Mật mã và An toàn thông tin trên mạng máy tính

LỜI NÓI ĐẦU Tầm quan trọng của An ninh truyền thông từ lâu đã được ghi nhận trong quân sự và trong những lĩnh vực hoạt động xã hội – nơi có thể xuất hiện sự uy hiếp đến An ninh Quốc gia. Việc làm chủ an ninh truyền thông và những con số bí mật của nó được công nhận như một tác nhân quan trọng đem lại chiến thắng trong rất nhiều cuộc xung đột quân sự từ nhiều thế kỷ qua, trong đó có cả Thế chiến thứ II ở thế kỷ trước. Với khái niệm này An ninh truyền thông là phương tiện che dấu thông tin và bảo vệ nó không bị bóp méo hay mất mát trong quá trình truyền tin. Việc giải mã các mật mã là những phương tiện làm vô hiệu hoá khả năng an ninh của đối phương. Ngày nay hệ thống mạng máy tính đã có những bước phát triển mạnh mẽ, xâm nhập vào rất nhiều lĩnh vực của cuộc sống. Với hệ thống mạng Internet, những dịch vụ như giáo dục từ xa, trao đổi thương mại, giao dịch điện tử, … đã trở thành hiện thực. Tuy nhiên, vì là một hệ thống mạng mở, có phạm vi toàn cầu và không có bất kỳ tổ chức nào quản lý nên mạng Internet cũng trở thành môi trường lý tưởng cho các phần tử xấu thực hiện các hành động phá hoại, đánh cắp thông tin gây tổn hại về kinh tế, uy tín của các cơ quan tổ chức và cá nhân tham gia vào hệ thống mạng. Vì vậy vấn đề đảm bảo an ninh, an toàn thông tin trên mạng máy tính trở thành một yêu cầu tất yếu và quan trọng cả ở góc độ quốc gia và quốc tế. Giáo trình an toàn thông tin được xây dựng nhằm cung cấp cho người đọc những kiến thức cơ bản về an toàn thông tin, khai thác sử dụng các dịch vụ an toàn trong hệ thống thông tin, xây dựng một số giải pháp nhằm đảm bảo tính an toàn của hệ thống. Nội dung của giáo trình bao gồm: Chương I: Tổng quan về An toàn thông tin trên mạng máy tính Đưa ra những vấn đề tổng quan về An ninh, an toàn mạng máy tính; các hình thức tấn công phổ biến; các dịch vụ an toàn mạng và một số mô hình mạng đảm bảo an toàn. Chương II: Mật mã và An toàn thông tin trên mạng máy tính Trình bày những kiến thức cơ bản về Mật mã, các giải thuật mã hoá, một số giao thức mã hoá đảm bảo an toàn; giải pháp xây dựng mô hình ứng dụng sử dụng lý thuyết mật mã để đảm bảo an toàn thông tin trong quá trình truyền thông trên mạng máy tính. Chương III: An toàn Hạ tầng mạng Xem xét, phân tích, đánh giá một số mô hình mạng phổ biến trong thực tế; từ đó đưa ra các giải pháp kỹ thuật phù hợp nhằm đảm bảo an ninh an toàn cho hạ tầng hệ thống mạng. Chương IV: An toàn ứng dụng mạng Cung cấp các kiến thức cơ bản về An ninh, an toàn các dịch vụ cơ bản trên mạng máy tính. Phân tích, đánh giá các nguy cơ đối với các dịch vụ mạng; từ đó đề xuất và triển khai các giải pháp đảm bảo An ninh, an toàn. Giáo trình được xây dựng dựa trên các tài liệu tham khảo từ nhiều nguồn khác nhau, đã tổng hợp được khá đầy đủ các nguy cơ mất an toàn của một