CHƯƠNG I – TỔNG QUAN BẢO MẬT DỮ LIỆU 1. Vấn đề bảo mật chống rò rỉ dữ liệu 1.1 Nhu cầu bảo mật dữ liệu Dữ liệu (Data) là các giá trị của thông tin định lượng hoặc định tính của các sự vật, hiện tượng trong cuộc sống. Trong tin học, dữ liệu được dùng như 1 cách biểu diễn hình thức hóa của thông tin về các sự kiện, hiện tượng thích ứng với các yêu cầu truyền nhận, thể hiện và xử lý bằng máy tính [2]. Bảo mật dữ liệu là bảo vệ hệ thống dữ liệu, hay cụ thể hơn là bảo vệ các tệp dữ liệu chống lại việc truy cập, sử dụng, chỉnh sửa, phá hủy, làm lộ và làm gián đoạn dữ liệu và hoạt động của hệ thống dữ liệu 1 cách trái phép.
Nguyên tắc chung trong bảo mật dữ liệu trong mỗi doanh nghiệp là bảo đảm tính bí mật (Confidentiality), tính toàn vẹn (Intergrity), tính sẵn sàng (Availability), tính chống từ chối (Non-repudiation) [3]. Đảm bảo tính bí mật (Confidentiality) nghĩa là bảo vệ dữ liệu được an toàn không bị lộ, rò rỉ ra bên ngoài một cách trái phép. Ví dụ trong một doanh nghiệp, mỗi một nhân viên có quyền xem bảng lương của mình nhưng không có quyền xem bảng lương của các nhân viên khác. Đảm bảo tính toàn vẹn (Intergrity) nghĩa là dữ liệu luôn là duy nhất, chỉ những người được trao quyền chỉnh sửa mới được phép thực hiện.
Ví dụ: bản lương của nhân viên trong doanh nghiệp sẽ chỉ được nhân viên của phòng tiền lương thực hiện chỉnh sửa. Các nhân viên phòng ban khác hoặc ngay cả người quản trị hệ thống cũng không được chỉnh sửa. Đảm bảo tính sẵn sàng (Availability) là luôn đặt dữ liệu trong trạng thái sẵn sàng khai thác, sử dụng khi có yêu cầu sử dụng từ các bộ phận, phòng ban liên quan. Ví dụ, các tài liệu như quy định, quy trình được lưu trên máy chủ lưu trữ dữ liệu của doanh nghiệp cần luôn đảm bảo rằng nhân viên có thể truy nhập bất kỳ lúc nào theo quy định.
Tính chống từ chối (Non-repudiation) là khả năng chặn việc từ chối một hành vi của người dùng đã làm. Ví dụ trong máy chủ lưu trữ dữ liệu của doanh nghiệp có các tệp tin bị xóa đi 1 cách vô tình hoặc cố tình. Để chứng minh người dùng nào đã làm việc này thì hệ thống cần đưa ra các bằng chứng như check logs. Luan van 6 Bảo mật dữ liệu còn có nghĩa là ngăn ngừa/phát hiện/ngăn cản xâm nhập dữ liệu bất hợp pháp.
Nhìn chung tính bảo mật hướng đến việc bảo vệ dữ liệu trong môi trường bí mật như quân sự, thương mại. Dữ liệu cũng mang tính cá nhân, đi đôi với quyền khai thác của cá nhân hay nhóm người để quyết định lúc nào dùng các thông tin liên quan và dùng như thế nào. Do vậy tính cá nhân cần cho môi trường quản lý các dữ liệu cá nhân. Tính chất này được đảm bảo bằng luật pháp của nhiều nước.
Ngay cả các cơ sở dữ liệu có dạng như CSDL.DB cũng có nguy cơ rất lớn bị đánh cắp. Luận văn không đi sâu vào cấu trúc từng trường tin trong CSDL mà coi CSDL là một tập tin cần bảo vệ giống như các tập tin văn bản, hình ảnh…Những tập tin này có thể dễ dàng được gửi ra bên ngoài tổ chức doanh nghiệp. Do đó cần bảo vệ chống thất thoát, phát tán dữ liệu trái phép tập tin.2 Nguy cơ lộ lọt, rò rỉ dữ liệu Dữ liệu luôn là tài sản quý giá nhất của một doanh nghiệp, tổ chức. Các dữ liệu quan trọng, nhạy cảm, nếu bị lộ ra bên ngoài, sẽ ảnh hưởng rất lớn đến công việc kinh doanh của tổ chức.
