SỞ LAO ĐỘNG THƯƠNG BINH VÀ XÃ HỘI TRƯỜNG CAO ĐẲNG NGHỀ HÀ NAM GIÁO TRÌNH MÔN HỌC AN TOÀN MẠNG NGHỀ QUẢN TRỊ MẠNG MÁY TÍNH TRÌNH ĐỘ ĐỘ CAO ĐẲNG (Ban hành kèm theo Quyết định số 285QĐ CĐNHN Ngày 21 thá.giáo trình học tập, tài liệu cao đẳng đại học, luận văn tiến sỹ, thạc sỹ
SỞ LAO ĐỘNG THƯƠNG BINH VÀ XÃ HỘI TRƯỜNG CAO ĐẲNG NGHỀ HÀ NAM GIÁO TRÌNH MƠN HỌC: AN TỒN MẠNG NGHỀ: QUẢN TRỊ MẠNG MÁY TÍNH TRÌNH ĐỘ: ĐỘ: CAO ĐẲNG (Ban hành kèm theo Quyết định số: 285/QĐ-CĐNHN Ngày 21 tháng 07 năm 2017 Hiệu trưởng trường Cao đẳng Nghề Hà Nam) Hà Nam, năm 2017 TUYÊN BÓ BẢN QUYỀN: Tài liệu thuộc loại sách giáo trình nên nguồn thơng tin phép dùng nguyên trích dùng cho mục đích đào tạo tham khảo Mọi mục đích khác mang tính lệch lạc sử dụng với mục đích kinh doanh thiếu lành mạnh bị nghiêm cấm MÃ TÀI LIỆU : MHQTM 22 LỜI GIỚI THIỆU Trong năm qua, dạy nghề có bước tiến vượt bậc số lượng chất lượng, nhằm thực nhiệm vụ đào tạo nguồn nhân lực kỹ thuật trực tiếp đáp ứng nhu cầu xã hội Cùng với phát triển khoa học công nghệ giới, lĩnh vực Cơng nghệ thơng tin nói chung ngành Quản trị mạng Việt Nam nói riêng có bước phát triển đáng kể Chương trình dạy nghề Quản trị mạng xây dựng sở phân tích nghề, phần kỹ nghề kết cấu theo mô đun môn học Để tạo điều kiện thuận lợi cho sở dạy nghề trình thực hiện, việc biên soạn giáo trình theo mô đun đào tạo nghề cấp thiết Mơn học 22: An tồn mạng mơn học đào tạo chun mơn nghề biên soạn theo hình thức tích hợp lý thuyết thực hành Trong trình thực hiện, nhóm biên soạn tham khảo nhiều tài liệu An toàn mạng nước, kết hợp với kinh nghiệm thực tế Mặc dầu có nhiều cố gắng, không tránh khỏi khiếm khuyết, mong nhận đóng góp ý kiến độc giả để giáo trình hồn thiện Xin chân thành cảm ơn! Hà nam, ngày…tháng….năm 2017 “Biên soạn” Nguyễn Quốc Tuấn MỤC LỤC 1.1 Đối tượng công mạng (Intruder) 10 1.2 Các lỗ hổng bảo mật 11 2.1 Nguyên nhân 11 2.2 Bảo vệ liệu 11 2.3 Bảo vệ tài nguyên sử dụng mạng 11 2.4 Bảo bệ danh tiếng quan 11 1.1 Tại cần phải sử dụng mã hoá 10 1.2 Nhu cầu sử dụng kỹ thuật mã hoá 10 1.3 Q trình mã hố giải mã sau: 13 3.1 Mã hoá cổ điển: 14 3.2 Mã hoá đối xứng: 16 3.4 Hệ thống mã hoá khoá lai (Hybrid Cryptosystems): 18 2.1 NATtĩnh 20 2.2 NATđộng 21 3.1 Win 2003 cung cấp khái niệm NAT 23 Hoạt động NAT: 24 3.3 Cài Đặt cấu hình: 24 1.1 Tấn công trực tiếp 32 1.2 Nghe trộm 32 1.3 Giả mạo địa 32 1.4 Vơ hiệu hố chức hệ thống 32 1.5 Lỗi người quản trị hệ thống 32 1.6 Tấn công vào yếu tố người 32 3.1 Định nghĩa 34 3.2 Chức 34 3.3 Cấu trủc 34 3.4 Các thành phần Firewall chế hoạt động 34 3.4.1 BỘ lọc gói tin (Packet filtering router) 34 3.4.2 Cổng ứng dụng (application-level gateway) 35 3.4.3 Cổng vòng (circuit-Level Gateway) 37 3.5 3.6.2 Những hạn chế firewall 37 Screened Host Firewall 38 3.6.3 Demilitarized Zone (DMZ - khu vực phi quân sự) hay Screened-subnet Firewall 39 2.1 Tổng quan lệnh Danh sách truy cập 44 2.2 Danh sách truy cập chuẩn mạng TCP/IP 44 2.2.1.Kiếm tra gói tin với danh sách truy cập 44 2.2.3 Sử dụng bit mặt nạ ký tự đại diện 45 GIÁO TRÌNH MƠN HỌC Tên mơn học: An tồn mạng Mã số mơ đun: MHQTM22 Vị trí, tính chất, ý nghĩa vai trị mơ đun: - Vị trí: Mơ đun bố trí sau sinh viên học xong mơn học, mơ đun: Mạng máy tính Quản trị mạng - Tính chất: Là mơ đun chun mơn nghề - Ý nghĩa vai trị: Đây mô đun chuyên ngành ngành quản trị mạng, cung cấp cho sinh viên kiến thức bảo mật hệ thống mạng để làm tản cho việc bảo mật giải vấn đề cần thiết Mục tiêu mô đun: - Về kiến thức: + Xác định thành phần cần bảo mật cho hệ thống mạng; + Trình bày hình thức công vào hệ thống mạng; + Mô tả cách thức mã hố thơng tin; + Trình bày trình NAT hệ thống mạng; + Xác định khái niệm danh sách truy cập; + Mô tả nguyên tắc hoạt động danh sách truy cập; - Về kỹ năng: + Liệt kê danh sách truy cập chuẩn mạng TCP/IP; + Phân biệt loại virus thơng dụng cách phịng chống virus; - Về lực tự chủ trách nhiệm + Bố trí làm việc khoa học đảm bảo an toàn cho người phương tiện học tập Nội dung mơ đun: Thời gian (giờ) Số TT I Tên chương mục Chương 1: Tổng quan bảo mật an toàn mạng Tổng số Lý thuyết Thực hành/ thí nghiệm/ thảo luận/ Chương tập 10 1.Các khái niệm chung 2.Nhu cầu bảo vệ thơng tin II Chương 2: Mã hóa thơng tin 1.