I. Luận Văn Thạc Sĩ Tổng Quan Bảo Vệ Thông Tin Môi Trường Ảo
Luận văn thạc sĩ tập trung vào việc bảo vệ thông tin trong môi trường ảo hóa, một lĩnh vực ngày càng quan trọng trong bối cảnh hiện đại. Ảo hóa và điện toán đám mây đã mang lại nhiều lợi ích về chi phí, hiệu quả và tính linh hoạt cho các tổ chức. Tuy nhiên, sự gia tăng của các mối đe dọa an ninh mạng đặt ra những thách thức lớn đối với việc bảo mật dữ liệu trong môi trường ảo. Các môi trường ảo hóa hiện đại dễ bị tấn công hơn do sự phức tạp vốn có của chúng. Bài viết này sẽ trình bày chi tiết các khía cạnh của vấn đề này, từ tổng quan về môi trường ảo hóa đến các phương pháp bảo vệ thông tin hiệu quả. Luận văn này xem xét các định nghĩa, đặc điểm, kiến trúc và mô hình triển khai của ảo hóa và điện toán đám mây.
An ninh thông tin môi trường ảo là một vấn đề cấp thiết, vì vậy luận văn này sẽ tập trung vào việc xác định các nguy cơ, thách thức và mối đe dọa an ninh thông tin trong môi trường ảo hóa và điện toán đám mây hiện tại và tương lai. Bảo mật môi trường ảo cũng có thể đề cập đến việc triển khai giải pháp bảo vệ dữ liệu trong môi trường ảo hóa cho một tổ chức, doanh nghiệp dựa trên giải pháp đề xuất, phù hợp với những nguyên tắc cơ bản của an toàn thông tin, chẳng hạn như: tính bảo mật, tính toàn vẹn và tính sẵn sàng.
1.1. Tìm hiểu Khái niệm và đặc trưng của môi trường ảo hóa
Luận văn bắt đầu bằng việc định nghĩa khái niệm ảo hóa, nhấn mạnh vai trò của nó như một lớp trung gian giữa phần cứng và phần mềm. Ảo hóa cho phép tạo ra nhiều máy ảo độc lập trên cùng một phần cứng, mỗi máy ảo có hệ điều hành và ứng dụng riêng. Theo tài liệu gốc, ảo hóa liên quan đến việc tạo ra các máy ảo (Virtual Machine) độc lập về hệ điều hành và các ứng dụng. Hơn nữa, Ảo hóa cho phép nhiều hệ điều hành và các ứng dụng khác nhau chia sẻ cùng một phần cứng. Bài viết cũng phân loại các nền tảng ảo hóa, bao gồm Hypervisor kiểu 1 (Bare Metal) và Hypervisor kiểu 2 (Hosted), đồng thời giải thích cách chúng tương tác với phần cứng. Hypervisor là phần mềm lõi của nền tảng ảo hóa, là tầng phần mềm thấp nhất có trách nhiệm tạo mới và duy trì các máy ảo.
1.2. Khái niệm Điện Toán Đám Mây và Mô Hình Dịch Vụ
Sau khi trình bày về ảo hóa, luận văn giới thiệu khái niệm điện toán đám mây theo định nghĩa của NIST, nhấn mạnh vào khả năng sử dụng tài nguyên tính toán linh hoạt và chia sẻ tài nguyên một cách nhanh chóng và thuận tiện. Các đặc trưng của điện toán đám mây được liệt kê, bao gồm khả năng sử dụng dịch vụ theo yêu cầu, truy cập dịch vụ qua mạng rộng rãi, tài nguyên tính toán động, năng lực tính toán mềm dẻo và khả năng đo lường việc sử dụng tài nguyên. Mô hình dịch vụ của điện toán đám mây được chia thành ba lớp chính: Hạ tầng hướng dịch vụ (IaaS), Dịch vụ nền tảng (PaaS) và Dịch vụ Phần mềm (SaaS). Ngoài ra, còn có các mô hình triển khai điện toán đám mây khác nhau, bao gồm đám mây công cộng, đám mây riêng, đám mây cộng đồng và đám mây lai.
