đồ án tốt nghiệp nghiên cứu tường lửa cách tấn công và phòng tránh tin tặc

Ví dụ sử dụnglệnh ping với tốc độ cao nhất có thể, buộc một hệ thống tiêu hao toàn bộtốc độ tính toán và khả năng của mạng để trả lời các lệnh này, không còncác tài nguyên để thực hiện n

PHẦN I: TỔNG QUAN VỀ AN TOÀN THÔNG TIN TRÊN MẠNG

An toàn thông tin là nhu cầu rất quan trọng đối với cá nhân cũng nhưđối với xã hội và các quốc gia trên thế giới Mạng máy tính an toàn thông tinđược tiến hành thông qua cá phương pháp vật lý và hành chính Từ khi rađời cho đến nay mạng máy tính đã đem lại hiệu quả vô cùng to lớn trong tất

cả các lĩnh vực của đời sống Bên cạnh đó người sử dụng phải đối mặt vớicác hiểm họa do thông tin trên mạng của họ bị tấn công An toàn thông tintrên mạng máy tính bao gồm các phương pháp nhằm bảo vệ thông tin đượclưu giữ và truyền trên mạng An toàn thông tin trên mạng máy tính là mộtlĩnh vực đang được quan tâm đặc biệt đồng thời cũng là một công việc hếtsức khó khăn và phức tạp

Thực tế đã chứng tỏ rằng có một tình trạng rất đáng lo ngại khi bị tấncông thông tin trong quá trình xử lý, truyền và lưu giữ thông tin Những tácđộng bất hợp pháp lên thông tin với mục đích làm tổn thất, sai lạc, lấy cắpcác tệp lưu giữ tin, sao chép các thông tin mật, giả mạo người được phép sửdụng thông tin trong các mạng máy tính Sau đây là một vài ví dụ điển hình

về các tác động bất hợp pháp vào các mạng máy tính:

Các sinh viên trường Đại học Tổng hợp Mỹ đã lập và cài đặt vào máytính một chương trình bắt chước sự làm việc với người sử dụng ở xa Bằngchương trình họ đã nắm trước được nhu cầu của người sử dụng và hỏi mậtkhẩu của họ Đến khi bị phát hiện các sinh viên này đã kịp lấy được mậtkhẩu của hơn 100 người sử dụng hợp pháp hệ thống máy tính

Các nhân viên của hãng CDC(Mỹ) đã “xâm nhập” vào trung tâm tínhtoán của một hãng sản xuất hóa phẩm và đã phá hủy các dữ liệu lưu giữ trênbăng từ gây thiệt hại cho hãng này tới hơn 100.000$.

Hãng bách khoa toàn thư của Anh đã đưa ra tòa 3 kĩ thuật viên trongtrung tâm máy tính của mình với lời buộc tội họ đã sao chép từ ổ đĩa củamáy chủ tên tuổi gần 3 triệu khách hàng đáng giá của hãng để bán cho hãngkhác

Chiếm vị trí đáng kể hơn cả trong số các hành động phi pháp tấn côngmạng máy tính là các hành vi xâm nhập vào hệ thống, phá hoại ngầm, gây

nổ, làm hỏng đường cáp kết nối và các hệ thống mã hóa Song phổ biến nhấtvẫn là việc phá hủy các phần mềm xử lý thông tin tự động, chính các hành vinày thường gây thiệt hại vô cùng lớn lao

Cùng với sự gia tăng của nguy cơ đe dọa thông tin trong các mạngmáy tính, vấn đề bảo vệ thông tin càng được quan tâm nhiều hơn Sau kếtquả nghiên cứu điều tra của của viện Stendfooc (Mỹ), tình hình bảo vệ thôngtin đã có những thay đổi đáng kể Đến năm 1985 nhiều chuyên gia Mỹ điđến kết luận rằng các tác động phi pháp trong hệ thống thông tin tính toán đãtrở thành tai họa quốc gia.Khi có đủ các tài liệu nghiên cứu, hiệp hội luật gia

Mỹ tiến hành một cuộc nghiên cứu đặc biệt Kết quả là gần một nửa số ýkiến thăm dò thông báo rằng trong năm 1984 họ đã là nạn nhân của các hànhđộng tội phạm được thực hiện bằng máy tính, rất nhiều trong số các nạnnhân này đã thông báo cho chính quyền về tội phạm., 39% số nạn nhân tuy

có thông báo nhưng lại không chỉ ra được mục tiêu mà mình nghi vấn Đặcbiệt nhiểu là các vụ phạm pháp xảy ra trên mạng máy tính của các cơ quankinh doanh và nhà băng Theo các chuyên gia, tính đến trước năm 1990 ở

Mỹ lợi lộc thu được từ việc thâm nhập phi pháp vào các hệ thống thông tin

đã lên tới gần 10 triệu đô la Tổn thất trung bình mà nạn nhân phải trả vì các

vụ phạm pháp ấy từ 400.000 đến 1.5 triệu đô la Có hãng đã phải tuyên bốphá sản vì một nhân viên cố ý phá bỏ tất cả các tài liệu kế toán chứa trong bộnhớ của máy tính về số nợ của các con nợ

I CÁC HÌNH THỨC TẤN CÔNG.

