CHƯƠNG 1 TỔNG QUAN VÀ XU HƯỚNG ĐẢM BẢO AN TOÀN THÔNG TIN, DỮ LIỆU 1.1 GIỚI THIỆU CHUNG 1.1 Tổng quan về an toàn thông tin Ngày nay, khi mà nhu cầu trao đổi thông tin ngày càng lớn và đa dạng, các tiến bộ về điện tử - viễn thông và công nghệ thông tin không ngừng được phát triển ứng dụng để nâng cao chất lượng và lưu lượng truyền tin thì các quan niệm, ý tưởng và các biện pháp bảo vệ thông tin dữ liệu cũng ngày càng được đổi mới. Bảo vệ an toàn thông tin là một chủ đề rộng, có liên quan đến nhiều lĩnh vực và trong thực tế có thể có rất nhiều phương pháp được thực hiện để bảo vệ an toàn thông tin. Các phương pháp bảo đảm an toàn thông tin đó có thể qui tụ vào ba nhóm sau [1]: (1) Bảo đảm an toàn thông tin bằng các biện pháp hành chính. Vấn đề đặt ra hiện nay đối với việc quy hoạch phát triển mạng đảm bảo an toàn thông tin và để đảm bảo an toàn thông tin có hiệu quả thì điều trước tiên là phải quy hoạch mạng làm sao cho việc khai thác, quản lý thật hiệu quả và phải lường trước hoặc dự đoán trước các khả năng không an toàn, các khả năng xâm phạm, các sự cố rủi ro có thể xẩy ra đối với thông tin dữ liệu được lưu trữ và trao đổi trên đường truyền tin cũng như trên mạng.
Xác định càng chính xác các nguy cơ nói trên thì càng quyết định được tốt các giải pháp để giảm thiểu các thiệt hại. Mọi nguy cơ đều phải quan tâm và các vi phạm nhỏ Trang 3 4 thường có xác xuất xảy ra cao và các vụ việc có xác suất xảy ra bé đôi khi lại gây nên những thiệt hại khôn lường. An toàn thông tin, dữ liệu là một chủ đề rất rộng, nó bao hàm việc đảm bảo được năm tiêu chí cơ bản của thông tin, đó là: tính xác thực, tính sẵn sàng, tính bảo mật, tính toàn vẹn và tính chống chối bỏ [1-5]. Đối với mạng máy tính hoặc mạng Internet thì an toàn thông tin bao gồm an toàn dữ liệu, an toàn đối với từng máy tính, an toàn mạng máy tính và an toàn hệ thống.
Có thể gọi chung là an toàn hệ thống công nghệ thông tin. Việc bảo vệ an ninh quốc gia đi đôi với việc bảo vệ an toàn thông tin quốc gia. Hệ thống công nghệ thông tin và truyền thông của mỗi quốc gia, cơ quan, tỉnh thành là tập hợp các hệ thống thông tin của chính phủ - cơ quan hành chính nhà nước, các lĩnh vực kinh tế và các doanh nghiệp và nó được gọi là cơ sở hạ tầng thông tin trọng yếu. Thế giới đã tổng kết 8 cơ sở hạ tầng trọng yếu của mỗi quốc gia [1,2,5] bao gồm: Hạ tầng cho các cơ quan chính phủ; Hệ thống lưu trữ và vận chuyển dầu khí; Hệ thống cung cấp nước; Hệ thống tài chính ngân hàng; Hệ thống giao thông vận tải; Hệ thống năng lượng điện năng; Hệ thống viễn thông; Hệ thống dịch vụ khẩn cấp.
CNTT-TT đã trở thành động lực phát triển của mỗi quốc gia và có vai trò đặc biệt quan trọng trong xu thế “chuyển đổi số” các cơ sở hạ tầng trọng yếu quốc gia. Hiện nay, nhiều thách thức đang đặt ra đối với việc đảm bảo an toàn an ninh mạng. Trong xu thế phát triển và ứng dụng công nghệ thông tin và truyền thông, lợi ích đã trở thành động lực chủ yếu. Trong xu thế phát triển kinh tế - chính trị và trong môi trường cạnh tranh toàn cầu, việc “hại người” cũng là một cách làm “lợi ta”.
