Bảo mật mạng

Bảo mật mạng

Chương 4 Bảo mật mạng

Những điểm chính

1 mối đe dọa trong mạng

2 Kiểm soát bảo mật mạng

3 Tường lửa (biện pháp bảo mật)

4 cấp bảo mật trong mạng

1.Những mối đe dọa trong mạng

• Các vấn đề bảo mật mạng

• Phân tích các mối đe dọa trong mạng

• Nghe lén

• Giả mạo

• Các quy phạm bảo mật mạng

• Các quy phạm toàn vẹn dữ liệu

• Quy tắc toàn vẹn

• Từ chối dịch vụ

• Typical internet attacks

Vấn đề bảo mật mạng

 Chia sẻ công việc và tài nguyên

- Dường như truy cập từ các điểm cá nhân trong mạng chỉ làm việc trong hệ thống đơn lẻ mà không làm việc trong các mạng khác nó

 Tăng sự phức tạp của hệ thống

- Các hệ thống điều hành khác nhau rất phức tạp và không được thiết kế với cùng một hệ thống bảo mật, gây khó khăn cho việc quản trị

 Không biết được phạm vi

- Các hệ thống mạng đang phát triển và mở rộng rất nhanh

 Tấn công vào các điểm khác nhau

- server, máy trạm, hệ thống mạng Người quản trị không thể nào kiểm soát được dữ liệu của người dùng trong hệ thống mạng được

 Ẩn danh

- Như thế nào là tốt khi attacker biết được các người dùng và máy trạm

- Các cách tấn công của attacker, hiểu rõ được khu vực địa lý (số host trong khu vực)

- Chiến thuật ngụy trang

- ẩn danh các cuộc tấn công

- Chứng thực từ các máy tính không được hoàn hảo

 Không biết đường xâm nhập

Không biết được 1 truy nhập đến từ đâu, và nơi mà bị tấn công ở đâu

Phân tích vấn đề bảo mật

 Cái gì là mục tiêu của 1 cuộc tấn công?

 Các thành phần nào của 1 hệ thống mạng bị tấn công?

 Kẻ tấn công là ai?

 Kẻ tấn công đến từ đâu?

 Các phương pháp tấn công được sữ dụng?

Mục đích của 1 cuộc tấn công

 Truyền thông

- Nghe lén thông tin

- Đoạt quyền

- Xóa

- Thay đổi

- Làm giả

- Ngăn cản chúng(chặn 1 hay tất cả)

- Thay đổi đích đến

 Dữ liệu

- Đọc

- Đoạt quyền

- Hủy

- Thay đổi

- Làm giả

- Ngăn cản truy cập đến nó( 1 vài dữ liệu hay tất cả)

Nghe lén

Các cách nghe lén

 Bắt các gói tin

Chọn lọc và copy các gói tin cần thiết từ địa chỉ IP khác

 Nghe lén trên đường dây

 Nghe lén qua

- Sóng

- Truyền thông vệ tinh

 Nghe lén trên cáp quang khó thực hiện

Giả mạo

 Nhận biết và chứng thực người dùng mô tả cho 1 mục tiêu nào đó

 Phá vỡ hoặc vô hiệu hóa cơ chế chức thực

Tấn công các website thương mại

 Lấy các địa chỉ IP

 Tìm cách thức chứng thực

 Tìm các cấu trúc của web/ mail server sữ dụng

 Tìm hiểu hệ thống điều hành

bẻ khóa hoặc đánh lừa cách thức chứng thực, đính kèm trojan và

Vi phạm nguyên tắc bảo mật

 Misdelivery (Chuyển thông tin đến sai vị trí)

- Hệ thống mạng lỗi

- Định tuyến lại

 Lộ bí mật

- Vòng tròn từ nơi tạo ra đến nơi sữ dụng cần phải được xử lý cẩn thận

 Phân tích luồng dữ liệu

- Các thông điệp cảnh báo cần sẵn sàng với độ nhạy cảm cao

Vi phạm nguyên tắc toàn vẹn

 Thay đổi nội dung

 Thay thế một thông điệp

 Sữ dụng lại 1 thông điệp cũ

 Thay đổi nguồn của 1 thông điệp

 Chuyển hướng thông điệp

 Sửa hay xóa thông điệp

Toàn vẹn mã

 1 tập tin tải về có thể làm gì?