1.1 Tấn công trực tiếp:

Những cuộc tấn công trực tiếp thông thường được sử dụng tronggiai đoạn đầu để chiếm được quyền truy nhập bên trong Một phươngpháp tấn công cổ điển là dò tìm tên ngời sử dụng và mật khẩu Đây làphương pháp đơn giản, dễ thực hiện và không đòi hỏi một điều kiện đặcbiệt nào để bắt đầu Kẻ tấn công có thể sử dụng những thông tin như tênngười dùng, ngày sinh, địa chỉ, số nhà vv để đoán mật khẩu Trongtrường hợp có được danh sách người sử dụng và những thông tin về môitrường làm việc, có một trương trình tự động hoá về việc dò tìm mật khẩunày

Một chương trình có thể dễ dàng lấy được từ Internet để giải cácmật khẩu đã mã hoá của các hệ thống unix có tên là crack, có khả năngthử các tổ hợp các từ trong một từ điển lớn, theo những quy tắc do ngườidùng tự định nghĩa Trong một số trường hợp, khả năng thành công củaphương pháp này có thể lên tới 30%

Phương pháp sử dụng các lỗi của chương trình ứng dụng và bảnthân hệ điều hành đã được sử dụng từ những vụ tấn công đầu tiên và vẫnđược tiếp tục để chiếm quyền truy nhập Trong một số trường hợpphương pháp này cho phép kẻ tấn công có được quyền của người quản trị

hệ thống (root hay administrator)

Hai ví dụ thường xuyên được đưa ra để minh hoạ cho phương phápnày là ví dụ với chương trình sendmail và chương trình rlogin của hệ điềuhành UNIX.

Sendmail là một chương trình phức tạp, với mã nguồn bao gồm

hàng ngàn dòng lệnh của ngôn ngữ C Sendmail được chạy với quyền

ưu tiên của người quản trị hệ thống, do chương trình phải có quyền ghi vào hộp thư của những người sử dụng máy Và Sendmail trực tiếp nhận các yêu cầu về thư tín trên mạng bên ngoài Đây chính là

những yếu tố làm cho sendmail trở thành một nguồn cung cấp những lỗhổng về bảo mật để truy nhập hệ thống

Rlogin cho phép người sử dụng từ một máy trên mạng truy nhập từ

xa vào một máy khác sử dụng tài nguyên của máy này Trong quá trình

nhận tên và mật khẩu của người sử dụng, rlogin không kiểm tra độ dài của dòng nhập, do đó kẻ tấn công có thể đưa vào một xâu đã được

tính toán trước để ghi đè lên mã chương trình của rlogin, qua đó chiếmđược quyền truy nhập

1.2 Nghe trộm:

Việc nghe trộm thông tin trên mạng có thể đưa lại những thông tin

có ích như tên, mật khẩu của người sử dụng, các thông tin mật chuyển

qua mạng Việc nghe trộm thường được tiến hành ngay sau khi kẻ tấn

công đã chiếm được quyền truy nhập hệ thống, thông qua các chương trình cho phép bắt các gói tin vào chế độ nhận toàn bộ các

thông tin lưu truyền trên mạng Những thông tin này cũng có thể dễ dànglấy được trên Internet

1.3 Giả mạo địa chỉ:

Việc giả mạo địa chỉ IP có thể được thực hiện thông qua việc sửdụng khả năng dẫn đường trực tiếp (source-routing) Với cách tấn côngnày, kẻ tấn công gửi các gói tin IP tới mạng bên trong với một địa chỉ IPgiả mạo (thông thường là địa chỉ của một mạng hoặc một máy được coi

là an toàn đối với mạng bên trong), đồng thời chỉ rõ đường dẫn mà cácgói tin IP phải gửi đi

1.4 Vô hiệu các chức năng của hệ thống (DoS, DDoS):

Đây là kểu tấn công nhằm tê liệt hệ thống, không cho nó thực hiện

chức năng mà nó thiết kế Kiểu tấn công này không thể ngăn chặn

được, do những phương tiện đợc tổ chức tấn công cũng chính là các

phương tiện để làm việc và truy nhập thông tin trên mạng Ví dụ sử dụnglệnh ping với tốc độ cao nhất có thể, buộc một hệ thống tiêu hao toàn bộtốc độ tính toán và khả năng của mạng để trả lời các lệnh này, không còncác tài nguyên để thực hiện những công việc có ích khác

Hình 1 Mô hình tấn công DdoS

 Client là một attacker sắp xếp một cuộc tấn công

 Handler là một host đã được thỏa hiệp để chạy những chươngtrình đặc biệt dùng đê tấn công

 Mỗi handler có khả năng điều khiển nhiều agent

 Mỗi agent có trách nhiệm gửi stream data tới victim

1.5 Lỗi của người quản trị hệ thống:

Đây không phải là một kiểu tấn công của những kẻ đột nhập, tuynhiên lỗi của người quản trị hệ thống thờng tạo ra những lỗ hổng chophép kẻ tấn công sử dụng để truy nhập vào mạng nội bộ

1.6 Tấn công vào yếu tố con người:

Kẻ tấn công có thể liên lạc với một ngời quản trị hệ thống, giả làmmột người sử dụng để yêu cầu thay đổi mật khẩu, thay đổi quyền truynhập của mình đối với hệ thống, hoặc thậm chí thay đổi một số cấu hìnhcủa hệ thống để thực hiện các phương pháp tấn công khác Với kiểu tấncông này không một thiết bị nào có thể ngăn chặn một cách hữu hiệu, vàchỉ có một cách giáo dục người sử dụng mạng nội bộ về những yêu cầubảo mật để đề cao cảnh giác với những hiện tượng đáng nghi Nói chungyếu tố con ngời là một điểm yếu trong bất kỳ một hệ thống bảo vệ nào,

và chỉ có sự giáo dục cộng với tinh thần hợp tác từ phía người sử dụng cóthể nâng cao được độ an toàn của hệ thống bảo vệ

