute-force được thực hiện bằng cách dùng một chương trìnhchạy trên mạng, cố gắng login vào các phần share trên server bằng phươngpháp “thử và sai” passwork
1.6.3 Phương thức tấn công bằng Mail Relay
Đây là phương pháp phổ biến hiện nay Email server nếu cấu hìnhkhông chuẩn hoặc Username/ password của user sử dụng mail bị lộ Hacker
có thể lợi dụng email server để gửi mail gây ngập mạng , phá hoại hệ thốngemail khác Ngoài ra với hình thức gắn thêm các đoạn script trong mailhacker có thể gây ra các cuộc tấn công Spam cùng lúc với khả năng tấn cônggián tiếp đến các máy chủ Database nội bộ hoặc các cuộc tấn công D.o.S vàomột mục tiêu nào đó
1.6.4 Phương thức tấn công hệ thống DNS
DNS Server là điểm yếu nhất trong toàn bộ các loại máy chủ ứng dụng
và cũng là hệ thống quan trọng nhất trong hệ thống máy chủ
Trang 22Việc tấn công và chiếm quyền điều khiển máy chủ phục vụ DNS là một
sự phá hoại nguy hiểm liên quan đến toàn bộ hoạt động của hệ thống truyềnthông trên mạng
Hạn chế tối đa các dịch vụ khác trên hệ thống máy chủ DNS
Cài đặt hệ thống IDS Host cho hệ thống DNS
Luôn cập nhật phiên bản mới có sửa lỗi của hệ thống phần mềm DNS
1.6.5 Phương thức tấn công Man-in-the-middle attack
Dạng tấn công này đòi hỏi hacker phải truy nhập được các gói mạngcủa mạng Một ví dụ về tấn công này là một người làm việc tại ISP, có thể bắtđược tấc cả các gói mạng của công ty khách hàng cũng như tất cả các góimạng của các công ty khác thuê Leased line đến ISP đó để ăn cắp thông tinhoặc tiếp tục session truy nhập vào mạng riêng của công ty khách hàng Tấncông dạng này được thực hiện nhờ một packet sniffer
1.6.6 Phương thức tấn công để thăm dò mạng
Thăm dò mạng là tất cả các hoạt động nhằm mục đích lấy các thông tin
về mạng khi một hacker cố gắng chọc thủng một mạng, thường thì họ phảithu thập được thông tin về mạng càng nhiều càng tốt trước khi tấn công Điềunày có thể thực hiện bởi các công cụ như DNS queries, ping sweep, hay portscan
1.6.7 Phương thức tấn công Trust exploitation
Loại tấn công kiểu này được thực hiện bằng cách tận dụng mối quan hệtin cậy đối với mạng Một ví dụ cho tấn công kiểu này là bên ngoài firewall
có một quan hệ tin cậy với hệ thống bên trong firewall Khi bên ngoài hệthống bị xâm hại, các hacker có thể lần theo quan hệ đó để tấn công vào bêntrong firewall
1.6.8 Phương thức tấn công Port redirection
Tấn công này là một loại của tấn công trust exploitation, lợi dụng mộthost đã đã bị đột nhập đi qua firewall Ví dụ, một firewall có 3 interface, mộthost ở outside có thể truy nhập được một host trên DMZ, nhưng không thểvào được host ở inside Host ở DMZ có thể vào được host ở inside, cũng nhưoutside Nếu hacker chọc thủng được host trên DMZ, họ có thể cài phần mềm
Trang 231.6.9 Phương thức tấn công lớp ứng dụng
Tấn công lớp ứng dụng được thực hiện bằng nhiều cách khác nhau Mộttrong những cách thông dụng nhất là tấn công vào các điểm yếu của phânmềm như sendmail, HTTP, hay FTP
