Bảo mật mạng bí quyết và các giải pháp

fr eb oo ks @ ee 4v n or g Những kẻ công mạng (hacker) phần tử “thâm canh cố đế” môi trường mạng diện rộng [STE1] Các mạng phủ, quan tài chính, công ty viễn thông tập đoàn tư nhân trở thành nạn nhân vụ đột nhập hacker tương lai mục tiêu săn đuổi chúng Các vụ đột nhập mạng thường có phạm vi tác động rộng số biểu trường hợp ghi lại đây: • Một loạt đợt công hacker vào hàng trăm sở nghiên cứu phủ quân đội Mỹ mô tả chi tiết quan Cliff Stoll [STOL1] Đó trường hợp đợt công thành công (hầu không bị phát hiện) thời gian nhiều tháng trời Thủ phạm quan tình báo nước Động cá nhân hacker hội thu lợi tài Từ câu truyện Cliff Stoll thông điệp làm cho thao tác viên mạng người dùng lo lắng dễ dàng mà hacker đột nhập thiết bị sơ đẳng mà chúng sử dụng với trình độ kỹ thuật tầm thường • Con sâu mạng (Internet Worm) thả lên mạng Internet vào tháng 11 năm 1988 sinh viên Robert Morris Jr trường đại học Cornell [SPA1] Con sâu mạng chương trình đột nhập tự nhân Nó tiến hành quét toàn mạng internet để lan nhiễm khống chế hữu hiệu tối thiểu 1200 (có thể lên đến 6000) máy tính mạng internet chạy hệ điều hành UNIX Khó thu thập đầy đủ số liệu tin cậy vụ đột nhập hacker cố an ninh khác, nạn nhân từ chối không tự nhận họ bị (hoặc bị) thiệt hại Có thể thấy xu hướng gia tăng vụ đột nhập nhập mạng internet qua số liệu thống kê cố an ninh đựơc lưu trữ ủy Ban Chịu Trách Nhiệm Về Các Vấn Đề Khẩn Cấp Các Máy Tính Mạng Internet - hình thành từ sau cố sâu mạng Internet (Internet Computer Emergency Response Team, viết tắt CERT) Số cố ghi lại thời kỳ từ 1989 đến 1992 trình bày bảng 1-1 Lưu ý rằng, cố tác động tới địa tác động đến hàng ngàn địa cố có tác động thời gian dài Năm 1989 1990 1991 1992 Số cố 132 252 406 773 Bảng 1-1: Các cố an ninh mạng Internet ghi lại giai đoạn 1989-1992 Có nhiều động sâu xa để công vào mạng thương mại không mật phủ Đó vụ đột nhập mạo hiểm phiêu lưu để gian lận tài chính, ăn cắp tài nguyên viễn thông, làm gián điệp công nghiệp, nghe để lấy trộm thông tin phục vụ cho lợi ích trị tài nhân viên bất bình kẻ cố tình phá hoại Ngoài kiểu công cố tình an ninh truyền thông cần phải ngăn ngừa khai thác vô tình người dùng Việc kết nối vô tình phiên truyền thông nhạy cảm đến địa sai lỗi vô tình thông tin nhạy cảm cần bảo vệ gây phá hoại thành công công có chủ ý 1.1 Các yêu cầu đặc trưng an ninh mạng Sự đe doạ hacker mối quan tâm tất mạng có truy cập công cộng hay có sử dụng phương tiện công cộng Tuy nhiên, không đơn lo lắng Để đưa yêu cầu an ninh mạng xét vấn đề an ninh số môi trường ứng dụng mạng quan trọng Trong lĩnh vực ngân hàng Từ năm 1970, dịch vụ chuyển tiền điện tử CTĐT (Electronic Funds Transfer, viết tắt EFT) tiêu điểm ứng dụng an ninh truyền thông công nghiệp tài [PARR1] Mối quan tâm đảm bảo cho không cho can thiệp vào trình CTĐT, cần đơn giản sửa lượng tiền chuyển khoản hay sửa số tài khoản gian lận khoản tài khổng lồ Đây vấn đề quan tài chính, nơi phát sinh xử lý giao dịch, họ phải đương đầu với viễn cảnh chịu đựng chi phí tổn thất gian lận Cho dù có phát gian lận thực tế khó khởi tố nhiều l?ý do, trở thành thiệt hại công cộng hiển nhiên quan Do hệ thống tài có chứa đựng yếu tố nguy hại từ phía xã hội, nên việc bảo vệ hệ thống liên quan đến quan phủ Một vụ công nghiêm trọng quy mô lớn vào mạng hệ thống tài quan trọng tác động làm ổn định kinh tế quốc gia Tính chất nghiêm trọng vấn đề an ninh công nghiệp tài hỗ trợ từ phía phủ làm cho ứng dụng công nghệ an ninh ngành công nghiệp trở thành vị trí đứng đầu giới thương mại Trong năm 1980, việc mắt mạng máy nói tự động (Automatic Teller Machine, viết tắt ATM) dịch vụ CTĐT nơi bán (EFTPOS) làm tăng vấn đề an ninh truyền thông thị trường kinh doanh ngân hàng bán lẻ [DAV1, MEY1] Việc đưa vào sử dụng tiện ích yêu cầu sử dụng thẻ nhựa số nhận dạng cá nhân SNDCN (Personal Identification Number, viết tắt PIN) Nhưng, thẻ thường xuyên bị cắp dễ bị làm giả, nên an ninh hệ thống phụ thuộc vào bí mật SNDCN Việc giữ bí mật SNDCN bị phức tạp hoá thực tế trình xử lý giao dịch phải liên quan đến mạng quản lý đa phân chia Hơn nữa, ngân hàng nhìn thấy trước tiết kịêm chi phí việc thay dịch vụ giao dịch giấy dịch vụ giao dịch điện tử Nên dịch vụ giao dịch điện tử đời ngày nhiều an ninh mạng yêu cầu phải phát triển theo Càng ngày, ngân hàng cần phải bảo đảm người tham gia mở giao dịch phải chủ (xác thực) Do vậy, cần có chữ k?ý điện tử tương đương với chữ k?ý giấy khách hàng Các ngân hàng chịu trách nhiệm bí mật giao dịch Trong thương mại điện tử Việc trao đổi liệu điện tử TĐDLĐT bắt đầu làm xuất vùng ứng dụng viễn thông từ năm 1980 [SOK1] Mục tiêu TĐDLĐT thay toàn hình thức giao dịch thương mại giấy (ví dụ đơn đặt hàng, hoá đơn toán, chứng từ, v.v ) giao dịch điện tử tương đương TĐDLĐT đem lại giảm giá thành đáng kể hoạt động kinh doanh Để làm cho TĐDLĐT chấp nhận rộng rãi hoạt động kinh doanh thương mại an ninh yếu tố thiếu Người dùng cần phải đảm bảo chắn rằng, hệ thống điện tử cung cấp cho họ bảo vệ tương đương (không nói tốt hơn) để tránh sai sót, hiểu lầm chống lại hành vi gian lận so với bảo vệ mà họ quen thuộc trước hệ thống quản lý giấy tờ chữ ký giấy Trong TĐDLĐT có nhu cầu thiết yếu để bảo vệ chống lại việc sửa đổi liệu vô tình hay cố ?