Đang tải... (xem toàn văn)
BÀI TẬP LỚN MẬT MÃ VÀ AN TOÀN DỮ LIỆU “Gói an ninh” (Security Packages): CAACF2, CATOP SECRETNgày nay, mạng máy tính là một khái niệm đã trở nên quen thuộc với hầu hết tất cả mọi người, đặc biệt chiếm vị trí hết sức quan trọng với các doanh nghiệp. Với xu thế phát triển mạnh mẽ của hệ thống mạng như: mạng internet, hệ thống thương mại điện tử, hệ thống thông tin trong các cơ quan, doanh nghiệp,… vấn đề quản trị và bảo mật hệ thống trở nên hết sức cần thiết.
[“GÓI AN NINH” (SECURITY PACKAGES): CA-ACF2, CA-TOP SECRET] ĐẠI HỌC CÔNG NGHỆ - ĐẠI HỌC QUỐC GIA HÀ NỘI KHOA CÔNG NGHỆ THÔNG TIN Đề tài !"#$%&'()*)+,-)*.)/. Học viên thực hiện : % #012 3 Mã số học viên : 12025068 Lớp : K19HTTT Giáo viên hướng dẫn : PGS.TS !45"6 HÀ NỘI 4 - 2014 1 * 1 [“GÓI AN NINH” (SECURITY PACKAGES): CA-ACF2, CA-TOP SECRET] 7)7) 2 2 89:; Ngày nay, mạng máy tính là một khái niệm đã trở nên quen thuộc với hầu hết tất cả mọi người, đặc biệt chiếm vị trí hết sức quan trọng với các doanh nghiệp. Với xu thế phát triển mạnh mẽ của hệ thống mạng như: mạng internet, hệ thống thương mại điện tử, hệ thống thông tin trong các cơ quan, doanh nghiệp,… vấn đề quản trị và bảo mật hệ thống trở nên hết sức cần thiết. Đó có thể là virus, sâu máy tính, các chương trình do thám, ăn cắp thông tin, thư rác, các hành động tấn công hay xâm nhập trái phép. Tác giả của những cuộc tấn công cũng muôn hình vạn trạng, từ các cậu thanh niên lấy tấn công, phá hoại là cơ hội thể hiện mình, đến các hacker chuyên nghiệp, gián điệp công nghiệp, chính phủ nước ngoài, thậm chí người bên trong công ty… Thiệt hại không chỉ về tài sản, dữ liệu, mà lớn hơn là sự thất thoát niềm tin vào hệ thống mạng, vào chất lượng dịch vụ, uy tín của doanh nghiệp. Cùng với các ứng dụng Internet ngày càng nhiều, số vụ xâm phạm an ninh máy tính lại tăng theo cấp số nhân. Các lỗ hổng bảo mật được công bố ngày càng tăng, trong khi các hacker chỉ cần sử dụng các công cụ tấn công thô sơ cũng đã thành công khiến cho tình hình ngày một tồi tệ hơn.Vấn đềan toàn cho hệ thống thông tin vì vậy lẽ dĩ nhiên là mối quan tâm số một của CNTT. Với mong muốn gia tăng thêm hiểu biết của mình về các gói bảo mật, tôi đã chọn đề tài “Tìm hiểu các “Gói an ninh” (Security Packages): CA-ACF2, CA- TOP SECRET”. Đây là một trong 2 gói bảo mật được cung cấp bởi CA Technology với mục đích chính là để bảo mật cho các hệ thống máy tính mainframe lớn phục vụ cho các doanh nghiệp cũng như các hệ thống lớn. Do năng lực bản thân còn khiêm tốn, nên trong quá trình tìm hiểu đặc điểm của các gói bảo mật trên có những điều còn chưa hiểu cặn kẽ và thấu đáo dẫn đến Nguyễn Kỷ Tuấn –12025068 - K19HTTT 3 việc trình bày có thể còn chưa rõ ràng mạch lạc mong các Thầy Cô cùng các bạn giúp mình chỉnh sửa để hoàn thiện tài liệu hơn nữa trong thời gian tới. Em xin chân thành cảm ơn sự hướng dẫn tận tình của <#=!4 5"6đã giúp em hoàn thành đề tài này. Nguyễn Kỷ Tuấn –12025068 - K19HTTT 4 1. >"? "@%A Các máy tính mainframe hỗ trợ 70 – 80% dữ liệu cho các doanh nghiệp trên thế giới, điều đó có nghĩa việc bảo đảm an toàn thông tin cho các mainframe cũng rất quan trọng. Cùng với thời gian, các công cụ và phần mềm đã được phát triển để tích hợp cho các mainframe để bảo vệ cho máy tính mainframe và dữ liệu của nó. Trong bài này tôi xin trình bày về 2 sản phẩm được sử dụng phổ biến là : - Computers Associates’ Access Control Facility 2 (ACF2) - Computer Associates’ Top Secret (Top Secret). 