BỘ GIÁO DỤC VÀ ĐÀO TẠO
ĐẠI HỌC CÔNG NGHỆ TP.HCM
AN TOÀN MẠNG
Biên Soạn:
ThS. Văn Thiên Hoàng
www.hutech.edu.vn
AN TOÀN MẠNG
Ấn bản 2015
MỤC LỤC
I
MỤC LỤC
MỤC LỤC ...................................................................................................................I
HƢỚNG DẪN ............................................................................................................. V
BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG ....................................................................... 1
1.1 GIỚI THIỆU ........................................................................................................ 1
1.1.1 Khái niệm an toàn mạng .................................................................................. 1
1.1.2 Tính bí mật ..................................................................................................... 2
1.1.3 Tính toàn vẹn ................................................................................................. 2
1.1.4 Tính khả dụng ................................................................................................. 3
1.2 CÁC MÔ HÌNH BẢO MẬT ...................................................................................... 3
1.2.1 Mô hình CIA (Confidentiality-Integrity-Availability) .............................................. 3
1.2.2 Mô hình PARKERIAN HEXAD.............................................................................. 4
1.2.3 Mô hình nguy cơ STRIDE .................................................................................. 4
1.3 CHIẾN LƢỢC AN NINH MẠNG AAA ....................................................................... 5
1.3.1 Điều khiển truy cập ......................................................................................... 5
1.3.2 Xác thực ........................................................................................................ 8
1.3.3 Kiểm tra ....................................................................................................... 10
1.4 CÁC NGUY CƠ MẤT AN NINH MẠNG ................................................................... 10
1.4.1 Phân loại ...................................................................................................... 11
1.4.2 Thách thức an ninh ........................................................................................ 11
1.5 TẤN CÔNG MẠNG .............................................................................................. 12
1.5.1 Các phương thức tấn công cơ bản .................................................................... 13
1.5.2 Các mục tiêu tấn công ................................................................................... 14
1.6 NGUYÊN TẮC XÂY DỰNG MỘT HỆ THỐNG BẢO MẬT ............................................ 14
1.6.1 Chính sách và cơ chế bảo mật ......................................................................... 14
1.6.2 Các mục tiêu của bảo mật hệ thống ................................................................. 15
TÓM TẮT ................................................................................................................ 17
CÂU HỎI ÔN TẬP .................................................................................................... 18
BÀI 2: CÁC KỸ THUẬT TẤN CÔNG THĂM DÕ ............................................................... 19
2.1 GIỚI THIỆU ...................................................................................................... 19
2.2 TRUY VẾT-FOOTPRINTING ............................................................................... 20
2.2.1 Khái niệm ..................................................................................................... 20
2.2.2 Thu thập thông tin tên miền ........................................................................... 20
2.2.3 Thu thập thông tin Email ................................................................................ 23
2.2.4 Thu thập thông tin sử dụng Traceroute ............................................................ 24
2.3 QUÉT-SCANNING .............................................................................................. 25
2.3.1 Giới thiệu ..................................................................................................... 25
2.3.2 Phân loại ...................................................................................................... 25
2.3.3 Các phương pháp quét ................................................................................... 25
II
MỤC LỤC
2.4 LIỆT KÊ - ENUMERATION .................................................................................. 32
2.4.1 Khái niệm......................................................................................................32
2.4.2 Liệt kê NetBIOS .............................................................................................32
2.4.3 Liệt kê SNMP .................................................................................................33
2.4.4 Liệt kê Unix/Linux ..........................................................................................34
2.4.5 Liệt kê LDAP ..................................................................................................35
2.4.6 Liệt kê NTP ....................................................................................................36
2.4.7 Liệt kê SMTP ..................................................................................................36
2.4.8 Liệt kê DNS ...................................................................................................36
2.4.9 Các phương pháp phòng chống ........................................................................36
TÓM TẮT ................................................................................................................ 38
CÂU HỎI ÔN TẬP .................................................................................................... 38
BÀI 3: TẤN CÔNG HỆ THỐNG ..................................................................................... 39
3.1 CÁC BƢỚC TẤN CÔNG ....................................................................................... 39
3.1.1 Mật khẩu .......................................................................................................39
