PHIẾU GIAO ĐỀ TÀI KHÓA LUẬN TỐT NGHIỆP

Với nền tảng NGX, CheckPoint cung cấp một kiến trúc bảo mật thống nhất cho một lọat các giải pháp bảo mật: bảo mật cho truy cập Internet, bảo mật mạng nội bộ, bảo mật Web, bảo mật người

PHIẾU GIAO ĐỀ TÀI KHÓA LUẬN TỐT NGHIỆP

1 Mỗi sinh viên phải viết riêng một báo cáo

2 Phiếu này phải dán ở trang đầu tiên của báo cáo

1 Họ và tên sinh viên/ nhòm sinh viên được giao đề tài (sĩ số trong nhóm: 2)

(1) Ngô Hiệp Toàn MSSV: 081652 khóa: 2008-2011

(2) Nguyễn Thị Phương Ngọc MSSV: 081651 khóa: 2008-2011

2 Tên đề tài : Xây dựng Firewall & IPS trên Checkpoint

3 Các dữ liệu ban đầu:

Firewall và IPS là thành phần bảo mật không thể thiếu trong hệ thống mạng máy tính, Checkpoint là sản phẩm firewall hàng đầu được dùng rất nhiều trong các mạng máy tính

mà yêu cầu bảo mật được ưu tiên hàng đầu như ngân hàng

4 Các yêu cầu đặc biệt:

Sinh viên ngành mạng máy tính, có kiến thức bảo mật

5 Kết quả tối thiểu phải có:

1.Trình bày hoạt động Firewall & IPS

2.Đưa ra giải pháp xây dựng Firewall&IPS trường Hoasen

Ngày giao đề tài:…… /………./……… Ngày nộp báo cáo: …/……/……

Họ tên GV hướng dẫn 1: Đinh Ngọc Luyện…….……Chữ ký: ………

Ngày … tháng … năm

Đinh Ngọc Luyện

TRÍCH YẾU

Trong đề án tốt nghiệp về đề tài “Xây dựng Firewall & IPS trên Checkpoint” Tôi đã nghiên cứu về sản phẩm Checkpoint, các tính năng quản lí cũng như bảo mật bằng IPS

(Intrusion Prevention Systems) Khác với phiên bản R65, phiên bản R70 đã có nhiều

cải tiến trong giao diện cũng như tính năng nhằm cung cấp một môi trường làm việc hiệu quả hơn cho người quản trị hệ thống Triển khai các tính năng tăng cường bảo mật như “User Authentication”,”Client Authentication”,”Session Authentication”, hay

sử dụng một Module xác thực “Radius” chứng thực user Cấu hình các rule để client trong mạng nội bộ có thể truy xuất dữ liệu vùng DMZ và cho phép client truy xuất web, thông qua những chính sách mà người quản trị cấu hình trên giao diện Smart Console Sử dụng một máy Window Server 2003 kết nối trực tiếp vào Firewall dùng

hệ điều hành Linux, mọi dữ liệu cấu hình thay đổi diễn ra tại giao diện Smart Console

sẽ được tự động cập nhật trực tiếp lên Firewall Linux Người quản trị cấu hình các chính sách(rule) nhằm hạn chế tầm hoạt động của người dùng mạng nội bộ Sử dụng triệt để chức năng Chechpoint cung cấp:“IPS”, thay vì “SmartDefense” ở R65, thiết lập phát hiện và ngăn chặn những phương thức tấn công mạng như HPING, DDoS, LAND Attack v.v

Theo dõi trạng thái cũng như những diến biến xảy ra trên Firewall thông qua giao diện SmartView Tracker, và SmartView Monitor Để phát hiện kịp thời những truy nhập trái phép hay diễn biến bất thường thông qua tần suất truy nhập đến server

