CHƯƠNG 1: AN TOÀN TRONG MẠNG MÁY TÍNH phải thận trọng tới các điểm yếu này bởi kẻ tấn công luôn biết tìm cách để khai thác nó. Hỏng an toàn ( Fail – Safe Stance ) Một điểm yếu cơ bản khác trong chiến lược an ninh là khả năng cho phép hệ thống hỏng an toàn – có nghĩa là nếu hệ thống có hỏng thì sẽ hỏng theo cách chống lại sự tấn công của đối phương.Sự sụp đổ này có thể cũng ngăn cản sự truy cập của người dung hợp pháp nhưng trong một số trường hợp thì vẫn phải áp dụng chiến lược này. Hầu hết các ứng dụng hiện nay đều có cơ chế hỏng an toàn. Ví dụ như nếu một router lọc gói bị down, nó sẽ không cho bất kỳ một gói tin nào đi qua.
Nếu một proxy bị down, nó sẽ không cung cấp một dịch vụ nào cả. Nhưng nếu một hệ thống lọc gói được cấu hình mà tất cả các gói tin được hướng tới một máy chạy ứng dụng lọc gói và một máy khác cung cấp ứng dụng thì khi máy chạy ứng dụng lọc gói bị down, các gói tin sẽ di chuyển toàn bộ đến các ứng dụng cung cấp dịch vụ. Kiểu thiết kế này không phải là dạng hỏng an toàn và cần phải đuợc ngăn ngừa. Điểm quan trọng trong chiến lược này là nguyên tắc, quan điểm của ta về an ninh.
Ta có xu hướng hạn chế, ngăn cấm hay cho phép? Có hai nguyên tắc cơ bản mà ta có thể quyết định đến chính sách an ninh : + Mặc định từ chối : Chỉ quan tâm những gì ta cho phép và cấm tất cả những cái còn lại. + Mặc định cho phép : Chỉ quan tâm đến những gì mà ta ngăn cấm và cho qua tất cả những cái còn lại. Tính toàn cục ( Universal Participation ) Để đạt được hiệu quả cao, hầu hết các hệ thống an toàn đòi hỏi phải có tính toàn cục của các hệ thống cục bộ. Nếu một kẻ nào đó có thể dễ dàng bẻ gãy một cơ chế an toàn thì chúng có thể thành công bằng cách tấn công hệ thống tự do của ai đó rồi tiếp tục tấn công hệ thống nội bộ từ bên trong.
Có rất nhiều hình thức làm cho hỏng an toàn hệ thống và chúng ta cần được báo lại những hiện tượng lạ xảy ra có thể liên quan đến an toàn của hệ thống cục bộ. SVTH: NGUYỄN VÂN DƯƠNG LỚP: ĐIỆN TỬ 05 – K64 Trang 10 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL CHƯƠNG 2 : TỔNG QUAN VỀ FIREWALL 2. Khái niệm Thuật ngữ Firewall có nguồn gốc từ một kỹ thuật thiết kế xây dựng để ngăn chặn, hạn chế hỏa hoạn .Trong công nghệ thông tin, Firewall là một kỹ thuật được tích hợp vào hệ thống mạng để chống sự truy cập trái phép nhằm bảo vệ các nguồn thông tin nội bộ cũng như hạn chế sự xâm nhập vào hệ thống nhằm mục đích phá hoại, gây tổn thất cho tổ chức, doanh nghiệp. Cũng có thể hiểu Firewall là một cơ chế để bảo vệ mạng tin tưởng (trusted network) khỏi các mạng tin tưởng (untrusted network).1: Vị trí Firewall trong mạng doanh nghiệp Theo cách bố trí này thì tất cả các luồng thông tin đi vào mạng nội bộ từ Internet hay ngược lại, đi từ mạng nội bộ ra Internet đều phải qua Firewall.
