Tài liệu An toàn mạng

BỘ GIÁO DỤC VÀ ĐÀO TẠO ĐẠI HỌC CÔNG NGHỆ TP.HCM AN TOÀN MẠNG Biên Soạn: ThS. Văn Thiên Hoàng www.hutech.edu.vn AN TOÀN MẠNG Ấn bản 2015 MỤC LỤC I MỤC LỤC MỤC LỤC ...................................................................................................................I HƢỚNG DẪN ............................................................................................................. V BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG ....................................................................... 1 1.1 GIỚI THIỆU ........................................................................................................ 1 1.1.1 Khái niệm an toàn mạng .................................................................................. 1 1.1.2 Tính bí mật ..................................................................................................... 2 1.1.3 Tính toàn vẹn ................................................................................................. 2 1.1.4 Tính khả dụng ................................................................................................. 3 1.2 CÁC MÔ HÌNH BẢO MẬT ...................................................................................... 3 1.2.1 Mô hình CIA (Confidentiality-Integrity-Availability) .............................................. 3 1.2.2 Mô hình PARKERIAN HEXAD.............................................................................. 4 1.2.3 Mô hình nguy cơ STRIDE .................................................................................. 4 1.3 CHIẾN LƢỢC AN NINH MẠNG AAA ....................................................................... 5 1.3.1 Điều khiển truy cập ......................................................................................... 5 1.3.2 Xác thực ........................................................................................................ 8 1.3.3 Kiểm tra ....................................................................................................... 10 1.4 CÁC NGUY CƠ MẤT AN NINH MẠNG ................................................................... 10 1.4.1 Phân loại ...................................................................................................... 11 1.4.2 Thách thức an ninh ........................................................................................ 11 1.5 TẤN CÔNG MẠNG .............................................................................................. 12 1.5.1 Các phương thức tấn công cơ bản .................................................................... 13 1.5.2 Các mục tiêu tấn công ................................................................................... 14 1.6 NGUYÊN TẮC XÂY DỰNG MỘT HỆ THỐNG BẢO MẬT ............................................ 14 1.6.1 Chính sách và cơ chế bảo mật ......................................................................... 14 1.6.2 Các mục tiêu của bảo mật hệ thống ................................................................. 15 TÓM TẮT ................................................................................................................ 17 CÂU HỎI ÔN TẬP .................................................................................................... 18 BÀI 2: CÁC KỸ THUẬT TẤN CÔNG THĂM DÕ ............................................................... 19 2.1 GIỚI THIỆU ...................................................................................................... 19 2.2 TRUY VẾT-FOOTPRINTING ............................................................................... 20 2.2.1 Khái niệm ..................................................................................................... 20 2.2.2 Thu thập thông tin tên miền ........................................................................... 20 2.2.3 Thu thập thông tin Email ................................................................................ 23 2.2.4 Thu thập thông tin sử dụng Traceroute ............................................................ 24 2.3 QUÉT-SCANNING .............................................................................................. 25 2.3.1 Giới thiệu ..................................................................................................... 25 2.3.2 Phân loại ...................................................................................................... 25 2.3.3 Các phương pháp quét ................................................................................... 25 II MỤC LỤC 2.4 LIỆT KÊ - ENUMERATION .................................................................................. 