3.1.2 Tăng Đặc Quyền ............................................................................................42
3.1.3 Thực thi ứng dụng ..........................................................................................43
3.1.4 Giấu tập tin ...................................................................................................44
3.1.5 Xóa dấu vết ...................................................................................................45
3.2 CÁCH PHÒNG CHỐNG ........................................................................................ 46
3.2.1 Biện pháp đối phó với crack password ...............................................................46
3.2.2 Đối phó Rootkit ..............................................................................................46
3.3 VÍ DỤ TẤN CÔNG HỆ THỐNG ............................................................................. 47
TÓM TẮT ................................................................................................................ 50
CÂU HỎI ÔN TẬP .................................................................................................... 51
BÀI 4: KỸ THUẬT NGHE LÉN VÀ PHÂN TÍCH GÓI TIN ................................................ 52
4.1 GIỚI THIỆU ...................................................................................................... 52
4.1.1 Nghe lén hợp pháp .........................................................................................52
4.1.2 Khái niệm tấn công nghe lén ...........................................................................53
4.1.3 Các mối đe dọa về nghe lén .............................................................................53
4.1.4 Cơ chế hoạt động chung của nghe lén ...............................................................54
4.1.5 Các nguy cơ dẫn tới Sniffing ............................................................................54
4.2 PHÂN LOẠI TẤN CÔNG NGHE LÉN...................................................................... 55
4.2.1 Nghe lén thụ động ..........................................................................................55
4.2.2 Nghe lén chủ động .........................................................................................55
4.3 CÁC KỸ THUẬT NGHE LÉN CHỦ ĐỘNG ................................................................ 55
4.3.1 Tấn công MAC Address....................................................................................55
4.3.2 Tấn công DHCP ..............................................................................................57
4.3.3 Tấn công giả mạo ARP ....................................................................................59
4.3.4 Đầu độc DNS .................................................................................................62
4.4 CÔNG CỤ PHÂN TÍCH GÓI TIN WIRESHARK .......................................................... 64
MỤC LỤC
III
TÓM TẮT ................................................................................................................ 68
CÂU HỎI ÔN TẬP .................................................................................................... 68
BÀI 5: AN NINH HẠ TẦNG MẠNG ............................................................................... 69
5.1 GIẢI PHÁP VÀ LỘ TRÌNH XÂY DỰNG BẢO MẬT HẠ TẦNG MẠNG .......................... 69
5.2 THIẾT KẾ MÔ HÌNH MẠNG AN TOÀN .................................................................. 71
5.3 CHÍNH SÁCH AN TOÀN MẠNG ............................................................................ 72
5.3.1 Quy trình tổng quan xây dựng chính sách tổng quan ......................................... 72
5.3.2 Hệ thống ISMS.............................................................................................. 73
5.3.3 ISO 27000 Series .......................................................................................... 74
5.4 ROUTER AND SWITCH ...................................................................................... 77
TÓM TẮT ................................................................................................................ 81
CÂU HỎI ÔN TẬP .................................................................................................... 81
BÀI 6: FIREWALL ...................................................................................................... 82
6.1 TỔNG QUAN FIREWALL ..................................................................................... 82
6.1.1 Khái niệm ..................................................................................................... 82
6.1.2 Chức năng của tường lửa................................................................................ 83
6.1.3 Nguyên lý hoạt động ..................................................................................... 84
6.1.4 Phân loại ...................................................................................................... 84
6.1.5 Thiết kế Firewall trong mô hình mạng .............................................................. 86
6.2 MỘT SỐ FIREWALL VÀ PROXY PHỐ BIẾN ........................................................... 87
6.2.1 Cấu hình Firewall IPtable ................................................................................ 87
6.2.2 Cài đặt và cấu hình SQUID làm Proxy Server .................................................... 89
6.2.3 Hệ thống Asa ................................................................................................ 94
TÓM TẮT .............................................................................................................. 103
CÂU HỎI ÔN TẬP .................................................................................................. 103
BÀI 7: HỆ THỐNG PHÁT HIỆN VÀ CHỐNG XÂM NHẬP............................................... 104
7.1 HỆ THỐNG PHÁT HIỆN XÂM NHẬP ................................................................... 104
7.1.1 Khái niệm .................................................................................................... 104
7.1.2 Kiến trúc của một hệ thống phát hiện xâm nhập .............................................. 105
7.1.3 Phân loại IDS ............................................................................................... 106
