CHƯƠNG 1: AN NINH MẠNG MÁY TÍNH 1.1 Các nguyên tắc nền tảng của an ninh mạng An ninh mạng máy tính (network sevurity) là tổng thể các giải pháp về mặt tổ chức và kỹ thuật nhằm ngăn cản mọi nguy cơ tổn hại đến mạng. Các tồn hại có thể xảy ra do: - Lỗi của người sử dụng. - Các lỗ hổng trong các hệ điều hành cũng như các chương trình ứng dụng. - Các hành động hiểm độc.
- Các lỗi phần cứng. - Các nguyên nhân khác từ tự nhiên. An ninh mạng máy tính bao gồm vo số các phương pháp được sử dụng để ngăn cản các sự kiện trên, nhưng trước hết tập trung vào việc ngăn cản: - Lỗi của người sử dụng. - Các hành động hiểm độc.
Số lượng các mạng máy tính tăng lên rất nhanh. Ngày càng trở thành phức tạp và phải thực hiện các nhiệm vụ quan trọng hơn. Mang lại những thách thức mới cho những ai sử dụng và quản lý chúng. Sự cần thiết phải hội nhập các dịch vụ vào cùng một hạ tầng cơ sở mạng tất cả trong một là một điều hiển nhiên, làm phát sinh nhanh chóng việc các công nghệ đưa vào các sản phẩm có liên quan đến an ninh còn non nớt.
Do các nhà quản lý mạng phải cố gắng triển khai những công nghệ mới nhất vào hạ tầng cơ sở mạng của mình. Nên an ninh mạng trở thành một chức năng then chốt trong việc xây dựng và duy trì các mạng hiện đại của mọi tổ chức. Trần Văn Quyết – CT1901M 7 Luan van Nghiên cứu triển khai giải pháp đảm bảo an ninh mạng trên nền Pfsense Đồ án tốt nghiệp Các nguyên tắc nền tảng : - Tính bí mật. - Tính toàn vẹn.
- Tính sẵn sàng. Tùy thuộc vào ứng dụng và hoàn cảnh cụ thể, mà một trong ba nguyên tắc này sẽ quan trọng hơn những cái khác.1 Mô hình CIA Confidentiality (tính bảo mật), Integrity (tính toàn vẹn), Availability (tính sẵn sàng), được gọi là: Mô hình bộ ba CIA. Ba nguyên tắc cốt lõi này phải dẫn đường cho tất cả các hệ thống an ninh mạng. Bộ ba CIA cũng cung cấp một công cụ đo (tiêu chuẩn để đánh giá) đối với các thực hiện an ninh.
Mọi vi phạm bất kỳ một trong ba nguyên tắc này đều có thể gây hậu quả nghiêm trọng đối với tất cả các thành phần có liên quan. Hình 1-1 Mô hình CIA 1.1 Tính bí mật Bí mật là sự ngăn ngừa việc tiết lộ trái phép những thông tin quan trọng, nhạy cảm. Đó là khả năng đảm bảo mức độ bí mật cần thiết được tuân thủ và thông tin quan trọng, nhạy cảm đó được che giấu với người dùng không được Trần Văn Quyết – CT1901M 8 Luan van Nghiên cứu triển khai giải pháp đảm bảo an ninh mạng trên nền Pfsense Đồ án tốt nghiệp cấp phép. Đối với an ninh mạng thì tính bí mật rõ ràng là điều đầu tiên được nói đến và nó thường xuyên bị tấn công nhất.2 Tính toàn vẹn Toàn vẹn là sự phát hiện và ngăn ngừa việc sửa đổi trái phép về dữ liệu, thông tin và hệ thống, do đó đảm bảo được sự chính xác của thông tin và hệ thống.