Đặc điểm chung 2.Mã hóa cổ điển 3.Mã hóa dùng khóa cơng khai Kiểm tra* (LT hoặcTH) III Chương 3: NAT 10 11 17 60 20 37 1.Giới thiệu 2.Các kỹ thuật NAT cổ điển 3.NAT window server IV Chương 4: Bảo vệ mạng tường lửa 1.Các kiểu cơng 2.Các mức bảo vệ an tồn Internet Firewall V Chương : Danh sách điều khiển truy cập Khái niệm danh sách truy cập Nguyên tắc hoạt động danh sách truy cập VI Chương 6: Virus cách phòng chống 1.Giới thiệu tổng quan virus 2.Cách thức lây lan phân loại virus 3.Ngăn chặn xâm nhập virus Cộng CHƯƠNG 1: TỔNG QUAN VỀ AN TỒN VÀ BẢO MẬT THƠNG TIN Mã Chương: MHQTM 22.1 Giới thiệu: Bảo mật lĩnh vực mà giới công nghệ thông tin quan tâm Một Internet đời phát triển, nhu cầu trao đổi thông tin trở nên cần thiết Mục tiêu việc nối mạng làm cho người sử dụng chung tài nguyên từ vị trí địa lý khác Cũng mà tài ngun dễ dàng bị phân tán, dẫn đến điều hiển nhiên chúng bị xâm phạm, gây mát liệu thơng tin có giá trị Càng giao thiệp rộng dễ bị cơng, quy luật Từ đó, vấn đề bảo vệ thông tin đồng thời xuất hiện, bảo mật đời Tất nhiên, mục tiêu bảo mật không nằm gói gọn lĩnh vực bảo vệ thơng tin mà nhiều phạm trù khác kiểm duyệt web, bảo mật internet, bảo mật http, bảo mật hệ thống toán điện tử giao dịch trực tuyến Mọi nguy mạng mối nguy hiểm tiểm tàng Từ lổ hổng bảo mật nhỏ hệ thống, biết khai thác lợi dụng với tầng suất cao kỹ thuật hack điêu luyện trở thành tai họa Theo thống kê tổ chức bảo mật tiếng CERT (Computer Emegancy Response Team) số vụ cơng ngày tăng Cụ thể năm 1989 có khoản 200 vụ, đến năm 1991 có 400 vụ, đến năm 1994 số tăng lên đến mức 1330 vụ, tăng mạnh thời gian tới Như vậy, số vụ công ngày tăng lên với mức độ chóng mặt Điều dễ hiểu, thực thể tồn hai mặt đối lập Sự phát triển mạnh mẽ công nghệ thông tin kỹ thuật làm cho nạn công, ăn cắp, phá hoại internet bùng phát mạnh mẽ Internet nơi hỗn loạn Mọi thông tin mà bạn thực truyền dẫn bị xâm phạm, chí cơng khai Bạn hình dung internet phịng họp, trao đổi phòng họp người khác nghe thấy Với internet người khơng thấy mặt nhau, việc nghe thấy thơng tin hợp pháp khơng hợp pháp Tóm lại, internet nơi an tồn Mà khơng internet loại mạng khác, mạng LAN, đến hệ thống máy tính bị xâm phạm Thậm chí, mạng điện thoại, mạng di động khơng nằm ngồi Vì nói rằng, phạm vi bảo mật lớn, nói khơng cịn gói gọn máy tính quan mà tồn cầu Mục tiêu: - Trình bày hình thức công vào hệ thống mạng; - Xác định thành phần hệ thống bảo mật; - Thực thao tác an toàn với máy tính Nội dung chính: Các khái niệm chung Mục tiêu: - Mô tả đối tượng tấng công hệ thống mạng ; - Xác định lỗ hổng bảo mật 1.1 Đối tượng công mạng (Intruder) Là cá nhân tổ chức sử dụng kiến thức mạng công cụ phá hoại (phần mềm phần cứng) để dị tìm điểm yếu, lỗ hổng bảo mật hệ thống, thực hoạt động xâm nhập chiếm đoạt tài nguyên mạng trái phép Một số đối tượng công mạng là: - Hacker: Là kẻ xâm nhập vào mạng trái phép cách sử dụng công cụ phá mật khai thác điểm yếu thành phần truy nhập hệ thống - Masquerader: Là kẻ giả mạo thông tin mạng Một số hình thức giả mạo giả mạo địa IP, tên miền, định danh người dùng - Eavesdropping: Là đối tượng nghe trộm thông tin mạng, sử dụng cơng cụ sniffer; sau dùng cơng cụ phân tích debug để lấy thơng tin có giá trị Những đối tượng cơng mạng nhằm nhiều mục đích khác nhau: ăn cắp thơng tin có giá trị kinh tế, phá hoại hệ thống mạng có chủ định, hành động vơ ý thức, thử nghiệm chương trình khơng kiểm tra cẩn thận 1.2 Các lỗ hổng bảo mật Các lỗ hổng bảo mật điểm yếu hệ thống ẩn chứa dịch vụ mà dựa vào kẻ cơng xâm nhập trái phép để thực hành động phá hoại chiếm đoạt tài nguyên bất hợp pháp Nguyên nhân gây lỗ hổng bảo mật khác nhau: lỗi thân hệ thống, phần mềm cung cấp, người quản trị yếu không hiểu sâu sắc dịch vụ cung cấp Mức độ ảnh hưởng lỗ hổng khác Có lỗ hổng ảnh hưởng tới chất lượng dịch vụ cung cấp, có lỗ hổng ảnh hưởng nghiêm trọng tới toàn hệ thống Nhu cầu bảo vệ thơng tin Mục tiêu: - Trình bày nhu cầu cần bảo vệ hệ thống mạng 2.1 Nguyên nhân Tài nguyên mà nói đến liệu Đối với liệu, cần quan tâm yếu tố sau: 2.2 Bảo vệ liệu Những thông tin lưu trữ hệ thống máy tính cần bảo vệ yêu cầu sau: - Bảo mật: thông tin có giá trị kinh tế, qn sự, sách vv cần bảo vệ không lộ thơng tin bên ngồi - Tính tồn vẹn: Thơng tin không bị mát sửa đổi, đánh tráo - Tính kịp thời: u cầu truy nhập thơng tin vào thời điểm cần thiết Trong yêu cầu này, thông thường yêu cầu bảo mật coi yêu cầu số thông tin lưu trữ mạng Tuy nhiên, thông tin khơng giữ bí mật, u cầu tính tồn vẹn quan trọng Khơng cá nhân, tổ chức lãng phí tài nguyên vật chất thời gian để lưu trữ thơng tin mà khơng biết tính đắn thơng tin 1.2 Bảo vệ tài ngun sử dụng mạng Trên thực tế, công Internet, kẻ công, sau làm chủ hệ thống bên trong, sử dụng máy để phục vụ cho mục đích chạy chương trình dị mật người sử dụng, sử dụng liên kết mạng sẵn có để tiếp tục công hệ thống khác 1.3 Bảo bệ danh tiếng quan Một phần lớn công không thông báo rộng rãi, nguyên nhân nỗi lo bị uy tín quan, đặc biệt công ty lớn quan quan trọng máy nhà nước Trong trường hợp người quản trị hệ thống biết đến sau hệ thống dùng làm bàn đạp để cơng hệ thống khác, tổn thất uy tín lớn để lại hậu lâu dài Chương tập thực hành học viên Câu 1: Trình bày đối tượng tấng cơng hệ thống mạng Câu 2: Đối với liệu, cần quan tâm yếu tố nào? Dạng tổng quát virus biểu diễn sơ đồ sau: Như giới thiệu định nghĩa virus, đoạn mã lúc phải trao quyền điều khiển Như vậy, rõ ràng virus phải khai thác chỗ hở mà máy ‘tự nguyện' trao quyền điều khiển lại cho Thực tế có hai khe hở, xét B-virus Lây vào mẫu tin khởi động bao gồm: - Master boot đĩa cứng - Boot sector đĩa cứng đĩa mềm B-virus kích hoạt ta khởi động máy tính đĩa nhiễm Lúc hệ thống chưa hệ điều hành (HĐH) kiểm sốt, B-virus khống chế hệ thống cách chiếm ngắt BIOS, chủ yếu Int 13 (phục vụ đĩa), Int (đồng hồ) Nhờ đặc điểm mà có khả lây Hệ điều hành Nếu Bvirus thiết kế nhằm mục đích phá hoại đối tượng chúng đĩa thành phần đĩa Để mở rộng tầm hoạt động, số loại cịn có khả cơng lên file q trình khởi động Hệ điều hành hồn tất, trường hợp ngoại lệ, có hành vi phá hoại giống F-virus Chúng ta xem xét thành phần đĩa, bao gồm master boot, boot sector, bảng FAT, bảng Thư mục, Vùng liệu a Master boot Master boot có mặt đĩa cứng, nằm sector 1, track 0, side Ngồi đoạn mã tìm HĐH đĩa, master boot chứa Partition table Đây bảng tham số nằm offset 1BEh, ghi nhận cấu trúc vật lý, địa bắt đầu kết thúc partition, partition chứa hệ điều hành hoạt động Các thông tin quan trọng, hệ thống rối loạn nhận dạng đĩa cứng chúng bị sai lệch Khi ghi vào master boot, virus thường giữ lại Partition table Do để diệt B-virus, ta cần cập nhật lại master boot Có thể dùng lệnh FDISK / MBR cho mục đích nói b Boot Sector Giống master boot, ghi vào boot sector, B-virus thường giữ lại bảng tham số đĩa (BPB-BIOS Parameter Block) Bảng nằm offset 0Bh boot sector, chứa thông số quan trọng dấu hiệu nhận dạng loại đĩa, số bảng FAT, số sector dành cho bảng FAT, tổng số sector đĩa Có thể phục hồi boot sector lệnh SYS.COM DOS Một số virus phá hỏng BPB khiến cho hệ thống không đọc đĩa môi trường (và lệnh SYS tác dụng) Đối với đĩa mềm, việc phục hồi boot sector (bao gồm BPB) đơn giản có vài loại đĩa mềm thơng dụng (360KB, 720KB, 1.2 MB, 1.44 MB), lấy boot sector đĩa mềm loại để 55 khơi phục BPB mà khơng cần format lại tồn đĩa Tuy nhiên vấn đề trở nên phức tạp đĩa cứng: BPB đĩa tạo trình FDISK dựa tùy chọn người dùng tham số phục vụ cho việc phân chia đĩa Trong số trường hợp, phần mềm NDD phục hồi BPB cho đĩa cứng, trước máy phải khởi động từ A (vì BPB đĩa cứng hư, không khởi động được), nên việc quản lý phần đĩa gặp nhiều khó khăn Tốt nên lưu lại boot sector đĩa cứng để phục hồi chúng cần thiết c Bảng FAT (File Allocation Table) Được định vị cách dễ dàng sau boot sector, FAT "miếng mồi ngon" cho virus Đây bảng ghi nhận trật tự lưu trữ liệu theo đơn vị liên cung (cluster) đĩa vùng liệu DOS Nếu hỏng mắt xích FAT, liệu liên quan khơng truy nhập Vì tính chất quan trọng nó, FAT ln DOS lưu trữ thêm bảng dự phịng nằm kề bảng Tuy nhiên virus đủ sức định vị FAT khiến cho tính cẩn thận DOS trở nên vô nghĩa Mặt khác, số DB- virus (Double Bvirus) thường chọn sector