32 2.4.1 Khái niệm......................................................................................................32 2.4.2 Liệt kê NetBIOS .............................................................................................32 2.4.3 Liệt kê SNMP .................................................................................................33 2.4.4 Liệt kê Unix/Linux ..........................................................................................34 2.4.5 Liệt kê LDAP ..................................................................................................35 2.4.6 Liệt kê NTP ....................................................................................................36 2.4.7 Liệt kê SMTP ..................................................................................................36 2.4.8 Liệt kê DNS ...................................................................................................36 2.4.9 Các phương pháp phòng chống ........................................................................36 TÓM TẮT ................................................................................................................ 38 CÂU HỎI ÔN TẬP .................................................................................................... 38 BÀI 3: TẤN CÔNG HỆ THỐNG ..................................................................................... 39 3.1 CÁC BƢỚC TẤN CÔNG ....................................................................................... 39 3.1.1 Mật khẩu .......................................................................................................39 3.1.2 Tăng Đặc Quyền ............................................................................................42 3.1.3 Thực thi ứng dụng ..........................................................................................43 3.1.4 Giấu tập tin ...................................................................................................44 3.1.5 Xóa dấu vết ...................................................................................................45 3.2 CÁCH PHÒNG CHỐNG ........................................................................................ 46 3.2.1 Biện pháp đối phó với crack password ...............................................................46 3.2.2 Đối phó Rootkit ..............................................................................................46 3.3 VÍ DỤ TẤN CÔNG HỆ THỐNG ............................................................................. 47 TÓM TẮT ................................................................................................................ 50 CÂU HỎI ÔN TẬP .................................................................................................... 51 BÀI 4: KỸ THUẬT NGHE LÉN VÀ PHÂN TÍCH GÓI TIN ................................................ 52 4.1 GIỚI THIỆU ...................................................................................................... 52 4.1.1 Nghe lén hợp pháp .........................................................................................52 4.1.2 Khái niệm tấn công nghe lén ...........................................................................53 4.1.3 Các mối đe dọa về nghe lén .............................................................................53 4.1.4 Cơ chế hoạt động chung của nghe lén ...............................................................54 4.1.5 Các nguy cơ dẫn tới Sniffing ............................................................................54 4.2 PHÂN LOẠI TẤN CÔNG NGHE LÉN...................................................................... 55 4.2.1 Nghe lén thụ động ..........................................................................................55 4.2.2 Nghe lén chủ động .........................................................................................55 4.3 CÁC KỸ THUẬT NGHE LÉN CHỦ ĐỘNG ................................................................ 55 4.3.1 Tấn công MAC Address....................................................................................55 4.3.2 Tấn công DHCP ..............................................................................................57 4.3.3 Tấn công giả mạo ARP ....................................................................................59 4.3.4 Đầu độc DNS .................................................................................................62 4.4 CÔNG CỤ PHÂN TÍCH GÓI TIN WIRESHARK .......................................................... 