Luận văn thạc sĩ nghiên cứu bảo mật hệ thống thông tin và đề xuất giải pháp bảo mật cho hệ thống thông tin thư viện của trường đại học tài nguyên môi trường hà nội

Luận văn thạc sĩ nghiên cứu bảo mật hệ thống thông tin và đề xuất giải pháp bảo mật cho thư viện trường Đại học Tài nguyên và Môi trường Hà Nội.

• Tác giả: Trần Minh Thắng
• Người hướng dẫn: TS. Phùng Văn Ổn
• Trường học: Đại học Tài nguyên và Môi trường Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Giải Pháp Bảo Mật Cho Hệ Thống Thông Tin Thư Viện Tại Đại Học Tài Nguyên Và Môi Trường Hà Nội
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2014
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT HỆ THỐNG THÔNG TIN
• 1.1. Các khái niệm và định nghĩa. Những yêu cầu của bảo mật hệ thống thông tin. Các mối đe doạ và các hình thức tấn công hệ thống
• 1.2. CÁC BIỆN PHÁP BẢO MẬT HỆ THỐNG THÔNG TIN
• 1.3. ĐỀ XUẤT GIẢI PHÁP BẢO MẬT CHO HỆ THỐNG THÔNG TIN THƯ VIỆN TRƯỜNG ĐẠI HỌC TÀI NGUYÊN VÀ MÔI TRƯỜNG HÀ NỘI
• 2. KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về bảo mật hệ thống thông tin

Bảo mật hệ thống thông tin là một lĩnh vực quan trọng trong công nghệ thông tin, đặc biệt trong bối cảnh internet phát triển mạnh mẽ. Hệ thống thông tin bao gồm phần cứng, phần mềm, mạng, dữ liệu và con người, tất cả đều có vai trò quan trọng trong việc thu thập, xử lý và lưu trữ thông tin. Bảo mật thông tin không chỉ bảo vệ dữ liệu khỏi việc truy cập trái phép mà còn đảm bảo tính toàn vẹn và sẵn sàng của thông tin. Các yêu cầu bảo mật bao gồm tính bí mật, tính toàn vẹn, tính sẵn sàng và tính chống chối bỏ. Mỗi yêu cầu này đều có vai trò quan trọng trong việc bảo vệ thông tin và hệ thống khỏi các mối đe dọa từ bên ngoài. Theo thống kê từ CERT, số vụ tấn công mạng ngày càng gia tăng, cho thấy sự cần thiết phải có các biện pháp bảo mật hiệu quả.

1.1. Các khái niệm và định nghĩa

Hệ thống thông tin được định nghĩa là một hệ thống bao gồm các yếu tố như phần cứng, phần mềm, mạng và dữ liệu, có nhiệm vụ thu thập và xử lý thông tin. Bảo mật hệ thống thông tin là việc bảo vệ hệ thống khỏi các hành vi truy cập trái phép, chỉnh sửa hoặc phá hủy thông tin. Các mối đe dọa đến từ nhiều nguồn khác nhau, bao gồm cả con người và công nghệ. Việc hiểu rõ các khái niệm này là rất quan trọng để xây dựng một hệ thống bảo mật hiệu quả.

1.2. Các mối đe dọa và hình thức tấn công

Các mối đe dọa đối với hệ thống thông tin có thể đến từ nhiều nguồn khác nhau, bao gồm lỗi của người dùng, kiến trúc hệ thống và phần cứng. Hình thức tấn công có thể là tấn công trực tiếp, kỹ thuật đánh lừa, hoặc tấn công từ chối dịch vụ. Những hình thức này có thể gây ra thiệt hại nghiêm trọng cho hệ thống, làm mất mát dữ liệu và ảnh hưởng đến hoạt động của tổ chức. Việc nhận diện và phòng ngừa các mối đe dọa này là rất cần thiết để bảo vệ thông tin.

II. Các biện pháp bảo mật hệ thống thông tin

Để bảo vệ hệ thống thông tin, cần áp dụng nhiều biện pháp bảo mật khác nhau. Các biện pháp này bao gồm chính sách bảo mật, cơ chế kiểm soát truy cập, và các công nghệ bảo mật như tường lửa và hệ thống phát hiện xâm nhập. Chính sách bảo mật cần được xây dựng rõ ràng và cụ thể, nhằm ngăn chặn các hành vi vi phạm. Hệ thống kiểm soát truy cập giúp đảm bảo chỉ những người có thẩm quyền mới có thể truy cập vào thông tin nhạy cảm. Việc sử dụng các công nghệ bảo mật hiện đại như mã hóa và chữ ký điện tử cũng rất quan trọng trong việc bảo vệ dữ liệu.

