Đồ án triển khai giải pháp tường lửa Cisco ASA - HVCN Bưu chính Viễn thông

Tổng hợp đồ án firewall cisco asa chi tiết với mô hình mạng, cấu hình chính sách bảo mật, VPN và các kịch bản kiểm thử bảo vệ hệ thống.

• Tác giả: Nguyễn Xuân Hòa
• Người hướng dẫn: Th.S Trần Đình Thuần
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Viễn thông
• Đề tài: Firewall Cisco ASA
• Loại tài liệu: Đồ án tốt nghiệp

Tóm tắt

I. Tổng quan nghiên cứu đồ án firewall Cisco ASA bảo mật mạng

Đồ án firewall Cisco ASA cung cấp nền tảng kiến thức toàn diện về an toàn thông tin doanh nghiệp. Thiết bị Cisco ASA đóng vai trò bức tường lửa phần cứng chuyên dụng. Thiết bị tích hợp nhiều lớp phòng thủ thông minh. Hệ thống kiểm soát lưu lượng truy cập qua lại giữa các vùng mạng khác nhau. Cơ chế phân vùng bảo mật dựa trên mức độ tin cậy Security Level từ 0 đến 100. Vùng Inside sở hữu mức ưu tiên bảo mật cao nhất. Vùng Outside kết nối trực tiếp với môi trường Internet bên ngoài. Vùng DMZ lưu trữ các máy chủ dịch vụ công cộng.

Đồ án nghiên cứu sâu về nguyên lý hoạt động của thiết bị định tuyến và bảo mật Cisco. Thiết bị này quản lý trạng thái kết nối thông qua bảng State Table. Mọi gói tin truyền qua hệ thống đều trải qua quy trình kiểm tra nghiêm ngặt. Việc ứng dụng tường lửa phần cứng giúp tối ưu hóa hiệu suất xử lý gói tin. Thiết bị giảm thiểu độ trễ đường truyền mạng. Hệ thống bảo vệ cơ sở dữ liệu nội bộ trước các truy cập trái phép. Đề tài mở ra hướng tiếp cận thực tiễn trong công tác quản trị hạ tầng mạng.

1.1. Khái niệm và vai trò của tường lửa chuyên dụng

Tường lửa là thành phần cốt lõi trong kiến trúc an ninh mạng. Thiết bị đóng vai trò điểm chốt kiểm soát toàn bộ lưu lượng dữ liệu. Mọi gói tin đi vào hoặc đi ra khỏi hệ thống đều phải tuân thủ chính sách bảo mật đã thiết lập. Tường lửa ngăn chặn các truy cập bất hợp pháp từ không gian mạng công cộng. Thiết bị giúp ghi lại nhật ký sự kiện chi tiết phục vụ công tác giám sát. Quản trị viên dễ dàng phát hiện các hành vi bất thường nhờ hệ thống cảnh báo sớm. Việc triển khai tường lửa phần cứng đảm bảo tính toàn vẹn của dữ liệu tổ chức.

1.2. Kiến trúc phân vùng bảo mật trên Cisco ASA

Cisco ASA quản lý luồng dữ liệu dựa trên mô hình Security Level. Vùng mạng bên trong (Inside) mặc định có giá trị an ninh 100. Vùng mạng Internet bên ngoài (Outside) nhận mức an ninh 0. Vùng mạng trung gian (DMZ) thường được gán mức an ninh trung bình như 50. Theo quy tắc mặc định, lưu lượng từ vùng có chỉ số cao hơn được phép truyền sang vùng thấp hơn. Chiều ngược lại bị ngăn chặn hoàn toàn nếu không có quy tắc cho phép cụ thể. Cơ chế này bảo vệ hệ thống máy chủ nội bộ an toàn tuyệt đối.

