DỰ THẢO ”Hướng dẫn đảm bảo an toàn thông tin cho cổng thông tin điện tử”

BỘ THÔNG TIN VÀ TRUYỀN THÔNG TRUNG TÂM ỨNG CỨU KHẨN CẤP MÁY TÍNH VIỆT NAM DỰ THẢO ”Hướng dẫn đảm bảo an tồn thơng tin cho cổng thơng tin điện tử” Tóm tắt chung Nội dung hướng dẫn bao gồm: I Phạm vi đối tượng áp dụng II Tổng quan đảm bảo ATTT Trình bày tổng quan đảm bảo ATTT cho cổng TTĐT, bao gồm vấn đề III Hướng dẫn chi tiết Hướng dẫn chi tiết triển khai vấn đề đảm bảo ATTT cho Cổng thông tin điện tử: III.1 Xác định cấu trúc web III.2 Triển khai hệ thống phòng thủ III.2.1 Tổ chức mơ hình mạng hợp lý III.2.1 Tổ chức hệ thống phịng thủ Tóm tắt chung III.3 Thiết đặt cấu hình hệ thống máy chủ an toàn III.3.1 Cài đặt hệ điều hành máy chủ III.3.1.1 Linux III.3.1.2 Windows III.3.2 Web Server III.3.2.1 IIS III.3.2.2 Apache HTTP III.3.2.3 Apache Tomcat III.4 Vận hành ứng dụng web an tồn III.5 Thiết lập cấu hình CSDL an tồn III.6 Cài đặt ứng dụng bảo vệ III.7 Thiết lập chế lưu phục hồi IV Phụ lục I Phạm vi đối tượng áp dụng  Phạm vi  Cung cấp hướng dẫn kỹ thuật việc đảm bảo ATTT hệ thống phần cứng phần mềm cho cổng TTĐT, đồng thời thiết lập hệ thống phòng thủ bảo vệ Qua giúp đơn vị quản trị cổng TTĐT đánh giá mức độ ATTT lựa chọn giải pháp phù hợp nhằm xây dựng cổng TTĐT an toàn  Đối tượng áp dụng  Đối tượng áp dụng gồm cổng TTĐT Bộ, quan ngang Bộ, tỉnh, thành phố trực thuộc Trung ương II Tổng quan đảm bảo ATTT II Tổng quan đảm bảo ATTT Xác định cấu trúc web: xác định mơ hình thiết kế web đơn vị, qua có biện pháp tổ chức mơ hình web hợp lý, tránh khả công leo thang đặc quyền Triển khai hệ thống phòng thủ bao gồm: tổ chức mơ hình mạng hợp lý tổ chức hệ thống phòng thủ Phần giúp người quản trị có cách nhìn tổng quan tồn mơ hình mạng cổng TTĐT đơn vị, qua tổ chức mơ hình mạng hợp lý thiết đặt hệ thống phòng thủ quan trọng firewall, IDS/IPS, WAF (web application firewall) Thiết đặt cấu hình hệ thống máy chủ an tồn: Nội dung giúp người quản trị cấu hình hệ thống máy chủ cách hợp lý, tránh khả bị tin tặc công vào máy chủ làm ảnh hưởng đến hoạt động cổng TTĐT II Tổng quan đảm bảo ATTT Vận hành ứng dụng web an tồn: trình bày nội dung cần thực để vận hành ứng dụng web an toàn Ngồi ra, người quản trị tham khảo tài liệu công bố lỗi ATTT cổng TT ĐT để qua nhận diện nguy mắc lỗi cổng TTĐT đơn vị, có biện pháp khắc phục hợp lý sửa đổi mã nguồn web để loại bỏ nguy nói Thiết đặt cấu hình CSDL an tồn: thành phần quan trọng việc vận hành cổng TTĐT CSDL nơi lưu trữ toàn liệu quan trọng cổng TTĐT, thường bị tin tặc nhắm công khai thác Nội dung giúp người quản trị có thiết đặt hợp lý cho sở liệu, tránh lỗi dẫn đến khả bị cơng II Tổng quan đảm bảo ATTT Cài đặt ứng dụng bảo vệ: việc khắc phục lỗi cho thành phần cổng TTĐT, nội dung trình bày việc cài đặt ứng dụng bảo vệ cho cổng TTĐT AntiVirus hay Host Based IDS nhằm bảo vệ cổng TTĐT cách chủ động tổng quát Thiết lập chế lưu phục hồi: nội dung cuối hướng dẫn Đảm bảo ATTT cho cổng