Nhờ vậy Firewall có thể kiểm soát được các luồng thông tin, từ đó đưa ra các quyết định cho phép hay không cho phép. Cho phép hay không cho phép ở đây là dựa trên chính sách an ninh do người quản trị Firewall đặt ra. Phân loại Firewall Có một số công ty sản xuất sản phẩm Firewall và có hai loại để chọn là Firewall phần cứng và Firewall phần mềm. Firewall phần cứng Về tổng thể, Firewall phần cứng cung cấp mức độ bảo vệ cao hơn so với Firewall phần mềm và dễ bảo trì hơn.
Firewall phần cứng cũng có một ưu điểm khác là không chiếm dụng tài nguyên hệ thống trên máy tính như Firewall phần mềm. SVTH: NGUYỄN VÂN DƯƠNG LỚP: ĐIỆN TỬ 05 – K64 Trang 11 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL Firewall phần cứng là một lựa chọn rất tốt đối với các doanh nghiệp nhỏ, đặc biệt cho những công ty có chia sẻ kết nối Internet. Có thể kết hợp Firewall và một bộ định tuyến trên cùng một hệ thống phần cứng và sử dụng hệ thống này để bảo vệ cho toàn bộ mạng. Firewall phần cứng có thể là một lựa chọn đỡ tốn chi phí hơn so với Firewall phần mềm thường phải cài trên mọi máy tính cá nhân trong mạng.
Firewall phần mềm Nếu không muốn tốn tiền mua Firewall phần cứng thì ta có thể sử dụng Firewall phần mềm. Về giá cả, Firewall phần mềm thường không đắt bằng Firewall phần cứng, thậm chí một số còn miễn phí (phần mềm Comodo Firewall Pro 3.0, PC Tools Firewall Plus 3.) và chúng ta có thể tải về từ mạng Internet. So với Firewall phần cứng, Firewall phần mềm cho phép linh động hơn, nhất là khi cần cài đặt lại các thiết lập cho phù hợp hơn với nhu cầu riêng của từng công ty. Chúng có thể hoạt động tốt trên nhiều hệ thống khác nhau, khác với Firewall phần cứng tích hợp với bộ định tuyến chỉ làm việc tốt trong mạng có quy mô nhỏ.
Firewall phần mềm cũng là một lựa chọn phù hợp đối với máy tính xách tay vì máy tính sẽ vẫn được bảo vệ cho dù mang máy tính đi bất kỳ nơi nào. Các Firewall phần mềm làm việc tốt với Windows XP, Windows 7 và Windows 2010. Chúng là một lựa chọn tốt cho các máy tính đơn lẻ. Các công ty phần mềm khác làm các tường lửa này.
Chúng không cần thiết cho Windows XP bởi vì XP đã có một tường lửa cài sẵn. Ưu điểm và nhược điểm của Firewall Ưu điểm Firewall có thể làm rất nhiều điều cho an ninh của mạng. Thực tế những ưu điểm khi sử dụng Firewall không chỉ ở trong lĩnh vực an ninh. Firewall là điểm tập trung giải quyết các vấn đề an ninh Quan sát vị trị của Firewall trên hình chúng ta thấy đây là một dạng nút thắt.
Firewall cho ta khả năng lớn để bảo vệ mạng nội bộ bởi công việc làm chỉ cần tập trung tại nút thắt này. Việc tập trung giải quyết tại một điểm này còn cho phép có hiệu quả cả về mặt kinh tế. SVTH: NGUYỄN VÂN DƯƠNG LỚP: ĐIỆN TỬ 05 – K64 Trang 12 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL Firewall có thể thiết lập chính sách an ninh Có rất nhiều dịch vụ và mọi người muốn sử dụng vốn đã không an toàn. Firewall đóng vai trò kiểm soát các dịch vụ này.
Nó sẽ thiết lập chính sách an ninh cho phép những dịch vụ thỏa mãn tập luật trên Firewall đang hoạt động. Tùy thuộc vào công nghệ lựa chọn để xây dựng Firewall mà nó có khả năng thực hiện các chính sách an ninh với hiệu quả khác nhau. Firewall có thể ghi lại các hoạt động một cách hiệu quả Do mọi luồng thông tin đều qua Firewall nên đây sẽ là nơi lý tưởng để thu thập các thông tin về hệ thống và mạng sử dụng. Firewall có thể ghi chép lại những gì xảy ra giữa mạng được bảo vệ và mạng bên ngoài.
