Khoá luận bảo đảm ATTT trong kiểm soát truy nhập

LỜI NĨI ĐẦU Khố luận trình bày bảo đảm ATTT kiểm soát truy nhập Khoá luận tập trung vào số phương pháp kiểm soát truy nhập, số sách truy cập, số kĩ thuật kiểm soát truy nhập Nội dung khoá luận gồm: Chương 1: Tập trung vào trình bày số khái niệm liên quan đến ATTT như: hệ mã hố, chữ kí điện tử, hàm băm Ngồi ra, trình bày cách tổng quan vấn đề ATTT như: yêu cầu giải pháp bảo đảm ATTT Đồng thời nêu toán ATTT Chương 2: Cho hiểu biết chung vấn đề kiểm soát truy nhập Phần này, tập trung vào trình bày số phương pháp kiểm sốt truy nhập, sách truy nhập, kĩ thuật kiểm sốt truy nhập Trình bày phương pháp thường sử dụng kiểm sốt truy nhập, kiểm sốt truy nhập “trực tiếp” kiểm soát truy nhập “tự động” Trình bày số sách kiểm sốt truy nhập Ở phần này, cho nhìn tổng quan sách kiểm sốt truy nhập Tiếp theo, khố luận trình bày kĩ thuật kiểm sốt truy nhập Đó là, hệ thống nhận dạng xác thực, tường lửa, mạng riêng ảo, hệ thống phát ngăn chặn xâm nhập, tường lửa ứng dụng web Ở phần này, ngồi việc cho có khái niệm bản, ưu nhược điểm kĩ thuật Trong q trình hồn thành đồ án tốt nghiệp, người viết không tránh khỏi thiếu sót Rất mong nhận đóng góp ý kiến thấy cô bạn LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Bảng danh mục từ, thuật ngữ ACL (Access Control List) Danh sách kiểm soát truy cập ATTT An tồn thơng tin CA (Certificate Authourity) Tổ chức cấp chứng Cisco ACL Danh sách kiểm soát truy cập Cisco CSDL Cơ sở liệu DAC (Discretionary Access Control) Kiểm soát truy cập tuỳ quyền DDoS (Distrubuted DoS) Từ chối dịch vụ phân tán DES (Data Encrytion Standard) DoS ( Denial of Service) Từ chối dịch vụ DSS (Digital Signature Standard) FTP (File Transfer Protocol) Giao thức truyền file gcd (greatest common divion) Ước số chung lớn HIDS (Host IDS) HTTP (Hypertext Transfer Protocol) ICMP (Internet Control Giao thức truyền siêu văn Message Giao thức kiểm sốt thơng điệp mạng Protocol) IDS (Intrustion Detect System) IETF (Internet Engineering Hệ thống phát xâm nhập Task Force) IPS (Intrustion Prevent System) Hệ thống ngăn chặn xâm nhập LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com ISP (Internet Service Providers) Nhà quản lí thiết bị mạng LBAC (Lattice Based Access Control) Kiểm soát truy cập dùng lưới MAC (Mandatory Access Control) Kiểm soát truy cập bắt buộc NIC (Network Interface Card) Card giao tiếp mạng NIDS (Network base IDS) PIN (Personal Identification Number ) Số định danh cá nhân PKI (Public Key Infrastructure) Hạ tầng sở khố cơng khai RBAC (Role Base Access Control) Kiểm sốt truy cập sở vai trị SNMP (Simple Network Managerment Giao thức quản lí mạng Protocol) SSL (Secure Socket Layer) Khe cắm an toàn SYN (Synchronize) Đồng TA (Trusted Authority) Cơ quan uỷ thác cấp chứng thực TCP (Transmission Control Protocol) TCP/ IP (Transfer Control Protocol/ Internet Protocol) UDP (User Datagram Protocol) URL (Uniform Resource Locator) WAF (Web Application