Nguyên nhân chủ yếu của các tấn công lớp ứng dụng này là chúng sửdụng những port cho qua bởi firewall Ví dụ các hacker tấn công Web serverbằng cách sử dụng TCP port 80, mail server bằng TCP port 25
1.6.10 Phương thức tấn Virus và Trojan Horse
Các nguy hiểm chính cho các workstation và end user là các tấn côngvirus và ngựa thành Trojan (Trojan horse) Virus là một phần mềm có hại,được đính kèm vào một chương trình thực thi khác để thực hiện một chứcnăng phá hại nào đó Trojan horse thì hoạt động khác hơn Một ví dụ vềTrojan horse là một phần mềm ứng dụng để chạy một game đơn giản ở máyworkstation Trong khi người dùng đang mãi mê chơi game, Trojan horse sẽgởi một bản copy đến tất cả các user trong address book Khi user khác nhận
và chơi trò chơi, thì nó lại tiếp tục làm như vậy, gửi đến tất cả các địa chỉ mail
có trong address book của user đó
1.7 Các phương pháp phát hiện và ngăn ngừa xâm nhập
1.7.1 Phương thức ăn cắp thông tin bằng Packet Sniffers
Khả năng thực hiện Packet Sniffers có thể xảy ra từ trong các Segmentcủa mạng nội bộ, các kết nối RAS hoặc phát sinh trong WAN
Ta có thể cấm packet sniffer bằng một số cách như sau:
Authentication
Kỹ thuật xác thực này được thực hiện phổ biến như one-type password(OTPs) Kỹ thuật này được thực hiện bao gôm hai yếu tố: personalidentification number ( PIN ) và token card để xác thực một thiết bị hoặc mộtphần mềm ứng dụng
Token card là thiết bị phần cứng hoặc phần mềm sản sinh ra thông tinmột cách ngẫu nhiên ( password ) tại một thời điểm, thường là 60 giây
Trang 24Khách hàng sẽ kết nối password đó với một PIN để tạo ra mộtpassword duy nhất Giả sử một hacker học được password đó bằng kỹ thuậtpacket sniffers, thông tin đó cũng không có giá trị vì nó đã hết hạn.
Dùng switch thay vì Bridge hay hub: hạn chế được các gói broadcasttrong mạng
Kỹ thuật này có thể dùng để ngăn chặn packet sniffers trong môi trườngmạng Vd: nếu toàn bộ hệ thống sử dụng switch ethernet, hacker chỉ có thểxâm nhập vào luồng traffic đang lưu thông tại 1 host mà hacker kết nối đến
Kỹ thuật này không làm ngăn chặn hoàn toàn packet sniffer nhưng nó có thểgiảm được tầm ảnh hưởng của nó
Các công cụ Anti-sniffer: công cụ này phát hiện sự có mặt của packetsiffer trên mạng
Mã hóa: Tất cả các thông tin lưu chuyển trên mạng đều được mã hóa.Khi đó, nếu hacker dùng packet sniffer thì chỉ bắt được các gói dữ liệu đãđược mã hóa Cisco dùng giao thức IPSec để mã hoá dữ liệu
1.7.2 Phương thức tấn công mật khẩu Password attack
Phương pháp giảm thiểu tấn công password:
Giới hạn số lần login sai
Đặt password dài
Cấm truy cập vào các thiết bị, server từ xa thông qua các giao thứckhông an toàn như FTP, Telnet, rlogin, rtelnet… ứng dung SSL,SSH vào quản
lý từ xa
1.7.3 Phương thức tấn công bằng Mail Relay
Phương pháp giảm thiểu :
Giới hạn dung lượng Mail box
Sử dụng các phương thức chống Relay Spam bằng các công cụ bảo mậtcho SMTP server, đặt password cho SMTP
Trang 25Luôn cập nhật phiên bản mới có sửa lỗi của hệ thống phần mềm DNS.
1.7.5 Phương thức tấn công Man-in-the-middle attack
Tấn công dạng này có thể hạn chế bằng cách mã hoá dữ liệu được gửi
ra Nếu các hacker có bắt được các gói dữ liệu thì là các dữ liệu đã được mãhóa
1.7.6 Phương thức tấn công để thăm dò mạng
Ta không thể ngăn chặn được hoàn toàn các hoạt độ thăm dò kiểu nhưvậy Ví dụ ta có thể tắt đi ICMP echo và echo-reply, khi đó có thể chặn đượcping sweep, nhưng lại khó cho ta khi mạng có sự cố, cần phải chẩn đoán lỗi
do đâu
NIDS và HIDS giúp nhắc nhở (notify) khi có các hoạt động thăm dòxảy ra trong mạng
1.7.7 Phương thức tấn công Trust exploitation
Có thể giới hạn các tấn công kiểu này bằng cách tạo ra các mức truyxuất khác nhau vào mạng và quy định chặt chẽ mức truy xuất nào sẽ đượctruy xuất vào các tài nguyên nào của mạng
1.7.8 Phương thức tấn công Port redirection
Ta ngăn chặn tấn công loại này bằng cách sử dụng HIDS cài trên mỗiserver HIDS có thể giúp phát hiện được các chương trình lạ hoạt động trênserver đó
1.7.9 Phương thức tấn công lớp ứng dụng
Một số phương cách để hạn chế tấn công lớp ứng dụng:
Lưu lại log file, và thường xuyên phân tích log file
Luôn cập nhật các patch cho OS và các ứng dụng
Dùng IDS, có 2 loại IDS:
HIDS: cài đặt trên mỗi server một agent của HIDS để phát hiện các tấncông lên server đó
NISD: xem xét tất cả các packet trên mạng (collision domain) Khi nóthấy có một packet hay một chuỗi packet giống như bị tấn công, nó có thểphát cảnh báo, hay cắt session đó
Trang 26Các IDS phát hiện các tấn công bằng cách dùng các signature.Signature của một tấn công là một profile về loại tấn công đó Khi IDS pháthiện thấy traffic giống như một signature nào đó, nó sẽ phát cảnh báo.
1.7.10 Phương thức tấn Virus và Trojan Horse
Có thể dùng các phần mềm chống virus để diệt các virus và Trojanhorse và luôn luôn cập nhật chương trình chống virus mới
Trang 27CHƯƠNG 2 XÂY DỰNG MÔ HÌNH AN NINH
MẠNG
MÔ HÌNH AN NINH MẠNG
Trong một hệ thống truyền thông ngày nay, các loại dữ liệu như cácquyết định, chỉ thị, tài liệu, được lưu chuyển trên mạng với một lưu lượnglớn, khổng lồ và đa dạng Trong quá trình dữ liệu đi từ người gửi đến ngườinhận, chúng ta quan tâm đến vấn đề sau:
- Dữ liệu có bị sửa đổi không?
- Dữ liệu có bị mạo danh không?
Vì không thể có một giải pháp an toàn tuyệt đối nên người ta thườngphải sử dụng đồng thời nhiều mức độ bảo vệ khác nhau trước các hoạt độngxâm phạm Việc bảo vệ thông tin trên mạng chủ yếu là bảo vệ thông tin trêncác kho dữ liệu được cài đặt trong các Server của mạng Bởi thế ngoài một sốbiện pháp nhằm chống thất thoát thông tin trên đường truyền, mọi cố gắng tậptrung vào việc xây dựng các mức “rào chắn” từ ngoài vào trong cho các hệthống kết nối vào mạng
2.1 Quy trình xây dựng hệ thống thông tin an toàn
2.1.1 Đánh giá và lập kế hoạch
- Có các khóa đào tạo trước triển khai để người trực tiếp thực hiện nắmvững các thông tin về an toàn thông tin Sau quá trình đào tạo người trực tiếptham gia công việc biết rõ làm thế nào để bảo vệ các tài nguyên thông tin củamình
- Đánh giá mức độ an toàn hệ thống về mọi bộ phận như các ứng dụngmạng, hệ thống, hệ điều hành, phần mềm ứng dụng, vv Các đánh giá được