Đó cũng là cách các đối thủ cạnh tranh trong các hoạt động kinh tế thương mại sử dụng nhằm phá hoại và tiêu diệt nhau. Các cuộc tấn công qua mạng cũng một phần hướng tới mục tiêu đó. Tuy nhiên, điều đó lại là động lực tạo ra sự “phát triển ngược chiều” với sự phát triển mang lại những lợi ích Trang 4 5 thiết thực của công nghệ thông tin. An toàn và bảo mật trong không gian mạng đã trở thành một nhu cầu bức thiết đối với xã hội.1 biểu thị các thành phần cơ bản trong không gian mạng bao gồm: con người, thiết bị công nghệ, dữ liệu thông tin và môi trường pháp lý.
Dưới góc độ an toàn thông tin, dữ liệu thông tin là đối tượng trọng tâm [2]. Con người Thiết bị Công nghệ Dữ liệu c thông tin Mất an toàn thông Môi trường pháp lý, luật pháp (quy định, quy tin đến từ bất cứ chuẩn.) thành phần nào.1 Các thành phần cơ bản trong môi trường không gian mạng 1.2 Một số khái niệm 1.1 An toàn thông tin (ATTT) ATTT là khả năng bảo vệ đối với môi trường thông tin kinh tế xã hội, đảm bảo cho việc hình thành, sử dụng và phát triển vì lợi ích của mọi công dân, mọi tổ chức và của quốc gia. Đây là một vấn đề hết sức cấp thiết trong thời đại công nghệ thông tin hiện nay. ATTT được xây dựng trên nền tảng một hệ thống các chính sách, quy tắc, quy trình và các giải pháp kỹ thuật nhằm mục đích đảm bảo an toàn tài nguyên thông tin mà tổ chức đó sở hữu cũng như các tài nguyên thông tin của các đối tác, các khách hàng trong một môi trường thông tin toàn cầu [3].
Không thể đảm bảo an toàn 100%, nhưng ta có thể giảm bớt các rủi ro không mong muốn dưới tác động từ mọi phía của các lĩnh vực hoạt động kinh Trang 5 6 tế xã hội. Khi các tổ chức, đơn vị tiến hành đánh giá những rủi ro và cân nhắc kỹ những biện pháp đối phó về ATTT, họ luôn luôn đi đến kết luận: những giải pháp công nghệ (kỹ thuật) đơn lẻ không thể cung cấp đủ sự an toàn. Những sản phẩm Anti-virus, Firewalls và các công cụ khác không thể cung cấp sự an toàn cần thiết cho hầu hết các tổ chức. ATTT là một mắt xích liên kết hai yếu tố: yếu tố công nghệ và yếu tố con người.
+ Yếu tố công nghệ: bao gồm những sản phẩm như Firewall, phần mềm phòng chống virus, giải pháp mật mã, sản phẩm mạng, hệ điều hành và những ứng dụng như: trình duyệt Internet và phần mềm nhận Email từ máy trạm. + Yếu tố con người: là những người sử dụng máy tính, những người làm việc với thông tin và sử dụng máy tính trong công việc của mình. Như vậy, có thể khẳng định vấn đề ATTT phải bắt đầu từ các chính sách trong đó con người là mắt xích quan trọng nhất, bởi vì con người là khâu yếu nhất trong toàn bộ quá trình đảm bảo an toàn thông tin [4]. Hầu như phần lớn các phương thức tấn công được hacker sử dụng là khai thác các điểm yếu của hệ thống thông tin và đa phần các điểm yếu đó rất tiếc lại do con người tạo ra.
