CHƯƠNG 1: CƠ SỞ LÝ LUẬN VỀ AN TOÀN BẢO MẬT 1.1 Một số khái niệm cơ bản 1.1 Khái niệm chung Dữ liệu có rất nhiều những khái niệm cơ bản về thông tin hiện nay, tuy nhiên phần lớn những khái niệm đều có chung một quan điểm đúng đắn về vấn đề, dữ liệu là những ký tự, số liệu, các tập tin rời rạc hoặc các dữ liệu chung chung…dữ liệu chưa mang cho con người sự hiểu biết mà phải thông qua quá trình xử lý dữ liệu thành thông tin thì con người mới có thể hiểu được về đối tượng mà dữ liệu đang biểu hiện. Thông tin theo nghĩa thông thường, thông tin là điều hiểu biết về một sự kiện, một hiện tượng nào đó, thu nhận được qua khảo sát, đo lường, trao đổi, nghiên cứu…. Thông tin là những dữ liệu đã được xử lý sao cho nó thực sự có ý nghĩa đối với người sử dụng. Thông tin được coi như là một sản phẩm hoàn chỉnh thu được sau quá trình xử lý dữ liệu.
Hệ thống thông tin là một tập hợp và kết hợp của các phần cứng, phần mềm và các hệ mạng truyền thông được xây dựng và sử dụng để thu thập, tạo, tái tạo, phân phối và chia sẻ các dữ liệu, thông tin và tri thức nhằm phục vụ các mục tiêu của tổ chức. Các tổ chức có thể sử dụng các hệ thống thông tin với nhiều mục đích khác nhau. Trong việc quản trị nội bộ, hệ thống thông tin sẽ giúp đạt được sự thông hiểu nội bộ, thống nhất hành động, duy trì sức mạnh của tổ chức, đạt được lợi thế cạnh tranh.Với bên ngoài, hệ thống thông tin giúp nắm bắt được nhiều thông tin về khách hàng hơn hoặc cải tiến dịch vụ, nâng cao sức cạnh tranh, tạo đà cho phát triển. Hệ thống thông tin quản lý (MIS- Management Information System) được hiểu như là một hệ thống dùng để tiến hành quản lý cùng với những thông tin được cung cấp thường xuyên.
Ngày nay, do công nghệ máy tính đã tham gia vào tất cả các hoạt động quản lý nên nói đến MIS là nói đến hệ thống thông tin quản lý được trợ giúp của máy tính. Theo quan điểm của các nhà công nghệ thông tin, MIS là một mạng lưới máy tính có tổ chức nhằm phối hợp việc thu thập, xử lý và truyền thông tin. MIS là tập hợp các phương tiện, các phương pháp và các bộ phận có liên hệ chặt chẽ với nhau, nhằm đảm bảo cho việc thu thập, lưu trữ, tìm kiếm xử lý và cung cấp những thông tin cần thiết cho quản lý. SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 7 GVHD :TS.
Nguyễn Thị Thu Thủy Nguồn: Giáo trình mạng máy tính, 2008 , NXB Thông tin và Truyền thông.2 Khái niệm về an toàn, bảo mật HTTT quản lý An toàn bảo mật thông tin là vấn đề cơ bản của một HTTT quản lý, có rất nhiều sách báo, giáo trình đưa ra khái niệm này. Tổng kết từ nhiều giáo trình trong nước về khái niệm này ta đi tới một khái niệm phổ thông nhất, được biên soạn trong các giáo trình đại học như sau : An toàn thông tin được hiểu như sau an toàn khi thông tin đó không bị làm hỏng hóc, không bị sửa đổi, thay đổi, sao chép hoặc xóa bỏ bởi người không được phép. Bảo mật thông tin là duy trì tính bí mật, tính toàn vẹn và tính sẵn sàng của thông tin. Tính bảo mật (confidentially): Đảm bảo chỉ có những cá nhân được cấp quyền mới được phép truy cập vào hệ thống.