II. Phân tích thách thức bảo mật trong đồ án firewall Cisco ASA

Hạ tầng mạng doanh nghiệp đối mặt với nhiều mối đe dọa an ninh tinh vi. Tình trạng mật khẩu yếu tạo điều kiện cho tin tặc xâm nhập trái phép. Dữ liệu truyền tải không mã hóa dễ bị nghe lén trên đường truyền. Các dịch vụ chia sẻ tệp tin nội bộ thiếu kiểm soát làm gia tăng nguy cơ rò rỉ thông tin mật. Tấn công từ chối dịch vụ DoS và DDoS gây quá tải hạ tầng máy chủ. Sự cố này làm gián đoạn hoạt động kinh doanh liên tục của tổ chức.

Đồ án firewall Cisco ASA phân tích rõ các chiến lược phòng thủ mạng then chốt. Nguyên tắc đặc quyền tối thiểu giới hạn quyền hạn truy cập của người dùng ở mức vừa đủ. Chiến lược phòng thủ theo chiều sâu thiết lập nhiều lớp bảo vệ độc lập. Điểm yếu nhất trong hệ thống luôn là mục tiêu tấn công hàng đầu của tin tặc. Nguyên lý hỏng an toàn đảm bảo hệ thống tự động khóa truy cập khi gặp sự cố. Việc hiểu rõ các nguy cơ giúp xây dựng chính sách lọc gói tin chính xác.

2.1. Các dạng lỗ hổng và phương thức tấn công phổ biến

Mạng máy tính thường tồn tại lỗ hổng từ cấu hình sai sót và mã độc. Tin tặc lợi dụng cổng dịch vụ mở để gửi các luồng dữ liệu độc hại. Các cuộc tấn công DoS làm cạn kiệt tài nguyên bộ nhớ và băng thông. Kỹ thuật giả mạo địa chỉ IP đánh lừa hệ thống định tuyến mạng. Hiện tượng nghe lén gói tin xảy ra khi thông tin nhạy cảm không được mã hóa. Tấn công lớp ứng dụng nhắm trực tiếp vào phần mềm máy chủ web và máy chủ thư điện tử. Hệ thống phòng thủ cần nhận diện sớm các dấu hiệu xâm nhập bất thường.

2.2. Chiến lược thiết lập phòng thủ đa lớp

Mô hình an ninh hiệu quả đòi hỏi sự kết hợp đồng bộ nhiều nguyên tắc. Nguyên lý phòng thủ theo chiều sâu không phụ thuộc vào một thiết bị đơn lẻ. Hệ thống triển khai tường lửa kết hợp thiết bị phát hiện xâm nhập chuyên sâu. Nguyên tắc đặc quyền tối thiểu ngăn chặn lạm dụng quyền hạn người dùng. Nguyên lý liên kết yếu nhất tập trung gia cố các điểm dễ bị tổn thương nhất. Chính sách an ninh toàn diện cần sự tham gia của mọi thành viên trong doanh nghiệp. Việc duy trì quy trình kiểm toán giúp giảm thiểu rủi ro bảo mật dài hạn.

III. Giải pháp cấu hình kỹ thuật trong đồ án firewall Cisco ASA

Đồ án firewall Cisco ASA xây dựng giải pháp bảo mật toàn diện qua các công nghệ cốt lõi. Thiết bị áp dụng cơ chế chuyển dịch địa chỉ mạng NAT và PAT. Giải pháp này giúp giấu kín cấu trúc địa chỉ IP nội bộ trước môi trường Internet. Hệ thống tiết kiệm không gian địa chỉ IPv4 công cộng hiệu quả. Danh sách kiểm soát truy cập Access Control List lọc luồng dữ liệu dựa trên địa chỉ nguồn, địa chỉ đích và số hiệu cổng dịch vụ.

Giải pháp triển khai mạng riêng ảo VPN bảo vệ dữ liệu truyền qua không gian mạng công cộng. Mô hình Remote Access VPN cho phép nhân viên làm việc từ xa kết nối an toàn về máy chủ trung tâm. Giao thức bảo mật IPSec và SSL mã hóa toàn bộ lưu lượng kênh truyền. Hệ thống sử dụng phần mềm Cisco AnyConnect Secure Mobility Client hỗ trợ xác thực người dùng chặt chẽ. Mô hình kết nối đảm bảo tính bí mật, toàn vẹn và xác thực của thông tin liên lạc. Quá trình định tuyến tĩnh Static Route định hướng luồng dữ liệu chính xác qua cổng ISP.