Firewall) Tường lửa ứng dụng web LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com CHƯƠNG 1: MỘT SỐ KHÁI NIỆM CƠ SỞ 1.1 KHÁI NIỆM MÃ HỐ 1.1.1 Hệ mã hóa Hệ mã hóa gồm thành phần (P, C, K, E, D) đó: P (Plaintext): tập hữu hạn rõ C (Ciphertext): tập hữu hạn mã K (Key): tập hữu hạn khóa E (Encrytion): tập hàm lập mã D (Decrytion): tập hàm giải mã Với k ∈ K, có hàm lập mã ek ∈ E, ek : P → C hàm giải mã dk∈ D, dk: C → P cho dk(ek(x)) = x , ∀ x ∈ P Mã hóa cho ta mã ek(P)= C Giải mã cho ta rõ dk(C)= P 1.1.2 Một số hệ mã hóa thường dùng Hệ mã hóa đối xứng hệ mã mà ta biết khóa lập mã, “dễ” tính khóa giải mã ngược lại Trong nhiều trường hợp khóa lập mã giải mã giống Hệ mã hóa đối xứng yêu cầu người nhận gửi phải thỏa thuận khóa trước thơng tin gửi Khóa phải giữ bí mật, độ an tồn hệ phụ thuộc vào khóa Nếu khóa bị lộ dễ giải mã Một số hệ mã hóa đối xứng: DES, RC2, RC4, RC5, IDEA, LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Hệ mã hóa phi đối xứng hệ mã mà biết khóa lập mã, khó” tính khố giải mã ngược lại Hệ cịn gọi hệ mã hóa khóa cơng khai khóa để mã hóa cơng khai Ta dùng khóa cơng khai để mã hóa thơng điệp, người có khóa giải mã đọc thơng điệp Một số hệ mã hố phi đối xứng: RSA, Elgamal, Ví dụ: Hệ mã RSA (Rivest, Shamir, Adleman ) Mã RSA đề xuất năm 1977, tốn dựa tính “khó giải” tốn phân tích số thừa số nguyên tố Để xây dựng hệ mật mã khoá công khai RSA, ta chọn trước số nguyên n = p.q, với p q số nguyên tố lớn Chọn số a nguyên tố với Ф(n), với Ф(n) = (p-1) (q-1) Tính b cho b.a ≡ mod Ф(n) Sơ đồ mã hoá RSA : thành phần (P, C, K, E, D), kí hiệu mục 1.1.1 Mỗi khố k = (k’, k’’), k’ khố cơng khai dành cho việc lập mã, k’’ khố bí mật dành cho việc giải mã Chọn n = p.q với p, q số nguyên tố lớn Đặt P = C = Zn Chọn a nguyên tố với Ф(n) = (p-1)(q-1) Ta định nghĩa k = {(n, b, a): a.b ≡ mod Ф(n)} k (k’, k’’) với k’ = (n, b ) công khai, k’’ = a bí mật x ∈ P, y ∈ C, định nghĩa: Hàm mã hoá: ek’(x) = xa mod n Hàm giải mã: dk ‘’(y) = yb mod n LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 1.2 SƠ ĐỒ CHỮ KÍ ĐIỆN TỬ Chữ kí điện tử thông tin kèm theo tài liệu khác văn bản, hình ảnh, nhằm mục đích xác định người chủ liệu đảm bảo tính tồn vẹn liệu Đồng thời cịn cung cấp chức chống chối bỏ người gửi thơng tin Sơ đồ kí điện tử gồm thành phần (P, A, K, S, V) đó: P tập hữu hạn văn A tập hữu hạn chữ kí K tập hữu hạn khóa Với k ∈ K, k = (k’, k’’), k’ khố bí mật để kí, k’’ khố cơng khai để kiểm thử chữ kí S tập thuật tốn kí V tập thuật tốn kiểm thử Với k ∈ K, có thuật tốn ký sig k’ ∈ S, sig k: P → A thuật toán kiểm thử ver k’’ ∈ V, ver k’’: P x A → {đúng, sai}, thoả mãn điều kiện sau với x ∈ P, y ∈ A: ver k’’ (x,y) = đúng, y = sig k’(x) sai, y ≠ sig k’(x) Một số chữ kí điện tử: RSA, Elgamal, DSS, LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 1.3 HÀM BĂM (HASH FUNCTION) Giả sử D tập văn X tập văn tóm lược (đại diện) Việc tìm cho văn tóm lược tương ứng xác định hàm h: D→ X Hàm h gọi hàm băm Hàm