Trang 28thực hiện cả về mặt hệ thống mạng logic lẫn hệ thống vật lý Mục tiêu là cócái nhìn tổng thể về an toàn của hệ thống của chúng ta, các điểm mạnh vàđiểm yếu
- Các cán bộ chủ chốt tham gia làm việc để đưa ra được chính xác thựctrạng an toàn hệ thống hiện tại và các yêu cầu mới về mức độ an toàn
- Lập kế hoạch an toàn hệ thống
2.1.2 Phân tích hệ thống và thiết kế
- Thiết kế hệ thống an toàn thông tin cho mạng
- Lựa chọn các công nghệ và tiêu chuẩn về an toàn sẽ áp dụng
- Xây dựng các tài liệu về chính sách an toàn cho hệ thống
2.1.3 Áp dụng vào thực tế
- Thiết lập hệ thống an toàn thông tin trên mạng
- Cài đặt các phần mềm tăng cường khả năng an toàn như firewall, cácbản chữa lỗi, chương trình quét và diệt virus, các phần mềm theo dõi và ngănchặn truy nhập bất hợp pháp
- Thay đổi cấu hình các phần mềm hay hệ thống hiện sử dụng cho phùhợp
- Phổ biến các chính sách an toàn đến nhóm quản trị hệ thống và từngngười sử dụng trong mạng, quy định để tất cả mọi người nắm rõ các chứcnăng và quyền hạn của mình
2.1.4 Duy trì và bảo dưỡng
- Đào tạo nhóm quản trị có thể nắm vững và quản lý được hệ thống
- Liên tục bổ sung các kiến thức về an toàn thông tin cho những người
có trách nhiệm như nhóm quản trị, lãnh đạo
- Thay đổi các công nghệ an toàn để phù hợp với những yêu cầu mới
2.2 Xây dựng mô hình an ninh mạng
Hiện nay vai trò bảo đảm an ninh mạng rất được coi trọng, nhiều côngnghệ và kỹ thuật mới được đề cập Để bảo đảm an ninh mạng tốt, chúng taphải lường trước hết mọi khả năng vi phạm có thể xảy ra Có hai loại vi phạmthường xảy ra là thụ động và bị động Vi phạm thụ động đôi khi do vô tình
Trang 29hoặc không cố ý, còn vi phạm chủ động có mục đích phá hoại rõ ràng và hậuquả khôn lường.
Hình 2 – 1: Mô hình an ninh mạng
2.2.1 Lớp quyền truy cập – Right Acces
Nhằm kiểm soát các tài nguyên thông tin của mạng và quyền hạn sửdụng tài nguyên đó Việc kiểm soát càng chi tiết càng tốt
2.2.2 Lớp đăng nhập tên/mật khẩu Login Password
Nhằm kiểm soát quyền truy cập ở mức hệ thống Mỗi người sử dụngmuốn vào được mạng để sử dụng tài nguyên đều phải đăng ký tên và mậtkhẩu Người quản trị mạng có trách nhiệm quả lý, kiểm soát mọi hoạt độngcủa mạng và xác định quyền truy nhập của người sử dụng khác nhau tuỳ theokhông gian và thời gian
Right access – Quyền truy cập
Right access – Quyền truy cập
Physical protection – Bảo vệ vật lý
Physical protection – Bảo vệ vật lý Data encryption – Mã hóa dữ liệu Data encryption – Mã hóa dữ liệu
Fire wall – Tường lửa
Fire wall – Tường lửa
Loggin password – Mã truy nhập
Loggin password – Mã truy nhập
Trang 302.2.3 Lớp mã hoá thông tin Data Encryption
Để bảo mật thông tin truyền trên mạng người ta còn sử dụng các ương pháp mã hoá thông tin trên đường truyền Có hai phương pháp cơ bản:
ph-mã hoá đối xứng và bất đối xứng, người ta đã xây dựng nhiều phương pháp
mã hoá khác nhau
2.2.4 Lớp bảo vệ vật lý Physical Protection
Thường dùng các biện pháp truyền thống như ngăn cấm tuyệt đối ngườikhông phận sự vào phòng đặt máy mạng, quy định chặt chẽ các chế độ khaithác và sử dụng mạng,