Hệ thống Thông tin và các giải pháp để đảm bảo an ninh an toàn. Tuy nhiên, có một thực tế là không có 1 một biện pháp bảo vệ an toàn thông tin dữ liệu nào là an toàn tuyệt đối. Một hệ thống dù được bảo vệ chắc chắn đến đâu cũng không thể đảm bảo là an toàn tuyệt đối. Vì vậy người làm công tác đảm bảo an ninh an toàn phải luôn cập nhật và sử dụng kết hợp nhiều biện pháp mới có thể giảm thiểu tối đa rủi ro đối với Hệ thống thông tin của mình. Giáo trình lần đầu tiên được biên soạn chắc chắn không tránh khỏi những sai sót, rất mong nhận được sự góp ý của các đồng nghiệp và bạn đọc. Hà Nội, tháng 11 năm 2010 Tác giả 2 MỤC LỤC LỜI NÓI ĐẦU 1 MỤC LỤC 3 CHƯƠNG 1: TỔNG QUAN VỀ AN TOÀN THÔNG TIN TRÊN MẠNG MÁY TÍNH 5 I. Một số vấn đề về An toàn Thông tin trên mạng máy tính 5 1. Thực trạng An ninh mạng ở Việt Nam và trên Thế giới 5 2. Khái niệm An toàn thông tin (ATTT) và một số tiêu chuẩn đảm bảo ATTT trên mạng máy tính 11 II. Một số hình thức tấn công mạng phổ biến (Attacks) 14 1. Tấn công thăm dò 15 2. Tấn công truy nhập 24 3. Tấn công từ chối dịch vụ (DoS/DDoS) 32 III. Một số mô hình tổng quan đảm bảo An toàn mạng 34 1. Mô hình áp dụng cho trung tâm mạng nhỏ 34 2. Mô hình áp dụng cho trung tâm mạng trung bình 34 3. Mô hình áp dụng cho trung tâm mạng lớn 35 CÂU HỎI ÔN TẬP CHƯƠNG 1 36 CHƯƠNG 2: MẬT MÃ VÀ AN TOÀN THÔNG TIN TRÊN MẠNG 37 I. Tổng quan về mật mã 37 1. An toàn thông tin và mật mã 37 2. Các thuật ngữ và khái niệm mật mã cơ bản 37 II. Mật mã khoá đối xứng (khóa bí mật) 38 1. Mô hình mật mã khoá đối xứng 39 2. Một số hệ mật khoá đối xứng 39 III. Mật mã khoá công khai (bất đối xứng) 42 1. Mô hình mật mã khoá công khai và những nguyên tắc của các hệ mã khoá công khai 43 2. Một số kỹ thuật phân phối khoá công khai 43 3. Hệ mã khoá công khai RSA 47 4. Cơ sở hạ tầng khoá công khai PKI (Public Key Infrastructure) 48 5. Hàm băm và chữ ký số 54 IV. Một số giao thức mã hoá 57 1. Giao thức mã hoá tầng 2 mô hình OSI 57 2. Giao thức mã hoá tầng 3 mô hình OSI – IPSec (IP Security) 59 3. Giao thức mã hoá tầng 4 mô hình OSI (SSL và TLS ) 60 4. Giao thức mã hoá tầng 7 mô hình OSI 61 CÂU HỎI ÔN TẬP VÀ BÀI TẬP THỰC HÀNH CHƯƠNG 2 63 CHƯƠNG 3: AN TOÀN HẠ TẦNG MẠNG 65 I. Cơ chế dịch địa chỉ (NAT – Network Address Translation) 65 1. Tổng quan về NAT 65 2. Triển khai cài đặt và cấu hình NAT Server 68 II. Mạng LAN ảo (VLAN – Virtual LAN) 73 1. Tổng quan về VLAN 74 2. Phân loại VLAN 74 III. Mạng riêng ảo (VPN – Virtual Private Network) 75 1. Tổng quan về VPN 76 3 2. Giải pháp bảo mật trong VPN 78 3. Triển khai VPN 79 IV. Tường lửa (Firewall) 83 1. Tổng quan về Firewall 83 2. Các công nghệ Firewall 85 3. Triển khai Firewall 90 V. Phát hiện và ngăn chặn xâm nhập (IDS/IPS – Intrusion Detection System/Intrusion Protection System) 95 1. Tổng quan về phát hiện và phòng chống xâm nhập IDP (Intrusion