Nghiên cứu một số lỗ hổng thiếu an ninh trong ứng dụng công nghệ thông tin, phương pháp và công cụ kiểm soát, xử lý lỗ hổng

  • Số trang: 91 |
  • Loại file: PDF |
  • Lượt xem: 92 |
  • Lượt tải: 2
nguyetha

Đã đăng 7932 tài liệu

Mô tả:

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ NGUYỄN MẠNH DŨNG NGHIÊN CỨU MỘT SỐ LỖ HỔNG THIẾU AN NINH TRONG ỨNG DỤNG CÔNG NGHỆ THÔNG TIN, PHƯƠNG PHÁP VÀ CÔNG CỤ KIỂM SOÁT, XỬ LÝ LỖ HỔNG LUẬN VĂN THẠC SỸ CÔNG NGHỆ THÔNG TIN 1 HÀ NỘI 2015 ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ NGUYỄN MẠNH DŨNG NGHIÊN CỨU MỘT SỐ LỖ HỔNG THIẾU AN NINH TRONG ỨNG DỤNG CÔNG NGHỆ THÔNG TIN, PHƯƠNG PHÁP VÀ CÔNG CỤ KIỂM SOÁT, XỬ LÝ LỖ HỔNG Ngành: Công nghệ thông tin Chuyên ngành: Hệ thống thông tin Mã số: 60480104 LUẬN VĂN THẠC SỸ CÔNG NGHỆ THÔNG TIN NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS. TS Trịnh Nhật Tiến HÀ NỘI 22015 LỜI CAM ĐOAN Tôi xin cam đoan, kết quả của luận văn hoàn toàn là kết quả của tự bản thân tôi tìm hiểu, nghiên cứu. Các tài liệu tham khảo được trích dẫn và chú thích đầy đủ. 3 MỤC LỤC LỜI CAM ĐOAN ................................................................................................. 1 DANH MỤC CÁC HÌNH VẼ BẢNG BIỂU ...................................................... 7 GIỚI THIỆU......................................................................................................... 9 Chương 1. CÁC HIỂM HỌA VỀ AN NINH HỆ THỐNG THÔNG TIN ... 11 1.1. TỔNG QUAN VỀ CÁC HIỂM HỌA .......................................... 11 1.1.1. Lạm dụng quyền vượt mức (Excessive Privilege Abuse) .............................. 12 1.1.2. Lạm dụng quyền hợp pháp (Legitimate Privilege Abuse) ............................. 13 1.1.3. Nâng cấp quyền bất hợp pháp (Unauthorized Privilege Elevation) ............... 14 1.1.4. Lợi dụng các điểm yếu nền tảng (Platform Vulnerabilities) .......................... 15 1.1.5. SQL Injection ................................................................................................. 16 1.1.6. Lợi dụng dấu vết kiểm toán yếu (Weak Audit Trail) ..................................... 16 1.1.7. Tấn công từ chối dịch vụ (Denial of Service) ................................................ 17 1.1.8. Lợi dụng các điểm yếu trong giao thức giao tiếp cơ sở dữ liệu (Database Communication Protocol Vulnerabilities) ............................................................... 18 1.1.9. Lợi dụng sự xác thực yếu (Weak Authentication) ......................................... 18 1.1.10. Lợi dụng sự sơ hở của dữ liệu dự phòng (Backup Data Exposure) ............. 19 1.2 TỔNG QUAN VỀ CÁC LỖ HỔNG THIẾU AN NINH ................ 20 1.2.1 Phân loại lỗ hổng theo mức độ ....................................................................... 20 1.2.1.1. Các lỗ hổng loại C ...................................................................................... 20 1.2.1.2. Các lỗ hổng loại B ...................................................................................... 22 1.2.1.3. Các lỗ hổng loại A ...................................................................................... 23 1.2.2 Phân loại lỗ hổng theo thành phần của hệ thống ............................................. 25 4 1.2.2.1. Lỗ hổng trong cấu hình .............................................................................. 25 1.2.2.2. Lỗ hổng trong giao thức mạng .................................................................... 27 1.2.2.3. Lỗ hổng trong hệ điều hành......................................................................... 32 1.2.2.4. Lỗ hổng trong ứng dụng .............................................................................. 34 Chương 2. MỘT SỐ LỖ HỔNG THIẾU AN NINH TRONG ỨNG DỤNG CÔNG NGHỆ THÔNG TIN ............................................................................. 36 2.1. LỖ HỔNG BẢO MẬT TRONG GIAO THỨC TSL/SSL ............ 36 2.1.1. Giới thiệu ...................................................................................................... 