Đảm bảo an toàn thông tin trong kiểm soát truy nhập

LỜI NĨI ĐẦU Khố luận trình bày bảo đảm ATTT kiểm soát truy nhập Khoá luận tập trung vào số phương pháp kiểm soát truy nhập, số sách truy cập, số kĩ thuật kiểm soát truy nhập Nội dung khoá luận gồm: Chương 1: Trình bày số khái niệm liên như: hệ mã hố, chữ kí điện tử, hàm băm Ngồi ra, trình bày u cầu giải pháp bảo đảm ATTT Đồng thời nêu toán ATTT Chương 2: Cho hiểu biết chung vấn đề kiểm soát truy nhập Phần này, tập trung vào trình bày số phương pháp kiểm sốt truy nhập, sách truy nhập, kĩ thuật kiểm sốt truy nhập Trình bày phương pháp thường sử dụng kiểm sốt truy nhập, kiểm sốt truy nhập “thủ cơng” kiểm sốt truy nhập “tự động” Trình bày số sách kiểm soát truy nhập Ở phần này, cho nhìn tổng quan sách kiểm sốt truy nhập Tiếp theo, khố luận trình bày kĩ thuật kiểm sốt truy nhập Đó là, hệ thống nhận dạng xác thực, tường lửa, mạng riêng ảo, hệ thống phát ngăn chặn xâm nhập, tường lửa ứng dụng web Ở phần này, việc cho có khái niệm bản, cịn ưu nhược điểm kĩ thuật Trong q trình hồn thành đồ án tốt nghiệp, người viết khơng tránh khỏi thiếu sót Rất mong nhận đóng góp ý kiến thấy bạn LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Bảng danh mục từ, thuật ngữ ACL (Access Control List) Danh sách kiểm sốt truy cập ATTT An tồn thơng tin CA (Certificate Authourity) Tổ chức cấp chứng Cisco ACL Danh sách kiểm soát truy cập Cisco DAC (Discretionary Access Control) Kiểm soát truy cập tuỳ quyền DdoS (Distrubuted DoS) Từ chối dịch vụ phân tán DES (Data Encrytion Standard) DSS (Digital Signature Standard) DoS ( Denial of Service) Từ chối dịch vụ FTP (File Transfer Protocol) Giao thức truyền file gcd (greatest common divion) Ước số chung lớn HIDS (Host IDS) HTTP (Hypertext Transfer Protocol) ICMP (Internet Control Giao thức truyền siêu văn Message Giao thức kiểm sốt thơng điệp mạng Protocol) IDS (Intrustion Detect System) IETF (Internet Engineering Hệ thống phát xâm nhập Task Force) IPS (Intrustion Prevent System) Hệ thống ngăn chặn xâm nhập ISP (Internet Service Providers) Nhà quản lí thiết bị mạng LBAC (Lattice Based Access Control) Kiểm soát truy cập dùng lưới MAC (Mandatory Access Control) Kiểm soát truy cập bắt buộc NIC (Network Interface Card) Card giao tiếp mạng NIDS (Network base IDS) PIN (Personal Identification Number ) Số định danh cá nhân LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com PKI (Public Key Infrastructure) Hạ tầng sở khố cơng khai RBAC (Role Base Access Control) Kiểm sốt truy cập sở vai trị SNMP (Simple Network Managerment Giao thức quản lí mạng Protocol) SSL (Secure Socket Layer) Khe cắm an toàn SYN (Synchronize) Đồng TA (Trusted Authority) Cơ quan uỷ thác cấp chứng thực TCP (Transmission Control Protocol) TCP/ IP (Transfer Control Protocol/ Internet Protocol) UDP (User Datagram Protocol) URL (Uniform Resource Locator) WAF (Web Application Firewall) Tường lửa ứng dụng web LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com CHƯƠNG 1: MỘT SỐ KHÁI NIỆM CƠ SỞ 1.1 KHÁI NIỆM MÃ HỐ 1.1.1 Hệ mã hóa Hệ mã hóa gồm thành phần (P, C, K, E, D) đó: P (Plaintext): tập hữu hạn rõ C (Ciphertext): tập hữu hạn mã K (Key): tập hữu hạn khóa E (Encrytion): tập hàm lập mã D (Decrytion): tập hàm giải mã Với k ∈ K, có hàm lập mã ek ∈ E, ek : P → C hàm giải mã dk∈ D, dk: C → P cho dk(ek(x)) = x , ∀ x ∈ P Mã hóa