cuối FAT để lưu phần lại progvi Trong đa số trường hợp, người dùng thường cầu cứu chương trình chữa đĩa, chương trình định vị liên cung thất lạc, phục hồi phần FAT hỏng khơng thể khơi phục lại tồn từ bảng FAT chứa toàn "rác" Hơn thơng tin đĩa ln biến động, khơng thể tạo bảng FAT "dự phịng" đĩa mềm master boot boot sector Cách tốt lưu dự phòng tất liệu quan trọng phương tiện lưu trữ tin cậy d Bảng Thư mục (Root directory) Ngay sau FAT bảng Thư mục chứa tên hiển thị lệnh DIR\, bao gồm nhãn đĩa, tên file, tên thư mục Mỗi tên tổ chức thành entry có độ dài 32byte, chứa tên entry, phần mở rộng, thuộc tính, ngày giờ, địa lưu trữ, kích thước (nếu entry đặc tả tên file) DOS qui định thư mục kết thúc entry bắt đầu với giá trị Vì để vơ hiệu phần Root, virus cần đặt byte entry Nếu byte đặt đầu Root đĩa trống rỗng cách thảm hại! Trường hợp DB_virus chọn sector cuối Root để lưu phần lại progvi gây hậu giống trường hợp bảng FAT: vùng DOS sử dụng, entry bị phá hủy hồn tồn Vì số lượng entry Root có hạn, DOS cho phép ta tạo thêm thư mục để mở rộng entry vùng liệu Chính nội dung Root thường biến động chứa file hệ thống IO.SYS, MSDOS.SYS, COMMAND.COM, CONFIG SYS, AUTOEXEC.BAT, tên thư mục nằm gốc Do ta tạo Root dự phòng, với điều kiện sau khơng thay đổi/cập nhật entry Điều khơng cần thiết hệ thống có áp dụng biện pháp lưu liệu định kỳ e Vùng liệu Đây vùng chứa liệu đĩa, chiếm tỷ lệ lớn nhất, nằm sau Root Ngoại trừ số DB_virus sử dụng vài sector vùng để chứa phần lại progvi (xác suất ghi đè lên file thấp), vùng liệu coi vùng có độ an tồn cao, tránh "nhịm ngó" B_virus Chúng ta lợi dụng đặc điểm để bảo vệ liệu khỏi công B_virus (chủ yếu vào FAT Root, hai thành phần tạo dự phịng) Khi thực q trình phân chia đĩa FDISK, đa số người dùng có thói quen khai báo toàn đĩa cứng cho partition nhất, đĩa khởi động hệ thống Việc sử dụng ổ đĩa luận lý Ví dụ ta chia đĩa cứng làm hai ổ luận lý C D, ổ 56 C (chứa boot sector hệ điều hành) dùng để khởi động, tiện ích, phần mềm cài đặt lại cách dễ dàng, riêng ổ D dùng chứa liệu quan trọng Khi FAT, Root đĩa cứng bị B_virus công, ta cần cài đặt lại phần mềm C mà không sợ ảnh hưởng đến liệu D Nếu đĩa cứng đủ lớn, ta nên chia chúng theo tỷ lệ 1:1 (hoặc 2:3) để nâng cao hiệu sử dụng Với đĩa cứng nhỏ, tỷ lệ không đáp ứng nhu cầu lưu trữ phần mềm lớn, ta cần khai báo đĩa C với kích thước đủ cho hệ điều hành tiện ích cần thiết mà thơi Lúc tính kinh tế phải nhường chỗ cho an toàn Tuy nhiên giải pháp mang tính tương đối, tồn B_virus có khả tự định vị địa vật lý partition thứ hai để phá hoại vấn đề không đơn giản chút F-virus Nếu B_virus có khả lây nhiễm nhiều HĐH khai thác dịch vụ đĩa ROM BIOS, F_virus lây HĐH định ngược lại chúng khai thác nhiều dịch vụ nhập xuất HĐH Các F_virus DOS chủ yếu khai thác dịch vụ truy nhập file hàm ngắt 21h Một số sử dụng thêm ngắt 13h (hình thức phá hoại giống B_virus), ta cần xem xét trường hợp dùng ngắt 21h F_virus a Lây vào file thi hành Đặc điểm chung F_virus chúng phải đính progvi vào tập tin thi hành dạng COM, EXE, DLL, OVL Khi tập tin thi hành, F_virus khống chế vùng nhớ lây vào tập thi hành khác Do kích thước tập tin nhiễm lớn kích thước ban đầu Đây dấu hiệu đặc trưng để nhận dạng tồn F_virus file thi hành Để khắc phục nhược điểm này, số F_virus giải sau: - Tìm file buffer đủ lớn để chèn progvi vào Với cách này, virus lây số file Để mở rộng tầm lây nhiễm, chúng phải tốn thêm giải thuật đính progvi vào file virus khác, kích thước file lại tăng lên! - Khống chế hàm tìm, lấy kích thước file DOS, gây nhiễu cách trả lại kích thước ban đầu Cách hiệu quả, che dấu có mặt chúng file, hồn tồn tác dụng tập tin nhiễm kiểm tra kích thước hệ thống (khơng có mặt virus vùng nhớ), phần mềm DiskLook DiskEdit, PCTool - Lây trực tiếp vào cấu trúc thư mục đĩa (đại diện cho loại virus Dir2/FAT) Cách cho lại kích thước ban đầu tốt, kể môi trường Tuy nhiên ta dùng lệnh COPY để kiểm tra có mặt loại virus thư mục Hơn nữa, đời Windows 95 cáo chung cho họ virus Dir2/FAT, với mục đích bảo vệ tên file dài 13k Như việc phát F_virus file phụ thuộc vào việc giám sát thường xuyên kích thước file Để làm điều