2.2.5 Lớp bảo vệ bức tường lửa
Để bảo vệ từ xa một mạng máy tính hoặc cho cả một mạng nội bộ
ngư-ời ta dùng một hệ thống đặc biệt là bức tường lửa để ngăn chặn các thâm nhậptrái phép, lọc bỏ các gói tin không cho gửi hoặc nhận từ trong ra ngoài hoặcngược lại
MỘT SỐ PHƯƠNG PHÁP BẢO MẬT
Có nhiều biện pháp và công cụ bảo mật hệ thống, ở đây xin liệt kê một số loại phổ biến, thường áp dụng 2.3 Phương pháp mã hoá
Mã hoá là cơ chế chính cho việc bảo mật thông tin Nó bảo vệ chắcchắn thông tin trong quá trình truyền dữ liệu, mã hoá có thể bảo vệ thông tintrong quá trình lưu trữ bằng mã hoá tập tin Tuy nhiên người sử dụng phải cóquyền truy cập vào tập tin này, hệ thống mã hoá sẽ không phân biệt giữangười sử dụng hợp pháp và bất hợp pháp nếu cả hai cùng sử dụng một keygiống nhau Do đó mã hoá chính nó sẽ không cung cấp bảo mật, chúng phảiđược điều khiển bởi key mã hoá và toàn bộ hệ thống
Trang 31Hình 2-2: Quy trình mã hóa
Mã hoá nhằm đảm bảo các yêu cầu sau:
- Tính bí mật (confidentiality): dữ liệu không bị xem bởi “bên thứ 3”
- Tính toàn vẹn (Integrity): dữ liệu không bị thay đổi trong quá trìnhtruyền
Tính không từ chối (Non-repudiation): là cơ chế người thực hiện hànhđộng không thể chối bỏ những gì mình đã làm, có thể kiểm chứng đượcnguồn gốc hoặc người đưa tin
2.4 Các giải thuật mã hoá:
2.4.1 Giải thuật băm (Hashing Encryption)
Là cách thức mã hoá một chiều tiến hành biến đổi văn bản nhận dạng(cleartext) trở thành hình thái mã hoá mà không bao giờ có thể giải mã Kếtquả của tiến trình hashing còn được gọi là một hash (xử lý băm), giá trị hash(hash value), hay thông điệp đã được mã hoá (message digest) và tất nhiênkhông thể tái tạo lại dạng ban đầu
Trong xử lý hàm băm dữ liệu đầu vào có thể khác nhau về độ dài, thếnhưng độ dài của xử lý Hash lại là cố định Hashing được sử dụng trong một
số mô hình xác thực password Một giá trị hash có thể được gắn với mộtthông điệp điện tử (electronic message) nhằm hỗ trợ tính tích hợp của dữ liệuhoặc hỗ trợ xác định trách nhiệm không thể chối từ (non-repudiation)
Trang 32Hình 2-3 Mô hình giải thuật băm
Một số giải thuật băm
- MD5 (Message Digest 5): giá trị băm 128 bit
- SHA-1 (Secure Hash Algorithm): giá trị băm 160 bit
2.4.2 Giải thuật mã hoá đồng bộ/đối xứng (Symmetric)
Mã hoá đối xứng hay mã hoá chia sẻ khoá (shared-key encryption) là
mô hình mã hoá hai chiều có nghĩa là tiến trình mã hoá và giải mã đều dùngchung một khoá Khoá này phải được chuyển giao bí mật giữa hai đối tượngtham gia giao tiếp Có thể bẻ khoá bằng tấn công vét cạn (Brute Force)
Hình 2-4 Giải thuật mã hóa đồng bộ/đối xứng
Cách thức mã hoá như sau:
- Hai bên chia sẻ chung 1 khoá (được giữ bí mật)
- Trước khi bắt đầu liên lạc hai bên phải trao đổi khoá bí mật cho nhau
- Mỗi phía của thành phần liên lạc yêu cầu một khoá chia sẻ duy nhất,khoá này không chia sẻ với các liên lạc khác
Bảng dưới đây cho thấy chi tiết các phương pháp mã hóa đối xứngthông dụng
Data Encryption Standard (DES) - Sử dụng một khối 64 bit hoặc một
khóa 56 bit
- Có thể dễ dàng bị bẻ khóa
Trang 33- Sử dụng một khóa 168bit.
