Khóa học nâng cao nhận thức chuyển đổi số module an ninh an toàn thông tin trong không gian số

21/09/2022 Khóa học: Nâng cao nhận thức chuyển đổi số MODULE: AN NINH AN TỒN THƠNG TIN TRONG KHƠNG GIAN SỐ TS Lê Xuân Thành ThS Bùi Trọng Tùng 21/09/2022 NỘI DUNG • KHÁI NIỆM VỀ AN TỒN TRÊN KHƠNG GIAN SỐ • TIÊU CHUẨN MỘT MẠNG AN TỒN; • CÁC NGUY CƠ ẢNH HƯỞNG ĐẾN AN TỒN HỆ THỐNG; • CÁC THĨI QUEN CẦN CĨ CỦA NGƯỜI SỬ DỤNG TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 3 KHÁI NIỆM VỀ AN TỒN TRÊN KHƠNG GIAN SỐ • Tại an tồn khơng gian số (KGS) cần thiết? • Thế an tồn hệ thống an ninh mạng? TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 4 21/09/2022 KHÁI NIỆM VỀ AN TỒN TRÊN KHƠNG GIAN SỐ • Tại an tồn khơng gian số cần thiết? Máy tính mạng cơng cụ phục vụ tất nghành nghề, thời CHUYỂN ĐỔI SỐ Nếu an tồn khơng gian số khơng quan tâm mức, có nhiều vấn đề nghiêm trọng xảy như: + Xâm nhập bất hợp pháp + Đánh cắp liệu + Tấn cơng lừa đảo… TRƯỜNG CƠNG NGHỆ THƠNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 5 KHÁI NIỆM VỀ AN TỒN TRÊN KHƠNG GIAN SỐ • Thế thời Chuyển đổi số? Chuyển đổi số thời số hóa tin học hóa Tin học hóa: Chuyển quy trình truyền thống thành vận hành quản lý phần mềm Số hóa: chuyển liệu thành liệu số Chuyển đổi số: Khai thác kho liệu số công cụ: học máy, trí tuệ nhân tạo… TRƯỜNG CƠNG NGHỆ THƠNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 6 21/09/2022 KHÁI NIỆM VỀ AN TỒN TRÊN KHƠNG GIAN SỐ • Thế an tồn mạng (network security)? An toàn (an ninh, bảo mật - security): trình liên tục bảo vệ đối tượng khỏi cơng An tồn thơng tin (information security): khả bảo vệ môi trường thông tin kinh tế xã hội, đảm bảo cho việc hình thành, sử dụng phát triển lợi ích công dân, tổ chức quốc gia TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 7 KHÁI NIỆM VỀ AN TỒN TRÊN KHƠNG GIAN SỐ • Thế an tồn mạng (network security)? An tồn máy tính (computer security): an toàn cho tất tài nguyên hệ thống máy tính: • Phần cứng vật lý: CPU, hình, nhớ, máy in, CDROM, thiết bị ngoại vi khác, … • Phần mềm, liệu, thơng tin lưu trữ bên An toàn mạng (network security): an tồn thơng tin khơng gian mạng máy tính TRƯỜNG CƠNG NGHỆ THƠNG TIN VÀ TRUYỀN THƠNG School of Information and Communication Technology 8 21/09/2022 KHÁI NIỆM VỀ AN TỒN TRÊN KHƠNG GIAN SỐ • Đối tượng bị tác động không đảm bảo an tồn khơng gian số: o An tồn thân thể cá nhân o Sự bí mật thơng tin cá nhân tổ chức o Tài sản cá nhân tổ chức o Sự phát triển tổ chức o Nền kinh tế quốc gia o Tính an tồn quốc gia TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 9 NỘI DUNG • KHÁI NIỆM VỀ AN TỒN TRÊN KHƠNG GIAN SỐ • TIÊU CHUẨN MỘT MẠNG AN TỒN; • CÁC NGUY CƠ ẢNH HƯỞNG ĐẾN AN TỒN HỆ THỐNG; • CÁC THĨI QUEN CẦN CĨ CỦA NGƯỜI SỬ DỤNG TRƯỜNG CƠNG NGHỆ THƠNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 10 10 21/09/2022 TIÊU CHUẨN MỘT MẠNG AN TỒN • Mục tiêu CIA • Tính tồn vẹn (integrity): bảo đảm liệu khơng bị thay đổi hay phá