64 MỤC LỤC III TÓM TẮT ................................................................................................................ 68 CÂU HỎI ÔN TẬP .................................................................................................... 68 BÀI 5: AN NINH HẠ TẦNG MẠNG ............................................................................... 69 5.1 GIẢI PHÁP VÀ LỘ TRÌNH XÂY DỰNG BẢO MẬT HẠ TẦNG MẠNG .......................... 69 5.2 THIẾT KẾ MÔ HÌNH MẠNG AN TOÀN .................................................................. 71 5.3 CHÍNH SÁCH AN TOÀN MẠNG ............................................................................ 72 5.3.1 Quy trình tổng quan xây dựng chính sách tổng quan ......................................... 72 5.3.2 Hệ thống ISMS.............................................................................................. 73 5.3.3 ISO 27000 Series .......................................................................................... 74 5.4 ROUTER AND SWITCH ...................................................................................... 77 TÓM TẮT ................................................................................................................ 81 CÂU HỎI ÔN TẬP .................................................................................................... 81 BÀI 6: FIREWALL ...................................................................................................... 82 6.1 TỔNG QUAN FIREWALL ..................................................................................... 82 6.1.1 Khái niệm ..................................................................................................... 82 6.1.2 Chức năng của tường lửa................................................................................ 83 6.1.3 Nguyên lý hoạt động ..................................................................................... 84 6.1.4 Phân loại ...................................................................................................... 84 6.1.5 Thiết kế Firewall trong mô hình mạng .............................................................. 86 6.2 MỘT SỐ FIREWALL VÀ PROXY PHỐ BIẾN ........................................................... 87 6.2.1 Cấu hình Firewall IPtable ................................................................................ 87 6.2.2 Cài đặt và cấu hình SQUID làm Proxy Server .................................................... 89 6.2.3 Hệ thống Asa ................................................................................................ 94 TÓM TẮT .............................................................................................................. 103 CÂU HỎI ÔN TẬP .................................................................................................. 103 BÀI 7: HỆ THỐNG PHÁT HIỆN VÀ CHỐNG XÂM NHẬP............................................... 104 7.1 HỆ THỐNG PHÁT HIỆN XÂM NHẬP ................................................................... 104 7.1.1 Khái niệm .................................................................................................... 104 7.1.2 Kiến trúc của một hệ thống phát hiện xâm nhập .............................................. 105 7.1.3 Phân loại IDS ............................................................................................... 106 7.1.4 IDS Snort .................................................................................................... 108 7.2 HỆ THỐNG NGĂN CHẶN XÂM NHẬP IPS ........................................................... 115 7.2.1 Giới thiệu IPS .............................................................................................. 115 7.2.2 Kiến trúc hệ thống ngăn chặn xâm nhập ......................................................... 115 7.2.3 Phân loại IPS ............................................................................................... 119 7.2.4 Kỹ thuật nhận biết và ngăn chặn của IPS ........................................................ 123 7.2.5 Ví dụ xây dựng hệ thống IPS ......................................................................... 125 TÓM TẮT .............................................................................................................. 141 CÂU HỎI ÔN TẬP .................................................................................................. 141 BÀI 8: MẬT MÃ VÀ CÁC GIAO THỨC BẢO MẬT .......................................................... 142 IV MỤC LỤC 8.1 BẢO MẬT THÔNG TIN VÀ MẬT MÃ .................................................................... 142 8.1.1 Giới thiệu .................................................................................................... 