36 2.1.2.Mô tả tấn công BEAST lên bộ giao thức SSL/TLS ........................................ 36 2.1.3. Ý tưởng tấn công do Wei Dai đề xuất chống lại chế độ mã khối CBC ......... 37 2.1.4. Tấn công lựa chọn giá trị biên (block-wise chosen-boundary attack) .......... 40 2.1. 5. Ứng dụng ý tưởng tấn công của Wei Dai để giải mã yêu cầu HTTPS ......... 41 2.1. 6. Giải pháp khắc phục và ngăn chặn tấn công ................................................ 43 2.2. LỖ HỔNG BẢO MẬT GÂY RA TẤN CÔNG TỪ CHỐI DỊCH VỤ PHÂN TÁN (DDOS) ......................................................................... 45 2.2.1. Tấn công từ chối dịch vụ phân tán DDoS(Distributed Denial of Service)..... 45 2.2.1.1. Giới thiệu khái quát về DdoS ...................................................................... 45 2.2.1.2. Các bước thực hiện một cuộc tấn công kiểu DdoS .................................... 45 2.2.1.3. Mô hình tổng quan của DDoS attack-network ........................................... 46 2.2.1.4. Phân loại tấn công kiểu DdoS .................................................................... 50 2.2.2. Tấn công từ chối dịch vụ phản xạ nhiều vùng DRDoS (Distributed Reflection Denial of Service)..................................................................................................... 56 2.2.3. Biện pháp phòng chống tấn công từ chối dịch vụ ......................................... 57 2.2.3.1. Dựa trên vị trí triển khai ............................................................................. 58 2.2.3.2. Dựa trên giao thức mạng ............................................................................ 58 5 2.2.3.3. Dựa trên thời điểm hành động .................................................................... 60 2.3. LỖ HỔNG BẢO MẬT GÂY RA TẤN CÔNG SQL INJECTION ........ 61 2.3.1. Tấn công SQL INJECTION .......................................................................... 61 2.3.1.1. Giới thiệu SQL INJECTION ....................................................................... 61 2.3.1.2. Các Dạng Tấn Công SQL Injection ........................................................... 61 2.3.2. Cách Phòng Tránh SQL Injection ................................................................. 68 2.3.2.1. Kiểm tra dữ liệu ......................................................................................... 69 2.3.2.2. Thiết lập cấu hình an toàn cho hệ quản trị cơ sở dữ liệu ........................... 72 Chương 3. MÔ PHỎNG TẤN CÔNG DẠNG SQL INJNECTION ............ 73 3.1. CÀI ĐẶT CHƯƠNG TRÌNH .......................................................... 73 3.2. THỬ NGHIỆM CHƯƠNG TRÌNH ................................................ 82 3.2.1. Tấn công vượt qua kiểm tra đăng nhập .......................................................... 82 3.2.2. Tấn công xử dụng câu lệnh Union Select....................................................... 85 KẾT LUẬN ............................................................................................... 90 TÀI LIỆU THAM KHẢO ....................................................................... 91 6 DANH MỤC CÁC HÌNH VẼ BẢNG BIỂU 1.1. Bảng danh sách các dạng tấn công phổ biến trong năm 2013, 2014.......................10 2.1. Mô tả tấn công Beast...............................................................................................35 2.2. Sơ đồ mã hóa khối CBC..........................................................................................36 2.3. Sơ đồ giải mã trong chế độ mã hóa khối CBC........................................................36 2.4. Thêm một chuỗi vào thông điệp để chọn ranh giới khối.........................................38 2.5. Thực hiện tấn công lựa chọn biên với POST requers trong HTTPS.......................39 2.6. Sơ đồ chính phân loại các kiểu tấn công DdoS.......................................................45 2.7. Kiến trúc attack-network kiểu Agent – Handler.....................................................46 2.8. Kiến trúc attack-network