hoại • Tính bảo mật (confidentiality): bảo đảm liệu khỏi truy xuất hay theo dõi • Tính sẵn sàng (availability): bảo đảm tính thơng suốt hệ thống tài nguyên TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 11 11 TIÊU CHUẨN MỘT MẠNG AN TỒN • Mục tiêu A.A.A o Assurance (Đảm bảo): hệ thống cung cấp tin cậy quản trị tin cậy o Authenticity (Xác thực): khẳng định danh tính chủ thể hệ thống o Anonymity (Ẩn danh): che giấu thông tin cá nhân chủ thể TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 12 12 21/09/2022 TIÊU CHUẨN MỘT MẠNG AN TỒN • Kiến trúc AAA Nhận dạng người dùng Xác định quyền mà người dùng thực hiện, xác định tài nguyên mà người dùng truy cập Giám sát mà người dùng làm Kiến trúc AAA cho phép nhà quản trị mạng biết thơng tin quan trọng tình mức độ an tồn hệ thống mạng TRƯỜNG CƠNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 13 13 TIÊU CHUẨN MỘT MẠNG AN TỒN • Kiến trúc AAA TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 14 14 21/09/2022 TIÊU CHUẨN MỘT MẠNG AN TỒN • Authentication – Chứng thực Chứng thực quy trình nhằm cố gắng xác minh nhận dạng số (digital identity) phần truyền gửi thông tin (sender) giao thông liên lạc Điểm yếu hệ thống giao dịch tài khoản-mật : • mật bị qn • mật bị lộ • Dễ dàng dị tìm mật yếu TRƯỜNG CƠNG NGHỆ THƠNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 15 15 TIÊU CHUẨN MỘT MẠNG AN TỒN • Chứng thực 01 chiều 02 chiều Chứng thực chiều (1 way authentication) Client cung cấp cho Server tài khoản mật Chứng thực chiều (2 way authentication) Cả bên phải xác nhận với username password tương ứng TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 16 16 21/09/2022 TIÊU CHUẨN MỘT MẠNG AN TỒN • Chứng thực tập trung Key Distribution Center • Được phát minh MIT từ năm 1980 • Một bên thứ ba (trusted third-party) tin cậy cấp khóa phiên (session key) để người dùng bên cung cấp dịch vụ trao đổi thơng tin mạng cách an tồn • Hoạt động dựa ngun lý mã hóa sử dụng khóa mật • Được tích hợp HĐH Solaris, Microsoft, router Cisco, … Encrypted Lưu ý: • Cần có nhiều máy chủ để đảm bảo khơng ngưng trệ • Phải đồng hóa đồng hồ TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 17 17 TIÊU CHUẨN MỘT MẠNG AN TỒN • Chứng thực mật sử dụng lần Người dùng không cần lo lắng mật bị đánh cắp hay bị One time password (OTP) • OTP thường kèm với thiết bị phần cứng • Đồng hồ đồng thời gian với hệ thống Server xác thực • Định sẵn phương pháp tạo OTP : hàm toán học, tín hiệu đồng thời gian, … TRƯỜNG CƠNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 18 18 21/09/2022 TIÊU CHUẨN MỘT MẠNG AN TỒN • Chứng thực thẻ cứng Nhiều loại thiết bị dùng cho token card là: thẻ cứng, PC card, thiết bị USB, thiết bị Bluetooth, … • Là giải pháp bảo mật an tồn • Được dùng kết hợp với loại chứng thực khác (chẳng hạn số PIN, mật khẩu) TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 19 19 TIÊU CHUẨN MỘT MẠNG AN TỒN • Chứng thực thơng tin sinh trắc học • khơng