MỤC LỤC

TRÍCH YẾU II

NHẬN XÉT CỦA GIẢNG VIÊN HƯỚNG DẪN 5

NHẬP ĐỀ 6

GIỚI THIỆU TỔNG QUAN 7

LỜI CẢM ƠN 8

CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT 9

1.1 Định nghĩa bảo mật mạng 9

1.1.1 Các yếu tố cần quan tâm khi phân tích bảo mật mạng 10

1.1.2 Các yếu tố cần được bảo vệ 11

1.2 Các kiểu tấn công mạng 11

1.2.1 Thăm dò(reconnaissance) 11

1.2.2 Đánh cắp thống tin bằng Packet Sniffers 11

1.2.3 Đánh lừa (IP spoofing) 12

1.2.4 Tấn công từ chối dịch vụ (Denial of services) 13

1.2.5 Tấn công trực tiếp password 13

1.2.6 Thám thính(agent) 13

1.2.7 Tấn công vào yếu tố con người: 13

1.2.8 Các phương thức tấn công D.O.S thông thường 14

1.2.9 Phương thức tấn công bằng Mail Relay 16

1.2.10 Phương thức tấn công hệ thống DNS 16

1.2.11 Phương thức tấn công Man-in-the-middle attack 17

1.2.12 Phương thức tấn công Trust exploitation 17

1.2.13 Phương thức tấn công Port redirection 17

1.2.14 Phương thức tấn công lớp ứng dụng 18

1.2.15 Phương thức tấn Virus và Trojan Horse 18

1.3 Các mức độ bảo mật 19

1.3.1 Quyền truy nhập: 19

1.3.2 Đăng nhập/Mật khẩu(login/password) 19

1.3.3 Mã hóa dữ liệu(Data encryption) 19

1.3.5 Bức tường lửa (firewall) 20

1.4 Các biện pháp bảo vệ an toàn hệ thống 20

1.4.1 Quyền hạn tối thiểu (Least Privilege) 20

1.4.2 Bảo vệ theo chiều sâu (Defense in Depth) 20

1.4.3 Nút thắt (choke point) 21

1.4.4 Điểm xung yếu nhất (Weakest point) 21

1.4.5 Hỏng trong an toàn (Fail–Safe Stance) 21

1.4.6 Sự tham gia toàn cầu 22

1.4.7 Kết hợp nhiều biện pháp bảo vệ 22

1.4.8 Đơn giản hóa 22

1.5 Các chính sách bảo mật 22

1.5.1 Kế hoạch bảo mật mạng 23

1.5.2 Chính sách bảo mật nội bộ 23

1.5.3 Phương thức thiết kế 24

1.6 Thiết kế chính sách bảo mật mạng 24

1.6.1 Phân tích nguy cơ mất an ninh 24

1.6.2 Xác định tài nguyên cần bảo vệ 24

1.6.3 Xác định các mối đe dọa bảo mật mạng 25

1.6.4 Xác định trách nhiệm người sử dụng mạng 26

1.6.5 Kế hoạch hành động khi chính sách bị vi phạm 27

1.6.6 Xác định các lỗi an ninh 28

1.7 Secure Sockets Layer (SSL) 29

1.7.1 Mở đầu 29

1.7.2 Nhiệm vụ và cấu trúc của SSL 30

1.7.3 Phiên SSL và kết nối SSL 32

1.7.4 SSL Record Protocol 33

1.7.5 Alert Protocol 35

1.7.6 Change CipherSpec Protocol 35

1.7.7 Handshake Protocol 36

CHƯƠNG 2 : CHECKPOINT 37

2.1 Tổng quan về Checkpoint 37

2.2 Access Control của Checkpoint Firewall 38

2.3 Các thành phần của Rule 38

2.4 Công dụng đặc biệt của Access Control 39

2.5 Authentication 39

2.5.1 Vai trò của User Authentication 39

2.5.2 Tổng quan về User Authentication của Check Point Firewall 39

2.5.3 Các phương thức xác thực của Check Point Firewall 40

2.5.4 Các cơ chế xác thực sử dụng trên Firewall Check Point 40

2.5.4.1 VPN-1 & Firewall-1 Password 41

2.5.4.2 Operating System Password (OS Password) 42

2.5.4.3 RADIUS 43

2.5.4.4 TACACS 45

2.5.4.5 S/Key 45

2.5.4.6 SecurID 47

CHƯƠNG 3 : FIREWALL 48

3.1 Công nghệ FIREWALL 48

a Giải pháp Firewall của Checkpoint 51

3.1.1 Smart Console : Bao gồm nhiều client nhỏ để quản lý các thành phần của NGX Các client của Smart Console bao gồm: 53

3.1.2 Smart Center Server 54

3.1.3 Security Gateway 55

3.2 Firewall Inspect Engine 55

3.3 SVN FOUNDATION 56

3.3.1 Secure Internal Communication 56

3.4 SIC BETWEEN SMART CENTER SERVER AND CLIENTS 59

CHƯƠNG 4 : IPS 60

4.1 Hệ thống ngăn chăn xâm nhập(IPS): 60

4.1.1 Khái niệm IPS 60

4.1.2 Chức năng của IPS 61

4.2 Phân loại IPS 65

4.2.1 NIPS 65

4.2.1a Các khả năng của hệ thống xâm nhập mạng cơ sở 67

4.2.1b Các thành phần của hệ thống ngăn chặn xâm nhập mạng cơ sở NIPS 69

4.2.2 HIPS 69

4.2.2a Các khả năng của hệ thống ngăn chặn xâm nhập từ máy chủ(HIPS) 71

4.2.2b Các thành phần của HIPS: 72

4.2.2.1 Gói phần mềm để cài đặt tại điểm cuối 73

4.2.2.2 Hạ tầng quản lý để quản lý các agents này 74

1 Trung tâm quản lý: 74

2 Giao diện quản lý: 75

4.3 Công nghệ ngăn chặn xâm nhập IPS 78

4.3.1 Signature - Based IPS (Nhận diện dấu hiệu) 78

4.3.2 Anomaly-Based IPS (Nhận diện bất thường) 81

4.3.3 Policy-Based IPS 83

4.3.4 Protocol Analysis-Based IPS 83

PHẦN 5: GIẢI PHÁP CHO TRƯỜNG ĐẠI HỌC HOA SEN 84 PHẦN 6: TÀI LIỆU THAM KHẢO 89

NHẬN XÉT CỦA GIẢNG VIÊN HƯỚNG DẪN

NHẬP ĐỀ

Xã hội phát triển kéo theo sự tiến bộ của khoa học kĩ thuật Những chiếc máy tính thông minh dần chiếm vai trò rất quan trọng trong cuộc sống ngày nay Bất kỳ lĩnh vực nào cũng cần đến máy tính, một thiết bị xử lý và hơn thế nữa là không thể thiếu Cùng với sự

ra đời và phát triển của máy tính và mạng máy tính là vấn đề bảo mật thông tin, ngăn chặn sự xâm nhập và đánh cắp thông tin qua mạng, thông tin cá nhân trực tiếp và gián tiếp Phát hiện và ngăn chặn sự tấn công của các Hacker nhằm đánh cắp dữ liệu và phá hoại tư liệu quan trọng là rất cần thiết

Thông qua đề án : “Xây dựng Firewall & IPS trên Checkpoint “ Chúng tôi giới thiệu tổng quan về xu hướng quản trị và bảo mật mạng hiện nay, cùng với nội dung tổng quan

về Checkpoint, Firewall, IPS bằng các bước cấu hình và triển khai mô hình mạng Giải pháp an toàn chúng tôi giới thiệu đến trong đề tài này là một sản phẩm của Checkpoint dựa trên nền tảng NGX, NGX là một cấu trúc cung cấp tính năng bảo mật cho end-to- end network, giúp cho doanh nghiệp bảo vệ các luồng traffic trong intranet, extranet… Ngoài ra còn làm cho network của enterprice được bảo mật và được quản lý bằng một

Security Policy đơn cho toàn network

GIỚI THIỆU TỔNG QUAN

CheckPoint là một trong những nhà cung cấp hàng đầu về các sản phẩm bảo mật Internet Đặc biệt là các dòng sản phẩm firewall cho các doanh nghiệp, cá nhân và các công nghệ mạng riêng ảo VPN Với nền tảng NGX, CheckPoint cung cấp một kiến trúc bảo mật thống nhất cho một lọat các giải pháp bảo mật: bảo mật cho truy cập Internet, bảo mật mạng nội bộ, bảo mật Web, bảo mật người dùng nhằm bảo vệ các tài nguyên thông tin, quá trình truyền thông, các ứng dụng của doanh nghiệp

Thuật ngữ Firewall có nguồn gốc từ một kỹ thuật thiết kế trong xây dựng để ngăn chặn, hạn chế hoả hoạn Trong công nghệ mạng thông tin, Firewall là một kỹ thuật được tích hợp vào hệ thống mạng để chống sự truy cập trái phép, nhằm bảo vệ các nguồn thông tin nội bộ và hạn chế sự xâm nhập không mong muốn vào hệ thống Cũng có thể hiểu Firewall là một cơ chế (mechanism) để bảo vệ mạng tin tưởng (Trusted network) khỏi các mạng không tin tưởng (Untrusted network)

Hệ thống IPS (intrusion prevention system) là một kỹ thuật an ninh mới, kết hợp các

ưu điểm của kỹ thuật firewall với hệ thống phát hiện xâm nhập IDS (intrusion detection system), có khả năng phát hiện sự xâm nhập, các cuộc tấn công và tự động ngăn chặn các cuộc tấn công đó IPS không dơn giản chỉ dò các cuộc tấn công, chúng có khả năng ngăn chặn các cuộc hoặc cản trở các cuộc tấn công đó Chúng cho phép tổ chức ưu tiên, thực hiện các bước để ngăn chặn lại sự xâm nhập Phần lớn hệ thống IPS được đặt ở vành đai mạng, dủ khả năng bảo vệ tất cả các thiết bị trong mạng