của kiểu IRC-Base..........................................................47 2.9. Phân loại các kiểu tấn công DdoS...........................................................................48 2.10. Sơ đồ tấn công kiểu Amplification Attack............................................................51 2.11. Kiểu tấn công TCP SYS Attack............................................................................52 2.12. Attacker giả mạo IP...............................................................................................53 2.13. Sơ đồ mô tả kiểu tấn công DRDOS......................................................................55 2.14. Một công cụ tìm site lỗi Online.............................................................................60 2.15. Dấu hiệu một site bị lỗi SQL Injection.................................................................61 7 CÁC THUẬT NGỮ VÀ TỪ VIẾT TẮT STT 1 Từ viết tắt SSL Ý nghĩa Giao thức chuẩn an ninh thông tin nó tạo ra một liên kết được mã hóa giữa máy chủ web và trình duyệt 2 Victim Đối tượng bị tấn công 3 HTTP Giao thức truyền tải siêu văn bản 4 HTTPS Giao thức truyền tải siêu văn bản an toàn có mã hóa Timeout Là khoảng thời gian lớn nhất được thiết lạp trong 1 phiên làm việc giữa máy khách và máy chủ. 6 Server Máy chủ phục vụ 7 DDoS Tấn công từ chối dịch vụ phân tán 8 SQL injection Một kỹ thuật tấn công vào hệ cơ sở dữ liệu bằng cách chèn thêm các câu lệnh truy vấn 9 XSS Là một kĩ thuật tấn công bằng cách chèn vào các website động (ASP, PHP, CGI, JSP ...) những thẻ HTML hay những đoạn mã script nguy hiểm 10 BEAST Là kỹ thuật khai thác điểm yếu của chế độ mã khối CBC và mức độ bảo mật yếu của trình duyệt web Cookies Là một dạng bản ghi được tạo ra và lưu lại trên trình duyệt khi người dùng truy cập một website. Trong đó lưu trữ các thông tin nhạy cảm của ngườ sử dụng 5 11 8 GIỚI THIỆU Công nghệ thông tin ngày nay đang phát triển rất mạnh, số lượng người sử dụng Internet ngày càng tăng, lưu lượng truyền tải thông tin yêu cầu ngày càng lớn và các hoạt động giao dịch trên mạng internet cũng phát triển theo, đặc biệt là trong hoạt động trao đổi thông tin giữa công dân với cơ quan hành chính nhà nước và giữa cơ quan hành chính nhà nước với nhau. Trước đây các cơ quan hành chính nhà nước cung cấp dịch vụ cho dân chúng tại trụ sở của mình, thì nay, nhờ vào công nghệ thông tin và viễn thông, các cơ quan hành chính nhà nước đã áp dụng nhiều công nghệ mới như: Mạng diện rộng, Internet, các phương tiện di động để quan hệ với công dân, giới doanh nghiệp. Qua các cổng thông tin cho công dân (Citizen Portal) người dân nhận có thể tìm hiều đầy đủ các thông tin từ pháp luật, các dịch vụ công và các thông tin khác cần tìm hiểu... mà không phải trực tiếp đến các trụ sở các cơ quan như trước đây. Tại các cơ quan hành chính, các dữ liệu về công văn, tài liệu được số hóa và lưu trữ tại chính các cơ quan và tại trung tâm dữ liệu (Data center) của đơn vị hoặc thành phố nhằm đảm bảo quá trình giao dịch hiệu quả nhằm nâng cao công tác quản lý các cơ quan hành chính nhà nước. Tuy nhiên việc trao đổi thông tin này sẽ không tránh khỏi một số đối tượng gián điệp truy cập trái phép vào các hệ thống thông tin số như các thông báo, các văn bản pháp luật, công văn... nhằm mục đích xấu, gầy hậu quả nghiêm trọng thiệt hại lớn về kinh tế, chính trị của các đơn vị. Và việc đảm bảo an toàn thông tin luôn được đặt lên hàng đầu trong hành chính điện tử. An toàn thông tin trong hành chính điện tử là các biện pháp nhằm đảm bảo tính bí mật cho thông tin, toàn vẹn dữ liệu, xác thực nguồn gốc an toàn, tôn trọng riêng tư, và đảm bảo tính sẵn sàng của an toàn thông tin. Vì vậy, việc kiểm soát và phát hiện các lỗ hổng thiếu an toàn an ninh trong hệ thống và các ứng dụng công nghệ thông tin là vô cùng quan trọng. Từ đây các giải pháp an toàn thông tin cho hệ thống, cho các ứng dụng công nghệ thông tin là bài toán được đặt ra cho các cơ quan hành chính. 