142 8.1.2 Kiến trúc an toàn của hệ thống truyền thông mở OSI ....................................... 143 8.1.3 Mô hình an toàn mạng tổng quát .................................................................... 145 8.1.4 Lý thuyết mật mã hỗ trợ xây dựng ứng dụng bảo mật thông tin ......................... 145 8.2 CÁC GIAO THỨC BẢO MẬT MẠNG ..................................................................... 150 8.2.1 Tổng quan Kerberos ..................................................................................... 150 8.2.2 SSL ............................................................................................................ 153 8.2.3 IPSEC ......................................................................................................... 159 TÓM TẮT .............................................................................................................. 168 CÂU HỎI ÔN TẬP .................................................................................................. 168 BÀI 9: MẠNG RIÊNG ẢO - VPN ................................................................................. 169 9.1 TỔNG QUAN VPN ............................................................................................ 169 9.1.1 Định nghĩa .................................................................................................. 169 9.1.2 Các chức năng ............................................................................................. 169 9.1.3 Lợi ích của VPN ............................................................................................ 170 9.1.4 Phân loại ..................................................................................................... 171 9.2 CÁC GIAO THỨC CƠ BẢN TRONG VPN .............................................................. 175 9.2.1 Kiến trúc tổng quát các bước xử lý của VPN ..................................................... 175 9.2.2 Giao Thức PPTP ............................................................................................ 176 9.2.3 Giao thức PPP .............................................................................................. 179 9.3 MINH HỌA VPN............................................................................................... 186 TÓM TẮT .............................................................................................................. 203 CÂU HỎI ÔN TẬP .................................................................................................. 203 TÀI LIỆU THAM KHẢO ........................................................................................... 204 HƢỚNG DẪN V HƢỚNG DẪN MÔ TẢ MÔN HỌC Do các ứng dụng trên mạng Internet ngày các phát triển và mở rộng, nên an toàn thông tin trên mạng đã trở thành nhu cầu bắt buộc cho mọi hệ thống ứng dụng. Vì vậy, An toàn mạng là môn học không thể thiếu của sinh viên ngành mạng. Mục đích của môn học này là cung cấp cho sinh viên kiến thức về các vấn đề an ninh mạng hiện nay và giải pháp tổng thể trong việc triển khai mạng an toàn. NỘI DUNG MÔN HỌC Bài 1: Bài học cung cấp kiến thức tổng quan về an ninh mạng như các khái niệm an ninh mạng, các mô hình an ninh, chiếc lược bảo mật hệ thống AAA, các nguy cơ tấn công mạng và nguyên tắc xây dựng hệ thống bảo mật. Môi trường mạng hiện nay có rất nhiều nguy cơ ảnh hưởng đến sự an toàn của một hệ thống thông tin. Các nguy cơ này có thể xuất phát từ các hành vi tấn công trái phép bên ngoài hoặc từ bản thân các lỗ hổng bên trong hệ thống. Có nhiều nguy cơ đặt ra như: Trojans, đánh cắp thông tin, Mạng ma Flux Botnet, Thất thoát giữ liệu, vi phạm an ninh, Các mối đe dọa an ninh trong nội bộ, Tổ chức tội phạm mạng, Lừa đảo, Gián điệp mạng, Zero-Day, Vishing, Mối đe dọa từ web 2.0, … Do vậy, an ninh mạng máy tính là tổng thể các giải pháp về mặt tổ chức và kỹ thuật nhằm ngăn cản mọi nguy cơ tổn hại đến mạng. Một hệ thống bảo mật là một hệ thống mà thông tin được xử lý trên nó phải đảm bảo được ba đặc trưng sau (mô hình CIA): (1) Tính bí mật của hệ thống; (2) Tính toàn vẹn của thông tin; (3) Tính khả dụng của thông tin. Chiến lược bảo mật hệ thống AAA là chiến lược nền tảng nhất để thực thi các chính sách bảo mật trên một hệ thống theo mô hình CIA. Các mục tiêu cơ bản của việc thực hiện an ninh trên một mạng cần phải đạt được là: (1) Xác định những gì cần bảo vệ; (2) Xác định bảo vệ trước cái gì; (3) Xác định các nguy cơ; (4) Thực hiện các biện pháp để bảo vệ; và (5) Kiểm tra lại các tiến trình một cách liên tiếp và thực hiện cải tiến với mỗi lần tìm ra điểm yếu. Bài 2: Bài học cung cấp các khái niệm về footprinting, scanning, và enumeration, các công cụ phần