AN NINH BẢO MẬT Bảo vệ an toàn thông tin bằng biện pháp hành chính

GV: Tiêu Phương Quỳnh Nhóm: CHƯƠNG TỔNG QUAN VỀ AN NINH BẢO MẬT THÔNG TIN Khi nhu cầu trao đổi thông tin liệu ngày lớn đa dạng, tiến điện tử - viễn thông, công nghệ ngày phát triển để nâng cao chất lượng Do ý tưởng biện pháp an ninh bảo mật phải nâng cấp đổi Thông tin loại tài sản giống tài sản khác doanh nghiệp Thơng tin có giá trị đặc biệt hầu hết tất hoạt động, thơng tin cần phải bảo vệ thích hợp Bảo vệ thơng tin khỏi “mất cấp” bảo vệ phát triển liên tục bền vững doanh nghiệp Đảm bảo cho doanh nghiệp tối thiểu hóa thiệt hại có rủi ro xảy ra, đồng thời tối đa lợi nhuận thu từ hoạt động kinh doanh Thơng tin lưu trữ nhiều dạng khác in viết giấy, ổ cứng máy vi tính, film thông qua đàm thoại,… Bất kể thông tin tồn dạng nào, thông tin lưu trữ , chia sẻ chúng phải bảo mật cách phù hợp Thông tin bị cấp từ nhiều nguyên nhân khác như: hệ thống máy tính bị hư, động đất, lũ lụt, sống thần, tình báo cơng nghiệp,…Bên cạnh cịn có ngun nhân khác : hệ thống máy tính bị virus cơng, bị hacker cơng Bảo mật an tồn thơng tin liệu vấn đề rộng có nhiều phương pháp bảo vệ an tồn thơng tin liệu, nhiên chúng quy nhóm sau: - Bảo vệ an tồn thơng tin biện pháp hành - Bảo vệ an tồn thơng tin biện pháp kỹ thuật (phần cứng) - Bảo vệ an tồn thơng tin biện pháp thuật toán (phần mềm) Trong đó, mơi trường khó bảo vệ an tồn thơng tin nơi đối phương dễ dàng xâm nhập phá hoại nhất, mơi trường mạng truyền thông AN NINH BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: An tồn thơng tin bao gồm nội dung sau: - Tính bí mật: tính kín đáo riêng tư thơng tin - Tính xác thực thơng tin: bao gồm xác thực đối tác( tốn nhận danh), xác thực thơng tin trao đổi - Tính trách nhiệm: đảm bảo người gửi thông tin thối thác trách nhiệm thơng tin mà gửi Để đảm bảo an tồn thơng tin liệu đường truyền tin mạng máy tính có hiệu điều trước tiên phải lường trước dự đốn trước khả khơng an tồn, khả xâm phạm, cố rủi ro xảy thông tin liệu lưu trữ trao đổi đường truyền tin mạng Xác định xác nguy nói định tốt giải pháp để giảm thiểu thiệt hại Có hai loại hành vi xâm phạm thơng tin liệu là: vi phạm chủ động vi phạm thụ động + Vi phạm thụ động nhằm mục đích cuối nắm bắt thông tin (đánh cắp thông tin) Việc làm có khơng biết nội dung cụ thể dị người gửi, người nhận nhờ thông tin điều khiển giao thức chứa phần đầu gói tin Kẻ xâm nhập kiểm tra số lượng, độ dài tần số trao đổi Vì vi pham thụ động không làm sai lệch hủy hoại nội dung thông tin liệu trao đổi Vi phạm thụ động thường khó phát có biện pháp ngăn chặn hiệu + Vi phạm chủ động dạng vi phạm làm thay đổi nội dung, xóa bỏ, làm trễ, xắp xếp lại thứ tự làm lặp lại gói tin thời điểm sau thời gian Vi phạm chủ động thêm vào số thơng tin ngoại lai để làm sai lệch nội dung thông tin trao đổi Vi phạm chủ động dễ phát để ngăn chặn hiệu khó khăn nhiều AN NINH BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: Một thực tế khơng có biện pháp bảo vệ an tồn thơng tin liệu an tồn tuyệt đối Một hệ thống dù bảo vệ chắn đến đâu đảm bảo an toàn tuyệt đối Các yêu cầu an toàn bảo mật hệ thống thơng tin : có u cầu - Đảm bảo tính tin cậy(Confidentiality): Thơng tin khơng thể bị truy nhập trái phép người khơng có thẩm quyền - Đảm bảo tính ngun vẹn(Integrity): Thơng tin bị sửa đổi, bị làm giả người khơng có thẩm quyền - Đảm bảo tính sẵn sàng(Availability): Thông tin sẵn sàng để đáp ứng sử dụng cho người có thẩm quyền - Đảm bảo tính từ chối (Nonrepudiation): Thông tin cam kết mặt pháp luật người cung cấp AN NINH BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: CHƯƠNG THỰC TRẠNG NGHIÊN CỨU 2.1 Các chiến lượt bảo vệ an ninh bảo mật hệ thống: a Giới hạn quyền hạn tối thiểu (Last Privilege): Đây chiến lược theo nguyên tắc đối tượng có quyền hạn định tài nguyên mạng, thâm nhập vào mạng đối tượng sử dụng số tài nguyên định b Bảo vệ theo chiều sâu (Defence In Depth): Nguyên tắc nhắc nhở : Khơng nên dựa vào chế độ an tồn chúng mạnh, mà nên tạo nhiều chế an toàn để tương hỗ lẫn c Nút thắt (Choke Point): Tạo “cửa khẩu” hẹp, cho phép thông tin vào hệ thống đường “cửa khẩu” => phải tổ chức cấu kiểm sốt điều khiển thơng tin qua cửa d Điểm nối yếu (Weakest Link): Chiến lược dựa nguyên tắc: “ Một dây xích mắt nhất, tường cứng điểm yếu nhất” Kẻ phá hoại thường tìm chỗ yếu hệ thống để cơng, ta cần phải gia cố yếu điểm hệ thống Thông thường quan tâm đến kẻ công mạng kẻ tiếp cận hệ thống, an tồn vật lý coi yếu điểm hệ thống e Tính tồn cục: Các hệ thống an tồn địi hỏi phải có tính tồn cục hệ thống cục Nếu có kẻ bẻ gãy chế an tồn chúng thành công cách công hệ thống tự sau cơng hệ thống từ nội bên AN NINH BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: f Tính đa dạng bảo vệ: Cần phải sử dụng nhiều biện pháp bảo vệ khác cho hệ thống khác nhau, kẻ cơng vào hệ thống chúng dễ dàng công vào hệ thống khác 2.2 Các mức bảo vệ mạng: Vì khơng thể có giải pháp an tồn tuyệt đối nên người ta thường phải sử dụng đồng thời nhiều mức bảo vệ khác tạo thành nhiều hàng rào chắn hoạt động xâm phạm Việc bảo vệ thông tin mạng chủ yếu bảo vệ thông tin cất giữ máy tính, đặc biệt server mạng Bởi số biện pháp nhằm chống thất thơng tin đường truyền cố gắng tập trung vào việc xây dựng mức rào chắn từ vào cho hệ thống kết nối vào mạng Thông thường bao gồm mức bảo vệ sau: a Quyền truy nhập: Lớp bảo vệ quyền truy nhập nhằm kiểm soát tài nguyên mạng quyền hạn tài nguyên Dĩ nhiên kiểm sốt cấu trúc liệu chi tiết tốt Hiện việc kiểm soát thường mức tệp b Đăng ký tên /mật khẩu: Thực kiểm soát quyền truy nhập, truy nhập mức thông tin mà mức hệ thống Đây phương pháp bảo vệ phổ biến đơn giản phí tổn hiệu Mỗi