II CÁC DỊCH VỤ BẢO VỆ THÔNG TIN TRÊN MẠNG

Chúng ta có thể coi các dịch vụ bảo vệ thông tin như là “bản sao” củacác thao tác bảo vệ tài liệu vật lý Các tài liệu vật lý có các chữ kí và thôngtin về ngày tạo ra nó Chúng được bảo vệ nhằm chống lại việc đọc trộm, giảmạo, phá hủy…Chúng có thể được công chứng, chứng thực, ghi âm, chụpảnh…

Tuy nhiên có các điểm khác nhau giữa tài liệu điện tử và tài liệu giấy:

- Ta có thể phân biệt giữa tài liệu giấy nguyên bản và một tài liệusao chép Nhưng tài liệu điện tử chỉ là một dãy các bit nên không thể phânbệt được đâu là tài liệu “nguyên bản” đâu là tài liệu sao chép

- Một sự thay đổi trong tài liệu giấy đều để lại dấu vết như vết xóa,tẩy…Tuy nhiên sự thay đổi tài liệu điện tử hoàn toàn không để lại dấu vết

Dưới đây là các dịch vụ bảo vệ thông tin trên mạng máy tính

2.1 Dịch vụ bí mật (Confidentiality)

Dịch vụ bí mật bảo đảm rằng thông tin trong hệ thống máy tính vàthông tin được truyền chỉ được đọc bởi những bên được ủy quyển Thaotác đọc bao gồm in, hiển thị,…Nói cách khác, dịch vụ bí mật bảo vệ dữliệu được truyền chống lại các tấn công bị động nhằm khám phá nội dungthông báo

Thông tin được bảo vệ có thể là tất cả dữ liệu được truyền giữa haingười dùng trong một khoảng thời gian hoặc một thông báo lẻ hay một sốtrường trong thông báo

Dịch vụ này còn cung cấp khả năng bảo vệ luồng thông tin khỏi bịtấn công phân tích tình huống

2.2 Dịch vụ xác thực (Authentication)

Dịch vụ xác thực đảm bảo rằng việc truyền thông là xác thực nghĩa

là cả người gửi và người nhận không bị mạo danh

Trong trường hợp có một thông báo đơn như một tín hiệu cảnhbáo, tín hiệu chuông, dịch vụ xác thực đảm bảo với bên nhận rằng thôngbáo đến từ đúng bên nêu danh Trong trường hợp có một giao dịch đang

xảy ra, dịch vụ xác thực đảm bảo rằng hai bên giao dịch là xác thực vàkhông có kẻ nào giả danh làm một trong các bên trao đổi.

Nói cách khác, dịch vụ xác thực yêu cầu nguồn gốc của thông báođược nhận dạng đúng với các định danh đúng

2.3 Dịch vụ toàn vẹn (Integrity)

Dịch vụ toàn vẹn đòi hỏi rằng các tài nguyên hệ thống máy tính vàthông tin được truyền không bị sử đổi trái phép Việc sửa đổi bao gồmcác thao tác viết, thay đổi, thay đổi trạng thái, xóa thông báo, tạo thôngbáo, làm trể hoặc dùng lại các thông báo được truyền

Dịch vụ toàn vẹn có thể áp dụng cho một thông báo, một luồngthông báo hay chỉ một số trường trong thông báo

Dịch vụ toàn vẹn định hướng kết nối (connection-oriented) ápdụng cho một luồng thông báo và nó bảo đảm rằng các thông báo đượcnhận có nội dung giống như khi được gửi, không bị nhân bản, chèn, sửađổi, thay đổi trật tự hay dùng lại kể cả hủy hoại số liệu Như vậy dịch vụtoàn vẹn định hướng kết nối quan tâm đến cả việc thay đổi thông báo và

từ chối dịch vụ Mặt khác, dịch vụ toàn vẹn phi kết nối chỉ quan tâm đếnviệc sử đổi thông báo Dịch vụ toàn vẹn này thiên về phát hiện hơn làngăn chặn

2.4 Không thể chối bỏ (Nonrepudiation)

Dịch vụ không thể chối bỏ ngăn chặn người gửi hay người nhậnchối bỏ thông báo được truyền Khi thông báo được gửi đi người nhận cóthể chứng minh rằng người gửi nêu danh đã gửi nó đi Khi thông báo

nhận được, người gửi có thể chứng minh thông báo đã được nhận bởingười nhận hợp pháp.

2.5 Kiểm soát truy nhập (Access control)

Kiểm soát truy nhập là khả năng hạn chế và kiểm soát truy nhậpđến các hệ thống máy tính và các ứng dụng theo các đường truyền thông.Mỗi thực thể muốn truy nhập đuề phải định danh hay xác nhận có quyềntruy nhập phù hợp

Các mối đe dọa chủ yếu tới sự an toàn trong các hệ thống mạng xuấtphát từ tính mở của các kênh truyền thông (chúng là các cổng được dùngcho truyền thông hợp pháp giữa các tiến trình như client, server) và hậu quả

là làm cho hệ thống bị tấn công Chúng ta phải thừa nhận rằng trong mọikênh truyền thông, tại tất cả các mức của phần cứng và phần mềm của hệthống đều chịu sự nguy hiểm của các mối đe dọa đó

Biện pháp để ngăn chặn các kiểu tấn công ở trên là:

- Xây dựng các kênh truyền thông an toàn để tránh việc nghe trộm

- Thiết kế các giao thức xác nhận lẫn nhau giữa máy khách hàng vàmáy chủ:

+ Các máy chủ phải đảm bảo rằng các máy khách hàng đúng là máycủa những người dùng mà chúng đòi hỏi