LỜI CẢM ƠN

Chúng tôi xin cảm ơn Thầy Đinh Ngọc Luyện đã hướng dẫn chúng tôi trong suốt quá trình thực hiện đề án: “Xây dựng Firewall & IPS trên Checkpoint” Đề án trình bày những vấn đề tổng quan về bảo mật mạng, firewall, giới thiệu IPS - Hai hệ thống bảo vệ mạng hiệu quả hiện nay

CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT

Khi nguyên cứu một hệ thống mạng chúng ta cần phải kiểm soát vấn đề bảo mật mạng ở các cấp độ sau:

 Mức mạng: Ngăn chặn kẻ xâm nhập bất hợp pháp vào hệ thống mạng

 Mức server: Kiểm soát quyền truy cập, các cơ chế bảo mật, quá trình nhận dạng người dùng, phân quyền truy cập, cho phép các tác vụ

 Mức cơ sở dữ liệu: Kiểm soát ai? được quyền như thế nào? với mỗi cơ sở dữ liệu

 Mức trường thông tin: Trong mỗi cơ sở dữ liệu kiểm soát được mỗi trường dữ liệu chứa thông tin khác nhau sẽ cho phép các đối tượng khác nhau có quyền truy cập khác nhau

 Mức mật mã: Mã hoá toàn bộ file dữ liệu theo một phương pháp nào đó và chỉ cho phép người có “ chìa khoá” mới có thể sử dụng được file dữ liệu

Theo quan điểm hệ thống, một xí nghiệp (đơn vị kinh tế cơ sở) được thiết lập từ ba

Hình 3.1 Sơ đồ mạng thông dụng hiện nay

1.1.1 Các yếu tố cần quan tâm khi phân tích bảo mật mạng

+ Vấn đề con người: Trong bảo mật mạng yếu tố con người cũng rất quan trọng Khi nghiên cứu đến vấn đề bảo mật mạng cần quan tâm xem ai tham gia vào hệ thống mạng,

họ có tránh nhiệm như thế nào Ở mức độ vật lý khi một người không có thẩm quyền vào phòng máy họ có thể thực hiện một số hành vi phá hoại ở mức độ vật lý

+ Kiến trúc mạng: Kiến trúc mạng cũng là một vấn đề mà chúng ta cần phải quan tâm khi nghiên cứu, phân tích một hệ thống mạng Chúng ta cần nghiên cứu hiện trạng mạng khi xây dựng và nâng cấp mạng đưa ra các kiểu kiến trúc mạng phù hợp với hiện trạng và cơ sở hạ tầng ở nơi mình đang định xây dựng…

+ Phần cứng & phần mềm: Mạng được thiết kế như thế nào Nó bao gồm những phần cứng và phần mềm nào và tác dụng của chúng Xây dựng một hệ thống phần cứng

và phần mềm phù hợp với hệ thống mạng cũng là vấn đề cần quan tâm khi xây dựng hệ

thống mạng Xem xét tính tương thích của phần cứng và phần mềm với hệ thống và tính tương thích giữu chúng

1.1.2 Các yếu tố cần được bảo vệ

+ Bảo vệ dữ liệu (tính bảo mật, tính toàn vẹn và tính kịp thời)

+ Bảo vệ tài nguyên sử dụng trên mạng để tránh sử dụng tài nguyên này vào mục đính tấn công của kẻ khác

+ Bảo vệ danh tiếng

1.2 Các kiểu tấn công mạng

Cùng với sự phát triển nhanh chóng của mạng thì nó cũng để lại nhiều lỗ hổng để hacker có thể tấn công Các thủ đoạn tấn công ngày càng trở nên tinh vi hơn Các phương pháp tấn công thường gặp:

1.2.1 Thăm dò(reconnaissance)

Đó chính là hình thức hacker gửi vài thông tin truy vấn về địa chỉ IP hoặc domain name bằng hình thức này hacker có thể lấy được thông tin về địa chỉ IP và domain name

từ đó thực hiện các biện pháp tấn công khác…

Thăm dò mạng là tất cả các hoạt động nhằm mục đích lấy các thông tin về mạng khi một hacker cố gắng chọc thủng một mạng, thường thì họ phải thu thập được thông tin về mạng càng nhiều càng tốt trước khi tấn công Điều này có thể thực hiện bởi các công cụ như DNS queries, ping sweep, hay port scan

Ta không thể ngăn chặn được hoàn toàn các hoạt độ thăm dò kiểu như vậy Ví dụ ta

có thể tắt đi ICMP echo và echo-reply, khi đó có thể chăn được ping sweep, nhưng lại khó cho ta khi mạng có sự cố, cần phải chẩn đoan lỗi do đâu

NIDS và HIDS giúp nhắc nhở (notify) khi có các hoạt động thăm dò xảy ra trong mạng

1.2.2 Đánh cắp thống tin bằng Packet Sniffers

Packet sniffer là phần mềm sử dụng NIC card ở chế độ “promiseous” để bắt tất cả các gói tin trong cùng miền xung đột Nó có thể khai thác thông tin dưới dạng clear Text

Đây là một chương trình ứng dụng bắt giữ được tất cả các các gói lưu chuyển trên mạng (trên một collision domain) Sniffer thường được dùng cho troubleshooting network hoặc

để phân tích traffic Tuy nhiên, do một số ứng dụng gởi dữ liệu qua mạng dưới dạng clear text (telnet, FTP, SMTP, POP3, ) nên sniffer cũng là một công cụ cho hacker để bắt các thông tin nhạy cảm như là username, password, và từ đó có thể truy xuất vào các thành phần khác của mạng

Khả năng thực hiện Packet Sniffers có thể xảy ra từ trong các Segment của mạng nội bộ, các kết nối RAS hoặc phát sinh trong WAN

Ta có thể cấm packet sniffer bằng một số cách như sau:

- Authentication

- Dùng switch thay vì Bridge hay hub: hạn chế được các gói broadcast trong mạng

- Các công cụ Anti-sniffer: công cụ này phát hiện sự có mặt của packet siffer trên mạng

- Mã hóa: Tất cả các thông tin lưu chuyển trên mạng đều được mã hóa Khi

đó, nếu hacker dùng packet sniffer thì chỉ bắt được các gói dữ liệu đã được mã hóa Cisco dùng giao thức IPSec để mã hoá dữ liệu

1.2.3 Đánh lừa (IP spoofing)

