Trang 76 BÀI 6 GIỚI THIỆU VỀ ISA SERVER Mã bài: MĐ27-06 Mục tiêu của bài: - Trình bày được tầm quan trọng của ISA Server trong việc bảo vệ hệ thống mạng; - Hiểu được các tính năng trên ISA Server; - Hiểu được khái quát các khả năng và nét đặc trưng của ISA Server; - Thực hiện các thao tác an toàn với máy tính. Định nghĩa Firewall Mục tiêu: Trình ày khái niệm về Firewall và chức năng của Firewall. Firewall - Tường lửa dùng để ngặn chặn và bảo vệ những thông tin và chống việc truy cập bất hợp pháp của các hacker. Firewall là một giải pháp dựa trên phần cứng và phần mềm dùng để kiểm tra dữ liệu đi từ bên ngoài vào máy tính hoặc từ máy tính ra ngoài mạng Internet.
Có thể nói Firewall là nguời bảo vệ có nhiệm vụ kiểm tra “giấy thông hành” của bất kì gói dữ liệu đi vào hoặc đi ra. Nó chỉ cho phép những gói dữ liệu hợp lệ đi qua và loại bỏ tất cả các gói dữ liệu không hợp lệ. Vì vậy, Firewall rất cần thiết cho hệ thống mạng. Phân loại Firewall Mục tiêu: Trình ày các loại firewall và một số firewall thông dụng.
Firewall phần mềm Firewall phần mềm được sử dụng cho các hệ điều hành Windows. Firewall phần mềm thường không đắt bằng phần cứng. So với Firewall phần cứng, Firewall phần mềm linh động hơn, nó có thể chạy tốt trên nhiều hệ điều hành khác nhau. Một trong những Firewall phần mềm phổ biến là Zonealarm, ISA.
Firewall phần cứng Firewall phần cứng có mức độ bảo vệ cao hơn so với Firewall phần mềm, dễ bảo trì hơn và không chiếm dụng tài nguyên hệ thống như Firewall phần mềm. Một trong những hãng chuyên cung cấp Firewall phần cứng là Linksys và NetGar. Bộ định tuyến không dây Bộ định tuyến không dây được sử dụng cho mạng không dây. Nó được xem như một Firewall và cũng được tích hợp một số chức năng tương tự như Firewall.
Chức năng của Firewall Mục tiêu: Giới thiệu đến người học các chức năng chính của firewall. - Kiểm soát nguồn thông tin giữa mạng Internet và máy tính; - Cho phép hoặc không cho phép các dịch vụ truy cập từ hệ thống ra bên ngoài; - Cho phép hoặc cấm cho phép các dịch vụ truy cập từ ngoài vào hệ thống; - Chức năng theo dõi luồng dữ liệu mạng giữa Internet và máy tính nối mạng; - Kiểm soát địa chỉ truy cập của người dùng và nội dung nhận được từ Internet; - Chống lại những đợt truy cập bất hợp pháp của các hacker. Các kiến trúc Firewall cơ bản Mục tiêu: Trình ày cơ sở xây dựng các lại firewall, kiến trúc, cách hoạt động của các firewall cơ ản cùng với các ưu, nhược điểm của các firewall cơ ản. Khi nói đến việc lưu thông dữ liệu giữa các mạng với nhau thông qua firewall Trang 77 thì điều đó có nghĩa rằng firewall hoạt động kết hợp chặt chẽ với giao thức TCP/IP.