ý ?và để đảm bảo rằng, xuất sứ giao dịch hợp lệ Tính chất bí mật riêng tư giao dịch cần phải đảm bảo có chứa thông tin bí mật công ty Về khía cạnh TĐDLĐT hoàn toàn giống dịch vụ CTĐT Tuy nhiên, dịch vụ CTĐT đưa thách thức an ninh, cộng đồng người dùng lớn tổ chức kinh doanh ngày phát triển nhiều Dịch vụ CTĐT đưa yêu cầu Các giao dịch CTĐT cấu thành hợp đồng kinh doanh, có nghĩa chúng phải có chữ k?ý điện tử có tính hợp pháp giống chữ k?ý giấy Ví dụ, chúng chấp nhận chứng việc giải tranh chấp trước án luật pháp Để chữ k?ý điện tử có vị trí hợp pháp bây giờ, người ta phải tranh luận nhiều năm trời Ví dụ, năm 1992, Hiệp hội Đạo luật Hợp chủng quốc Hoa kỳ có đưa Nghị có nội dung sau: Ghi nhận, thông tin dạng điện tử, điều kiện thích hợp, coi thoả mãn yêu cầu hợp pháp so với chữ viết chữ ký giấy dạng truyền thống khác phạm vi, chấp nhận thủ tục, kỹ thuật thực tiễn an ninh tương ứng Vì tiết kiệm chi phí cho người dùng hội thị trường mở rộng cho nhà cung cấp thiết bị, dịch vụ CTĐT xem hội lớn người dùng nhà bán hàng Các giải pháp kỹ thuật tiêu chuẩn hỗ trợ cho an ninh CTĐT trở thành điều quan trọng hầu hết tất ngành công nghiệp Trong quan phủ Các quan phủ ngày sử dụng nhiều mạng truyền thông máy tính để truyền tải thông tin Nhiều số thông tin hoàn toàn không liên quan đến an ninh quốc gia, nên chúng thông tin mật Tuy nhiên, chúng lại yêu cầu cần bảo vệ an ninh l?ý khác, chẳng hạn bảo vệ tính riêng tư hợp pháp Những thông tin không mật nhạy? cảm truyền tải thông qua thiết bị nối mạng thương mại có sẵn sử dụng cấp giám sát an ninh thoả đáng Ví dụ, Mỹ, Đạo luật An ninh Máy tính năm 1987 có đưa khái niệm gọi “thông tin nhạy cảm” định nghĩa “mọi thông tin bất kỳ, mà làm thất thoát nó, sử dụng sai truy nhập trái phép hay sửa đổi tác động chống lại lợi ích quốc gia chống lại đạo chương trình Liên bang, quyền riêng tư cá nhân nêu Điều 552a, Khoản 5, Luật Hoa kỳ ( Đạo luật quyền cá nhân), chưa đăng ký quyền đặc biệt theo tiêu chuẩn mà Quốc hội phê chuẩn phải giữ bí mật để bảo vệ lợi ích quốc gia ngoại giao” Uỷ ban tiêu chuẩn Hoa kỳ (NIST) giao “trách nhiệm phát triển đề tiêu chuẩn hướng dẫn thi hành để đảm bảo an ninh tính bí mật riêng tư thông tin nhạy cảm” Quy dịnh phân biệt khác thông tin nhạy cảm thông tin mật thuộc quản lý Cơ quan An ninh Quốc gia Nhiều quốc gia khác có sách thích ứng để công nhận quản lý liệu không mật nhạy cảm Vấn đề an ninh bật đảm bảo giữ tính bí mật riêng tư, có nghĩa là, thông tin không bị lộ vô tình hay cố ý tất quyền sở hữu thông tin Một nội dung an ninh khác đảm bảo rằng, thông tin không bị truy nhập sửa đổi quyền đáng Những tiết kịêm chi phí giao dịch điện tử so với giao dịch giấy, ví dụ tạo hồ sơ điện tử hoàn trả thuế, quan phủ triển khai nhanh chóng Ngoài đảm bảo tính bí mật riêng tư, hệ thống đưa yêu cầu chữ ký điện tử khả thi mặt luật pháp Năm 1991, với việc dỡ bỏ rào chắn điều luật Chính phủ Hoa kỳ mở đường cho viêc sử dụng chữ ký điện tử Một Quyết nghị của Uỷ ban Kiểm soát có nêu rằng, hợp đồng có sử dụng chữ ký điện tử có giá trị pháp l?ý quan phủ có trang bị hệ thống an ninh hoàn hảo (Thông báo phủ liên bang luật quyền tiêu chuẩn chữ ký số hoá phải tuân thủ) Trong tổ chức viễn thông công cộng Việc quản lý mạng viễn thông công cộng gồm nhiều chức chung như: Vận hành, Quản trị, Bảo trì Giám sát VQB&G (tiếng Anh viết tắt OAM&P) Những chức quản lý lại có tiện ích nối mạng liệu cấp thấp để liên kết thiết bị thuộc chủng loại khác có cộng đồng người dùng đông đúc (những nhân viên vận hành bảo trì) Trong việc truy cập vào mạng bị khống chế khắt khe lần, đường truy cập lại để ngỏ Các khả quản lý mạng khách hàng cung cấp cho nhân viên làm dịch vụ khách hàng truy cập mạng quản lý để thực chức quản lý mạng tài nguyên mạng tổ chức người dùng sử dụng Các mạng hệ thống quản lý truyền thông dễ bị hacker đột nhập? [STE1] Động chung vụ đột nhập ăn cắp dịch vụ truyền thông Khi đột nhập vào quản lý mạng việc ăn cắp nghĩ nhiều hình thức khác nhau, chẳng hạn gọi hàm chẩn đoán, điều khiển ghi tính tiền, sửa đổi sở liệu giám sát Các vụ đột nhập quản lý mạng thực trực tiếp từ nghe trộm gọi thuê bao Vấn đề quan viễn thông tìm kiếm tổn hại an ninh làm chậm thời gian truy cập mạng mà phải trả giá đắt cho quan hệ khách hàng, thất thu ngân sách giá thành phục hồi Các vụ công cố ý vào khả sẵn sàng hạ tầng viễn thông quốc gia chí coi vấn đề an ninh quốc gia Ngoài vụ đột nhập từ bên ngoài, quan viễn thông phải quan tâm đến tổn hại từ nguồn bên thay đổi không hợp lệ sở liệu quản lý mạng từ phía nhân viên trách nhiệm thực công việc Những biểu vô ý cố ?tình, chẳng hạn hành vi nhân viên bất mãn Để bảo vệ chống lại tượng việc truy cập vào chức quản lý cần phải giới hạn nghiêm ngặt dành cho có nhu cầu hợp pháp Điều quan trọng cần phải biết xác nhận dạng cá nhân có ý định truy cập chức quản lý mạng Trong mạng công ty/tư nhân Hầu hết tất công ty có yêu cầu bảo vệ thông tin sở hữu tài sản nhạy cảm Việc tiết lộ thông tin cho đối thủ cạnh tranh cá nhân tổ chức bên làm thiệt hại nghiêm trọng cho công việc kinh doanh, chừng mực đem lại thắng thầu hợp đồng kinh tế ảnh