Kỹ thuật này được sử dụng khi hacker giả mạo địa chỉ IP tin cậy trong mạng nhằm thực hiện việc chèn thông tin bất hợp pháp vào trong phiên làm việc hoặc thay đổi bản tin định tuyến để thu nhận các gói tin cần thiết

interface mà các packet phải đi qua cho biết IP tương ứng với cổng của nó

chính xác của nó sẽ là gì ? Nó sẽ khẳng định rõ gói tin này mang IP là internal network này

thật sự xuất phát từ internal network Nó cũng thẩm định cho ta biết khi packet này được route thì nó sẽ đi thông qua cổng nào

Các network được định nghĩa đúng theo sơ đồ Anti spoofing sẽ phát huy hiệu quả tốt nhất khi ta cấu hình nó trên các interface của gateway Sau khi kích hoạt tính năng

spoofing xong ta nên tiếp tục cấu hình spoofing tracking trên cổng đó luôn nhằm mục đích giúp cho việc phát hiện xâm nhập và ghi lại file log

• Anti spoofing rule được cấu hình trong phần properties của đối tượng firewall

trong smartdashboard Rule này sẽ được cưỡng ép thực thi trước bất kỳ rule nào được định nghĩa trong phần Security Policy Rule Base

1.2.4 Tấn công từ chối dịch vụ (Denial of services)

Kiểu tấn công này nhằm tắc nghẽn mạng bằng cách hacker gửi các gói tin với tốc độ cao và liên tục tới hệ thống bảo mật nhằm làm tê liện hệ thống chiếm hết băng thông sử dụng

1.2.5 Tấn công trực tiếp password

Đó là kiểu tấn công trực tiếp vào username và password của người sử dụng nhằm ăn cắp tài khoải sử dụng vào mục đích tấn công Hacker dùng phần mềm để tấn công (vị dụ như Dictionary attacks)

Các hacker tấn công password bằng một số phương pháp như: brute-force attack, chương trình Trojan Horse, IP spoofing, và packet sniffer Mặc dù dùng packet sniffer và IP spoofing có thể lấy được user account và password, như hacker lại thường

sử dụng brute- force để lấy user account hơn

Tấn công brute-force được thực hiện bằng cách dùng một chương trình chạy trên mạng,

cố gắng login vào các phần share trên server băng phương pháp “thử và sai” passwork Phương pháp giảm thiểu tấn công password:

- Giới han số lần login sai

1.2.7 Tấn công vào yếu tố con người:

Hacker có thể tấn công vào các lỗ hổng do lỗi nhà quản trị hệ thống hoặc liên lạc với nhà quản trị hệ thống giả mạo là người sủ dụng thay đổi username và password

1.2.8 Các phương thức tấn công D.O.S thông thường

a Phương pháp tấn công:

Tin tặc sẽ điều khiển các máy đã chiếm cứ và từ các máy này điều khiển các máy tính trên mạng dựa vào một vài dịch vụ hoặc các lỗi bảo mật để phát sinh một khối lượng dữ liệu lớn truyền đến hệ thống máy đích làm cạn kiệt tài nguyên và tê liệt dịch vụ các hệ thống là nạn nhân bị tấn công

Hình - Mô hình tổng quát cuộc tấn công D.o.S của Hacker Các phương thức tấn công thường dựa trên việc phát sinh các gói dữ liệu từ hệ thống email , broadcast echo request …

Các công cụ thường dùng của tin tặc:

tấn công

4 TFN 2K UDP, ICMP, SYN, Smurf

b Với giải pháp Cisco Access List thiết lập thêm có thể phân tích và ngăn chặn các cuộc tấn làm Overload trên các Interface như sau:

Explicitly permit flood traffic in access list:

access-list 110 permit icmp any any echo

access-list 110 permit icmp any any echo-reply

View access list "hit counts" to determine flood type:

permit icmp any any echo (2 matches)

permit icmp any any echo-reply (21374 matches)

Log information about flood packets:

access-list 110 permit icmp any any echo

access-list 110 permit icmp any any echo-reply log-input

Anti-Spoofing Packet Filters

Block inbound traffic sourced from your own address space:

access-list 110 deny ip 192.200.0.0 0.0.255.255 any

Block outbound traffic not sourced from your own address space:

access-list 111 permit ip 192.200.0.0 0.0.255.255 any

Block inbound traffic sourced from unroutable IP addresses:

access-list 110 deny ip 10.0.0.0 0.255.255.255 any

access-list 110 deny ip 172.16.0.0 0.15.255.255

any access-list 110 deny ip 192.168.0.0 0.0.255.255

any access-list 110 deny ip 127.0.0.0 0.255.255.255 any access-list

110 deny ip 255.0.0.0 0.255.255.255 any

more

Nếu cấu hình trên Smart Console thì ta thiết lập Rule tương tự các chức năng ta muốn thực hiện, như Allow hay Deny dịch vụ từ đâu đến đâu và các giao thức được định nghĩa trên từng Rule

1.2.9 Phương thức tấn công bằng Mail Relay

Đây là phương pháp phổ biến hiện nay Email server nếu cấu hình không chuẩn hoặc

Username/ password của user sử dụng mail bị lộ Hacker có thể lợi dụng email server để gửi mail gây ngập mạng , phá hoại hệ thống email khác Ngoài ra với hình thức gắn thêm các đoạn script trong mail hacker có thể gây ra các cuộc tấn công Spam cùng lúc với khả năng tấn công gián tiếp đến các máy chủ Database nội bộ hoặc các cuộc tấn công D.o.S vào một mục tiêu nào đó

Phương pháp giảm thiểu :

- Giới hạn dung lương Mail box

- Sử dụng các phương thức chống Relay Spam bằng các công cụ bảo mật cho SMTP server, đặt password cho SMTP

- Sử dụng gateway SMTP riêng

1.2.10 Phương thức tấn công hệ thống DNS

DNS Server là điểm yếu nhất trong toàn bộ các loại máy chủ ứng dụng và cũng là hệ thống quan trọng nhất trong hệ thống máy chủ

- Hạn chế tối đa các dịch vụ khác trên hệ thống máy chủ DNS

- Cài đặt hệ thống IDS Host cho hệ thống DNS

- Luôn cập nhật phiên bản mới có sửa lỗi của hệ thống phần mềm DNS

1.2.11 Phương thức tấn công Man-in-the-middle attack

Dạng tấn công này đòi hỏi hacker phải truy nhập được các gói mạng của mạng Một ví dụ

về tấn công này là một người làm việc tại ISP, có thể bắt được tấc cả các gói mạng của công ty khách hàng cũng như tất cả các gói mạng của các công ty khác thuê Leased line đến ISP đó để ăn cắp thông tin hoặc tiếp tục session truy nhập vào mạng riên của công ty khách hàng Tấn công dạng này được thực hiện nhờ một packet sniffer