Có ba mục đích chính của việc đảm bảo tính toàn vẹn: - Ngăn cản sự làm biến dạng nội dung thông tin của những người sử dụng không được phép. - Ngăn cản sự làm biến dạng nội dung thông tin không được phép hoặc không chủ tâm của những người sử dụng được phép. - Duy trì sự toàn vẹn dữ liệu cả trong nội bộ và bên ngoài.3 Tính sẵn sàng Tính sẵn sàng bảo đảm các người sử dụng hợp pháp của hệ thống có khả năng truy cập đúng lúc và không bị ngắt quãng tới các thông tin trong hệ thống và tới mạng. Tính sẵn sàng có liên quan đến độ tin cậy của hệ thống.2 Mô hình bộ ba an ninh Một mô hình rất quan trọng có liên quan trực tiếp đến quá trình phát triển và triển khai của mọi tổ chức là mô hình bộ ba an ninh (security trinity).
Ba khía cạnh của mô hình bộ ba an ninh là: - sự phát hiện (Detection). - sự ngăn chặn (Prevention). - sự phản ứng (Response). Chúng kết hợp thành các cơ sở của an ninh mạng.
Trần Văn Quyết – CT1901M 9 Luan van Nghiên cứu triển khai giải pháp đảm bảo an ninh mạng trên nền Pfsense Đồ án tốt nghiệp Hình 1-2 Mô hình bộ ba an toàn 1.1 Sự ngăn chặn Nền tảng của bộ ba an ninh là sự ngăn chặn. Nó cung cấp mức độ an ninh cần thiết nào đó để thực hiện các biện pháp ngăn chặn sự khai thác các lỗ hổng. Trong khi phát triển các giải pháp an ninh mạng, các tổ chức cần phải nhấn mạnh vào các biện pháp ngăn chặn hơn là vào sự phát hiện và sự phản ứng vì sẽ là dễ dàng, hiệu quả và có giá trị nhiều hơn để ngăn chặn một sự vi phạm an ninh hơn là thực hiện phát hiện hoặc phản ứng với nó.2 Sự phát hiện Cần có các biện pháp cần thiết để thực hiện phát hiện các nguy cơ hoặc sự vi phạm an ninh trong trường hợp các biện pháp ngăn chặn không thành công. Một sự vi phạm được phát hiện sớm sẽ dễ dàng hơn để làm mất tác hại và khắc phục nó.
Như vậy, sự phát hiện không chỉ được đánh giá về mặt khả năng, mà còn về mặt tốc độ, tức là phát hiện phải nhanh.3 Sự phản ứng Phải phát triển một kế hoạch để đưa ra phản ứng phù hợp đối với một số lỗ hổng an ninh. Kế hoạch đó phải được viết thành văn bản và phải xác định ai là người chịu trách nhiệm cho các hành động nào và khi thay đổi các phản ứng và các mứcđộ cần tăng cường. Tính năng phản ứng của một hệ thống an Trần Văn Quyết – CT1901M 10 Luan van Nghiên cứu triển khai giải pháp đảm bảo an ninh mạng trên nền Pfsense Đồ án tốt nghiệp ninh không chỉ là năng lực, mà còn là vấn đề tốc độ.Ngày nay các cuộc tấn công mạng rất đa dạng, sẽ không thể đoán chắc được chúng sẽ xảy ra khi nào, ở đâu, dạng nào và hậu quả của chúng. Vì vậy để đảm bảo an ninh cho một mạng thì cần: - Phát hiện nhanh.
- Phản ứng nhanh. - Ngăn chặn thành công mọi hình thức tấn công. Đây là một nhiệm vụ hết sức khó khăn cho các nhà quản lý và các nhà cung cấp dịch vụ mạng.2 Các nguy cơ mất an ninh mạng 1.1 Các nguy cơ - Các người bên ngoài và các hacker. - Các người đang làm việc trong công ty.
- Các ứng dụng mà cán bộ và nhân viên của công ty sử dụng để thực hiện các nhiệm vụ thương mại của họ. - Các hệ điều hành chạy trên các máy tính cá nhân, các máy chủ, cũng như các thiết bị khác. - Hạ tầng cơ sở mạng được sử dụng để truyền tải dữ liệu qua mạng, như là các bộ định tuyến (router), các bộ chuyển mạch (switch), các bộ tập trung (hub), các bức tường lửa (firewall) và các thiết bị khác. - Sử dụng cách tiếp cận phân chia và chinh phục (divide-and-conquer).