Cùng với sự phát triển của công nghệ thông tin, phương thức truyền gửi dữ liệu, trao đổi thông tin cũng như các kênh/giao thức ngày càng đa dạng, kéo theo phát sinh càng nhiều nguy cơ thất thoát dữ liệu, rò rỉ thông tin quan trọng ra bên ngoài tổ chức. Các doanh nghiệp phải đối mặt với nhiều hậu quả nghiêm trọng do các hành vi của người dùng gây ra, nguy cơ gửi dữ liệu nhạy cảm ra bên ngoài tổ chức là cao nhất. Bên cạnh đó là các hành vi vô tình, các doanh nghiệp thường không nhận ra cho tới khi có chuyện xảy ra. Những hệ lụy của việc lộ, rò rỉ dữ liệu không những gây thất thoát về mặt kinh tế mà đáng sợ hơn là việc bị mạo danh, đánh cắp bản quyền sáng tạo cho các mục đích xấu khác liên quan tới luật pháp.
Theo Comparitech [4], tới nay đã có 267 triệu người dùng Facebook bị rò rỉ thông tin như ID, tên đầy đủ và số điện thoại. Nhà nghiên cứu bảo mật Bob Diachenko là người phát hiện ra vụ rò rỉ này. Vấn đề xảy ra là các dữ liệu của Facebook không được mã hóa dẫn tới khi tin tặc tấn công được vào hệ thống lưu trữ cơ sở dữ liệu, họ có toàn quyền xem, download dữ liệu một cách phi pháp. Tháng 11 năm 2018, công ty Google cũng đã bị rò rỉ thông tin của 52,5 triệu người dùng trên Google+ [5].
Sự cố này khiến công ty công nghệ nổi tiếng thế giới này phải quyết định xóa ứng dụng Google+ vào tháng 4 năm 2019. Sự việc này gây ảnh hưởng rất lớn tới uy tín của công ty này. Luan van 7 Theo trang tin của bộ Công Nghệ Thông Tin và Truyền Thông [6], trong 6 tháng đầu năm 2021 có 2915 cuộc tấn công gây ra sự cố vào các hệ thống dữ liệu tại Việt Nam. Gây ảnh hưởng nghiêm trọng tới an ninh thông tin của các doanh nghiệp tổ chức tại Việt Nam.
Vào tháng 5 năm 2021, Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao – Bộ Công An cũng đã bắt đầu điều tra về việc 17 GB dữ liệu chứa các thông tin cá nhân như ảnh chụp ID, họ tên, ngày tháng năm sinh, địa chỉ, số điện thoại, email… của hàng ngàn người dân Việt Nam đang được rao bán trên các diễn đàn của tin tặc [7]. Vấn đề đặt ra là các thông tin dữ liệu này lộ ra ngoài bằng cách nào? Để ngăn chặn các hành vi cố tình hoặc vô tình như vậy làm lộ thông tin của người dùng, người quản trị hệ thống các tổ chức, doanh nghiệp cần làm gì? Hiện nay, tin tặc thường nhắm đến dữ liệu quan trọng của các doanh nghiệp, tổ chức. Chúng tiếp cận thông qua mạng nội bộ như máy tính nhân viên, thiết bị cầm tay và con người. Đặc biệt thông qua con người, tin tặc có thể tiếp cận thông tin dữ liệu của doanh nghiệp dễ dàng hơn thông qua một số hành vi vô tình của người dùng.