mềm hỗ trợ thực hiện và các giải pháp phòng tránh. Kỹ thuật VI HƢỚNG DẪN footprinting cho phép điều tra thông tin nạn nhân như các công nghệ Internet đang được sử dụng, hệ điều hành, phần cứng, hoạt động địa chỉ IP, địa chỉ e-mail và số điện thoại, và tập đoàn chính sách và thủ tục. Kỹ thuật scanning thu thập như tên máy, địa chỉ ip, cấu hình máy tính, hệ điều hành, dịch vụ đang chạy, port đang mở. Kỹ thuật enumeration là quá trình trích xuất tên người dùng, tên máy, tài nguyên mạng, các chia sẻ, và cá dịch vụ từ một hệ thống. Kỹ thuật này được tiến hành trong một môi trường mạng nội bộ. Bài 3: Bài học cung cấp kiến thức tổng quan về các bước tấn công mạng của Hacker. Các bước tấn công mạng gồm có: (1) Thu thập thông tin để giành quyền truy cập; (2) Tạo ra user có đặt quyền trên hệ thống hoặc nâng quyền hạn của user đã thu thập được; (3) Tạo và duy trì backdoor để truy cập; (4) Che dấu các tập tin độc hại và (5) Xóa dấu vết. Để thu thập thông tin thi Hacker ta sử dụng các kỹ thuật của bài học 2 (footprinting, scanning, enumeration). Khi có thông tin về đối tượng thì Hacker sẽ tấn công mật khẩu để giành quyền truy cập hệ thống. Tăng đặc quyền (Escalating Privileges) là thêm nhiều quyền hơn cho một tài khoản người dùng. Hacker có tài khoản đặc quyền sẽ truy cập cấp quản trị viên để cài đặt chương trình. Một khi Hacker đã có thể truy cập tài khoản với quyền quản trị, Hacker sẽ thực thi các ứng dụng trên hệ thống đích. Mục đích của việc thực thi ứng dụng có thể cài đặt một cửa sau trên hệ thống, cài đặt một keylogger để thu thập thông tin bí mật, sao chép các tập tin, … Hacker cần che dấu các tập tin trên một hệ thống nhằm ngăn chặn bị phát hiện. Bài 4: Bài giảng cung cấp kiến thức cho sinh viên các khái niệm, mối đe dọa, cơ chế hoạt động chung của tấn công nghe lén. Nghe lén là một tiến trình cho phép giám sát cuộc gọi và cuộc hội thoại internet bởi thành phần thứ ba. Hacker để thiết bị lắng nghe giữa mạng mang thông tin như hai thiết bị điện thoại hoặc hai thiết bị đầu cuối trên internet. Các kỹ thuật nghe lén gồm có hai loại: nghe lén thụ động và nghe lén chủ động. Nghe lén thụ động như là thực hiện nghe lén thông qua một Hub. Nghe lén chủ động được thực hiện trên Switch. Các kỹ thuật nghe lén chủ động: tấn công MAC, Tấn công DHCP, Tấn công đầu độc ARP, Tấn công đầu độc DNS. Các giải pháp ngăn chặn nghe lén là kích hoạt bảo mật port (ví dụ DHCP Snooping). HƢỚNG DẪN VII Bài 5: Bài học cung cấp kiến thức về việc xây dựng một hệ thống mạng bảo mật gồm có: (1) Các giải pháp và lộ trình xây dựng bảo mật hạ tầng mạng, (2) thiết kế mô hình mạng an toàn, (3) chính sách an toàn mạng và (4) bảo mật cho thiết bị router, switch. Để có thể xây dựng một hệ thống mạng đảm bảo tính an toàn cần phải có lộ trình xây dựng hợp lý giữa yêu cầu và chi phí, để từ đó lựa chọn giải pháp phù hợp. Giải pháp phù hợp nhất phải cân bằng được các yếu tố: yêu cầu, giá thành giải pháp, tính năng, hiệu năng của hệ thống. Giải pháp an ninh hạ tầng mạng bao gồm 4 mảng: (1) lý thuyết về Security, (2) kỹ năng tấn công, (3) kỹ năng cấu hình phòng thủ, và (4) lập chính sách an toàn thông tin. Xây dựng chính sách an toàn mạng là bước hoàn thiện một môi trường làm việc và hoạt động theo chuẩn bảo mật. Hiện nay nước ta có rất nhiều đơn vị đang xây dựng chính sách bảo mật theo chuẩn ISO 27001, sử dụng mô hình ISMS. Để kiểm soát dữ liệu, Routers sử dụng ACL và Switch thi thực hiện chia Lan ảo. Bài 6: Bài học này trình bày các khái niệm về tường lửa, các chức năng, nguyên lý họa động, cách triển khai tường lừa trong mô hình mạng và các loại tường lửa hiện nay trên mạng. Firewall là một kỹ thuật được tích hợp vào hệ thống mạng để chống sự truy cập trái phép, nhằm bảo vệ các nguồn thông tin nội bộ và hạn chế sự xâm nhâp không mong muốn vào hệ thống. Chức năng chính của Firewall là kiểm soát luồng thông tin từ giữa Intranet và Internet. Thiết kế firewall phù hợp với hệ thống mạng là rất quan trọng, dưới đây trình bày một số mô hình triển khai firewall: (1) firewall làm chức năng Packet Filter, (2) firewall áp dụng cho vùng DMZ và (3) mô hình mạng tích hợp. Bài học trình bày cách sử dụng một số tường lửa phổ biển hiện nay trong việc triển khai các hệ thống mạng an toàn như IPtable, ASA và proxy Server SQUID. Bài 7: Bài học trình bày các khái niệm về hệ thống phát hiện xâm nhập, kiến trúc hoạt động, phân loại IDS. Để minh họa hệ thống phát hiện xâm nhập bằng phần mềm IDS snort, cách cài đặt, thiết lập rule cảnh báo, và giám sát hoạt động của nó. Hệ thống phát hiện xâm nhập gồm có các thành phần chính như: thành phần phân tích gói tin, thành phần phát hiện tấn công, và thành phần phản ứng. Hệ thống phát chặn xâm nhập nhận biết tấn công và ngăn