II. Thách Thức An Ninh Nguy Cơ Trong Môi Trường Ảo Hóa Cloud
Luận văn này tập trung vào các mối đe dọa an ninh thông tin và rủi ro đặc biệt trong môi trường ảo hóa và điện toán đám mây, so với môi trường vật lý truyền thống. Theo tài liệu, môi trường ảo hóa và điện toán đám mây gặp phải nguy cơ và thách thức an ninh thông tin tương tự như môi trường vật lý, tuy nhiên, trong môi trường ảo hóa và điện toán đám mây có một số nguy cơ và thách thức nghiêm trọng hơn. Các mối đe dọa bao gồm lỗ hổng bảo mật trong Hypervisor, tấn công chéo giữa các máy ảo, hệ điều hành máy ảo cô lập, thất thoát dữ liệu giữa các thành phần ảo hóa, sự phức tạp trong quản lý truy cập và lây nhiễm mã độc. Rủi ro cũng đến từ tranh chấp tài nguyên giữa các máy ảo, gây ảnh hưởng đến hiệu suất và tính ổn định của hệ thống. Các cuộc tấn công vào dịch vụ điện toán đám mây ngày càng gia tăng, gây thiệt hại lớn cho các tổ chức và người dùng.
2.1. Lỗ hổng trong Hypervisor và Tấn công Chéo giữa các máy ảo
Một trong những mối đe dọa nghiêm trọng nhất là sự tồn tại của các lỗ hổng bảo mật trong phần mềm lõi của nền tảng ảo hóa (Hypervisor). Khi Hypervisor bị tấn công, toàn bộ cơ sở hạ tầng có thể bị chiếm quyền kiểm soát. Các lỗ hổng đã được phát hiện trên nhiều nền tảng ảo hóa, như VMware ESX/ESXi, Xen và Hyper-V. Tấn công chéo giữa các máy ảo cũng là một thách thức lớn. Khi một mối đe dọa xâm nhập vào một máy ảo, nó có thể lan sang các máy ảo khác trên cùng một máy chủ vật lý, đặc biệt khi sử dụng các biện pháp an ninh truyền thống không hiệu quả trong việc bảo vệ các máy chủ ảo.
2.2. Các Mối đe dọa An ninh Thông tin Đối với Điện Toán Đám Mây
Các mối đe dọa an ninh thông tin đối với điện toán đám mây bao gồm mối đe dọa từ nhân viên của các nhà cung cấp dịch vụ, cung cấp ảnh máy ảo và ứng dụng sẵn có, tấn công từ bên ngoài hệ thống, sự can thiệp của chính phủ, và thất thoát dữ liệu. Các cuộc tấn công từ bên ngoài có thể khai thác lỗ hổng trong phần mềm, xâm nhập trái phép, sử dụng kỹ thuật lừa đảo để đánh cắp tài khoản và mật khẩu, tấn công vào phiên làm việc hợp lệ, và lây nhiễm mã độc. Các rủi ro an ninh thông tin bao gồm tài khoản đặc quyền, vị trí lưu trữ dữ liệu, xử lý dữ liệu, giám sát bảo vệ dữ liệu, tuân thủ các quy định, khả năng khôi phục, khả năng tồn tại lâu dài, và chia sẻ nhiều người cùng sử dụng dịch vụ.
III. Giải Pháp Bảo Vệ Dữ Liệu Trong Môi Trường Ảo Hóa Hiện Đại
Để đối phó với những thách thức này, luận văn đề xuất các giải pháp bảo vệ dữ liệu trong môi trường ảo hóa, tập trung vào việc xây dựng kiến trúc ảo hóa an toàn, sử dụng công nghệ phòng chống mã độc chuyên biệt, thực hiện cấu hình an toàn lớp Hypervisor, thiết kế mạng ảo đảm bảo an toàn thông tin, giới hạn truy cập vật lý vào máy chủ ảo hóa, mã hóa dữ liệu máy ảo, tách biệt truy cập, cô lập dữ liệu giữa các máy ảo, duy trì sao lưu và tăng cường tính tuân thủ. Các giải pháp giúp giảm thiểu các cuộc tấn công vào dịch vụ điện toán đám mây và rủi ro do bên thứ ba khai thác thông tin của Khách hàng.
3.1. Xây Dựng Kiến Trúc Ảo Hóa An Toàn Với Giải Pháp Agentless
Luận văn đề xuất một kiến trúc an toàn cho môi trường ảo hóa sử dụng giải pháp Agentless, không cần cài đặt bất kỳ phần mềm bảo mật nào trên máy ảo. Giải pháp này sử dụng một máy ảo an ninh tích hợp với tầng phần mềm lõi của nền tảng ảo hóa và các driver điều khiển để bảo vệ máy ảo. Kiến trúc Agentless giúp giải quyết các nguy cơ tấn công chéo, kiểm soát dữ liệu, phát hiện mã độc và giải quyết bài toán tranh chấp tài nguyên. Sử dụng kiến trúc Agentless giúp cho việc quản trị tập trung, đơn giản giúp giảm chi phí, tiết kiệm thời gian và nguồn lực.