băm hàm với đầu vào văn có độ dài thay đổi, đầu văn tóm lược có độ dài cố định đủ nhỏ Hàm băm thường phải thỏa mãn điều kiện sau: + Hàm băm phải hàm không va chạm mạnh: Khơng có thuật tốn tính thời gian đa thức để tìm x1, x2 ∈D cho x1 ≠ x2 h(x1 ) = h(x2 ) Tức tìm văn khác có đại diện “khó” + Hàm băm hàm phía: Tức cho x tính z = h(x) “dễ”, biết z tính x “khó” + Hàm băm phải hàm không va chạm yếu: Tức cho x ∈ D, khó tìm x’ ∈ D, x’ ≠ x h(x) = h(x’) LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 1.4 TỔNG QUAN VỀ ATTT 1.4.1 Một số khái niệm Hacker: kẻ xâm nhập vào mạng trái phép cách sử dụng công cụ phá mật khai thác điểm yếu thành phần truy nhập hệ thống Masquerader: kẻ giả mạo thông tin mạng Một số hình thức giả mạo giả mạo địa IP, tên miền Eavesdropping: đối tượng nghe trộm thông tin mạng, chúng sử dụng công cụ sniffer, sau dùng cơng cụ phân tích debug để lấy thơng tin có giá trị Sniffer: Trong bảo mật hệ thống sniffer hiểu cơng cụ (có thể phần mềm phấn cứng) “bắt” thông tin lưu chuyển mạng Dùng thông tin thu được, để “đánh hơi” lấy thông tin có giá trị trao đổi mạng Hoạt động sniffer giống chương trình “bắt” thơng tin gõ từ bàn phím (key capture) Tuy nhiên, tiện ích key capture thực trạm làm việc cụ thể Cịn sniffer “bắt” thông tin trao đổi nhiều trạm làm việc với 1.4.2 Một số toán ATTT Bài tốn bảo mật: giữ bí mật người khơng có thẩm quyền Bài tốn tồn vẹn liệu: kiểm chứng tính tồn vẹn thơng tin Bài tốn xác nhận thực thể: xác định danh tính chủ thể Bài tốn chữ kí: dùng để gắn thông tin với chủ thể xác định LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Bài tốn khơng chối bỏ: ngăn ngừa việc chối bỏ trách nhiệm cam kết có 1.4.3 Các yêu cầu đảm bảo ATTT 1) Yêu cầu bảo mật thông tin Theo tổ chức quốc tế chuẩn (International Organization for Standardization – IOS) tính bí mật thơng tin phép truy nhập người có quyền truy nhập Đây ba đặc tính quan trọng ATTT Tính bí mật mục tiêu hệ mã hố Ví dụ: Hệ thống bán hàng qua mạng phải đảm bảo bí mật thông tin tài khoản khách hàng 2) Yêu cầu bảo tồn thơng tin Trong lĩnh vực ATTT, tính bảo toàn (toàn vẹn) bảo đảm mục tiêu sau: ngăn ngừa việc thay đổi thông tin trái phép người dùng khơng có thẩm quyền, ngăn ngừa việc vơ ý thay đổi thơng tin người dùng có thẩm quyền, trì tính qn thơng tin Ví dụ: Bảng báo giá hay thông tin số chứng khốn khơng cần tính bí mật cần xác quản lí chặt chẽ thay đổi thơng tin 3) u cầu sẵn sàng Tính sẵn sàng thể thông tin đưa đến người dùng kịp thời, không bị gián đoạn Mọi hành vi làm gián đoạn q trình truyền thơng tin, khiến thơng tin khơng đến người dùng, cơng vào tính sẵn sàng hệ thống Ví dụ: Hệ thống phịng thủ tên lửa đạn đạo Mỹ phải đảm bảo tính sẵn sàng, để ngăn chặn công 4) Yêu cầu xác thực LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com Ngoài đặc tính trên, người ta cịn đưa tính xác thực Tính xác thực đảm bảo thơng tin cần xác thực nguồn gốc Tính xác thực thường kèm với tính chống chối cãi, khơng cho