chăn thông qua các kỹ thuật như nhận biết qua dấu hiệu, nhận biết qua sự bất thường về lưu lượng, nhập biết qua chính sách thiết VIII HƢỚNG DẪN lập, nhân biết qua sự phân tích giao thức. Bài giảng trình bày hệ thống IPS của Cisco hoạt động ở lớp mạng để minh họa tính năng hoạt động của hệ thống phát hiện xâm nhập. Bài 8: Bài giảng cung cấp cho sinh viên kiến thức về vấn đề bảo mật thông tin: các thách thức, kiến trúc an toàn thông tin OSI, và các thuật toán mật mã cho phép cài đặt các dịch vụ của mô hình OSI. Kiến trúc an toàn OSI gồm có 5 dịch vụ bảo mật: Xác thực các bên tham gia, Điều khiển truy cập, Bảo mật dữ liệu, kiểm tra tính toàn vẹn, và chống chối bỏ. Các thuật toán mã hóa cần thiết để cài đặt các dịch vụ này là: DES, 3DES, AES, RSA, DiffieHellman, Hàm băm MD5, SHA, Mã xác thực MAC. Giao thức quản lý khóa và bảo mật dữ liệu trong mạng Domain: Kerberos. Giao thức bảo mật dữ liệu đầu cuối SSL. Giao thức bảo mật gói dữ liệu IP: IPSEC. Bài 9: Bài học trình bày tổng quan về mạng VPN bao gồm: định nghĩa, các chức năng, và lợi ích của VPN. Mạng VPN có 3 loại cơ bản: mạng truy cập từ xa, mạng VPN nội bộ và mạng VPN mở rộng. Hai giao thức cơ bản là giao thức tạo kết nối mạng PPTP và giao thức liên kết dữ liệu cấp cao PPP. Giao thức PPP dùng để vận chuyển dữ liệu với mạng nội bộ. Giao thức PPP hổ trợ giao thức con kiểm soát liên kết Link Control Protocol (LCP), giao thức con kiểm soát mạng Network Control Protocol (NCP), giao thức chứng thực như Challenge Handshake Authentication Protocol (CHAP), Passwork Authentication Protocol (PAP), Extensible Authentication Protocol (EAP). Ngoài ra, PPP còn hổ trợ giao thức mã hóa như Encryption Control Protocol (ECP), Data Encryption Standard (DES), Advancde Encryption Standard (AES); Kiểm soát băng thông: Bandwidth Allocation Control Protocol (BACP); Kiểm soát nén: Compression Control Protocol; Có đủ khả năng phát hiện lỗi (CheckSum), tuy nhiên không sữa lỗi; và giám sát chất lượng liên kết: Link Quality Report (LQR) và Link Quality Monitoring(LQM). KIẾN THỨC TIỀN ĐỀ Môn học an toàn mạng đòi hỏi sinh viên cần có thức về hạ tầng mạng và dịch vụ mạng. HƢỚNG DẪN IX YÊU CẦU MÔN HỌC Người học phải dự học đầy đủ các buổi lên lớp và làm bài tập đầy đủ ở nhà. CÁCH TIẾP NHẬN NỘI DUNG MÔN HỌC Người học cần chuẩn bị hệ thống mạng ảo gồm máy tính hệ điều hành Windows Server, Linux; các thiết bị mạng router, switch; các phần mềm triển khai an toàn mạng (ISA, ACS, …) và các công cụ quản lí / giám sát mạng (Wireshark, SecureCRT, Solarwinds, SDM, Angry IP Scanner, Zenmap…). Từ đó, người học sử dụng để triển khai minh họa tất cả các kỹ thuật liên quan đến từng bài học. PHƢƠNG PHÁP ĐÁNH GIÁ MÔN HỌC Môn học được đánh giá gồm:  Điểm quá trình (30%) Điểm học thực hành trên phòng máy. Hình thức và nội dung được đề cập trong giáo trình thực hành An toàn mạng.  Điểm thi (70%): Người học sẽ được phân công đồ án dưới sự hướng dẫn của Giảng viên phụ trách môn học và vấn đáp nội dung của đồ án kết hợp với nội dung lý thuyết trong các bài học. BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG 1 BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG Bài giảng cung cấp các kiến thức tổng quan về an ninh mạng máy tính, trong đó tập trung vào các nội dung sau: - Giới thiệu an toàn mạng máy tính - Chiến lược bảo mật hệ thống AAA. - Các nguy cơ mất an ninh mạng. - Nguyên tắc xây dựng một hệ thống bảo mật. 1.1 GIỚI THIỆU 1.1.1 Khái niệm an toàn mạng An toàn mạng máy tính là tổng thể các giải pháp về mặt tổ chức và kỹ thuật nhằm ngăn cản mọi nguy cơ tổn hại đến mạng. Các tổn hại có thể xảy ra do: - Người sử dụng. - Các lỗ hổng trong các hệ điều hành. - Các ứng dụng. - Lỗi phần cứng. - Các nguyên nhân khác. Một hệ thống bảo mật là một hệ thống mà thông tin được xử lý trên nó phải đảm bảo được ba đặc trưng sau: tính bí mật, tính toàn vẹn và tính khả dụng. 2 BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG 1.1.2 Tính bí mật Tính bí mật của thông tin là tính giới hạn về các đối tượng được quyền truy xuất đến thông tin. Đối tượng truy xuất có thể là con người, là máy tính hoặc phần mềm. Tùy theo tính chất của thông tin mà mức độ bí mật của chúng có thể khác nhau. Các kỹ thuật dùng đảm bảo tính bí mật của thông tin: - Các cơ chế và phương tiện vật lý như nơi lưu trữ, thiết bị lưu trữ, dịch vụ bảo vệ,.. - Kỹ thuật mật mã là công cụ bảo mật thông tin hữu hiệu nhất trong môi trường máy tính. - Kỹ thuật quản lý truy xuất được thiết lập để đảm bảo chỉ có những đối tượng được cho phép mới có thể truy xuất thông tin. Tính bí mật của thông tin phải được xem xét dưới hai yếu tố tách rời: (1) Bí mật về nội dung của thông tin; (2) Bí mật về sự tồn tại của thông tin. 1.1.3 Tính toàn vẹn Tính toàn