An toàn Hệ thống Thông tin

An toàn Hệ thống Thông tin Trần Đức Khánh Bộ môn HTTT – Viện CNTT&TT ĐH BKHN Thông tin chung † Tên học phần: An toàn Hệ thống Thông tin † Thời lượng: 12 buổi (x tiết) † Thời khóa biểu: sáng Thứ năm, tiết cuối † Giảng viên „ Trần Đức Khánh „ Bộ môn HTTT, Khoa CNTT, P 325, nhà C1 „ khanhtd@it-hut.edu.vn Tài liệu tham khảo † Introduction to Computer Security Security Matt Bishop † Security in Computing, Fourth Edition Charles P Pfleeger,Shari Lawrence Pfleeger † Handbook of Applied Cryptography A Menezes, A Menezes P P van Oorschot and S S Vanstone † Chuyên đề An toàn & Bảo mật Nguyễn Khánh Văn † Các Bài giảng An toàn Máy tính ĐH Berkerley, MIT, ĐH Edinburgh Mục đích † Nắ Nắm vững ữ vấn ấ đề t an toàn: t mối đe dọa, biện pháp ngăn chặn † Đánh Đá h giá iá độ an toàn t ủ hệ thố thống thông tin † Hướng H đế đến quy tắc ắ xây â dựng d hí h sách an toàn cho hệ thống thông tin Các chủ đề † † † † † Mật mã ã học h An toàn phần mềm An toàn hệ điều hành An toàn sở liệu An toàn mạng, Web Sự cần thiết An toàn HTTT Thiệt hại an toàn HTTT † Thiệt hại thời gian: theo viện SANS, máy tính không bảo vệ “sống sống sót sót” < 20’ internet † Thiệt ệ hại kinh tế: ~ tỷ ỷ USD hàng g năm Vi rút Từ chối dịch vụ ……… ……… [CERT]: Mối nguy [CERT]: Sự cố [CERT]: Quy mô, Tính phức tạp Hỏi/Đáp Những năm Nhữ ă ề trước, t ướ ột số ố tin ti tặc tặ tuyển dụng vào công ty hay tổ chức mà họ phá hoại hoại Gần khuynh hướng giảm rõ rêt Bạn nghĩ thay đổi này? Nó tốt hay xấu? Vì sao? An toàn Mạng † Các mối đe dọa „ Thăm dò „ Nghe trộm „ Mạo danh, danh lừa đảo „ Lỗ hổng trang Web „ Từ chối dịch vụ „ Mã lưu động † Các biện pháp ngăn chặn „ Mã hóa „ Xác Xá thực thự „ Tường lửa „ Phát đột nhập An toàn Mạng † Các mối đe dọa „ Thăm dò „ Nghe trộm „ Mạo danh, danh lừa đảo „ Lỗ hổng trang Web „ Từ chối dịch vụ „ Mã lưu động † Các biện pháp ngăn chặn „ Mã hóa „ Xác Xá thực thự „ Tường lửa „ Phát đột nhập Thăm dò † Quét Q ét cổng ổ (P (Portt Scan) S ) „ Thu thập thông tin đối tượng công † dịch vụ, vụ cổng hoạt động (HTTP:80, (HTTP:80 POP:110, SMTP:25, FTP:21) phiên hệ ệ điều hành † p † phiên ứng dụng „ Tham khảo danh sách lỗ hổng phiên ê ả „ Thực công Nghe trộm † Đường Đườ t truyền ề cáp „ Sử dụng “packet sniffer” „ Lập Lậ trình t ì h lại l i card d † Wireless „ Tín í h hiệu ệ ấ dễ b bị nghe h trộm ộ † Sử dụng ăng ten Mạo danh, lừa đảo † Phỏng đoán thông tin xác thực đối tượng công „ Đoán mật † Nghe trộm thông tin xác thực đối tượng công „ Nghe trộm mật † Tận dụng lỗ hổng chế xác thực „ Tràn đệm † Thông Thô tin ti xác thực thự công ô cộng ộ „ Thiết bị mạng quản lý SNMP † Man-in-the-middle † Phishing Lỗ ỗ hổng ổ trang Web † Bôi xấu ấ (Defacement) (D f t) † Tràn đệm † Dot-Dot-Slash „ / † Gọi phương thức phía máy chủ Từ chối dịch vụ † Tràn kết nối (Connection Flooding) „ Tấn công giao thức TCP, UDP, ICMP † Ping, Smurf, Syn Flood † DNS (Domain Name Server) „ Tận ậ dụng ụ g lỗi Buffer Overflow để thay y đổi thông tin định tuyến † DNS cache poisoning † Từ chối hối dịch dị h vụ phân hâ tán tá (DDoS) (DD S) „ Dùng Zombie đồng loạt công Mã lưu động † Cookie „ Cookie lưu thông tin người dùng (phiên, lâu dài) † Scripts „ Tấn Tấ công ô trang t ASP, ASP JSP, JSP CGI, CGI PHP † ActiveX † Mã Java „ Applet † Auto Exec „ exe, exe doc doc † Bot „ Trojan Horse An toàn Mạng † Các mối đe dọa „ Thăm dò „ Nghe trộm „ Mạo danh, danh lừa đảo „ Lỗ hổng trang Web „ Từ chối dịch vụ „ Mã lưu động † Các biện pháp ngăn chặn „ Mã hóa „ Xác Xá thực thự „ Tường lửa „ Phát đột nhập Mã hóa † Mã hóa liên kết „ Thông tin mã hóa tầng Data Link mô hình OSI † Mã hóa end end-to-end to end „ Thông tin mã hóa tầng Application mô hình OSI † VPN ((Virtual Private Network)) „ Trao đổi thông tin người dùng Firewall thông qua kênh mã hóa † PKI „ Mật mã công khai chứng nhận † Giao thức mật m㠄 SSH,, SSL,, IPSec Xác thực † Mật khẩ ột lầ lần „ Password Token † Hệ Challenge-Response Ch ll R † Xác thực số phân tán † Kerberos Tường lửa † Cô Công cụ để lọc l thông thô tin ti di chuyển h ể “mạng bên trong” “mạng bên ngoài” „ Ví dụ: Mạng LAN Internet † Mục tiêu ngăn chặn nguy đến từ mạng bên † Thực Thự hiệ ngăn ă chặn hặ thô thông qua hí h sách an toàn Tường lửa Các lloạii tường Cá tườ lử lửa † Lọc gói (Packet Filtering Gateways) † Duyệt trạng thái (Stateful Inspection Firewalls) † Cổng ứng dụng (Application Proxies) † Gác (Guards) ( ) † Cá nhân (Personal Firewalls) Phát đột nhập † Kiểm tra người dùng hoạt động hệ thống † Ghi lại cấu hình hệ thống để phát nguy † Đánh Đá h giá iá tính tí h toàn t vẹn ủ hệ thống thố liệu † Phát ệ dạng g công g † Phát hoạt động bất thường thông qua phân tích thống kê † Sửa chữa lỗi cấu hình hệ thống † Cài đặt vận hành hệ thống bẫy đột nhập Phát đột nhập Các lloạii hệ thống Cá thố phát hát hiệ đột nhập hậ † Hệ phát đột nhập dựa mẫu † Hệ phát đột nhập dùng Heuristics † Hệ phát đột nhập hoạt động bí mật † Hệ Tripwire [...]... Kiểm tra người sử dụng + mật khẩu Quét/diệt phần mềm ác tính Giới hạn h n ttruy nhập Phân quyền trong hệ điều hành Tường lửa Hệ thống phát hiện đột nhập Thẻ thông minh mã hóa Khóa … Các chủ đề † † † † † Mật mã ã học h An toàn phần mềm An toàn hệ điều hành An toàn cơ sở dữ liệu An toàn mạng, Web Trộm ôtô bằng máy tính xách tay † 2007 2007, chiếc BMW X5 của David Beckham bị đánh cắp † Kẻ cắp sử dụng máy... quyền q ền admin † Đột nhập thông qua „ Điểm truy nhập không dây (wireless access point) „ Các trang Web „ Email, SMS có chứa các đường dẫn đến các trang ưeb bị chiếm đoạt Nguồn: http://securityevaluators.com/content/case-studies/iphone// Các chủ đề (2) & (3) † An toàn phần mềm „ Các mối đe dọa „ Các biện pháp an toàn † Soát lỗi ỗ † Kiểm định † Lập ập trình an toàn † An toàn hệ điều hành „ Các mối đe... (Cipher): C † Hàm mã hóa (Encryption) „ E: K x M -> C † Hàm giải mã (Decryption) „ D: K x C -> M Hệ Mật mã không khóa Mã hóa Tin Mã Giải mã Tin ban đầu Hệ Mật mã khóa bí mật Khóa ó duy nhất ấ Mã hóa Tin ã Mã Giải mã Tin ban đầu ầ Hệ Mật mã khóa công khai Khóa mã hóa Mã hóa Tin Khóa giải mã ã Mã Giải mã Tin ban đầu ầ ... lit ) Toàn vẹn (Integrity) Xác thực (Authentication) Chống phủ nhận (Non-repudiation) … Chủ đề † Hệ Mật mã ã không khô khóa khó † Hệ Mật mã khóa bí mật (đối xứng) † Hệ Mật mã khóa công khai (bất đối xứng) † Hàm băm, chữ ký số †Q Quản lý ý khóa,, giao g thức mật ậ mã,… , Hệ Mật mã Hệ Mật mã = Bộ 