+ Các máy khách hàng phải đảm bảo rằng các máy chủ cung cấp cácdịch vụ đặc trưng là các máy chủ được ủy quyền cho các dịch vụ đó

+ Đảm bảo rằng kênh truyền thông là “tươi” nhằm tránh việc dùng lạithông báo

III CÁC KỸ THUẬT BẢO VỆ THÔNG TIN TRÊN MẠNG

III.1 Mã hóa

Việc mã hóa các thông báo có các vai trò sau:

1 Nó dùng để che dấu thông tin mật được đặt trong hệ thống Nhưchúng ta đã biết, các kênh truyền thông vật lý luôn bị tấn công bởi sựnghe trộm và xuyên tạc thông báo Theo truyền thống, việc trao đổi thư

từ bằng mật mã được dùng trong các hoạt động quân sự, tình báo Điềunày dựa trên nguyên tắc là một thông báo được mã hóa với một khóa mãxác định và chỉ có thể được giải mã bởi người biết khóa ngược tươngứng

2 Nó được dùng để hỗ trợ cho cơ chế truyền thông xác thực giữa cáccặp người dùng hợp pháp mà ta gọi là người ủy nhiệm (Principal) Mộtngười ủy nhiệm sau khi giải mã thành công một thông báo bằng cáchdùng một khóa dịch xác định có thể thừa nhận rằng thông báo được xácthực nếu nó chứa một vài giá trị mong muốn Từ đó người nhận có thểsuy ra rằng người gửi của thông báo có khóa mã tương ứng Như vậy nếu

ác khóa được giữ bí mật thì việc giả mã thành công sẽ xác thực thông báođến từ một người gửi xác định.

3 Nó được dùng để cài đặt một cơ chế chữ kí số Chữ kí số có vai tròquan trọng như một chữ kí thông thường trong việc xác nhận với mộtthành viên thứ ba rằng một thông báo là một bản sao không bị thay đổicủa một thông báo được tạo bởi người ủy nhiệm đặc biệt Khả năng đểcung cấp một chữ kí số dựa trên nguyên tắc : có những việc chỉ có người

ủy nhiệm là người gửi thực sự mới có thể làm còn những người khác thìkhông thể Điều này có thể đạt được bằng việc đòi hỏi một thành viên thứ

3 tin cậy mà anh ta có bằng chứng định danh của người yêu cầu để mãthông báo hoặc để mã một dạng ngắn của thông báo được gọi là digesttương tự như một checksum Thông báo hoặc digest được mã đóng vaitrò như một chữ kí đi kèm với thông báo

III.2 Cơ chế sát thực

Trong các hệ thống nhiều người dùng tập trung các cơ chế xác thựcthường là đơn giản Định danh của người dùng có thể được xác thực bởiviệc kiểm tra mật khẩu của mỗi phiên giao dịch Cách tiếp cận này dựavào cơ chế quản lí tài nguyên hệt thống của nhân hệ điều hành Nó chặntất cả các phiên giao dịch mới bằng cách giả mạo người khác

Trong các mạng máy tính, việc xác thực là biện pháp mà nhờ nócác định danh của các máy chủ và các máy khách hàng được xác minh làđáng tin cậy Cơ chế được dùng để đạt điều này là dựa trên quyền sở hữucác khóa mã Từ thực tế rằng chỉ một người ủy nhiệm mới có quyền sởhữu khóa bí mật, chúng ta suy ra rằng người ủy nhiệm chính là người cóđịnh danh mà nó đòi hỏi Việc sở hữu một mật khẩu bí mật cũng đượcdùng để xác nhận định danh của người sở hữu Các dịch vụ xác thực dựa

vào việc dùng mật mã có độ an toàn cao Dịch vụ phân phối khóa cóchức năng tạo, lưu giữ và phân phối tất cả các khóa mật mã cần thiết chotất cả người dùng trên mạng.

III.3 Các cơ chế điều khiển truy nhập

Các cơ chế điều khiển truy nhập được dùng để đảm bảo rằng chỉ cómột số người dùng được gán quyền mới có thể truy nhập đến các tàinguyên thông tin (tệp, tiến trình, cổng truyền thông…) và các tài nguyênphần cứng (máy chủ, processor, Gateway…)

Các cơ chế điều khiển truy nhập xảy ra trong các hệ điều hành đangười dùng không phân tán Trong UNIX và các hệ thống nhiều ngườidùng khác, các tệp là các tài nguyên thông tin có thể chia xẻ quan trọngnhất và một cơ chế điều khiển truy nhập được cung cấp để cho phép mỗingười dùng quản lí một số tệp bí mật và để chia xẻ chúng trong một cáchthức được điều khiển nào đó

IV GIẢI PHÁP TỔNG THỂ CHO AN TOÀN THÔNG TIN TRÊN MẠNG

Khi nói đến giả pháp tổng thể cho an toàn thông tin trên mạng, cácchuyên gia đểu nhấn mạnh một thực tế là không có thứ gì là an toàn tuyệtđối Hệ thống bảo vệ có chắc chắn đến đâu đi nữa rồi cũng có lúc bị vô hiệuhóa bởi những kẻ phá hoại điêu luyện về kĩ xảo và có đủ thời gian Chưa kểtrong nhiều trường hợp kẻ phá hoại lại nằm ngay trong nội bộ cơ quan cómạng cần bảo vệ Từ đó có thể thấy rằng vấn đề an toàn mạng máy tính thực

tế là một cuộc chạy tiếp sức không ngừng và không ai dám khẳng định là cóđích cuối cùng hay không