cho ta mã ek(P)= C Giải mã cho ta rõ dk(C)= P 1.1.2 Một số hệ mã hóa thường dùng Hệ mã hóa đối xứng hệ mã mà ta biết khóa lập mã, “dễ” tính khóa giải mã ngược lại Trong nhiều trường hợp khóa lập mã giải mã giống Hệ mã hóa đối xứng yêu cầu người nhận gửi phải thỏa thuận khóa trước thơng tin gửi Khóa phải giữ bí mật, độ an tồn hệ phụ thuộc vào khóa Nếu khóa bị lộ dễ giải mã Một số hệ mã hóa đối xứng: DES, RC2, RC4, RC5, IDEA, Hệ mã hóa phi đối xứng hệ mã mà biết khóa lập mã, khó” tính khố giải mã ngược lại Hệ cịn gọi hệ mã hóa khóa cơng khai khóa để mã hóa cơng khai Ta dùng khóa cơng khai để mã hóa thơng điệp, người có khóa giải mã đọc thơng điệp Một số hệ mã hoá phi đối xứng: RSA, Elgamal, LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 1.2 SƠ ĐỒ CHỮ KÍ ĐIỆN TỬ Chữ kí điện tử thơng tin kèm theo tài liệu khác văn bản, hình ảnh, nhằm xác định người chủ liệu đảm bảo tính tồn vẹn liệu Đồng thời cịn cung cấp chức chống chối bỏ người gửi thơng tin Sơ đồ kí điện tử gồm thành phần (P, A, K, S, V) đó: P tập hữu hạn văn A tập hữu hạn chữ kí K tập hữu hạn khóa Với k ∈ K, k = (k’, k’’), k’ khố bí mật để kí, k’’ khố cơng khai để kiểm thử chữ kí S tập thuật tốn kí V tập thuật tốn kiểm thử Với k ∈ K, có thuật toán ký sig k’ ∈ S, sig k: P → A thuật toán kiểm thử ver k’’ ∈ V, ver k’’: P x A → {đúng, sai}, thoả mãn điều kiện sau với x ∈ P, y ∈ A: ver k’’ (x,y) = đúng, y = sig k’(x) sai, y ≠ sig k’(x) Một số chữ kí điện tử: RSA, Elgamal, DSS, 1.3 HÀM BĂM (HASH FUNCTION) Giả sử D tập văn X tập văn tóm lược (đại diện) Việc tìm cho văn tóm lược tương ứng xác định hàm h: D→ X Hàm h gọi hàm băm Hàm băm thường phải thỏa mãn điều kiện sau: + Hàm băm phải hàm không va chạm mạnh + Hàm băm hàm phía + Hàm băm phải hàm không va chạm yếu LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 1.4 TỔNG QUAN VỀ ATTT 1.4.1 Một số khái niệm Hacker: kẻ xâm nhập vào mạng trái phép cách sử dụng công cụ phá mật khai thác điểm yếu thành phần truy nhập hệ thống Eavesdropping: đối tượng nghe trộm thông tin mạng, chúng sử dụng công cụ sniffer, sau dùng cơng cụ phân tích debug để lấy thơng tin có giá trị Sniffer: Trong bảo mật hệ thống sniffer hiểu công cụ (có thể phần mềm phấn cứng) “bắt” thông tin lưu chuyển mạng Dùng thông tin thu được, để “đánh hơi” lấy thơng tin có giá trị trao đổi mạng Hoạt động sniffer giống chương trình “bắt” thơng tin gõ từ bàn phím (key capture) Tuy nhiên, tiện ích key capture thực trạm làm việc cụ thể Cịn sniffer “bắt” thơng tin trao đổi nhiều trạm làm việc với 1.4.2 Một số toán ATTT Bài toán bảo mật: giữ bí mật người khơng có thẩm quyền Bài tốn tồn vẹn liệu: kiểm chứng tính tồn vẹn thơng tin Bài tốn xác nhận thực thể: xác định danh tính chủ thể Bài tốn chữ kí: dùng để gắn thơng tin với chủ thể xác định Bài tốn khơng chối bỏ: ngăn ngừa việc chối bỏ trách nhiệm cam kết có 1.4.3 Các yêu cầu đảm bảo ATTT 1) Yêu cầu bảo mật thông tin LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Tính bí mật thơng tin phép truy nhập người có quyền truy nhập Đây ba đặc tính quan trọng ATTT Tính bí mật mục tiêu hệ mã hố 2) u cầu bảo tồn thơng tin Trong lĩnh vực ATTT, tính bảo tồn (tồn vẹn) bảo đảm mục tiêu sau: ngăn ngừa việc thay đổi thông tin trái phép người dùng khơng có thẩm quyền, ngăn ngừa việc vô ý thay đổi thông tin người dùng có thẩm quyền, trì tính qn thơng tin 3) u cầu sẵn