Vì giao thức này làm việc theo thuật toán chia nhỏ các dữ liệu nhận được từ các ứng dụng trên mạng, hay chính xác hơn là các dịch vụ chạy trên các giao thức (Telnet, SMTP, DSN, SMNP, NFS,…) thành các gói dữ liệu (data packets) rồi gán cho các packet này những địa chỉ để có thể nhận dạng tái lập lại ở đích cần gửi đến; Do đó, các loại firewall cũng liên quan rất nhiều đến các packet và địa chỉ của chúng. Ngày nay, Firewall được xây dựng dựa trên cơ sở bộ lọc gói (packet filter) và Firewall xây dựng trên cổng ứng dụng (Application gateway) và một số firewall khác Bastion Host Firewall (pháo đài phòng ngự) 4. Tƣờng lửa bộ lộc gói tin (Packet filtering firewall) Loại firewall này thực hiện việc kiểm tra số nhận dạng địa chỉ của các packet để cho phép chúng có thể lưu thông qua lại hay không. Các thông số có thể lọc được của một packet như sau: • Địa chỉ IP nơi xuất phát (source IP address); • Địa chỉ IP nơi nhận (destination IP address); • Cổng TCP nơi xuất phát (TCP source port) ; • Cổng TCP nơi nhận (TCP destination port).
Nhờ vậy mà firewall có thể ngăn cản được các kết nối vào những máy chủ hoặc mạng nào đó được xác định, hoặc khóa việc truy cập vào hệ thống nội bộ từ những địa chỉ không cho phép. Hơn nữa việc kiểm soát các cổng làm cho firewall có khả năng chỉ cho phép một số loại kết nối nhất định vào máy chủ nào đó, hoặc chỉ có những dịch vụ nào đó (Telnet, SMTP, FTP,…) được phép mới chạy được trên hệ thống mạng nội bộ.1 – Tường lửa bộ lọc gói 4. Cổng tầng ứng dụng (Application gateway) Cổng tầng ứng dụng là một thiết bị bình phong bảo mật dùng để phân tích các gói dữ liệu được chuyển vào. Khi các gói dữ liệu từ bên ngoài đến cổng, chúng được kiểm tra và lượng giá để xác định xem chính sách bảo mật có cho phép chúng vào mạng hay không.
Máy phục vụ không chỉ định giá trị các địa chỉ IP mà còn xem xét dữ liệu trong các gói để tìm lỗi và sửa sai. Một cổng tầng ứng dụng điển hình có thể cung cấp các dịch vụ ủy quyền cho các ứng dụng và giao thức như Telnet, FTP (File Transfer Protool), HTTP (HyperText Trang 78 Transfer Protocol), và SMTP (Simple Mail Transfer Protocol). Cổng ứng dụng này không cho phép bất kỳ một gói tin nào đi thẳng trực tiếp giữa hai mạng, mà loại Firewall này được thiết kết để tăng cường khả năng kiểm soát thông qua dịch vụ Proxy. Khi một trạm bên ngoài muốn kết nối với các trạm bên trong tường lửa thông qua một dịch vụ nào đó thì trạm bên ngoài phải thông qua dịch vụ Proxy.
Nếu dịch vụ bên ngoài không thuộc diện cấm thông qua đối với Proxy thì dịch vụ Proxy sẽ đi tìm trạm đích bên trong tường lửa để tạo kết nối với trạm bên ngoài; ngược lại các trạm bên trong muốn kết nối ra ngoài cũng vậy. Với cách thức này sẽ ngăn chặn được một số loại tấn công cơ bản như gây tràn bộ đệm của tường lửa. Tuy nhiên cũng có một số hạn chế đối với dạng tường lửa loại này là: Đây là loại tường lửa được cài đặt cho từng loại dịch vụ riêng rẽ trên mạng ví dụ như Telnet, Mail, FPT… Nếu chúng ta muốn hỗ trợ một dịch vụ nào đó cho mạng của mình thông qua tường lửa thì chúng ta nhất thiết phải thêm vào proxy cho loại dịch vụ đó. Vì vậy nếu trên mạng bên ngoài có thêm một dịch vụ mới nào đó thì người quản trị tường lửa phải xây dựng chính sách đại diện thích hợp với dịch vụ đó.
Có hai nguyên tắc để tạo ra chính sách đại diện mặc định ở đây đó là hoặc từ chối tất cả những thứ không được đại diện, hoặc là chấp nhận tất cả những dịch vụ không có dịch vụ đại diện trên tường lửa. Nhưng cả hai cách này đều gây ra những nguy cơ an ninh và bất tiện mới cho hệ thống mạng bên trong tường lửa. Bastion Host Firewall (Pháo đài phòng ngự) Bastion Host Firewall là một trạm được cấu hình để chặn đứng mọi cuộc tấn công từ phía bên ngoài vào. Đây là điểm giao tiếp trực tiếp với mạng không tin cậy bên ngoài, do đó dễ bị tấn công nhất.