Detection Prevention) 95 2. Phân loại IDS/IPS 97 3. Một số sản phẩm IDS/IPS 100 VI. An toàn mạng không dây 102 1. Tổng quan về mạng không dây 102 2. Một số hình thức tấn công mạng WLAN 104 3. Giải pháp phòng chống 107 CÂU HỎI ÔN TẬP VÀ BÀI TẬP THỰC HÀNH CHƯƠNG 3 113 113 113 CHƯƠNG 4: AN TOÀN ỨNG DỤNG MẠNG 115 I. Kiểm soát truy nhập mạng 115 1. Điều khiển truy nhập 115 2. Các phương pháp chứng thực (Authentication) 116 3. Các phương pháp cấp quyền (Authorization) 122 4. Giám sát thống kê (Accounting) 122 II. An toàn dịch vụ Web 123 1. Tổng quan về an toàn Web 123 2. Một số hình thức tấn công Web và giải pháp phòng chống 126 3. Triển khai giải pháp đảm bảo an toàn Web 139 III. An toàn dịch vụ Email 141 1. Tổng quan về an toàn Email 141 2. Một số hình thức tấn công Email 142 3. Triển khai dịch vụ Email đảm bảo an toàn 147 IV. Virus và phần mềm gây hại 151 1. Tổng quan về Virus máy tính 151 2. Một số giải pháp phòng chống Virus máy tính 162 CÂU HỎI ÔN TẬP VÀ BÀI TẬP THỰC HÀNH CHƯƠNG 4 166 TÀI LIỆU THAM KHẢO 168 4 CHƯƠNG 1: TỔNG QUAN VỀ AN TOÀN THÔNG TIN TRÊN MẠNG MÁY TÍNH I. Một số vấn đề về An toàn Thông tin trên mạng máy tính 1. Thực trạng An ninh mạng ở Việt Nam và trên Thế giới Lịch sử của các cuộc tấn công mạng máy tính khởi đầu vào những năm 1950 - 1960, bao trùm cả phần cứng lẫn phần mềm và xoay quanh phòng thí nghiệm trí thông minh nhân tạo tại Viện công nghệ Massachusetts (MIT - Mỹ). Những sinh viên thông minh với bản chất tò mò, từng xâm nhập hệ thống điện thoại và trung tâm điều hành của câu lạc bộ đường sắt Tech Model, đã bị cuốn hút bởi những chiếc máy tính đồ sộ trong viện. Giám đốc của MIT là Marvin Minsky cho phép họ tiếp cận trực tiếp với những cỗ máy này và đây được coi như nền tảng đầu tiên của các hacker tương lai. Các tên tuổi "sừng sỏ" sau này đều bắt nguồn từ đây như Peter Deutsch, Bill Gosper, Richard Greenblatt, Tom Knight và Jerry Sussman. Sau MIT, các trung tâm đào tạo khác ở Mỹ cũng trở thành "đất" nuôi dưỡng nhiều mầm mống hacker như đại học Carnegie Mellon, Stanford. Ví dụ, khi phòng thí nghiệm trí thông minh nhân tạo Standford, dưới sự "chỉ đạo" của John McCarthy, chứng kiến chiếc máy SAIL tắt ngấm vào năm 1991 sau khi hacker gửi e-mail với thông điệp "chào tạm biệt" lên Internet như thể chính SAIL gửi lời "trăng trối" tới bạn bè. Thậm chí các trung tâm nghiên cứu có tính thương mại như ATT, Xerox cũng bị biến thành ngôi nhà riêng của tin tặc với những cái tên như Ed Fredkin, Brian Reid, Jim Gosling, Brian Kernighan, Dennis Ritchie hay Richard Stallman. Khi máy tính trở nên phổ biến khắp toàn cầu, cùng với sự phát triển mạnh mẽ của mạng Internet, các hoạt động phá hoại từ xa tiềm ẩn nhiều nguy cơ hơn. Chính quyền Mỹ phải thiết lập hành lang pháp lý để uốn nắn hành vi của hacker nhằm bảo vệ lợi ích của những tổ chức, cá nhân dùng thiết