sàng Tính sẵn sàng thể thông tin đưa đến người dùng kịp thời, không bị gián đoạn Mọi hành vi làm gián đoạn q trình truyền thơng tin, khiến thơng tin khơng đến người dùng, cơng vào tính sẵn sàng hệ thống 4) u cầu xác thực Ngồi đặc tính trên, người ta cịn đưa tính xác thực Tính xác thực đảm bảo thông tin cần xác thực nguồn gốc Tính xác thực thường kèm với tính chống chối cãi, không cho phép người dùng chối bỏ thông tin họ 1.4.4 Một số giải pháp chung bảo đảm ATTT 1) Chính sách bảo đảm ATTT Là tập hợp qui tắc áp dụng cho đối tượng có tham gia quản lí, sử dụng tài ngun dịch vụ mạng Với mục tiêu giúp người dùng biết trách nhiệm việc bảo vệ thông tin, đồng thời giúp nhà quản trị thiết lập biện pháp bảo đảm hữu hiệu q trình trang bị, cấu hình kiểm sốt hoạt động hệ thống mạng 2) Giải pháp bảo đảm ATTT Là tập hợp biện pháp nhằm bảo đảm ATTT Ví dụ: Để bảo đảm ATTT có giải pháp : LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com (1) Kiểm soát truy nhập (2) “Che giấu thơng tin” (3) Kiểm sốt, xử lí “lỗ hỏng” thiếu an ninh CHƯƠNG 2: VẤN ĐỀ KIỂM SOÁT TRUY NHẬP 2.1 MỘT SỐ PHƯƠNG PHÁP KIỂM SOÁT TRUY NHẬP Kiểm soát truy nhập thường sử dụng phương pháp sau: Kiểm sốt truy cập trực tiếp vào hệ thống thơng tin (kiểm sốt truy nhập “thủ cơng”) Hệ thống tự động phát ngăn chặn xâm nhập vào\ hệ thống thơng tin (kiểm sốt truy nhập “tự động”) 2.1.1 Kiểm soát truy cập trực tiếp 2.1.1.1 Hệ thống kiểm soát truy cập trực tiếp Hệ thống kiểm soát truy cập trực tiếp cung cấp dịch vụ sau: nhận dạng xác thực (Indentification and Authentication), ủy quyền (Authorization), qui trách nhiệm (Accountability) 1) Dịch vụ nhận dạng xác thực: Xác định người đăng nhập vào hệ thống Nhận dạng xác thực: qui trình gồm bước nhằm xác thực người truy nhập vào hệ thống Nhận dạng phương pháp người dùng báo cho hệ thống biết họ Và hệ thống xác nhận có người khơng Xác thực qui trình xác minh danh hiệu người dùng Quá trình xác thực phải dựa vào yếu tố: + Những chi tiết mà người dùng biết trước như: mật khẩu, số định danh cá nhân (PIN) Việc cần thiết cho việc truy cập chương mục + Những người dùng có thẻ thông minh (smart card) dấu hiệu Điều dùng để mở khố chương mục + Những người dùng sở hữu bẩm sinh vân tay, giọng nói, 2) Dịch vụ ủy quyền: Xác định mà người dùng xác thực thi hành LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Sự ủy quyền: định nghĩa “quyền” “phép” người dùng hệ thống Sau người dùng chứng thực, việc ủy quyền định mà người dùng thi hành hệ thống 3) Dịch vụ qui trách nhiệm: Nhận dạng chứng thực hành vi, hoạt động mà người dùng thi hành họ sử dụng hệ thống 2.1.1.2 Mật 1) Tiêu chuẩn mật an toàn Sử dụng tối thiểu kí tự, nói chung mật dài độ an toàn cao Mật gồm nhóm kí tự sau: + Kí tự “số” + Chữ in + Chữ thường + Kí tự đặc biệt bàn phím @, &, #, … 2) Phương pháp tạo mật Mật người dùng tạo ra: Là mật người dùng tạo cho mục đích riêng họ Tuy nhiên, người dùng chọn mật thường thông tin cá nhân tên người thân, ngày sinh, … dùng mật ưa thích nhiều máy, mật dễ bị người khác đoán Mật máy tạo ra: Chương trình thường đưa cho người dùng số mật để họ lựa chọn, người dùng định cách gõ lại mật chọn Chương trình hoạt động theo chu kì, để mật bị lộ có hiệu lực thời gian định (gọi tuổi mật khẩu) Những mật hiệu chỉnh: LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Sơ đồ tạo mật hiệu chỉnh cho phép người quản trị hệ thống cung cấp cho người dùng phần mật khẩu, sở người dùng xây dựng mật theo tiêu chuẩn đề Sơ đồ gọi hiệu chỉnh người quản trị thay đổi độ dài thuộc tính khác xâu kí tự tạo 3) Các cơng dị tìm mật a) Tấn cơng tồn diện Trong cơng tồn diện, người cơng thử khả mà mật người dùng sử dụng Số mật tạo tuỳ thuộc vào hệ thống định Rõ ràng việc cơng tồn diện gặp khó khăn mật có độ dài lớn theo tiêu chuẩn chọn mật Tuy nhiên, để tìm mật cụ thể khơng cần thử tồn mật b) Tìm file mật hệ thống Cách dị tìm dựa theo việc suy đốn khả Do mật lưu máy, nên việc tìm file để đọc hướng hiệu Các file chứa mật thường mã hoá, file đọc mã Như dùng thuật tốn mã hố để tìm rõ tương ứng c) Các biện pháp dò tìm thơng minh Sử dụng virus dạng “Trojan Horse” để lấy cắp mật Các virus ghi lại mật khởi động máy làm giả thủ tục đăng nhập, đánh lừa người dùng để lấy cắp mật khẩu, chứa từ điển để dò tìm mật 4) Các biện pháp bảo vệ mật a) Bảo vệ mật người dùng Người dùng cần tuân thủ tiêu chuẩn lựa chọn mật khẩu; Khơng sử dụng từ có từ điển; Không ghi lại mật khẩu; Không tiết lộ mật khẩu; Thường xuyên thay đổi mật khẩu, khơng có nghi ngờ mật bị lộ b) Mật dùng lần LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 10 2.3.3 Mạng riêng ảo (Virtual Private Network - VPN) 2.3.3.1 Khái niệm mạng riêng ảo Mạng riêng ảo mạng dành riêng, để kết nối máy tính tổ chức với thơng qua mạng Internet công cộng Công nghệ VPN rõ yêu cầu bản: Cung cấp truy nhập từ xa tới tài nguyên tổ chức lúc, nơi Kết nối chi nhánh văn phòng với Kiểm soát truy nhập khách hàng, nhà cung cấp thực thể bên tới tài ngun tổ chức 2.3.3.2 Các mơ hình VPN • Truy cập từ xa: Các truy cập từ xa VPN đảm bảo kết nối bảo mật, mã hóa mạng riêng cơng ty với nhân viên qua nhà cung cấp thứ ba Có kiểu truy cập từ xa VPN: + Khởi tạo phía khách (Client Initiated): Người dùng từ xa sử dụng phần mềm VPN client, để thiết lập đường hầm an tồn tới mạng riêng, thơng qua ISP trung gian + Khởi tạo NAS (Network Access Server Initiated): Người dùng từ xa quay số tới ISP, NAS thiết lập đường hầm an toàn tới mạng riêng cần kết nối • Intranet VPN: Xây dựng mạng riêng ảo, để kết nối mạng cục vào mạng riêng thống Chẳng hạn cơng ty có nhiều địa điểm xa, địa điểm sử dụng mạng LAN LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 16 • Extranet VPN: Khi cơng ty có mối quan hệ mật thiết với cơng ty khác, họ sử dụng mơ hình mạng Extranet VPN để kết nối kiểu mạng LAN với LAN, cho phép cơng ty làm việc mơi trường có chia sẻ tài ngun 2.3.4 Hệ thống phát ngăn chặn xâm nhập 2.3.4.1 Hệ thống phát xâm nhập (Intrusion Detect System - IDS) Hệ thống phát xâm nhập cung cấp thêm cho việc bảo vệ thông tin mạng mức độ cao IDS cung cấp cho việc bảo vệ cách trang bị cho ta thông tin cơng Network IDS (NIDS)- hệ thống đọc gói tin ngầm (sniffer), Host IDS (HIDS)- phân tích log, kiểm tra tích hợp Sự khác chủ yếu NIDS HIDS liệu mà tìm kiếm Trong NIDS nhìn vào tồn cảnh chuyển dịch mạng, HIDS quan sát host, hệ điều hành ứng dụng 1) HIDS: Dùng để kiểm sốt lưu lượng thơng tin host, có khả tạo riêng biệt cho loại máy tính, giám sát kích thước file, checksum Chức HIDS: a) Giám sát Logfile: Một HIDS đơn giản thiết bị giám sát logfile, cố gắng phát xâm nhập cách phân tích log kiện hệ thống Thiết bị giám sát logfile tiếng swatch (Simple Watcher) (Xem http://www.oit.ucsb.edu/~eta/swatch ) Swatch quét tất đầu vào log tạo cảnh báo theo thời gian thực Giám sát logfile coi hệ thống phát xâm nhập theo cách đặc biệt Log chứa nhiều thông tin không trực tiếp liên quan đến xâm nhập b) Giám sát tính tồn vẹn: LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 17 Một công cụ giám sát tính tồn vẹn nhìn vào cấu trúc chủ yếu hệ thống để tìm thay đổi Giám sát toàn vẹn phổ biến Tripwire (http://www.tripwire.com) Tripwire nên cài đặt hệ thống cịn nguyên từ nhà sản xuất, với ứng dụng cần thiết trước kết nối với mạng Mấu chốt để sử dụng kiểm tra toàn vẹn hệ thống cho thiết bị phát xâm nhập xác định ranh giới an tồn, điều thiết lập trước hệ thống kết nối với mạng Nếu khơng có trạng thái an tồn cơng cụ kiểm tra tồn vẹn bị hạn chế, hacker giới thiệu thay đổi họ với hệ thống trước công cụ hoạt động lần đầu 2) NIDS NIDS có nhiệm vụ giám sát toàn hoạt động phân đoạn mạng hay mạng Điều thực nhờ vào việc thay đổi chế độ card giao tiếp mạng (NIC) NIDS Chức NIDS: + Nhận dạng dấu hiệu (signature matchers): IDS phát công dựa CSDL dấu hiệu cơng Khi hacker tìm cách khai thác lỗ hổng biết thì, IDS cố gắng đưa lỗi vào CSDL + Phát dấu hiệu bất thường: liên quan đến việc thiết lập móng hoạt động bình thường hệ thống hành vi mạng, sau cảnh báo cho ta thấy chệch hướng xuất LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 18 2.3.4.2 Hệ thống ngăn chặn xâm nhập (Intrusion Prevent System-IPS) Giải pháp ngăn ngừa xâm nhập nhằm mục đích bảo vệ tài nguyên, liệu mạng Chúng làm giảm bớt mối đe dọa công việc loại bỏ lưu lượng mạng bất hợp pháp, cho phép hoạt động hợp pháp tiếp tục Cấu trúc IPS gồm modul chính: Modul phân tích gói, modul phát cơng, modul phản ứng 1) Modul phân tích gói: Nhiệm vụ phân tích cấu trúc thơng tin gói tin Card giao tiếp mạng (NIC) máy giám sát đặt chế độ khơng phân loại, gói tin qua chúng chép chuyển lên lớp Bộ phân tích gói đọc thơng tin trường gói tin, xác định chúng thuộc kiểu gói tin nào, dịch vụ gì, Các thông tin chuyển đến modul phát công ) Modul phát công: Modul quan trọng hệ thống, có khả phát cơng Có phương pháp phát cơng xâm nhập: + Dị tìm lạm dụng (Missuse Detection): Phương pháp phân tích hoạt động hệ thống, tìm kiếm dựa dấu hiệu công, tức kiện giống mẫu cơng biết + Dị tìm khơng bình thường (Anomaly Detection): Là kĩ thuật dị thơng minh, nhận dạng hành động khơng bình thường mạng Chúng LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 19 lưu trữ mô tả, sơ lược hoạt động bình thường hệ thống Các cơng có hành động khác so với bình thường bị nhận dạng Phương pháp hữu hiệu việc phát cơng kiểu từ chối dịch vụ Nó phát kiểu công mới, cung cấp thông tin hữu ích bổ sung cho phương pháp dị lạm dụng Tuy nhiên, thường tạo số cảnh báo sai lầm làm giảm hiệu suất hoạt động mạng 3) Modul phản ứng: Khi có dấu hiệu cơng xâm nhập modul phát cơng gửi tín hiệu thơng báo đến modul phản ứng Khi đó, modul phản ứng kích hoạt Firewall thực chức ngăn chặn công Tại đưa cảnh báo tới người quản trị dừng lại hệ thống gọi hệ thống phòng thủ bị động Một số kĩ thuật ngăn chặn: + Chấm dứt phiên làm việc (Terminate Session): Hệ thống IPS gửi gói tin reset thiết lập lại giao tiếp tới Client Server Kết giao tiếp bắt đầu lại công bị ngừng lại + Hủy bỏ gói tin cơng (Drop Attack): Dùng firewall để hủy bỏ gói tin chặn đứng gói tin đơn, phiên làm việc, luồng thơng tin hacker victim