Có hai dạng của máy phòng thủ: Hình 6.2 – Bastion Host Firewall Máy phòng thủ có hai card mạng, một nối với hệ thống bên trong (mạng nội bộ) và card còn lại nối với bên ngoài mạng Internet. Đây là dạng tường lửa có từ rất sớm, nó yêu cầu người sử dụng bên trong phải kết nối với tường lửa trước khi làm việc với mạng bên ngoài. Với giải pháp này tường lửa đã cô lập được mạng bên trong với mạng bên ngoài bằng những máy phòng thủ (host) nhưng nó cũng tạo ra một sự thiếu tự nhiên trong việc kết nối giữa người sử dụng bên trong với mạng bên ngoài. Dạng thứ hai của cơ cấu phòng thủ này là máy phòng thủ có một card mạng được nối trực tiếp đến một hệ riêng biệt trên mạng – gateway mức ứng dụng.
Gateway này cung cấp điều khiển vào ra. Bộ định tuyến (rounter) có nhiều chức năng trong cấu hình này. Nó không chỉ định hướng các gói đến hệ nội bộ, mà còn cho phép các hệ Trang 79 thống nội mở kết nối với Internet hoặc không cho phép kết nối. Kiến trúc screening subnet còn bổ sung thêm tầng an toàn để tách mạng nội bộ với Internet.
Lý do để làm việc này là tránh cho mạng nội bộ khỏi bị tấn công nếu như bastion host bị đánh sập. Giới thiệu về ISA server Mục tiêu: Trình ày các hoạt động chính của tường lửa: điều khiển truy nhập (Access control), quản lý xác thực (Authentication) và ghi nhật ký truy nhập (activity logging) 5. Điều khiển truy nhập (Access Control) Như trên đã giới thiệu có hai loại tường lửa với 2 cách điều khiển truy nhập khác nhau là quy chế bộ lọc gói (packet filter) và chính sách người đại diện ứng dụng. Điểu khiển truy nhập phụ thuộc vào sự nhận dạng đúng đắn của các yêu cầu đôi khi còn phụ thuộc vào định nghĩa quyền xác thực của người sử dụng.
Vị trí xảy ra quá trình xử lý gói Để hiểu được firewall hoạt động như thế nào, trước hết hãy quan tâm đến đường đi của các gói tin dẫn đến firewall đó. Có 3 đường dẫn phổ biến mà một gói tin có thể đi qua tùy thuộc vào dạng tường lửa được cài đặt. Một gói tin có thể vựợt qua một tường lửa ở mức tầng ứng dụng, ở mức nhân hệ điều hành hoặc là mức card giao tiếp mạng. Hầu hết các tường lửa đều kiểm soát và cho phép các gói đi qua 3 mức này.3 – 3 đường đi phổ biến mà một gói tin có thể đi qua Để có được tốc độ xử lý cao hơn ở các router, bộ lọc gói được thiết lập trên phần mở rộng của thiết bị trên card giao tiếp mạng với một bộ xử lý đặc biệt tối ưu quá trình xử lý các gói.
Để lưu chứa ở đây với tốc độ cao bộ xử lý trên card giao tiếp mạng chỉ hỗ trợ những luật xử lý đơn giản như các phép so sánh nhị phân. Những dịch vụ khác không được hỗ trợ ở đây. Những router và những trạm luân chuyển gói khác thì quá trình lọc các gói tin thường diễn ra ở mức nhân hệ điều hành hơn là mức card giao tiếp mạng. Thông thường quá trình lọc được thực thi trên các bộ xử lý chuyên dụng cho phép tường lửa có thể thực hiện quá trình lọc và kiểm định một cách chuẩn xác, tinh xảo hơn là trên các card giao tiếp mạng tích hợp tính lọc.