9 Chính nhận thức về tầm quan trọng an toàn thông tin hành chính điện tử đã thôi thúc tôi thực hiện đề tài “Nghiên cứu một số lỗ hổng thiếu An ninh trong Ứng dụng công nghệ thông tin tại các cơ quan hành chính nhà nước, phương pháp và công cụ kiểm soát, xử lý lỗ hổng”. Bố cục đồ án gồm có 3 chương, với nội dung từng chương như sau: Chương 1: Các hiểm họa về an ninh hệ thống thông tin. Chương 2: Một số lỗ hổng thiếu an ninh trong ứng dụng công nghệ thông tin. Chương 3: Mô phỏng một số lỗ hổng. Trước khi đi vào trình bày chi tiết nội dung đồ án, em xin gửi lời cảm ơn chân thành tới PGS.TS. Trịnh Nhật Tiến đã định hướng và giúp đỡ nhiệt tình để em hoàn thành đề tài tốt nghiệp này. Trong khoảng thời gian không nhiều, dù đã cố gắng để hoàn thành tốt đồ án, tuy nhiên chắc chắn đề tài không tránh khỏi các sai sót, hạn chế, nên em rất mong được sự góp ý chân tình của thầy cô, bạn bè để em tiếp tục hoàn thiện và đưa vào thực tiễn một cách có hiệu quả nhất. Em xin trân trọng cảm ơn ! Học viên Nguyễn Mạnh Dũng 10 Chương 1. CÁC HIỂM HỌA VỀ AN NINH HỆ THỐNG THÔNG TIN 1.1. TỔNG QUAN VỀ CÁC HIỂM HỌA Các hệ thống thông tin, cơ sở dữ liệu (CSDL) của các cơ quan, tổ chức, doanh nghiệp luôn là mục tiêu của nhiều cuộc tấn công. Bởi đây là nơi lưu trữ các thông tin về khách hàng và nhiều dữ liệu bí mật khác. Một trong những nguyên nhân khiến cho các CSDL dễ bị tổn thương bởi các tấn công là do các cơ quan, tổ chức, doanh nghiệp chưa có biện pháp bảo vệ đầy đủ cho tài nguyên này. Khi kẻ xấu truy nhập vào dữ liệu nhạy cảm, có thể thực hiện tất cả các công việc để gây mất mát về tài chính hoặc phá hoại danh tiếng của tổ chức, doanh nghiệp. Theo thống kê của Imperra so với năm 2013 thì các hiểm họa trong năm 2014 hầu như không khác biệt, nhưng thứ tự xếp hạng của chúng lại thay đổi. Trong đó, hai hiểm họa mới được bổ sung dựa trên các xu thế phát triển của khách hàng và thị trường, một loại hiểm họa mới là các tấn công liên quan đến mã độc. Bảng dưới đây đưa ra mười hiểm họa hàng đầu với CSDL năm 2013 và 2014, đồng thời đưa ra thứ tự xếp hạng của chúng để thấy được sự khác biệt của các hiểm họa này trong hai năm 2013 và 2014. Xếp hạng Những hiểm họa năm 2013 1 Lạm dụng các đặc quyền vượt mức và các đặc quyền không còn được dùng (Excessive and Unused Privileges) 2 Lạm dụng đặc quyền (Privilege Abuse) Lạm dụng quyền hợp pháp (Legitimate Privilege Abuse) 3 Tấn cân SQL Ịnection Nâng cấp quyền bất hợp pháp (Unauthorized Privilege Elevation) 4 Mã độc (Mailware) Lợi dụng các điểm yếu nền tảng (Platform Vulnerabilities) Những hiểm họa năm 2014 11 Lạm dụng quyền vượt mức (Excessive Privilege Abuse) 5 6 7 Vết kiểm toán yếu (Weak Audit Trail) SQL Injection Lợi dụng sự sơ hở để khai thác phương Lợi dụng dấu vết kiểm toán yếu tiện lưu trữ (Storage Media Exposure) (Weak Audit Trail) Khai thác các CSDL có điểm yếu và bị lỗi cấu hình (Exploitation of Tấn công từ chối dịch vụ (Denial of Vulnerabilities and Misconfigured Database) Service) Lợi dụng các điểm yếu trong giao 8 Rò rỉ các dữ liệu nhạy cảm không được quản lý (Unmanaged Sensitive Data) thức giao tiếp cơ sở dữ liệu (Database Communication Protocol Vulnerabilities) 9 Tấn công từ chối dịch vụ (Denial of Service) Lợi dụng sự xác thực yếu (Weak Authentication) 10 Sự thiếu hụt các chuyên gia an ninh và hạn chế trong đào tạo (Limited Security Expertise and Education) Lợi dụng sự sơ hở của dữ liệu dự phòng (Backup Data Exposure) Bảng 1.1. Danh sách các dạng tấn công phổ biến trong năm 2013, 2014 Các tổ chức có thể đưa ra những giải pháp thực tế tốt hơn để bảo vệ dữ liệu của mình và xử lý những rủi ro có thể xảy ra, trong đó có mười hiểm họa hàng đầu này. Sau đây, chúng ta sẽ tìm hiểu về mười hiểm họa 2014 này. 1.1.1. Lạm dụng quyền vượt mức (Excessive Privilege Abuse) Khi người dùng được gán các đặc quyền truy nhập cơ sở dữ liệu vượt quá các yêu cầu trong chức năng công việc của họ, thì những đặc quyền này có thể bị lạm dụng cho các mục đích xấu. Ví dụ, một người phụ trách cơ sở dữ liệu của trường đại học với công việc là thay đổi các thông tin liên lạc của sinh viên, người này có thể lạm dụng quyền cập nhật cơ sở dữ liệu của mình để sửa đổi điểm của sinh viên (trái phép). 