7.1.4 IDS Snort .................................................................................................... 108
7.2 HỆ THỐNG NGĂN CHẶN XÂM NHẬP IPS ........................................................... 115
7.2.1 Giới thiệu IPS .............................................................................................. 115
7.2.2 Kiến trúc hệ thống ngăn chặn xâm nhập ......................................................... 115
7.2.3 Phân loại IPS ............................................................................................... 119
7.2.4 Kỹ thuật nhận biết và ngăn chặn của IPS ........................................................ 123
7.2.5 Ví dụ xây dựng hệ thống IPS ......................................................................... 125
TÓM TẮT .............................................................................................................. 141
CÂU HỎI ÔN TẬP .................................................................................................. 141
BÀI 8: MẬT MÃ VÀ CÁC GIAO THỨC BẢO MẬT .......................................................... 142
IV
MỤC LỤC
8.1 BẢO MẬT THÔNG TIN VÀ MẬT MÃ .................................................................... 142
8.1.1 Giới thiệu .................................................................................................... 142
8.1.2 Kiến trúc an toàn của hệ thống truyền thông mở OSI ....................................... 143
8.1.3 Mô hình an toàn mạng tổng quát .................................................................... 145
8.1.4 Lý thuyết mật mã hỗ trợ xây dựng ứng dụng bảo mật thông tin ......................... 145
8.2 CÁC GIAO THỨC BẢO MẬT MẠNG ..................................................................... 150
8.2.1 Tổng quan Kerberos ..................................................................................... 150
8.2.2 SSL ............................................................................................................ 153
8.2.3 IPSEC ......................................................................................................... 159
TÓM TẮT .............................................................................................................. 168
CÂU HỎI ÔN TẬP .................................................................................................. 168
BÀI 9: MẠNG RIÊNG ẢO - VPN ................................................................................. 169
9.1 TỔNG QUAN VPN ............................................................................................ 169
9.1.1 Định nghĩa .................................................................................................. 169
9.1.2 Các chức năng ............................................................................................. 169
9.1.3 Lợi ích của VPN ............................................................................................ 170
9.1.4 Phân loại ..................................................................................................... 171
9.2 CÁC GIAO THỨC CƠ BẢN TRONG VPN .............................................................. 175
9.2.1 Kiến trúc tổng quát các bước xử lý của VPN ..................................................... 175
9.2.2 Giao Thức PPTP ............................................................................................ 176
9.2.3 Giao thức PPP .............................................................................................. 179
9.3 MINH HỌA VPN............................................................................................... 186
TÓM TẮT .............................................................................................................. 203
CÂU HỎI ÔN TẬP .................................................................................................. 203
TÀI LIỆU THAM KHẢO ........................................................................................... 204
HƢỚNG DẪN
V
HƢỚNG DẪN
MÔ TẢ MÔN HỌC
Do các ứng dụng trên mạng Internet ngày các phát triển và mở rộng, nên an toàn
thông tin trên mạng đã trở thành nhu cầu bắt buộc cho mọi hệ thống ứng dụng. Vì
vậy, An toàn mạng là môn học không thể thiếu của sinh viên ngành mạng. Mục đích
của môn học này là cung cấp cho sinh viên kiến thức về các vấn đề an ninh mạng
hiện nay và giải pháp tổng thể trong việc triển khai mạng an toàn.
NỘI DUNG MÔN HỌC
Bài 1: Bài học cung cấp kiến thức tổng quan về an ninh mạng như các khái niệm
an ninh mạng, các mô hình an ninh, chiếc lược bảo mật hệ thống AAA, các nguy cơ
tấn công mạng và nguyên tắc xây dựng hệ thống bảo mật. Môi trường mạng hiện nay
có rất nhiều nguy cơ ảnh hưởng đến sự an toàn của một hệ thống thông tin. Các nguy
cơ này có thể xuất phát từ các hành vi tấn công trái phép bên ngoài hoặc từ bản thân
các lỗ hổng bên trong hệ thống. Có nhiều nguy cơ đặt ra như: Trojans, đánh cắp
thông tin, Mạng ma Flux Botnet, Thất thoát giữ liệu, vi phạm an ninh, Các mối đe dọa
an ninh trong nội bộ, Tổ chức tội phạm mạng, Lừa đảo, Gián điệp mạng, Zero-Day,
Vishing, Mối đe dọa từ web 2.0, … Do vậy, an ninh mạng máy tính là tổng thể các giải
pháp về mặt tổ chức và kỹ thuật nhằm ngăn cản mọi nguy cơ tổn hại đến mạng. Một
hệ thống bảo mật là một hệ thống mà thông tin được xử lý trên nó phải đảm bảo
được ba đặc trưng sau (mô hình CIA): (1) Tính bí mật của hệ thống; (2) Tính toàn
vẹn của thông tin; (3) Tính khả dụng của thông tin. Chiến lược bảo mật hệ thống AAA
là chiến lược nền tảng nhất để thực thi các chính sách bảo mật trên một hệ thống
theo mô hình CIA. Các mục tiêu cơ bản của việc thực hiện an ninh trên một mạng cần
phải đạt được là: (1) Xác định những gì cần bảo vệ; (2) Xác định bảo vệ trước cái gì;
(3) Xác định các nguy cơ; (4) Thực hiện các biện pháp để bảo vệ; và (5) Kiểm tra lại
các tiến trình một cách liên tiếp và thực hiện cải tiến với mỗi lần tìm ra điểm yếu.
Bài 2: Bài học cung cấp các khái niệm về footprinting, scanning, và enumeration,
các công cụ phần mềm hỗ trợ thực hiện và các giải pháp phòng tránh. Kỹ thuật
VI
HƢỚNG DẪN
footprinting cho phép điều tra thông tin nạn nhân như các công nghệ Internet đang
được sử dụng, hệ điều hành, phần cứng, hoạt động địa chỉ IP, địa chỉ e-mail và số
điện thoại, và tập đoàn chính sách và thủ tục. Kỹ thuật scanning thu thập như tên
máy, địa chỉ ip, cấu hình máy tính, hệ điều hành, dịch vụ đang chạy, port đang mở.