phép người dùng chối bỏ thông tin họ 1.4.4 Một số giải pháp chung bảo đảm ATTT 1) Chính sách bảo đảm ATTT Là tập hợp qui tắc áp dụng cho đối tượng có tham gia quản lí, sử dụng tài nguyên dịch vụ mạng Với mục tiêu giúp người dùng biết trách nhiệm việc bảo vệ thơng tin, đồng thời giúp nhà quản trị thiết lập biện pháp bảo đảm hữu hiệu trình trang bị, cấu hình kiểm soát hoạt động hệ thống mạng Một sách bảo mật coi hồn hảo gồm văn pháp qui, kèm theo cơng cụ bảo mật hữu hiệu nhanh chóng giúp người quản trị phát hiện, ngăn chặn truy nhập trái phép 2) Giải pháp bảo đảm ATTT Là tập hợp biện pháp nhằm bảo đảm ATTT Ví dụ: Để bảo đảm ATTT có giải pháp : (1) Kiểm sốt truy nhập (2) “Che giấu thơng tin” (3) Kiểm sốt, xử lí “lỗ hỏng” thiếu an ninh Ví dụ: Để kiểm sốt truy nhập có giải pháp chính: Kiểm sốt truy nhập “trực tiếp” Kiểm sốt truy nhập “tự động” LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 10 Nhiệm vụ phân tích cấu trúc thơng tin gói tin Card giao tiếp mạng (NIC) máy giám sát đặt chế độ không phân loại, gói tin qua chúng chép chuyển lên lớp Bộ phân tích gói đọc thơng tin trường gói tin, xác định chúng thuộc kiểu gói tin nào, dịch vụ gì, Các thông tin chuyển đến modul phát công ) Modul phát công: Modul quan trọng hệ thống, có khả phát cơng Có phương pháp phát cơng xâm nhập: + Dị tìm lạm dụng (Missuse Detection): Phương pháp phân tích hoạt động hệ thống, tìm kiếm dựa dấu hiệu công, tức kiện giống mẫu công biết Ưu điểm: phát cơng nhanh xác, khơng đưa cảnh báo sai làm giảm khả hoạt động mạng, giúp người quản trị xác định lỗ hổng bảo mật hệ thống Nhược điểm: Khơng phát cơng khơng có mẫu, cơng Do hệ thống phải cập nhật mẫu công + Dị tìm khơng bình thường (Anomaly Detection): Là kĩ thuật dị thơng minh, nhận dạng hành động khơng bình thường mạng Chúng lưu trữ mơ tả, sơ lược hoạt động bình thường hệ thống Các cơng có hành động khác so với bình thường bị nhận dạng Một số kĩ thuật giúp thực dò khơng bình thường cơng: - Dị tìm dựa vào ngưỡng (Threshold detection): Kĩ thuật nhấn mạnh thuật ngữ “đếm”, mức ngưỡng hoạt động bình thường đặt LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 34 - Dị tìm tự học (Self- learning detection): Kĩ thuật gồm bước, thiết lập hệ thống phát cơng chạy chế độ tự học thiết lập lịch sử để ghi lại hoạt động mạng Sau thời gian khởi tạo, hệ thống chạy chế độ cảm ứng theo dõi hoạt động bất thường mạng so với lịch sử thiết lập - Dị tìm giao thức khơng bình thường (Anomaly protocol detection): Căn vào hoạt động giao thức, dịch vụ hệ thống để tìm gói tin không hợp lệ, hoạt động bất thường dấu hiệu xâm nhập, công Kĩ thuật hiệu việc ngăn chặn hình thức quét mạng, quét cổng để thu thập thông tin Phương pháp dị khơng bình thường hệ thống hữu hiệu việc phát công kiểu từ chối dịch vụ Nó phát kiểu công mới, cung cấp thông tin hữu ích bổ sung cho phương pháp dò lạm dụng Tuy nhiên, thường tạo số cảnh báo sai lầm làm giảm hiệu suất hoạt động mạng 3) Modul phản ứng: Khi có dấu