2. @%A BC)D)+, ACF2 lần đầu tiên được phát hành vào năm 1978 bởi công ty SKK và nó không được biết đến cho đến khi trở thành một sản phẩm của Computer Associates (CA). CA-ACF2 sử dụng các thuật toán, được gọi là tập các quy định, để xác định xem một người dùng được có được phép truy cập vào một tập dữ liệu hoặc một số tài nguyên khác. Một bộ quy định bao gồm các quy định để truy cập tài nguyên được thiết lập bởi một người dùng có thẩm quyền (quản trị hệ thống) . Bộ các quy định này được đưa vào bên trong bản ghi các đối tượng được lưu trữ trong Quy tắc ACF2 (ACF2 Rule) hoặc cơ sở dữ liệu lưu thông tin (Infostorage database). Khi một người dùng truy cập vào một tập dữ liệu xác định, ACF2 sẽcho phép quyền để xem dữ liệu nếu người dùng có quyền truy cập vào tập dữ liệu. Các tính năng kiểm soát khác của ACF2 gồm các chức năng đặc biệt như lệnh lựa chọn việc chia sẻ thời gian (Time Sharing Option – TSO). TSO là một môi trường lập trình/hệ điều hành chung cho phép nhiều người dùng chia sẻ một máy chủ để hoạt động một cách độc lập. Bên cạnh đó, ACF2 cung cấp rất nhiều hồ sơ báo cáo để hỗ trợ việc kiểm tra an ninh và quản lý chung trong hệ thống Nguyễn Kỷ Tuấn –12025068 - K19HTTT 5 Tóm lại, CA-ACF2 như một phần mở rộng của hệ điều hành của mainframe bảo vệ các tập dữ liệu và các tài nguyên để chỉ những người thích hợp có thể tiếp cận với chúng, đồng thời báo cáo về bất kì nỗ lực nào truy cập trái phép vào hệ thống. ,=E)FGH%I)+, ACF2 hoạt động như là một phần mở rộng cho hệ điều hành đã được cài đặt sẵn cho mainframe (ví dụ OS/390, z/OS). Mặc định, người dùng ACF2 chỉ có thể truy cập vào dữ liệu nếu đã được phân quyền bởi quản trị hoặc chủ sở hữu của dữ liệu đó. ACF2 được thiết kế riêng cho người dùng cá nhân và tài nguyên bằng cách sử dụng các quy định và các bản ghi sau đây: Quy định (rules): • Quy định truy cập: Quyết định xem khi nào quyền truy cập dữ liệu được cung cấp cho người dùng hoặc nhóm người dùng . • Quy định về tài nguyên: Quyết định việc người dùng truy cập tới các tài nguyên cụ thể (ví dụ: lưu trữ tạm thời, các tài nguyên của site, các chương trình). Bản ghi (Records): • Cache Records): tùy chọn bộ nhớ cache cơ sở của site được xác định. • Command Propagation Facility (CPF) Records : trang web được xác định tùy chọn CPF và cấu hình mạng giao tiếp CPF. • Cross-reference Records: ACF2 Mainframe Virtual Security (MVS) xác thực việc xử lý tài nguyên và các nhóm tài nguyên được xác định của site. • Entry Records : Các tài nguyên site được xác định ( ví dụ: các thiết bị đầu cuối ) hoặc nhóm tài nguyên mà một người dùng cụ thể có thể truy cập từ hệ thống. Nguyễn Kỷ Tuấn –12025068 - K19HTTT 6 • Field Records : Site được xác định quyền truy cập vào bản ghi dựa trên các trường này. Phương thức xác thực ACF2 được cụ thể trong bản ghi EXPRESSN và bản ghi chi tiết để sử dụng các phương thức xác thực này được định nghĩa trong bản ghi RECORD. • Global System Option (GSO) Record : Chỉ định cấu hình toàn hệ thống. • Identity Records (bản ghi nhận dạng): Chứa thông tin xác thực người dùng mở rộng. • Loginid Records : Xác định những người về nhận dạng, quyền, lịch sử truy cập, số liệu thống kê vi phạm, thông tin người dùng cụ thể cho một user loginid. • NET Records : Chỉ định các tùy trọn cơ sở dữ liệu được phân bổ . • Profile Records : Chứa thông tin đến việc bảo mật về người dùng và tài nguyên liên quan có thể được yêu cầu bởi hệ thống. Hồ sơ dữ liệu thông tin có thể được trích xuất