3.1. Cấu hình Access Control List và dịch vụ NAT

Cấu hình Access Control List trên Cisco ASA kiểm soát chặt chẽ các luồng gói tin. Quản trị viên thiết lập quy tắc cho phép hoặc từ chối lưu lượng truy cập cụ thể. ACL áp dụng trực tiếp lên từng giao diện mạng theo hướng inbound hoặc outbound. Đồng thời, kỹ thuật NAT chuyển đổi dải địa chỉ IP riêng 172.16.0.0/24 sang địa chỉ IP công cộng. Kỹ thuật Port Address Translation cho phép nhiều thiết bị chia sẻ một địa chỉ IP duy nhất. Sự kết hợp này vừa tăng cường tính bảo mật vừa đảm bảo khả năng kết nối Internet thông suốt.

3.2. Triển khai đường hầm bảo mật Remote Access VPN

Mô hình Remote Access VPN cung cấp giải pháp làm việc từ xa an toàn cho người dùng. Thiết bị Cisco ASA đóng vai trò VPN Gateway tiếp nhận các yêu cầu kết nối. Quy trình xác thực người dùng diễn ra nghiêm ngặt qua tài khoản nội bộ hoặc máy chủ RADIUS. Kênh truyền mã hóa bằng thuật toán AES và hàm băm SHA đảm bảo an toàn tuyệt đối. Giao thức SSL VPN tạo sự thuận tiện cho người dùng đầu cuối thông qua giao diện web hoặc phần mềm chuyên dụng. Dữ liệu trao đổi giữa máy trạm và mạng nội bộ luôn duy trì tính toàn vẹn cao.

IV. Đánh giá kết quả thực nghiệm từ đồ án firewall Cisco ASA

Đồ án firewall Cisco ASA hoàn thành việc xây dựng và kiểm thử mô hình mạng an ninh trên nền tảng GNS3 kết hợp VMware. Môi trường giả lập tái hiện chân thực cấu trúc mạng doanh nghiệp tiêu chuẩn. Các kịch bản kiểm thử chứng minh hệ thống hoạt động ổn định và chính xác. Máy trạm thuộc phân vùng Inside kết nối Internet thành công thông qua cơ chế dịch địa chỉ IP. Quản trị viên thực hiện quản lý thiết bị Cisco ASA an toàn qua giao thức SSH.

Hệ thống Access Control List ngăn chặn triệt để các hành vi quét cổng và truy cập trái phép từ bên ngoài. Kênh truyền Remote Access VPN thiết lập thành công đường hầm mã hóa bảo vệ luồng thông tin liên lạc. Mô hình thực nghiệm khẳng định tính khả thi cao của giải pháp bảo mật Cisco ASA trong thực tế. Nghiên cứu cung cấp tài liệu tham khảo giá trị cho sinh viên chuyên ngành viễn thông và an toàn thông tin. Kết quả đồ án đóng góp phương án thiết kế hệ thống tường lửa hoàn chỉnh cho doanh nghiệp vừa và nhỏ.

4.1. Kết quả kiểm thử trên môi trường GNS3 và VMware

Thực nghiệm trên phần mềm GNS3 chứng minh tính tương thích cao giữa thiết bị ảo hóa và máy trạm VMware. Máy tính PC2 thuộc mạng Inside thực hiện lệnh Telnet và SSH đến Cisco ASA thành công. Tài khoản xác thực cisco/cisco phân quyền quản trị chính xác. Lưu lượng truy cập Web từ mạng nội bộ ra Internet diễn ra liên tục không bị gián đoạn. Các gói tin ICMP ngoài luồng cho phép đều bị tường lửa chặn đứng. Quá trình bắt gói tin bằng Wireshark xác nhận dữ liệu đã được mã hóa an toàn qua đường hầm VPN.