hiệu cơng xâm nhập modul phát cơng gửi tín hiệu thơng báo đến modul phản ứng Khi đó, modul phản ứng kích hoạt Firewall thực chức ngăn chặn công Tại đưa cảnh báo tới người quản trị dừng lại hệ thống gọi hệ thống phòng thủ bị động Một số kĩ thuật ngăn chặn: + Chấm dứt phiên làm việc (Terminate Session): Hệ thống IPS gửi gói tin reset thiết lập lại giao tiếp tới Client Server Kết giao tiếp bắt đầu lại công bị ngừng lại Nhược điểm: thời gian gửi gói tin reset chậm so với công; phương pháp không hiệu với giao thức hoạt động UDP DNS; gói reset phải có trường Sequence number server chấp LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 35 nhận Do hacker gửi gói tin với tốc độ nhanh trường Sequence number thay đổi phương pháp khó thực + Hủy bỏ gói tin cơng (Drop Attack): Dùng firewall để hủy bỏ gói tin chặn đứng gói tin đơn, phiên làm việc, luồng thơng tin hacker victim Tuy vậy, dễ lầm với gói tin hợp lệ + Thay đổi sách tường lửa (Modify Firewall Policies): Cho phép người quản trị cấu hình lại sách bảo mật công xảy + Cảnh báo tức (Realtime Alerting): Gửi cảnh báo thời gian thực đến người quản trị để họ nắm chi tiết công, đặc điểm thông tin chúng + Tạo ghi log (Log packet): Các liệu gói tin lưu hệ thống file log để người quản trị theo dõi luồng thơng tin, dựa vào giúp cho modul phát công hoạt động Ba modul hoạt động tạo nên IPS hoàn chỉnh IPS xem thành công chúng hội tụ yếu tố thực nhanh, xác, đưa thơng báo hợp lý, phân tích tồn thơng lượng, ngăn chặn thành cơng có sách quản lí mềm LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 36 2.3.4.3 Những hạn chế IDS /IPS So với Firewall, IDS/ IPS thể nhiều tính ưu việt Nó khơng có khả phát cơng, mà cịn chống lại công cách hữu hiệu Tuy hệ thống hạn chế sau: Các sản phẩm IPS nhận biết trạng thái tầng ứng dụng (chỉ nhận biết dịng thơng tin tầng mạng) Do công tầng ứng dụng không bị phát ngăn chặn Hầu hết sản phẩm IPS khơng thể mã hóa giải mã gói tin truyền mạng Nếu hacker mã hóa gói tin họ cơng nghệ SSL, hệ thống IPS khơng thể phát Các sản phẩm IPS nhận biết công Hầu hết hệ thống IDS/ IPS có CSDL chứa thơng tin công xảy Nếu hacker dùng cách cơng khác, IPS khơng phát Hầu hết hệ thống IPS bảo vệ ứng dụng web sửa đổi liên tục Trong thực tế website ln nâng cấp, cập nhật thông tin mới, điều làm cho việc bảo mật diễn khó LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 37 2.3.5 Tường lửa ứng dụng Web (Web Application Firewall - WAF) 2.3.5.1 Khái niệm WAF WAF công nghệ bảo mật xuất cách vài năm, khơng bảo vệ tầng mạng, mà cịn bảo vệ tầng ứng dụng Nó có khả tự động tạo mơ hình bảo mật động ứng dụng web cách chủ động Mục tiêu hoạt động WAF là: + Duy trì gateway: Thay phải chạy lắp miếng vá cho ứng dụng, cung cấp Firewall vị trí nhất, nhằm đảm bảo an ninh chống lại công vào luồng liệu web Như giảm chi phí thời gian việc bảo đảm an ninh cho ứng dụng web + Thay đổi mơ hình an ninh, ngăn chặn tất công trước chúng kịp xâm nhập vào ứng dụng + Nhằm khắc phục