cho người dùng bao gồm : WORKATTR, OPERPARM, LANGUAGE, và OMVS. • Scope Records : Giới hạn quyền mà một người dùng có trên các quy định truy cập,logonid records, và trên ACF2 records. • Shift và Zone Records: Xác định khoảng thời gian truy cập được cho phép hoặc bị ngăn chặn. Zone records chỉ áp dụng khi truy cập lần đầu tiên vào hệ thống. Câu lệnh TSO, batch utilities, và Interactive System Production Facility (ISPF) có thể được sử dụng để cập nhật các thành phần này. ACF2 chứa 3 cơ sở dữ liệu để lưu những bản ghi này bao gồm : • Inforstorage database chứa : resource rules, entry records, field records, cross-reference records, scope records, shift and zone records, global system option records, identity records, and fields records. • Logonid database chứa :logonid records cho tất cả người dùng hệ thống • Rule database: Chứa tất cả các tập dữ liệu thiết lập các quy định Thêm vào đó, một số trường logonid record có thể cho phép các quyền/truy cập đặc biệt vào dữ liệu và tài nguyên của hệ thống Nguyễn Kỷ Tuấn –12025068 - K19HTTT 7 ,=,JA #C"!K%)+, Logonids có thể được cấp nhiều hơn một quyền. Các quyền cơ bản có thể được cung cấp cho người dùng hệ thống bao gồm : • ACCOUNT : Cho phép một người dùng tạo, xóa, chỉnh sửa và hiển thị các logonid recods trong giới hạn được xác định bởi phạm vi của mình. • AUDIT : Hiển thị loginid records, inforstorage records ( ví dụ một cơ sở dữ liệu ACF2),các quy định về tài nguyên và việc truy cập. Quyền này cho phép một người dùng có thể hiện thị các điều khiển của hệ thống ACF2, nhưng không cho phép chỉnh sửa những điều khiển này. Một người dùng không thể chỉnh sửa bất kì logonid records hoặc truy cập bất kì tài nguyên nào trừ khi người đã đó được phân quyền. • CONSULT: Xem được hầu hết các trường của loginid records, nhưng chỉ cập nhật các trường không bảo mật liên quan đến TSO, vị trí mà hệ thống được lưu xác định có thể cho phép các trường được chỉnh sửa và hiển thị bởi người dùng. • LEADER : Xem được hầu hết các logonid records nhưng với thẩm quyền cao hơn được cập nhật các trường bên trong các bản ghi tại những vị trí đã được xác định. • SECURITY : Cho phép truy cập tất cả các tài nguyên, bộ dữ liệu và các chương trình đã được bảo vệ. Một người dùng với phân quyền này thường được hiểu như là quản trị an toàn hệ thống. Quyền này không cho phép một người dùng có tạo hoặc xóa một loginid, trừ khi người dùng cũng có quyền ACCOUNT. Những quyền đặc biệt khác và các hành động được cấp bởi các trường bên trong logonid record bao gồm: • MAINT: Cho phép truy cập tới một tài nguyên hoặc bộ dữ liệu bảo trì job mà không cần đăng nhập hay quy định xác thực Nguyễn Kỷ Tuấn –12025068 - K19HTTT 8 • NON-CNCL: Cho phép truy cập vào bất kì tài nguyên hay bộ dữ liệu cho dù có vi phạm việc bảo mật khi cố gắng thực hiện điều đó. Quyền này không bị hạn chế bởi một scope record. • READALL: Cho phép người dùng đọc và thực hiện tất cả các chương trình, bất kể quy định truy cập • STC : Xác định rằng một logonid chỉ được sử dụng cho các nhiệm vụ đã được bắt đầu. Trường STC (Started Tasks) của bản ghi GSO xác định việc xác thực của các nhiệm vụ đã bắt đầu . Thêm vào đó các quyền có thể được xác định bên trong loginid record. Tất các quyền này được chỉ định phục thuộc vào vai trò của người dùng trong hệ thống. ,=L5MN%BOP%"Q Mỗi người dùng có quyền truy cập hệ thống được cấp một logonid và password. ACF2 cho phép logonid từ 1 – 8 kí tự. Không kiểm tra tài nguyên được