 Tải ứng dụng và thực thi ứng dụng mà người dùng không biết rỏ

- ẩn các kết nối từ các tiến trình đến mạng internet

- Từ chối hay giảm khả năng đáp ứng của dịch vụ

- Sửa đổi trình duyệt

 Cookies và giống như “spying tools”

 Download các file

- trojans, viruses,

2.Bảo mật mạng

 Mã hóa đường truyền

- Dữ liệu được mã hóa trước khi được tầng vật lý chuyển đi

- Việc mã hóa trong suốt với người dùng, nó thực hiện ở phần cứng và rất nhanh

- Tất cả các giao thức của tầng datalink đều hỗ trợ mã hóa

- Tách biệt các kênh truyền có khả năng bị xâm nhập

- Trường thông tin sẽ được mã hóa từ tầng datalink

 Mã hóa đầu cuối

- các cách bảo mật được trang bị cho điểm cuối của truyền dẫn

- Chọn lọc và sắp xếp lại, tích hợp với các ứng dụng

- Thực hiện ở tầng cao nhất của mô hình OSI bởi phần mềm và phần cứng

- Thông điệp không được để lộ khi truyền qua các host (hình 9-20 trang 408)

- So sánh: bảng 9-2 trang 409

 Kiểm soát truy nhập

Xử lý các cổng kết nối

- Tự động call-back

- Thiết lập các quyền truy cập khác nhau

- ẩn các mô hình mạng

Chứng thực trong các hệ thống phân phối

- Chứng thực số

- Kerberos,DCE,SESAME,CORBA

Kiểm soát luồng

- Kiểm soát quá trình định tuyến

 Toàn vẹn dữ liệu

- Các ràng buộc

- Checksums

- sự tương tự

- Chứng thực

- Kiểm tra sự giả mạo

3 Firewalls

 Thiết lập các nguyên tắc cho tường lửa

 Các kiểu tường lửa khác nhau

 Quản trị cấu hình

 Tường lửa làm được và không làm được những gì

Thiết lập các nguyên tắc cho tường lửa

 Luôn luôn sẵn sàng

 Chống lại khả năng vi phạm, sửa đổi

 Nhỏ và đơn giản đủ cho việc phân tích chính xác

 Ẩn với attacker

 Cấu hình firewall

- Phân biệt rõ ràng giữa cấm và cho phép

Các kiểu firewalls

 Kiểm soát traffic

- Quyết định dựa trên địa chỉ nguồn và đích Kiểm tra trường thông tin của dịch vụ

và hiểu rõ nội dung của các kiểu gói tin khác nhau Nó tiến hành lọc các gói tin dựa trên các port nằm trong phần địa chỉ Và khi các dịch vụ trở nên phổ biến nó sẽ được đánh giá trị well-known port Chỉ có những gói tin lọc từ yêu cầu dịch vụ được giữ lại

 Proxy gateway

- Kiểm tra nội dung của dữ liệu Hành động như một sự ủy quyền cho các phần mềm ứng dụng.khi 1 người dùng kết nối đến website, 1 HTTP proxy server bắt lấy

nó Nó thiết lập 1 kết nối với client và xác định mọi thứ hoặc không client nào được phép truy cập URL đó Nếu kết nối được phép, gateway proxy thiết lập kết nối đên web server và trả về dữ liệu từ client và web server trong sự điều khiển

 Bảo vệ

- Cả 2 kiểu firewall trên kết hợp lại tạo nên độ bảo mật cao nhất Hệ thống lọc gói tin chỉ cho phép proxy gateway thiết lập các kết nối mới đến internet hoặc mạng không được bảo vệ Nó không cho phép các host trong mang không được bảo vệ thiết lập kết nối đến các host ở mạng intranet

- Dữ liệu vào được cho phép từ 1 host mà nó được thiết lập 1 kết nối với proxy server qua những port cho phép

- Kết quả là các host trong mạng intranet được thiết lập truyền thông trực tiếp với thế giới bên ngoài Những thông tin từ đích phản hồi về phải thông qua nhà quản trị mạng kiểm soát người dùng đó có hoặc không được truy cập Nó làm tăng độ bảo mật trong qua trình xữ lý như Trojan horses đính kèm để remote host Các host trong mạng internet sẽ bị chặn kết nối đến các host trong mang intranet

Quản trị cấu hình

Firewall có và không thể làm?

 Chỉ có thể xử lý được nếu firewall kiểm soát được phạm vi đó

 Không có các kết nối khác đến thế giới bên ngoài

 Phòng thủ nhiều lớp sẽ an toàn hơn so với 1 firewall đơn lẻ và nó là đích ngắm của các acttacker

 Không thể cài các hệ thống công cụ như linkers,loaders và compilers trong 1 hệ thống firewall

 Cấu hình đúng là quan trọng

 Đôi khi nội dung không được kiểm soát

 Thường các firewall hòa hợp với các virus wall

Chọn lọc các chức năng cho firewall

4.Các mức độ bảo mật mạng

 Bảo mật nhiều cấp cho các host

 Đặt nhãn ra ngoài

- Làm cho các host khác biết dữ liệu đã được bảo mật

 Phân loại trước khi truyền dữ liệu

- Dữ liệu chỉ được gữi đến người có được phép

 Toàn vẹn dữ liệu

 Hạn chế

- Không có nào có thể làm lộ thông tin cho các host khác

 Xử lý các đường có nguy cơ xâm nhập

Trusted network interfaces

Design for a multilevel host netword

Alternatives

 Chứng thực giao diện mạng cho phép kết nối chỉ với các tiến trình cùng cấp

 Nhà quản lý chứng thực mạng chỉ xử lý các truyền thông cùng cấp