Đây là yêu cầu quan trọng của bảo mật thông tin bởi vì đối với các tổ chức doanh nghiệp thì thông tin là tài sản có giá trị hàng đầu, việc các cá nhân không được cấp quyền truy nhập trái phép vào hệ thống sẽ làm cho thông tin bị thất thoát đồng nghĩa với việc tài sản của công ty bị xâm hại, có thể dẫn đến phá sản. Tính toàn vẹn (integrity): Đảm bảo rằng thông tin luôn ở trạng thái đúng, chính xác, người sử dụng luôn được làm việc với các thông tin tin cậy chân thực. Chỉ các cá nhân được cấp quyền mới được phép chỉnh sửa thông tin. Kẻ tấn công không chỉ có ý định đánh cắp thông tin mà còn mong muốn làm cho thông tin bị mất giá trị sử dụng bằng cách tạo ra các thông tin sai lệch gây thiệt hại cho công ty.
Tính sẵn sàng (availabillity): Đảm bảo cho thông tin luôn ở trạng thái sẵn sàng phục vụ, bất cứ lúc nào người sử dụng hợp pháp có nhu cầu đều có thể truy nhập được vào hệ thống. Có thể nói rằng đây yêu cầu quan trọng nhất, vì thông tin chỉ hữu ích khi người sử dụng cần là có thể dùng được, nếu 2 yêu cầu trên được đảm bảo nhưng yêu cầu cuối cùng không được đảm bảo thì thông tin cũng trở nên mất giá trị. SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 8 GVHD :TS. Nguyễn Thị Thu Thủy Hình 2.1 : Mối quan hệ giữa các yếu tố của một HTTT an toàn, bảo mật Bảo mật HTTT quản lý Tính sẵn sàng Tính toàn vẹn Tính bảo mật (Nguồn: Giáo trình an toàn dữ liệu, Bộ môn CNTT, Trường Đại học Thương mại Hà Nội, 2007) Một HTTT nói chung và một HTTT quản lý nói riêng được coi là bảo mật khi tính riêng tư của nội dung thông tin được đảm bảo theo đúng các tiêu chí trong một thời gian xác định.
Một số cơ sở lý luận về An toàn bảo mật HTTT 1. Một số hình thức tấn công đến bảo mật và các nguy cơ mất an toàn thông tin trong HTTT 1.1 Một số hình thức tấn công HTTT Các hình thức tấn công có thể kể đến là hình thức tấn công thụ động và tấn công chủ động. Có thể hiểu đó là hình thức lấy cắp hoặc thay đổi, phá hoại dữ liệu trái phép. Vi phạm tính toàn vẹn, sẵn sàng dữ liệu.
Hình thức tấn công thụ động là việc kẻ tấn công lấy được thông tin trên đường truyền mà không gây ảnh hưởng gì đến thông tin được truyền từ nguồn đến đích. Tấn công thụ động rất khó phát hiện và khó phòng tránh nên rất nguy hiểm. Hiện nay tấn công thụ động đang ngày càng phát triển do đó cần có các biện pháp phòng tránh trước khi tấn công xảy ra. Tấn công thụ động là loại tấn công mà thông tin tài khoản bị đánh cắp được lưu lại để sử dụng sau.
Loại tấn công này lại có hai dạng đó là tấn công trực tuyến SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 9 GVHD :TS. Nguyễn Thị Thu Thủy (online) và tấn công ngoại tuyến (offline), đây là những mối đe dọa an ninh mạng khó phát hiện nhất. + Tấn công ngoại tuyến có mục tiêu cụ thể, thực hiện bởi thủ phạm truy cập trực tiếp đến tài sản nạn nhân, có phạm vi hạn chế và hiệu suất thấp. Đây là dạng đánh cắp tài khoản đơn giản nhất, không yêu cầu có trình độ cao và cũng không tốn bất kỳ chi phí nào.