12 Có thể đơn giản là do những quản trị viên cơ sở dữ liệu vì bận rộn với công việc quản trị của mình nên không định nghĩa và cập nhật cơ chế kiểm soát quyền truy nhập cho mỗi người dùng. Kết quả là một số lượng lớn người dùng được gán các đặc quyền truy nhập mặc định vượt xa so với yêu cầu công việc của họ. Ngăn chặn lạm dụng quyền vượt mức – Bằng kiểm soát truy nhập mức truy vấn Sử dụng cơ chế kiểm soát truy nhập mức truy vấn (Query-level) sẽ hạn chế các đặc quyền cơ sở dữ liệu bằng những toán tử SQL (SELECT, UPDATE,…) và dữ liệu được yêu cầu một cách tối thiểu. Trong ví dụ trên, nếu sử dụng cơ chế kiểm soát truy nhập mức truy vấn một cách đầy đủ thì người phụ trách cơ sở dữ liệu chỉ được phép cập nhật cột thông tin liên lạc của sinh viên, và nếu anh ta cố gắng sửa đổi cột điểm thì hệ thống sẽ phát ra cảnh báo. Kiểm soát truy nhập mức truy vấn không chỉ có lợi trong việc phát hiện việc lạm dụng quyền vượt mức mà còn giúp ngăn chặn hầu hết những hành hiểm họa an toàn cơ sở dữ liệu. 1.1.2. Lạm dụng quyền hợp pháp (Legitimate Privilege Abuse) Người dùng lạm dụng các đặc quyền hợp pháp của mình để thực hiện những mục đích không hợp pháp. Hãy xét một nhân viên chăm sóc sức khỏe, nhân viên này có quyền xem các bản ghi liên quan đến chỉ một bệnh nhân trong cơ sở dữ liệu qua một ứng dụng Web. Tuy nhiên, thường cấu trúc của ứng dụng Web sẽ hạn chế không cho phép người dùng được xem nhiều bản ghi về lịch sử khám chữa bệnh liên quan đến nhiều bệnh nhân một cách đồng thời. Khi đó, nhân viên này có thể bỏ qua hạn chế của ứng dụng Web đó bằng cách kết nối tới cơ sở dữ liệu bằng một ứng dụng khác, chẳng hạn MS-Exel. Sử dụng MS-Exel với đăng nhập hợp lệ của mình, anh ta có thể lấy ra và lưu lại tất cả các bản ghi về các bệnh nhân trong cơ sở dữ liệu. Ở đây, cần xét hai rủi ro. Thứ nhất là người nhân viên có mục đích xấu, người sẵn sàng bán các bản ghi thông tin bệnh nhân để lấy tiền. Thứ hai (phổ biến hơn) là người nhân viên cẩu thả, người này truy xuất và lưu trữ một lượng lớn thông tin bệnh nhân vào máy khách của họ với mục đích công việc hợp pháp. Tuy nhiên, do lơ đễnh, nhân viên này có thể để lộ dữ liệu bệnh nhân ở một máy tính đầu cuối, và nó trở thành điểm yếu cho Trojan, hay những kẻ lấy cắp máy tính,… 13 Ngăn chặn lạm dụng quyền hợp pháp – Bằng cách hiểu được bối cảnh của truy nhập cơ sở dữ liệu: Giải pháp cho hiểm họa này chính là kiểm soát truy nhập cơ sở dữ liệu nhưng không chỉ bằng các truy vấn cụ thể, mà còn áp dụng cho bối cảnh xung quanh truy nhập cơ sở dữ liệu. Bằng cách bắt buộc tuân thủ chính sách cho các ứng dụng khách, thời gian trong ngày, vị trí, … thì có thể nhận dạng được những người dùng đang sử dụng các quyền truy nhập hợp pháp của mình với hành động mờ ám, đáng nghi. Với hiểm họa này, SecureSphere sử dụng công nghệ Hồ sơ động (Dynamic Profiling) để thực hiện kiểm soát truy nhập dựa vào bối cảnh. Ngoài thông tin truy vấn, công nghệ Hồ sơ động tạo ra một mô hình của ngữ cảnh xung quanh các tương tác cơ sở dữ liệu thông thường. Thông tin về ngữ cảnh cụ thể được lưu trong profile bao gồm: thời gian trong ngày, địa chỉ IP nguồn, khối dữ liệu được truy xuất, trình khách ứng dụng,… Bất kỳ kết nối nào đến cơ sở dữ liệu mà ngữ cảnh của nó không phù hợp với thông tin được lưu trong hồ sơ của người dùng đó, thì cổng SecureSphere sẽ phát ra cảnh báo. Chẳng hạn, người nhân viên có trong ví dụ trên sẽ bị phát hiện bởi SecureSphere không chỉ vì việc sử dụng một trình khách MS-Exel không chuẩn mà còn vì khối dữ liệu mà người dùng này truy xuất cũng không hợp lệ đối với một phiên đơn lẻ. Trong trường hợp cụ thể này, sự sai lệch trong cấu trúc của truy vấn MS-Exel không chuẩn đó, cũng gây ra một sự xâm phạm mức truy vấn. 1.1.3. Nâng cấp quyền bất hợp pháp (Unauthorized Privilege Elevation) Kẻ tấn công có thể dựa trên các điểm yếu trong phần mềm cơ sở dữ liệu để biến quyền truy nhập của một người dùng bình thường thành quyền truy nhập của một người quản trị. Những