này, số chương trình AntiVirus thường giữ lại kích thước ban đầu làm sở đối chiếu cho lần duyệt sau Nhưng liệu kích thước lưu có thật "ban đầu" hay khơng? AntiVirus có đủ thơng minh để khẳng định tính tập tin hay không? Dễ dàng nhận thấy tập tin COM, EXE đối tượng công F_virus Các tập tin có giá trị hệ phần mềm định mà người dùng lưu lại dự phòng Vì vậy, có đủ sở để chắn gia tăng kích thước tập tin thi hành biện pháp tốt khởi động lại máy đĩa hệ thống sạch, sau tiến hành chép lại tập thi hành từ dự phòng 57 b Nhiễm vào vùng nhớ Khi lây vào file thi hành, F_virus phải bảo toàn tính logic chủ thể Do sau virus thực xong tác vụ thường trú, file chạy cách bình thường Việc thường trú F_virus làm sụp đổ hệ thống (là điều mà F_virus không mong đợi chút nào) chúng gây xung đột tính quán vùng nhớ, khai thác vùng nhớ không hợp lệ, làm rối loạn khối/trình điều khiển thiết bị hành Các cố thường xảy phần mềm đòi hỏi vùng nhớ phải tổ chức nghiêm ngặt, HĐH đồ sộ Windows 95 Thực tế cho thấy F_virus nhiễm vào file DLL (Dynamic Link Library - Thư viện liên kết động) Windows 95, HĐH khởi động Trong trường hợp tương tự, thường tốn nhiều công sức tiền bạc để cài đặt lại Windows 95 mà khơng đủ kiên nhẫn tìm nguyên nhân hỏng hóc vài EXE, DLL Khi thường trú, F_virus ln chiếm dụng khối nhớ định khống chế tác vụ nhập xuất HĐH Có thể dùng trình quản lý Có khám phá thú vị cho việc bảo vệ hệ thống khỏi lây nhiễm F_virus vùng nhớ chạy ứng dụng DOS (mà bạn không chắn chúng) Windows 95 Sau ứng dụng kết thúc, HĐH giải phóng tất trình thường trú cổ điển (kể F_virus) chúng sử dụng chương trình Phương pháp khơng cho F_virus thường trú sau Windows 95, không ngăn cản chúng lây vào file thi hành khác ứng dụng cịn hoạt động c Phá hoại liệu Ngồi việc phá hoại đĩa Int 13h B_virus, F_virus thường dùng chức file Int 21h để thay đổi nội dung tập tin liệu văn bản, chương trình nguồn, bảng tính, tập tin sở liệu, tập tin nhị phân Thông thường virus ghi "rác" vào file, dịng thơng báo "File was destroyed by virus " xóa hẳn file Đơi đối tượng phá hoại chúng lại phần mềm chống virus thịnh hành Vì file bị ghi đè (overwrite) nên ta khơng thể phục hồi liệu tình trạng ban đầu Biện pháp tốt làm trường hợp ngưng tác vụ truy nhập file, khỏi chương trình hành, diệt virus thường trú vùng nhớ Macro virus Thuật ngữ "Macro virus" dùng để chương trình sử dụng lệnh macro Microsoft Word Microsoft Excel Khác với F_virus truyền thống chuyên bám vào file thi hành, Macro virus bám vào tập tin văn DOC bảng tính XLS Khi tập tin Microsoft Word (hoặc Microsoft Excel) mở ra, macro kích hoạt, tạm trú vào NORMAL.DOT, lây vào tập DOC, XLS khác Đây hình thức lây mới, tiền thân chúng macro Concept Tuy ban đầu Concept "hiền" khơng che dấu kỹ thuật lây nên nhiều hacker khác dễ dàng nắm giải thuật, hình thành lực lượng virus "hậu Concept" đông đúc hãn Mối nguy hiểm loại virus thật không lường Chúng lợi dụng nhu cầu trao đổi liệu (dưới dạng văn thư, hợp đồng, biên bản, chứng từ ) thời đại bùng nổ thông tin để thực hành vi phá hoại Có trường hợp văn thơng báo công ty X gửi lên mạng lại chứa macro virus Dù vơ tình gây nhiều phiền tối, chứng tỏ tính phổ biến nguy hại loại virus "hậu sinh khả úy" Đặc biệt, biến thể macro virus có hình thức phá hoại "bom thư tin học" vừa phát thời gian gần Tên "khủng bố" gửi đến địa "nạn nhân" thư dạng tập tin DOC Người nhận gọi WinWord để xem, toàn đĩa cứng bị phá hoại Hậu sau rõ, liệu đĩa cứng bị 58 Tuy sử dụng macro Microsoft Word để thực hành vi xấu hình thức phá hoại loại khác với virus Virus phá hoại liệu máy tính cách ngẫu nhiên, địa không xác định "Bom thư tin học" nhằm vào địa cụ thể, sở liệu mà chúng biết vô giá Cũng không loại trừ khả chúng mạo danh người để thực âm mưu với dụng ý "một mũi tên trúng hai mục tiêu" Chúng ta phải tăng cường cảnh giác Để phòng chống loại virus macro này, sử dụng tập tin DOC, XLS bạn phải chắn chúng không chứa macro lạ (ngoài macro bạn tạo ra) Ngoại trừ hình thức phá hoại kiểu "bom thư", macro virus thường đếm số lần kích hoạt thực phá hoại (để chúng có thời gian lây) Vì mở tập tin, bạn chọn menu Tool/Macro (của WinWord) để