Kỹ thuật enumeration là quá trình trích xuất tên người dùng, tên máy, tài nguyên
mạng, các chia sẻ, và cá dịch vụ từ một hệ thống. Kỹ thuật này được tiến hành trong
một môi trường mạng nội bộ.
Bài 3: Bài học cung cấp kiến thức tổng quan về các bước tấn công mạng của
Hacker. Các bước tấn công mạng gồm có: (1) Thu thập thông tin để giành quyền truy
cập; (2) Tạo ra user có đặt quyền trên hệ thống hoặc nâng quyền hạn của user đã
thu thập được; (3) Tạo và duy trì backdoor để truy cập; (4) Che dấu các tập tin độc
hại và (5) Xóa dấu vết. Để thu thập thông tin thi Hacker ta sử dụng các kỹ thuật của
bài học 2 (footprinting, scanning, enumeration). Khi có thông tin về đối tượng thì
Hacker sẽ tấn công mật khẩu để giành quyền truy cập hệ thống. Tăng đặc quyền
(Escalating Privileges) là thêm nhiều quyền hơn cho một tài khoản người dùng.
Hacker có tài khoản đặc quyền sẽ truy cập cấp quản trị viên để cài đặt chương trình.
Một khi Hacker đã có thể truy cập tài khoản với quyền quản trị, Hacker sẽ thực thi các
ứng dụng trên hệ thống đích. Mục đích của việc thực thi ứng dụng có thể cài đặt một
cửa sau trên hệ thống, cài đặt một keylogger để thu thập thông tin bí mật, sao chép
các tập tin, … Hacker cần che dấu các tập tin trên một hệ thống nhằm ngăn chặn bị
phát hiện.
Bài 4: Bài giảng cung cấp kiến thức cho sinh viên các khái niệm, mối đe dọa, cơ
chế hoạt động chung của tấn công nghe lén. Nghe lén là một tiến trình cho phép giám
sát cuộc gọi và cuộc hội thoại internet bởi thành phần thứ ba. Hacker để thiết bị lắng
nghe giữa mạng mang thông tin như hai thiết bị điện thoại hoặc hai thiết bị đầu cuối
trên internet. Các kỹ thuật nghe lén gồm có hai loại: nghe lén thụ động và nghe lén
chủ động. Nghe lén thụ động như là thực hiện nghe lén thông qua một Hub. Nghe lén
chủ động được thực hiện trên Switch. Các kỹ thuật nghe lén chủ động: tấn công MAC,
Tấn công DHCP, Tấn công đầu độc ARP, Tấn công đầu độc DNS. Các giải pháp ngăn
chặn nghe lén là kích hoạt bảo mật port (ví dụ DHCP Snooping).
HƢỚNG DẪN
VII
Bài 5: Bài học cung cấp kiến thức về việc xây dựng một hệ thống mạng bảo mật
gồm có: (1) Các giải pháp và lộ trình xây dựng bảo mật hạ tầng mạng, (2) thiết kế
mô hình mạng an toàn, (3) chính sách an toàn mạng và (4) bảo mật cho thiết bị
router, switch. Để có thể xây dựng một hệ thống mạng đảm bảo tính an toàn cần
phải có lộ trình xây dựng hợp lý giữa yêu cầu và chi phí, để từ đó lựa chọn giải pháp
phù hợp. Giải pháp phù hợp nhất phải cân bằng được các yếu tố: yêu cầu, giá thành
giải pháp, tính năng, hiệu năng của hệ thống. Giải pháp an ninh hạ tầng mạng bao
gồm 4 mảng: (1) lý thuyết về Security, (2) kỹ năng tấn công, (3) kỹ năng cấu hình
phòng thủ, và (4) lập chính sách an toàn thông tin. Xây dựng chính sách an toàn
mạng là bước hoàn thiện một môi trường làm việc và hoạt động theo chuẩn bảo mật.
Hiện nay nước ta có rất nhiều đơn vị đang xây dựng chính sách bảo mật theo chuẩn
ISO 27001, sử dụng mô hình ISMS. Để kiểm soát dữ liệu, Routers sử dụng ACL và
Switch thi thực hiện chia Lan ảo.
Bài 6: Bài học này trình bày các khái niệm về tường lửa, các chức năng, nguyên lý
họa động, cách triển khai tường lừa trong mô hình mạng và các loại tường lửa hiện
nay trên mạng. Firewall là một kỹ thuật được tích hợp vào hệ thống mạng để chống
sự truy cập trái phép, nhằm bảo vệ các nguồn thông tin nội bộ và hạn chế sự xâm
nhâp không mong muốn vào hệ thống. Chức năng chính của Firewall là kiểm soát
luồng thông tin từ giữa Intranet và Internet. Thiết kế firewall phù hợp với hệ thống
mạng là rất quan trọng, dưới đây trình bày một số mô hình triển khai firewall: (1)
firewall làm chức năng Packet Filter, (2) firewall áp dụng cho vùng DMZ và (3) mô
hình mạng tích hợp. Bài học trình bày cách sử dụng một số tường lửa phổ biển hiện
nay trong việc triển khai các hệ thống mạng an toàn như IPtable, ASA và proxy
Server SQUID.