điểm yếu này có thể tìm thấy trong các thủ tục được lưu, trong các hàm được xây dựng bên trong, trong việc thực thi giao thức, thậm chí trong các câu lệnh SQL. Ví dụ, một nhà phát triển phần mềm ở một tổ chức tài chính có thể lợi dụng một hàm chứa điểm yếu để thu được đặc quyền quản trị cơ sở dữ liệu. Với đặc quyền quản trị này, nhà phát triển ác ý đó có thể tắt các cơ chế kiểm toán, tạo những tài khoản ma, hay chuyển tiền bất hợp pháp, … 14 Ngăn chặn nâng quyền bất hợp pháp – Bằng IPS và kiểm soát truy nhập mức truy vấn Hiểm họa này có thể bị ngăn chặn bằng việc kết hợp các hệ thống ngăn chặn xâm nhập (IPS) và kiểm soát truy nhập mức truy vấn. IPS sẽ kiểm tra lưu lượng cơ sở dữ liệu để nhận ra các mẫu phù hợp với những điểm yếu đã biết. Chẳng hạn, với một hàm có điểm yếu đã biết, thì một IPS có thể chặn tất cả các truy nhập tới hàm đó, hoặc (nếu có thể) chỉ chặn những truy nhập (của các tấn công) tới hàm này. Tuy nhiên, thật khó khăn để xác định một cách chính xác những yêu cầu truy nhập nào gắn với các tấn công khi chỉ sử dụng IPS. Bởi vì nhiều truy nhập hợp pháp vẫn sử dụng các hàm cơ sở dữ liệu chứa điểm yếu. Do đó, IPS không có tùy chọn để chặn tất cả các truy nhập đến các hàm chứa điểm yếu. IPS phải phân biệt chính xác các hàm được sử dụng hợp pháp và các hàm được sử dụng cho một tấn công nào đó. Trong nhiều trường hợp, điều này là không thể do sự đa dạng của các tấn công, cho nên với những trường hợp như vậy, hệ thống IPS chỉ đưa ra cảnh báo (không chặn) đối với những truy nhập vào các hàm cơ sở dữ liệu chứa điểm yếu. Để cải thiện độ chính xác, IPS có thể được gắn với một bộ chỉ thị tấn công khác, chẳng hạn như kiểm soát truy nhập truy vấn. Kiểm soát truy nhập truy vấn kiểm tra xem yêu cầu truy nhập có phù hợp với hoạt động của người dùng thông thường hay không, trong khi đó IPS sẽ kiểm tra xem yêu cầu cơ sở dữ liệu này có truy nhập vào một hàm chứa điểm yếu hay không. Nếu một yêu cầu cơ sở dữ liệu có truy nhập vào một hàm chứa điểm yếu và có hoạt động bất thường thì chắc chắn có một tấn công vào cơ sở dữ liệu đang hoạt động. 1.1.4. Lợi dụng các điểm yếu nền tảng (Platform Vulnerabilities) Các điểm yếu trong hệ điều hành bên dưới (Windows 2000, UNIX, …) và các điểm yếu trong các dịch vụ được cài đặt trên một máy chủ cơ sở dữ liệu có thể dẫn tới truy nhập bất hợp pháp, sự sửa đổi dữ liệu hay từ chối dịch vụ. Chẳng hạn, sâu Blaster lợi dụng một điểm yếu của Windows 2000 để tạo ra các điều kiện cho từ chối dịch vụ. Ngăn chặn các tấn công nền tảng – Bằng cập nhật phần mềm và ngăn chặn xâm nhập 15 Để bảo vệ các tài nguyên cơ sở dữ liệu tránh khỏi các tấn công nền tảng, cần thiết phải kết hợp giữa việc cập nhật (các bản vá) phần mềm thường xuyên và sử dụng hệ thống ngăn chặn xâm nhập (IPS). Các nhà cung cấp luôn đưa ra những bản vá cho các điểm yếu trong nền tảng cơ sở dữ liệu. Tuy nhiên, các doanh nghiệp cập nhật và thực thi các phần mềm này theo định kỳ. Khi đó, giữa các chu kỳ cập nhật này, cơ sở dữ liệu không được bảo vệ. Thêm vào đó, vấn đề tương thích đôi khi không cho phép các cập nhật phần mềm này được hoàn chỉnh. Để giải quyết những vấn đề này, cần phải sử dụng IPS. Như mô tả ở trên, IPS kiểm tra lưu lượng cơ sở dữ liệu và xác định được những tấn công nhắm vào các điểm yếu đã biết. 1.1.5. SQL Injection Trong một tấn công SQL Injection, kẻ tấn công thường chèn (hay “tiêm”) các mệnh đề cơ sở dữ liệu bất hợp pháp vào một nguồn dữ liệu SQL dễ bị tổn thương. Thường nguồn dữ liệu đích bao gồm các thủ tục được lưu và các tham số đầu vào của ứng dụng Web. Các nguồn này bị tiêm vào những mệnh đề bất hợp pháp, sau đó chúng được truyền tới cơ sở dữ liệu và được xử lý tại đây. Với SQL Injection, kẻ tấn công có thể đạt được truy nhập không giới hạn tới toàn bộ cơ sở dữ liệu. Ngăn chặn SQL Injection Có thể sử dụng kết hợp ba kỹ thuật để chống SQL Injection một cách hiệu quả là: IPS, kiểm soát truy nhập mức truy vấn và sự tương quan sự kiện. IPS có thể xác định các thủ tục được lưu chứa điểm yếu hoặc những chuỗi SQL injection. Tuy nhiên, một