- Bị thay thế bởi AES
Advanced Encryption Standard
2.4.3 Giải thuật mã hóa không đồng bộ/không đối xứng (Asymmetric)
Mã hóa bất đối xứng, hay mã hóa khóa công khai(public-keyencryption), là mô hình mã hóa 2 chiều sử dụng một cặp khóa là khóa riêng(private key) và khóa công (public keys) Thông thường, một thông điệp được
mã hóa với private key, và chắc chắn rằng key này là của người gửi thôngđiệp (message sender) Nó sẽ được giải mã với public key, bất cứ người nhậnnào cũng có thể truy cập nếu họ có key này Chú ý, chỉ có public key trongcùng một cặp khóa mới có thể giải mã dữ liệu đã mã hóa với private keytương ứng Và private key thì không bao giờ được chia sẻ với bất kỳ ai và do
đó nó giữ được tính bảo mật, với dạng mã hóa này được ứng dụng trong chữ
ký điện tử
Hình 2-5 Giải thuật mã hóa không đồng bộ/không đối xứng
Các giải thuật
- RSA (Ron Rivest, Adi Shamir, and Leonard Adleman)
- DSA (Digital Signature Standard)
- Diffie-Hellman (W.Diffie and Dr.M.E.Hellman)
Trang 34Không nên đặt cùng password ở nhiều nơi.
Xem xét việc cung cấp password cho ai
2.5.2 CHAP (Challenge Hanshake Authentication Protocol)
Dùng để mã hóa mật khẩu khi đăng nhập, dùng phương pháp chứngthực thử thách/hồi đáp Định kỳ kiểm tra lại các định danh của kết nối sửdụng cơ chế bắt tay 3 bước và thông tin bí mật được mã hóa sử dụng MD5.Hoạt động của CHAP như sau:
Trang 35Hình 2-7 Hoạt động của CHAP
2.5.3 Kerberos
Kerberos là một giao thức mật mã dùng để xác thực trong các mạngmáy tính hoạt động trên những đường truyền không an toàn Giao thứcKerberos có khả năng chống lại việc nghe lén hay gửi lại các gói tin cũ vàđảm bảo tính toàn vẹn của dữ liệu Mục tiêu khi thiết kế giao thức này lànhằm vào mô hình máy chủ-máy khách (client-server) và đảm bảo nhận thựccho cả hai chiều
Kerberos hoạt động sử dụng một bên thứ ba tham gia vào quá trình
nhận thực gọi là key distribution center – KDC (KDC bao gồm hai chức năng:
"máy chủ xác thực" (authentication server - AS) và "máy chủ cung cấp vé" (ticket granting server - TGS) "Vé" trong hệ thống Kerberos chính là các
chứng thực chứng minh nhận dạng của người sử dụng.) Mỗi người sử dụngtrong hệ thống chia sẻ một khóa chung với máy chủ Kerberos Việc sở hữuthông tin về khóa chính là bằng chứng để chứng minh nhận dạng của mộtngười sử dụng Trong mỗi giao dịch giữa hai người sử dụng trong hệ thống,máy chủ Kerberos sẽ tạo ra một khóa phiên dùng cho phiên giao dịch đó
Hình 2- 8 Mã hóa Kerberos
Trang 36ký điện tử cho email và mã hóa email.
Nhược điểm:
- Triển khai PKI (Public Key Infrastructure) kéo dài và tốn kém
- Smart cards làm tăng giá triển khai và bảo trì
- Dịch vụ CA tốn kém
2.5.5 Sinh trắc học
Có thể dùng các phương pháp sau: mống mắt/võng mạc, vân tay, giọngnói Ưu điểm của phương pháp này rất chính xác, thời gian chứng thực nhanh,tuy nhiên giá thành cao cho phần cứng và phần mềm, việc nhận diện có thể bịsai lệch
2.5.6 Kết hợp nhiều phương pháp (Multi-factor)
Sử dụng nhiều hơn một phương pháp chứng thực như: mật khẩu/ PIN,smart card, sinh trắc học, phương pháp này nhằm tạo sự bảo vệ theo chiều sâuvới nhiều tầng bảo vệ khác nhau
- Ưu điểm:
Làm giảm sự phụ thuộc vào password, hệ thống chứng thực mạnh hơn