xem văn có macro lạ hay khơng (kể macro khơng có tên) Nếu có, đừng ngần ngại xóa chúng Sau khỏi WinWord, xóa ln tập tin NORMAL.DOT Một số Macro virus có khả mã hóa progvi, che dấu menu Tool/Macro WinWord, không cho xóa macro , dấu hiệu chắn để tin macro virus rình rập xâu xé liệu bạn Hãy cô lập tập tin gửi chúng đến địa liên lạc AntiVirus mà bạn tin tưởng Trojan Trojan gì? Trojan mã độc hại có khả thực tác vụ bất hợp pháp, thường độc hại Bản thân Trojan chương trình bất hợp pháp lại che giấu chương trình hợp pháp Khác lớn Trojan virus khả nhân bản: Trojan gây thiệt hại cho máy tính, khởi tạo lỗi hệ thống, chí gây mát liệu lại khơng có khả nhân giống virus Ngược lại, Trojan có khả nhân phân loại thành virus Trojan lấy tên từ câu chuyện thần thoại cũ người Hy Lạp thời gian chiến tranh Họ tặng cho kẻ thù ngựa làm gỗ khổng lồ Kẻ thù người Hy Lạp chấp nhận quà tặng mang vào thành Ngay đêm đó, người lính Hy Lạp chui khỏi ngựa công thành, gây bất ngờ cho kẻ thù chiếm thành sau thời gian ngắn Trojan cịn có loại gọi Trojan 'chiếm quyền kiểu leo thang', thường sử dụng administrator (quản trị viên) cỏi Chúng nhúng vào ứng dụng hệ thống quản trị viên kích hoạt, chúng tạo cho hacker quyền cao hệ thống Những Trojan gửi tới người dùng có quyền cho họ quyền xâm nhập hệ thống Ngồi ra, cịn có số loại Trojan nữa, bao gồm chương trình tạo để chọc ghẹo, khơng có hại Các thơng báo Trojan thường là: 'Ô cứng bị bị format', 'password bạn bị lộ' Theo thống kê không đầy đủ, có gần 2.000 loại Trojan khác Đây 'phần tảng băng' thực chất số lượng loại Trojan lớn, hacker, lập trình viên hay nhóm hacker viết Trojan cho riêng Trojan khơng cơng bố lên mạng bị phát Chính số lượng đơng đảo, nên Trojan luôn vấn đề lớn bảo mật an tồn mạng Người dùng có an tồn trước Trojan phần mềm diệt virus Có nhiều người nghĩ họ an tồn có tay chương trình quét virus tốt với cập nhật nhất, máy tính họ hồn tồn 'miễn dịch' trước Trojan Thật khơng may, thực tế lại khơng hồn tồn Mục đích viết chương trình diệt virus phát virus 59 Trojan Và Trojan nhiều người biết đến, chuyên viên viết phần mềm diệt virus bổ sung vào chương trình qt virus Vì thế, điều hiển nhiên phần mềm diệt virus đành 'bó tay' trước Trojan chưa biết đến Cách thức lây nhiễm Trojan - Từ Mail: Trojan lây nhiễm theo đường thường có tốc độ lây lan nhanh Khi chúng 'chui' vào máy tính nạn nhân, việc Trojan làm 'gặt hái' địa mail address book phát tán theo địa - Từ ICQ: Nhiều người biết ICQ kênh truyền thông tin tiện lợi, nhiên lại mơi trường an tồn người đối thoại gửi Trojan lúc nói chuyện với Điều hồn tồn thực nhờ lỗi (bug) ICQ, cho phép gửi file dạng exe người nhận thấy chúng file dạng âm thanh, hình ảnh Để ngăn ngừa bug này, trước mở file bạn phải kiểm tra kiểu file (tức phần mở rộng file để biết thuộc loại nào) - Từ IRC: Cách lây nhiễm tương tự ICQ Mức độ nguy hiểm Trojan Khi Trojan lây nhiễm vào máy tính nạn nhân, người dùng khơng cảm thấy có điều bất thường Tuy nhiên, nguy hiểm lại phụ thuộc vào định hacker tác giả Trojan Đặc biệt, mức độ nguy hiểm trầm trọng máy tính nạn nhân nơi lưu trữ tài liệu mật tổ chức, công ty tập đồn lớn Hacker chép khai thác nguồn tài liệu đó, xóa chúng Phân loại Trojan Hiện có nhiều trojan, phân loại sau dựa vào tính chất chúng: - Trojan dùng để truy cập từ xa: Trojan nhiễm vào hệ thống, gửi username (tên đăng nhập), password (mật khẩu), địa IP máy tính cho hacker Từ tài nguyên này, hacker truy cập vào máy đó username password lấy - Trojan gửi mật khẩu: đọc tất mật lưu cache thông tin máy nạn nhân gửi cho hacker nạn nhân online - Trojan phá hủy tai hại loại Trojan tên nó, chúng có nhiệm vụ tiêu diệt tất file máy tính nạn nhân (file exe, dll, ini ) Thật 'bất hạnh' cho máy tính bị nhiễm Trojan này, tất liệu máy tính chẳng cịn - FTP Trojan: loại mở cổng 21 máy nạn nhân để người kết nối tới mà khơng cần mật họ tồn quyền tải liệu xuống - Keylogger: phần mềm ghi lại tất tác vụ bàn phím nạn nhân sử dụng máy tính, gửi chúng cho hacker theo địa e-mail Sâu - worm Mọi tập trung hướng vào MSBlaster Worm SoBig Virus sức lây lan Trong Melissa Virus trở thành tượng tồn cầu vào tháng năm 1999 buộc Microsoft hàng loạt công ty khác phải ngắt hệ thống E-mail họ khỏi mạng Virus ngăn chặn ILOVEYOU Virus xuất năm 2000 có sức tàn phá khơng Thật không ngờ người nhận Melissa ILOVEYOU đơn giản Worm chương trình máy tính có khả tự chép từ máy tính sang máy 60 tính khác Worm thường lây nhiễm sang máy tính khác qua mạng máy tính Qua mạng máy tính, Worm phát triển cực nhanh từ Chẳng hạn chín đồng hồ ngày 19/7/2001, CodeRed Worm nhân lên tới 250.000 lần Worm thường khai thác điểm yếu bảo mật chươg trình hệ điều hành Slammer Worm khai thác lỗ hổng bảo mật Microsoft SQL Server chương trình cực nhỏ (376Byte) CodeRed Worm làm cho mạng Internet chậm đáng kể tận dụng băng thông mạng để nhân Mỗi tự dị tìm mạng Internet để tìm Server sử dụng hệ điều hành Windows NT hay Windows 2000 chưa cài Patch sửa lỗi bảo mật Mỗi tìm Server chưa khắc phục lỗ hổng bảo mật, CodeRed Worm tự sinh ghi vào Server Bảo lại tự dị tìm mạng để lây nhiễm sang Server khác Tùy thuộc vào số lượng Server chưa khắc phục lỗ hổng bảo mật, Worm tạo hàng trăm ngàn CodeRed Worm thiết kế để thực mục tiêu sau: - Tự nhân 20 ngày tháng - Thay trang Web Server mà nhiễm trang Web có nội dung “Hacked by Chinese” - Tấn công liên tục White House Web Server Các phiên CodeRed biến đổi liên tục Sau nhiễm vào Server, Worm chọn thời điểm định sẵn công vào Domain www.whitehouse.gov Các Server bị nhiễm đồng loạt gửi khoảng 100 kết nối tới cổng 80 www.whitehouse.gov (198.137.240.91) khiến phủ Mỹ phải thay đổi IP WebServer khuyến cáo người sử dụng phải nâng cấp WindowsNT 2000 “vá” sửa lỗi Họ đa hình - polymorphic Những virus họ có khả tự nhân ngụy trang thành biến thể khác với mẫu biết để tránh bị chương trình diệt virus phát Một chi họ virus đa hình dùng thuật tốn mã hóa giải mã khác hệ thống chí bên tệp khác nhau, làm cho khó nhận dạng Một chi khác lại thay đổi trình tự lệnh dùng lệnh giả để đánh lừa chương trình diệt virus Nguy hiểm mutant sử dụng số ngẫu nhiên để thay đổi mã cơng thuật tốn giải mã Họ lừa dọa - hoaxes Đây virus mà thơng điệp cảnh báo người tốt bụng có nhiều người nhận nhẹ tin lại gửi tiếp chúng đến người khác bùng lên vụ lây lan đến mức nghẽn mạng gây lịng tin Trên giới có nhiều sở liệu cung cấp mẫu dạng thông điệp giả cần so sánh chúng với thông điệp cảnh báo vừa nhận để khỏi bị lừa tiếp tay cho tin tặc Ngăn chặn xâm nhập Mục tiêu: - Phòng ngừa xâm nhập virus Virus tin học ranh ma nguy hiểm bị ngăn chặn loại trừ cách dễ dàng Có số biện pháp Chương trình diệt virus - Anti-virus Dùng chương trình chống virus để phát diệt virus gọi anti-virus Thông thường anti-virus tự động diệt virus phát Với số chương trình 61 phát mà khơng diệt được, phải để ý đọc thơng báo Để sử dụng anti-virus hiệu quả, nên trang bị cho vài chương trình để sử dụng kèm, Một điều cần lưu ý nên chạy anti-virus tình trạng nhớ tốt (khởi động máy từ đĩa mềm sạch) việc quét virus hiệu an tồn, khơng gây lan tràn virus đĩa cứng Có hai loại anti-virus, ngoại nhập nội địa Các anti-virus ngoại sử dụng phổ biến SCAN McAfee, Norton Antivirus Symantec, Toolkit, Dr Solomon Các anti-virus sản phẩm thương mại Ưu điểm chúng số lượng virus cập nhật lớn, tìm-diệt hiệu quả, có đầy đủ cơng cụ hỗ trợ tận tình (thậm chí tỉ mỉ đến sốt ruột) Nhược điểm chúng cồng kềnh Các anti-virus nội thông dụng D2 BKAV Đây phần mềm miễn phí Ngồi ưu điểm miễn phí, anti-virus nội địa chạy nhanh chúng nhỏ gọn, tìm-diệt hiệu "rất nhạy cảm" với virus nội địa Nhược điểm chúng khả nhận biết virus ngoại kém, trang bị công cụ hỗ trợ chế độ giao tiếp với người sử dụng, để khắc phục nhược điểm này, anti-virus nội cố gắng cập nhật virus thường xuyên phát hành nhanh chóng đến tay người dùng Tuy nhiên đừng tin tưởng vào anti-virus Bởi anti-virus tìm-diệt virus mà cập nhật Với virus chưa cập nhật vào thư viện chương trình anti-virus hồn tồn khơng diệt Đây nhược điểm lớn chương trình diệt virus Xu hướng anti-virus cố gắng nhận dạng virus mà không cần cập nhật Symantec triển khai hệ chống virus theo chế miễn dịch IBM, phát hành tương lai Phần mềm D2 nội địa có cố gắng định việc nhận dạng virus lạ Các phiên D2- Plus version 2xx trang