Chương 1: Tổng quan Bảo mật Hệ thống Thông tin Khoa Khoa học Kỹ thuật Máy tính Đại học Bách Khoa Tp.HCM Nội dung Các khái niệm Các bước bảo mật hệ thống thông tin Các thành phần hệ thống thông tin Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Những khái niệm n n n n n Dữ liệu thông tin Hệ thống thông tin Bảo mật hệ thống thông tin Những yêu cầu bảo mật hệ thống thông tin Mục tiêu bảo mật Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Dữ liệu thông tin n n Dữ liệu (Data) giá trị thông tin định lượng đính tính vật, tượng sống.Trong tin học, liệu dùng cách biểu diễn hình thức hố thơng tin kiện, tượng thích ứng với yêu cầu truyền nhận, thể xử lí máy tính Thông tin (Information) liệu xử lý, phân tích, tổ chức nhằm mục đích hiểu rõ vật, việc, tượng theo góc độ định Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Hệ thống thông tin n Hệ thống thông tin (Information Systems) hệ thống gồm người, liệu hoạt động xử lý liệu thông tin tổ chức People Data Process Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Bảo mật hệ thống thông tin n Bảo mật hệ thống thông tin (Information Systems Security) bảo vệ hệ thống thông tin chống lại việc truy cập, sử dụng, chỉnh sửa, phá hủy, làm lộ làm gián đoạn thông tin hoạt động hệ thống cách trái phép Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Những yêu cầu bảo mật hệ thống thông tin Integrity Availability INFORMATION SYSTEM Confidentiality Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Non-repudiation Bảo mật hệ thống thơng tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Những yêu cầu bảo mật hệ thống thơng tin n Tính bí mật (Confidentiality): bảo vệ liệu khơng bị lộ ngồi cách trái phép n Ví dụ: Trong hệ thống ngân hàng, khách hàng phép xem thông tin số dư tài khoản khơng phép xem thơng tin khách hàng khác Integrity Availability INFORMATION SYSTEM Confidentiality Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Non-repudiation Bảo mật hệ thống thơng tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Những yêu cầu bảo mật hệ thống thơng tin n Tính tồn vẹn (Integrity): Chỉ người dùng ủy quyền phép chỉnh sửa liệu n Ví dụ: Trong hệ thống ngân hàng, khơng cho phép khách hàng tự thay đối thông tin số dư tài khoản Integrity Availability INFORMATION SYSTEM Confidentiality Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Non-repudiation Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Những yêu cầu bảo mật hệ thống thơng tin n Tính sẵn sàng (Availability): Đảm bảo liệu sẵn sàng người dùng ứng dụng ủy quyền yêu cầu n Ví dụ: Trong hệ thống ngân hàng, cần đảm bảo khách hàng truy vấn thơng tin số dư tài khoản lúc theo quy định Integrity Availability INFORMATION SYSTEM Confidentiality Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Non-repudiation Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 10 Điều khiển suy luận n Điều khiển suy luận (Inference control): việc quản lý, điền khiển truy cập vào sở liệu thống kê (statistical database) từ liệu thống kê suy luận thông tin nhạy cảm Tập liệu X: người dùng A đọc n Tập liệu Y: người dùng A không phép đọc … nhưng: Y = f(X) Nếu người dùng A biết hàm f tìm tập Y (mà A không phép xem) từ tập X n Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 34 Tấn công suy luận (Inference attack) Cơ sở liệu nhạy cảm Cơ sở liệu không nhạy cảm SUY LUẬN Điều khiển truy cập Được phép truy cập Không phép truy cập Siêu liệu Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 35 Điều khiển suy luận Cơ sở liệu không nhạy cảm Cơ sở liệu nhạy cảm ĐIỀU KHIỂN SUY LUẬN SUY LUẬN Điều khiển truy cập Được phép truy cập Không phép truy cập Siêu liệu Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thơng tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 36 Điều khiển dịng thơng tin n n Dịng thơng tin (Information flow) đối tượng (object) X đối tượng Y xảy có chương trình đọc liệu từ X ghi vào Y Điều khiển dịng thơng tin (Flow control) nhằm ngăn chặn dịng thơng tin từ đối tượng liệu bảo vệ sang đối tượng liệu bảo vệ Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thơng tin 37 Điều khiển dịng thơng tin n Kênh biến đổi (Covert Channels) kênh truyền mà qua dịng thơng tin truyền ngầm bên ngồi cách bất hợp pháp Có loại convert channel: n n Kênh lưu trữ (Storage channel): thông tin truyền qua đối tượng lưu trữ trung gian Kênh thời gian (Timing channel): phần thông tin bị lộ ngồi thơng qua thời gian tính tốn liệu liên quan đến thơng tin Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thơng tin 38 Mã hóa n n n Mã hóa (Encryption) giải thuật tính tốn nhằm chuyển đổi văn gốc (plaintext), dạng văn đọc được, sang dạng văn mã hóa (cyphertext), dạng văn khơng thể đọc Chỉ người dùng có khóa giải mã văn mã hóa dạng văn gốc ban đầu Mã hóa liệu sử dụng để bảo vệ liệu nhạy cảm Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thơng tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 39 Nội dung Các khái niệm Các bước bảo mật hệ thống thông tin Các thành phần hệ thống thông tin Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 40 Các thành phần hệ thống thông tin Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 41 Các thành phần cần bảo vệ HTTT n n n n n n n Phần cứng Mạng Cơ sở liệu (CSDL) Hệ quản trị CSDL (database management system - DMBS), ứng dụng Người dùng Người lập trình hệ thống Người quản trị CSDL Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 42 Các thành phần cần bảo vệ HTTT Mã hóa Định danh xác thực Điều khiển truy cập Kiểm toán giải trình Thiết kế Hẹ Quản trị CSDLvà CSDL bảo mật Bảo mật dịch vụ CSDL thuê Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thơng tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 43 Các thành phần cần bảo vệ HTTT Mã hóa Các giao thức trao đổi khóa An toàn vật lý Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 44 Các thành phần cần bảo vệ HTTT An toàn vật lý Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 45 Các thành phần cần bảo vệ HTTT Đào tạo Kiểm toán giải trình Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 46 Nội dung Các khái niệm Các bước bảo mật hệ thống thông tin Các thành phần hệ thống thông tin Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 47 Trường Đại Học Bách Khoa Tp.HCM Khoa Khoa Học Kỹ Thuật Máy Tính © 2011 Bảo mật hệ thống thơng tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin 48 ... 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Bảo mật hệ thống thông tin n Bảo mật hệ thống thông tin (Information Systems Security) bảo vệ hệ thống thông tin. .. 2011 Bảo mật hệ thống thơng tin Chương 1: Tổng quan Bảo Mật Hệ thống Thông tin Hệ thống thông tin n Hệ thống thông tin (Information Systems) hệ thống gồm người, liệu hoạt động xử lý liệu thông tin. .. 2011 Bảo mật hệ thống thông tin Chương 1: Tổng quan Bảo Mật Hệ thống Thơng tin 25 Lựa chọn sách bảo mật Xác định mối đe dọa n n n Lựa chọn sách bảo mật Lựa chọn chế bảo mật Việc bảo mật hệ thống