Tấn công dạng này có thể hạng chế bằng cách mã hoá dữ liệu được gởi ra Nếu các hacker có bắt được các gói dữ liệu thì là các dữ liệu đã được mã hóa

1.2.12 Phương thức tấn công Trust exploitation

Loại tấn công kiểu này được thực hiện bằng cách tận dụng mối quan hệ tin cậy đối với mạng Một ví dụ cho tấn công kiểu này là bên ngoài firewall có một quan hệ tin cậy với

hệ thống bên trong firewall Khi bên ngoài hệ thống bị xâm hại, các hacker có thể lần theo quan hệ đó để tấn công vào bên trong firewall

Có thể giới hạn các tấn công kiểu này bằng cách tạo ra các mức truy xuất khác nhau vào mạng và quy định chặt chẽ mức truy xuất nào sẽ được truy xuất vào các tài nguyên nào của mạng

1.2.13 Phương thức tấn công Port redirection

Tấn công này là một loại của tấn công trust exploitation, lợi dụng một host đã đã bị đột nhập đi qua firewall Ví dụ, một firewall có 3 inerface, một host ở outside có thể truy nhập được một host trên DMZ, nhưng không thể vào được host ở inside Host ở DMZ có

thể vào được host ở inside, cũng như outside Nếu hacker chọc thủng được host trên DMZ, họ có thể cài phần mềm trêm host của DMZ để bẻ hướng traffic từ host outside đến host inside

Ta ngăn chặn tấn công loại này bằng cách sử dụng HIDS cài trên mỗi server HIDS có thể giúp phát hiện được các chường trình lạ hoạt động trên server đó

1.2.14 Phương thức tấn công lớp ứng dụng

Tấn công lớp ứng dụng được thực hiện bằng nhiều cách khác nhau Một trong những cách thông dụng nhất là tấn công vào các điểm yếu của phân mềm như sendmail, HTTP, hay FTP

Nguyên nhân chủ yếu của các tấn công lớp ứng dụng này là chúng sử dụng những port cho qua bởi firewall Ví dụ các hacker tấn công Web server bằng cách sử dụng TCP port

80, mail server bằng TCP port 25

Một số phương cách để hạn chế tấn công lớp ứng dụng:

- Lưu lại log file, và thường xuên phân tích log file

- Luôn cập nhật các patch cho OS và các ứng dụng

- Dùng IDS, có 2 loại IDS:

đó

có một packet hay một chuỗi packet giống như bị tấn công, nó có thể phát cảnh báo, hay cắt session đó

Các IDS phát hiện các tấn công bằng cách dùng các signature Signature của một tấn công là một profile về loại tấn công đó Khi IDS phát hiện thấy traffic giống như một signature nào đó, nó sẽ phát cảnh báo

1.2.15 Phương thức tấn Virus và Trojan Horse

Các nguy hiểm chính cho các workstation và end user là các tấn công virus và ngựa thành Trojan (Trojan horse) Virus là một phần mềm có hại, được đính kèm vào một chương trình thực thi khác để thực hiện một chức năng phá hại nào đó Trojan horse thì hoạt động khác hơn Một ví dụ về Trojan horse là một phần mềm ứng dụng để chạy một game đơn giản ở máy workstation Trong khi người dùng đang mãi mê chơi game, Trojan horse sẽ gởi một bản copy đến tất cả các user trong address book Khi user khác nhận và chơi trò chơi, thì nó lại tiếp tục làm như vậy, gởi đến tất cả các địa chỉ mail có trong address book của user đó

Có thể dùng các phần mềm chống virus để diệt các virus và Trojan horse và luôn luôn cập nhật chương trình chống virus mới

1.3 Các mức độ bảo mật

Khi phân tích hệ thống bảo mật mạng người ta chia ra làm các mức độ an toàn sau:

Bức tường lửa (Firewall) Bảo vệ vật lý (Physical Protect)

Mã hóa dữ liệu(Data Encryption) Đăng nhập/Mật khẩu (Login/Password) Quyền truy nhập (Access Right) Thông tin (Information)

Hình 3.3 Các mức độ bảo mật mạng

1.3.1 Quyền truy nhập:

Đây là lớp bảo vệ sâu nhất nhằm kiểm soát tài nguyên mạng kiểm soát ở mức độ file và việc xác định quyền hạn của người dùng do nhà quản trị quyết định như: chỉ đọc( only read), chỉ ghi (only write), thực thi(execute)

1.3.2 Đăng nhập/Mật khẩu(login/password)

Đây là lớp bảo vệ mức độ truy nhập thông tin ở mức độ hệ thống Đây là mức độ bảo

vệ được sử dụng phổ biến nhất vì nó đơn giản và ít tốn kém Nhà quản trị cung cấp cho mỗi người dùng một username và password và kiểm soát mọi hoạt động của mạng thông qua hình thức đó Mỗi lần truy nhập mạng người dùng phải đăng nhập nhập username và password hệ thống kiểm tra thấy hợp lệ mới cho đăng nhập

1.3.3 Mã hóa dữ liệu(Data encryption)

Đó là sử dụng các phương pháp mã hoá dữ liệu ở bên phát và thực hiện giải mã ở bên thu bên thu chỉ có thể mã hóa chính xác khi có khoá mã hóa do bên phát cung cấp

1.3.4 Bảo vệ vật lý (Physical protect)

Đây là hình thức ngăn chạn nguy cơ truy nhập vật lý bất hợp pháp vào hệ thống như ngăn cấm tuyệt đối người không phận sự vào phòng đặt máy mạng, dùng ổ khoá máy tính, hoặc cài đặt cơ chế báo động khi có truy nhập vào hệ thống

1.3.5 Bức tường lửa (firewall)

Đây là hình thức ngăn chặn sự xâm nhập bất hợp pháp vào mạng nội bộ thông qua firewall ) Chức năng của tường lửa là ngăn chặn các truy nhập trái phép (theo danh sách truy nhập đã xác định trước) và thậm chí có thể lọc các gói tin mà ta không muốn gửi đi hoặc nhận vào vì một lý do nào đó Phương thức bảo vệ này được dùng nhiều trong môi trường liên mạng Internet

1.4 Các biện pháp bảo vệ an toàn hệ thống

Đối với mỗi hệ thống mạng, không nên cài đặt và chỉ sử dụng một chế độ an toàn cho dù nó có thể rất mạnh, mà nên lắp đặt nhiều cơ chế an toàn khác nhau để chúng có thể hỗ trợ lẫn nhau và có thể đẳm bảo an toàn ở mức độ cao