hưởng đến tồn vong công ty Các mạng ngày sử dụng để chuyển thông tin sở hữu tài sản, ví dụ cá nhân, địa điểm văn phòng, công ty và/hoặc đối tác kinh doanh Mạng công ty khép kín trở thành khái niệm lạc hậu, xu hướng phát triển làm việc nhà Việc bảo vệ thông tin sở hữu tài sản không mối quan tâm Có nhiều tổ chức tin tưởng giữ gìn thông tin riêng tư tổ chức cá nhân khác mà họ có trách nhiêm phải bảo đảm việc bảo vệ bí mật Ví dụ tổ chức chăm sóc sức khoẻ quan pháp luật Các yêu cầu bảo đảm tính xác thực tin nhắn tăng lên mạng công ty Một tin nhắn điện tử quan trọng cần phải xác thực, tương tự tài liệu giấy quan trọng cần phải có chữ ký Cho đến nay, công ty hoạt động với giả thiết rằng, cấu bảo vệ tương đối đơn giản thoả mãn yêu cầu an ninh họ Họ hoàn toàn không bận tâm vụ đột nhập với công nghệ phức tạp lĩnh vực mật phủ Tuy nhiên, ngày có nhiều chứng cho thấy, tài nguyên trí tuệ số phủ ngoại quốc sử dụng vào mục đích tình báo công nghiệp Công nghiệp thương mại không tiếp tục tự mãn sức mạnh biện pháp an ninh dùng để bảo vệ thông tin tài sản nhạy cảm 1.2 An ninh hệ thống mở Những thuật ngữ an ninh mạng hệ thống mở xuất trái ngược khái niệm, Khái niệm hệ thống mở biểu diễn phản ứng người mua nhiều năm cấm đoán người bán máy tính cá nhân phần cứng phần mềm truyền thông Nó coi đường dẫn đến lựa chọn mở nhà cung cấp cấu thành riêng rẽ hệ thống với đảm bảo rằng, cấu thành từ nhà cung cấp khác hoàn toàn làm việc với để thoả mãn nhu cầu người mua Chương trình điều khiển hệ thống mở bị ràng buộc chặt chẽ với việc thiết lập thực thi rộng rãi tiêu chuẩn Nối mạng máy tính hệ thống mở gắn liền với Sự đời hệ thống mở – Nối kết hệ thống mở (Open Systems Interconnection, viết tắt OSI) - tiến hành từ năm 1970 việc phát triển tiêu chuẩn cho thủ tục truyền thông máy tính thoả thuận quốc gia giới Ngoài hệ thống tiêu chuẩn thức OSI thủ tục nối mạng hệ thống mở thiết lập tập đoàn khác - đặc biệt Hiệp hội Internet với thủ tục TCP/IP Thông qua hoạt động nối mạng hệ thống mở này, thủ tục có khả kết nối thiết bị từ nhiều nhà cung cấp khác nhau, cho phép sử dụng tất công nghiệp truyền thông thoả mãn yêu cầu hầu hết ứng dụng Việc đưa bảo vệ an ninh vào mạng hệ thống mở nỗ lực đáng kể Nó cho thấy, nhiệm vụ phức tạp quy mô rộng lớn, thể giao kết hai công nghệ - công nghệ an ninh thiết kế thủ tục truyền thông Để cung cấp an ninh mạng hệ thống mở cần phải sử dụng kỹ thuật an ninh kết hợp với thủ tục an ninh , sau tích hợp vào thủ tục mạng truyền thông Cần phải đưa tiêu chuẩn tương thích đầy đủ bao trùm lên ba lĩnh vực rộng lớn sau: - Các kỹ thuật an ninh - Các thủ tục an ninh mục đích chung - Các thủ tục ứng dụng đặc biệt ngân hàng, thư điện tử v.v Các thủ tục liên quan cho lĩnh vực lấy từ bốn nguồn là: - Các tiêu chuẩn quốc tế công nghệ thông tin xây dựng Tổ chức tiêu chuẩn quốc tế ISO, Uỷ ban điện kỹ thuật Quốc tế (IEC), Liên hiệp Viễn thông Quốc tế (ITU), Viện Kỹ sư Điện Điện tử (IEEE) - Các tiêu chuẩn công nghiệp ngân hàng, phát triển tổ chức ISO Viện Tiêu chuẩn Quốc gia Hoa kỳ, - Các tiêu chuẩn quốc gia, đặc biệt phủ liên bang Hoa kỳ - Các thủ tục mạng internet xây dựng Hiệp hội Internet Những tiêu chuẩn liên quan đến an ninh từ tất nguồn trình bày sách Kết luận chương An ninh mạng trở thành yêu cầu chuyên môn hoá môi trường an ninh quốc gia quốc phòng Các yêu cầu an mạng xuất hầu hết môi trường ứng dụng mạng, bao gồm mạng ngân hàng, mạng thương mại điện tử, mạng phủ (không mật), mạng truyền thông tổ chức truyền thông mạng công ty/ tư nhân Tập hợp yêu cầu đặc trưng môi trường tổng hợp bảng 1-2 An ninh mạng cần phải thực thi hài hoà với phát triển mạng hệ thống mở (có nghĩa mạng không phụ thuộc vào nhà cung cấp thiết bị) Điều có nghĩa cấu thành an ninh mạng – kỹ thuật an ninh thủ tục an ninh cần phải phản ánh tiêu chuẩn hệ thống mở tương ứng Trong chương sử dụng yêu cầu an ninh bảng 1-2 minh hoạ chuyển dịch thân tình từ yêu cầu thành mối đe doạ làm sử dụng dịch vụ an ninh để rà xét oạmois đe doạ Các chương sau trình bày phương pháp thực thi dịch vụ an ninh Bảng 1-2: Môi trường ứng dụng Tất mạng Mạng ngân hàng Mạng thương mại điện tử Mạng phủ Các yêu cầu Bảo vệ chống đột nhập từ bên (hacker) Bảo vệ chống gian lận sửa đổi vô tình giao dịch Nhận dạng khách hàng giao dịch lẻ Bảo vệ chống tiết lộ SNDCN Bảo đảm tính bí mật riêng tư khách hàng Đảm bảo nguồn tính nguyên vẹn giao dịch Bảo vệ bí mật công ty Bảo đảm ràng buộc chữ ký điện tử với giao dịch Bảo vệ chống lại tiết lộ vận hành không hợp pháp thông tin không mật nhạy tùy chọn có tên SYN cookie Nếu tùy chọn hiệu lực hóa kernel dò ghi lại vụ công SYN xảy Sau sử dụng giao thức thách thức mật mã có tên SYN cookie nhằm hiệu lực hóa người sử dụng hợp pháp để tiếp tục kết nối chí nhiều công nặng nề Những hệ điều hành khác Windows NT 4.0 SP2 sau nhờ đến chế ghi ngược động (Xem Microsoft Knowledge Base article Q142641.) Khi dãy chờ kết nối xuống ngưỡng định cấu hình từ trước hệ thống tự động phân bổ nguồn lực bổ sung Do mà dãy chờ kết nối không bị mệt Áp dụng IDS Mạng Một số sản phẩm IDS mạng dò tích cực phản hồi lại trước vụ công SYN Một vụ công SYN bị dò trận lũ gói tin SYN mà phản hồi kèm Một IDS gửi gói tin