thực hiện với các nhiệm vụ được bắt đầu logins trong suốt quá trình xác nhận đăng nhập hệ thống. Mật khẩu xác thực danh tính của loginids và giống loginid, ACF2 cho phép mật khẩu từ 1- 8 kí tự. Mật khẩu có thể gồm bất kì các kí tự, chữ số hoặc các kí hiệu ( ví dụ @,#,$,% ). Khi người dùng đăng nhập ACF2 xây dựng một chuỗi nhận dạng người dùng hoặc nhóm người dùng để giảm số lượng tài nguyên hoặc các quy định truy cập phải được xác định. Bên cạnh việc sử dụng các loginid và mật khẩu, có nhiều tùy chọn việc nhận dạng và truy cập có thể được thiết lập diện rộng với người dùng. Các thiết lập sau nằm trong phần “OPTIONS IN EFFECT” với các tùy chọn GSO control có thể đã được cấu hình : Nguyễn Kỷ Tuấn –12025068 - K19HTTT 9 • JOBCK hoặc JOB CHECK: Biểu thị rằng các loginid gửi các batch job đã được xác thực thông qua các thuộc tính JOB khi đã được cấu hình là YES. • MAXVIO hoặc MAX VIO PER JOB:Chỉ ra số account tối đa đã vi phạm việc truy cập trước khi ACF2 chấm dứt phiên làm việc. Giá trị mặc định của tham số là 10 và giá trị tối đa cho tham số là 32767. • UADS (User Attribute Data Set) : cho phép ACF2 chỉ xác nhận tính hợp lệ cho logonid, mật khẩu và nhóm lúc đăng nhập. tất các tham số khác (ví dụ ACCT) bình thường được kiểm soát bằng việc xử lý TSO. Điều này xảy nếu UADS được kích hoạt và được cấu hình là USE. Nếu việc thiết lập này là BYPASS, ACF2 kiểm soát tất cả các thông số đăng nhập và kết quả các thuộc tính TSO. Đó là một thực tế, nói chung tốt nhất không sử dụng các tùy chọn UADS và cho phép ACF2 xác thực một người dùng đăng nhập trong các loginid recỏds Các lựa chọn GSO khác có thể được cấu hình để xác thực và truy cập nằm trong phần “PASSWORD OPTIONS IN EFFECT”/ Các tùy chọn này bao gồm : • LOGON RETRY COUNT: Cho biết tối đa số lần cố gắng truy cập không thành công đã được cho phép trước khi một phiên được chấm dứt. • MAX PSWD ATTEMPTS: Chỉ định tối đa số lần cố gắng nhập mật khẩu không thành công trước khi một login id bị vô hiệu hóa • MIN PSWD LENGTH: Cho biết số lượng tối thiểu các kí tự cần thiết đối với mật khẩu người dùng. • PSWD ALTER : Cho phép người dùng thay đổi mật khẩu nếu được cấu hìnhlà YES • PSWD FORCE: Bắt người dùng thay đổi mật khẩu bất cứ khi nào có một ai đó khác người dùng thay đổi mật khẩu nếu được cấu hình là YES Nguyễn Kỷ Tuấn –12025068 - K19HTTT 10 [...]... MODE và ghi lại tất cả các vi phạm khi cố gắng truy cập Truy cập vào một tập dữ liệu bị từ chối trừ khi đã được đã được xác định LOG : Lưu lại tất cả các tập dữ liệu vi phạm nhưng vẫn cho phép tiếp tục truy cập các tập dữ liệu RULE : cho phép thực hiện nếu quy định hiện tại không cho phép một người sử dụng được yêu cầu sử dụng một tập dữ liệu QUIET: Vô hiệu hóa tập dữ liệu xác nhận truy cập dữ liệu. .. truy cập và tài nguyên, mặc dù phạm vi bị hạn chế Nằm ở phần “RULES/DIRECTORY RESIDENCY OPTIONS” Đảm bảo các tập dữ liệu Direct Access Storage Device (DASA) và dung lượng được bảo vệ bởi RESVOLS RESVOL record xác định dung lượng lưu trữ và DASD để cung cấp việc bảo vệ tại mức tên tập dữ liệu Tái sử dụng đối tượng trong ACF2 ACF2 cung cấp một cả năng cấu hình để bỏ đi tất cả các tập dữ liệu và dung... phép truy cập vào tập giữ liệu khi được cấu hình là ON CA – Top Secrect Giống như CA-ACF2 cũng là một sản phẩm của CA Technologies cung cấp để quản lý người dùng dưới dạng kiểm soát truy cập tới các nguồn tài nguyên và phân quyền người dùng, cũng như cung cấp báo cáo và lưu lại một cách nhanh chóng