1.4.1 Quyền hạn tối thiểu (Least Privilege)

Một nguyên tắc cơ bản nhất của an toàn nói chung là trao quyền tối thiểu Có nghĩa là: Bất kỳ một đối tượng nào trên mạng chỉ nên có những quyền hạn nhất định mà đối tượng đó cần phải có để thực hiện các nhiệm vụ của mình và chỉ có những quyền đó mà thôi Như vậy, mọi người sử dụng đều không nhất thiết được trao quyền truy nhập mọi dich vụ Internet, đọc và sửa đổi tất cả các file trong hệ thống… Người quản trị hệ thống không nhất thiết phải biết các mật khẩu root hoặc mật khẩu của mọi người sử dụng …

Nhiều vấn đề an toàn trên mạng Internet bị xem là thất bại khi thực hiện nguyên tắc Quyền hạn tối thiểu Vì vậy, các chương trình đặc quyền phải được đơn giản đến mức có thể và nếu một chương trình phức tạp, ta phải tìm cách chia nhỏ và cô lập từng phần mà

nó yêu cầu quyền hạn

1.4.2 Bảo vệ theo chiều sâu (Defense in Depth)

Đối với mỗi hệ thống, không nên cài đặt và chỉ sử dụng một chế độ an toàn cho dù nó

có thể rất mạnh, mà nên lắp đặt nhiều cơ chế an toàn để chúng có thể hỗ trợ lẫn nhau

1.4.4 Điểm xung yếu nhất (Weakest point)

Một nguyên tắc cơ bản khác của an toàn là: “Một dây xích chỉ chắc chắn khi mắt nối yếu nhất được làm chắc chắn” Khi muốn thâm nhập vào hệ thống của chúng ta, kẻ đột nhập thường tìm điểm yếu nhất để tấn công vào đó Do vậy, với từng hệ thống, cần phải biết điểm yếu nhất để có phương án bảo vệ

1.4.5 Hỏng trong an toàn (Fail–Safe Stance)

Nếu một hệ thống chẳng may bị hỏng thì nó phải được hỏng theo một cách nào đó để ngăn chặn những kẻ lợi dụng tấn công vào hệ thống hỏng đó Đương nhiên, việc hỏng trong an toàn cũng hủy bỏ sự truy nhập hợp pháp của người sử dụng cho tới khi hệ thống được khôi phục lại

Nguyên tắc này cũng được áp dụng trong nhiều lĩnh vực Chẳng hạn, cửa ra vào tự động được thiết kế để có thể chuyển sang mở bằng tay khi nguồn điện cung cấp bị ngắt

để tránh giữ người bên trong

Dựa trên nguyên tắc này, người ta đưa ra hai quy tắc để áp dụng vào hệ thống an toàn:

- Default deny Stance: Chú trọng vào những cái được phép và ngăn chặn tất cả những cái còn lại

- Default permit Stance: Chú trọng vào những cái bị ngăn cấm và cho phép tất cả

những cái còn lại Những gì không bị ngăn cấm thì được phép

Theo quan điểm về vấn đề an toàn trên thì nên dùng quy tắc thứ nhất, còn theo quan điểm của các nhà quản lý thì lại là quy tắc thứ hai

1.4.6 Sự tham gia toàn cầu

Để đạt được hiệu quả an toàn cao, tất cả các hệ thống trên mạng toàn cầu phải tham gia vào giải pháp an toàn Nếu tồn tại một hệ thống có cơ chế an toàn kém, người truy nhập bất hợp pháp có thể truy nhập vào hệ thống này và sau đó dùng chính hệ thống này

để truy nhập vào các hệ thống khác

1.4.7 Kết hợp nhiều biện pháp bảo vệ

Trên liên mạng, có nhiều loại hệ thống khác nhau được sử dụng, do vậy, phải có nhiều biện pháp bảo vệ để đảm bảo chiến lược bảo vệ theo chiều sâu Nếu tất

cả các hệ thống của chúng ta đều giống nhau và một người nào đó biết cách thâm nhập vào một hệ thống thì cũng có thể thâm nhậo được vào các hệ thống khác

1.4.8 Đơn giản hóa

Nếu ta không hiểu một cái gì đó, ta cũng không thể biết được liệu nó có an toàn hay không Chính vì vậy, ta cần phải đơn giản hóa hệ thống để có thể áp dụng các biện pháp

an toàn một cách hiệu quả hơn

1.5 Các chính sách bảo mật

 Kế hoạch an toàn thông tin phải tính đến các nguy cơ từ bên ngoài và từ trong nội

bộ, đồng thời phải kết hợp cả các biện pháp kỹ thuật và các biện pháp quản lý Sau đây là các bước cần tiến hành:

 Xác định các yêu cầu và chính sách an toàn thông tin: Bước đầu tiên trong kế hoạch an toàn thông tin là xác định các yêu cầu truy nhập và tập hợp những dịch vụ cung cấp cho người sử dụng trong và ngoài cơ quan, trên cơ sở đó có được các chính sách tương ứng

 Thiết kế an toàn vòng ngoài: Việc thiết kế dựa trên các chính sách an toàn được xác định trước Kết quả của bước này là kiến trúc mạng cùng với các thành phần phần cứng và phần mềm sẽ sử dụng Trong đó cần đặc biệt chú ý hệ thống truy cập từ xa

 Kiểm tra thường kỳ: Cần có kế hoạch kiểm tra định kỳ toàn bộ hệ thống an toàn thông tin, ngoài ra cần kiểm tra lại mỗi khi có sự thay đổi về cấu hình

1.5.1 Kế hoạch bảo mật mạng

Có một chính sách bảo mật mạng đúng đắn và hiệu quả để có thể bảo vệ các thông tin, các tài nguyên của một công ty, tổ chức nói riêng hay của một bộ, ngành, của một quốc gia nói chung là vấn đề hết sức quan trọng Nếu như các tài nguyên và thông tin mà công ty đó

có trên mạng là đáng được bảo vệ thì một chính sách bảo mật mạng là đáng được thực hiện Hầu hết các cơ quan đều có các thông tin nhạy cảm và các bí mật cạnh tranh trên mạng máy tính của họ, vì vậy chúng ta sẽ cần một chính sách bảo mật mạnng đề bảo vệ tài nguyên và thông tin của công ty

Để có một chính sách bảo mật mạng hiệu quả thì chúng ta phải trả lời được câu hỏi: loại dịch vụ nào, loại tài nguyên nào người dùng được phép truy nhập và loại nào thì bị cấm?