bị này. Cuối những năm 1980, họ ban hành đạo luật chống lạm dụng và lừa đảo thông qua máy tính và thành lập trung tâm cứu hộ máy tính nhằm phản ứng nhanh trước các hành vi phạm tội. Theo luật pháp Mỹ, mọi hành vi thâm nhập máy tính của người khác mà không được phép sẽ bị khởi tố và phạt tù, phạt tiền, tùy theo mức độ nghiêm trọng. Tuy nhiên thế giới mạng đã bùng nổ chóng mặt, hoạt động của các nhóm Hacker càng trở nên phức tạp hơn và khó kiểm soát hơn do biên giới quốc gia đã bị dỡ bỏ. Tin tặc ở nước này có thể tấn công website, lừa đảo người dùng Internet ở nước khác. Hàng loạt quốc gia phải xây dựng luật chống tội phạm tin học của riêng mình. Theo đó, nhiều nước yêu cầu hacker tấn công vào máy tính hoặc website đặt máy chủ tại nước nào sẽ bị dẫn độ về nước đó để xử lý và chịu án theo luật của họ. Kể từ đó đến nay, hệ thống mạng máy tính trên thế giới đã phải hứng chịu vô số cuộc tấn công để lại những hậu quả rất nặng lề mà khó có thể thống kê được một cách đầy đủ. Theo số liệu thống kê của Uỷ ban chịu trách nhiệm về các vấn đề khẩn cấp các máy tính mạng Internet (CERT – internet Computer Emergency Response Team), có thể điểm một số cuộc tấn công sau: John Draper Nổi tiếng với tên hiệu “Cap'n Crunch”, John Draper là một trong những con người đầu tiên trên thế giới này được “nhận mệnh danh là hacker”. Trong thập niên 70, Draper đã sử dụng một chiếc còi đồ chơi tặng kèm trong hộp ngũ cốc Cap'n Crunch để 5 “hack” vào đường dây điện thoại và thoải mái thực hiện các cuộc gọi “miễn phí”. Draper vô tình nhận ra rằng chiếc còi tạo ra một âm thanh có tần số giống hệt tần số tín hiệu cuộc gọi trên đường dây điện thoại. Nhờ đó mà anh ta đã có thể điều khiển cuộc gọi tiếp tục được diễn ra mà người nghe vẫn cứ tưởng là cuộc gọi đã kết thúc rồi. Năm 1972, Draper bị phát hiện khi hãng điện thoại “nhìn thấy sự bất thường” trong hóa đơn tiền điện thoại của anh. Sau đó Draper bị kết án 2 tháng tù giam. Vụ tấn công của Draper đã khai sinh là thuật ngữ “Phreaking”. Nghĩa của thuật ngữ này trong xã hội của chúng ta ngày nay là “tấn công vào các hệ thống viễn thông”. Kevin Mitnick Đầu những năm 1990, Kevin Mitnick, hay còn gọi là "chúa tể các hacker", đã đột nhập thành công vào hệ thống máy tính của các công ty truyền thông và kỹ thuật lớn trên thế giới như Nokia, Fujitsu, Motorola, Sun Microsystems. Mitnick bị FBI bắt vào năm 1995, sau đó được thả vào năm 2000. Mitnick không thừa nhận những hoạt động của mình là tấn công mà gọi là "một mánh khóe của xã hội". Kevin Poulsen Năm 1983, khi còn là một sinh viên Poulsen đã tấn công vào mạng Arpanet, tiền thân của mạng Internet. Anh ta đã phát hiện ra một lỗ hổng trong cấu trúc của mạng này và tạm chiếm quyền điều khiển mạng mở rộng của nước Mỹ. Năm 1990: Khi một đài phát thanh ở khu vực Los Angeles công bố một cuộc thi với giải thưởng