- Các điểm yếu trong việc hoạch định chính sách. - Các điểm yếu trong các công nghệ máy tính. - Các điểm yếu trong các cấu hình thiết bị. Trần Văn Quyết – CT1901M 11 Luan van Nghiên cứu triển khai giải pháp đảm bảo an ninh mạng trên nền Pfsense Đồ án tốt nghiệp 1.2 Các điểm yếu trong giao thức mạng - Các điểm yếu trong giao thức mạng có liên quan đến các lỗ hổng trong các giao thức mạng đang vận hành và các ứng dụng sử dụng các giao thức này.
- Một bộ giao thức phổ biến và được sử dụng nhiều nhất trên mạng là TCP/IP. TCP/IP là một bộ các giao thức, bao gồm các giao thức IP, TCP, UDP, ICMP, OSPF, IGRP, EIGRP, ARP, RARP, ….3 Các điểm yếu trong hệ điều hành Mỗi một hệ điều hành đang sử dụng đều có một hoặc nhiều các lỗ hổng an ninh trong đó. Đây là một sự thật hiển nhiên của các hệ điều hành được sử dụng rộng rãi, vì thế các hacker hướng vào các lỗ hổng này để tấn công.4 Các điểm yếu trong thiết bị mạng Các điểm yếu trong các thiết bị mạng được xem là các nguy cơ an ninh dễ bị tổn thương (bị tấn công) đối với các thiết bị mạng như là các router, các switch, các firewall, …, chúng cũng hoạt động dựa trên các hệ điều hành.5 Các điểm yếu trong các cấu hình thiết bị Các điểm yếu trong các cấu hình thiết bị là một trong các vấn đề an ninh khó giải quyết nhất, bởi vì các điểm yếu này có liên quan trực tiếp đến các lỗi do con người vô tình gây ra khi cấu hình thiết bị hoặc không hiểu được thiết bị cần phải cấu hình như thế nào. Phải quan tâm tới các mật khẩu: - Các mật khẩu có dễ dàng đoán ra không ? - Các mật khẩu có thường xuyên được thay đổi không ? - Các mật khẩu có truyền qua mạng trong dạng bản rõ không ? 1.3 Giải pháp kỹ thuật trong lập kế hoạch an ninh mạng 1.1 Sử dụng các nền tảng khác nhau Một trong các vấn đề khó khăn nhất mà sẽ phải đối mặt khi thiết kế một giải pháp an ninh là khi cố gắng tìm kiếm một giải pháp “một phù hợp cho tất Trần Văn Quyết – CT1901M 12 Luan van Nghiên cứu triển khai giải pháp đảm bảo an ninh mạng trên nền Pfsense Đồ án tốt nghiệp cả” (one-sizefits-all), hay nói một cách khác là việc cố gắng tích hợp tất cả các sản phẩm an ninh mạng chỉ từ một nhà cung cấp, với hệ thống quản lý mà nó dễ dàng cho phép thực hiện các chính sách an ninh thông qua tất cả các sản phẩm an ninh của mình.
Vì thế, giải pháp an ninh phải chứa đựng nhiều dạng thiết bị phần cứng, cũng như các ứng dụng phần mềm. Sau đây đưa ra một danh sách nhỏ của một vài dạng thiết bị mà giải pháp an ninh có liên quan đến: - Các máy tính để bàn và các máy tính xách tay chạy các hệ điều hành Windows 2000, 2003, XP, Vista, 7, cũng như các hệ điều hành UNIX, Macintosh…. - Các máy chủ chạy các hệ điều hành Windows NT, 2000, 2003, NetWare, Linux, Solaris, HP-UX, …. - Các máy tính lớn (Maiframe) chạy Multiple Virtual Storage (MVS) và Vitual Machine (VM); - Các thiết bị định tuyến của các hãng Cisco, Juniper, Nortel, Lucent,….
- Các thiết bị chuyển mạch của các hãng Cisco, Foundry, Extreme, ….