mình IPS thì không đáng tin cậy. Các nhà quản trị an toàn nếu chỉ tin cậy vào một mình IPS sẽ luôn nhận được hàng loạt các cảnh báo là SQL injection “có thể đang tồn tại”. Tuy nhiên, bằng cách tương quan một dấu hiệu của SQL injection với một xâm nhập vào kiểm soát truy nhập mức truy vấn thì có thể xác định được tấn công với độ chính xác cao. 1.1.6. Lợi dụng dấu vết kiểm toán yếu (Weak Audit Trail) Đối với bất kỳ hoạt động nào liên quan đến cơ sở dữ liệu, cần phải ghi tự động tất cả các giao dịch cơ sở dữ liệu nhạy cảm và/hoặc các giao dịch bất thường. Khi chính 16 sách kiểm toán cơ sở dữ liệu yếu sẽ dẫn đến những rủi ro nghiêm trọng cho tổ chức với nhiều mức độ khác nhau. Các cơ chế kiểm toán là tuyến hàng rào bảo vệ cơ sở dữ liệu cuối cùng. Nếu kẻ tấn công có thể phá vỡ các hàng rào khác thì cơ chế kiểm toán dữ liệu vẫn có thể xác định sự tồn tại của một xâm nhập sau những hành động của kẻ tấn công trước đó. Những vết kiểm toán thu được có thể dùng để xác định người dùng nào vừa thực hiện các hành động này, đồng thời qua vết kiểm toán có thể thực hiện phục hồi lại hệ thống. Cơ chế kiểm toán yếu đồng nghĩa với việc hệ thống không thể ghi lại đầy đủ những hành động của người dùng, dẫn đến việc không thể phát hiện và ngăn chặn kịp thời những hành động tấn công của người dùng hoặc một nhóm người dùng. Do vậy, kiểm toán là cơ chế quan trọng mà mọi hệ thống cần có và cần phải có cơ chế kiểm toán mạnh để đảm bảo an toàn thông tin hay an toàn cơ sở dữ liệu cho mọi hệ thống.Từ chối dịch vụ (Denial of Service) 1.1.7. Tấn công từ chối dịch vụ (Denial of Service) Từ chối dịch vụ (DOS) là một loại tấn công trong đó các truy nhập của người dùng hợp pháp vào các ứng dụng mạng hay vào dữ liệu sẽ bị từ chối. Các điều kiện từ chối dịch vụ có thể được tạo ra qua nhiều kỹ thuật (nhiều trong số đó liên quan đến các điểm yếu nền tảng). Ví dụ, tấn công DOS có thể dựa trên điểm yếu nền tảng cơ sở dữ liệu để phá hủy một máy chủ. Ngoài ra còn có một số kỹ thuật DOS phổ biến khác như: sửa đổi dữ liệu, làm lụt mạng (network flooding), và làm quá tải tài nguyên máy chủ (bộ nhớ, CPU,…). Trong đó, làm quá tải tài nguyên là một kỹ thuật phổ biến trong môi trường cơ sở dữ liệu. Ngăn chặn tấn công từ chối dịch vụ Để ngăn chặn tấn công này, cần yêu cầu bảo vệ ở nhiều mức khác nhau, như: mức mạng, mức ứng dụng và mức cơ sở dữ liệu. Ở phần này, ta tập trung vào các bảo vệ mức cơ sở dữ liệu. Trong đó, một số kỹ thuật bảo vệ mức cơ sở dữ liệu để chống tấn công DOS bao gồm: kiểm soát tốc độ kết nối, kiểm soát giao thức, kiểm soát truy nhập truy vấn, và kiểm soát thời gian phản hồi. 17 1.1.8. Lợi dụng các điểm yếu trong giao thức giao tiếp cơ sở dữ liệu (Database Communication Protocol Vulnerabilities) Các nhà cung cấp cơ sở dữ liệu phát hiện ra ngày càng nhiều các điểm yếu an toàn trong các giao thức giao tiếp cơ sở dữ liệu. Chẳng hạn 4 trong 7 điểm yếu về giao thức trong IBM DB2 đã được cố định và sửa chữa, 11 trong số 23 điểm yếu cơ sở dữ liệu liên quan đến giao thức đã được cố định trong Oracle gần đây. Sâu SQL Slammer2 cũng là khe hở trong giao thức của Microsoft SQL Server đã gây ra tấn công từ chối dịch vụ. Ngoài ra, các hoạt động của giao thức không hề được lưu lại trong các vết kiểm toán cho nên càng gây khó khăn cho việc phát hiện lỗi và phát hiện các tấn công. Ngăn chặn tấn công giao thức giao tiếp cơ sở dữ liệu Có thể giải quyết tấn công này bằng công nghệ phê duyệt giao thức. Công nghệ này sẽ phân tích lưu lượng cơ sở dữ liệu cơ bản và so sánh nó với lưu lượng thông thường. Trong trường hợp lưu lượng hiện tại không phù hợp với lưu lượng cơ sở dữ liệu như mong đợi thì hệ thống sẽ phát ra cảnh báo, thậm chí là chặn luôn hành động đang thực hiện. 1.1.9. Lợi dụng sự xác thực yếu (Weak Authentication) Trong một hệ thống chứa lược đồ xác thực yếu, kẻ tấn công có thể dễ dàng chiếm lấy định danh của những người dùng cơ sở dữ liệu hợp pháp bằng cách lấy cắp thẻ đăng nhập của họ. Kẻ tấn công có thể sử dụng nhiều chiến lược khác nhau để lấy được thẻ đăng nhập của