dành cho người thứ 102 gọi tới đài, Kevin Poulsen đã tấn công vào mạng lưới tổng đài của thành phố nhằm làm cho mình trở thành người gọi thứ 102 để đoạt giải thưởng. Anh ta bị bắt không lâu sau đó và phải bị phạt 3 năm tù. Hiện tại Poulsen là một biên tập viên có tiếng của trang tin điện tử Wires News. Robert Morris Năm 1988, sinh viên 23 tuổi mới tốt nghiệp trường ĐH Cornell Robert Morris phát tán 99 dòng mã nguồn độc hại được biết đến bằng cái tên Sâu Morris (Morris Worm) lây nhiễm và khiến hàng loạt PC ở hàng loạt quốc gia khác nhau ngừng hoạt động. Mục tiêu của hacker này là đếm số lượng PC được kết nối vào mạng Internet và qua đó biết được mạng Internet lớn đến như thế nào. Hành động này đã khiến Morris bị bắt vào năm 1989 và trở thành người đầu tiên bị kết án theo Luật lạm dụng máy tính và có hành vi sử dụng máy tính vào mục đích lừa đảo được Quốc hội Mỹ thông qua năm 1986. Ngoài ra Morris còn phải nộp một khoản tiền phạt lên tới 10.000 USD. 6 Vladimir Levin Năm 1994, Vladimir Levin lần đầu tiên trên thế giới thực hiện thành công việc chuyển bất hợp pháp một khoản tiền lớn ra khỏi một ngân hàng có tiếng. Levin đã đánh cắp được một loạt tài khoản ngân hàng doanh nghiệp lớn ở Mỹ thông qua mạng truyền dẫn analog (analog wire transfer network) của ngân hàng CitiBank. Hacker này đã chuyển tổng cộng 10,7 triệu USD sang một loạt các tài khoản ở Mỹ, Phần Lan, Hà Lan, Israel và Đức. Ba đồng phạm của Levin đã bị bắt khi đến rút tiền ở các ngân hàng nhưng riêng Levin thì phải đến năm 1995 mới bị các cơ quan bảo vệ pháp bắt giữ tại Sân bay Stansted (London, Anh). Năm 1997, Levin bị dẫn độ sang Mỹ, bị kết án 3 năm tù và phải đền bù cho CitiBank một khoản tiền lên tới 240.015 USD. Về số tiền bị đánh cắp, CitiBank chỉ có thể lấy lại khoảng 400.000 USD. David Smith Năm 1999, David Smith phát tán sâu Melissa từ một máy tính ở bang New Jersey (Mỹ) thông qua một tài khoản thư điện tử AOL đánh cắp được. Con sâu máy tính có khả năng tự động phát tán đến 50 người đầu tiên có tên trong sổ địa chỉ Outlook khi đã lây nhiễm lên PC. Melissa đã lây nhiễm và tấn công PC của hơn 300 doanh nghiệp trên toàn thế giới - trong đó có cả những tên tuổi lớn như Microsoft, Intel hay Lucent Technologies. Những doanh nghiệp này đã buộc phải đóng máy chủ email (email gateway) do lượng email được gửi đi quá nhiều. Tổng thiệt hại mà Melissa gây ra ước tính lên tới con số 80 triệu USD. Sau khi bị kết tội, Smith lĩnh án tù 20 tháng và phải làm việc dưới sự giám sát của FBI nhằm trợ giúp cơ quan này phát hiện ra các loại mã độc mới cũng như lần tìm tác giả của chúng. Jonathan James Cuối tháng 6-1999, Jonathan James hoa mắt khi biết tài liệu mã nguồn của NASA có thể được bán với giá 1,7 triệu USD. James - khi ấy mới chỉ có 15 tuổi - đã đột nhập thành công vào máy tính của NASA nhờ đánh cắp được một mật khẩu