thể làm • Khơng thể qn • Rất khó giả mạo Dùng để chứng thực người dùng thơng qua: • Đặc điểm sinh học: khn mặt, bàn tay, mống mắt, võng mạc, dấu vân tay, DNA, … • Hành vi bên ngồi: dáng đi, chữ ký, giọng nói, … Nhận dạng nhầm nếu: • Thiết bị đọc khơng xác • Đặc điểm người thay đổi theo năm tháng TRƯỜNG CƠNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 20 20 10 21/09/2022 EMAIL GIẢ DANH NGƯỜI GỬI – VÍ DỤ • Nội dung hiển thị • Nội dung gốc TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 57 57 XỬ LÝ EMAIL LỪA ĐẢO • Gán nhãn thư rác (Spam/Junk) xóa (Delete) • Gmail • Outlook TRƯỜNG CƠNG NGHỆ THƠNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 58 58 29 21/09/2022 DẤU HIỆU TIN NHẮN LỪA ĐẢO • Tin nhắn có tên bên gửi tên tổ chức tin cậy (Tin nhắn giả mạo brand name) • Nội dung tin nhắn thường tạo tình khẩn cấp • u cầu truy cập website có tên miền giống với tên miền tổ chức tin cậy • Yêu cầu cung cấp thơng tin cá nhân cách bất thường TRƯỜNG CƠNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 59 59 Sử dụng bảo vệ mật 60 30 21/09/2022 BẢO VỆ MẬT KHẨU AN TOÀN • Không cung cấp mật tài khoản trường hợp, trừ yêu cầu xác thực hệ thống dịch vụ • Kiểm tra cẩn thận tên Website thực xác thực • Kiểm tra cẩn thận đường dẫn nhận từ tin nhắn email • Không lưu trữ mật cách thức khơng an tồn • Chỉ truy cập kết nối an tồn bảo mật (WPA2, HTTPS,…) TRƯỜNG CƠNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 61 61 SỬ DỤNG MẬT KHẨU KHĨ ĐỐN • Độ dài tối thiểu: ký tự • Sử dụng kết hợp loại ký tự: chữ in hoa, chữ in thường, chữ số, ký tự đặc biệt • Khơng sử dụng từ có từ điển • Khơng sử dụng thơng tin cá nhân • Khơng sử dụng mật dạng đồ hình bàn phím Ví dụ: 1qazxdr5, 1q2w3e4r TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 62 62 31 21/09/2022 TÀI KHOẢN CĨ THỂ BỊ ĐÁNH CẮP NTN? • Con người nhớ nhiều mật cho “mạnh” TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 63 63 TÀI KHOẢN CĨ THỂ BỊ ĐÁNH CẮP NTN? (TIẾP) • Vì vậy, người dùng thường dùng lại mật cho tài khoản khác • Với hy vọng khơng xảy điều tồi tệ • Khi tài khoản bị lộ? • Kẻ cơng có mật người dùng • Và đánh cắp tài khoản dùng chung mật • Giải pháp: Phần mềm quản lý mật • Ví dụ: StickyPassword Free, RoboForm,… • Có thể tạo mật “mạnh” quản lý tài khoản sử dụng mật • Người dùng cần nhớ mật (Master Password) để mở “kho mật khẩu” TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 64 64 32 21/09/2022 Xác thực đa yếu tố 65 KHÁI NIỆM CHUNG • Phương pháp xác thực sử dụng mật khơng đủ an tồn • Sử dụng mật cách an tồn: • • • • Đủ dài khó đốn Khơng dùng chung cho nhiều tài khoản Thay đổi thường xuyên … → gây khó khăn cho người dùng →cần thêm yếu tố xác thực an tồn hơn, khơng phụ thuộc vào thói quen người dùng • Xác thực đa yếu tố (thơng thường yếu tố) • Yếu tố tri thức: mật • Yếu tố khác: tài sản, dấu hiệu sinh trắc, vị trí,… TRƯỜNG CƠNG NGHỆ THƠNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 66 33 21/09/2022 MẬT