Tuy vậy, dễ lầm với gói tin hợp lệ + Thay đổi sách tường lửa (Modify Firewall Policies): Cho phép người quản trị cấu hình lại sách bảo mật công xảy + Cảnh báo tức (Realtime Alerting): Gửi cảnh báo thời gian thực đến người quản trị để họ nắm chi tiết công, đặc điểm thông tin chúng + Tạo ghi log (Log packet): Các liệu gói tin lưu hệ thống file log để người quản trị theo dõi luồng thơng tin, dựa vào giúp cho modul phát công hoạt động Ba modul hoạt động tạo nên IPS hoàn chỉnh IPS xem thành công chúng hội tụ yếu tố thực nhanh, xác, LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 20 đưa thơng báo hợp lý, phân tích tồn thơng lượng, ngăn chặn thành cơng có sách quản lí mềm 2.3.4.3 Những hạn chế IDS /IPS Các sản phẩm IPS nhận biết trạng thái tầng ứng dụng (chỉ nhận biết dịng thơng tin tầng mạng) Do công tầng ứng dụng không bị phát ngăn chặn Hầu hết sản phẩm IPS khơng thể mã hóa giải mã gói tin truyền mạng Nếu hacker mã hóa gói tin họ cơng nghệ SSL, hệ thống IPS khơng thể phát Các sản phẩm IPS nhận biết công Hầu hết hệ thống IDS/ IPS có CSDL chứa thơng tin công xảy Nếu hacker dùng cách cơng khác, IPS khơng phát Hầu hết hệ thống IPS bảo vệ ứng dụng web sửa đổi liên tục Trong thực tế website ln nâng cấp, cập nhật thông tin mới, điều làm cho việc bảo mật diễn khó LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 21 2.3.5 Tường lửa ứng dụng Web (Web Application Firewall - WAF) 2.3.5.1 Khái niệm WAF WAF công nghệ bảo mật xuất cách vài năm, khơng bảo vệ tầng mạng, mà cịn bảo vệ tầng ứng dụng Nó có khả tự động tạo mơ hình bảo mật động ứng dụng web cách chủ động Mục tiêu hoạt động WAF là: + Duy trì gateway: cung cấp Firewall vị trí nhất, nhằm đảm bảo an ninh chống lại công vào luồng liệu web + Thay đổi mơ hình an ninh, ngăn chặn tất công trước chúng kịp xâm nhập vào ứng dụng + Xây dựng ngân hàng dấu hiệu công để kiểm tra, ngăn chặn công trước chúng kịp xâm nhập vào ứng dụng + Cung cấp tính phịng thủ theo chiều sâu 2.3.5.2 Các tính WAF 1) Kiểm tra “ chiều sâu” (Deep inspection) Sự phát triển công nghệ kiểm tra “ chiều sâu” diễn sau: + Cơng nghệ lọc gói tin (1985): Dựa việc sử dụng danh sách kiểm soát truy nhập, để thực việc cho phép hay từ chối dòng liệu, vào thơng tin gói IP liệu địa nguồn, địa đích + Công nghệ kiểm tra trạng thái (1993): Bổ sung thêm tính ngăn chặn việc cơng dựa thông tin tầng TCP việc tách ghép lại gói tin LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 22 + Kiểm tra “chiều sâu” (2003): Tích hợp hai cơng nghệ để xử lí dòng ứng dụng bảo vệ tài nguyên khỏi công Các sở công nghệ kiểm tra “deep”: + Mã hóa /giải mã tầng ứng dụng: WAF có khả mã hóa, giải mã nên nhìn bên dịng liệu để loại bỏ yếu tố công nằm + Chuẩn hóa: Các ứng dụng mã hóa nhiều định dạng khác unicode, URL Nếu định dạng đoạn mã nguy hiểm khác với dấu hiệu nhận dạng khơng thể phát WAF thực chuẩn hóa kiểu mã nên khắc phục điểm yếu + Sự phù hợp giao thức: Các liệu ứng dụng đóng gói theo giao thức khác như: HTTP, SMTP, Các hacker chèn thêm đoạn mã lạ vào gói liệu nhằm tạo bất ổn cho server WAF kiểm tra định dạng để phát đoạn mã lạ không cho chúng đến server nhằm đảm bảo tính phù hợp giao thức + Kiểm tra chiều: WAF kiểm tra phù hợp tham số theo hai chiều đàm thoại để phát công liệu đàm thoại diễn 2) Ngăn chặn công trước chúng xâm nhập vào ứng dụng Hacker công vào ứng dụng web theo