và cung cấp khả năng cho Public Key Infrastructure (PKI)
Trang 37dùng cùng với bất kỳ ứng dụng nào được cài đặt nhằm đơn giản hoá quá trìnhxác thực, đặc biệt đối với người dùng di động Hiện nay xuất hiện một số SCgồm một bộ đồng xử lý mã hoá và giải mã, khi đó việc mã và giải mã dễ dàng
và nhanh chóng Các hệ thống chứng nhận điện tử đơn giản nhất yêu cầu
ngư-ời nhập vào số nhận diện cá nhân PIN để hoàn tất tiến trình xác thực Trongrất nhiều hệ thống người ta kết hợp giữa PIN của SC và các thông tin về sinhtrắc học của người dùng như vân tay Để dùng hệ thống này người ta trang bị
1 máy quét vân tay, sau đó so sánh với dữ liệu được lưu trên SC
PC card:
Là một bo mạch nhỏ được cắm vào slot mở rộng trên bo mạch chủ củamáy tính Các PC card kém linh hoạt hơn nhưng có bộ nhớ lớn hơn SC nên cóthể lưu trữ lượng thông tin xác thực lớn hơn
Thẻ bài được xây dựng dựa trên phần cứng riêng biệt dùng để hiển thịcác mã nhận dạng (pascode) thay đổi mà người dùng phải nhập vào máy Bộ
xử lý bên trong thẻ bài lưu giữ một tập các khoá mã bí mật được dùng để phátcác mã nhận dạng một lần Các mã này được chuyển đến một máy chủ bảomật trên mạng, máy chủ này kiểm tra tính hợp lệ và chuyển quyền truy cậpcho người dùng
Trước khi người dùng được xác thực, các thiết bị thẻ yêu cầu một PIN,sau đó sử dụng một trong ba cơ chế sau:
2.5.7 Cơ chế đáp ứng thách đố
Máy chủ bảo mật phát ra một con số ngẫu nhiên khi người dùng đăngnhập vào mạng Một con số thách đố xuất hiện trên màn hình, người dùngnhập vào số các số trong thẻ bài Thẻ bài mã hoá các con số thách đố này với
mã khoá bí mật của nó và hiển thị lên màn hình LCD, sau đó người dùngnhập kết quả này vào máy tính Trong khi đó, máy chủ mã hoá con số thách
đố với cùng một khoá và nếu như hai kết quả này phù hợp thì người dùng sẽđược phép vào mạng
2.5.8 Cơ chế đồng bộ thời gian
Ở đây thẻ bài hiển thị một số được mã hoá với khoá bí mật mà khoánày thay đổi cứ 60 giây Người dùng được nhắc cho con số khi cố gắng đăngnhập vào máy chủ Bởi đồng hồ trên máy chủ và thẻ được đồng bộ, cho nên
Trang 38máy chủ có thể xác nhận ngời dùng bằng cách giải mã con số thẻ và so sánhkết quả.
2.5.9 Cơ chế đồng bộ sự kiện
Ở đây, một bộ đếm ghi lại số lần vào mạng của người dùng Sau mỗilần vào mạng, bộ đếm được cập nhật và một mã nhận dạng khác được tạo racho lần đăng nhập kế tiếp
2.6 Bảo mật máy trạm
Sự kiểm tra đều đặn mức bảo mật được cung cấp bởi các máy chủ phụthuộc chủ yếu vào sự quản lý Mọi máy chủ ở trong một công ty nên đượckiểm tra từ Internet để phát hiện lỗ hổng bảo mật Thêm nữa, việc kiểm tra từbên trong và quá trình thẩm định máy chủ về căn bản là cần thiết để giảmthiểu tính rủi ro của hệ thống, như khi firewall bị lỗi hay một máy chủ, hệthống nào đó bị trục trặc
Hầu hết các hệ điều hành đều chạy trong tình trạng thấp hơn với mứcbảo mật tối thiểu và có rất nhiều lỗ hổng bảo mật Trước khi một máy chủ khiđưa vào sản xuất, sẽ có một quá trình kiểm tra theo một số bước nhất định.Toàn bộ các bản sửa lỗi phải được cài đặt trên máy chủ, và bất cứ dịch vụkhông cần thiết nào phải được loại bỏ Điều này làm tránh độ rủi ro xuốngmức thấp nhất cho hệ thống
