CHƯƠNG 1. TỔNG QUAN AN NINH MẠNG 1. Tình hình an ninh mạng hiện nay Các nguy cơ từ mã độc, tấn công từ chối dịch vụ, xu hướng “Internet of Things” (khái niệm chỉ các thiết bị kết nối được với nhau và kết nối với Internet) là “mồi ngon” của tin tặc… sẽ đe dọa tình hình an ninh mạng tại Việt Nam. Các yếu tố đảm bảo an toàn thông tin - Tính bí mật: Thông tin phải đảm bảo tính bí mật và được sử dụng đúng đối tượng.
- Tính toàn vẹn: Thông tin phải đảm bảo đầy đủ, nguyên vẹn về cấu trúc. - Tính sẵn sàng: Thông tin phải luôn sẵn sàng để tiếp cận, để phục vụ theo đúng mục đích và đúng cách. - Tính chính xác: Thông tin phải chính xác, tin cậy. - Tính không khước từ (chống chối bỏ): Thông tin có thể kiểm chứng được nguồn gốc hoặc người đưa tin.
Các mối đe dọa đến an toàn thông tin Các mối đe dọa đến an toàn hệ thống là các hành động hoặc các sự kiện/hành vi có khả năng xâm hại đến độ an toàn của một hệ thống thông tin. - Mục tiêu đe dọa tấn công: Chủ yếu là các dịch vụ an ninh Khả năng bảo mật thông tin: Sẽ bị đe dọa nếu thông tin không được bảo mật. Tính toàn vẹn của thông tin: Đe dọa thay đổi cấu trúc thông tin. Tính chính xác của thông tin: Đe dọa thay đổi nội dung thông tin.
Khả năng cung cấp dịch vụ của hệ thống: Làm cho hệ thống không thể cung cấp được dịch vụ (tính sẵn sàng). Khả năng thống kê tài nguyên hệ thống. - Đối tượng đe dọa tấn công: Là chủ thể gây hại đến hệ thống Khả năng đe dọa tấn công của đối tượng: Khả năng truy cập để khai thác các lỗ hổng hệ thống tạo ra mối đe dọa trực tiếp. Sự hiểu biết của đối tượng về mục tiêu đe dọa tấn công: user ID, file mật khẩu, vị trí file, địa chỉ mạng,… Động cơ tấn công của đối tượng: Chinh phục, lợi ích cá nhân, cố tình.
- Hành vi đe dọa tấn công: ~4~ Lợi dụng quyền truy nhập thông tin hệ thống. Cố tình hoặc vô tình thay đổi thông tin hệ thống. Truy cập thông tin bất hợp pháp. Cố tình hoặc vô tình phá hủy thông tin hoặc hệ thống.
Nghe lén thông tin. Ăn cắp phần mềm hoặc phần cứng. - Phân loại các mối đe dọa: Có mục đích. Không có mục đích.
Từ bên ngoài. Từ bên trong. Các lỗ hổng hệ thống Hiện nay trên thế giới có nhiều cách phân lọai khác nhau về lỗ hổng của hệ thống mạng. Dưới đây là cách phân loại sau đây được sử dụng phổ biến theo mức độ tác hại hệ thống.
Các lỗ hổng loại C Các lỗ hổng loại này cho phép thực hiện các phương thức tấn công theo DoS (Denial of Services – Từ chối dịch vụ). Mức độ nguy hiểm thấp, chỉ ảnh hưởng tới chất lượng dịch vụ, có thể làm ngưng trệ, gián đoạn hệ thống, không làm phá hỏng dữ liệu hoặc đạt được quyền truy nhập bất hợp pháp. Các lỗ hổng loại B Các lỗ hổng cho phép người sử dụng có thêm các quyền trên hệ thống mà không cần thực hiện kiểm tra tính hợp lệ. Đối với dạng lỗ hổng này, mức độ nguy hiểm ở mức độ trung bình.
