Bài tập lớn cơ sở an toàn thông tin

Mục đích báo cáo Báo cáo này được thực hiện nhằm nghiên cứu và phân tích vai trò quan trọng của Access Control kiểm soát truy cập và mô hình Zero Trust trong lĩnh vực bảo mật thông tin h

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

KHOA CÔNG NGHỆ THÔNG TIN

BỘ MÔN CƠ SỞ AN TOÀN THÔNG TIN

BÀI TẬP LỚN CƠ SỞ AN TOÀN THÔNG TIN

Khuất Minh Quân Nguyễn Việt Thắng Đinh Ngọc Tuấn Đặng Quốc Trọng

Hà Nội – 2024

Mục lục

1.Giới thiệu

1.1.Mục đích báo cáo

1.2.Bối cảnh

2.Access Control

2.1.Khái niệm

2.2.Các loại Access Control

2.3.Ưu và nhược điểm của từng loại

3.Zero Trust

3.1.Khái niệm

3.2.Nguyên tắc cốt lõi của Zero Trust

3.2.1.Xác thực liên tục (Continuous monitoring and validation)

3.2.2.Phân quyền tối thiểu (The principle of least privilege)

3.2.3.Giả định vi phạm (Assume breach)

4.Áp dụng Access Control trong Zero Trust

4.1.Mối quan hệ giữa Zero Trust và Access Control

4.1.1.Access Control đóng vai trò thế nào trong Zero Trust

4.1.2.Tại sao cần nâng cấp Access Control để phù hợp với Zero Trust?

4.2.Các yếu tố cần thiết

4.3.Ví dụ thực tế

5.Lợi ích,thách thức và giải pháp

5.1.Lợi ích, thách thức khi triển khai Access Control trong Zero Trust

5.2.Giải pháp

6.Ứng dụng

6.1.Giới thiệu sản phẩm

6.2.Giải thích thêm về VPN

6.2.1.Tổng quan

6.2.2.Ứng dụng của VPN

6.2.3 Những tính năng quan trọng của VPN

6.2.4.Giao thức phổ biến trong VPN

6.2.5 Ưu điểm và nhược điểm của VPN

Tài liệu tham khảo

2

1 Giới thiệu

1.1 Mục đích báo cáo

Báo cáo này được thực hiện nhằm nghiên cứu và phân tích vai trò quan trọng của Access Control (kiểm soát truy cập) và mô hình Zero Trust trong lĩnh vực bảo mật thông tin hiện đại Trong thời kỳ số hóa, khi các hệ thống thông tin phải đối mặt với những thách thức ngày càng phức tạp từ các mối đe dọa an ninh mạng, việc hiểu và áp dụng các phương pháp bảo mật hiệu quả là rất cần thiết Báo cáo này không chỉ mang lại cái nhìn tổng quan về các khái niệm lý thuyết mà còn đi sâu vào các ứng dụng thực

tế, giúp hiểu rõ hơn về cách bảo vệ hệ thống mạng trước những nguy cơ tiềm ẩn

Cụ thể, báo cáo nhằm đạt được những mục tiêu sau:

- Giải thích chi tiết về Access Control: Bao gồm các loại hình kiểm soát truy cập nhưdựa trên vai trò (RBAC), dựa trên thuộc tính (ABAC) và các cơ chế kiểm soát phổ biến Phần này sẽ trình bày cách Access Control đảm bảo rằng chỉ những đối tượngđược ủy quyền mới có quyền truy cập vào tài nguyên hệ thống

- Giới thiệu mô hình Zero Trust và tầm quan trọng của nó: Zero Trust là một khái niệm thay đổi cách tiếp cận bảo mật truyền thống, trong đó không có bất kỳ người dùng hay thiết bị nào được tin tưởng mặc định, ngay cả khi chúng đã nằm trong mạng nội bộ Báo cáo sẽ làm rõ tại sao mô hình này ngày càng trở nên cần thiết trong môi trường mạng ngày nay

- Phân tích mối quan hệ giữa Access Control và Zero Trust: Làm rõ cách Access Control đóng vai trò nền tảng trong việc thực thi các chính sách của Zero Trust Từ