Người dùng có thể trở thành nạn nhân của kiểu tấn công này đơn giản chỉ vì họ để lộ mật khẩu hay lưu ở dạng không mã hóa trong tập tin có tên dễ đoán trên đĩa cứng. + Tấn công trực tuyến không có mục tiêu cụ thể. Kẻ tấn công nhắm đến số đông người dùng trên Intrenet, hy vọng khai thác những hệ thống lỏng lẻo hay lợi dụng sự cả tin của người dùng để đánh cắp tài khoản.Hình thức phổ biến nhất của tấn công trực tuyến là phishing. Phishing là một loại tấn công phi kỹ thuật, dùng đánh cắp các thông tin nhạy cảm bằng cách giả mạo người gửi, cách phòng tránh duy nhất là ý thức của người dùng.
Tấn công chủ động là các cuộc tấn công mà người tấn công hoàn toàn công khai và chủ động trong tổ chức và thực hiện cuộc tấn công với mục đích làm giảm hiệu năng hoặc làm tê liệt hoạt động của mạng máy tính hoặc hệ thống, là hình thức tấn công có sự can thiệp vào dữ liệu nhằm sửa đổi, thay thế làm lệch đường đi của dữ liệu. Đặc điểm của nó là có khả năng chặn các gói tin trên đường truyền, dữ liệu từ nguồn đến đích sẽ bị thay đổi. Tấn công chủ động tuy nguy hiểm nhưng lại dễ phát hiện được. Tấn công chủ động là dạng tấn công tinh vi đánh cắp và sử dụng tài khoản trong thời gian thực.
Tấn công chủ động khá tốn kém và yêu cầu trình độ kỹ thuật cao. Tấn công chủ động bao gồm các phương pháp tấn công từ chối dịch vụ (DoS), tấn công từ chối dịch vụ phân tán (DDoS), Tấn công tràn bộ đệm, tấn công qua ký tự điều khiển đồng bộ SYN (Synchronous Idle Character), giả mạo, người trung gian (MITM- Man in the Middle), giả mạo giao thức điều khiển truyền tin qua Internet, tự động kết nối đường truyền. Hình thức này có nghĩa là lục lại thông tin từ các vùng rác và đệm thông tin, để có được những thông tin quan trọng và tấn công nhờ các công cụ của các mạng xã hội. SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 10 GVHD :TS.
Nguyễn Thị Thu Thủy Tấn công HTTT trên thực tế thường là sử dụng virus, trojan để ăn cắp thông tin, lợi dụng các lỗ hổng trong các phần mềm ứng dụng, tấn công phi kỹ thuật. Với mục đích nhằm lấy cắp hoặc phá hỏng dữ liệu, thông tin cũng như các chương trình ứng dụng. SVTH:Nguyễn Thị Chương MSV :13D190216 MM Luan van KHÓA LUẬN TỐT NGHIỆP 11 GVHD :TS. Nguyễn Thị Thu Thủy 1.2 Các nguy cơ mất ATTT trong HTTT Một số nguy cơ về khả năng mất an toàn thông tin mà Hệ thống CNTT cần cảnh báo là: + Nguy cơ mất an toàn thông tin về khía cạnh vật lý là nguy cơ mất an toàn thông tin về khía cạnh vật lý là nguy cơ do mất điện, nhiệt độ, độ ẩm không đảm bảo, hỏa hoạn, thiên tai, thiết bị phần cứng bị hư hỏng, các phần tử phá hoại như nhân viên xấu bên trong và kẻ trộm bên ngoài.
+ Nguy cơ bị mất, hỏng, sửa đổi nội dung thông tin: người dùng có thể vô tình để lộ mật khẩu hoặc không thao tác đúng quy trình tạo cơ hội cho kẻ xấu lợi dụng để lấy cắp hoặc làm hỏng thông tin. Kẻ xấu có thể sử dụng công cụ hoặc kỹ thuật của mình để thay đổi nội dung thông tin (các file) nhằm sai lệnh thông tin của chủ sở hữu hợp pháp.