2.1. Chính sách và cơ chế bảo mật

Chính sách bảo mật là một phần không thể thiếu trong việc bảo vệ thông tin. Nó xác định các quy tắc và quy định mà người dùng phải tuân thủ. Cơ chế bảo mật bao gồm các biện pháp kỹ thuật như mã hóa và kiểm soát truy cập. Việc thực hiện chính sách bảo mật một cách nghiêm ngặt sẽ giúp giảm thiểu rủi ro và bảo vệ thông tin hiệu quả hơn.

2.2. Công nghệ bảo mật

Công nghệ bảo mật đóng vai trò quan trọng trong việc bảo vệ hệ thống thông tin. Các công nghệ như tường lửa, hệ thống phát hiện xâm nhập (IDS), và mã hóa dữ liệu giúp ngăn chặn các cuộc tấn công từ bên ngoài. Việc áp dụng các công nghệ này không chỉ giúp bảo vệ thông tin mà còn tăng cường độ tin cậy của hệ thống. Các tổ chức cần thường xuyên cập nhật và nâng cấp công nghệ bảo mật để đối phó với các mối đe dọa mới.

III. Đề xuất giải pháp bảo mật cho hệ thống thông tin thư viện

Đối với hệ thống thông tin thư viện tại Đại học Tài nguyên và Môi trường Hà Nội, việc áp dụng các giải pháp bảo mật là rất cần thiết. Các giải pháp này bao gồm nâng cấp phần cứng, đào tạo nhân lực, và bảo vệ dữ liệu. Đề xuất giải pháp cần được thực hiện một cách đồng bộ và có kế hoạch rõ ràng. Việc nâng cấp phần cứng giúp cải thiện hiệu suất và khả năng bảo mật của hệ thống. Đào tạo nhân lực là yếu tố quan trọng để nâng cao nhận thức về bảo mật thông tin trong tổ chức.

3.1. Nâng cấp phần cứng và phần mềm

Nâng cấp phần cứng và phần mềm là một trong những giải pháp quan trọng để bảo vệ hệ thống thông tin thư viện. Việc sử dụng các thiết bị hiện đại và phần mềm bảo mật tiên tiến sẽ giúp tăng cường khả năng phòng ngừa các cuộc tấn công. Các thiết bị như tường lửa và hệ thống phát hiện xâm nhập cần được triển khai để bảo vệ thông tin một cách hiệu quả.

3.2. Đào tạo nhân lực và nâng cao nhận thức

Đào tạo nhân lực là một yếu tố không thể thiếu trong việc bảo vệ thông tin. Nhân viên cần được trang bị kiến thức về bảo mật thông tin và các biện pháp phòng ngừa. Việc nâng cao nhận thức về bảo mật sẽ giúp giảm thiểu rủi ro và đảm bảo an toàn cho hệ thống. Các chương trình đào tạo định kỳ cần được tổ chức để cập nhật kiến thức mới cho nhân viên.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ thông tin và sự gia tăng nhanh chóng các vụ tấn công mạng, bảo mật hệ thống thông tin trở thành một vấn đề cấp thiết. Theo báo cáo của tổ chức CERT, số vụ tấn công mạng ngày càng tăng mạnh, gây ra nhiều thiệt hại về dữ liệu và tài nguyên thông tin. Đặc biệt, các hệ thống thông tin trong các tổ chức giáo dục như thư viện đại học cũng không tránh khỏi nguy cơ bị xâm nhập và tấn công. Luận văn tập trung nghiên cứu bảo mật hệ thống thông tin và đề xuất giải pháp bảo mật cho hệ thống thông tin Thư viện của Trường Đại học Tài nguyên Môi trường Hà Nội, nhằm đảm bảo tính ổn định, an toàn và bảo vệ dữ liệu quan trọng của thư viện.

Mục tiêu nghiên cứu cụ thể bao gồm: phân tích các mối đe dọa và hình thức tấn công phổ biến đối với hệ thống thông tin thư viện; đánh giá ưu nhược điểm của hệ thống hiện tại; đề xuất các giải pháp bảo mật phù hợp về phần cứng, con người và dữ liệu; triển khai chữ ký số và dịch vụ chứng thực nhằm nâng cao tính bảo mật. Nghiên cứu được thực hiện trong phạm vi hệ thống thông tin thư viện của Trường Đại học Tài nguyên Môi trường Hà Nội, với dữ liệu thu thập trong năm 2014.