Việc tiếp theo là kiểm tra các log file từ các máy chủ và các ứng dụng.Chúng sẽ cung cấp cho ta một số thông tin tốt nhất về hệ thống, các tấn côngbảo mật Trong rất nhiều trường hợp, đó chính là một trong những cách để xácnhận quy mô của một tấn công vào máy chủ
2.7 Bảo mật truyền thông
Tiêu biểu như bảo mật trên FTP, SSH
Bảo mật truyền thông FTP
Trang 39FTP là giao thức lớp ứng dụng trong bộ giao thức TCP/IP cho phéptruyền dữ liệu chủ yếu qua port 20 và nhận dữ liệu tại port 21, dữ liệu đượctruyền dưới dạng clear-text, tuy nhiên nguy cơ bị nghe lén trong quá trìnhtruyền file hay lấy mật khẩu trong quá trình chứng thực là rất cao, thêm vào
đó user mặc định Anonymous không an toàn tạo điều kiện cho việc tấn côngtràn bộ đệm
Biện pháp đặt ra là sử dụng giao thức S/FTP (S/FTP = FTP + SSL/TSL)
có tính bảo mật vì những lí do sau:
- Sử dụng chứng thực RSA/DSA
- Sử dụng cổng TCP 990 cho điều khiển, cổng TCP 989 cho dữ liệu
- Tắt chức năng Anonymous nếu không sử dụng
- Sử dụng IDS để phát hiện tấn công tràn bộ đệm
- Sử dụng IPSec để mã hóa dữ liệu
Bảo mật truyền thông SSH
SSH là dạng mã hóa an toàn thay thế cho telnet, rlogin hoạt động theo
mô hình client/server và sử dụng kỹ thuật mã hóa public key để cung cấpphiên mã hóa, nó chỉ cung cấp khả năng chuyển tiếp port bất kỳ qua một kếtnối đã được mã hóa Với telnet hay rlogin quá trình truyền username vàpassword dưới dạng cleartext nên rất dễ bị nghe lén, bằng cách bắt đầu mộtphiên mã hóa
Khi máy client muốn kết nối phiên an toàn với một host, client phải bắtđầu kết nối bằng cách thiết lập yêu cầu tới một phiên SSH Một khi servernhận dược yêu cầu từ client, hai bên thực hiện cơ chế three-way handshaketrong đó bao gồm việc xác minh các giao thức, khóa phiên sẽ được thay đổigiữa client và server, khi khóa phiên đã trao đổi và xác minh đối với bộ nhớcache của host key, client lúc này có thể bắt đầu một phiên an toàn
2.8 Bảo mật ứng dụng
Hệ thống thư điện tử
Thư điện tử hay email là một hệ thống chuyển nhận thư từ qua cácmạng máy tính, là một phương tiện thông tin rất nhanh Một mẫu thông tin(thư từ) có thể được gửi đi ở dạng mã hoá hay dạng thông thường và đượcchuyển qua các mạng máy tính đặc biệt là mạng Internet Nó có thể chuyển
Trang 40mẫu thông tin từ một máy nguồn tới một hay rất nhiều máy nhận trong cùnglúc
Ngày nay, email chẳng những có thể truyền gửi được chữ, nó còn có thểtruyền được các dạng thông tin khác như hình ảnh, âm thanh, phim, và đặcbiệt các phần mềm thư điện tử kiểu mới còn có thể hiển thị các email dạngsống động tương thích với kiểu tệp HTML
Bảo vệ hệ thống email
Sử dụng S/MIME nếu có thể
Cấu hình Mail Server tốt, không bị open relay
Ngăn chặn Spam trên Mail Server
Cảnh giác với email lạ
Bảo mật ứng dụng Web
- Web traffic: Sử dụng giao thức bảo mật SSL/TSL để mã hóa thông tingiữa Client và Server, hoạt động tầng Transport, sử dụng mã hóa không đốixứng và MD5, sử dụng Public Key để chứng thực và mã hóa giao dịch giữaClient và Server và TSL bảo mật tốt hơn
Vấn đề đặt ra là trong quá trình chứng thực cả Client và Server đềuphải cần triển khai PKI, ảnh hưởng đến Performance, việc triển khai tiềm tàngmột số vấn đề: phương thức triển khai, cấu hình hệ thống, lựa chọn phầnmềm