đó, cho thấy sự tương hỗ giữa hai khái niệm này trong việc xây dựng một hệ thống bảo mật toàn diện

- Đề xuất các phương pháp áp dụng Access Control trong Zero Trust: Báo cáo khôngchỉ dừng lại ở việc nghiên cứu lý thuyết mà còn đưa ra các gợi ý cụ thể về cách triển khai Access Control trong bối cảnh Zero Trust

Cuối cùng, báo cáo này hướng đến việc nâng cao nhận thức về các phương pháp bảo mật hiện đại, trang bị những hiểu biết và công cụ cần thiết để áp dụng vào thực tế, đặc biệt là trong các lĩnh vực liên quan đến an ninh mạng và quản trị hệ thống thông tin Qua đó, báo cáo không chỉ hoàn thiện yêu cầu của môn học mà còn góp phần giúp nhóm thực hiện xây dựng nền tảng kiến thức vững chắc để chuẩn bị cho các dự án lớn hơn trong tương lai

1.2 Bối cảnh

Mối đe dọa an ninh mạng là hành vi cố gắng có được quyền truy nhập vào hệ thống cá nhân hoặc tổ chức Những kẻ xấu liên tục phát triển phương pháp tấn công đểkhai thác các lỗ hổng mới và tránh bị phát hiện Tuy nhiên, những kẻ xấu này dựa vào một số phương pháp phổ biến mà bạn có thể đón đầu

Phần mềm xấu

(Malware)

-Gây hại hệ thống/mạng

-Trích xuất dữ liệu nhạy cảm

-Cài đặt thông qua liên kết xấu hoặc tệp đính kèm độc hại

Mã độc tống tiền

(Ransomware)

-Mã hóa tệp, khiến nạn nhân không thể truy cập.-Đòi tiền chuộc để cung cấp khóa giải mã, nhưng không đảm bảo dữ liệu được phục hồi

Lừa đảo phi kỹ thuật

(Social Engineering)

-Dùng lòng tin hoặc thao túng tâm lý để lừa nạn nhân cung cấp thông tin hoặc tải phần mềm xấu.-Kẻ tấn công giả danh người quen, đồng nghiệp hoặc

-Có thể là các chiến dịch lớn hoặc tấn công nhắm mục tiêu cụ thể (spear phishing)

Mối đe dọa từ nội bộ

(Insider Threat)

Nhân viên, nhà thầu, hoặc khách hàng:Vô tình tiết lộthông tin nhạy cảm,cố ý gây hại bằng cách sử dụng quyền truy cập hợp pháp

Tấn công có chủ đích

(Advanced Persistent Threat - APT)

Kẻ tấn công âm thầm thâm nhập hệ thống trong thờigian dài để nghiên cứu và đánh cắp dữ liệu màkhông bị phát hiện

4

2 Access Control

2.1 Khái niệm

Điều khiển truy nhập là quá trình mà trong đó người dùng được nhận dạng và trao quyền truy nhập đến các thông tin, các hệ thống và tài nguyên

Một hệ thống điều khiển truy nhập có thể được cấu thành từ 3 dịch vụ:

- Xác thực (Authentication): Là quá trình xác minh tính chân thực của các thông tin nhận dạng mà người dùng cung cấp

- Trao quyền (Authorization): Trao quyền xác định các tài nguyên mà người dùng được phép truy nhập sau khi người dùng đã được xác thực

- Quản trị (Administration): Cung cấp khả năng thêm, bớt và sửa đổi các thông tin tài khoản người dùng, cũng như quyền truy nhập của người dùng

Trong 3 dịch vụ trên, 2 dịch vụ thiết yếu của một hệ thống điều khiển truy nhập là

2.2 Các loại Access Control

a Role-Based Access Control (RBAC).