3.2. Công Nghệ Phòng Chống Mã Độc Chuyên Biệt cho Môi Trường Ảo
Công nghệ phòng chống mã độc nâng cao sử dụng kiến trúc an toàn ảo hóa với khả năng phát hiện và xử lý mã độc trên các máy chủ ảo theo thời gian thực và tiêu tốn hiệu năng nhỏ nhất. Công nghệ này không sử dụng phương án cài đặt phần mềm diệt virus trên từng máy chủ, máy trạm ảo mà sử dụng công nghệ EPSec để lấy các tập tin hoặc phát hiện tập tin vào/ra các sự kiện trên máy ảo và chuyển chúng sang các thành phần quét mã độc tập trung trong máy ảo an ninh. Công nghệ quét thông minh sử dụng bộ đệm và công nghệ theo dõi sự thay đổi khối (change block tracking - CBT) giúp tập tin đã quét và xác định an toàn không bị quét lại.
3.3. Cấu hình An Toàn Lớp Phần Mềm Lõi Hypervisor và Máy Ảo
Luận văn đưa ra các khuyến nghị về cấu hình an toàn lớp phần mềm lõi Hypervisor, bao gồm vá các lỗ hổng bảo mật kịp thời, sử dụng giao thức an toàn SSL, thay đổi cấu hình mặc định, bật các an ninh vận hành, bảo vệ tài khoản người dùng và nhóm tài khoản quản trị hệ thống, giới hạn truy cập các truy cập nền tảng nhân ảo hóa, khóa các dịch vụ không sử dụng, và đảm bảo rằng các driver điều khiển được nâng cấp và cập nhật đầy đủ bản vá lỗi mới. Cấu hình an toàn máy chủ ảo hóa bao gồm sử dụng mật khẩu mạnh, đóng các dịch vụ và các chương trình không cần thiết, yêu cầu xác thực đầy đủ để kiểm soát truy cập, thiết lập tường lửa cá nhân, và cập nhật bản vá lỗi lỗ hổng bảo mật nghiêm trọng.
IV. Giải Pháp Bảo Vệ Dữ Liệu Trong Môi Trường Điện Toán Đám Mây
Luận văn đưa ra các giải pháp nhằm bảo vệ dữ liệu trong môi trường điện toán đám mây. Các giải pháp này đều dựa trên ba nguyên tắc của an toàn thông tin là tính bảo mật, tính toàn vẹn và tính sẵn sàng của thông tin. Mô hình bảo vệ dữ liệu trong môi trường điện toán đám mây sử dụng cấu trúc phòng thủ ba lớp với lớp xác thực ngƣời dùng sử dụng nhằm đảm bảo dữ liệu không bị giả mạo, mã hóa dữ liệu và bảo vệ tính riêng tư, khôi phục nhanh chóng dữ liệu nhờ tuân thủ các yêu cầu nghiêm ngặt về sao lƣu và phục hồi giúp tổ chức, doanh nghiệp có thể khôi phục tối đa và nhanh chóng dữ liệu trong các trƣờng hợp xảy ra hỏng hóc hoặc hƣ hại dữ liệu.
4.1. Lớp phòng thủ thứ nhất Kiểm soát truy cập
Chịu trách nhiệm xác thực tài khoản ngƣời dùng sử dụng dịch vụ Điện toán đám mây, cán bộ quản trị hệ thống. Lớp phòng thủ thứ nhất sử dụng các biện pháp xác thực mạnh nhƣ: xác thực hai yếu tố, sử dụng chứng thƣ số đƣợc cấp phát riêng cho mục đích xác thực, quản lý quyền của tài khoản, xác định rõ các hành động nào đƣợc phép đối với mỗi tài khoản khác nhau. Cần tuân theo các nguyên tắc cấp cấp quyền: quyền chỉ cấp tối thiểu, đáp ứng đúng đủ nhu cầu công việc và phân tách rõ ràng vai trò nhiệm vụ của từng cá nhân, tổ chức. Cần định kỳ rà soát đảm bảo các quyền đƣợc cấp đúng và đủ theo yêu cầu công việc. Yêu cầu tự động đăng xuất phiên đăng nhập tài khoản sau thời gian không tƣơng tác hệ thống.