TTĐT Việc thiết lập chế lưu thường xuyên cho hệ thống nhằm giúp lưu lại tình trạng hệ thống hoạt động ổn định Các lưu sử dụng trường hợp KT lỗi hệ thống phục hồi hệ thống trạng thái trước bị công trường hợp lỗi khắc phục hay sửa chữa III Hướng dẫn chi tiết 1.Xác định cấu trúc web Một ứng dụng Web triển khai bao gồm lớp bản: Lớp trình diễn (Web Server) tức lớp nơi mà máy chủ cài đặt có tác dụng phục vụ yêu cầu Web hay nói cách khác lớp trình diễn tức máy chủ phục vụ Web (có thể là: IIS Server, Apache HTTP Server, Apache Tomcat Server, ) Lớp ứng dụng (Web Application) nơi kịch hay mã nguồn phát triển ứng dụng Web thực thi (có thể là: ASP.NET, PHP, JSP, Perl, Python, ) Lớp sở liệu (Database Server) nơi mà ứng dụng lưu trữ thao tác với liệu ứng dụng (có thể là: MySQL, SQL Server, Oracle, …) III Hướng dẫn chi tiết CÁC MƠ HÌNH ĐẢM BẢO AN TỒN THƠNG TIN 10 CHO CỔNG THƠNG TIN ĐIỆN TỬ III.3.3 Bảo vệ máy chủ web III.3.3.1 Máy chủ IIS Để bảo vệ cho máy chủ IIS cần thực số biện pháp sau:    Nên sử dụng giao thức mã hóa SSL TLS nhằm mã hóa kết nối an tồn Cần thiết lập thuộc tính Audit Policy máy chủ IIS môi trường làm việc đảm bảo tồn thơng tin người dùng đăng nhập vào hệ thống ghi lại Tất liệu truy cập ghi lại nhật ký Cần thiết lập "Deny access to this computer from the network", với thiết lập định tài khoản bị cấm truy cập tới máy chủ IIS từ mạng tài khoản người dùng bị hạn chế đảm bảo tính bảo mật cao Dưới người dùng cần phải thiết lập chế độ cấm nêu trên: ANONYMOUS LOGON, Built-in Administrator Guest 26 III.3.3 Bảo vệ máy chủ web III.3.3.1 Máy chủ IIS (tiếp)    Nên sử dụng giao thức mã hóa SSL TLS nhằm mã hóa kết nối an tồn Cần thiết lập thuộc tính Audit Policy máy chủ IIS mơi trường làm việc đảm bảo tồn thông tin người dùng đăng nhập vào hệ thống ghi lại Tất liệu truy cập ghi lại nhật ký Cần thiết lập "Deny access to this computer from the network", với thiết lập định tài khoản bị cấm truy cập tới máy chủ IIS từ mạng tài khoản người dùng bị hạn chế đảm bảo tính bảo mật cao Dưới người dùng cần phải thiết lập chế độ cấm nêu trên: ANONYMOUS LOGON, Built-in Administrator Guest 27 III.3.3 Bảo vệ máy chủ web III.3.3.2 Máy chủ Apache HTTP    Tối ưu hóa việc sử dụng thành phần (module) việc gỡ bỏ thành phần không cần thiết Một số thành phần khuyến cáo nên gỡ bỏ khỏi Apache: mod_userid, mod_info, mod_status, mod_include Giới hạn quyền truy cập: Tạo tài khoản, nhóm người dùng riêng (khác root) để thực thi apache Không cho phép sử dụng tài khoản để đăng nhập cách chỉnh sửa nội dung tập tin passwd Điều khiển truy cập: Sử dụng mục (Directory) để điều khiển trình truy cập đến thư mục không mong muốn (thư mục root, admin, administrator…) Không cho phép duyệt qua thư mục gốc (root) 28 III.3.3 Bảo vệ máy chủ web III.3.3.2 Máy chủ Apache HTTP (tiếp)      Hạn chế tối đa việc sử dụng options sau: MultiViews, ExecCGI, FollowSymLinks, SymLinksIfOwnerMatch Gỡ bỏ tất trang html mặc định, hướng dẫn sử