Điều khiển truy nhập dựa trên vai trò cho phép người dùng truy nhập vào thông tin

và hệ thống dựa trên vai trò (role) của họ trong công ty/tổ chức đó Điều khiển truy nhập dựa trên vai trò có thể được áp dụng cho một nhóm người dùng hoặc từng người dùng riêng lẻ

Quyền truy nhập được tập hợp thành các nhóm “vai trò” với các mức quyền truy nhập khác nhau

Liên kết giữa người dùng và vai trò: Người dùng được cấp “thẻ thành viên” của các nhóm “vai trò” trên cơ sở năng lực và vai trò, cũng như trách nhiệm của họ trong một tổ chức Trong nhóm “vai trò”, người dùng được cấp vừa đủ quyền để thực hiện các thao tác cần thiết cho công việc được giao Liên kết giữa người dùng và vai trò có thể được tạo lập và huỷ bỏ dễ dàng

Quản lý phân cấp vai trò: các vai trò được tổ chức thành một cây theo mô hình phân cấp tự nhiên của các công ty/tổ chức.

b Attribute-Based Access Control (ABAC).

Là một mô hình kiểm soát truy cập hiện đại, trong đó quyền truy cập được cấp hoặc từ chối dựa trên các thuộc tính liên quan đến:

- Người dùng (User): Các đặc điểm của người dùng, ví dụ: vai trò, chức vụ, bộ phận,quốc tịch

- Tài nguyên (Resource): Các thuộc tính của tài nguyên, như loại tài liệu, mức độ nhạy cảm, hoặc vị trí lưu trữ

- Môi trường (Environment) Các yếu tố ngữ cảnh, ví dụ: thời gian truy cập, vị trí :

địa lý, hoặc thiết bị sử dụng

- Hành động (Action Loại hoạt động được yêu cầu, chẳng hạn như đọc, ghi, xóa, ):

hoặc cập nhật

Cách hoạt động của ABAC:

- Xác định thuộc tính: Tất cả các thực thể (người dùng, tài nguyên, môi trường) được gán các thuộc tính cụ thể

- Định nghĩa chính sách: Quy tắc kiểm soát truy cập được viết dưới dạng câu lệnh logic dựa trên các thuộc tính

- Đánh giá và thực thi: Khi có yêu cầu truy cập, hệ thống so sánh các thuộc tính thực

tế với chính sách đã định nghĩa để quyết định cho phép hoặc từ chối truy cập

c Mandatory Access Control (MAC).

Điều khiển truy nhập bắt buộc được định nghĩa là các cơ chế hạn chế truy nhập đến các đối tượng dựa trên:

- Tính nhạy cảm (sensitivity) của thông tin (thường được gán nhãn) chứa trong các đối tượng

- Sự trao quyền chính thức (formal authorization) cho các chủ thể truy nhập các thông tin nhạy cảm này

Các mức nhạy cảm của thông tin:

- Tối mật (Top Secret - T): Được áp dụng với thông tin mà nếu bị lộ có thể dẫn đến những thiệt hại trầm trọng đối với an ninh quốc gia

- Tuyệt mật (Secret - S): Được áp dụng với thông tin mà nếu bị lộ có thể dẫn đến một loạt thiệt hại đối với an ninh quốc gia

- Mật (Confidential - C): Được áp dụng với thông tin mà nếu bị lộ có thể dẫn đến thiệt hại đối với an ninh quốc gia

- Không phân loại (Unclassified - U): Những thông tin không gây thiệt hại đối với

an ninh quốc gia nếu bị tiết lộ

6

MAC không cho phép người tạo ra các đối tượng (thông tin/tài nguyên) có toàn quyền truy nhập các đối tượng này Quyền truy nhập đến các đối tượng (thông tin/tài nguyên) do người quản trị hệ thống định ra trước trên cơ sở chính sách an toàn thông tin của tổ chức đó

MAC thường được sử dụng phổ biến trong các cơ quan an ninh, quân đội và ngân hàng

d Discretionary Access Control (DAC).