người dùng hợp pháp, chẳng hạn: - Kỹ thuật Brute force: kẻ tấn công sẽ gõ lặp đi lặp lại tổ hợp username/password cho đến khi tìm ra một cặp hợp lệ. Thường kẻ tấn công sử dụng một chương trình đoán mật khẩu tự động để làm tăng nhanh quá trình brute force này. - Kỹ thuật Social Engineering: kẻ tấn công lợi dụng những khuynh hướng tự nhiên mà con người tin theo, từ đó làm cho người dùng tin tưởng và đưa ra thẻ đăng nhập của họ. Ví dụ, kẻ tấn công có thể gọi điện thoại và thể hiện rằng mình là một người quản lý công nghệ thông tin, yêu cầu người dùng cung cấp thẻ đăng nhập cho mục đích “bảo trì hệ thống”. 18 - Kỹ thuật Lấy cắp thẻ đăng nhập trực tiếp: kẻ tấn công có thể lấy cắp trực tiếp các thẻ đăng nhập của người dùng bằng cách sao chép các ghi chú ngắn của thẻ hoặc sử dụng file mật khẩu,… Để chống tấn công này, chúng ta cần thực hiện một số cơ chế: - Xác thực mạnh: Để ngăn chặn kẻ tấn công lợi dụng xác thực yếu, hệ thống cần sử dụng các chính sách và công nghệ xác thực mạnh nhất. Nên sử dụng cơ chế xác thực hai nhân tố (như: token, chứng chỉ, sinh trắc,…). Tuy nhiên, các cơ chế xác thực hai nhân tố thường có chi phí đắt và khó sử dụng hơn nên trong thực tế chúng được sử dụng không nhiều. Với trường hợp này, cần sử dụng chính sách xác thực mạnh cho username/password (như: độ dài tối thiểu, đa dạng ký tự, khó đoán,…). - Tích hợp danh bạ: Để các cơ chế xác thực mạnh được sử dụng rộng rãi và dễ dàng, nên tích hợp chúng với cơ sở danh bạ của doanh nghiệp. Cơ sở danh bạ cho phép một người dùng có thể sử dụng một tập thẻ đăng nhập cho nhiều cơ cở dữ liệu và ứng dụng. Từ đó làm cho hệ thống xác thực hai nhân tố được sử dụng hiệu quả hơn và người dùng có thể dễ dàng ghi nhớ việc cần phải thay đổi mật khẩu thường xuyên. 1.1.10. Lợi dụng sự sơ hở của dữ liệu dự phòng (Backup Data Exposure) Chúng ta thấy rằng, trong công tác sao lưu, dự phòng cơ sở dữ liệu, người thực hiện thường không bảo vệ các phương tiện lưu trữ cơ sở dữ liệu dự phòng một cách đầy đủ. Kết quả là, có rất nhiều băng đĩa sao lưu cơ sở dữ liệu và các đĩa cứng của nhiều hệ thống bị đánh cắp. Ngăn chặn sơ hở dữ liệu dự phòng Tất cả các bản sao cơ sở dữ liệu cần thiết phải được mã hóa. Một vài nhà cung cấp khẳng định rằng, các sản phẩm DBMS tương lai của họ sẽ hỗ trợ các bản sao cơ sở dữ liệu được mã hóa. 19 1.2 TỔNG QUAN VỀ CÁC LỖ HỔNG THIẾU AN NINH 1.2.1 Phân loại lỗ hổng theo mức độ [12] Các lỗ hổng bảo mật trên một hệ thống là các điểm yếu có thể tạo ra sự ngưng trệ của dịch vụ, thêm quyền đối với người sử dụng hoặc cho phép các truy nhập không hợp pháp vào hệ thống. Các lỗ hổng cũng có thể nằm ngay các dịch vụ cung cấp như sendmail, web, ftp ... Ngoài ra các lỗ hổng còn tồn tại ngay chính tại hệ điều hành như trong Windows NT, Windows 95, UNIX; hoặc trong các ứng dụng mà người sử dụng thương xuyên sử dụng như Word processing, Các hệ databases...  Phân loại lỗ hổng bảo mật [12]: Có nhiều tổ chức khác nhau tiến hành phân loại các dạng lỗ hổng đặc biêt. Theo cách phân loại của Bộ quốc phòng Mỹ, các loại lỗ hổng bảo mật trên một hệ thống được chia như sau: - Lỗ hổng loại C: các lỗ hổng loại này cho phép thực hiện các phương thức tấn công theo DoS (Dinal of Services - Từ chối dịch vụ). Mức độ nguy hiểm thấp, chỉ ảnh hưởng tới chất lượng dịch vụ, có thể làm ngưng trệ, gián đoạn hệ thống; không làm phá hỏng dữ liệu hoặc đạt được quyền truy nhập bất hợp pháp. - Lổ hổng loại B: Các lỗ hổng cho phép người sử dụng có thêm các quyền trên hệ thống mà không cần thực hiện kiểm tra tính hợp lệ. Mức độ nguy hiểm trung bình; Những lỗ hổng này thường có trong các ứng dụng trên hệ thống; có thể dẫn đến mất hoặc lộ thông tin yêu cầu bảo mật. - Lỗ hổng loại A: Các lỗ hổng này cho phép người sử dụng ở ngoài có thể truy nhập vào hệ thống bất hợp pháp. Lỗ hổng rất nguy hiểm, có thể làm phá hủy toàn bộ hệ thống. Sau đây sẽ phân tích một số lỗ hổng bảo mật thường xuất hiện trên mạng và hệ thống 1.2.1.1. Các lỗ hổng loại C [12]: Các lỗ hổng loại này cho phép thực hiện các cuộc tấn công DoS. 20
- Xem thêm -