Ý nghĩa của nghiên cứu thể hiện qua việc góp phần nâng cao an toàn thông tin trong môi trường giáo dục, bảo vệ tài nguyên số và thông tin người dùng, đồng thời làm cơ sở cho việc áp dụng các giải pháp bảo mật hiện đại trong các hệ thống thông tin tương tự. Các chỉ số đánh giá hiệu quả bao gồm giảm thiểu các sự cố an ninh, tăng cường khả năng phát hiện và ngăn chặn tấn công, đảm bảo tính sẵn sàng và toàn vẹn dữ liệu.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình bảo mật hệ thống thông tin nền tảng, bao gồm:

• Mô hình bảo mật CIA: Tập trung vào ba yếu tố cốt lõi là Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability). Đây là cơ sở để xây dựng các chính sách và cơ chế bảo mật cho hệ thống.

• Chiến lược bảo mật AAA: Gồm ba thành phần Access Control (Điều khiển truy xuất), Authentication (Xác minh) và Auditing (Kiểm tra). Chiến lược này giúp thực thi chính sách bảo mật một cách hiệu quả, đảm bảo chỉ người dùng hợp lệ được truy cập tài nguyên và các hoạt động được giám sát chặt chẽ.

• Mô hình điều khiển truy xuất: Bao gồm ba mô hình chính là Mandatory Access Control (MAC), Discretionary Access Control (DAC) và Role Based Access Control (RBAC). Mỗi mô hình có đặc điểm và ứng dụng riêng, phối hợp để tăng cường an toàn cho hệ thống.

• Các kỹ thuật bảo mật kỹ thuật số: Tường lửa (Firewall), Hệ thống phát hiện xâm nhập (IDS), Mã hóa đối xứng và bất đối xứng, Hàm băm mật mã học (MD5, SHA), Chữ ký điện tử và dịch vụ chứng thực số. Những công nghệ này tạo thành lớp bảo vệ kỹ thuật cho hệ thống thông tin.

Các khái niệm chính được sử dụng trong nghiên cứu gồm: hệ thống thông tin, bảo mật hệ thống thông tin, tấn công từ chối dịch vụ (DoS, DDoS), kỹ thuật tấn công xã hội (Social Engineering), mã hóa khóa công khai (RSA, ElGamal), hàm băm mật mã học, chữ ký số và chính sách bảo mật.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa nghiên cứu lý thuyết và thực nghiệm:

• Nguồn dữ liệu: Thu thập dữ liệu từ hệ thống thông tin thư viện Trường Đại học Tài nguyên Môi trường Hà Nội, bao gồm cấu trúc hệ thống, thiết bị phần cứng, phần mềm, chính sách bảo mật hiện hành và các sự cố an ninh đã xảy ra. Ngoài ra, nghiên cứu tham khảo các tài liệu chuyên ngành, tiêu chuẩn bảo mật, và các công trình nghiên cứu liên quan.

• Phương pháp phân tích: Phân tích các mối đe dọa, điểm yếu của hệ thống hiện tại thông qua đánh giá cấu trúc mạng, chính sách truy cập, và các kỹ thuật bảo mật đang áp dụng. Sử dụng mô hình AAA để đánh giá hiệu quả kiểm soát truy cập và xác minh người dùng. Áp dụng các thuật toán mã hóa và hàm băm để đề xuất giải pháp bảo mật dữ liệu.

• Timeline nghiên cứu: Quá trình nghiên cứu kéo dài trong năm 2014, bắt đầu từ việc khảo sát thực trạng hệ thống, phân tích lý thuyết, đề xuất giải pháp, đến triển khai thử nghiệm và đánh giá hiệu quả.

• Cỡ mẫu và chọn mẫu: Nghiên cứu tập trung vào hệ thống thông tin thư viện của một trường đại học cụ thể, do đó cỡ mẫu là toàn bộ hệ thống và người dùng liên quan trong phạm vi đó. Phương pháp chọn mẫu là khảo sát toàn diện nhằm đảm bảo tính đại diện và chính xác của dữ liệu.

Phương pháp nghiên cứu đảm bảo tính khoa học, thực tiễn và khả năng áp dụng cao cho các hệ thống thông tin tương tự.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Mức độ rủi ro bảo mật cao do nhiều hình thức tấn công: Hệ thống thông tin thư viện hiện tại chịu nhiều mối đe dọa như tấn công từ chối dịch vụ (DoS, DDoS), tấn công giả mạo địa chỉ IP, chèn mã lệnh độc hại, khai thác lỗ hổng phần mềm và lỗi cấu hình không an toàn. Theo ước tính, hơn 60% các sự cố an ninh trong hệ thống liên quan đến các hình thức tấn công này.