Những lỗ hổng này thường có trong các ứng dụng trên hệ thống, có thể dẫn đến mất hoặc lộ thông tin yêu cầu bảo mật. Các lỗ hổng loại B có mức độ nguy hiểm hơn lỗ hổng loại C, cho phép người sử dụng nội bộ có thể chiếm được quyền cao hơn hoặc truy nhập không hợp pháp. Người sử dụng cục bộ được hiểu là người đã có quyền truy nhập vào hệ thống với một số quyền hạn nhất định. Các lỗ hổng loại A Các lỗ hổng này cho phép người sử dụng ở ngoài có thể truy nhập vào hệ thống bất hợp pháp.
Lỗ hổng này rất nguy hiểm, có thể làm phá hủy toàn bộ hệ thống. Các lỗ hổng loại A có mức độ rất nguy hiểm, đe dọa tính toàn vẹn và bảo mật của hệ thống. Các lỗ hổng loại này thường xuất hiện ở những hệ thống quản trị yếu kém hoặc không kiểm soát được cấu hình mạng. Những lỗ hổng loại này hết sức nguy hiểm vì nó đã tồn tại sẵn có trên phần mềm sử dụng; người quản trị nếu không hiểu sâu về dịch vụ và phần mềm sử dụng sẽ có thể bỏ qua những điểm yếu này.
Các nguy cơ mất an toàn thông tin Cùng với sự phổ cập Internet ngày càng rộng rãi, vấn đề bảo đảm an toàn, an ninh thông tin trên môi trường mạng cũng ngày càng trở nên cấp thiết. Các nguy cơ mất an toàn thông tin đang gia tăng cả về số lượng và mức độ nghiêm trọng. Trước các hiểm họa tinh vi và gánh nặng tuân thủ các quy định bảo mật mới, các phương thức và hệ thống bảo mật truyền thống đã không còn hiệu quả để đảm bảo an toàn thông tin và dữ liệu cho các tổ chức, cần có những công cụ và kỹ thuật tiên tiến hơn để bảo vệ lợi ích của tổ chức, đảm bảo an toàn, duy trì kiểm soát các ứng dụng và dữ liệu. Kiểu tấn công thăm dò.
Thăm dò là việc thu thập dữ liệu trái phép về tài nguyên, các lỗ hổng hoặc dịch vụ của hệ thống. Các cách tấn công truy cập hay DoS thường được tiến hành bởi kiểu tấn công thăm dò. Hiển nhiên, các hacker phải biết có thể tấn công cái gì trước khi xâm nhập. Thăm dò giống như một kẻ trộm nhà băng muốn biết có bao nhiêu bảo vệ đang làm nhiệm vụ, bao nhiêu camera, vị trí của chúng và đường thoát hiểm.
Thăm dò là một kiểu tấn công, nó cũng là một giai đoạn tấn công. Kiểu tấn công truy cập Truy cập là một thuật ngữ rộng miêu tả bất kỳ kiểu tấn công nào đòi hỏi người xâm nhập lấy được quyền truy cập trái phép của một hệ thống bảo mật với mục đích thao túng dữ liệu, nâng cao đặc quyền, hay đơn giản chỉ là truy cập vào hệ thống: + Tấn công truy cập hệ thống: Hacker thường tìm kiếm quyền truy cập đến một thiết bị bằng cách chạy một đoạn mã hay bằng những công cụ hack (hacking ~6~ tool) hay là khai thác một yếu điểm của ứng dụng hoặc một dịch vụ đang chạy trên máy chủ. + Tấn công truy cập thao túng dữ liệu: Thao túng dữ liệu xuất hiện khi kẻ xâm nhập đọc, viết, xóa, sao chép hay thay đổi dữ liệu. Nó có thể đơn giản như việc tìm phần mềm chia sẻ trên máy tính, hay khó hơn như việc cố gắng xâm nhập một hệ thống tín dụng của cục thông tin.
+ Tấn công truy cập nâng cao đặc quyền: Nâng cao đặc quyền là một dạng tấn công phổ biến. Bằng cách nâng cao đặc quyền, kẻ xâm nhập có thể truy cập vào các files hay folder dữ liệu mà tài khoản người sử dụng ban đầu không được cho phép truy cập. Mục đích chung của hacker là chiếm được quyền truy cập ở mức độ quản trị. Khi đã đạt được mục đích đó, họ có toàn quyền điều khiển hệ thống mạng.
Kiểu tấn công từ chối dịch vụ Kiểu tấn công DdoS được thực hiện nhằm làm vô hiệu hóa, làm hư hỏng, hay gây tổn hại đến tài nguyên mạng với mục đích cản trở việc sử dụng những hệ thống này của người dùng. Tấn công DdoS gồm các giai đoạn sau: + Giai đoạn đầu tiên – Mục tiêu: Là giai đoạn định nghĩa đối tượng. Điều đầu tiên cần làm rõ trong mọi hoạt động cũng như việc hacking là xác định được mục tiêu. Kết quả của việc xác lập mục tiêu của kiểu tấn công dẫn đến việc hình thành, chọn lựa những công cụ và phương pháp phù hợp.
Nếu kẻ xâm nhập có động cơ trả thù thì kiểu tấn công DdoS phù hợp với nhu cầu đó. Nếu kẻ tấn công là một đối thủ thì, xâm nhập hệ thống và thao túng dữ liệu mới là mục tiêu. Khi kẻ xâm nhập tiến hành những bước của một kiểu tấn công, thì mục tiêu có thể và thường thay đổi. + Giai đoạn hai thăm dò: Giai đoạn thăm dò, như chính tựa đề của nó, là giai đoạn mà hacker sử dụng nhiều nguồn tài nguyên để thu thập thông tin về hệ thống đối tượng.
+ Giai đoạn thứ ba tấn công: Giai đoạn cuối cùng là giai đoạn tấn công. Trong giai đoạn tấn công kẻ xâm nhập bắt đầu cố gắng xâm nhập mạng và tài nguyên hệ thống trên mạng. Bằng cách sử dụng các thông tin đã thu thập được, một vài hacker có thể thực hiện việc tấn công nhiều lần cho đến khi phát hiện được lỗi bảo mật để có thể khai thác. Giải pháp an ninh mạng 1.
Giới thiệu chung về quản lý hệ thống mạng Một loạt các thiết bị điển hình cần được quản lý gồm: Máy tính cá nhân, máy trạm, server, máy vi tính cỡ nhỏ, máy vi tính cỡ lớn, các thiết bị đầu cuối, modem, các gateway, router và switch, tất cả mới chỉ là một phần của danh sách các thiết bị sẽ phải được quản lý. Hai phương thức giám sát Poll và Alert Hai phương thức giám sát “Poll” và “Alert”, đây là 2 phương thức cơ bản của các kỹ thuật giám sát hệ thống, nhiều phần mềm và giao thức được xây dựng dựa trên 2 phương thức này, trong đó có SNMP. Phương thức Poll Nguyên tắc hoạt động: Máy chủ giám sát sẽ thường xuyên hỏi thông tin của thiết bị cần giám sát. Nếu máy giám sát không hỏi thì thiết bị không trả lời, nếu máy giám sát hỏi thì thiết bị phải trả lời.
Bằng cách hỏi thường xuyên, máy giám sát sẽ luôn cập nhật được thông tin mới nhất từ thiết bị. Máy chủ giám sát Thiết bị (Device) Yêu cầu #1 Phản hồi #1 Yêu cầu #2 Phản hồi #2 Hình 1. Minh họa cơ chế Poll 1. Phương thức Alert Nguyên tắc hoạt động: Mỗi khi trong thiết bị xảy ra một sự kiện (event) nào đó thì thiết bị sẽ tự động gửi thông báo cho máy giám sát, gọi là Alert.
Máy giám sát không hỏi thông tin định kỳ từ thiết bị. Thiết bị chỉ gửi những thông báo mang tính sự kiện chứ không gửi những thông tin thường xuyên thay đổi, nó cũng sẽ không gửi Alert nếu chẳng có sự kiện gì xảy ra. Chẳng hạn khi một port down/up thì thiết bị sẽ gửi cảnh báo, còn tổng số byte truyền qua port đó sẽ không được thiết bị gửi đi vì đó là thông tin thường ~8~ xuyên thay đổi.