5 (K,M,C,E,D) (K M C E D) † Không gian Khóa (Key): K † Không gian Tin (Message/Plaintext): M † Không gian Mã... Dựa vào Toán học và Tin học „ Được đặt nền móng bởi Shanon Shanon, Diffie và à Hellman „ Khóa bí mật (DES, AES,…), Khóa công khai (RSA, ElGamal, …) Trao đổi ổ thông tin bí mật † Ali Alice và à Bob B b trao t đổi thông thô tin ti bí mật, ật được mã hóa † Eve E và à Ch Charlie li tấn tấ công ô bằng bằ giải iải mã ã Eve Tấn công thụ động Bob Alice Charlie Tấn công chủ động Mục tiêu An toàn † † † † † Bí.. .An toàn Mục tiêu M tiê của ủ an toàn t à là bả bảo vệ ệ “tài sản” tránh khỏi các “mối đe dọa”, sử dụng các “biện biện pháp ngăn chặn chặn” † Tài sản ả nào? à ? † Mối đe dọa nào? † Biện pháp ngăn chặn gì? An toàn HTTT † Tài sản: ả phần hầ cứng, ứ phần hầ mềm, ề dữ liệu † Mối đe đ dọa: d phá há hoại, h i can thiệp, thiệ sửa ử đổi † Biện Biệ pháp há ngăn ă chặn: hặ mã ã hóa, hó kiểm kiể soát thông. .. toàn † Soát lỗi ỗ † Kiểm định † Lập ập trình an toàn † An toàn hệ điều hành „ Các mối đe dọa „ Các Cá biện biệ pháp há an toàn t à † Phân quyền, Điều khiển truy nhập, Sandbox † Trusted computing 500 000 trang Web bị tấn công † 2008 2008, hơn nửa triệu trang Web, Web trong đó có cả các trang của Liên Hợp Quốc bị tấn công † Tấn công dạng “SQL SQL injection” injection † Khai thác lỗ hổng trong SQL Server... dọa nào? An toàn HTTT - Mối đe dọa † † † † † † † † Phần mềm ác tính (Malware) Phishing Pharming Sp m Spam Từ chối dịch vụ (Denial of service) Truy nhập trái phép (Unauthorized access) Giao dịch gian lận (Fraudulent transaction) … An toàn HTTT - Biện pháp † † † † † † † † † † Giao thức mã hóa Kiểm tra người sử dụng + mật khẩu Quét/diệt phần mềm ác tính Giới hạn h n ttruy nhập Phân quyền trong hệ điều... Washington Post Các chủ đề (5) † An A toàn t à mạng, Web W b „ „ „ „ „ Các mối đe dọa Tấ công Tấn ô từ chối hối dịch dị h vụ Spam Phần mềm ác tính Các công cụ bảo vệ Mật mã & Ứng dụng Trần Đức Khánh Bộ môn HTTT – Viện CNTT&TT ĐH BKHN Mật mã học † Mật mã học (Cryptology) „ Mật mã (Cryptography) „ Mã thám (Cryptanalysis) † Mật m㠄 Tăng cường các tính chất Bí mật và Toàn vẹn thông tin: các phép mã hóa „ Xây... trình giải mã Enigma của quân g minh được ợ các sử g gia đánh g giá Đồng là rút gọn 2 năm thời gian thế chiến † Một trong những lực lượng giải mã nổi tiếng ế là à nhóm ó HUT 8 của ủ Anh, do Alain Turing dẫn đầu Các chủ đề (1) † Mật mã ã học h „ „ „ „ „ Hệ Mật mã không khóa Hệ Mật mã ã khóa khó bí mật ật Hệ Mật mã khóa công khai Hàm băm, băm chữ ký số Quản lý khóa, giao thức mật mã,… Tấn công iPhone ... (Message/Plaintext): M † Không gian Mã (Cipher): C † Hàm mã hóa (Encryption) „ E: K x M -> C † Hàm giải mã (Decryption) „ D: K x C -> M Hệ Mật mã không khóa Mã hóa Tin Mã Giải mã Tin ban đầu Hệ Mật mã khóa... ă chặn hặ đ sử dụng máy tính cá nhân bạn? Các biện pháp nhằm ngăn chặn đe dọa nào? An toàn HTTT - Mối đe dọa † † † † † † † † Phần mềm ác tính (Malware) Phishing Pharming Sp m Spam Từ chối dịch... nhập trái phép (Unauthorized access) Giao dịch gian lận (Fraudulent transaction) … An toàn HTTT - Biện pháp † † † † † † † † † † Giao thức mã hóa Kiểm tra người sử dụng + mật Quét/diệt phần mềm