Các CA-Top Security bảo vệ các tập dữ liệu ( và tất cả các tài nguyên khác) được và hiểu “việc bảo... mà ACF2 có thể được sử dụng để lạo bỏ đi các tập dữ liệu và dung lượng khi người dùng xóa chúng Việc thiết lập này có thể làm trong phần “OPTION IN EFFECT” của GSO control Kiểm tra lại - Auditing ACF2 có khả nang cấu hình để thực hiện việc kiểm tra lại và ghi lại những thông tin vào log Câu lệnh SHOW PROGRAMS sẽ cho biết danh sách các chương trình đang chạy trong hệ thống Kiểm tra lại - Auditing... ACID – Kiểm soát ACID Control ACID định nghĩa các quản trị an t an thông tin được tổ chức với các mức khác nhau bên trong cơ sở dữ liệu CA- Top Secrect Một control ACID có thể là một người dùng hệ thống cơ sở Một control ACID có thể kiểm soát câu lệnh của hệ thống con và thực hiện các chức năng khác như việc truy cập các tập dữ liệu và submit các công việc Xác thực ACID – ACID Validation CA-... tra file bảo mật của ACID nếu thấy một bản ghi bảo mật của nó xuất hiện Thứ hai, nếu ACID không được xác định, CA- Top Secrect phản ứng dựa vào các chế độ bảo mật và tùy chọn khác đã được lựa chọn kiểm soát trong hệ thống Quản trị bảo mật – Sercuirity Administrator Chịu trách nhiệm thực hiện và duy trì hệ thống an nình Xác định người dùng, tài nguyên, các mức độ truy cập, và các facility... Các kiểu tài nguyên( giống như tập dữ liệu, dung lượng, thiết bị đầu cuối, và các thiết bị ổ đĩa nhỏ) mà CA-top secret bảo vệ xuất hiện trong bảng mô tả tài nguyên (RDT) Rất nhiều kiểu tài nguyên là được định nghĩa 1 cách tự động trong RDT và cài đặt Các kiểu tài nguyên được bổ sung (bao gồm các tài nguyên được định nghĩa) có thể được thêm vào Sở hữu và xác thực Bảo mật các tài nguyên là 1 quá trình... Giải thuật hợp lệ bảo mật Khi bạn đã định nghĩa tất cả các tài nguyên với CA-top secret và đã chỉ ra các mức truy cập của chúng, bất kỳ các yêu cầu để truy cập tới các tài nguyên đó được xử lý thông qua các giải thuật hợp thức để quyết định liệu rằng 1 ACID có các quyền phù hợp để truy cập vào 1 tài nguyên cụ thể Các trường (Fields) Nằm bên trong khu vực dữ liệu của bản ghi bảo mật ACID giữ các thông... thiết đối với mật khẩu người dùng PSWD ALTER : Cho phép người dùng thay đổi mật khẩu nếu được cấu hìnhlà YES Cấu hình việc nhận dạng và chứng thực PSWD FORCE: Bắt người dùng thay đổi mật khẩu bất cứ khi nào có một ai đó khác người dùng thay đổi mật khẩu nếu được cấu hình là YES PSWD HISTORY: Thực hiện lưu lịch sử tối đa 4 mật khẩu khi được cấu hình là YES PSWD-LID: Ngăn chặn các mật khẩu từ các... ACID giữ các thông tin hệ thống và các ứng dụng mức bảo mật sử dụng Các trường và các đoạn của bản ghi ACID được định nghĩa trong bảng FDT, các bản ghi dành riêng của tệp bảo mật Bạn có thể thêm các trường và các đoạn bổ sung Các lệnh chức năng Các chức năng lệnh là công cụ chính của người quản trị bảo mật Một chức năng lệnh để bạn định nghĩa ACID, gán các thuộc tính và quyết định quyền truy cập tài . [“GÓI AN NINH (SECURITY PACKAGES): CA-ACF2, CA-TOP SECRET] ĐẠI HỌC CÔNG NGHỆ - ĐẠI HỌC QUỐC GIA HÀ NỘI KHOA CÔNG NGHỆ THÔNG TIN Đề. về các gói bảo mật, tôi đã chọn đề tài “Tìm hiểu các Gói an ninh (Security Packages): CA-ACF2, CA- TOP SECRET . Đây là một trong 2 gói bảo mật được cung cấp bởi CA Technology với mục đích chính. (SECURITY PACKAGES): CA-ACF2, CA-TOP SECRET] 7)7) 2 2 89:; Ngày nay, mạng máy tính là một khái niệm đã trở nên quen thuộc với hầu hết tất cả mọi người, đặc biệt chiếm vị trí hết sức quan trọng