qui trình sau: + Qt tồn trang web để tìm kiếm lỗ hổng + Tấn công vào điểm yếu từ tầng đến tầng + Xóa thay đổi dấu vết công web ghi lại, nhằm tránh bị phát Để chống lại công hacker WAF thực bước: + Dải lớp bảo vệ web: nhằm ngăn chặn việc quét website để tìm kiếm lỗ hổng hacker chúng sử dụng tool Whisker, Niko, LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 23 + Ngăn chặn công vào tất tầng: WAF kết hợp với kĩ thuật khác để kiểm tra, điều khiển việc truy nhập, vận chuyển dòng liệu tất tầng + Ngăn chặn việc xáo trộn việc ghi dấu hệ thống: WAF ngăn chặn việc xoá dấu vết xâm nhập hacker làm cho dấu hiệu nhận dạng có cơng bảo tồn 3) Những tính vượt trội WAF so với Firewll IDS/IPS Firewall IPS có hạn chế so với WAF Firewall IPS WAF Không thể ngăn chặn Có thể nhận cơng cơng mã hóa dịng nằm dòng liệu SSL liệu SSL mã hóa Các loại mã ứng dụng thơng thường Nó chuẩn hóa dịng liệu ứng vượt qua Firewall cách dễ dụng trước kiểm tra, nên việc lợi dàng dụng cách mã hóa khác bị ngăn chặn Firewall bảo vệ Có khă kiểm sốt dịng Server khỏi công ứng liệu mạng nên có khả bảo dụng web vệ server khỏi cơng vào ứng dụng web Các tính bảo vệ ứng dụng Phù hợp với việc bảo vệ ứng Firewall IPS đáp ứng dụng mơi trường phức tạp, mơi trường phức tạp sử dụng kĩ thuật “deep inspection” hai chiều Nó phân tích u cầu từ ứng dụng để định cách xử lí thích hợp Các Firewall sử dụng công nghệ Được thiết kế công nghệ tốc độ LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 24 Deep inspection mở cao, hiệu mạnh, có kĩ thuật xử lí rộng phạm vi yêu cầu nhanh chóng với phạm vi rộng Các Firewall cải tiến hiệu Việc đảm bảo an ninh hiệu năng hạ tầng ứng dụng ứng dụng cân 2.4 VẤN ĐỀ PHÂN QUYỀN TRUY NHẬP 2.4.1 Kiểm soát truy nhập Là biện pháp đảm bảo tất đối tượng truy nhập hệ thống tuân theo qui tắc, sách bảo vệ liệu Hệ thống kiểm soát truy nhập gồm người sử dụng tiến trình Chức hệ thống kiểm sốt truy nhập gồm phần: Tập sách qui tắc truy nhập: đặt kiểu khai thác thông tin lưu trữ hệ thống Tập thủ tục kiểm soát: kiểm tra yêu cầu truy nhập, cho phép hay từ chối yêu cầu khai thác Access Request Control Procedure Access denied Access permitted Access modification Security Policies Access Rules Hình 2.2: Hệ thống kiểm sốt truy nhập Chính sách an ninh (Security Policies): gồm sách sau: a) Chính sách kiểm sốt truy nhập Chính sách kiểm soát truy nhập thiết lập khả năng, cách để chủ thể đối tượng hệ thống nhóm lại, để dùng chung kiểu truy nhập đó, cho phép thiết lập việc chuyển quyền truy nhập LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 25 Chính sách kiểm sốt truy nhập liên quan đến thiết kế quản lí hệ thống cấp quyền khai thác Định danh (Identifier): gán cho đối tượng định danh (tên gọi) theo cách thống nhất, khơng có trùng lặp định danh Uỷ quyền (Authrization): uỷ quyền khai thác phép toán chủ thể đối tượng b) Chính sách giới hạn quyền truy nhập Để trả lời cho câu hỏi: thông tin truy nhập cho chủ thể đủ? Có sách bản: + Chính sách đặc quyền tối thiểu: Các chủ thể sử dụng lượng thông tin tối thiểu cần thiết cho hoạt động + Chính sách đặc quyền tối đa: Các chủ thể sử dụng lượng thông tin tối đa cần thiết cho hoạt động Tuy nhiên phải đảm bảo thông tin không bị xâm phạm mức cho phép Có hai kiến trúc kiểm sốt truy nhập: + Hệ thống đóng: u cầu có quyền truy nhập phép + Hệ thống mở: truy nhập khơng bị cấm