Điều khiển truy nhập tuỳ chọn được định nghĩa là các cơ chế hạn chế truy nhập đến các đối tượng dựa trên thông tin nhận dạng của các chủ thể và/hoặc nhóm của các chủ thể

Thông tin nhận dạng có thể gồm:

- Bạn là ai? (CMND, bằng lái xe, vân tay, )

- Những cái bạn biết (tên truy nhập, mật khẩu, số PIN )

- Bạn có gì? (Thẻ ATM, thẻ tín dụng, )

DAC cho phép người dùng có thể cấp hoặc huỷ quyền truy nhập cho các người dùng khác đến các đối tượng thuộc quyền điều khiển của họ Chủ sở hữu của các đối tượng (owner of objects) là người dùng có toàn quyền điều khiển các đối tượng này.Hai kỹ thuật được sử dụng phổ biến đề cài đặt DAC:

- Ma trận điều khiển truy nhập (Access Control Matrix - ACM): là một phương pháp

mô tả điều khiển truy nhập thông qua 1 ma trận 2 chiều gồm chủ thể (subject), đối tượng (object) và các quyền truy nhập

+ Đối tượng/Khách thể (Objects) là các thực thể cần bảo vệ Objects có thể là cácfiles, các tiến trình (processes)

+ Chủ thể (Subjects) là người dùng (users), tiến trình tác động lên objects + Quyền truy nhập là hành động mà Subject thực hiện trên Object

- Danh sách điều khiển truy nhập (Access Control List - ACL): là một danh sách cácquyền truy nhập của một chủ thể đối với một đối tượng

+ Một ACL chỉ ra các người dùng hoặc tiến trình được truy nhập vào đối tượng nào và các thao tác cụ thể (quyền) được thực hiện trên đối tượng đó

+ Một bản ghi điển hình của ACL có dạng (subject, operation) Ví dụ bản ghi (Alice, write) của 1 file có nghĩa là Alice có quyền ghi vào file đó

+ Khi chủ thể yêu cầu truy nhập, hệ điều hành sẽ kiểm tra ACL xem yêu cầu đó

có được phép hay không

+ ACL có thể được áp dụng cho một hoặc 1 nhóm đối tượng

2.3 Ưu và nhược điểm của từng loại

Kiểm soát truy cập tùy ý (DAC) , mặc dù linh hoạt, nhưng đòi hỏi phải quản lý cẩnthận để ngăn chặn truy cập trái phép Nó thường được sử dụng trong các tình huống ít nhạy cảm hơn, trong đó chủ sở hữu dữ liệu thực hiện quyền tùy ý khi cấp quyền Mặt khác, Kiểm soát truy cập bắt buộc (MAC) , thực thi các chính sách truy cập nghiêm ngặt do một cơ quan trung ương xác định, đảm bảo tuân thủ nghiêm ngặt nhưng có khả năng hạn chế tính linh hoạt trong hoạt động Nó lý tưởng cho các môi trường bảo mật cao, trong đó tính bảo mật dữ liệu là tối quan trọng

Kiểm soát truy cập dựa trên vai trò (RBAC) đơn giản hóa việc quản lý truy cập bằng cách chỉ định các quyền dựa trên vai trò, phù hợp với nguyên tắc đặc quyền tối thiểu và giảm rủi ro truy cập trái phép

Cuối cùng, Kiểm soát truy cập dựa trên thuộc tính (ABAC) , một mô hình tiên tiến, xem xét nhiều thuộc tính như danh tính người dùng, vai trò, thời gian và vị trí, cung cấp khả năng kiểm soát chi tiết và phù hợp với các nguyên tắc Zero Trust

b.Triết lý “Never trust, always verify”

Thay vì cho rằng mọi thứ đằng sau tường lửa của công ty đều an toàn, mô hình Zero Trust cho rằng vi phạm và xác minh từng yêu cầu như thể nó bắt nguồn từ một mạng mở Bất kể yêu cầu bắt nguồn từ đâu hoặc truy cập vào tài nguyên nào, Zero Trust dạy chúng ta “Never trust, always verify” Mọi yêu cầu truy cập đều được xác thực, ủy quyền và mã hóa đầy đủ trước khi cấp quyền truy cập Các nguyên tắc phân

8

đoạn vi mô và truy cập đặc quyền tối thiểu được áp dụng để giảm thiểu chuyển động ngang Trí thông minh và phân tích phong phú được sử dụng để phát hiện và phản hồi các bất thường theo thời gian thực.