dụng, thông tin liên quan Web server, điều khiển Server Status, Server Information Tắt chức HTTP TRACE Bảo vệ tập tin cấu hình.htaccess Tổ chức trình ghi nhật ký: Cấu hình Error Log, Cấu hình Access Log Đối với số trang thơng tin cần mã hóa truy cập sử dụng qua SSL/TLS nhờ module mod_ssl Hạn chế thông tin Web server Điều chỉnh thông số tối ưu: môt số thiết lập tham khảo : timeout; keepalive; MaxKeepAliveRequests; KeepAliveTimeout; LimitRequestline v.v 29 III.4 Vận hành ứng dụng web an toàn III.4.1 Kiểm tra hoạt động web an tồn  Kiểm tra việc lộ thơng tin nhạy cảm qua cơng cụ tìm kiếm, bước nhằm đảm bảo ứng dụng web không hiển thị thông tin riêng phiên bản, cấu trúc thư mục, … lên kết cơng cụ tìm kiếm  Kiểm tra chức đăng xuất, đăng nhập có hồn thành nhiệm vụ hay khơng  Thiết đặt quyền truy cập thích hợp vào tập tin thư mục nhạy cảm Xóa tập tin lưu dự phòng khỏi hệ thống 30 III.4 Vận hành ứng dụng web an toàn  Sử dụng CAPTCHA chế độ mật mạnh nhằm tránh trường hợp vượt qua CAPTCHA hay đoán mật ngắn  Kiểm tra trình quản lý tài khoản phiên ứng dụng, việc truyền gửi thông tin quan trọng tên đăng nhập mật cần mã hóa nhằm tránh tình trạng nghe liệu đường truyền Bên cạnh việc cấp phát mã hóa phiên đăng nhập cho người dùng cần an tồn nhằm tránh tình trạng tin tặc đốn hay giả mạo phiên  Xác định loại mã nguồn hỗ trợ web (JSP, ASP, PHP,…) kiểu framework phát triển web (mã nguồn mở, tự phát triển,…) để có biện pháp bảo vệ hợp lý khắc phục lỗ hổng có nguy 31 III.4 Vận hành ứng dụng web an toàn  Xây dựng triển khai hệ thống máy chủ Proxy dùng để kết nối từ bên vào từ bên giám sát để tránh mối đe dọa điều tra nguyên nhân hệ thống bị cơng  Nếu có nhiều website đặt chung máy chủ web, cần có biện pháp cách ly website ra, nhằm đảm bảo có website bị cơng chiếm quyền kiểm sốt website cịn lại bị ảnh hưởng  Thiết kế trang báo lỗi chung để trả cho tất lỗi mà hệ thống gặp phải Biện pháp nhằm giảm nguy bị công dựa theo thông báo lỗi ứng dụng 32 III.4 Vận hành ứng dụng web an toàn   Khắc phục lỗi phổ biến web Trong trang web thường có điểm cho người dùng nhập liệu vào mục “đăng nhập”, mục “tìm kiếm”, mục ID viết URL, … Ngồi việc giúp cho người dùng dễ dàng tương tác với ứng dụng web, mục không quản lý chặt chẽ trở thành nguy lớn để thực công vào ứng dụng web Các liệu bất hợp pháp nên lọc trước để bỏ qua không đưa vào truy vấn sở liệu siêu ký tự, biểu thức quy, ký tự mã hóa,… nhằm tránh cho ứng dụng trước nguy cơng  Có thể sử dụng biểu thức quy quy (áp dụng cho tất ngôn ngữ lập trình) để thực cơng việc Ví dụ, sử dụng biểu thức quy để lọc siêu ký tự 33 III.4 Vận hành ứng dụng web an toàn  Hướng dẫn số biện pháp hạn chế 10 lỗi ATTT cổng TTĐT:          Tấn công Injection (bao gồm kiểu công SQL Injection, OS Injection, LDAP Injection): Insecure Direct Object References Cross Site Request Forgery (CSRF ) Failure to Restrict URL Access Bẻ gãy chứng thực quản lý phiên Cấu hình bảo mật khơng an tồn Chuyển hướng