phép c) Chính sách quản lí quyền truy nhập Chính sách quản lí quyền truy nhập dùng điều khiển tập trung phân tán Phân cấp uỷ quyền: chế kiểm soát thực nhiều trạm, tập trung điều khiển trạm Ví dụ: tổ chức trạm nút Chọn quyền sở hữu: mô tả quan hệ, mô tả người sở hữu đảm bảo quyền khai thác thông tin họ Quyết định tập thể: tài nguyên nhóm sở hữu, có yêu cầu truy nhập tài nguyên này, cần đồng ý nhóm Ví dụ: chia sẻ khố bí mật d) Chính sách phân cấp Đó sách kiểm sốt luồng thông tin, ngăn ngừa luồng thông tin tới đối tượng có mức phân loại thấp LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 26 Hệ thống có mức phân loại sau: = Thường (Unclassfied – U) = Mật (Confidential – C) = Tối mật (Secret – S) = Tuyệt mật (Top secret – TS) 2.4.2 Cơ chế kiểm soát truy nhập Kiểm soát truy nhập đến tài nguyên phải nhận dạng Các phương pháp nhận dạng tài nguyên khác tuỳ thuộc vào dạng tài nguyên Bảo vệ tài nguyên loại bỏ hai truy nhập ngẫu nhiên cố ý người dùng không phép Điều bảo đảm khả cấp quyền xác định, sau chấp nhận tiến trình cấp quyền truy nhập tới tài nguyên cần thiết để hồn thành tiến trình (ngun tắc đặc quyền tối thiểu) Theo nguyên tắc này, chương trình cho phép truy nhập tới tài nguyên cần thiết để hồn thành nhiệm vụ Cơ chế kiểm sốt truy nhập hoạt động theo kiểu phân cấp truy nhập Phân cấp truy nhập chế sử dụng kiểu đặc quyền đơn vị chương trình lồng Tuỳ theo chế kiểu đặc quyền, tiến trình hoạt động theo kiểu (trạng thái) khác nhau, đáp ứng đặc quyền thiết lập liên quan đến bảng dẫn thực Trong đa số hệ thống, tồn hai kiểu thực kiểu đặc quyền (supervisor - người giám sát) kiểu người dùng Sự khác hai kiểu dạng dẫn xử lí hoạt động đúng, kiểu đặc quyền chủ yếu quản lí hệ thống (chỉ dẫn xuất/ nhập, chuyển trạng thái, …) LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 27 KẾT LUẬN Kết khố luận tìm hiểu nghiên cứu tài liệu, để hệ thống lại vấn đề: Một số khái niệm ATTT Hai phương pháp kiểm soát truy nhập thường sử dụng Một số sách truy cập Một số kĩ thuật kiểm soát truy nhập LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 28 TÀI LIỆU THAM KHẢO Một số tài liệu [1] Hồng Hữu Thành (2006), Khóa luận “Vấn đề bảo mật web thương mại điện tử ”, Trường ĐH Công nghệ - ĐHQG Hà Nội [2] Lương Văn Phượng (2006), Khóa luận “Một số vấn đề an tồn sở liệu ”, Trường ĐH Cơng nghệ - ĐHQG Hà Nội [3] Đoàn Thu Hà, Đồ án “ Nghiên cứu lỗ hỏng bảo mật an tồn thơng tin”, Khoa CNTT - Trường ĐHDL Hải Phịng [3] Phan Đình Diệu (2002), Lý thuyết mật mã an tồn thơng tin, NXB Đại học Quốc gia Hà Nội Một số trang web: http://www.quantrimang.com http://www.llion.net http://vi.wikipedia.org LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 29 LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 30 ... thiếu an ninh CHƯƠNG 2: VẤN ĐỀ KIỂM SOÁT TRUY NHẬP 2.1 MỘT SỐ PHƯƠNG PHÁP KIỂM SOÁT TRUY NHẬP Kiểm soát truy nhập thường sử dụng phương pháp sau: Kiểm soát truy cập trực tiếp vào hệ thống thơng tin. .. biện pháp nhằm bảo đảm ATTT Ví dụ: Để bảo đảm ATTT có giải pháp : LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com (1) Kiểm soát truy nhập (2) “Che giấu thơng tin? ?? (3) Kiểm sốt, xử lí... (kiểm sốt truy nhập “thủ cơng”) Hệ thống tự động phát ngăn chặn xâm nhập vào hệ thống thơng tin (kiểm sốt truy nhập “tự động”) 2.1.1 Kiểm soát truy cập trực tiếp 2.1.1.1 Hệ thống kiểm soát truy