2. Hạn chế trong chính sách và cơ chế bảo mật hiện hành: Hệ thống chưa áp dụng đầy đủ các mô hình điều khiển truy xuất như RBAC, dẫn đến việc phân quyền chưa chặt chẽ, dễ bị truy cập trái phép. Chỉ khoảng 40% người dùng được xác minh đa yếu tố, làm tăng nguy cơ bị tấn công qua kỹ thuật đánh lừa (Social Engineering).

3. Thiếu các thiết bị và phần mềm bảo mật hiện đại: Hệ thống chưa triển khai đầy đủ tường lửa kiểm soát trạng thái (stateful firewall) và hệ thống phát hiện xâm nhập (IDS). Việc này làm giảm khả năng phát hiện và ngăn chặn các cuộc tấn công mạng phức tạp. Chỉ có khoảng 30% lưu lượng mạng được giám sát qua các công cụ bảo mật.

4. Chưa áp dụng rộng rãi các kỹ thuật mã hóa và chữ ký số: Dữ liệu truyền tải và lưu trữ chưa được mã hóa toàn diện, đặc biệt là các thông tin nhạy cảm như thông tin cá nhân người dùng và tài liệu số. Việc sử dụng chữ ký điện tử và dịch vụ chứng thực số còn hạn chế, chưa đảm bảo tính toàn vẹn và xác thực dữ liệu.

Thảo luận kết quả

Nguyên nhân chính của các hạn chế trên xuất phát từ việc thiếu đồng bộ trong chính sách bảo mật, hạn chế về nguồn lực đầu tư phần cứng và phần mềm bảo mật, cũng như nhận thức chưa đầy đủ của người dùng và quản trị viên. So với các nghiên cứu trong ngành, kết quả này tương đồng với thực trạng chung của nhiều hệ thống thông tin trong các tổ chức giáo dục tại Việt Nam.

Việc chưa áp dụng mô hình RBAC và xác minh đa yếu tố làm tăng nguy cơ truy cập trái phép, trong khi thiếu các thiết bị như IDS và tường lửa kiểm soát trạng thái làm giảm khả năng phát hiện sớm các cuộc tấn công. Các kỹ thuật mã hóa như RSA, AES, cùng hàm băm MD5, SHA được khuyến nghị áp dụng để nâng cao bảo mật dữ liệu.

Dữ liệu có thể được trình bày qua biểu đồ phân bố các loại tấn công, bảng đánh giá mức độ bảo mật hiện tại theo các tiêu chí CIA, và sơ đồ kiến trúc hệ thống đề xuất giải pháp bảo mật. Những kết quả này nhấn mạnh tầm quan trọng của việc triển khai đồng bộ các giải pháp kỹ thuật và chính sách quản lý để bảo vệ hệ thống thông tin thư viện.

Đề xuất và khuyến nghị

1. Triển khai mô hình điều khiển truy xuất RBAC kết hợp xác minh đa yếu tố

   • Mục tiêu: Tăng cường kiểm soát truy cập, giảm thiểu truy cập trái phép.
   • Thời gian: 6 tháng.
   • Chủ thể thực hiện: Ban quản trị hệ thống và phòng CNTT trường đại học.

2. Lắp đặt và cấu hình tường lửa kiểm soát trạng thái (stateful firewall) và hệ thống phát hiện xâm nhập (IDS)

   • Mục tiêu: Nâng cao khả năng giám sát, phát hiện và ngăn chặn các cuộc tấn công mạng.
   • Thời gian: 4 tháng.
   • Chủ thể thực hiện: Đơn vị quản lý mạng và an ninh thông tin.

3. Áp dụng mã hóa dữ liệu toàn diện với thuật toán AES cho lưu trữ và RSA cho truyền tải

   • Mục tiêu: Bảo vệ tính bí mật và toàn vẹn dữ liệu trong hệ thống.
   • Thời gian: 5 tháng.
   • Chủ thể thực hiện: Phòng phát triển phần mềm và quản trị hệ thống.

4. Triển khai chữ ký số và dịch vụ chứng thực số cho các tài liệu và giao dịch điện tử trong thư viện

   • Mục tiêu: Đảm bảo tính xác thực, chống chối bỏ và toàn vẹn dữ liệu.
   • Thời gian: 6 tháng.
   • Chủ thể thực hiện: Ban lãnh đạo thư viện phối hợp với phòng CNTT.

5. Tổ chức đào tạo nâng cao nhận thức bảo mật cho người dùng và quản trị viên

   • Mục tiêu: Tăng cường ý thức bảo mật, giảm thiểu rủi ro do lỗi con người.
   • Thời gian: Định kỳ hàng năm.
   • Chủ thể thực hiện: Phòng đào tạo và phòng CNTT.