Bài 7: Bài học trình bày các khái niệm về hệ thống phát hiện xâm nhập, kiến trúc
hoạt động, phân loại IDS. Để minh họa hệ thống phát hiện xâm nhập bằng phần mềm
IDS snort, cách cài đặt, thiết lập rule cảnh báo, và giám sát hoạt động của nó. Hệ
thống phát hiện xâm nhập gồm có các thành phần chính như: thành phần phân tích
gói tin, thành phần phát hiện tấn công, và thành phần phản ứng. Hệ thống phát chặn
xâm nhập nhận biết tấn công và ngăn chăn thông qua các kỹ thuật như nhận biết qua
dấu hiệu, nhận biết qua sự bất thường về lưu lượng, nhập biết qua chính sách thiết
VIII
HƢỚNG DẪN
lập, nhân biết qua sự phân tích giao thức. Bài giảng trình bày hệ thống IPS của Cisco
hoạt động ở lớp mạng để minh họa tính năng hoạt động của hệ thống phát hiện xâm
nhập.
Bài 8: Bài giảng cung cấp cho sinh viên kiến thức về vấn đề bảo mật thông tin: các
thách thức, kiến trúc an toàn thông tin OSI, và các thuật toán mật mã cho phép cài
đặt các dịch vụ của mô hình OSI. Kiến trúc an toàn OSI gồm có 5 dịch vụ bảo mật:
Xác thực các bên tham gia, Điều khiển truy cập, Bảo mật dữ liệu, kiểm tra tính toàn
vẹn, và chống chối bỏ. Các thuật toán mã hóa cần thiết để cài đặt các dịch vụ này là:
DES, 3DES, AES, RSA, DiffieHellman, Hàm băm MD5, SHA, Mã xác thực MAC. Giao
thức quản lý khóa và bảo mật dữ liệu trong mạng Domain: Kerberos. Giao thức bảo
mật dữ liệu đầu cuối SSL. Giao thức bảo mật gói dữ liệu IP: IPSEC.
Bài 9: Bài học trình bày tổng quan về mạng VPN bao gồm: định nghĩa, các chức
năng, và lợi ích của VPN. Mạng VPN có 3 loại cơ bản: mạng truy cập từ xa, mạng VPN
nội bộ và mạng VPN mở rộng. Hai giao thức cơ bản là giao thức tạo kết nối mạng
PPTP và giao thức liên kết dữ liệu cấp cao PPP. Giao thức PPP dùng để vận chuyển dữ
liệu với mạng nội bộ. Giao thức PPP hổ trợ giao thức con kiểm soát liên kết Link
Control Protocol (LCP), giao thức con kiểm soát mạng Network Control Protocol
(NCP), giao thức chứng thực như Challenge Handshake Authentication Protocol
(CHAP), Passwork Authentication Protocol (PAP), Extensible Authentication Protocol
(EAP). Ngoài ra, PPP còn hổ trợ giao thức mã hóa như Encryption Control Protocol
(ECP), Data Encryption Standard (DES), Advancde Encryption Standard (AES); Kiểm
soát băng thông: Bandwidth Allocation Control Protocol (BACP); Kiểm soát nén:
Compression Control Protocol; Có đủ khả năng phát hiện lỗi (CheckSum), tuy nhiên
không sữa lỗi; và giám sát chất lượng liên kết: Link Quality Report (LQR) và Link
Quality Monitoring(LQM).
KIẾN THỨC TIỀN ĐỀ
Môn học an toàn mạng đòi hỏi sinh viên cần có thức về hạ tầng mạng và dịch vụ
mạng.
HƢỚNG DẪN
IX
YÊU CẦU MÔN HỌC
Người học phải dự học đầy đủ các buổi lên lớp và làm bài tập đầy đủ ở nhà.
CÁCH TIẾP NHẬN NỘI DUNG MÔN HỌC
Người học cần chuẩn bị hệ thống mạng ảo gồm máy tính hệ điều hành Windows
Server, Linux; các thiết bị mạng router, switch; các phần mềm triển khai an toàn
mạng (ISA, ACS, …) và các công cụ quản lí / giám sát mạng (Wireshark, SecureCRT,
Solarwinds, SDM, Angry IP Scanner, Zenmap…). Từ đó, người học sử dụng để triển
khai minh họa tất cả các kỹ thuật liên quan đến từng bài học.
PHƢƠNG PHÁP ĐÁNH GIÁ MÔN HỌC
Môn học được đánh giá gồm:
Điểm quá trình (30%) Điểm học thực hành trên phòng máy. Hình thức và nội dung
được đề cập trong giáo trình thực hành An toàn mạng.