người sử dụng muốn tham gia vào mạng để sử dụng tài nguyên phải có đăng ký tên mật trước Người quản trị mạng có trách nhiệm quản lý, kiểm soát hoạt động mạng xác định quyền truy nhập người sử dụng khác theo thời gian không gian (nghĩa người sử dụng truy nhập khoảng thời gian vị trí định đó) AN NINH BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: Về lý thuyết người giữ kín mật tên đăng ký không xảy truy nhập trái phép Song điều khó đảm bảo thực tế nhiều nguyên nhân đời thường làm giảm hiệu lớp bảo vệ Có thể khắc phục cách người quản mạng chịu trách nhiệm đặt mật thay đổi mật theo thời gian c Mã hoá liệu: Để bảo mật thông tin đường truyền người ta sử dụng phương pháp mã hoá Dữ liệu bị biến đổi từ dạng nhận thức sang dạng khơng nhận thức theo thuật tốn biến đổi ngược lại trạm nhận (giải mã) Đây lớp bảo vệ thông tin quan trọng d Tường lửa: Ngăn chặn thâm nhập trái phép lọc bỏ gói tin khơng muốn gửi nhận lý để bảo vệ máy tính mạng nội (intranet) AN NINH BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: e Bảo vệ vật lý: Ngăn cản truy nhập vật lý vào hệ thống Thường dùng biện pháp truyền thống ngăn cấm tuyệt đối người khơng phận vào phịng đặt máy mạng, dùng ổ khố máy tính máy trạm khơng có ổ mềm f Quản trị mạng: Trong thời đại phát triển cơng nghệ thơng tin, mạng máy tính định toàn hoạt động quan, hay cơng ty xí nghiệp Vì việc bảo đảm cho hệ thống mạng máy tính hoạt động cách an tồn, khơng xảy cố cơng việc cấp thiết hàng đầu Công tác quản trị mạng máy tính phải thực cách khoa học đảm bảo yêu cầu sau : - Toàn hệ thống hoạt động bình thường làm việc - Có hệ thống dự phịng có cố phần cứng phần mềm xảy - Backup liệu quan trọng theo định kỳ - Bảo dưỡng mạng theo định kỳ - Bảo mật liệu, phân quyền truy cập, tổ chức nhóm làm việc mạng 2.3 An tồn bảo mật thơng tin mật mã: Mật mã ngành khoa học chuyên nghiên cứu phương pháp truyền tin bí mật Mật mã bao gồm : Lập mã phá mã Lập mã bao gồm hai q trình: mã hóa giải mã Để bảo vệ thông tin đường truyền người ta thường biến đổi từ dạng nhận thức sang dạng không nhận thức trước truyền mạng, q trình gọi mã hố thơng tin (encryption), trạm nhận phải thực trình ngược lại, tức biến đổi thông tin từ dạng không nhận thức (dữ liệu mã hoá) dạng nhận thức (dạng gốc), trình gọi giải mã Đây lớp bảo AN NINH BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: vệ thông tin quan trọng sử dụng rộng rãi môi trường mạng Để bảo vệ thông tin mật mã người ta thường tiếp cận theo hai hướng: - Theo đường truyền (Link_Oriented_Security) - Từ nút đến nút (End_to_End) Theo cách thứ thông tin mã hoá để bảo vệ đường truyền hai nút mà khơng quan tâm đến nguồn đích thơng tin Ở ta lưu ý thơng tin bảo vệ đường truyền, tức nút có q trình giải mã sau mã hố để truyền tiếp, nút cần phải bảo vệ tốt Ngược lại theo cách thứ hai thông tin mạng bảo vệ tồn đường truyền từ nguồn đến đích Thơng tin mã hoá sau tạo giải mã đến đích Cách mắc phải nhược điểm là: có liệu người dùng mã hóa cịn liệu điều khiển giữ ngun để xử lý nút 2.4 Vai trò hệ mật mã: Các hệ mật mã phải thực vai trò sau: - Hệ mật mã phải che dấu nội dung văn rõ (PlainText) để đảm bảo cho người chủ hợp pháp thơng tin có quyền truy cập thơng tin (Secrety), hay nói cách khác chống truy nhập khơng quyền hạn - Tạo yếu tố xác thực thông tin, đảm bảo thông tin lưu hành hệ thống đến người nhận hợp pháp xác thực (Authenticity) - Tổ chức sơ đồ chữ ký điện tử, đảm bảo khơng có tượng giả mạo, mạo danh để gửi thông tin mạng Ưu điểm lớn hệ mật mã đánh giá độ phức tạp tính tốn mà “kẻ địch” phải giải tốn để lấy thông tin liệu mã hoá AN NINH BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: Tuy nhiên hệ mật mã có số ưu nhược điểm khác nhau, nhờ đánh giá độ phức tạp tính tốn mà ta áp dụng thuật toán mã hoá khác cho ứng dụng cụ thể tuỳ theo dộ yêu cầu độ an toàn Các thành phần hệ mật mã : Định nghĩa: Một hệ mật (P,C,K,E,D) thoả mãn điều kiện sau: - P tập hợp hữu hạn rõ (PlainText), gọi khơng gian rõ - C tập hữu hạn mã (Crypto), cịn gọi khơng gian mã Mỗi phần tử C nhận cách áp dụng phép mã hoá Ek lên phần tử P, với k ∈ K - K tập hữu hạn khố hay cịn gọi khơng gian khố Đối với phần tử k K gọi khoá (Key) Số lượng khơng gian khố phải đủ lớn để “kẻ địch”: khơng có đủ thời gian để thử khố (phương pháp vét cạn) - Đối với k ∈ K có quy tắc mã eK: P → C quy tắc giải mã tương ứng dK ∈ D Mỗi eK: P → C dK: C → P hàm mà: dK (eK(x))=x với rõ x ∈ P AN NINH BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: CHƯƠNG BIỆN PHÁP & KIẾN NGHỊ A BIỆN PHÁP Để tăng cường đảm bảo an ninh thông tin Internet, hạn chế hậu xấu xảy trang thơng tin điện tử quan nhà nước, tổ chức doanh nghiệp toàn quốc, Bộ trưởng Bộ Bưu chính, Viễn thơng u cầu quan, tổ chức doanh nghiệp: Nghiêm chỉnh chấp hành pháp luật bưu chính, viễn thơng Internet, Luật công nghệ thông tin, Luật giao dịch điện tử; có trách nhiệm đảm bảo an ninh thơng tin hoạt động Internet; thực yêu cầu đảm bảo an ninh thơng tin Bộ Bưu Viễn thông, Bộ Công an quan nhà nước có thẩm quyền theo quy định pháp luật Các quan, tổ chức tham gia hoạt động mạng Internet phải: Rà soát, kiểm tra, đánh giá hệ thống thiết bị phục vụ việc lưu trữ, cung cấp truyền tải thông tin;đánh giá trạng hệ thống bảo vệ biện pháp đảm bảo an ninh thông tin Ưu tiên sử dụng kết nối nước, tên miền “.vn” để đảm bảo an tồn cho trang thơng tin điện tử Xây dựng quy trình quy chế đảm bảo an ninh thơng tin cho hệ thống thông tin, tham khảo chuẩn quản lý an toàn TCVN 7652, ISO 27001 Đảm bảo khả truy vết khôi phục thông tin trường hợp có cố Thường xuyên phối hợp với quan hữu quan tổ chức cung cấp dịch vụ an toàn mạng cập nhật biện pháp đảm bảo an ninh thông tin Các