IV.1 Các mức bảo vệ thông tin trên mạng

Vì không thể có một giải pháp an toàn tuyệt đối nên người tathường phải sử dụng đồng thời nhiều mức bảo vệ khác nhau tạo thànhnhiều lớp “rào chắn” đối với các hoạt động xâm phạm Ngoài việc bảo vệthông tin trên đường truyền, chúng ta còn phải bảo vệ thông tin được cấtgiữ trong các máy tính, đặc biệt là trong các máy chủ trên mạng Bởi thếngoài một số biện pháp nhằm chống lại việc tấn công vào thông tin trênđường truyền, mọi cố gắng phải tập trung vào việc xây dựng các mức

“rào chắn” từ ngoài vào trong cho các hệ thống kết nối vào mạng Hình1.3 mô tả các lớp “rào chắn” thông dụng hiện nay để bảo vệ thông tintrên mạng máy tính:

Hình 2: Các mức bảo vệ thông tin trên mạng máy tính

 Quyền truy nhập:

Lớp bảo vệ trong cùng là quyền truy nhập nhằm kiểm soát các tàinguyên thông tin của mạng và quyền hạn của người sử dụng trên tàinguyên đó Hiện tại việc kiểm soát thường ở mức tệp

 Đăng kí tên và mật khẩu:

Lớp bảo vệ tiếp theo là đăng kí tên/ mật khẩu (login/password).Thực ra đây cũng là lớp kiểm soát quyền truy nhập, nhưng không phảitruy nhập ở mức thông tin mà ở mức hệ thống Đây là phương pháp bảo

vệ phổ biến nhất vì nó đơn giản, ít phí tổn và cũng rất hiệu quả Mỗingười sử dụng, kể cả người quản trị mạng muốn vào được mạng để sử

Thông tin

dụng các tài nguyên của mạng đều phải đăng kí tên và mật khẩu trước.Người quản trị mạng có trách nhiệm quản lí, kiểm soát mọi hoạt độngcủa mạng và xác định quyền truy nhập của những người sử dụng kháctùy theo thời gian và không gian, nghĩa là một người sử dụng chỉ đượcphép vào mạng ở những thời điểm và từ những vị trí xác định Về líthuyết, nếu mọi người đều giữ kín được tên và mật khẩu đăng kí củamình thì sẽ không xảy ra các truy nhập trái phép Song điều đó rất khóđảm bảo trong thực tế vì nhiều nguyên nhân, chẳng hạn như người sửdụng thiếu cẩn thận khi chọn mật khẩu trùng với ngày sinh, tên ngườithân hoặc ghi mật khẩu ra giấy…Điều đó làm giảm hiệu quả của lớp bảo

vệ này Có thể khắc phục bằng nhiều cách như người quản trị có tráchnhiệm đặt mật khẩu, thay đổi mật khẩu theo thời gian…

 Mã hóa dữ liệu;

Để bảo mật thông tin truyền trên mạng, người ta sử dụng cácphương pháp mã hóa Dữ liệu được biến đổi từ dạng nhận thức được sangdạng không nhận thức được theo một thuật toán nào đó (lập mã) và sẽđược biến đổi ngược lại (dịch mã) ở nơi nhận Đây là lớp bảo vệ thôngtin rất quan trọng và được sử dụng rộng rãi trong môi trường mạng

 Bảo vệ vật lý

Nhằm ngăn cản các truy nhập vật lý bất hợp pháp vào hệ thống.Người ta thường dùng các biện pháp truyền thống như cấm tuyệt đốingười không phận sự vào phòng đặt máy mạng, dùng ổ khóa trên máytính (ngắt nguồn điện đến màn hình và bàn phím nhưng vẫn giữ liên lạctrực tuyến giữa máy tính với mạng, hoặc cài cơ chế báo động khi có truynhập vào hệ thống) hoặc dùng các trạm không có ổ đĩa mềm…

 Bức tường lửa (Firewall)

Để bảo vệ từ xa một máy tính hoặc cho cả một mạng nội bộ, người

ta thường dùng các hệ thống đặc biệt là tường lửa Chức năng của cáctường lửa là ngăn chặn các thâm nhập trái phép (theo danh sách truy nhậpxác định trước) và thậm chí có thể “lọc” bỏ các gói tin mà ta không muốngửi đi hoặc nhận vì những lí do nào đó Phương thức này được sử dụngnhiều trong môi trường mạng Internet

Một cách tiếp cận khác trong việc xây dựng giải pháp tổng thể về antoàn thông tin trên mạng máy tính là đưa ra các phương pháp và phương tiệnbảo vệ thông tin

IV.2 Các phương pháp và phương tiện bảo vệ thông tin

Trong giai đoạn đầu tiên, người ta cho rằng việc bảo vệ thông tintrong hệ thống thông tin tính toán có thể được thực hiện tương đối dễdàng, thuần túy bằng các chương trình phần mềm Chính vì vậy cácphương tiện chương trình có kèm theo việc bổ sung các biện pháp tổchức cần thiết được phát triển một cách đáng kể Nhưng cho đến lúc chỉriêng các phương tiện tỏ ra không thể đảm bảo chắc chắn việc bảo vệthông tin thì các thiết bị kỹ thuật đa năng, thậm chí cả một hệ thống kĩthuật lại phát triển một cách mạnh mẽ Từ đó cần thiết phải triển khai mộtcách đồng bộ tất cả các phương tiện bảo vệ thông tin Các phương phápbảo vệ thông tin bao gồm

 Các chướng ngại:

Chướng ngại là nhằm ngăn cản kẻ tấn công tiếp cận thông tin đượcbảo vệ

 Điều khiển sự tiếp cận:

Điều khiển sự tiếp cận là phương pháp bảo vệ thông tin bằng cáchkiểm soát việc sử dụng tất cả các tài nguyên của hệ thống Trong mộtmạng máy tính cần xây dựng các qui định rõ ràng và chặt chẽ về chế độlàm việc của người sử dụng, các kĩ thuật viên sử dụng các chương trìnhphần mềm, các cơ sở dữ liệu và các thiết bị mang tin

Cần phải quy định thời gian làm việc trong tuần, trong ngày chongười sử dụng và nhân viên kĩ thuật trên mạng Trong thời gian làm việc,cần phải xác định một danh mục những tài nguyên của mạng được phéptiếp cận và trình tự tiếp cận chúng Cần thiết phải có cả một danh sáchcác cá nhân được quyền sử dụng các phương tiện kĩ thuật, các chươngtrình

Với các ngân hàng dữ liệu người ta cũng chỉ ra một danh sáchnhững người sử dụng dược quyền tiếp cận nó Đối với các thiết bị mangtin, phải xác định chặt chẽ vị trí lưu giữ thường xuyên, danh sách các cánhân có quyền nhận các thiết bị này

Hình 3: Các phương pháp và phương tiện bảo vệ thông tin.

Các chướng ngại

Điều khiển

Mã hóa thông tin

Tổ chức

Luật pháp

Đạo đức

Các phương tiện bảo vệ

Các

phương

pháp bảo

vệ

 Mã hóa thông tin:

Là phương pháp bảo vệ thông tin trên mạng máy tính bằng cáchdùng các phương pháp mật mã để che dấu thông tin mật Dạng bảo vệnày được sử dụng rộng rãi trong quá trình truyền và lưu giữ thông tin.Khi truyền tin theo kênh truyền công khai thì việc mã hóa là phươngpháp duy nhất để bảo vệ thông tin

 Các qui định:

Các qui định nhằm tránh được một cách tối đa các khả năng tiếpcận phi pháp thông tin trong các hệ thống xử lí tự động Để bảo vệ mộtcách có hiệu quả cũng cần phải quy định một cách chặt chẽ về kiến trúccủa hệ thống thông tin tính toán, về lược đồ công nghệ của việc xử lí tựđộng các thông tin cần bảo vệ , tổ chức và đảm bảo điều kiện làm việccủa tất cả các nhân viên xử lí thông tin…

Các phương tiện bảo vệ là tất cả các biện pháp tổ chức và kỹ thuật.Các biện pháp tổ chức và pháp lí được thực hiện trong quá trình thiết kế và

vận hành hệ thống thông tin Các biện pháp tổ chức cần được quan tâm mộtcáh đầy đủ trong quá trình thiết kế, xây dựng và hoạt động của hệ thống.

Các phương tiện luật pháp bao gồm các điều khoản luật pháp của nhànước qui định về nguyên tắc sử dụng và xử lí thông tin, về việc tiếp cận cóhạn chế thông tin và những biện pháp xử lí khi vi phạm những nguyên tắcđó

Quá trình xây dựng hệ thống bảo vệ thông tin trải qua nhiều giai đoạn.Trong giai đoạn đầu các phương tiện chương trình chiếm ưu thế phát triểncòn đến giai đoạn hai thì tất cả các phương tiện bảo vệ đều được quan tâm.Nhưng đến giai đoạn ba thì hình thành rõ rệt các khuynh hướng sau:

- Tạo ra những thiết bị có chức năng bảo vệ cơ bản

- Xây dựng các phương tiện bảo vệ phức hợp có thể thực hiện mộtvài chức năng bảo vệ khác nhau

- Thống nhất và chuẩn hóa các phương tiện bảo vệ

PHẦN II: FIREWALL

A GIỚI THIỆU VỀ FIREWALL

Ngày nay, ở bất kỳ đâu chúng ta cũng nghe nói đến mạng Internet, cácphương tiện thông tin đại chúng như báo chí, phát thanh, truyền hình…

Qua mạng Internet, con người có thể kinh doanh tiếp thị trên toàn cầu

và tiếp cận được khối lượng thông tin khổng lồ, cập nhật trong thời giannhanh Lợi ích của Internet mang lại là không nhỏ, nhưng nguy hiểm khitham gia vào mạng cũng không ít Nguy hiểm chính là ngày càng có nhiềumối đe dạo đến sự bảo mật và mất mát thông tin

Thông tin là sự sống còn của một doanh nghiệp, một tổ chức hay mộtquốc gia Do đó thông tin là vô giá Chúng ta bằng mọi cách để bảo vệchúng tránh các mối nguy hiểm, một trong những giải pháp tốt hiện nay làxây dựng Firewall Sử dụng các bức tường lửa (Firewall) để bảo vệ mạng,tránh sự tấn công từ bên ngoài đảm bảo được các yếu tố:

 An toàn cho sự hoạt động của toàn bộ hệ thống mạng

 Bảo mật cao trên nhiều phương diện

 Khả năng kiểm soát cao

Nhu cầu bảo vệ thông tin trên mạng có thể chia thành ba loại gồm:Bảo vệ dữ liệu; Bảo vệ các tài nguyên sử dụng trên mạng và Bảo vệ uy tíncủa cơ quan.