4.2. Hướng phát triển và ứng dụng thực tiễn doanh nghiệp

Giải pháp từ đồ án có khả năng ứng dụng trực tiếp vào hạ tầng mạng thực tế của doanh nghiệp. Doanh nghiệp dễ dàng nâng cấp lên dòng thiết bị Cisco Firepower thế hệ mới. Hệ thống mở rộng tích hợp thêm module phòng chống xâm nhập IPS và lọc nội dung web nâng cao. Quản trị viên có thể triển khai thêm giao thức xác thực hai yếu tố cho kết nối VPN. Việc kết hợp giám sát qua phần mềm Cisco ASDM giúp trực quan hóa quy trình quản trị. Hệ thống bảo mật toàn diện giúp doanh nghiệp bảo vệ tài sản số hiệu quả trước các cuộc tấn công mạng.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH phải thận trọng tới các điểm yếu này bởi kẻ tấn công luôn biết tìm cách để khai thác nó. Hỏng an toàn ( Fail – Safe Stance ) Một điểm yếu cơ bản khác trong chiến lược an ninh là khả năng cho phép hệ thống hỏng an toàn – có nghĩa là nếu hệ thống có hỏng thì sẽ hỏng theo cách chống lại sự tấn công của đối phương.Sự sụp đổ này có thể cũng ngăn cản sự truy cập của người dung hợp pháp nhưng trong một số trường hợp thì vẫn phải áp dụng chiến lược này. Hầu hết các ứng dụng hiện nay đều có cơ chế hỏng an toàn. Ví dụ như nếu một router lọc gói bị down, nó sẽ không cho bất kỳ một gói tin nào đi qua.

Nếu một proxy bị down, nó sẽ không cung cấp một dịch vụ nào cả. Nhưng nếu một hệ thống lọc gói được cấu hình mà tất cả các gói tin được hướng tới một máy chạy ứng dụng lọc gói và một máy khác cung cấp ứng dụng thì khi máy chạy ứng dụng lọc gói bị down, các gói tin sẽ di chuyển toàn bộ đến các ứng dụng cung cấp dịch vụ. Kiểu thiết kế này không phải là dạng hỏng an toàn và cần phải đuợc ngăn ngừa. Điểm quan trọng trong chiến lược này là nguyên tắc, quan điểm của ta về an ninh.

Ta có xu hướng hạn chế, ngăn cấm hay cho phép? Có hai nguyên tắc cơ bản mà ta có thể quyết định đến chính sách an ninh : + Mặc định từ chối : Chỉ quan tâm những gì ta cho phép và cấm tất cả những cái còn lại. + Mặc định cho phép : Chỉ quan tâm đến những gì mà ta ngăn cấm và cho qua tất cả những cái còn lại. Tính toàn cục ( Universal Participation ) Để đạt được hiệu quả cao, hầu hết các hệ thống an toàn đòi hỏi phải có tính toàn cục của các hệ thống cục bộ. Nếu một kẻ nào đó có thể dễ dàng bẻ gãy một cơ chế an toàn thì chúng có thể thành công bằng cách tấn công hệ thống tự do của ai đó rồi tiếp tục tấn công hệ thống nội bộ từ bên trong.

Có rất nhiều hình thức làm cho hỏng an toàn hệ thống và chúng ta cần được báo lại những hiện tượng lạ xảy ra có thể liên quan đến an toàn của hệ thống cục bộ. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 10 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL CHƯƠNG 2 : TỔNG QUAN VỀ FIREWALL 2. Khái niệm Thuật ngữ Firewall có nguồn gốc từ một kỹ thuật thiết kế xây dựng để ngăn chặn, hạn chế hỏa hoạn .Trong công nghệ thông tin, Firewall là một kỹ thuật được tích hợp vào hệ thống mạng để chống sự truy cập trái phép nhằm bảo vệ các nguồn thông tin nội bộ cũng như hạn chế sự xâm nhập vào hệ thống nhằm mục đích phá hoại, gây tổn thất cho tổ chức, doanh nghiệp. Cũng có thể hiểu Firewall là một cơ chế để bảo vệ mạng tin tưởng (trusted network) khỏi các mạng tin tưởng (untrusted network).1: Vị trí Firewall trong mạng doanh nghiệp Theo cách bố trí này thì tất cả các luồng thông tin đi vào mạng nội bộ từ Internet hay ngược lại, đi từ mạng nội bộ ra Internet đều phải qua Firewall.