chuyển tiếp khơng kiểm tra Lưu trữ mã hóa khơng an tồn Thiếu bảo vệ lớp vận chuyển 34 III.5 Thiết lập cấu hình CSDL an tồn Các hướng dẫn thiết lập cấu hình CSDL an tồn:      Ln cập nhật phiên vá lỗi cho sở liệu nhằm tránh lỗi công bố khai thác Gỡ bỏ sở liệu khơng sử dụng Gỡ bỏ vơ hiệu hóa thủ tục lưu trữ hàm nhạy cảm có tương tác với hệ thống nhằm tránh việc tương tác đến hệ thống từ sở liệu Tách biệt sở liệu sử dụng cho mục đích khác Khóa tất kết nối từ hệ thống từ ứng dụng khác ứng dụng web máy chủ web, không cho phép kết nối trực tiếp từ Internet đến database 35 III.5 Thiết lập cấu hình CSDL an tồn  Cấu hình ghi nhật ký theo dõi nhật ký làm việc sở liệu hợp lý  Giới hạn truy cập tài khoản sử dụng (khơng có quyền xóa thay đổi cấu trúc sở liệu)  Phân quyền cho tài khoản tập tin hệ thống  Gỡ bỏ thay đổi tài khoản mặc định thiết lập mật mạnh cho tài khoản sử dụng  Có chế lưu liệu mã hóa liệu lưu  Sử dụng cơng cụ để tìm kiếm lỗ hổng máy chủ SQL MBSA (MS SQL) 36 III.6 Cài đặt ứng dụng bảo vệ III.6.1 Cài đặt antivirus Việc cài đặt ứng dụng bảo vệ Anti-Virus (chống virus) có tác dụng lớn việc bảo vệ hệ thống Chúng hạn chế việc bị cài thêm mã độc trường hợp kẻ công xâm nhập vào hệ thống, hạn chế việc upload mã độc ứng dụng web bị lỗi III.6.2 Hostbase IDS Host Based IDS hệ thống phát xâm nhập máy chủ, đồng thời đưa cảnh báo hành động bất thường tài nguyên hệ thống Sử dụng Host Based IDS nhằm:  Cảnh báo có thay đổi mã nguồn ứng dụng  Cảnh báo có thay đổi tập tin hệ thống 37 III.7 Thiết lập chế lưu phục hồi III.7.1 Cơ chế lưu Sao lưu liệu điều kiện thiếu triển khai giải pháp kỹ thuật nhằm đảm bảo tính sẵn sàng liệu Vì thực lưu cần xác định số yêu cầu sau: Phạm vi lưu; Thời gian lưu; Nội dung lưu III.7.2 Cơ chế phục hồi Tùy thuộc vào tình trạng hệ thống chế lưu thiết lập mà lựa chọn chế phục hồi liệu cho hệ thống cách thích hợp:    Khôi phục nguyên trạng hệ thống Khôi phục phần riêng biệt (hệ điều hành, sở liệu, ứng dụng khác) Thường xuyên kiểm tra lưu để đảm bảo khả phục hồi thành công cần thiết 38 IV Các phục lục  Mười lỗi phổ biến cổng TTĐT  Thông tin tham khảo số sản phẩm an tồn thơng tin phổ biến:     Firewall mềm IDS Web application Firewall Phần mềm chống virus 39 XIN CHÂN THÀNH CẢM ƠN! Trần Tuấn Anh Email: ttanh@vncert.vn Tel: 0946.580.133 Phòng Kỹ thuật Hệ thống Trung tâm Ứng cứu khẩn cấp Máy tính Việt Nam 40 ...Tóm tắt chung Nội dung hướng dẫn bao gồm: I Phạm vi đối tượng áp dụng II Tổng quan đảm bảo ATTT Trình bày tổng quan đảm bảo ATTT cho cổng TTĐT, bao gồm vấn đề III Hướng dẫn chi... Nội dung giúp người quản trị có thiết đặt hợp lý cho sở liệu, tránh lỗi dẫn đến khả bị công II Tổng quan đảm bảo ATTT Cài đặt ứng dụng bảo vệ: việc khắc phục lỗi cho thành phần cổng TTĐT, nội dung... TTĐT Bộ, quan ngang Bộ, tỉnh, thành phố trực thuộc Trung ương II Tổng quan đảm bảo ATTT II Tổng quan đảm bảo ATTT Xác định cấu trúc web: xác định mơ hình thiết kế web đơn vị, qua có biện pháp