Các giải pháp trên cần được triển khai đồng bộ, có kế hoạch giám sát và đánh giá hiệu quả thường xuyên để đảm bảo hệ thống thông tin thư viện hoạt động an toàn, ổn định.

Đối tượng nên tham khảo luận văn

1. Quản trị viên hệ thống và chuyên viên an ninh mạng

   • Lợi ích: Nắm bắt các kỹ thuật bảo mật hiện đại, mô hình kiểm soát truy cập và giải pháp phòng chống tấn công mạng.
   • Use case: Áp dụng trong quản lý và bảo vệ hệ thống thông tin của tổ chức.

2. Nhà quản lý và lãnh đạo các tổ chức giáo dục

   • Lợi ích: Hiểu rõ tầm quan trọng của bảo mật thông tin trong môi trường giáo dục, từ đó đầu tư và xây dựng chính sách phù hợp.
   • Use case: Lập kế hoạch phát triển hạ tầng CNTT an toàn.

3. Sinh viên và nghiên cứu sinh ngành Công nghệ Thông tin, Kỹ thuật Phần mềm

   • Lợi ích: Học tập các kiến thức chuyên sâu về bảo mật hệ thống thông tin, mã hóa và chữ ký số.
   • Use case: Tham khảo để phát triển đề tài nghiên cứu hoặc ứng dụng thực tế.

4. Nhà phát triển phần mềm và kỹ sư hệ thống

   • Lợi ích: Áp dụng các thuật toán mã hóa, thiết kế hệ thống bảo mật tích hợp và triển khai các giải pháp bảo mật hiệu quả.
   • Use case: Phát triển phần mềm quản lý thư viện hoặc các hệ thống thông tin tương tự.

Câu hỏi thường gặp

1. Bảo mật hệ thống thông tin là gì và tại sao nó quan trọng?
   Bảo mật hệ thống thông tin là việc bảo vệ hệ thống khỏi truy cập, sử dụng, chỉnh sửa hoặc phá hoại trái phép. Nó quan trọng vì giúp bảo vệ dữ liệu, đảm bảo hoạt động liên tục và tránh thiệt hại về tài chính và uy tín. Ví dụ, một hệ thống thư viện bị tấn công có thể mất dữ liệu người dùng hoặc ngưng hoạt động.

2. Mô hình CIA gồm những yếu tố nào?
   Mô hình CIA gồm Tính bí mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability). Đây là ba yếu tố cơ bản để đánh giá mức độ an toàn của hệ thống thông tin. Ví dụ, dữ liệu phải được bảo mật khỏi truy cập trái phép, không bị thay đổi sai lệch và luôn sẵn sàng khi cần.

3. Chiến lược AAA trong bảo mật là gì?
   AAA gồm Access Control (Điều khiển truy xuất), Authentication (Xác minh) và Auditing (Kiểm tra). Đây là chiến lược giúp xác định ai được phép truy cập, xác minh danh tính người dùng và theo dõi các hoạt động để phát hiện vi phạm. Ví dụ, hệ thống thư viện chỉ cho phép sinh viên đăng nhập sau khi xác minh mật khẩu và ghi lại nhật ký truy cập.

4. Tường lửa kiểm soát trạng thái khác gì so với tường lửa lọc gói?
   Tường lửa kiểm soát trạng thái theo dõi trạng thái kết nối và chỉ cho phép các gói dữ liệu thuộc kết nối hợp lệ đi qua, trong khi tường lửa lọc gói chỉ dựa trên thông tin tiêu đề gói mà không theo dõi trạng thái. Điều này giúp tường lửa kiểm soát trạng thái hiệu quả hơn trong việc ngăn chặn tấn công.

5. Chữ ký điện tử hoạt động như thế nào?
   Chữ ký điện tử sử dụng hệ thống mã hóa khóa công khai, trong đó người ký dùng khóa bí mật để tạo chữ ký, còn người nhận dùng khóa công khai để xác minh. Điều này đảm bảo tính xác thực và toàn vẹn của tài liệu số. Ví dụ, một hợp đồng điện tử được ký số sẽ không thể bị giả mạo hoặc chỉnh sửa mà không bị phát hiện.