3.2 Nguyên tắc cốt lõi của Zero Trust

3.2.1 Xác thực liên tục ( Continuous monitoring and validation)

Luôn xác thực và ủy quyền dựa trên tất cả các điểm dữ liệu có sẵn, bao gồm danh tính người dùng, vị trí, tình trạng thiết bị, dịch vụ hoặc khối lượng công việc, phân loại

dữ liệu và các hành vi bất thường

3.2.2 Phân quyền tối thiểu ( The principle of least privilege)

Hạn chế quyền truy nhập của người dùng bằng quyền truy nhập vừa đúng lúc (JIT)

và vừa đủ (JEA), các chính sách thích ứng dựa trên rủi ro và khả năng bảo vệ dữ liệu

để giúp bảo vệ dữ liệu cũng như hiệu suất

Giảm thiểu việc truy nhập phân đoạn và bán kính ảnh hưởng Xác minh mã hóa đầu cuối và sử dụng phân tích để có được khả năng quan sát, thúc đẩy việc phát hiện mối đe dọa và cải thiện khả năng phòng thủ

4 Áp dụng Access Control trong Zero Trust

4.1 Mối quan hệ giữa Zero Trust và Access Control

4.1.1 Access Control đóng vai trò thế nào trong Zero Trust

Access Control là nền tảng của mô hình bảo mật Zero Trust, hoạt động theo nguyên tắc "không bao giờ tin tưởng, luôn xác minh" Nó xác thực và cho phép mọi người dùng, thiết bị và luồng mạng trước khi cấp quyền truy cập, tăng cường bảo mật

và giảm nguy cơ vi phạm dữ liệu Bằng cách triển khai quyền truy cập ít đặc quyền nhất, nó đảm bảo rằng người dùng chỉ có đủ quyền truy cập để thực hiện nhiệm vụ của

họ, do đó giảm thiểu thiệt hại tiềm ẩn từ các tài khoản bị xâm phạm hoặc các mối đe dọa từ nội bộ

Trong bối cảnh Zero Trust, Access Control là động và thích ứng Nó liên tục đánh giá độ tin cậy dựa trên các yếu tố như hành vi của người dùng, tình trạng thiết bị và vị trí mạng Cách tiếp cận này vượt ra ngoài các biện pháp bảo mật dựa trên chu vi truyềnthống, tập trung vào việc bảo mật các tài nguyên và dữ liệu riêng lẻ thay vì chỉ dựa vàoranh giới mạng

Access Control cũng cung cấp khả năng hiển thị và kiểm soát, cho phép giám sát liên tục và phản hồi theo thời gian thực đối với các sự cố bảo mật Nó tạo thành cơ sở cho các quyết định tin cậy trong mô hình Zero Trust, góp phần bảo mật tối ưu bằng cách ngăn chặn truy cập trái phép và di chuyển ngang trong mạng.

4.1.2.Tại sao cần nâng cấp Access Control để phù hợp với Zero Trust?

- Cung cấp một cách tiếp cận chi tiết và linh hoạt hơn để kiểm soát truy cập

- Giảm thiểu rủi ro bảo mật từ cả bên trong và bên ngoài

- Đảm bảo rằng mọi yêu cầu truy cập đều được đánh giá dựa trên ngữ cảnh, thuộc tính, và dữ liệu thời gian thực

Hệ thống Access Control hiện đại giúp tổ chức bảo vệ tài nguyên hiệu quả hơn trong một môi trường ngày càng phức tạp và đòi hỏi cao về bảo mật

4.2.Các yếu tố cần thiết

Triển khai Access Control trong khuôn khổ Zero Trust là một quy trình gồm nhiều bước bắt đầu bằng việc xác định dữ liệu và hệ thống nhạy cảm trong tổ chức của bạn Điều này liên quan đến việc hiểu các loại dữ liệu bạn sở hữu, nơi lưu trữ dữ liệu và ai

có quyền truy cập vào dữ liệu đó Tiếp theo, các chính sách truy cập được xác định dựa trên nguyên tắc đặc quyền tối thiểu, đảm bảo người dùng chỉ được cấp các quyền truy cập cần thiết để thực hiện vai trò của họ Để tăng cường bảo mật, xác thực đa yếu

tố (MFA) được triển khai, yêu cầu người dùng cung cấp nhiều hình thức xác minh.Rủi ro khi không triển khai Access Control trong Zero Trust là rất lớn, bao gồm truy cập trái phép, vi phạm dữ liệu và không tuân thủ các quy định Những rủi ro này nhấn mạnh tầm quan trọng của việc giám sát và ghi nhật ký truy cập liên tục trong môitrường Zero Trust, giúp phát hiện các bất thường và mối đe dọa tiềm ẩn theo thời gian thực

Việc lập kế hoạch Access Control trong Zero Trust có liên quan chặt chẽ đến việc triển khai Nó đòi hỏi sự hiểu biết toàn diện về luồng dữ liệu, vai trò của người dùng

và các yêu cầu truy cập của tổ chức bạn Kiểm toán và xem xét thường xuyên các chính sách truy cập là điều cần thiết, đảm bảo rằng các quyền truy cập được đánh giá

và điều chỉnh liên tục dựa trên các mối đe dọa và nhu cầu kinh doanh đang phát triển

4.3 Ví dụ thực tế

- Bối cảnh: Một công ty công nghệ cần bảo mật dữ liệu dự án, với các vai trò cụ thể:

● Quản trị viên hệ thống (Admin): Có quyền cao nhất, quản lý toàn bộ hệ thống

● Nhà phát triển (Developer): Truy cập mã nguồn và tài liệu liên quan đến dự án

10

● Nhân viên hỗ trợ (Support): Truy cập thông tin khách hàng nhưng không được truy cập mã nguồn.

- Cách triển khai RBAC:

● Phân vai trò:

○ Admin: Quyền truy cập toàn hệ thống (hệ thống mạng, dữ liệu, thiết lập)

○ Developer: Quyền truy cập vào thư mục dự án và kho mã nguồn (repository)

○ Support: Quyền truy cập vào cơ sở dữ liệu khách hàng

● Chính sách RBAC:

○ Developer chỉ được đọc/ghi dữ liệu dự án trong giờ làm việc từ thiết bị được công ty cấp

○ Support chỉ được đọc dữ liệu khách hàng từ mạng VPN nội bộ

○ Admin có toàn quyền nhưng vẫn phải sử dụng xác thực đa yếu tố (MFA)

5.1 Lợi ích, thách thức khi triển khai Access Control trong Zero Trust

Access Control trong Zero Trust mang lại những lợi ích đáng kể, bao gồm tăng cường bảo mật và cải thiện khả năng tuân thủ, bằng cách áp dụng phương pháp "khôngbao giờ tin tưởng, luôn xác minh" Phương pháp này giảm thiểu rủi ro truy cập trái phép và vi phạm dữ liệu, đảm bảo tuân thủ các yêu cầu theo quy định Tuy nhiên, việc triển khai Access Control trong Zero Trust có thể là một thách thức Nó đòi hỏi sự hiểubiết toàn diện về mạng, bao gồm người dùng, thiết bị, ứng dụng và dữ liệu Bản chất năng động của môi trường kỹ thuật số có thể khiến việc quản lý trở nên phức tạp, có khả năng dẫn đến độ trễ tăng lên và người dùng không hài lòng do các biện pháp kiểm soát chặt chẽ

Thiết kế và triển khai các biện pháp kiểm soát phải cân bằng giữa tính bảo mật và khả năng sử dụng Việc hạn chế quyền truy cập vào các tài nguyên nhạy cảm là rất quan trọng, nhưng việc đảm bảo người dùng hợp pháp có thể thực hiện nhiệm vụ của

họ mà không gặp trở ngại không cần thiết cũng quan trọng không kém Sự cân bằng này bao gồm việc lập kế hoạch cẩn thận, giám sát liên tục và cập nhật thường xuyên để