Nhược điểm Firewall có thể bảo vệ mạng có hiệu quả nhưng nó không phải là tất cả. Firewall cũng tồn tại các nhược điểm của nó. Firewall không thể bảo vệ được nếu có sự tấn công từ bên trong Nếu kẻ tấn công ở phía trong Firewall, thì nó sẽ không thể giúp gì được cho ta. Kẻ tấn công sẽ ăn cắp dữ liệu, phá hỏng phần cứng - phần mềm, sửa đổi chương trình mà Firewall không thể biết được.
Firewall không thể bảo vệ được nếu các cuộc tấn công không đi qua nó Firewall có thể điều khiển một cách hiệu quả các luồng thông tin, nếu như chúng đi qua Firewall. Tuy nhiên, Firewall không thể làm gì nếu như các luồng dữ liệu không đi qua nó.Ví dụ cho phép truy nhập dial-up kết nối vào hệ thống bên trong của Firewall. Khi đó nó sẽ không chống lại được sự tấn công từ kết nối modem. Có thể do việc cài đặt backdoor của người quản trị hay những người sử dụng trình độ cao.
SVTH: NGUYỄN VÂN DƯƠNG LỚP: ĐIỆN TỬ 05 – K64 Trang 13 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL 2. Các chức năng của Firewall Packet Filtering Khái niệm Packet Filtering là một chức năng cơ bản của một Firewall, nó là một kỹ thuật an ninh mạng hoạt động ở tầng mạng, bằng cách điều khiển dữ liệu vào hoặc ra một mạng máy tính. Packet Filtering sẽ định tuyến một cách có chọn lọc các gói tin tùy thuộc theo chính sách an ninh do người quản trị đặt ra. Lọc gói thông thường có tốc độ rất cao bởi nó chỉ kiểm tra phần header của các gói tin mà không kiểm tra phần dữ liệu trong đó.
Vì kĩ thuật gói thường có tốc độ nhanh, mềm dẻo và trong suốt với người dùng nên ngày nay hầu hết các router đều có trang bị khả năng lọc gói. Một router sử dụng bộ lọc gói được gọi là screening router.2: Packet Filtering Như đã giới thiệu ở chương trước thì bất kể một gói tin nào cũng có phần header của nó. Những thông tin trong phần header bao gồm các trường sau : Địa chỉ IP nguồn Địa chỉ IP đích Giao thức hoạt động Cổng TCP (UDP) nguồn Cổng TCP (UDP) đích ICMP message type Bộ lọc gói sẽ dựa vào những thông tin này để đưa ra quyết định cuối cùng cho phép hay không cho phép gói tin đi qua. Ngoài ra, bộ lọc gói còn có thể xác định thêm các thông tin khác không có trong header của gói tin như : CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL SVTH: NGUYỄN VÂN DƯƠNG LỚP: ĐIỆN TỬ 05 – K64 Trang 14 CHƯƠNG 2: TỔNG QUAN VỀ FIREWALL Giao diện mạng mà gói tin từ đó đi tới ( ví dụ trong Linux là eth0 ) Giao diện mạng mà gói tin đi đến ( ví dụ là eth1 ) Trên thực tế thì các Server hoạt động cho các dịch vụ Internet thường tập trung vào một cổng nào đó, do vậy để đơn giản ta chỉ cần cấu hình tập luật lọc gói tin của router theo số hiệu cổng tương ứng là có thể ngăn chặn được các kết nối.
Ví dụ với server HTTP: cổng mặc định là 80, với server FTP : cổng 21. Do vậy với Sreening router thì ngoài chức năng như một router bình thường là dẫn đường cho các gói tin nó còn có khả năng lọc các gói tin đi qua nó. Screening router sẽ đọc gói tin một cách cẩn thận hơn từ đó đưa ra quyết định cho phép hay không cho phép gói tin tới đích.