Nhờ vậy Firewall có thể kiểm soát được các luồng thông tin, từ đó đưa ra các quyết định cho phép hay không cho phép. Cho phép hay không cho phép ở đây là dựa trên chính sách an ninh do người quản trị Firewall đặt ra. Phân loại Firewall Có một số công ty sản xuất sản phẩm Firewall và có hai loại để chọn là Firewall phần cứng và Firewall phần mềm. Firewall phần cứng Về tổng thể, Firewall phần cứng cung cấp mức độ bảo vệ cao hơn so với Firewall phần mềm và dễ bảo trì hơn.

Firewall phần cứng cũng có một ưu điểm khác là không chiếm dụng tài nguyên hệ thống trên máy tính như Firewall phần mềm. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 11 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL Firewall phần cứng là một lựa chọn rất tốt đối với các doanh nghiệp nhỏ, đặc biệt cho những công ty có chia sẻ kết nối Internet. Có thể kết hợp Firewall và một bộ định tuyến trên cùng một hệ thống phần cứng và sử dụng hệ thống này để bảo vệ cho toàn bộ mạng. Firewall phần cứng có thể là một lựa chọn đỡ tốn chi phí hơn so với Firewall phần mềm thường phải cài trên mọi máy tính cá nhân trong mạng.

Firewall phần mềm Nếu không muốn tốn tiền mua Firewall phần cứng thì ta có thể sử dụng Firewall phần mềm. Về giá cả, Firewall phần mềm thường không đắt bằng Firewall phần cứng, thậm chí một số còn miễn phí (phần mềm Comodo Firewall Pro 3.0, PC Tools Firewall Plus 3.) và chúng ta có thể tải về từ mạng Internet. So với Firewall phần cứng, Firewall phần mềm cho phép linh động hơn, nhất là khi cần cài đặt lại các thiết lập cho phù hợp hơn với nhu cầu riêng của từng công ty. Chúng có thể hoạt động tốt trên nhiều hệ thống khác nhau, khác với Firewall phần cứng tích hợp với bộ định tuyến chỉ làm việc tốt trong mạng có quy mô nhỏ.

Firewall phần mềm cũng là một lựa chọn phù hợp đối với máy tính xách tay vì máy tính sẽ vẫn được bảo vệ cho dù mang máy tính đi bất kỳ nơi nào. Các Firewall phần mềm làm việc tốt với Windows XP, Windows 7 và Windows 2010. Chúng là một lựa chọn tốt cho các máy tính đơn lẻ. Các công ty phần mềm khác làm các tường lửa này.

Chúng không cần thiết cho Windows XP bởi vì XP đã có một tường lửa cài sẵn. Ưu điểm và nhược điểm của Firewall Ưu điểm Firewall có thể làm rất nhiều điều cho an ninh của mạng. Thực tế những ưu điểm khi sử dụng Firewall không chỉ ở trong lĩnh vực an ninh. Firewall là điểm tập trung giải quyết các vấn đề an ninh Quan sát vị trị của Firewall trên hình chúng ta thấy đây là một dạng nút thắt.

Firewall cho ta khả năng lớn để bảo vệ mạng nội bộ bởi công việc làm chỉ cần tập trung tại nút thắt này. Việc tập trung giải quyết tại một điểm này còn cho phép có hiệu quả cả về mặt kinh tế. SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 12 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL Firewall có thể thiết lập chính sách an ninh Có rất nhiều dịch vụ và mọi người muốn sử dụng vốn đã không an toàn. Firewall đóng vai trò kiểm soát các dịch vụ này.