Điểm thi (70%): Người học sẽ được phân công đồ án dưới sự hướng dẫn của Giảng
viên phụ trách môn học và vấn đáp nội dung của đồ án kết hợp với nội dung lý
thuyết trong các bài học.
BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG
1
BÀI 1: TỔNG QUAN VỀ AN
TOÀN MẠNG
Bài giảng cung cấp các kiến thức tổng quan về an ninh mạng máy tính, trong đó
tập trung vào các nội dung sau:
-
Giới thiệu an toàn mạng máy tính
-
Chiến lược bảo mật hệ thống AAA.
-
Các nguy cơ mất an ninh mạng.
-
Nguyên tắc xây dựng một hệ thống bảo mật.
1.1 GIỚI THIỆU
1.1.1 Khái niệm an toàn mạng
An toàn mạng máy tính là tổng thể các giải pháp về mặt tổ chức và kỹ thuật nhằm
ngăn cản mọi nguy cơ tổn hại đến mạng. Các tổn hại có thể xảy ra do:
-
Người sử dụng.
-
Các lỗ hổng trong các hệ điều hành.
-
Các ứng dụng.
-
Lỗi phần cứng.
-
Các nguyên nhân khác.
Một hệ thống bảo mật là một hệ thống mà thông tin được xử lý trên nó phải đảm
bảo được ba đặc trưng sau: tính bí mật, tính toàn vẹn và tính khả dụng.
2
BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG
1.1.2 Tính bí mật
Tính bí mật của thông tin là tính giới hạn về các đối tượng được quyền truy xuất
đến thông tin. Đối tượng truy xuất có thể là con người, là máy tính hoặc phần mềm.
Tùy theo tính chất của thông tin mà mức độ bí mật của chúng có thể khác nhau. Các
kỹ thuật dùng đảm bảo tính bí mật của thông tin:
-
Các cơ chế và phương tiện vật lý như nơi lưu trữ, thiết bị lưu trữ, dịch vụ bảo vệ,..
-
Kỹ thuật mật mã là công cụ bảo mật thông tin hữu hiệu nhất trong môi trường
máy tính.
-
Kỹ thuật quản lý truy xuất được thiết lập để đảm bảo chỉ có những đối tượng được
cho phép mới có thể truy xuất thông tin.
Tính bí mật của thông tin phải được xem xét dưới hai yếu tố tách rời: (1) Bí mật về
nội dung của thông tin; (2) Bí mật về sự tồn tại của thông tin.
1.1.3 Tính toàn vẹn
Tính toàn vẹn đảm bảo sự tồn tại nguyên vẹn của thông tin, loại trừ mọi sự thay
đổi có chủ đích hoặc do hư hỏng, mất mát thông tin vì sự cố thiết bị hoặc phần mềm.
Tính toàn vẹn được xét trên hai khía cạnh:
-
Tính nguyên vẹn của nội dung thông tin: thông tin không bị thay đổi một cách
không hợp lệ trong quá trình trao đổi thông tin.
-
Tính xác thực nguồn gốc của thông tin: nguồn phát thông tin phải được xác thực,
không giả danh.
Các cơ chế đảm bảo sự tồn tại nguyên vẹn của thông tin được chia thành hai loại
gồm cơ chế phát hiện và cơ chế ngăn chặn. Cơ chế phát hiện chỉ thực hiện chức năng
giám sát và thông báo khi có các thay đổi diễn ra trên thông tin bằng cách phân tích
các sự kiện diễn ra trên hệ thống mà không thực hiện chức năng ngăn chặn các hành
vi truy xuất trái phép đến thông tin. Cơ chế ngăn chặn có chức năng ngăn cản các
hành vi trái phép làm thay đổi nội dung và nguồn gốc của thông tin. Các hành vi này
bao gồm 2 nhóm: (1) Hành vi cố gắng thay đổi thông tin khi không được phép truy
BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG
3
xuất đến thông tin; (2) Hành vi thay đổi thông tin theo cách khác với cách đã được
cho phép.
1.1.4 Tính khả dụng
Tính khả dụng của thông tin là tính sẵn sàng của thông tin cho các nhu cầu truy
cập hợp lệ của người dùng được cấp quyền. Nếu một hệ thống không khả dụng thì hai
đặc trưng còn lại sẽ vô nghĩa.
1.2 CÁC MÔ HÌNH BẢO MẬT
Các mô hình bảo mật cung cấp các tiêu chuẩn mà một hệ thống an toàn thông tin
cần đạt được một cách hài hòa giữa các tiêu chuẩn khi hệ thống này được xây dựng.
1.2.1 Mô hình CIA (Confidentiality-Integrity-Availability)
Hình 1.1: Mô hình CIA
Mô hình gồm ba đặc trưng bí mật (confidentiality), toàn vẹn (integrity), và khả
dụng (availability) được xem như là mô hình tiêu chuẩn của hệ thống thông tin bảo
mật. Bất kỳ vi phạm bảo mật thông tin nào cũng có thể được mô tả như là sự ảnh
hưởng đến một hay vài đặc trưng của mô hình CIA.