RST tới hệ thống bị công tương ứng với yêu cầu SYN ban đầu Hành động hỗ trợ cho hệ thống bị công việc giải thoát dãy chờ kết nối Những vụ công DNS Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: Vào năm 1997, đội an ninh Tập đoàn Secure Networks (SNI) tập đoàn Network Associates (NAI) cho chương trình tư vấn vài yếu điểm phát thực thi BIND (NAI-0011 – Những yếu điểm BIND Giải pháp) Các phiên BIND trước 4.9.5+P1 giấu kín thông tin không thật chức đệ quy DNS hiệu lực hóa Đệ quy cho phép nameserver xử lý yêu cầu vùng miền mà không phục vụ Khi nameserver nhận truy vấn vùng miền không phục vụ nameserver nameserver truyền truy vấn tới nameserver có thẩm quyền để có miền cụ thể Một trả lời nhận từ nameserver có thẩm quyền nameserver gửi trả lời trở lại bên yêu cầu Thật không may đệ quy hiệu lực hóa phiên BIND yếu kẻ công làm hỏng cạc nameserver có nhiệm vụ tiến hành tra cứu đệ quy Điều biết đến giả mạo hồ sơ PTR khai thác quy trình vạch đường cho địa IP tới hostname Trong có dấu hiệu an ninh nghiêm trọng liên quan đến việc khai thác mối quan hệ uỷ thác phụ thuộc vào tra cứu hostname có tiềm tiến hành vụ công DoS DNS Ví dụ kẻ công cố thuyết phục nameserver mục tiêu giấu kín thông tin mô tả đường từ www.abcompany.com tới 0.0.0.10, địa IP không tồn Khi người sử dụng nameserver yếu muốn tới trang www.abc.company.com họ chẳng nhận câu trả lời từ 0.0.0.10 phủ nhận có hiệu dịch vụ tới www.abcompany.com Biện pháp đối phó DNS Để giải vấn đề phát BIND nâng cấp thành BIND phiên 4.9.6 8.1.1 phiên sau Trong phiên BIND đề cập đến nhược điểm tham nhũng cạc lời khuyên nâng cấp lên đến phiên BIND mà có biện pháp an ninh bổ sung thực thi Hãy xem http:// www.isc.org/bind.html để biết thêm thông tin Đối với thông tin đắp vá rõ nhà cung cấp tham khảo CERT tư vấn CA-97.22: BIND – Daemon Tên Internet Berkeley UNIX VÀ WINDOWS NT DOS UNIX sử dụng trở nên phổ biến vòng 20 năm trở lại UNIX biết đến sức mạnh, tinh tế nó, khả tiến hành nhiệm vụ mà hiểu Dĩ nhiên với tự sức mạnh khó khăn tiềm tàng Chỉ nhiều năm qua hàng trăm điều kiện DoS ngang qua vô số mùi vị UNIX khác phát Tương tự UNIX, Windows NT nhanh chóng phổ biến tập đoàn America Nhiều tổ chức đánh gia tài cho Windows NT để hướng kinh doanh họ sang thiên niên kỷ Trong nhiều người theo chủ nghĩa tuý tranh cãi hệ điều hành mạnh tranh cãi cho thấy Windows NT phức tạp cung cấp gia sản chức Tương tự với UNIX chức cung cấp hội cho kẻ công lợi dụng điều kiện DoS phạm vi hệ điều hành NT ứng dụng có liên quan Phần lớn công phủ nhận dịch vụ phân làm điều kiện DoS từ xa địa phương Có nhiều điều kiện DoS loại dự định ví dụ chứng tỏ lý thuyết đằng sau vụ công tốn lượng thời gian mức cho công cụ thể Những vụ công cụ thể thay đổi theo thời gian Tuy nhiên bạn hiểu lý thuyết đằng sau loại hình công bạn dễ dàng áp dụng vào loại hình chúng phát Hãy khám phá vài điều kiện DoS loại Những vụ công DoS Từ xa Hiện hầu hết điều kiện DoS liên quan đến nhược điểm lập trình có liên quan đến thực thi ngăn xếp IP nhà cung cấp riêng biệt Như ta thấy Chương nhà cung cấp thực thi ngăn xếp IP theo cách khác nhau-đó lý việc in dấu vân tay ngăn xếp lại thành công đến Vì thực thi IP phức tạp liên tục tiến hóa nên có nhiều hội nhược điểm lập trình lại xuất Tiền đề đằng sau hầu hết công gửi gói tin cụ thể chuỗi gói tin đến hệ thống mục tiêu nhằm khai thác nhược điểm cụ thể lập trình Khi hệ thống mục tiêu nhận gói tin kết từ không xử lý gói tin phá huỷ toàn hệ thống Chồng lấp Phân đoạn IP Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: Teardrop công có liên quan khai thác nhược điểm gói tin mã hóa tập hợp thực thi ngăn xếp IP cụ thể Vì gói tin ngang qua mạng khác nên cần thiết phá vỡ gói tin thành mảnh nhỏ (phân đoạn) dựa đơn vị truyền tối đa mạng (MTU) Vụ công teardrop cụ thể trước kernel Linux cũ mà không xử lý phân đoạn IP chồng chéo Trong Linux kernel tiến hành kiểm tra đắn độ dài phân đoạn lớn không tiến hành xác nhận hợp lệ THIEU Biện pháp đối phó với Chồng lấp Phân đoạn IP Những vụ công trước hiệu chỉnh kernel 2.0.x 2.2.x sau Hãy nâng cấp tới kernel 2.0.x 2.2.x nhất, kernel có nhiều biện pháp hiệu chỉnh bổ sung an ninh việc hiệu chỉnh nhược điểm phân đoạn IP Đối với hệ thống Windows NT nhược điểm phân đoạn IP bàn đến hotfix sau Service Pack Những người sử dụng Windows NT khuyến khích lắp đặt pack dịch vụ hiệu chỉnh nhiều nhược điểm liên quan đến an ninh Người sử dụng Windows 95 nên lắp đặt tất pack dịch vụ liên quan Tất pack dịch vụ có sẵn ftp://ftp microsoft.com/bussys/winnt-public/fixes/usa/ Những ký hiệu ống dẫn đặt tên theo Lỗ rò Đẩy ống cuộn Windows NT qua RPC Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: Windows NT có lỗ rò nhớ spoolss.exe cho phép người sử dụng không ủy quyền kết nối tới \\server\PIPE\SPOOLSS tiêu thụ tất phần nhớ sẵn có hệ thống mục tiêu Tình trạng nghiêm trọng công kiểu khởi đầu thông qua phiên giá trị null kết nối RestrictAnonymous có hiệu lực hóa Cuộc công chút thời gian để vô hiệu hóa hoàn toàn hệ thống mục tiêu chứng tỏ nguồn lực bị tiêu thụ từ từ qua khoảng thời gian kéo dài nhằm tránh bị dò Biện pháp đối phó với Lỗ rò Đẩy ống cuộn Windows NT Để vô hiệu hóa công qua phiên giá trị null