Việc nhận thức kém và không tuân thủ các chính sách về ATTT là nguyên nhân chính gây ra tình trạng trên.2 Đối tượng tấn công mạng (Intruder) Là những cá nhân hoặc các tổ chức sử dụng các kiến thức về mạng và các công cụ phá hoại (phần mềm hoặc phần cứng) để dò tìm các điểm yếu, lỗ hổng bảo mật trên hệ thống, thực hiện các hoạt động xâm nhập và chiếm đoạt tài nguyên mạng trái phép. Ví dụ về một số đối tượng tấn công mạng là: - Tin tặc (Hacker): Là những kẻ xâm nhập vào mạng trái phép bằng cách sử dụng các công cụ phá mật khẩu hoặc khai thác các điểm yếu của các thành phần truy nhập trên hệ thống. Trang 6 7 - Kẻ giả mạo (Masquerader): Là những kẻ có hành vi giả mạo thông tin trên mạng. Có một số hình thức như giả mạo địa chỉ IP, tên miền, định danh người dùng.
- Nghe lén (Eavesdropping): Là những đối tượng nghe trộm thông tin trên mạng, sử dụng các công cụ sniffer; sau đó dùng các công cụ phân tích và debug để lấy được các thông tin có giá trị. Những đối tượng tấn công mạng có thể nhằm nhiều mục đích khác nhau như: ăn cắp những thông tin có giá trị về kinh tế, phá hoại hệ thống mạng có chủ định, hoặc cũng có thể chỉ là những hành động vô ý thức, thử nghiệm các chương trình không kiểm tra cẩn thận .3 Các lỗ hổng bảo mật Các lỗ hổng bảo mật là những điểm yếu trên hệ thống hoặc ẩn chứa trong một dịch vụ mà dựa vào đó kẻ tấn công có thể xâm nhập trái phép để thực hiện các hành động phá hoại hoặc chiếm đoạt tài nguyên bất hợp pháp [3, 7]. Nguyên nhân gây ra những lỗ hổng bảo mật là khác nhau: có thể do lỗi của bản thân hệ thống, hoặc phần mềm cung cấp, hoặc do người quản trị yếu kém không hiểu sâu sắc các dịch vụ cung cấp. Mức độ ảnh hưởng của các lỗ hổng là khác nhau.
Có những lỗ hổng chỉ ảnh hưởng tới chất lượng dịch vụ cung cấp, có những lỗ hổng ảnh hưởng nghiêm trọng tới toàn bộ hệ thống .4 Chính sách bảo mật Là tập hợp các qui tắc áp dụng cho mọi đối tượng có tham gia quản lý và sử dụng các tài nguyên và dịch vụ mạng [4]. Mục tiêu của chính sách bảo mật giúp người sử dụng biết được trách nhiệm của mình trong việc bảo vệ các tài nguyên thông tin trên mạng, đồng Trang 7 8 thời giúp các nhà quản trị thiết lập các biện pháp bảo đảm hữu hiệu trong quá trình trang bị, cấu hình, kiểm soát hoạt động của hệ thống và mạng. Một chính sách bảo mật được coi là hoàn hảo nếu nó xây dựng gồm các văn bản pháp qui, kèm theo các công cụ bảo mật hữu hiệu và nhanh chóng giúp người quản trị phát hiện, ngăn chặn các xâm nhập trái phép.3 Các nguy cơ hiểm họa và lỗ hổng an ninh 1.1 Nguy cơ, hiểm họa Nhu cầu sử dụng máy tính, mạng, nhu cầu về thương mại điện tử càng tăng thì nguy cơ mất an toàn thông tin, dữ liệu ngày càng gia tăng [7]. Dự báo trong tương lai, giới chuyên môn nhận định tình hình an toàn thông tin còn nóng hơn những năm qua do việc ứng dụng công nghệ thông tin (CNTT) ngày càng mạnh mẽ trong bối cảnh nhận thức và hành lang pháp lý chưa theo kịp.
Kỹ nghệ tin tặc cao siêu hơn, phức tạp hơn, phát tán nhanh hơn, bùng phát mạnh hơn theo nhịp độ phát triển của CNTT. Tiếp tục xuất hiện nhiều biến thể virus mới, tội phạm an ninh mạng sẽ chuyên nghiệp và tinh vi hơn, mạng xã hội sẽ là đích ngắm mới của hacker.