4
BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG
1.2.2 Mô hình PARKERIAN HEXAD
Donn B. Parker (1998) bổ sung thêm ba đặc
trưng vào mô hình CIA.
-
Tính bảo mật mở rộng thêm tính sở hữu, chủ
quyền trên thông tin có thể bị mất dù không vi
phạm CIA.
-
Tính toàn vẹn mở rộng thêm tính xác thực: ngoài
việc xác thực về nội dung thông tin cần xác thực
về nguồn gốc thông tin.
-
Tính khả dụng mở rộng thêm tính hữu dụng:
thông tin phải dễ dùng, tránh chuyển thành dạng
phức tạp hơn, tránh tình trạng không dùng được.
Hình 1.2: Mô hình Parkerian
Hexad
1.2.3 Mô hình nguy cơ STRIDE
Mô hình nguy cơ STRIDE do Microsoft giới thiệu. Mô hình này chỉ ra 6 loại nguy cơ
tấn công hệ thống mạng. Các thành phần của mô hình này đối lập với các thành phần
của mô hình CIA/Parkerian Hexad:
-
Spoofing (giả mạo) mục đích là đối lập với Authentication.
-
Tampering (xáo trộn) đối lập với Integrity.
-
Repudiation (phủ nhận) đối lập một phần với Authenticity.
-
Information Disclosure (bộ lọc thông tin) đối lập với Confidentiality.
-
Denial of Service (D.o.S) đối lập với Availability.
-
Elevation of privilege mục đích là đối lập với Authorization.
Khi xây dựng hệ thống mạng an toàn cần chỉ ra các loại nguy cơ mà hệ thống cần
phòng trành và ngăn chặn.
BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG
5
1.3 CHIẾN LƢỢC AN NINH MẠNG AAA
AAA (Access control, Authentication, Auditing) được xem là bước tiếp cận và là
chiến lược nền tảng nhất để thực thi các chính sách bảo mật trên một hệ thống bảo
mật theo mô hình CIA.
1.3.1 Điều khiển truy cập
Điều khiển truy cập: bao gồm các luật điều khiển phương thức và điều kiện để truy
cập đến hệ thống. Điều khiển truy cập được thực hiện tại nhiều vị trí khác nhau của
hệ thống, chẳng hạn như tại thiết bị truy nhập mạng, tại hệ thống tập tin của hệ điều
hành, trên hệ thống Active Directory Service, … Điều khiển truy cập được thực hiện
theo ba mô hình sau:
Mô hình điều khiển truy cập bắt buộc (MAC-Mandatory Access Control): người
quản trị điều khiển truy cập bằng cách dùng một tập luật chỉ định (chính sách bảo
mật), áp dụng bắt buộc đối với tất cả các đối tượng trong hệ thống, người dùng không
thể thay đổi được. Khi dùng MAC, hệ thống chỉ định một nhãn truy cập cho mỗi người
dùng, tiến trình hay tài nguyên hệ thống, dùng xác định các mức truy cập theo các
tập luật sau:
-
Một người dùng chỉ được phép chạy các tiến trình gán nhãn cùng cấp hoặc thấp
hơn nhãn của người dùng.
-
Một tiến trình chỉ được phép đọc từ các tài nguyên gán nhãn cùng cấp hoặc thấp
hơn nhãn của tiến trình.
-
Một tiến trình chỉ được phép ghi vào các tài nguyên gán nhãn cùng cấp hoặc cao
hơn nhãn của tiến trình.
Một số hệ thống hỗ trợ MAC: AIX 4.3.2, Trusted Solaris 8, SELinux,… Đặc điểm của
mô hình này là được thiết lập cố định ở mức hệ thống, người sử dụng không thay đổi
tự do được. Người dùng và tài nguyên trong hệ thống được chia thành nhiều mức bảo
mật khác nhau, phản ánh độ quan trọng của tài nguyên và người dùng. Mô hình hoạt
động dựa trên cơ sở gán nhãn. Khi mô hình điều khiển bắt buộc đã được thiết lập, nó
được áp dụng với tất cả người dùng và tài nguyên trên hệ thống.
Mô hình điều khiển truy cập tự do (DAC-Discretionary Access Control): mô hình
điều khiển truy cập trong đó việc xác lập quyền truy cập đối với từng tài nguyên cụ
6
BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG
thể do người sở hữu tài nguyên đó quyết định. DAC được cài đặt thông qua việc dùng
ACL (Access Control List), là một cấu trúc dữ liệu chứa các chuỗi ACE (Access Control
Entry), một ACE chứa nhận dạng (SID-Security Indentity) của người dùng và danh
sách các tác vụ mà người dùng có thể thực thi trên tài nguyên đã được bảo mật. Một
tài nguyên được bảo mật có một Security Descriptor, trong đó mô tả chủ của tài
nguyên. Chuỗi điều khiển truy cập dùng DAC như sau:
Hình 1.3: Bảng điều khiển truy cập của NTFS
-
Mỗi người dùng sau khi đăng nhập sẽ được gán một Access Token (thẻ truy cập)
chứa nhận dạng và nhóm bảo mật của người dùng.