trạng phải vá ứng dụng bị cơng, xây dựng ngân hàng dấu hiệu công để kiểm tra, ngăn chặn công trước chúng kịp xâm nhập vào ứng dụng + Cung cấp tính phịng thủ theo chiều sâu LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 38 2.3.5.2 Các tính WAF 1) Kiểm tra “ chiều sâu” (Deep inspection) Sự phát triển công nghệ kiểm tra “sâu” diễn sau: + Cơng nghệ lọc gói tin (1985): Dựa việc sử dụng danh sách kiểm soát truy nhập, để thực việc cho phép hay từ chối dòng liệu, vào thơng tin gói IP liệu địa nguồn, địa đích + Cơng nghệ kiểm tra trạng thái (1993): Bổ sung thêm tính ngăn chặn việc cơng dựa thông tin tầng TCP việc tách ghép lại gói tin + Kiểm tra “chiều sâu” (2003): Tích hợp hai cơng nghệ để xử lí dòng ứng dụng bảo vệ tài nguyên khỏi công Các sở công nghệ kiểm tra “deep”: + Mã hóa/giải mã tầng ứng dụng: Các dòng liệu ứng dụng thường hacker mã hóa SSL truyền mạng nhằm tránh kiểm tra hệ thống Nhờ có khả LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 39 mã hóa, giải mã, WAF nhìn bên dòng liệu để loại bỏ yếu tố cơng nằm + Chuẩn hóa: Các ứng dụng mã hóa nhiều định dạng khác unicode, URL Nếu định dạng đoạn mã nguy hiểm khác với dấu hiệu nhận dạng khơng thể phát WAF thực chuẩn hóa kiểu mã nên khắc phục điểm yếu + Sự phù hợp giao thức: Các liệu ứng dụng đóng gói theo giao thức khác như: HTTP, SMTP, Các hacker chèn thêm đoạn mã lạ vào gói liệu nhằm tạo bất ổn cho server WAF kiểm tra định dạng để phát đoạn mã lạ khơng cho chúng đến server nhằm đảm bảo tính phù hợp giao thức + Kiểm tra chiều: Các thơng điệp đàm thoại mạng phải có phù hợp với thông số liệu WAF kiểm tra phù hợp tham số theo hai chiều đàm thoại để phát công liệu đàm thoại diễn 2) Ngăn chặn công trước chúng xâm nhập vào ứng dụng Hacker cơng vào ứng dụng web theo qui trình sau: + Qt tồn trang web để tìm kiếm lỗ hổng + Tấn công vào điểm yếu từ tầng đến tầng + Xóa thay đổi dấu vết công web ghi lại, nhằm tránh bị phát Để chống lại công hacker WAF thực bước: + Dải lớp bảo vệ web: nhằm ngăn chặn việc quét website để tìm kiếm lỗ hổng hacker chúng sử dụng tool Whisker, Niko, LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 40 + Ngăn chặn công vào tất tầng: WAF kết hợp với kĩ thuật khác để kiểm tra, điều khiển việc truy nhập, vận chuyển dòng liệu tất tầng + Ngăn chặn việc xáo trộn việc ghi dấu hệ thống: Hacker thường cơng vào máy tính để thay đổi xóa dấu hiệu ghi lại nhằm xóa dấu vết xâm nhập hệ thống WAF ngăn chặn việc phá hoại hacker làm cho dấu hiệu nhận dạng có cơng bảo tồn 3) Những tính vượt trội WAF so với Firewll IDS/IPS Firewall IPS có hạn chế so với WAF Firewall IPS WAF Không thể ngăn chặn Có thể nhận cơng cơng mã hóa dịng nằm dịng liệu SSL liệu SSL mã hóa Các loại mã ứng dụng thơng thường Nó chuẩn hóa dịng liệu ứng vượt qua Firewall cách dễ dụng trước kiểm tra, nên việc lợi dàng dụng cách mã hóa khác bị ngăn chặn Firewall khơng thể bảo vệ Có khă kiểm sốt dịng Server khỏi cơng ứng liệu mạng nên có khả bảo dụng web vệ server khỏi công vào ứng dụng web LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 41 Các tính bảo vệ ứng dụng Phù hợp với việc bảo vệ ứng Firewall IPS đáp ứng dụng môi trường phức tạp, mơi trường phức tạp sử dụng kĩ thuật “deep inspection” hai chiều Nó phân tích yêu cầu từ ứng dụng để định cách xử lí thích hợp Được thiết kế công nghệ tốc độ Các Firewall sử dụng công nghệ Deep inspection mở cao, hiệu mạnh, có kĩ thuật xử lí u cầu nhanh chóng với phạm vi rộng phạm vi rộng Các Firewall cải tiến hiệu Việc đảm bảo an ninh hiệu năng hạ tầng ứng dụng ứng dụng cân 2.4 VẤN ĐỀ PHÂN QUYỀN TRUY NHẬP 2.4.1 Kiểm soát truy nhập Là biện pháp đảm bảo tất đối tượng truy nhập hệ thống tuân theo qui tắc, sách bảo vệ liệu Hệ thống kiểm soát truy nhập gồm người sử dụng tiến trình Các chủ thể khai thác liệu, chương trình thơng qua phép tốn Chức hệ thống kiểm soát truy nhập gồm phần: Tập sách qui tắc truy nhập: đặt kiểu khai thác thông tin lưu trữ hệ thống Tập thủ tục kiểm soát: kiểm tra yêu cầu truy nhập, cho phép hay từ chối yêu cầu khai thác Access Request Control Procedure Access denied Access permitted Access modification Security Policies Access Rules LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 42 Chính sách an ninh (Security Policies): gồm sách sau: a) Chính sách kiểm sốt truy nhập Chính sách kiểm sốt truy nhập thiết lập khả năng, cách để chủ thể đối tượng hệ thống nhóm lại, để dùng chung kiểu truy nhập đó, cho phép thiết lập việc chuyển quyền truy nhập Chính sách kiểm sốt truy nhập liên quan đến thiết kế quản lí hệ thống cấp quyền khai thác Cách thông thường để đảm bảo an ninh CSDL định danh đối tượng tham gia hệ thống xác định quyền truy nhập chủ thể tới đối tượng Định danh (Identifier): gán cho đối tượng định danh (tên gọi) theo cách thống nhất, khơng có trùng lặp định danh Uỷ quyền (Authrization): uỷ quyền khai thác phép toán chủ thể đối tượng b) Chính sách giới hạn quyền truy nhập Để trả lời cho câu hỏi: thơng tin truy nhập cho chủ thể đủ? Người ta đưa hai sách bản, sách đặc quyền tối thiểu sách đặc quyền tối đa + Chính sách đặc quyền tối thiểu: Các chủ thể sử dụng lượng thông tin tối thiểu cần thiết cho hoạt động + Chính sách đặc quyền tối đa: Các chủ thể sử dụng lượng thông tin tối đa cần thiết cho hoạt động Tuy nhiên phải đảm bảo thông tin khơng bị xâm phạm q mức cho phép Có hai kiến trúc kiểm sốt truy nhập: Hệ thống đóng: yêu cầu có quyền truy nhập phép LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 43 Hệ thống mở: truy nhập khơng bị cấm phép c) Chính sách quản lí quyền truy nhập Chính sách quản lí quyền truy nhập dùng điều khiển tập trung phân tán Việc lựa chọn sách an ninh, kết hợp để có sách phù hợp Phân cấp uỷ quyền: chế kiểm soát thực nhiều trạm, tập trung điều khiển trạm Ví dụ: tổ chức trạm nút Chọn quyền sở hữu: mô tả quan hệ, mô tả người sở hữu đảm bảo quyền khai thác thông tin họ Quyết định tập thể: tài nguyên nhóm sở hữu, có yêu cầu truy nhập tài nguyên này, cần