tài khoản đăng nhập ở Trung tâm vũ trụ Marshall (Alabama, Mỹ) với hi vọng sẽ kiếm được ít tài liệu để bán lấy tiền. Hậu quả của vụ tấn công là trong tháng 7-1999 NASA đã buộc phải ngắt kết nối mạng máy tính trong suốt vài tuần lễ. Tài liệu bị đánh cắp là tài liệu liên quan đến kiểm soát môi trường trên trạm vũ trụ như nhiệt độ, độ ẩm… Tròn 16 tuổi, James bị kết án 6 tháng tù giam và phải chấp nhận thời gian giám sát thử thách cho đến khi nào tròn 18 tuổi. MafiaBoy Tại thời điểm diễn ra vụ tấn công nổi tiếng, Mike Calce chỉ được biết đến bằng cái tên MafiaBoy bởi các cơ quan bảo vệ pháp luật của Canada đã ra lệnh cấm báo giới được tiết lộ tên thật của anh ta. Tháng 2-2000, sử dụng 75 PC trên 52 hệ thống mạng 7 khác nhau, Calce đã tổ chức một cuộc tấn công từ chối dịch vụ (Denial-of-Service) cực lớn hạ gục liên tiếp website của 10 công ty có tên tuổi như Amazon, eBay, E*TRADE, DELL… Không có bất kỳ con số thiệt hại chính thức nào được công bố. Giới phân tích ước tính thiệt hại có thể lên tới 1,7 tỉ đô la Canada (tính theo giá trị hiện nay là vào khoảng 1,6 tỉ USD). Năm 2001, Calce bị đưa ra xét xử và nhận án phạt 8 tháng tù giam, một năm thử thách, bị hạn chế sử dụng Internet và phải nộp phải một khoản tiền nhỏ. Gary McKinnon Trong hai năm liên tiếp 2001 và 2002, hacker người Anh này đã đột nhập vào hệ thống mạng máy tính của Bộ quốc phòng Mỹ, Lầu năm góc, NASA, lực lượng hải quân và không quân Mỹ nhằm mục đích tìm kiếm bằng chứng của đĩa bay. Các quan chức tuyên bố thiệt hại của của những vụ tấn công này lên tới 700.000 USD. Hiện McKinnon đang phải đối mặt với việc bị dẫn độ sang Mỹ xét xử. Nếu bị kết án hacker này có thể phải nhận án phạt lên tới 70 năm tù. Những năm gần đây, các cuộc lừa đảo và tấn công mạng diễn ra trên khắp thế giới ngày càng phức tạp và tinh vi hơn với sự gia tăng của các công cụ tấn công ngày càng mạnh và yêu cầu sử dụng chúng thì ngày càng giảm. Với sự phát triển của những công cụ này, thậm chí những người không hiểu biết nhiều về máy tính và hệ thống mạng cũng có thể tiến hành được các cuộc tấn công gây ra những hậu quả đáng tiếc. Sự phát triển của các công cụ tấn công mạng Theo báo cáo của tập đoàn Symantec, trong số 12.885 lỗ hổng về mã lệnh (năm 2008) thì chỉ có 394 lỗ hổng đã được khắc phục (chiếm 3%), trong đó có 63% các ứng dụng web bị lây nhiễm (năm 2007 là 59%). Trong năm 2008, Symatec đã phát hiện ra 55.398 máy chủ đặt website lừa đảo (tăng 66% so với năm 2007) trong đó những lừa đảo liên quan đến dịch vụ tài chính chiếm 76% (tăng 52% so với năm 2007) Cũng theo báo cáo của Symatec, Việt Nam là nước đứng thứ 8 trong khu vực Châu Á Thái Bình Dương về các hoạt động tấn công đe doạ và đứng thứ 2 trong khu 8 vực Đông Nam Á (sau Thái Lan). Có thể điểm qua một số vụ tấn công vào các hệ thống mạng và website tại Việt Nam như sau: - 14h ngày 