Nó sẽ thiết lập chính sách an ninh cho phép những dịch vụ thỏa mãn tập luật trên Firewall đang hoạt động. Tùy thuộc vào công nghệ lựa chọn để xây dựng Firewall mà nó có khả năng thực hiện các chính sách an ninh với hiệu quả khác nhau. Firewall có thể ghi lại các hoạt động một cách hiệu quả Do mọi luồng thông tin đều qua Firewall nên đây sẽ là nơi lý tưởng để thu thập các thông tin về hệ thống và mạng sử dụng. Firewall có thể ghi chép lại những gì xảy ra giữa mạng được bảo vệ và mạng bên ngoài.

Nhược điểm Firewall có thể bảo vệ mạng có hiệu quả nhưng nó không phải là tất cả. Firewall cũng tồn tại các nhược điểm của nó. Firewall không thể bảo vệ được nếu có sự tấn công từ bên trong Nếu kẻ tấn công ở phía trong Firewall, thì nó sẽ không thể giúp gì được cho ta. Kẻ tấn công sẽ ăn cắp dữ liệu, phá hỏng phần cứng - phần mềm, sửa đổi chương trình mà Firewall không thể biết được.

Firewall không thể bảo vệ được nếu các cuộc tấn công không đi qua nó Firewall có thể điều khiển một cách hiệu quả các luồng thông tin, nếu như chúng đi qua Firewall. Tuy nhiên, Firewall không thể làm gì nếu như các luồng dữ liệu không đi qua nó.Ví dụ cho phép truy nhập dial-up kết nối vào hệ thống bên trong của Firewall. Khi đó nó sẽ không chống lại được sự tấn công từ kết nối modem. Có thể do việc cài đặt backdoor của người quản trị hay những người sử dụng trình độ cao.

SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 13 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL 2. Các chức năng của Firewall Packet Filtering Khái niệm Packet Filtering là một chức năng cơ bản của một Firewall, nó là một kỹ thuật an ninh mạng hoạt động ở tầng mạng, bằng cách điều khiển dữ liệu vào hoặc ra một mạng máy tính. Packet Filtering sẽ định tuyến một cách có chọn lọc các gói tin tùy thuộc theo chính sách an ninh do người quản trị đặt ra. Lọc gói thông thường có tốc độ rất cao bởi nó chỉ kiểm tra phần header của các gói tin mà không kiểm tra phần dữ liệu trong đó.

Vì kĩ thuật gói thường có tốc độ nhanh, mềm dẻo và trong suốt với người dùng nên ngày nay hầu hết các router đều có trang bị khả năng lọc gói. Một router sử dụng bộ lọc gói được gọi là screening router.2: Packet Filtering Như đã giới thiệu ở chương trước thì bất kể một gói tin nào cũng có phần header của nó. Những thông tin trong phần header bao gồm các trường sau : Địa chỉ IP nguồn Địa chỉ IP đích Giao thức hoạt động Cổng TCP (UDP) nguồn Cổng TCP (UDP) đích ICMP message type Bộ lọc gói sẽ dựa vào những thông tin này để đưa ra quyết định cuối cùng cho phép hay không cho phép gói tin đi qua. Ngoài ra, bộ lọc gói còn có thể xác định thêm các thông tin khác không có trong header của gói tin như : SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang 14 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL Giao diện mạng mà gói tin từ đó đi tới ( ví dụ trong Linux là eth0 ) Giao diện mạng mà gói tin đi đến ( ví dụ là eth1 ) Trên thực tế thì các Server hoạt động cho các dịch vụ Internet thường tập trung vào một cổng nào đó, do vậy để đơn giản ta chỉ cần cấu hình tập luật lọc gói tin của router theo số hiệu cổng tương ứng là có thể ngăn chặn được các kết nối.

Ví dụ với server HTTP: cổng mặc định là 80, với server FTP : cổng 21. Do vậy với Sreening router thì ngoài chức năng như một router bình thường là dẫn đường cho các gói tin nó còn có khả năng lọc các gói tin đi qua nó. Screening router sẽ đọc gói tin một cách cẩn thận hơn từ đó đưa ra quyết định cho phép hay không cho phép gói tin tới đích. Việc cho phép hay không cho phép các gói tin đi qua phụ thuộc vào các luật lọc gói mà screening router được cấu hình.