doanh nghiệp viễn thông internet tăng cường kiểm tra, giám sát chặt chẽ trang thiết bị thuộc quyền quản lý; không lợi dụng để người khác lợi dụng gây trật tự an toàn xã hội; hệ thống thiết bị, phần mềm đưa vào sử dụng mạng Internet tuân thủ theo quy định mục 2b AN NINH BẢO MẬT 10 GV: Tiêu Phương Quỳnh Nhóm: Các doanh nghiệp cung cấp dịch vụ giá trị gia tăng Internet (hosting, mail, FTP…) phải có biện pháp đảm bảo an ninh thông tin Các đơn vị, cá nhân cần thông báo cố nguy an tồn thơng tin sở Bưu Viễn thơng địa phương Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) trực thuộc Bộ Bưu Viễn thông Các tổ chức, doanh nghiệp tham gia hoạt động mạng Internet cung cấp dịch vụ an toàn an ninh mạng phải nghiêm túc thực điều phối Trung tâm VNCERT hoạt động ứng cứu cố mạng Internet Việt Nam, hợp tác với Trung tâm VNCERT việc kiểm tra đánh giá lực đảm bảo an toàn mạng đơn vị có dấu hiệu hay nguy an toàn mạng Các đơn vị trực thuộc Bộ Bộ Bưu Viễn thơng theo chức nhiệm vụ có trách nhiệm cử cán có lực phối hợp với VNCERT việc đấu tranh phòng chống công mạng; tiến hành huấn luyện nghiệp vụ, đào tạo cập nhật an ninh thông tin cho quan, tổ chức cá nhân có nhu cầu Trung tâm VNCERT nhanh chóng triển khai hệ thống thu thập thông tin tư vấnqua mạng Internet; chủ trì phối hợp với quan liên quan xây dựng triển khai kế hoạch đào tạo bồi dưỡng nghiệp vụ an tồn thơng tin đáp ứng nhu cầuthực tiễn quan, tổ chức doanh nghiệp; tăng cường công tác tuyênt ruyền nâng cao nhận thức cộng đồng trách nhiệm đảm bảo an ninh thông tin hoạt động viễn thông Internet Trung tâm Internet Việt Nam (VNNIC) có trách nhiệm tăng cường quản lý tên miềnquốc gia “.vn”, địa IP theo quy định; tăng cường bảo đảm an toàn an ninh cho hệ thống máy chủ tên miền quốc gia; phối hợp với đơn vị chức cung cấp thông tin tên miền địa theo u cầu 10 Các Sở Bưu Viễn thơng tăng cường công tác quản lý nhà nước đảm bảo an ninh thông tin hoạt động Internet theo thẩm quyền giao; hướng dẫn doanh nghiệp viễn thông internet, đại lý internet địa bàn thực nghiêm AN NINH BẢO MẬT 11 GV: Tiêu Phương Quỳnh Nhóm: chỉnh quy định pháp luật Bưu Viễn thơng internet; đẩy mạnh cơng tác tra, kiểm tra xử lý kịp thời, kiên vi phạm an ninh thông tin; kiện toàn tổ chức,nâng cao lực cán đáp ứng yêu cầu thực Thủ trưởng quan, đơn vịtrực thuộc Bộ, Sở Bưu Viễn thơng, quan, tổ chức tham gia hoạt động mạng Internet có trách nhiệm tổ chức, triển khai thực Chỉ thị gửi báo cáo kết thực Bộ Bưu chính, Viễn thơng (Trung tâm VNCERT) vào cuối Q I/2007; q trình thực hiện, có vướng mắc phát sinh, báo cáo Bộ Bưu chính, Viễn thông xem xét giải Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam có trách nhiệm kiểm tra, đôn đốc việc thực Chỉ thị báo cáo Bộ trưởng AN NINH BẢO MẬT 12 GV: Tiêu Phương Quỳnh Nhóm: B KIẾN NGHỊ Bảo mật ln vấn đề cần quan tâm Những