1.5.2 Chính sách bảo mật nội bộ

Một tổ chức có thể có nhiều bộ phận ở nhiều nơi, mỗi bộ phận có mạng riêng Nếu tổ chức lớn thì mỗi mạng phải có ít nhất một người quản trị mạng Nếu các nơi không nối với nhau thành mạng nội bộ thì chính sách an ninh cũng có những điểm khác nhau

Thông thường thì tài nguyên mạng ở mỗi nơi bao gồm:

Chính sách an ninh tại chỗ phải cân nhắc đến việc bảo vệ các tài nguyên này Đồng thời cũng phải cân nhắc giữa các yêu cầu an ninh với các yêu cầu kết nối mạng bởi vì một chính sách bảo vệ tốt cho mạng này lại bất lợi cho mạng khác

1.5.3 Phương thức thiết kế

Tạo ra một chính sách mạng có nghĩa là lập lên các thủ tục và kế hoạch bảo vệ tài nguyên của chúng ta khỏi mất mát và hư hại Một hướng tiếp cận khả thi là trả lời các câu hỏi sau :

hợp lý nhất

cũng như về hiện trạng của mạng ?

1.6 Thiết kế chính sách bảo mật mạng

1.6.1 Phân tích nguy cơ mất an ninh

Trước khi thiết lập chính sách ta cần phải biết rõ tài nguyên nào cần được bảo vệ, tức

là tài nguyên nào có tầm quan trọng lớn hơn để đi đến một giải pháp hợp lý về kinh tế Đồng thời ta cũng phải xác định rõ đâu là nguồn đe doạ tới hệ thống Nhiều nghiên cứu cho thấy rằng, thiệt hại do những kẻ “đột nhập bên ngoài” vẫn còn nhỏ hơn nhiều so với

sự phá hoại của những “người bên trong” Phân tích nguy cơ bao gồm những việc :

• Ta cần bảo vệ những gì ?

• Ta cần bảo vệ những tài nguyên khỏi những gì ?

• Làm thế nào để bảo vệ ?

1.6.2 Xác định tài nguyên cần bảo vệ

Khi thực hiện phân tích ta cũng cần xác định tài nguyên nào có nguy cơ

bị xâm phạm Quan trọng là phải liệt kê được hết những tài nguyên mạng có thể bị ảnh hưởng khi gặp các vấn đề về an ninh

- Phần cứng: Vi xử lý, bản mạch, bàn phím, terminal, trạm làm việc, máy tính các nhân, máy in, ổ đĩa, đường liên lạc, server, router

- Phần mềm: Chương trình nguồn, chương trình đối tượng, tiện ích, chương trình khảo sát, hệ điều hành, chương trình truyền thông

- Dữ liệu: Trong khi thực hiện, lưu trữ trực tuyến, cất giữ off–line, backup, các nhật

ký kiểm tra, CSDL truyền trên các phương tiện liên lạc

- Con người: Người dùng, người cần để khởi động hệ thống

- Tài liệu: Về chương trình , về phần cứng, về hệ thống, về thủ tục quản trị cục bộ

1.6.3 Xác định các mối đe dọa bảo mật mạng

Sau khi đã xác định những tài nguyên nào cần được bảo vệ, chúng ta cũng cần xác định xem có các mối đe doạ nào nhằm vào các tài nguyên đó Có thể có những mối đe dọa sau:

Chỉ có những người dùng hợp pháp mới có quyền truy nhập tài nguyên mạng, khi đó

ta gọi là truy nhập hợp pháp Có rất nhiều dạng truy nhập được gọi là bất hợp pháp chẳng hạn như dùng tài khoản của người khác khi không được phép Mức độ trầm trọng của việc truy nhập bất hợp pháp tuỳ thuộc vào bản chất và mức độ thiệt hại do truy nhập đó gây nên

Để lộ thông tin do vô tình hay cố ý cũng là một mối đe dọa khác Chúng ta nên định

ra các giá trị để phản ánh tầm quan trọng của thông tin Ví dụ đối với các nhà sản xuất phần mềm thì đó là: mã nguồn, chi tiết thiết kế, biểu đồ, thông tin cạnh tranh về sản phẩm Nếu để lộ các thông tin quan trọng, tổ chức của chúng ta có thể bị thiệt hại về các mặt như uy tín, tính cạnh tranh, lợi ích khách hàng

Mạng thường gồm những tài nguyên quý báu như máy tính, CSDL và cung cấp các dịch vụ cho cả tổ chức Đa phần người dùng trên mạng đều phụ thuộc vào các dịch vụ để thực hiện công việc được hiệu quả

Chúng ta rất khó biết trước các dạng từ chối của một dịch vụ Có thể tạm thời liệt kê

ra một số lỗi mạng bị từ chối: do một gói gay lỗi, do quá tải đường truyền, router bị vô hiệu hóa, do virus

1.6.4 Xác định trách nhiệm người sử dụng mạng

Ta phải liệt kê tất cả người dùng cần truy nhập tới tài nguyên mạng Không nhất thiết liệt kê toàn bộ người dùng Nếu phân nhóm cho người dùng thì việc liệt kê sẽ đơn giản hơn Đồng thời ta cũng phải liệt kê một nhóm đặc biệt gọi là các người dùng bên ngoài,

đó là những người truy nhập từ một trạm đơn lẻ hoặc từ một mạng khác

Sau khi xác định những người dùng được phép truy nhập tài nguyên mạng, chúng ta phải tiếp tục xác định xem các tài nguyên đó sẽ được dùng như thế nào Như vậy ta phải

đề ra đường lối cho từng lớp người sử dụng như: Những nhà phát triển phần mềm, sinh viên, những người sử dụng ngoài

Chính sách an ninh mạng phải xác định rõ ai có quyền cấp phát dịch vụ cho người dùng Đồng thời cũng phải xác định những kiểu truy nhập mà người dùng có thể cấp phát lại Nếu đã biết ai là người có quyền cấp phát truy nhập thì ta có thể biết được kiểu truy nhập đó được cấp phát, biết được người dùng có được cấp phát quá quyền hạn không Ta phải cân nhắc hai điều sau:

- Truy nhập dịch vụ có được cấp phát từ một điểm trung tâm không?

- Phương thức nào được dùng để tạo tài khoản mới và kết thúc truy nhập?