Kết luận

• Luận văn đã phân tích chi tiết các mối đe dọa và hình thức tấn công phổ biến đối với hệ thống thông tin thư viện đại học, đồng thời đánh giá thực trạng bảo mật hiện tại.
• Đã đề xuất các giải pháp bảo mật toàn diện bao gồm mô hình truy cập RBAC, xác minh đa yếu tố, tường lửa kiểm soát trạng thái, IDS, mã hóa dữ liệu và chữ ký số.
• Nghiên cứu góp phần nâng cao nhận thức và kỹ năng bảo mật cho các tổ chức giáo dục, đồng thời làm cơ sở cho việc triển khai các hệ thống bảo mật tương tự.
• Các giải pháp đề xuất có thể được triển khai trong vòng 4-6 tháng với sự phối hợp của các phòng ban liên quan.
• Khuyến khích các tổ chức tiếp tục đào tạo, cập nhật công nghệ và đánh giá định kỳ để duy trì an toàn hệ thống thông tin.

Hành động tiếp theo là xây dựng kế hoạch triển khai chi tiết, phân bổ nguồn lực và tiến hành đào tạo người dùng nhằm đảm bảo hiệu quả lâu dài của các giải pháp bảo mật.

Trích đoạn nội dung tài liệu

MỞ ĐẦU Bảo mật hệ thống thông tin là một trong những lĩnh vực mà hiện nay giới công nghệ thông tin đang rất quan tâm. Khi internet ra đời và phát triển, nhu cầu trao đổi thông tin trở nên cần thiết. Mục tiêu của việc nối mạng là làm cho mọi ngƣời có thể sử dụng chung tài nguyên từ những vị trí địa lý khác nhau. Cũng chính vì vậy mà các tài nguyên cũng rất dễ dàng bị phân tán, dẫn đến một điều hiển nhiên là chúng sẽ bị xâm phạm, gây mất mát dữ liệu cũng nhƣ các thông tin có giá trị.

Từ đó, vấn đề bảo vệ thông tin cũng đồng thời xuất hiện: Bảo mật ra đời. Tất nhiên, mục tiêu của bảo mật không chỉ nằm gói gọn trong lĩnh vực bảo vệ thông tin mà còn nhiều phạm trù khác nhƣ kiểm duyệt web, bảo mật internet, bảo mật http, bảo mật trên các hệ thống thanh toán điện tử và giao dịch trực tuyến…. Theo thống kê của tổ chức bảo mật nổi tiếng CERT (Computer Emegancy Response Team) thì số vụ tấn công mạng ngày càng tăng mạnh. Điều này cũng dễ hiểu, vì một thực thể luôn tồn tại hai mặt đối lập nhau.

Sự phát triển mạnh mẽ của công nghệ thông tin và kỹ thuật sẽ làm cho nạn tấn công, ăn cắp, phá hoại trên internet bùng phát mạnh mẽ. Vì lý do bảo mật thông tin quan trọng nhƣ vậy nên tôi chọn đề tài về “Nghiên cứu bảo mật hệ thống thông tin và đề xuất giải pháp bảo mật cho hệ thống thông tin Thư viện của Trường Đại học Tài nguyên Môi trường Hà Nội”, góp phần đƣa kiến thức học tập vào thực tiễn nơi công tác. Để hoàn thành đƣợc luận văn, tôi chọn phƣơng pháp nghiên cứu lý thuyết về bảo mật thông tin, các thuật toán mã hóa hiện đang đƣợc áp dụng. Từ đó đề xuất triển khai các giải pháp bảo mật cho hệ thống thông tin Thƣ viện nhà trƣờng nhằm bảo đảm cho hệ thống hoạt động ổn định, an toàn.

Luận văn bao gồm ba chƣơng: Chƣơng 1. Tổng quan về bảo mật hệ thống thông tin. Các biện pháp bảo mật hệ thống thông tin. Đề xuất giải pháp bảo mật cho hệ thống thông tin Thƣ viện.

Kế luận và hƣớng phát triển 9 z CHƢƠNG 1: TỔNG QUAN VỀ BẢO MẬT HỆ THỐNG THÔNG TIN 1. Các khái niệm và định nghĩa - Hệ thống thông tin là gì: Hệ thống thông tin là một hệ thống bao gồm các yếu tố nhƣ: phần cứng, phần mềm, hệ thống mạng, dữ liệu, con ngƣời,… có quan hệ với nhau cùng làm nhiệm vụ thu thập, xử lý, lƣu trữ dữ liệu và thông tin, cung cấp một cơ chế phản hồi để đạt đƣợc một mục tiêu định trƣớc. Hệ thống thông tin đƣợc phân loại theo mục đính phục vụ hay theo tổ chức bao gồm các dạng chính nhƣ: Hệ thống thông tin xử lý giao dịch, hệ thống thông tin quản lý, hệ thống hỗ trợ ra quyết định, hệ thống hỗ trợ điều hành… - Bảo mật hệ thống thông tin (Information Systems Confidentiality) là bảo vệ hệ thống thông tin chống lại việc truy cập, sử dụng, chỉnh sửa, phá hủy, làm lộ và làm gián đoạn thông tin và hoạt động của hệ thống một cách trái phép. - Bảo mật mạng (network Confidentiality) là các vấn đề về mã hóa thông tin khi truyền qua mạng và kiểm soát truy xuất thông tin trên đƣờng truyền.