bạn phải gỡ bỏ SPOOLSS khỏi phím Registry HKLM\System\CCS\Services\LanmanServer\Parameters\NullSessionPipes (REG_MULTI_SZ) Hãy ghi nhớ biện pháp hiệu chỉnh ngăn người sử dụng nhận dạng tiến hành công Tấn công DoS Tràn Bộ đệm IIS FTP Server Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: Như bàn đến Chương 8, công tràn đệm vô hiệu việc làm tổn hại đến an ninh hệ thống yếu Ngoài ngụ ý an ninh lớn điều kiện tràn đệm chúng hiệu việc tạo điều kiện DoS Nếu điều kiện tràn đệm không cung cấp truy nhập cho người sử dụng (superuser) nhiều sử dụng để phá hủy ứng dụng yếu từ xa Biện pháp đối phó với Tấn công DoS Tràn Bộ đệm IIS FTP Server Các hotfix Microsoft Service Pack post-Service Pack bàn đến nhược điểm Đối với hotfix Service Pack tham khảo ftp://ftp.microsoft.com/bussys/iis/iis-public/fixes/usa/security/ftpls-fix/ Tấn công stream raped Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: Stream.c (viết tác giả vô danh) raped.c viết Liquid Steel xuất tự vào đầu năm 2000 Những công đơn giản tương tự giống hiệu Cả hai công công đói nguồn lực lợi dụng việc hệ điều hành khả quản lý gói tin dị hình gửi tới Ban đầu công FreeBSD-only hai loại công stream raped đè nặng lên nhiều hệ điều hành kể (nhưng không hạn chế phạm vi này) Windows NT Triệu chứng sử dụng CPU tải (xem minh họa phần sau) vụ công lắng hệ thống lại trở lại bình thường Vụ công stream.c hoạt động cách gửi gói tin TCP ACK tới loạt cổng với số ngẫu nhiên dãy số địa IP nguồn ngấu nhiên Tấn công raped.c hoạt động cách gửi gói tin TCP ACK với địa IP nguồn bị giả mạo Biện pháp đối phó với Stream raped Thật không may hệ điều hành cung cấp biện pháp vá tạm cho công kiểu Chúng ta hotfix Windows NT Tuy nhiên để có FreeBSD bạn áp dụng biện pháp vá tạm không thức: http:// www.freebsd.org/~alfred/tcp_fix.diff Tấn công Quản trị viên ColdFusion Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: Được Foundstone phát vào tháng Sáu năm 2000, nhược điểm lợi dụng yếu điểm phần thiết kế chương trình để hạ server cách có hiệu Phủ nhận dịch vụ xuất suốt quy trình chuyển mật đầu vào mật lưu trữ thành dạng thích hợp để so sánh mật đầu vào lớn (>40,000 ký tự) Việc thực công bình thường bàn đến Chương 15 Biện pháp đối phó với công Quản trị viên ColdFusion Những biện pháp đối phó cho nhược điểm bàn đến nhiều Chương 15 Tấn công Phủ nhận Dịch vụ có phân phối Khi Hacking Exposed xuất lần đầu vào tháng Chín năm 1999 khái niệm công phủ nhận dịch vụ có phân phối lý thuyết qua lời đồn đại Bây bạn nói máy tính cho bà mà không dùng từ "DDoS" Như vi rút sinh sôi nảy nở rạ mạng Internet, phương tiện truyền thông đem công DDoS làm chủ đề Vào tháng Hai năm 2000 công DDoS hàng loạt xuất Được khởi đầu trước hết nhằm vào Yahoo sau E TRADE, eBay, Buy.com, CNN.com, trang khác nữa, kẻ công hạ trang web mà biết vô số trang khác mà chưa nghe tới Chúng muốn nói vụ công có nguồn gốc từ đội ngũ tin tặc chuyên nghiệp áp đặt mong muốn kỳ quái với người sử dụng mạng Internet đáng thương không Điều ngược lại lại Những vụ công DDoS xảy (thường thiếu niên buồn chán) sử dụng phần mềm miễn phí sẵn có để gửi trận mưa gói tin tới mạng hay host đến mục đích lấn át nguồn lực Nhưng trường hợp DoS có phân phối nguồn gốc công lại xuất phát từ nhiều nguồn Và cách tạo tình làm tổn hại hệ thống máy tính hữu mạng Internet Bước mà kẻ công DDoS phải làm tìm mục tiêu giành quyền truy nhập hành nhiều hệ thống tốt Nhiệm vụ thường tiến hành kịch công tùy biến nhằm mục đích xác định hệ thống có khả yếu Chúng ta bàn xuyên suốt sách cách thức kẻ công bày kịch công Tất bạn phải làm nhìn vào ghi tường lửa @Home DSL để hiểu diễn Những kẻ soạn kịch khắp giới quét hình mạng cấp khiêm tốn tìm kiếm hệ thống định cấu hình hay phần mềm yếu để cung cấp truy nhập tức thời vào máy tính mục tiêu Một họ truy nhập vào hệ thống kẻ công tải lên phần mềm DDoS cho phần mềm chạy Cách thức mà hầu hết DDoS server (hay daemon) cho chạy nghe dẫn trước công Điều cho phép kẻ công tải phần mềm cần thiết host bị tổn hại tới sau chờ thời thích hợp để gửi lệnh công Hình 12-3 cho thấy cách thức toàn công thông thường diễn từ gây tổn thương đa hệ thống cú đột kích cuối Số lượng công cụ DDoS tăng lên theo tháng phân tích hoàn chỉnh cập nhật tất công cụ DDoS điều Do mà nhóm cho cốt lõi công cụ DDoS Ở đoạn sau bàn đến TFN, Trinoo, Stacheldraht, TFN2K, WinTrinoo Những công cụ DDoS khác giải phóng bao gồm Shaft mStreams công cụ dựa công cụ đề cập trước Để biết thêm thông tin Shaft tham khảo http://netsec.gsfc.nasa.gov/~spock/shaft_analysis.txt Để biết thêm thông tin mStreams tham khảo http://staff.washington.edu/dittrich/misc/mstream.analysis.txt Mạng Lũ Tribe (TFN) Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: Được viết tin tặc có tên Mixter, TFN công cụ phủ nhận dịch vụ có phân phối sở UNIX xuất công khai lần (được phát chủ yếu máy tính Solaris Red Hat) TFN có thành phần client server cho phép kẻ công lắp đặt server hệ thống bị tổn thương từ xa sau với lệnh đơn lẻ client nhằm khởi đầu vụ công phủ nhận dịch vụ có phân phối có quy mô đầy đủ Trong số loại hình công sẵn có với TFN trận lũ ICMP, Smurf, UDP SYN Ngoài thành phần công TFN sản phẩm cho phép shell gốc gắn tới cổng TCP Để biết thêm chi tiết TFN tham khảo phân tích Dave Dittrich http://staff.washington.edu/dittrich/misc/ddos/ Biện pháp đối phó với TFN Dò Một số chế dò tồn cho TFN tìm thấy khắp mạng Internet Một vài đáng để tham khảo DDOSPing Foundstone (http:// www.foundstone.com), Zombie Zapper đội ngũ Razor Bindview (http://razor.bindview.com) find_ddos (http:// www.nipc.gov) Trung tâm Bảo vệ Cơ sở hạ tầng Quốc gia (NIPC) Phòng tránh Dĩ nhiên biện pháp phòng vệ tốt tránh không cho hệ thống bạn bị sử dụng tình trạng sống dở chết dở loại hình công phòng tránh không cho chúng bị gây tổn thương từ đầu Điều có nghĩa thực thi bước chương UNIX (Chương 8) cho dịch vụ giới hạn, áp dụng cho hệ điều hành biện pháp nối tạm ứng dụng lập tệp tin/các phép thư mục (trong số nhiều đề xuất khác nữa) Sau biện pháp phòng tránh khác cho TFN: truyền thông TFN diễn qua ICMP nên bạn không cho phép đường giao thông ICMP gắn bên tới mạng bạn Để bảo vệ hệ thống bạn khỏi bị công thành phần phá hoại TFN bạn áp dụng lọc theo loại cầu dẫn biên bạn (như lọc theo loại ICMP để giới hạn công ICMP Smurf), có sẵn phạm vi hệ điều hành Cisco IOS 12.0 định cấu hình cho Kiểm soát Truy nhập Căn Ngữ cảnh (CBAC) Cisco IOS 12.0 nhằm hạn chế rủi ro công SYN Trinoo Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: 7 Tương tự TFN, Trinoo hoạt động cách sử dụng chương trình điều khiển từ xa nói chuyện với phận quản lý có nhiệm vụ dẫn cho daemon (server) công Truyền thông client phận quản lý qua TCP cổng 27665 thường đòi hỏi “betaalmostdone” mật Truyền thông từ phận quản lý tới server qua UDP cổng 27444 Truyền thông từ server trở lại phận quản lý thường thực qua UDP tĩnh cổng 31335 Để biết thêm chi tiết Trinoo tham khảo phần phân tích Dave Dittrich http://staff washington.edu/dittrich/misc/ddos/ Biện pháp đối phó với Trinoo Dò Một số chế dò tồn dành cho Trino bao gồm DDOSPing Foundstone (http:// www.foundstone.com), Zombie Zapper đội Razor Bindview (http://razor.bindview.com) find_ddos (http:// www.nipc.gov) Trung tâm Bảo vệ Cơ sở hạ tầng Quốc gia (NIPC) Phòng tránh Cũng giống trường hợp TFN biện pháp phòng tránh tốt không hệ thống bị tổn thương cách tuân theo bước nghiêm ngặt UNIX chương UNIX (Chương 8) Để bảo vệ hệ thống bạn khỏi bị công Trinoo zombie bạn nhờ đến việc lọc hạng cầu dẫn biên bạn (như lọc hạng ICMP nhằm hạn chế công ICMP Smurf, giống phạm vi hệ điều hành Cisco IOS 12.0 định cấu hình Kiểm soát Truy nhập Trên sở Ngữ cảnh (CBAC) Cisco IOS 12.0 nhằm hạn chế rủi ro công SYN Stacheldraht Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: 7 Stacheldraht kết hợp tính Trinoo với tính TFN nhằm cung cấp công cụ phá hủy giàu tính bao gồm phiên telnet mã hóa tên nô lệ ông chủ Bây kẻ công che mắt hệ thống dò xâm nhập sở mạng nhằm cho phép khả phủ nhận dịch vụ tự Tương tự TFN Stacheldraht công đợt công kiểu ICMP-, UDP-, SYN-, Smurf Để liên lạc client server Stacheldraht có sử dụng kết hợp gói tin TCP ICMP (trả lời ECHO) Việc mã hóa sử dụng client server có dùng đến thuật toán mã hóa phím đối xứng Việc bảo vệ mật sẵn có với Stacheldraht Một tính đáng phải ý đến khả nâng cấp thành phần server theo yêu cầu có sử dụng lệnh rcp Để biết thông tin rõ Stacheldraht xem phân tích Dave Dittrich http://staff.washington.edu/dittrich/misc/ddos/ Biện pháp đối phó Stacheldraht Dò Một số chế dò tồn cho Stacheldraht bao gồm DDOSPing Foundstone (http:// www.foundstone.com), Zombie Zapper đội Razor Bindview (http://razor.bindview.com) find_ddos (http:// www.npic.gov) Trung tâm Bảo vệ Cơ sở hạ tầng Quốc gia (NIPC) Phòng tránh Như với công cụ DDoS trước biện pháp phòng vệ tốt cho Stacheldraht ngăn không cho hệ thống bạn bị sử dụng zombie Điều đồng nghĩa với việc thực thi tất bước chương UNIX (Chương 8) dịch vụ hạn chế áp dụng hệ điều hành áp dụng biện pháp vá tạm lập phép tệp tin/thư mục (trong số nhiều đề xuất khác) Còn biện pháp phòng tránh khác cho Stacheldraht tương tự TFN Bởi truyền thông TFN diễn qua ICMP nên bạn không cho phép đường giao thông ICMP bên kết nối tới mạng bạn Để bảo vệ hệ thống không bị công zombie Stacheldraht bạn nhờ đến lọc hạng cầu dẫn biên bạn (như lọc hạng ICMP nhằm hạn chế công ICMP Smurf), giống sẵn có phạm vi hệ điều hành Cisco IOS 12.0 định cấu hình Kiểm soát Truy nhập sở Ngữ cảnh (CBAC) Cisco IOS 12.0 nhằm hạn chế rủi ro công SYN TFN2K Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: TFN2K thay cho TFN 2000 kế vị cho TFN gốc Mixter Công cụ DDoS khác hẳn với gốc nó, cho phép liên lạc ngẫu nhiên hóa cổng (ở xóa bỏ việc chặn cổng cầu dẫn biên bạn biện pháp phòng tránh) Tương tự trước TFN2K công với công SYN, UDP, ICMP Smurf Nó ngẫu nhiên chuyển đảo chất khác công Tuy nhiên không “mã hóa” Stacheldraht, TFN2K sử dụng dạng mã hóa yếu có tên lập mã Base 64 Một phân tích kỹ lưỡng TFN2K hoàn chỉnh Jason Barlow Woody Thrower Đội An ninh AXENT tìm http://packetstormsecurity.org/distributed/TFN2k_Analysis-1.3.txt Biện pháp đối phó TFN2K Dò Một số chế dò tồn cho TFN2K bao gồm Zombie Zapper đội Razor Bindview (http://razor.bindview.com) find_ddos (http:// www.nipc.gov) Trung tâm Bảo vệ Cơ sở hạ tầng Quốc gia (NIPC) Phòng tránh Như với công cụ DDoS trước biện pháp