4.2. Lớp phòng thủ thứ hai Mã Hóa
Lớp phòng thủ thứ hai sử dụng giải pháp mã hóa dữ liệu nhằm đảm bảo tính bí mật dữ liệu, ngăn chặn những ngƣời không đƣợc cấp quyền hiểu rõ nội dung dữ liệu. Mã hóa dữ liệu trong khi truyền và lƣu trữ trong điện toán đám mây có các lợi ích rõ ràng sau: Ngăn chặn mối đe dọa truy cập trái phép dữ liệu Khách hàng của nhân viên quản trị của đơn vị cung cấp điện toán đám mây và ngăn chặn mối đe dọa truy cập trái phép dữ liệu từ bên ngoài của hacker, đối thủ cạnh tranh. Luận văn tập trung vào sử dụng thuật toán mã hóa đồng cấu để mã hóa dữ liệu trên Điện toán đám mây. Mã hóa đồng cấu đầy đủ cho phép tính toán có thể đƣợc thực hiện trên các dữ liệu đƣợc mã hóa mà không biết khóa bí mật.
4.3. Lớp phòng thủ thứ ba Khôi Phục Nhanh Chóng
Lớp bảo vệ cuối cùng bảo vệ dữ liệu là khả khôi phục dữ liệu hoặc di chuyển một cách nhanh chóng trong trƣờng hợp xảy ra sự cố hoặc theo yêu cầu của Khách hàng. Tổ chức cung cấp dịch vụ điện toán đám mây cần tuân thủ các nguyên tắc cơ bản sau nhằm đảm bảo dữ liệu khôi phục nhanh chóng và đầy đủ: 100% dữ liệu phải đƣợc sao lƣu và các bản sao lƣu phải đầy đủ và nhất quán đƣợc lƣu trữ theo nguyên tắc 3-2-1. Có quy trình sao lƣu và phục hồi chia rõ vai trò của từng cá nhân tổ chức. Tổ chức phải có các cơ sở trung tâm dữ liệu thay thế tƣơng đƣơng (trung tâm dữ liệu dự phòng).
V. Triển Khai Giải Pháp Bảo Vệ Nền Tảng Ảo Hóa Tư Vấn
Dựa trên tổng hợp, phân tích và đánh giá cũng nhƣ kinh nghiệm triển khai hệ thống Bảo vệ dữ liệu cho môi trƣờng Ảo hóa, tác giả tƣ vấn tổ chức doanh nghiệp nên triển khai bộ giải pháp của hãng bảo mật Trend Micro để bảo vệ cho môi trƣờng Ảo hóa. Bộ giải pháp kết hợp hai giải pháp nhƣ sau: Giải pháp Hybrid Cloud Security (Deep Security) đƣợc thiết kế đặc biệt dành cho môi trƣờng ảo hóa, giải pháp có khả năng bảo vệ máy chủ ảo trong môi trƣờng Ảo hóa trƣớc nguy cơ lây nhiễm mã độc hại, Virus, xâm nhập trái phép, vv. Giải pháp Deep Security sử dụng kiến trúc agentless giúp giải quyết vấn đề xung đột tài nguyên do cơn bão anti-virus thƣờng thấy khi thực hiện quét toàn hệ thống và update các mẫu nhận dạng virus mới, giúp giảm thiểu độ phức tạp trong vận hành bảo mật và cho phép các tổ chức gia tăng mật độ máy ảo, tăng tốc ảo hóa Giải pháp mã hóa dữ liệu SecureCloud giúp mã hóa an toàn dữ liệu trong môi trƣờng Ảo hóa và điện toán đám mây. Giải pháp SecureCloud tập trung bảo vệ an toàn tính bí mật của dữ liệu.
5.1. Mô hình triển khai
Đề tài áp dụng các biện pháp đề xuất để triển khai giải pháp bảo vệ dữ liệu cho hệ thống Ảo hóa đặt tại trung tâm dữ liệu của Hải Quan đặt tại Lô E3 - Đƣờng Dƣơng Đình Nghệ - Cầu Giấy - Hà Nội. Giải pháp Hybrid Cloud Security (Deep Security) có các thành phần chính là: Deep Security Manager, Deep Security Virtual Appliance, Smart Protection Network và Vcenter.
5.2. Các tính năng chính triển khai
Các tính năng chính triển khai giải pháp Hybrid Cloud Security (Deep Security) bao gồm: tính năng phát hiện và xử lý mã độc hại trên các máy ảo; tính năng tƣờng lửa Ảo; tính năng quản trị tập trung chính sách cho các máy chủ firewall bao gồm các mẫu cho các kiểu máy chủ phổ biến; Tính năng lọc gói tin Deep Packet Inspection bao gồm các thành phần IPS/IDS, web application Protection, Application control; tính năng giám sát thay đổi tập tin quan trọng và tính năng Log Inspection.