lưu ý bảo mật sau nhắc nhở bạn cảnh giác, giúp liệu an toàn Những email quảng bá thuốc "tăng lực cho q ơng" hay hình ảnh "nóng" củacác siêu người mẫu thường làm người dùng cảnh giác Hãy lưu ý qui tắc sau để liệu ln an tồn trước virus, spyware, malware, trojan - Đừng tải tập tin đính kèm email trước bạn cập nhật chương trình chống virus quét tập tin trước thực thi chúng Tin tặc thường dùng thiệp điện tử hay tập tin giả mạo đính kèm email - Đừng mở email gửi từ địa không xác định, chưa rõ nguồn gốc Spammer sẵn sàng phát tán liên tục hàng triệu email đến hộp thư toàn cầu, nên tốt ngăn chặn email sớm tốt cách đánh dấu chọn "Spam" để máy chủ email hay dịch vụ webmail nhận biết chúng - Đừng nhấn vào liên kết bên email trừ bạn chúng thật an toàn Những kẻ lừa đảo (phisher) tin tặc hay dùng liên kết giả mạo email để dẫn dụ người dùng đến trang web có chứa malware Khi tải trang web này, chúng thường yêu cầu nhập thông tin tài khoản, thơng tin cá nhân thẻ tín dụng - Đừng nên tải tập tin từ website không đáng tin cậy Theo số liệu thống kê gần số website bị nhiễm hay có chứa mã độc Do đó, mạnh dạn tìm nguồn tải khác đáng tin cậy cảm thấy trang web có nhiều điều đáng nghi ngờ - Dành cho người dùng trình tin nhắn, tán gẫu (IM): Đừng nhấn vào liên kết hay nhận tập tin gửi từ người lạ Sẽ cách thức với việc gửi liên kết giả mạo email, tin tặc đánh lừa vào trang web tái tạo để đánh cắp thông tin người dùng AN NINH BẢO MẬT 13 GV: Tiêu Phương Quỳnh Nhóm: Cần cảnh giác người danh sách liên hệ bạn, máy tính họ nhiễm virus thực việc tự động gửi liên k ết giả mạo đến tất địa liên hệ - Những thành viên mạng xã hội cần phải cảnh giác tạo mối quan hệ với thành viên Đừng nhận tập tin hay nhấn vào liên kết từ người lạ Khơng khó khăn để tin tặc khai thác lỗi bảo mật chưa cập nhật kịp thời máy tính bạn Các mạng xã hội lớn MySpace, Facebook mục tiêu béo bở tin tặc - Khi mua sắm trực tuyến vào dịp lễ, nên mua website có uy tín nhiều năm Đừng tị mị hay bị quyến rũ hàng trị giá cao bán giá rẻ từ website lạ "Mật chết ruồi", bạn nên lưu ý điều - Điều cuối điều đáng lưu tâm luôn cập nhật sở liệu chương trình chống virus hay chương trình bảo mật khác để chúng đương đầu với nguy bảo mật AN NINH BẢO MẬT 14 ... BẢO MẬT GV: Tiêu Phương Quỳnh Nhóm: Một thực tế khơng có biện pháp bảo vệ an tồn thơng tin liệu an toàn tuyệt đối Một hệ thống dù bảo vệ chắn đến đâu đảm bảo an toàn tuyệt đối Các yêu cầu an tồn... cung cấp truyền tải thông tin; đánh giá trạng hệ thống bảo vệ biện pháp đảm bảo an ninh thông tin Ưu tiên sử dụng kết nối nước, tên miền “.vn” để đảm bảo an tồn cho trang thơng tin điện tử Xây dựng... Quỳnh Nhóm: CHƯƠNG BIỆN PHÁP & KIẾN NGHỊ A BIỆN PHÁP Để tăng cường đảm bảo an ninh thông tin Internet, hạn chế hậu xấu xảy trang thông tin điện tử quan nhà nước, tổ chức doanh nghiệp tồn quốc,