bị môđun nhận dạng New macro virus New- Bvirus, sử dụng chế chẩn đốn thơng minh dựa sở tri thức lý thuyết hệ chuyên gia Đây phiên thử nghiệm hướng tới hệ chương trình chống virus thơng minh chương trình Lúc phần mềm dự báo xuất loại virus Nhưng dù nên tự trang bị thêm số biện pháp phòng chống virus hữu hiệu đề cập sau Đề phòng B-virus Đừng khởi động máy từ đĩa mềm có đĩa cứng, ngoại trừ trường hợp tối cần thiết đĩa cứng bị trục trặc chẳng hạn Nếu buộc phải khởi động từ đĩa mềm, đĩa mềm phải hồn tồn Đơi việc khởi động từ đĩa mềm lại xảy cách ngẫu nhiên, ví dụ để quên đĩa mềm ổ đĩa A phiên làm việc trước Nếu Boot record đĩa mềm có B-virus, phiên làm việc sau, quên không rút đĩa khỏi ổ B-virus "lây nhiễm" vào đĩa cứng Tuy nhiên diệt cách dùng D2-Plus dự trù trước trường hợp chức chẩn đốn thơng minh New B-virus đĩa mềm Chỉ cần chạy D2 thường xuyên, chương trình phân tích Boot record đĩa mềm dự báo có mặt virus tên gọi PROBABLE B-Virus Đề phịng F-virus Ngun tắc chung khơng chạy chương trình khơng rõ nguồn gốc Hầu hết chương trình hợp pháp phát hành từ nhà sản xuất đảm bảo Vì vậy, khả tiềm tàng F-virus file COM,EXE xảy chương trình trơi (chuyền tay, lấy từ mạng, ) Đề phòng Macro virus Như nói, họ virus lây văn bảng tính Microsoft Vì vậy, nhận file DOC hay XL? bất kỳ, nhớ kiểm tra chúng trước mở Điều phiền tối giải D2- Plus giống trường hợp New B-virus, New 62 macro virus nhận dạng tên PROBABLE Macro Hơn sử dụng WinWord Exel Microsoft Office 97 khơng phải lo lắng Chức AutoDectect Macro virus Office kích hoạt Warning Box văn bảng tính cần mở có chứa macro (chỉ cần Disable) Cách bảo vệ máy tính trước Trojan - Sử dụng chương trình chống virus, trojan hãng đáng tin cậy - Để phát xem máy tính có nhiễm Trojan hay khơng, bạn vào Start -> Run > gõ regedit -> HKEY_LOCAL_MACHINE -> SOFTWARE > Microsoft -> Windows -> Currentversion >Run, nhìn vào cửa sổ bên phía tay phải Bảng hiển thị chương trình Windows nạp khởi động, nhìn thấy chương trình lạ ngồi chương trình bạn biết, chẳng hạn như: sub7, kuang, barok, mạnh dạn xóa chúng (để xóa triệt để, bạn nhìn vào đường dẫn để tìm tới nơi lưu file đó), sau khởi động lại máy tính - Nhấn tổ hợp phím Ctrl+Alt+Del để thị bảng Close Program (Win9x), bảng Task Manager (WinNT, Win2K, WinXP) để xem có chương trình lạ chạy khơng Thường có số loại Trojan che dấu trước chế - Sử dụng số chương trình quan sát máy bạn lập firewall lockdown, log monitor, PrcView - Không tải tệp từ nguồn không rõ hay nhận mail người lạ - Trước chạy tệp lạ nào, kiểm tra trước Chương tập thực hành học viên Câu 1: Lựa chọn phần mềm Virus thông dụng để cài đặt hệ thống Câu 2: Thực cách ngăn chặn Autorun.inf Virus.exe xâm nhập máy tính thơng qua USB Hướng dẫn thực Để thực việc vơ hiệu hóa tính MountPoints2, bạn thực bước sau Start > Run Win + R Nhập Regedit vào ô run > Enter Tại cửa sổ Registry Editor thực khóa: HKEY_CURENT_USER\Software\Microsoft\Windows\Curent Version\Explorer\MountPoints2 63 Nhấn phải chuột vào MountPoints2 > Permission 64 Cửa sổ Pemission for MountPoints2 mở > Advanced Tại cửa sổ thiết lập Advanced Security Settings for MountPoints2 > Permissions 65 * Win : Bỏ chọn tính Include inheritable pemssions from this object's parrent có khóa đăng ký hiển thị khung Pemission entries * Win XP : Bỏ chọn tính Inherit from parent the pemission entries that apply to child objects Include these with entries explicitly defined here Hộp thoại Windows Security xuất > Remove 66 Tại cửa sổ Advanced Security Settings for MountPoints2 > Apply 67 Hộp thoại Windows Security xuất lần với nội dung "Bạn từ chối tất người dùng truy cập MountPoints2 Khơng truy cập MountPoints2 có bạn thay đổi cho phép Bạn có muốn tiếp tục?" > Yes > OK lần > đóng cửa sổ Registry Editor > khởi động lại hệ thống 68 TÀI LIỆU THAM KHẢO [1] THs Ngơ Bá Hùng-Ks Phạm Thế phi Giáo trình mạng máy tính, Đại học Cần Thơ, năm 2005 [2] Đặng Xn Hà, An tồn mạng máy tính Computer Networking năm 2005 [3] Nguyễn Anh Tuấn, Chương giảng Kỹ thuật an tồn mạng , Trung tâm TH-NN Trí Đức, 2009 [4] TS Nguyễn Đại Thọ, An Toàn Mạng, Trường Đại học Công nghệ - ĐHQGHN, 2010 69