-
Mỗi tiến trình do người dùng chạy đều liên kết với một bản sao Access Token của
người dùng.
-
Khi tiến trình thử truy cập một tài nguyên được bảo mật, tiến trình lấy thẻ dùng tài
nguyên và chỉ định tập quyền truy cập cần thiết trên tài nguyên.
-
Hệ thống sẽ truy cập Security Descriptor của tài nguyên và tìm trong các DACL
một ACE có SID trùng SID của Access Token liên kết tiến trình. Từ đó xác định
quyền truy cập của người dùng lên object.
BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG
7
Đây là mô hình được sử dụng phổ biến hiện nay, xuất hiện trong hầu hết các hệ
điều hành (Windows, Linux, Unix,…) để điều khiển truy cập đến hệ thống tập tin và
các loại tài nguyên khác. Đặc điểm của mô hình này là không được áp dụng mặc định
trên hệ thống. Người sở hữu tài nguyên thường là người tạo ra tài nguyên đó hoặc
người được gán quyền sở hữu. Người sở hữu có toàn quyền điều khiển việc truy cập
đến tài nguyên. Quyền truy cập trên một tài nguyên có thể được chuyển từ đối tượng
này sang đối tượng khác.
Hình 1.4: Thiết lập quyền ngƣời dùng trên hệ thống Microsoft (gpedit.msc).
Mô hình điều khiển truy cập theo vai trò (RBAC-Role-Based Access Control): tích
hợp phức hợp giữa MAC và DAC, tập trung quản lý nhóm thay vì quản lý người dùng.
Người quản trị gom các người dùng thành nhóm và gán quyền MAC trên cơ sở vai trò
của người dùng trong hệ thống. DAC được dùng bởi người dùng trong mỗi nhóm để
quản lý các quyền mịn hơn. RBAC tập trung vào khái niệm gán vai trò. Mô hình này
được dùng trên hệ Solaris của Sun Microsystems. Đặc điểm của mô hình này là :
-
Quyền truy cập được cấp dựa trên vai trò của người dùng trong hệ thống.
8
-
BÀI 1: TỔNG QUAN VỀ AN TOÀN MẠNG
Linh động hơn MAC, người quản trị bảo mật có thể cấu hình lại quyền truy cập cho
từng nhóm chức năng hoặc thay đổi thành viên giữa các nhóm.
-
Đơn giản hơn DAC, không cần phải gán quyền truy cập trực tiếp đến từng người
dùng.
1.3.2 Xác thực
Xác thực là một thủ tục có chức năng nhận dạng của một đối tượng trước khi trao
quyền truy cập cho đối tượng này trên một tài nguyên nào đó. Xác thực được thực
hiện dựa trên đặc điểm nhận dạng:
-
Điều mà đối tượng biết (ví dụ: mật khẩu, mã PIN). Nếu một đối tượng có
smartcard truy cập một tài khoản, đối tượng đó là chủ sở hữu của tài khoản. Mật
khẩu có thể bị mất nên ghi ra giấy, cho người khác biết hoặc dễ đoán.
-
Cái mà đối tượng có (ví dụ: key, smard, token). Nếu một đối tượng có smartcard
truy cấp một tài khoản, đối tượng đó là chủ sở hữu của tài khoản. Smartcard có
thể bị đánh cắp, bị sao chép.
-
Đặc trưng của đối tượng: các đặc điểm nhận dạng sinh trắc học (ví dụ như vân
tay, mặt người,…)
Nhiều kỹ thuật được sử dụng phối hợp nhau để tăng độ tin cậy của cơ chế xác
thực. Có hai kiểu xác thực: xác thực một chiều và xác thực hai chiều. Xác thực một
chiều là chỉ cung cấp cơ chế để một đối tượng kiểm tra nhận dạng của đối tượng kia
mà không cung cấp cơ chế kiểm tra ngược lại. Xác thực hai chiều cho phép hai đối
tượng tham gia xác thực lẫn nhau, do đó tính chính xác của quá trình xác thực được
đảm bảo. Ví dụ giao thức bảo mật SSL cung cấp cơ chế xác thực hai chiều dùng
chứng chỉ số. Một số phương thức xác thực:
PAP – Password Authentication Protocol, so sánh credentials (username/ password,
Smart Card, PIN - Personal Identification Number) do người dùng cung cấp với
credentials đã được lưu trong hệ thống. Phương pháp này không thật bảo mật do
credentials người dùng thường chuyển qua mạng dưới dạng không mã hóa.
- Xem thêm -