Tin tặc thường xuyên sử dụng các phương thức tấn công phổ biến như sau để đánh cắp dữ liệu doanh nghiệp: - Tấn công giả mạo (Phishing Attack) là hình thức tấn công chủ yếu hiện nay của tin tặc. Tin tặc sẽ giả danh thành một tổ chức, cá nhân uy tín hoặc giả danh thành chính người dùng để lừa gạt bằng cách gửi email kèm theo là đường dẫn và yêu cầu người dùng click, kèm theo là các đoạn văn đe dọa trong email. Người dùng sau khi click vào đường dẫn và làm theo các hướng dẫn sẽ bị lộ thông tin hoặc bị theo dõi, đánh cắp dữ liệu. - Tấn công bằng cách sử dụng các phần mềm độc hại (Malware) như mã độc tống tiền (ransomeware), phần mềm gián điệp (spyware), virus hoặc worm.
Tin tặc sẽ cài malware vào các lỗ hổng bảo mật của doanh nghiệp để nhằm các mục đích xấu. Thiết bị nhiễm malware ngoài việc sẽ gây những phiền toái cho người dùng còn có nguy cơ rò rỉ, mất dữ liệu là rất lớn - Tấn công cơ sở dữ liệu (SQL Injection) là phương pháp chèn đoạn mã độc vào cơ sở dữ liệu của doanh nghiệp trên những máy chủ sử dụng ngôn ngữ SQL. Luan van 8 Như vậy toàn bộ dữ liệu của doanh nghiệp, tổ chức đã bị lộ từ đó gây ảnh hưởng nghiêm trọng tậm chí đến phá sản của doanh nghiệp. - Tấn công từ chối dịch vụ (DoS & DDoS) là hình thức phổ biến hiện nay khi tin tặc tạo ra một lưu lượng truy cập lớn tại cùng một thời điểm để làm hệ thống quá tải và tê liệt dẫn tới hệ thống bị dừng lại, ảnh hưởng rất lớn đến vận hành hoạt động của doanh nghiệp.
- Khai thác lỗ hổng Zero Day (Zero Day Attack), việc sử dụng phương pháp này thường rất khó bị phát hiện vì tin tặc nghiên cứu và tấn công trên chính các lỗ hổng bảo mật của các ứng dụng/phần mềm. - Tấn công trung gian (Man in the middle attack). Tin tặc sẽ đứng giữa việc truyền gửi file giữa hai người dùng và thực hiện theo dõi các hoạt động, kiểm soát và chiếm giữ các dữ liệu quan trọng có giá trị của doanh nghiệp. Các doanh nghiệp tại Việt Nam và thế giới đã và đang phải đối mặt với các thách thức về thất thoát rò rỉ dữ liệu ngày càng phức tạp và nghiêm trọng hơn.
Dưới đây là một số các nguy cơ, đe dọa đối với dữ liệu của một tổ chức doanh nghiệp được phân tích theo hai hành vi chính của người dùng là vô tình và cố tình.1 Các hành vi vô tình của người dùng Trong một doanh nghiệp, người dùng thường để lộ các dữ liệu một cách vô tình. Điển hình là các hành vi như: Rời khỏi máy tính làm việc mà không khóa màn hình làm việc máy tính, dẫn tới các thông tin, dữ liệu quan trọng bị các cá nhân, người dùng khác lấy mất hoặc sao chép lại. lưu trữ các tài liệu quan trọng trên máy chủ lưu trữ chung nhằm chia sẻ với các bộ phận liên quan nhưng vô tình để chia sẻ all mà không có các chính sách bảo mật với tài liệu đó. Các thiết bị công nghệ như laptop, mobile bị mất hoặc được đem đi bảo hành, bảo trì tại những cửa hàng không tin cậy… Trên ổ cứng của các thiết bị này chứa nhiều thông tin dữ liệu quan trọng của tổ chức và chúng dễ dàng bị lấy ra, sao chép và có thể là được buôn bán trên thị trường đen.
Các hành vi vô tình như sử dụng USB, ổ cứng di động sao chép các dữ liệu ở các máy trạm không tin cậy hoặc có chứa các virus tấn công dữ liệu khác. Các máy trạm người dùng ở doanh nghiệp ngay lập tức bị nhiễm Trojans, key loggers, malware… khi kết nối với các USB và ổ cứng đi động này. Các mã độc này âm thầm thực thi các hành Luan van 9 vi gửi dữ liệu trái phép ra ngoài mà bản thân người sử dụng không biết.