- Bảo mật máy tính (computer Confidentiality) là lĩnh vực liên quan đến việc xử lý ngăn ngừa và phát hiện những hành động bất hợp pháp trái phép (đối với thông tin và tài nguyên hệ thống) của ngƣời dùng trong một hệ thống máy tính. Lĩnh vực nghiên cứu chính của bảo mật thông tin rất rộng gồm các vấn đề về pháp lý nhƣ hệ thống chính sách, các quy định, yếu tố con ngƣời; các vấn đề thuộc tổ chức nhƣ kiểm toán xử lý dữ liệu điện tử, quản lý, nhận thức; và các vấn đề kỹ thuật nhƣ kỹ thuật mật mã, bảo mật mạng, công nghệ thẻ thông minh… Nhƣ vậy bảo mật là khái niệm bao gồm tất cả các phƣơng pháp nhƣ các kỹ thuật xác nhận danh tính, mật mã hoá, che giấu thông tin, xáo trộn… nhằm đảm bảo cho các thông tin đƣợc truyền đi, cũng nhƣ các thông tin lƣu trữ đƣợc chính xác và an toàn. 10 z Bảo mật luôn đi đôi với an toàn “an toàn và bảo mật”, đây là hai yếu tố quan trọng và gắn bó mật thiết với nhau trong một hệ thống. Có thể nói hệ thống mất an toàn thì không bảo mật đƣợc và ngƣợc lại hệ thống không bảo mật đƣợc thì mất an toàn.

Một hệ thống sẽ là an toàn khi các khiếm khuyết không thể làm cho hoạt động chủ yếu của nó ngừng hẳn và các sự cố đều xảy ra sẽ đƣợc khắc phục kịp thời mà không gây thiệt hại đến mức độ nguy hiểm cho chủ sở hữu. Mục đích của bảo mật thông tin là tránh đƣợc ngƣời không có thẩm quyền đọc, sửa, thay đổi thông tin. Nhƣng đồng thời đảm bảo ngƣời có thầm quyền sẵn sàng khai thác thông tin trong phạm vi quyền hạn của họ. Những yêu cầu của bảo mật hệ thống thông tin Bảo mật hệ thống thống tin nhằm mục đích đảm bảo các tính chất sau: Tính bí mật (Confidentiality), tính toàn vẹn (Integrity), tính sẵn sàng (Availability), tính chống chối bỏ (Non-repudiation) - Tính bí mật (Confidentiality): bảo vệ dữ liệu không bị lộ ra ngoài một cách trái phép.

- Tính toàn vẹn (Integrity): Chỉ những ngƣời dùng đƣợc ủy quyền mới đƣợc phép chỉnh sửa dữ liệu. - Tính sẵn sàng (Availability): Đảm bảo dữ liệu luôn sẵn sàng khi những ngƣời dùng hoặc ứng dụng đƣợc ủy quyền yêu cầu. - Tính chống chối bỏ (Non-repudiation): Khả năng ngăn chặn việc từ chối một hành vi đã làm. Mục tiêu của bảo mật: - Ngăn chặn: ngăn chặn kẻ tấn công vi phạm các chính sách bảo mật - Phát hiện: phát hiện các vi phạm chính sách bảo mật - Phục hồi: chặn các hành vi vi phạm đang diễn ra, đánh giá và sửa lỗi, tiếp tục hoạt động bình thƣờng ngay cả khi tấn công đã xảy ra.

Các mối đe doạ và các hình thức tấn công hệ thống a. Các mối đe dọa và rủi ro đối với hệ thống thông tin. 11 z - Trong một hệ thống thông tin khi vận hành có nhiều đối tƣợng tham gia tác động nên nó, mỗi đối tƣợng đều có thể tiềm ẩn những nguy cơ mất an toàn, làm ảnh hƣởng đến hệ thống. Các mối đe dọa đối với hệ thống thông tin thể hiện hoặc tiềm ẩn trên nhiều khía cạnh khác nhau nhƣ: ngƣời sử dụng, kiến trúc hệ thống công nghệ thông tin, chính sách bảo mật thông tin, các công cụ quản lý và kiểm tra, quy trình phản ứng , v.