27/11/2006 website của Bộ Giáo dục đào tạo bị tấn công bởi một học sinh trung học - Chủ nhật ngày 12/3/2006, website thương mại điện tử VietCo.com bị tấn công từ chối dịch vụ DDos, làm cho hệ thống không thể hoạt động được, nhân viên toàn công ty phải nghỉ việc - Ngày 27/9/2010, máy ATM của ngân hàng Đông Á bị Virus Conficker tấn công - Ngày 22/11/2010, website VietNamNet đã bị Hacker tấn công chiếm quyền điều khiển và xóa sạch dữ liệu trên hệ thống máy chủ. Phải mất gần 1 ngày, các chuyên gia mới đưa VietNamNet hoạt động được trở lại 9 Theo thống kê từ hệ thống giám sát virus của Trung tâm An ninh mạng BKAV, trong tháng 9 năm 2010 Việt Nam xuất hiện 2.876 virus mới, lây nhiễm trên 5.610.000 lượt máy tính. Đã có 36 website của các cơ quan, doanh nghiệp của Việt Nam bị Hacker xâm nhập, trong đó có 20 trường hợp gây ra bởi Hacker trong nước và 16 trường hợp gây ra bởi Hacker nước ngoài. Thông tin về tình hình virus và an ninh mạng tháng 9/2010 10 [...]... ATTT trên mạng máy tính Khái niệm về An toàn thông tin đã thay đổi rất nhiều trong thời gian gần đây, tuy nhiên về bản chất có thể hiểu An toàn thông tin là sự bảo vệ thông tin một cách tự động khỏi các hành vi trái phép (truy cập, sửa đổi, phá hoại v.v…) hoặc tránh việc tấn công vào các tài nguyên và dữ liệu đang có Theo ISO 17799, An toàn thông tin là khả năng bảo vệ đối với môi trường thông tin kinh... tình hình trên, năm 2007, Bộ Bưu chính, Viễn thông (nay là Bộ Thông tin và Truyền thông) đã có Chỉ thị số 03/2007/CT-BBCVT ngày 23/02/2007 về việc tăng cường đảm bảo an ninh thông tin trên mạng Internet đã yêu cầu các cơ quan, tổ chức, doanh nghiệp viễn thông, internet tham gia hoạt động trên mạng Internet phải xây dựng quy trình và quy chế đảm bảo an ninh thông tin cho các hệ thống thông tin, tham... thống ISMS thống ISMS Các yêu Các yêu cầu và kỳ cầu và kỳ vọng về vọng về an toàn an toàn thông tin thông tin Thiết lập hệ Thiết lập hệ thống ISMS thống ISMS Giám sát và Giám sát và đánh giá hệ đánh giá hệ thống ISMS thống ISMS Duy trì và Duy trì và nâng cấp hệ nâng cấp hệ thống ISMS thống ISMS A Kết quả Kết quả quản lý an quản lý an toàn thông toàn thông tin tin C Hình 1: Áp dụng mô hình PDCA cho các... dụng và phát triển vì lợi ích của mọi công dân, mọi tổ chức và của quốc gia An toàn thông tin được xây dựng trên nền tảng một hệ thống các chính sách, quy tắc, quy trình và các giải pháp kỹ thuật nhằm mục đích đảm bảo an toàn tài nguyên thông tin mà tổ chức đó sở hữu cũng như các tài nguyên thông tin của các đối tác, các khách hàng trong một môi trường thông tin toàn cầu Nói chung, đảm bảo an toàn thông. .. tại trang tin điện tử: http://www.mic.gov.vn/tccl II Một số hình thức tấn công mạng phổ biến (Attacks) Để đảm bảo an toàn thông tin dữ liệu trên đường truyền tin và trên mạng máy tính có hiệu quả thì điều trước