1.1 Đối với dữ liệu

Những thông tin lưu trữ trên hệ thống máy tính cần được bảo vệ docác yêu cầu sau:

- Tính bí mật (Secrecy): Những thông tin có giá trị về kinh tế, quân

sự, chính sách vv cần được giữ kín Lộ lọt thông tin có thể do conngười hoặc hệ thống bảo mật kém

- Tính toàn vẹn (Integriry): Thông tin không bị mất mát hoặc sửađổi, đánh tráo Những người sử dụng có thể là nguyên nhân lớn nhất gây

ra lỗi Việc lưu trữ các thông tin không chính xác trong hệ thống cũng cóthể gây nên những kết quả xấu như là bị mất dữ liệu Những kẻ tấn công

hệ thống có thể sửa đổi, xóa bỏ hoặc làm hỏng thông tin quan trọng mangtính sống còn cho các hoạt động của tổ chức

- Tính kịp thời: Yêu cầu truy nhập thông tin vào đúng thời điểm cầnthiết

Trong các yêu cầu này, thông thường yêu cầu về tính bí mật đượccoi là yêu cầu số 1 đối với thông tin lưu trữ trên mạng Tuy nhiên, ngay

cả khi những thông tin này không được giữ bí mật, thì những yêu cầu vềtính toàn vẹn cũng rất quan trọng Không một cá nhân, một tổ chức nàolãng phí tài nguyên vật chất và thời gian để lưu trữ những thông tin màkhông biết về tính đúng đắn của những thông tin đó

1.2 Đối với tài nguyên

Tài nguyên nói ở đây bao gồm không gian bộ nhớ, không gian đĩa,các chương trình ứng dụng, thời gian thực thi chương trình, năng lực của

bộ vi xử lí…

Trên thực tế, trong các cuộc tấn công trên Internet, kẻ tấn công, saukhi đã làm chủ được hệ thống bên trong, có thể sử dụng các máy này đểphục vụ cho mục đích của mình nhằm chạy các chương trình dò mật khẩungười sử dụng, sử dụng các liên kết mạng sẵn có để tiếp tục tấn công các

hệ thống khác vv

1.3 Đối với uy tín

Một phần lớn các cuộc tấn công không được thông báo rộng rãi, vàmột trong những nguyên nhân là nỗi lo bị mất uy tín của cơ quan, đặcbiệt là các công ty lớn và các cơ quan quan trọng trong bộ máy nhà nước.Trong trường hợp người quản trị hệ thống chỉ được biết đến sau khi chính

hệ thống của mình được dùng làm bàn đạp để tấn công các hệ thốngkhác, thì tổn thất về uy tín là rất lớn và có thể để lại hậu quả lâu dài

II PHÂN LOẠI KẺ TẤN CÔNG

Có rất nhiều kẻ tấn công trên mạng toàn cầu-Internet và chúng ta cũngkhông thể phân loại chúng một cách chính xác, bất cứ một bản phân loạikiểu này cũng chỉ nên được xem như là một sự giứi thiệu hơn là một cáchnhìn rập khuôn

2.1 Người qua đường

Là những kẻ buồn chán với các công việc hàng ngày, họ muốn tìmnhững trò giả trí mới Họ đột nhập vào máy tính của bạn vì họ nghĩ bạn

có thể có những dữ liệu hay, hoặc bởi họ cảm thấy thích thú khi được sửdụng máy tính của người khác, hoặc chỉ đơn giản là họ không tìm đượcmột việc gì hay hơn để làm Họ có thể là người tò mò nhưng không chủđinh làm hại bạn Tuy nhiên, họ thường gây hư hỏng hệ thống khi độtnhập hay khi xóa bỏ dấu vết của họ

2.3 Kẻ ghi điểm

Rất nhiều kẻ qua đường bị cuốn hút vào việc đột nhập, phá hoại

Họ muốn được khẳng định mình thông qua số lượng và các kiểu hệ thống

mà họ đã đột nhập qua Đột nhập được vào những nơi nổi tiếng, nhữngnơi phòng bị chặt chẽ, những nơi thiết kế tinh xảo có giá trị nhiều điểmđối với họ Tuy nhiên họ cũng sẽ tấn công tất cả những nơi họ có thể, vớimục đích số lượng cũng như mục đích chất lượng Những người nàykhông quan tâm đến những thông tin bạn có hay những đặc tính khác vềtài nguyên của bạn Tuy nhiên, để đạt được mục đích là đột nhập, vô tìnhhay hữu ý họ sẽ làm hư hỏng hệ thống của bạn

2.4 Gián điệp

Hiện nay có rất nhiều thông tin quan trọng được lưu giữ trên máytính như các thông tin về quân sự, kinh tế…Gián điệp máy tính là mộtvấn đề phức tạp và khó phát hiện Thực tế, phần lớn các tổ chức khôngthể phòng thủ kiểu tấn công này một cách hiệu quả và bạn có thể chắcrằng đường lên kết với Internet không phải là con đường dễ nhất để giánđiệp thu lượm thông tin

III INTERNET FIREWALL

3.1 Firewall là gì ?

Một vài thuật ngữ:

- Mạng nội bộ (Inernal network) : bao gồm các máytính, các thiết bị mạng Mạng máy tính thuộc một đơn vịquản lý (Trường học, công ty, tổ chức đoàn thể, Quốcgia…) cùng nằm một bên với firewall, mà thông tin đến và

đi từ một máy thuộc nó đến một máy không thuộc nó đềuphải qua firewall đó

- Host bên trong (Internal Host) : máy thuộc mạng nộibộ

- Host bên ngoài (External Host): máy bất kỳ kết nốivào liên mạng và không thuộc mạng nội bộ nói trên