đồng ý nhóm Ví dụ: chia sẻ khố bí mật d) Chính sách phân cấp Đó sách kiểm sốt luồng thơng tin, ngăn ngừa luồng thơng tin tới đối tượng có mức phân loại thấp Hệ thống có mức phân loại sau: = Thường (Unclassfied – U) = Mật (Confidential – C) = Tối mật (Secret – S) = Tuyệt mật (Top secret – TS) LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 44 2.4.2 Cơ chế kiểm soát truy nhập Kiểm soát truy nhập đến tài nguyên phải nhận dạng Các phương pháp nhận dạng tài nguyên khác tuỳ thuộc vào dạng tài nguyên Bảo vệ tài nguyên loại bỏ hai truy nhập ngẫu nhiên cố ý người dùng không phép Điều bảo đảm khả cấp quyền xác định, sau chấp nhận tiến trình cấp quyền truy nhập tới tài nguyên cần thiết để hồn thành tiến trình (ngun tắc đặc quyền tối LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 45 thiểu) Theo nguyên tắc này, chương trình cho phép truy nhập tới tài nguyên cần thiết để hồn thành nhiệm vụ Cơ chế kiểm soát truy nhập hoạt động theo kiểu phân cấp truy nhập Phân cấp truy nhập chế sử dụng kiểu đặc quyền đơn vị chương trình lồng Tuỳ theo chế kiểu đặc quyền, tiến trình hoạt động theo kiểu (trạng thái) khác nhau, đáp ứng đặc quyền thiết lập liên quan đến bảng dẫn thực Trong đa số hệ thống, tồn hai kiểu thực kiểu đặc quyền (supervisor - người giám sát) kiểu người dùng Sự khác hai kiểu dạng dẫn xử lí hoạt động đúng, kiểu đặc quyền chủ yếu quản lí hệ thống (chỉ dẫn xuất/ nhập, chuyển trạng thái, …) KẾT LUẬN Kết khố luận tìm hiểu nghiên cứu tài liệu, để hệ thống lại vấn đề: Một số khái niệm ATTT Hai phương pháp kiểm soát truy nhập thường sử dụng Một số sách truy cập LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 46 Một số kĩ thuật kiểm soát truy nhập TÀI LIỆU THAM KHẢO Một số tài liệu: [1] Hồng Hữu Thành (2006), Khóa luận “Vấn đề bảo mật web thương mại điện tử ”, Trường ĐH Công nghệ - ĐHQG Hà Nội [2] Lương Văn Phượng (2006), Khóa luận “Một số vấn đề an toàn sở liệu ”, Trường ĐH Công nghệ - ĐHQG Hà Nội LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 47 [3] Đoàn Thu Hà, Đồ án “ Nghiên cứu lỗ hỏng bảo mật an tồn thơng tin”, Khoa CNTT - Trường ĐHDL Hải Phịng [4] Phan Đình Diệu (2002), Lý thuyết mật mã an tồn thơng tin, NXB Đại học Quốc gia Hà Nội Một số trang web: http://www.quantrimang.com http://www.llion.net http://vi.wikipedia.org LUAN VAN CHAT LUONG download : add luanvanchat@agmail.com 48 ... ngăn chặn truy nhập trái phép 2) Giải pháp bảo đảm ATTT Là tập hợp biện pháp nhằm bảo đảm ATTT Ví dụ: Để bảo đảm ATTT có giải pháp : (1) Kiểm sốt truy nhập (2) “Che giấu thơng tin” (3) Kiểm sốt,... phát ngăn chặn xâm nhập vào hệ thống thông tin (kiểm soát truy nhập “tự động”) 2.1.1 Kiểm soát truy cập trực tiếp 2.1.1.1 Hệ thống kiểm soát truy cập trực tiếp Hệ thống kiểm soát truy cập trực tiếp... KIỂM SOÁT TRUY NHẬP 2.1 MỘT SỐ PHƯƠNG PHÁP KIỂM SỐT TRUY NHẬP Kiểm sốt truy nhập thường sử dụng phương pháp sau: Kiểm soát truy cập trực tiếp vào hệ thống thơng tin (kiểm sốt truy nhập “thủ công”)