phòng vệ tốt cho TFN2K tránh không cho hệ thống bạn bị sử dụng làm zombie Điều đồng nghĩa với việc thực thi tất bước chương UNIX (Chương 8) dịch vụ hạn chế áp dụng hệ điều hành biện pháp vá tạm ứng dụng lập phép tệp tin/thư mục (trong số nhiều đề xuất khác) Để bảo vệ hệ thống khỏi công zombie TFN2K gây bạn nhờ đến lọc hạng cầu dẫn biên bạn (như lọc hạng ICMP để hạn chế công ICMP Smurf, phạm vi hệ điều hành Cisco IOS 12.0 định cấu hình Kiểm soát Truy nhập sở Ngữ cảnh (CBAV) Cisco IOS 12.0 nhằm hạn chế rủi ro công SYN WinTrinoo Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: 5 WinTrinoo công bố lần trước công chúng đội Bindview Razor WinTrinoo phiên Windows Trinoo có hầu hết khả mà phiên trước có Công cụ service.exe đặt tên (nếu chưa đặt tên) kích cỡ 23.145 byte Một phần thi hành chạy cộng thêm giá trị vào phím Run Windows Registry phép khởi động lại khởi động lại máy tính LƯU Ý Hãy cẩn thận kẻo nhầm tệp tin WinTrinoo “service.exe” với tệp tin đa “service.exe.” HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\R un System Services: REG_SZ: service.exe Dĩ nhiên giá trị riêng biệt chạy tệp tin “service.exe” đường dẫn mục tiêu WinTrinoo nghe TCP UDP cổng 34555 Biện pháp đối phó WinTrinoo Để dò WinTrinoo bạn dò tìm mạng TCP hay UDP cổng 34555 mở tìm kiếm tệp hệ thống với tên “service.exe” (mặc dù đặt lại tên) có kích cỡ tệp tin 23.145 byte Ngoài kỹ thuật đơn giản bạn nhờ đến chương trình diệt virút Norton Antivirus Symantec mà tự động kiểm tệp tin trước chạy Tấn công DoS Cục Mặc dù công DoS từ xa xuất tít báo công DoS cục lại nguy hiểm Nhiều hệ thống đa người sử dụng trở thành mồi cho kẻ sử dụng uỷ quyền tiến hành vụ công DoS không uỷ quyền Hầu hết công DoS cục tiêu thụ nguồn lực hệ thống hay khai thác nhược điểm chương trình có để phủ nhận truy nhập người sử dụng hợp pháp Trong hàng trăm vụ công DoS cục tồn cho hệ thống UNIX NT nói đến vụ công nhược điểm lập trình đói nguồn lực Windows NT UNIX tương ứng Server Cuối Windows NT 4.0 proquota.exe Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: Một ví dụ cổ điển công đói nguồn lực sử dụng khoảng trống đĩa cách vượt số đặt Trong chức số đĩa sử dụng lúc giới UNIX tương đối Windows NT Trên Ấn Server Cuối Windows NT-SP4 người sử dụng bình thường khai thác chức khoảng trống đĩa Windows NT để làm đầy %systemdrive% Điều phủ nhận truy nhập vào hệ thống cho tất người sử dụng mà tiểu sử sơ lược lưu trữ cục Trong công DoS người sử dụng nên khả đăng xuất hệ thống họ vượt số Tuy nhiên người sử dụng giết chết quy trình proquota.exe để phá hỏng hạn định sau đăng xuất Việc giết chết proquota.exe quy trình sở hữu người sử dụng tài khoản hệ thống Biện pháp đối phó Server Cuối Windows NT 4.0 proquota.exe Những biện pháp thi hành an ninh tốt áp dụng việc đặt tệp tin hệ thống phần dành riêng khác nơi mà liệu người sử dụng lưu trữ Chân lý cho ví dụ %systemdrive% nên đặt phần dành riêng khác nơi tệp tin mà người sử dụng truy nhập lưu trữ Ngoài đặt tiểu sử sơ lược phần dành riêng không khởi động sử dụng chúng thật cần thiết Khủng hoảng Kernel Tính phổ biến: Tính đơn giản: Tác động: Đánh giá độ rủi ro: Trong phiên kernel Linux 2.2.0 có điều kiện DoS tiềm if ldd, chương trình sử dụng để in phần lệ thuộc thư viện chung, sử dụng để in tệp tin định Nhược điểm liên quan đến yêu cầu chức munmap ( ) sử dụng ldd định hay không định tệp tin hay dụng cụ vào nhớ Ở hoàn cảnh cụ thể munmap ( ) viết chèn lên khu vực quan trọng nhớ kernel gây cho hệ thống khủng hoảng phải khởi động lại Trong nhược điểm khác thường minh họa cho khái niệm đằng sau vụ công DoS kernel Ở hầu hết trường hợp người sử dụng không đặc quyền khai thác nhược điểm lập trình nhằm làm hỏng khu vực nhớ quan trọng sử dụng kernel Kết cuối khủng hoảng kernel Biện pháp đối phó Khủng hoảng Kernel Một biện pháp vá tạm kernel đưa để khắc phục vấn đề mà hợp thành phiên kernel 2.2.1 Hầu bạn chẳng thể chủ động làm để đảm bảo hệ điều hành thành phần có liên quan kernel thoát nhược điểm lập trình mã nguồn riêng tư Tuy nhiên nhiều phiên UNIX tự việc kiểm định mã nguồn để xem có nhược điểm lập trình nhược điểm an ninh có liên quan hay không khả xảy TÓM TẮT Như thấy kẻ sử dụng nham hiểm tiến hành nhiều loại hình công DoS nhằm phá hoại dụng cụ Những công tiêu thụ dải thông mốt với khả mở rộng lượng giao thông nghèo nàn tới cấp độ trừng phạt Những công đói nguồn lực xảy nhiều năm kẻ công tiếp tục sử dụng chúng thành công Những nhược điểm lập trình thứ mà kẻ công ưa chuộng làm tăng tính phức tạp thực thi ngăn xếp IP chương trình liên quan Cuối việc lập tuyến công DNS vô hiệu việc khai thác nhược điểm cố hữu dịch vụ quan trọng mà móng cho hầu hết mạng Internet Trên thực tế số chuyên gia an ninh lập lý thuyết tiến hành công DoS vào mạng Internet cách vận dụng thông tin lập tuyến qua Giao thức Cổng Biên (BGP) mà sử dụng rộng rãi hầu hết nhà cung cấp Internet Những công phủ nhận dịch vụ có phân phối trở nên ngày phổ biến nhờ khả truy nhập dễ dàng tới khai thác khả trí tuệ cần thiết tương đối để tiến hành chúng Những công nằm số vụ nham hiểm chúng nhanh chóng tiêu thụ host lớn mạng Internet khiến cho chúng trở nên vô dụng Vì thương mại điện tử tiếp tục đóng vai trò kinh tế điện tử nên vụ công DoS có tác động chí lớn lên xã hội điện tử Nhiều tổ chức bắt đầu nhận phần khoản thu nhập từ nguồn mạng Do mà vụ công DoS kéo dài làm cho số tổ chức có khả bị phá sản Thậm chí nhiều công áp dụng khả đột nhập tinh vi mà giấu công Nhiều phủ hay trình tăng cường khả đấu tranh điện tử mà sử dụng công DoS tên lửa thông thường Thời đại khủng bố mạng thực tới [...]