Thuật ngữ Firewall có nguồn gốc từ một kỹ thuật thiết kế trong xâydựng để ngăn chặn, hạn chế hoả hoạn Trong công nghệ mạng thông tin,Firewall là một kỹ thuật được tích hợp vào hệ thống mạng để chống sựtruy cập trái phép, nhằm bảo vệ các nguồn thông tin nội bộ và hạn chế sựxâm nhập không mong muốn vào hệ thống Cũng có thể hiểu Firewall làmột cơ chế (mechanism) để bảo vệ mạng tin tưởng (Trusted network)khỏi các mạng không tin tưởng (Untrusted network) Thông thườngFirewall được đặt giữa mạng bên trong của một công ty, tổ chức, ngànhhay một quốc gia, và Internet Vai trò chính là bảo mật thông tin, ngănchặn sự truy nhập không mong muốn từ bên ngoài và cấm truy nhập từbên trong tới một số địa chỉ nhất định trên Internet

Hình 4: Mô hình firewall

Một cách vắn tắt, firewall là hệ thống ngăn chặn việc truy nhập tráiphép từ bên ngoài vào mạng cũng như những kết nối không hợp lệ từ bêntrong ra Firewall thực hiện việc lọc bỏ những địa chỉ không hợp lệ dựatheo các quy tắc hay chỉ tiêu định trước

Hình 5: Lọc gói tin tại Firewall

Firewall có thể là hệ thống phần cứng, phần mềm hoặc kết hợp cảhai Nếu là phần cứng, nó có thể chỉ bao gồm duy nhất bộ lọc gói tin hoặc

là thiết bị định tuyến (router được tích hợp sẵn chức năng lọc gói tin) Bộđịnh tuyến có các tính năng bảo mật cao cấp, trong đó có khả năng kiểmsoát địa chỉ IP Quy trình kiểm soát cho phép bạn định ra những địa chỉ

IP có thể kết nối với mạng của bạn và ngược lại Tính chất chung của cácFirewall là phân biệt địa chỉ IP dựa trên các gói tin hay từ chối việc truynhập bất hợp pháp căn cứ trên địa chỉ nguồn

3.2 Chức năng

Chức năng chính của Firewall là kiểm soát luồng thông tin giữamạng bên trong (Intranet) và mạng Internet Thiết lập cơ chế điều khiểndòng thông tin giữa mạng Intranet và mạng Internet Cụ thể là:

 Cho phép hoặc cấm những dịch vụ truy nhập ra ngoài (từ Intranet

ra Internet)

 Cho phép hoặc cấm những dịch vụ phép truy nhập vào trong (từInternet vào Intranet)

 Theo dõi luồng dữ liệu mạng giữa Internet và Intranet

 Kiểm soát địa chỉ truy nhập, cấm địa chỉ truy nhập

 Kiểm soát người sử dụng và việc truy nhập của người sử dụng.Kiểm soát nội dung thông tin lưu chuyển trên mạng

Hình 6: Một số chức năng của Firewall

3.3 Các thành phần

Firewall chuẩn bao gồm một hay nhiều các thành phần sau đây:

 Bộ lọc gói tin (packet-filtering router)

 Cổng ứng dụng (application-level gateway hay proxy server)

 Cổng vòng (circuite level gateway)

3.3.1 Bộ lọc gói tin (packet-filtering

router)

a Nguyên lý:

Khi nói đến việc lưu thông dữ liệu giữa các mạng với nhauthông qua Firewall thì điều đó có nghĩa rằng Firewall hoạt động chặtchẽ với giao thức TCP/IP Vì giao thức này làm việc theo thuật toánchia nhỏ các dữ liệu nhận được từ các ứng dụng trên mạng, hay nóichính xác hơn là các dịch vụ chạy trên các giao thức (Telnet, SMTP,DNS, SMNP, NFS ) thành các gói dữ liệu (data pakets) rồi gán chocác packet này những địa chỉ để có thể nhận dạng, tái lập lại ở đíchcần gửi đến, do đó các loại Firewall cũng liên quan rất nhiều đến cácpacket và những con số địa chỉ của chúng

Hình 7: Lọc gói tin

Bộ lọc packet cho phép hay từ chối mỗi packet mà nó nhậnđược Nó kiểm tra toàn bộ đoạn dữ liệu để quyết định xem đoạn dữliệu đó có thoả mãn một trong số các luật lệ của lọc packet hay không.Các luật lệ lọc packet này là dựa trên các thông tin ở đầu mỗi packet(packet header), dùng để cho phép truyền các packet đó ở trên mạng

Đó là:

- Địa chỉ IP nơi xuất phát ( IP Source address)

- Địa chỉ IP nơi nhận (IP Destination address)

- Những thủ tục truyền tin (TCP, UDP, ICMP, IP tunnel)

- Cổng TCP/UDP nơi xuất phát (TCP/UDP source port)

- Cổng TCP/UDP nơi nhận (TCP/UDP destination port)

- Dạng thông báo ICMP ( ICMP message type)

- Giao diện packet đến ( incomming interface of packet)

- Giao diện packet đi ( outcomming interface of packet)

Nếu luật lệ lọc packet được thoả mãn thì packet được chuyểnqua Firewall Nếu không packet sẽ bị bỏ đi Nhờ vậy mà Firewall cóthể ngăn cản được các kết nối vào các máy chủ hoặc mạng nào đóđược xác định, hoặc khoá việc truy cập vào hệ thống mạng nội bộ từnhững địa chỉ không cho phép Hơn nữa, việc kiểm soát các cổng làmcho Firewall có khả năng chỉ cho phép một số loại kết nối nhất địnhvào các loại máy chủ nào đó, hoặc chỉ có những dịch vụ nào đó(Telnet, SMTP, FTP ) được phép mới chạy được trên hệ thống mạngcục bộ

b Ưu điểm: