Mở đầu Chương 2 Tổng quan về Hệ thống phát hiện xâm nhập trái phép 1. Khái quát về bảo mật hệ thống thông tin Thông tin chỉ có giá trị cao khi đảm bảo tính chính xác và kịp thời, hệ thống chỉ có thể cung cấp các thông tin có giá trị thực sự khi các chức năng của hệ thống đảm bảo hoạt động đúng đắn. Mục tiêu của việc đảm bảo an toàn an ninh cho hệ thống thông tin là đưa ra các giải pháp và ứng dụng các giải pháp này vào hệ thống để loại trừ hoặc giảm bớt các nguy hiểm. Hiện nay các cuộc tấn công càng ngày càng tinh vi, gây ra mối đe doạ tới sự an toàn thông tin.
Các cuộc tấn công có thể đến từ nhiều hướng theo các cách khác nhau, do đó cần phải đưa ra các chính sách và biện pháp đề phòng cần thiết. Mục đích cuối cùng của an toàn bảo mật là bảo vệ các thông tin và tài nguyên theo các yêu cầu sau [9]: Đảm bảo tính tin cậy (Confidentiality): Thông tin không thể bị truy nhập trái phép bởi những người không có thẩm quyền. Đảm bảo tính nguyên vẹn (Integrity): Thông tin không thể bị sửa đổi, bị làm giả bởi những người không có thẩm quyền. Đảm bảo tính sẵn sàng (Availability): Thông tin luôn sẵn sàng để đáp ứng sử dụng cho người có thẩm quyền.
Đảm bảo tính không thể từ chối (Non-repudiation): Thông tin được cam kết về mặt pháp luật của người cung cấp. Lê Thế Thắng 6 Cao học CNTT 2005-2007 Cần nhấn mạnh một thực tế rằng không có một hệ thống nào là an toàn tuyệt đối cả. Bởi vì bất cứ một hệ thống bảo vệ dù hiện đại và chắc chắn đến đâu đi nữa thì cũng có lúc bị vô hiệu hoá bởi những kẻ phá hoại có trình độ cao và có đủ thời gian. Chưa kể rằng tính an toàn của một hệ thống thông tin còn phụ thuộc rất nhiều vào việc sử dụng của con người.
Từ đó có thể thấy rằng vấn đề an toàn mạng thực tế là cuộc chạy tiếp sức không ngừng, và không ai dám khẳng định là có đích cuối cùng hay không.1 Các nguy cơ đe dọa Có rất nhiều nguy cơ ảnh hướng đến sự an toàn của một hệ thống thông tin. Các nguy cơ này có thể xuất phát từ các hành vi tấn công trái phép bên ngoài hoặc là từ bản thân các lỗ hổng bên trong hệ thống. Tất cả các hệ thống đều mang trong mình các lỗ hổng hay điểm yếu. Nhìn một cách khái quát, ta có thể phân ra các loại điểm yếu chính sau [9]: Phần mềm: Việc lập trình phần mềm đã ẩn chứa sẵn các lỗ hổng.
Theo ước tính cứ 1000 dòng mã sẽ có trung bình từ 5-15 lỗi, trong khi các Hệ điều hành được xây dựng từ hàng triệu dòng mã (Windows:50 triệu). Phần cứng: Lỗi thiết bị phần cứng như Firewall, Router, Switch v. Chính sách: Đề ra các qui định không phù hợp, không đảm bảo an ninh, ví dụ như chính sách về xác thực, qui định về nghĩa vụ và trách nhiệm người dùng trong hệ thống Sử dụng: Cho dù hệ thống có được trang bị hiện đại đến đâu nhưng vẫn do con người sử dụng và quản lý, sự sai sót và bất cẩn của người dùng có thể gây ra những lỗ hổng nghiêm trọng Đối với các hành vi tấn công từ bên ngoài, ta có thể chia thành hai loại là : tấn công thụ động và tấn công chủ động. “Thụ động” và “chủ động” ở đây được Chương 2: Tổng quan về Hệ thống phát hiện xâm nhập trái phép Lê Thế Thắng 7 Cao học CNTT 2005-2007 hiểu theo nghĩa có can thiệp vào nội dung và vào luồng thông tin trao đổi hay không.
Tấn công “thụ động” chỉ nhằm đặt mục tiêu cuối cùng là nắm bắt được thông tin, có thể không biết được nội dung nhưng cũng có thể dò ra được người gửi, người nhận nhờ vào thông điều khiển giao thức chứa trong phần đầu của các gói tin. Hơn thế nữa, kẻ xấu còn có thể kiểm tra được số lượng, độ dài và tần số trao đổi để biết được đặc tính của dữ liệu. Sau đây là một số hình thức tấn công điển hình : a) Các hành vi dò quét : Bất cứ sự xâm nhập vào một môi trường mạng nào đều bắt đầu bằng cách thăm dò để tập hợp thông tin người dùng, cấu trúc hệ thống bên trong và các điểm yếu bảo mật. Việc thăm dò được tiến hành theo các bước thăm dò thụ động (thu thập các thông tin được công khai) và thăm dò chủ động (sử dụng các công cụ để tìm kiếm thông tin trên máy nạn nhân).
Các công cụ dò quét được các hacker chuyên nghiệp thiết kế và công bố rộng rãi trên Internet. Các công cụ thường hay dùng: Nmap, Essential Network tools,… thực hiện các hành động Port Scan, Ping Sweep, Packet Sniffer, DNS Zone Transfer… b) Các tấn công từ chối dịch vụ (Denial of Service Attacks) : Đây là kiểu tấn công khó phòng chống nhất và trên thế giới vẫn chưa có cách phòng chống triệt để. Nguyên tắc chung của cách tấn công này là hacker sẽ gửi liên tục nhiều yêu cầu phục vụ đến máy nạn nhân. Máy bị tấn công sẽ phải trả lời tất cả yêu cầu này.
Khi yêu cầu gửi đến quá nhiều, máy bị tấn công sẽ không phục vụ kịp dẫn đến việc đáp ứng yêu cầu của các máy hợp lệ sẽ bị chậm trễ, thậm chí ngừng hẳn. Máy bị tấn công sẽ bị ngừng hoạt động hoặc thậm chí cho phép hacker nắm quyền điều khiển. c) Các hành vi khai thác lỗ hổng bảo mật Chương 2: Tổng quan về Hệ thống phát hiện xâm nhập trái phép Lê Thế Thắng 8 Cao học CNTT 2005-2007 Các hệ điều hành, cơ sở dữ liệu, các ứng dụng luôn có những điểm yếu xuất hiện hàng tuần thậm trí hàng ngày. Những điểm yếu này thường xuyên được công bố rộng rãi trên nhiều website về bảo mật.
Do vậy các điểm yếu của hệ thống là nguyên nhân chính của các tấn công, một thống kê cho thấy hơn 90% các tấn công đều dựa trên các lỗ hổng bảo mật đã được công bố. Đối với một hệ thống mạng có nhiều máy chủ máy trạm, việc cập nhật các bản vá lỗ hổng bảo mật là một công việc đòi hỏi tốn nhiều thời gian và khó có thể làm triệt để. Và do đó, việc tồn tại các lỗ hổng bảo mật tại một số điểm trên mạng là một điều chắc chắn. Người ta định nghĩa Tấn công Zero-Day là các cuộc tấn công diễn ra ngay sau khi lỗi được công bố và chưa xuất hiện bản vá lỗi.
Như vậy kiểu tấn công này rất nguy hiểm vì các hệ thống bảo mật thông thường không thể phát hiện ra.1: Thời gian có tấn công sau khi công bố lỗ hổng (Nguồn McAfee 2005) d) Các tấn công vào ứng dụng (Application-Level Attacks) Đây là các tấn công nhằm vào các phần mềm ứng dụng mức dịch vụ. Thông thường các tấn công này, nếu thành công, cho phép kẻ xâm nhập nắm được quyền điều khiển các dịch vụ và thậm chí cả quyền điều khiển máy chủ bị tấn công. Chương 2: Tổng quan về Hệ thống phát hiện xâm nhập trái phép Lê Thế Thắng 9 Cao học CNTT 2005-2007 Số lượng các vụ tấn công liên tục tăng trong khi hình thức tấn công theo kiểu Sophistication (hành vi tấn công dựa trên điểm yếu là con người) lại giảm. Rõ ràng các hình thức tấn công vào hệ thống máy tính hiện nay ngày càng đa dạng và phức tạp với trình độ kỹ thuật rất cao.
Ngoài ra quá trình tấn công ngày các được tự động hóa với những công cụ nhỏ được phát tán khắp nơi trên mạng. 120,000 100,000 Devices 80,000 Infected 60,000 40,000 20,000 0 Code Red Nimda Goner Slammer Lovsan 2,777 6,250 12,500 100,000 120,000 Hình 2.2: Số lượng máy bị tấn công ngày càng tăng (Nguồn: IDC 2002) Chương 2: Tổng quan về Hệ thống phát hiện xâm nhập trái phép Lê Thế Thắng 10 Cao học CNTT 2005-2007 Hình 2.3: Thời gian lây nhiễm trên 10.2 Các nguyên tắc bảo vệ hệ thống thông tin Sau đây là một số nguyên tắc bảo vệ hệ thống thông tin : Nguyên tắc cơ bản nhất của chức năng bảo mật là cơ chế quyền hạn tối thiểu. Về cơ bản, nguyên tắc này là bất kỳ một đối tượng nào (người sử dụng, người điều hành, chương trình…) chỉ nên có những quyền hạn nhất định mà đối tượng đó cần phải có để có thể thực hiện được các nhiệm vụ của mình và chỉ như vậy mà thôi. Đây là nguyên tắc quan trọng để hạn chế sự phơi bày hệ thống cho kẻ khác tấn công và hạn chế sự thiệt hại khi bị tấn công Thứ hai, cần phải bảo vệ theo chiều sâu.
Tư tưởng của chiến lược này là hệ thống bảo mật gồm nhiều mức, sau mức bảo mật này thì có mức bảo mật khác, các mức bảo mật hỗ trợ lẫn nhau. Không nên chỉ phụ thuộc vào một chế độ an toàn dù nó có mạnh đến thế nào đi nữa. Thứ ba, cần tạo các điểm thắt đối với luồng thông tin. Điểm thắt buộc những kẻ tấn công vào hệ thống phải thông qua một kênh hẹp mà người Chương 2: Tổng quan về Hệ thống phát hiện xâm nhập trái phép Lê Thế Thắng 11 Cao học CNTT 2005-2007 quản trị có thể điều khiển được.
Ở đây, người quản trị có thể cài đặt các cơ chế giám sát, kiểm tra và điều khiển (cho phép hoặc không cho phép) các truy nhập vào hệ thống. Trong an ninh mạng, IDS nằm giữa hệ thống bên trong và Internet nhưng trước firewall như một nút thắt (giả sử chỉ có một con đường kết nối duy nhất giữa hệ thống bên trong với internet). Khi đó, tất cả những kẻ tấn công từ internet khi đi qua nút thắt này thì sẽ bị người quản trị theo dõi và phản ứng lại kịp thời. Yếu điểm của phương pháp này là không thể kiểm soát, ngăn chặn được những hình thức tấn công đi vòng qua điểm đó.
Thứ tư, để đạt hiệu quả cao, các hệ thống an toàn cần phải đa dạng về giải pháp và có sự phối hợp chung của tất cả các thành phần trong hệ thống (người sử dụng, phần cứng bảo mật, phần mềm bảo mật, các cơ chế an toàn…) để tạo thành hệ bảo mật, giám sát và hỗ trợ lẫn nhau. Hệ thống phòng thủ gồm nhiều module, cung cấp nhiều hình thức phòng thủ khác nhau. Do đó, module này lấp “lỗ hổng” của các module khác. Ngoài firewall, một mạng LAN hay một máy cục bộ cần sử dụng các module bảo vệ khác của ứng dụng, hệ điều hành, thiết bị phần cứng,.