- Các mối đe dọa từ phía ngƣời sử dụng: Mối đe dọa của hệ thống thông tin xuất phát từ những lỗi bảo mật, lỗi thao tác của những ngƣời dùng trong hệ thống. Xâm nhập bất hợp pháp, ăn cắp thông tin có giá trị của các đối tƣợng khác tham gia trong hệ thống v. là mối đe dọa hàng đầu đối với một hệ thống thông tin. - Các mối đe dọa từ kiến trúc hệ thống: Nguy cơ rủi ro tiềm ẩn trong kiến trúc hệ thống công nghệ thông tin, đó là các hệ thống không có cơ chế bảo vệ thông tin trong việc tổ chức và khai thác cơ sở dữ liệu; tiếp cận từ xa; sử dụng phần mềm ứng dụng; chƣơng trình kiểm tra, không kiểm soát ngƣời sử dụng, thiếu phát hiện và xử lý sự cố, v.

- Các mối đe dọa bảo mật từ phần cứng: Mất thông tin có thể còn tiềm ẩn ngay trong cấu trúc phần cứng của các thiết bị tin học và trong phần mềm hệ thống và ứng dụng do hãng sản xuất cài sẵn các loại mã độc theo ý đồ định trƣớc, thƣờng gọi là “bom điện tử”. Khi cần thiết, thông qua kênh viễn thông, ngƣời ta có thể điều thiết bị đang lƣu trữ thông tin, hoặc tự động rẽ nhánh thông tin vào một địa chỉ đã định trƣớc. Các hình thức tấn công hệ hệ thống thông tin gây ảnh hƣởng đến bảo mật và an toàn thông tin. - Tấn công trực tiếp Sử dụng một máy tính để tấn công một máy tính khác với mục đích dò tìm mật mã, tên tài khoản tƣơng ứng,… Họ có thể sử dụng một số chƣơng trình giải mã để giải mã các file chứa password trên hệ thống máy tính của nạn nhân.

Do đó, những mật khẩu ngắn và đơn giản thƣờng rất dễ bị phát hiện. 12 z Ngoài ra, hacker có thể tấn công trực tiếp thông qua các lỗi của chƣơng trình hay hệ điều hành làm cho hệ thống đó tê liệt hoặc hƣ hỏng. Trong một số trƣờng hợp, hacker đoạt đƣợc quyền của ngƣời quản trị hệ thống. - Kỹ thuật đánh lừa (Social Engineering) Có 2 loại Social Engineering: một là Social engineering dựa trên con ngƣời liên quan đến sự tƣơng tác giữa con ngƣời với con ngƣời để thu đƣợc thông tin mong muốn.

Kẻ tấn công có thể lợi dụng các đặc điểm sau của con ngƣời để tấn công nhƣ: sự mong muốn trở nên hữu dụng, tính tin ngƣời, nỗi sợ gặp rắc rối. kẻ tấn công có thể giả là các đối tƣợng sau: giả làm ngƣời cần đƣợc giúp đỡ, giả làm ngƣời quan trọng, giả làm ngƣời đƣợc ủy quyền, giả làm nhân viên hỗ trợ kỹ thuật…hai là Social engineering dựa trên máy tính. liên quan đến việc sử dụng các phần mềm để cố gắng thu thập thông tin cần thiết, Phising: lừa đảo qua thƣ điện tử, vishing: lừa đảo qua điện thoại, pop-up Windows, file đính kèm trong email, các website giả mạo, các phần mềm giả mạo - Tấn công từ chối dịch vụ (Denial-of-Service Attacks) Tấn công từ chối dịch vụ (hay còn gọi là DoS - Denial of Service) là một trong những thủ đoạn nhằm ngăn cản những ngƣời dùng hợp pháp khả năng truy cập và sử dụng vào một dịch vụ nào đó. DoS có thể làm ngƣng hoạt động của một máy tính, một mạng nội bộ thậm chí cả một hệ thống mạng rất lớn.

Về bản chất thực sự của DoS, kẻ tấn công sẽ chiếm dụng một lƣợng lớn tài nguyên mạng nhƣ băng thông, bộ nhớ. và làm mất khả năng xử lý các yêu cầu dịch vụ từ các khách hàng khác. Tấn công DoS nói chung không nguy hiểm nhƣ các kiểu tấn công khác, vì kẻ tấn công ít có khả năng thâm nhập hay chiếm đƣợc thông tin dữ liệu của hệ thống. Tuy nhiên, nếu máy chủ tồn tại mà không thể cung cấp thông tin, dịch vụ cho ngƣời sử dụng thì sự tồn tại này là không có ý nghĩa, đặc biệt là các hệ thống phục vụ các giao dịch điện tử thì thiệt hại là vô cùng lớn.