tiên là phải lường trước hoặc dự đoán trước các khả năng không an toàn, khả năng xâm phạm, nguồn gốc của cuộc tấn công, các sự cố rủi ro có thể xảy ra đối với thông tin dữ liệu được lưu trữ và. .. thống ISMS lấy đầu vào là các yêu cầu và kỳ vọng về bảo mật thông tin của 12 các bộ phận liên quan, sau khi tiến hành các quy trình xử lý cần thiết sẽ đáp ứng an toàn thông tin theo như các yêu cầu và kỳ vọng đã đặt ra Các bộ Các bộ phận liên phận liên quan quan Các bộ Các bộ phận liên phận liên quan quan P Thiết lập hệ Thiết lập hệ thống ISMS thống ISMS D Triển khai và Triển khai và điều hành hệ điều... lớn) Do đó năm 2007, Bộ Thông tin và Truyền thông đã giao Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) thực hiện đề tài “Nghiên cứu, xây dựng tiêu chuẩn kỹ thuật cho hệ thống quản lý an toàn thông tin , mã số 63-07-KHKT-TC, với mục đích xây dựng tiêu chuẩn về hệ thống an toàn thông tin trên cơ sở chấp thuận áp dụng tiêu chuẩn quốc tế ISO 27001, áp dụng được cho các cơ quan, tổ chức ở Việt Nam... quy trình như vậy, và sự quản lý chúng, có thể coi như “cách tiếp cận theo quy trình” Cách tiếp cận theo quy trình cho quản lý an toàn thông tin được trình bày trong tiêu chuẩn này nhằm khuyến khích người sử dụng nhấn mạnh các điểm quan trọng: - Hiểu các yêu cầu an toàn thông tin của tổ chức và sự cần thiết phải thiết lập chính sách và mục tiêu cho an toàn thông tin, - Triển khai và điều hành các biện... - Đảm bảo tính không thể từ chối (Non-repudiation): Thông tin được cam kết về mặt pháp luật của người cung cấp Trên thực tế hầu hết các cơ quan, tổ chức, doanh nghiệp đều nhận thức rõ sự cần thiết và lợi ích của việc chuẩn hóa công tác đảm bảo an toàn thông tin, tuy nhiên việc 11 triển khai lại rất hạn chế và gặp nhiều vướng mắc do: hệ thống tiêu chuẩn kỹ thuật quốc gia về an toàn thông tin hiện không... các gói tin (packets) ở lớp Network trong mô hình OSI Cụ thể là qua hai loại thiết bị tập trung các node mạng sử dụng phổ biến hiện nay là Hub và Switch - Nghe lén trong mạng dùng Hub (Thụ động - Passive): Một khung gói tin khi chuyển từ máy A sang máy B thì đồng thời nó được gửi đến tất cả các máy khác đang kết nối cùng Hub theo cơ chế loan tin (broadcast) Các máy tính nhận được gói tin này và tiến . quan về An ninh, an toàn mạng máy tính; các hình thức tấn công phổ biến; các dịch vụ an toàn mạng và một số mô hình mạng đảm bảo an toàn. Chương II: Mật mã và An toàn thông tin trên mạng máy. quan về mật mã 37 1. An toàn thông tin và mật mã 37 2. Các thuật ngữ và khái niệm mật mã cơ bản 37 II. Mật mã khoá đối xứng (khóa bí mật) 38 1. Mô hình mật mã khoá đối xứng 39 2. Một số hệ mật. Virus máy tính 162 CÂU HỎI ÔN TẬP VÀ BÀI TẬP THỰC HÀNH CHƯƠNG 4 166 TÀI LIỆU THAM KHẢO 168 4 CHƯƠNG 1: TỔNG QUAN VỀ AN TOÀN THÔNG TIN TRÊN MẠNG MÁY TÍNH I. Một số vấn đề về An toàn Thông tin trên