KHẨU OTP • Mật dùng để xác thực cho phiên giao dịch • Thay đổi theo thời gian kiện • Cách thức tạo phân phối: • • • • Phần mềm ứng dụng Phần cứng (OTP Token) Email SMS (Khơng cịn an tồn) TRƯỜNG CƠNG NGHỆ THƠNG TIN VÀ TRUYỀN THƠNG School of Information and Communication Technology 67 SỬ DỤNG THIẾT BỊ PHẦN CỨNG • Thẻ xác thực yếu tố U2F Security Keys • Lưu trữ mật thiết bị • Tạo khóa xác thực • Kiểm tra tên miền Website • … • Người dùng cần kết nối thẻ với máy tính đăng nhập TRƯỜNG CƠNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 68 34 21/09/2022 SỬ DỤNG SINH TRẮC HỌC TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 69 XÁC THỰC BƯỚC CỦA GOOGLE TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 70 70 35 21/09/2022 XÁC THỰC BƯỚC CỦA FACEBOOK TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 71 71 Sao lưu liệu 72 36 21/09/2022 SAO LƯU DỮ LIỆU • Thường xuyên lưu liệu quan trọng nhiều nơi an toàn cách thường xuyên: o Copy USB, ổ cứng di động o Ghi CD, DVD o Upload lên cloud (GG Drive, Dropbox, OneDrive) o Gửi vào hòm mail (Gmail, Hustmail) TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 73 73 SAO LƯU DỮ LIỆU (DATA BACKUP) • Dữ liệu bị hủy hoại do: • Các hỏng hóc phần cứng • Sự phá hoại phần mềm độc hại • Sự sơ ý sử dụng máy tính • Các cố khác • Sao lưu liệu: Tạo liệu cất giữ vị trí khác với liệu gốc • Bản sử dụng để khôi phục (Data recovery) liệu gốc bị mất, phá hủy phần toàn TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 74 74 37 21/09/2022 LƯU TRỮ BẢN SAO • Sử dụng phân vùng ổ đĩa cứng khác máy tính: • Ưu điểm: chi phí rẻ, tiện lợi • Hạn chế: khơng thể sử dụng lưu ổ đĩa bị hỏng liệu tồn ổ đĩa bị phá hủy • Sử dụng ổ đĩa cứng gắn ngồi: • Ưu điểm: dung lượng lớn, dễ dàng mang theo • Hạn chế: dễ hư hỏng bị va chạm, khả chống chịu thời tiết kém, dễ bị TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 75 75 LƯU TRỮ BẢN SAO (TIẾP) • Sử dụng thiết bị nhớ USB • Ưu điểm: nhỏ gọn, tiện lợi • Nhược điểm: dễ hư hỏng, dễ bị • Sử dụng đĩa quang CD/DVD • Ưu điểm: bền bỉ • Nhược điểm: tốc độ đọc/ghi chậm • Sử dụng dịch vụ lưu trữ Internet: • Ưu điểm: tự động đồng bộ, sẵn sàng truy cập từ đâu • Nhược điểm: cần kết nối mạng, cần trả phí thường kỳ theo dung lượng sử dụng, khơng sử dụng số bối cảnh đặc biệt TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 76 76 38 21/09/2022 CÁC LƯU Ý KHI SAO LƯU DỮ LIỆU • Sử dụng nguyên tắc 3-2-1 với liệu quan trọng: • Tối thiểu liệu: + • Tối thiểu phương pháp lưu trữ khác • Tối thiểu phương pháp lưu chỗ • Gán nhãn, đặt tên cho theo quy tắc • Bảo quản thiết bị lưu trữ cẩn thận • Kiểm sốt truy cập lưu cách chặt chẽ • Mã hóa liệu bí mật lưu TRƯỜNG CƠNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 77 77 MỘT SỐ CÔNG CỤ HỖ TRỢ SAO LƯU DỮ LIỆU • Miễn phí: • Tiện ích File History Windows • Comodo Backup • EaseUS Todo Backup Free • Miễn phí phần: Google Drive, One Drive, Dropbox • Trả phí: Acronis True Image TRƯỜNG CƠNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 78 78 39 21/09/2022 CÁC THÓI QUEN KHI SỬ DỤNG MÁY TÍNH CÁ NHÂN • Tiến hành qt virus, spyware cách định kỳ, thường xuyên o Đặt lịch quét tự động cho chương trình diệt virus, spyware o Quét virus vào thời gian rảnh rỗi (nghỉ trưa, tối) o Quét chế độ Safe Mode o Cập nhật Boot CD có diệt virus quét định kỳ TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 79 79 SỬ DỤNG PHẦN MỀM AN TỒN • Phần mềm có quyền: o Tập thói quen mua quyền phần mềm o Không sử dụng phần mềm, hệ điều hành crack sẵn o Không chạy phần mềm tạo key, không copy đè file chạy crack lên phần mền máy • Phần mềm miễn phí: o Sử dụng phần mềm miễn phí có tính tương đương o Chọn phần mền từ nguồn tin cậy TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 80 80 40 21/09/2022 TUÂN THỦ CHÍNH SÁCH AN NINH MẠNG • Khái niệm Chính sách an ninh mạng (network security policies) quy định hoạt động mạng xem Chính sách an ninh mạng bao gồm tập quy tắc thao tác cho phép không cho phép Được chuẩn hóa RFC 2504, 2196, … Việc xây dựng sách an ninh tổ chức (cơng ty) nên dựa theo sách an ninh chuẩn sau: • Chính sách giới hạn truy cập • Chính sách an ninh cho máy trạm • Chính sách an ninh vật lý • sách an ninh khác … TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 81 81 TUÂN THỦ CHÍNH SÁCH AN NINH MẠNG • Chính sách giới hạn truy cập (restricted access) Mỗi nhân viên thực truy cập tối thiểu theo u cầu cơng việc Khi có quyền tạo rủi ro bảo mật Các sách an ninh giới hạn truy cập bao gồm vấn đề như: • Hạn chế truy cập vào hệ thống file hay liệu Server cục • Hạn chế truy cập Internet: yêu cầu tài khoản mật • Giới hạn truy cập vào hệ thống VPN: đòi hỏi username, số PIN, số token cung cấp, • Thường sử dụng đến điều khiển truy cập • Giới hạn truy cập không liệu mà áp dụng cho người TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 82 82 41 21/09/2022 TUÂN THỦ CHÍNH SÁCH AN NINH MẠNG • Chính sách an ninh cho máy trạm (workstation security policies) Máy trạm máy tính nối kết đến mạng sử dụng tài nguyên mạng Các sách an ninh cho máy trạm bao gồm vấn đề như: • Lưu trữ file máy tính copy liệu thiết bị lưu trữ ngồi • Thay đổi cấu hình, giao thức mạng, cài đặt phần mềm, … • Tài khoản người dùng cục quyền người dùng • Việc sử dụng thiết bị di động cầm tay mang vào quan TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 83 83 TUÂN THỦ CHÍNH SÁCH AN NINH MẠNG • Chính sách an ninh vật lý (physical security) Giới hạn truy cập vật lý trực tiếp, hạn chế nguy xảy Các sách an ninh vật lý bao gồm thành phần như: • Địa điểm: phịng Server, phịng thí nghiệm, • Tài sản: phần cứng, phần mềm, liệu, thiết bị, … • Mức độ an tồn: tủ bảo vệ, khóa, loại chứng thực, … • Thủ tục chứng thực: cần chứng thực, chứng thực , … • Giám sát ghi nhận: địa điểm vào thời gian TRƯỜNG CÔNG NGHỆ THÔNG TIN VÀ TRUYỀN THÔNG School of Information and Communication Technology 84 84 42 21/09/2022 THANK YOU ! 85 43