... cho các giấy tờ hành chính của chính phủ Mạng của các tổ chức Hạn chế truy cập vào các chức năng quản lý cho truyền thông những cá nhân có thẩm quyền Bảo vệ chống lại việc làm gián đoạn các dịch vụ Bảo vệ bí mật cho các thuê bao Mạng công ty/riêng lẻ Bảo vệ riêng tư và bí mật của công ty/ cá nhân Đảm bảo tính trung thực của tin nhắn Các tài liệu tham khảo [DAV1] - D.W Davies W.L Price, “An ninh cho các. .. time=169.1 Trong một số trường hợp, các thiết bị kiểm soát truy nhập đơn giản không thể giải quyết được các gói tin bị chia một cách chính xác do đó cho phép các gói tin của ta có thể vượt qua và sẽ tiến hành xác định xem cổng có hoạt động hay không Chú ý rằng cờ hiệu TCP SYN và TCP ACK sẽ được gửi trở lại khi cổng mở Hping có thể dễ dàng bị hợp nhất thành các shell script bằng cách sử dụng lựa chọn đếm gói... đánh giá loại luồng thông tin ICMP là bạn cho phép vào mạng của mình hoặc các hệ thống đặc trưng Có rất nhiều loại thông tin ICMP mà ECHO và ECHO_REPLY chỉ là 2 loại trong số đó Hầu hết các site không đòi hỏi tất cả các loại thông tin ICMP tới tất cả các hệ thống kết nối Internet trực tiếp Mặc dầu hầu hết các firewall có thể lọc các gói tin ICMP, các nhu cầu tổ chức có thể chỉ ra răng firewall đã để... thông điệp ICMP loại 17 (ADDRESS MASK REQUEST) Netmask của một thẻ mạng là rất quan trọng bởi bạn có thể xác định rõ được tất cả các mạng cấp dưới đang được sử dụng Với kiến thức về các mạng cấp dưới, bạn có thể định hướng tấn công vào một mạng cấp dưới duy nhất và tránh làm ảnh hưởng đến các địa chỉ thông báo Icmpquery có cả timestamp và lựa chọn yêu cầu ẩn địa chỉ: Icmpquery [-B] [-f fromhost]... một công cụ sử dụng trong một khoảng thời gian và là một trong những công cụ quét cổng TCP nhanh và hiệu quả nhất Một số đặc điểm chính của strobe gồm có tính năng tối ưu hệ thống và các tài nguyên mạng và quét hệ thống mục tiêu theo một cung cách hiệu quả Ngoài tính năng hữu hiệu, phiên bản strobe 1.04 và các phiên bản sau này sẽ thực sự nắm giữ được các biểu tượng liên quan của mỗi cổng mà chúng... (http://www.clark.net/~roesch/idspaper.html), các gói tin khác nhau quản lí các phần phân tách chồng chéo khác nhau Một số ngăn xếp sẽ ghi chèn dữ liệu mới lên dữ liệu cũ và ngược lại khi các phần phân tách được nối trở lại Bằng cách chú ý đến cách các gói tin thăm dò được nối lại, bạn có thể biết được một số thông tin về hệ điều hành ▲ Các lựa chọn TCP Các lựa chọn TCP được quy định bởi RFC 793 và gần đây là RFC 1323 (www.ietf.org/rfc/rfc1323.txt)... ninh cho các mạng máy tính”, Tái bản lần thứ hai, NXB John Wiley and Sons, New York, 1989 [MAR1] – P Marion, “”, NXB Calmann – Lévy, Pháp, 1991 [MEY1] - C.H Meyer, S.M Matyas và R.E Lennon, Các tiêu chuẩn trung thực mã hoá cần thiết đối với các hệ thống chuyển tiền điện tử”, Báo cáo tại Hội nghị về an ninh và bí mật ở Oakland Canada, Tạp chí IEEE Computer Society, 1981 [NUT1] - G.J Nutt, Các hệ thống... reject] 1024 – 65535 [not scanned] Do có nhiều cầu dẫn và firewall ACL được cấu hình nhằm cho phép các giao thức như DNS (UDP 53), kênh dữ liệu FTP (TCP 20), SMTP (TCP 25) và HTTP (TCP 80) để lọt qua các bộ lọc, thao tác quét cổng nguồn có thể xâm chiếm các thiết bị điều khiển bằng cách đánh lừa với tư cách là luồng thông tin đi vào Bạn phải biết dấu cách địa chỉ đằng sau firewall hoặc cầu dẫn Tuy nhiên... tính năng ưu việt lọc các gói tin ■ TCP Windows scan Thủ thuật này có thể phát hiện những cổng mở, được lọc/chưa được lọc trên một số hệ thống (ví dụ AIX và FreeBSD) do sự khác thường trong cách xác định kích cỡ TCP Windows ■ TCP RPC scan Thủ thuật này đặc trưng cho các hệ thống UNIX và được sử dụng để phát hiện và xác định các cổng Remote Procedure Call (RPC) và số phiên bản và chương trình liên quan... Tiện ích này là một công cụ đếm ICMP đơn giản cho phép bạn nhanh chóng xác định các hệ thống đang họat động bằng cách gửi đi các gói tin ICMP ECHO truyền thống, và những yêu cầu ICMP TIMESTAMP REQUEST và ICMP INFO Do vậy, nếu như đường vào các gói tin ICMP ECHO bị một router hoặc firewall để ngỏ, ta vẫn có thể xác định được các hệ thống có sử dụng loại ICMP thay thế [shadow] icmpenum –i2 -c 192.168.1.0 ... chế truy cập vào chức quản lý cho truyền thông cá nhân có thẩm quyền Bảo vệ chống lại việc làm gián đoạn dịch vụ Bảo vệ bí mật cho thuê bao Mạng công ty/riêng lẻ Bảo vệ riêng tư bí mật công ty/... xét oạmois đe doạ Các chương sau trình bày phương pháp thực thi dịch vụ an ninh Bảng 1-2: Môi trường ứng dụng Tất mạng Mạng ngân hàng Mạng thương mại điện tử Mạng phủ Các yêu cầu Bảo vệ chống đột... thiết yếu để bảo vệ chống lại việc sửa đổi liệu vô tình hay cố ?ý ?và để đảm bảo rằng, xuất sứ giao dịch hợp lệ Tính chất bí mật riêng tư giao dịch cần phải đảm bảo có chứa thông tin bí mật công