vẹn đảm bảo sự tồn tại nguyên vẹn của thông tin, loại trừ mọi sự thay đổi có chủ đích hoặc do hư hỏng, mất mát thông tin vì sự cố thiết bị hoặc phần mềm. Tính toàn vẹn được xét trên hai khía cạnh: - Tính nguyên vẹn của nội dung thông tin: thông tin không bị thay đổi một cách không hợp lệ trong quá trình trao đổi thông tin. - Tính xác thực nguồn gốc của thông tin: nguồn phát thông tin phải được xác thực, không giả danh. Các cơ chế đảm bảo sự tồn tại nguyên vẹn của thông tin được chia thành hai loại gồm cơ chế phát hiện và cơ chế ngăn chặn. Cơ chế phát hiện chỉ thực hiện chức năng giám sát và thông báo khi có các thay đổi diễn ra trên thông tin bằng cách phân tích các sự kiện diễn ra trên hệ thống mà không thực hiện chức năng ngăn chặn các hành vi truy xuất trái phép đến thông tin. Cơ chế ngăn chặn có chức năng ngăn cản các hành vi trái phép làm thay đổi nội dung và nguồn gốc của thông tin. Các hành vi này bao gồm 2 nhóm: (1) Hành vi cố gắng thay đổi thông tin khi không được phép truy BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG 3 xuất đến thông tin; (2) Hành vi thay đổi thông tin theo cách khác với cách đã được cho phép. 1.1.4 Tính khả dụng Tính khả dụng của thông tin là tính sẵn sàng của thông tin cho các nhu cầu truy cập hợp lệ của người dùng được cấp quyền. Nếu một hệ thống không khả dụng thì hai đặc trưng còn lại sẽ vô nghĩa. 1.2 CÁC MÔ HÌNH BẢO MẬT Các mô hình bảo mật cung cấp các tiêu chuẩn mà một hệ thống an toàn thông tin cần đạt được một cách hài hòa giữa các tiêu chuẩn khi hệ thống này được xây dựng. 1.2.1 Mô hình CIA (Confidentiality-Integrity-Availability) Hình 1.1: Mô hình CIA Mô hình gồm ba đặc trưng bí mật (confidentiality), toàn vẹn (integrity), và khả dụng (availability) được xem như là mô hình tiêu chuẩn của hệ thống thông tin bảo mật. Bất kỳ vi phạm bảo mật thông tin nào cũng có thể được mô tả như là sự ảnh hưởng đến một hay vài đặc trưng của mô hình CIA. 4 BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG 1.2.2 Mô hình PARKERIAN HEXAD Donn B. Parker (1998) bổ sung thêm ba đặc trưng vào mô hình CIA. - Tính bảo mật mở rộng thêm tính sở hữu, chủ quyền trên thông tin có thể bị mất dù không vi phạm CIA. - Tính toàn vẹn mở rộng thêm tính xác thực: ngoài việc xác thực về nội dung thông tin cần xác thực về nguồn gốc thông tin. - Tính khả dụng mở rộng thêm tính hữu dụng: thông tin phải dễ dùng, tránh chuyển thành dạng phức tạp hơn, tránh tình trạng không dùng được. Hình 1.2: Mô hình Parkerian Hexad 1.2.3 Mô hình nguy cơ STRIDE Mô hình nguy cơ STRIDE do Microsoft giới thiệu. Mô hình này chỉ ra 6 loại nguy cơ tấn công hệ thống mạng. Các thành phần của mô hình này đối lập với các thành phần của mô hình CIA/Parkerian Hexad: - Spoofing (giả mạo) mục đích là đối lập với Authentication. - Tampering (xáo trộn) đối lập với Integrity. - Repudiation (phủ nhận) đối lập một phần với Authenticity. - Information Disclosure (bộ lọc thông tin) đối lập với Confidentiality. - Denial of Service (D.o.S) đối lập với Availability. - Elevation of privilege mục đích là đối lập với Authorization. Khi xây dựng hệ thống mạng an toàn cần chỉ ra các loại nguy cơ mà hệ thống cần phòng trành và ngăn chặn. BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG 5 1.3 CHIẾN LƢỢC AN NINH MẠNG AAA AAA (Access control, Authentication, Auditing) được xem là bước tiếp cận và là chiến lược nền tảng nhất để thực thi các chính sách bảo mật trên một hệ thống bảo mật theo mô hình CIA. 1.3.1 Điều khiển truy cập Điều khiển truy cập: bao gồm các luật điều khiển phương thức và điều kiện để truy cập đến hệ thống. Điều khiển truy cập được thực hiện tại nhiều vị trí khác nhau của hệ thống, chẳng hạn như tại thiết bị truy nhập mạng, tại hệ thống tập tin của hệ điều hành, trên hệ thống Active Directory Service, … Điều khiển truy cập được thực hiện theo ba mô hình sau: Mô hình điều khiển truy cập bắt buộc (MAC-Mandatory Access Control): người quản trị điều khiển truy cập bằng cách dùng một tập luật chỉ định (chính sách bảo mật), áp dụng bắt buộc đối với tất cả các đối tượng trong hệ thống, người dùng không thể thay đổi được. Khi dùng MAC, hệ thống chỉ định một nhãn truy cập cho mỗi người dùng, tiến trình hay tài nguyên hệ thống, dùng xác định các mức truy cập theo các tập luật sau: - Một người dùng chỉ được phép chạy các tiến trình gán nhãn cùng cấp hoặc thấp hơn nhãn của người dùng. - Một tiến trình chỉ được phép đọc từ các tài nguyên gán nhãn cùng cấp hoặc thấp hơn nhãn của tiến trình. - Một tiến trình chỉ được phép ghi vào các tài nguyên gán nhãn cùng cấp hoặc cao hơn nhãn của tiến trình. Một số hệ thống hỗ trợ MAC: AIX 4.3.2, Trusted Solaris 8, SELinux,… Đặc điểm của mô hình này là được thiết lập cố định ở mức hệ thống, người sử dụng không thay đổi tự do được. Người dùng và tài nguyên trong hệ thống được chia thành nhiều mức bảo mật khác nhau, phản ánh độ quan trọng của tài nguyên và người dùng. Mô hình hoạt động dựa trên cơ sở gán nhãn. Khi mô hình điều khiển bắt buộc đã được thiết lập, nó được áp dụng với tất cả người dùng và tài nguyên trên hệ thống. Mô hình điều khiển truy cập tự do (DAC-Discretionary Access Control): mô hình điều khiển truy cập trong đó việc xác lập quyền truy cập đối với từng tài nguyên cụ 6 BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG thể do người sở hữu tài nguyên đó quyết định. DAC được cài đặt thông qua việc dùng ACL (Access Control List), là một cấu trúc dữ liệu chứa các chuỗi ACE (Access Control Entry), một ACE chứa nhận dạng (SID-Security Indentity) của người dùng và danh sách các tác vụ mà người dùng có thể thực thi trên tài nguyên đã được bảo mật. Một tài nguyên được bảo mật có một Security Descriptor, trong đó mô tả chủ của tài nguyên. Chuỗi điều khiển truy cập dùng DAC như sau: Hình 1.3: Bảng điều khiển truy cập của NTFS - Mỗi người dùng sau khi đăng nhập sẽ được gán một Access Token (thẻ truy cập) chứa nhận dạng và nhóm bảo mật của người dùng. - Mỗi tiến trình do người dùng chạy đều liên kết với một bản sao Access Token của người dùng. - Khi tiến trình thử truy cập một tài nguyên được bảo mật, tiến trình lấy thẻ dùng tài nguyên và chỉ định tập quyền truy cập cần thiết trên tài nguyên. - Hệ thống sẽ truy cập Security Descriptor của tài nguyên và tìm trong các DACL một ACE có SID trùng SID của Access Token liên kết tiến trình. Từ đó xác định quyền truy cập của người dùng lên object. BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG 7 Đây là mô hình được sử dụng phổ biến hiện nay, xuất hiện trong hầu hết các hệ điều hành (Windows, Linux, Unix,…) để điều khiển truy cập đến hệ thống tập tin và các loại tài nguyên khác. Đặc điểm của mô hình này là không được áp dụng mặc định trên hệ thống. Người sở hữu tài nguyên thường là người tạo ra tài nguyên đó hoặc người được gán quyền sở hữu. Người sở hữu có toàn quyền điều khiển việc truy cập đến tài nguyên. Quyền truy cập trên một tài nguyên có thể được chuyển từ đối tượng này sang đối tượng khác. Hình 1.4: Thiết lập quyền ngƣời dùng trên hệ thống Microsoft (gpedit.msc). Mô hình điều khiển truy cập theo vai trò (RBAC-Role-Based Access Control): tích hợp phức hợp giữa MAC và DAC, tập trung quản lý nhóm thay vì quản lý người dùng. Người quản trị gom các người dùng thành nhóm và gán quyền MAC trên cơ sở vai trò của người dùng trong hệ thống. DAC được dùng bởi người dùng trong mỗi nhóm để quản lý các quyền mịn hơn. RBAC tập trung vào khái niệm gán vai trò. Mô hình này được dùng trên hệ Solaris của Sun Microsystems. Đặc điểm của mô hình này là : - Quyền truy cập được cấp dựa trên vai trò của người dùng trong hệ thống. 8 - BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG Linh động hơn MAC, người quản trị bảo mật có thể cấu hình lại quyền truy cập cho từng nhóm chức năng hoặc thay đổi thành viên giữa các nhóm. - Đơn giản hơn DAC, không cần phải gán quyền truy cập trực tiếp đến từng người dùng. 1.3.2 Xác thực Xác thực là một thủ tục có chức năng nhận dạng của một đối tượng trước khi trao quyền truy cập cho đối tượng này trên một tài nguyên nào đó. Xác thực được thực hiện dựa trên đặc điểm nhận dạng: - Điều mà đối tượng biết (ví dụ: mật khẩu, mã PIN). Nếu một đối tượng có smartcard truy cập một tài khoản, đối tượng đó là chủ sở hữu của tài khoản. Mật khẩu có thể bị mất nên ghi ra giấy, cho người khác biết hoặc dễ đoán. - Cái mà đối tượng có (ví dụ: key, smard, token). Nếu một đối tượng có smartcard truy cấp một tài khoản, đối tượng đó là chủ sở hữu của tài khoản. Smartcard có thể bị đánh cắp, bị sao chép. - Đặc trưng của đối tượng: các đặc điểm nhận dạng sinh trắc học (ví dụ như vân tay, mặt người,…) Nhiều kỹ thuật được sử dụng phối hợp nhau để tăng độ tin cậy của cơ chế xác thực. Có hai kiểu xác thực: xác thực một chiều và xác thực hai chiều. Xác thực một chiều là chỉ cung cấp cơ chế để một đối tượng kiểm tra nhận dạng của đối tượng kia mà không cung cấp cơ chế kiểm tra ngược lại. Xác thực hai chiều cho phép hai đối tượng tham gia xác thực lẫn nhau, do đó tính chính xác của quá trình xác thực được đảm bảo. Ví dụ giao thức bảo mật SSL cung cấp cơ chế xác thực hai chiều dùng chứng chỉ số. Một số phương thức xác thực: PAP – Password Authentication Protocol, so sánh credentials (username/ password, Smart Card, PIN - Personal Identification Number) do người dùng cung cấp với credentials đã được lưu trong hệ thống. Phương pháp này không thật bảo mật do credentials người dùng thường chuyển qua mạng dưới dạng không mã hóa.