Nếu một tổ chức lớn mà không tập trung thì tất nhiên là có nhiều điểm trung tâm để cấp phát truy nhập, mỗi điểm trung tâm phải chịu trách nhiệm cho tất cả các phần mà nó cấp phát truy nhập

Cần phải xác định rõ quyền lợi và nghĩa vụ của người sử dụng nhằm đảm bảo cho việc quản lý và hoạt động bình thường của mạng Đảm bỏa tính minh bạch và riêng tư cho người dùng, cũng như người dùng phải có trách nhiệm bảo tài khoản của mình

 Người quản trị hệ thống có quyền hạn và trách nhiệm gì

Người quản trị hệ thống thường xuyên phải thu thập thông tin về các tệp trong các thư mục riêng của người dùng để tìm hiểu các vấn đề hệ thống Ngược lại, người dùng phải giữ gìn bí mật riêng tư về thông tin của họ Nếu an ninh có nguy cơ thì người quản trị phải có khả năng linh hoạt để giải quyết vấn đề

Theo quan điểm an ninh, các dữ liệu cực kỳ quan trọng phải được hạn chế, chỉ một số

ít máy và ít người có thể truy nhập Trước khi cấp phát truy nhập cho một người dùng, phải cân nhắc xem nếu anh ta có khả năng đó thì anh ta có thể thu được các truy nhập khác không Ngoài ra cũng phải báo cho người dùng biết là dịch vụ nào tương ứng với việc lưu trữ thông tin quan trọng của anh ta

1.6.5 Kế hoạch hành động khi chính sách bị vi phạm

Mỗi khi chính sách bị vi phạm cũng có nghĩa là hệ thống đứng trước nguy cơ mất an ninh Khi phát hiện vi phạm, chúng ta phải phân loại lý do vi phạm chẳng hạn như do người dùng cẩu thả, lỗi hoặc vô ý, không tuân thủ chính sách

Khi vi phạm xảy ra thì mọi người dùng có trách nhiệm đều phải liên đới Ta phải định

ra các hành động tương ứng với các kiểu vi phạm Đồng thời mọi người đều phải biết các quy định này bất kể người trong tổ chức hoặc người ngoài đến sử dụng máy Chúng ta phải lường trước trường hợp vi phạm không cố ý để giải quyết linh hoạt, lập các sổ ghi chép và định kỳ xem lại để phát hiện các khuynh hướng vi phạm cũng như để điều chỉnh các chính sách khi cần

Người dùng cục bộ có các vi phạm sau:

- Vi phạm chính sách cục bộ

- Vi phạm chính sách của các tổ chức khác

Trường hợp thứ nhất chính chúng ta, dưới quan điểm của người quản trị hệ thống sẽ tiến hành việc xử lý Trong trường hợp thứ hai phức tạp hơn có thể xảy ra khi kết nối Internet, chúng ta phải xử lý cùng các tổ chức có chính sách an ninh bị vi phạm

Chúng ta có thể sử dụng một trong hai chiến lược sau:

- Bảo vệ và xử lý

- Theo dõi và truy tố

Trong đó, chiến lược thứ nhất nên được áp dụng khi mạng của chúng ta dễ bị xâm phạm Mục đích là bảo vệ mạng ngay lập tức xử lý, phục hồi về tình trạng bình thường để người dùng tiếp tục sử dụng được, như thế ta phải can thiệp vào hành động của người vi phạm và ngăn cản không cho truy nhập nữa Đôi khi không thể khôi phục lại ngay thì chúng ta phải cách ly các phân đoạn mạng và đóng hệ thống để không cho truy nhập bất hợp pháp tiếp tục

1.6.6 Xác định các lỗi an ninh

Ngoài việc nêu ra những gì cần bảo vệ, chúng ta phải nêu rõ những lỗi gì gây ra mất

an ninh và làm cách nào để bảo vệ khỏi các lỗi đó Trước khi tiến hành các thủ tục an ninh, nhất định chúng ta phải biết mức độ quan trọng của các tài nguyên cũng như mức

độ của nguy cơ

a Lỗi điểm truy nhập

Lỗi điểm truy nhập là điểm mà những người dùng không hợp lệ có thể đi vào hệ

thống, càng nhiều điểm truy nhập càng có nguy có mất an ninh

b Lỗi cấu hình hệ thống

Khi một kẻ tấn công thâm nhập vào mạng, hắn thường tìm cách phá hoại các máy trên

hệ thống Nếu các máy được cấu hình sai thì hệ thống càng dễ bị phá hoại Lý do của việc cấu hình sai là độ phức tạp của hệ điều hành, độ phức tạp của phần mềm đi kèm và hiểu biết của người có trách nhiệm đặt cấu hình Ngoài ra, mật khẩu và tên truy nhập dễ đoán cũng là một sơ hở để những kẻ tấn công có cơ hội truy nhập hệ thống

c Lỗi phần mềm

Phần mềm càng phức tạp thì lỗi của nó càng phức tạp Khó có phần mềm nào

mà

không gặp lỗi Nếu những kẻ tấn công nắm được lỗi của phần mềm, nhất là phần mềm hệ thống thì việc phá hoại cũng khá dễ dàng Người quản trị cần có trách nhiệm duy trì các bản cập nhật, các bản sửa đổi cũng như thông báo các lỗi cho người sản xuất chương trình

d Lỗi người dùng nội bộ

Người dùng nội bộ thường có nhiều truy nhập hệ thống hơn những người bên ngoài, nhiều truy nhập tới phần mềm hơn phần cứng do đó đễ dàng phá hoại hệ thống Đa số các dịch vụ TCP/IP như Telnet, tfp, … đều có điểm yếu là truyền mật khẩu trên mạng mà không mã hoá nên nếu là người trong mạng thì họ có khả năng rất lớn để có thể dễ dàng nắm được mật khẩu với sự trợ giúp của các chương trình đặc biệt

e Lỗi an ninh vật lý

Các tài nguyên trong các trục xương sống (backbone), đường liên lạc, Server quan trọng đều phải được giữ trong các khu vực an toàn về vật lý An toàn vật lý có nghĩa là máy được khoá ở trong một phòng kín hoặc đặt ở những nơi người ngoài không thể truy nhập vật lý tới dữ liệu trong máy

f Lỗi bảo mật

Bảo mật mà chúng ta hiểu ở đây là hành động giữ bí mật một điều gì, thông tin rất dễ

lộ ra trong những trường hợp sau:

1.7 Secure Sockets Layer (SSL)

1.7.1 Mở đầu

Ngày nay, người dùng Internet trao đổi rất nhiều loại thông tin trên mạng từ trao đổi thư điện tử thông thường đến các thông tin chi tiết trong thẻ tín dụng của mình, do đó họ muốn những dữ liệu đó phải được bảo mật khi truyền trên mạng công cộng

Để làm được điều này người ta đã ứng dụng giao thức SSL để bảo vệ các dữ liệu trong quá trình trao đổi giữa tất cả các dịch vụ mạng sử dụng TCP/IP để hỗ trợ các tác vụ

truyền thông mạng giữa máy chủ và máy khách

Giao thức SSL đầu tiên do Netscape phát triển, mục đích để bảo mật dữ liệu gửi/nhận trên Internet của các giao thức thuộc lớp ứng dụng như HTTP, LDAP hay POP3

SSL sử dụng giao thức TCP để cung cấp các kết nối bền vững, bảo mật và được xác thực giữa các điểm cuối với nhau (ví dụ như giữa client và server) Mặc dù có thể sử dụng SSL để bảo vệ dữ liệu liên quan đến bất kỳ dịch vụ nào, nhưng SSL chủ yếu được dùng trong các ứng dụng HTTP (server và client) Ngày nay hầu hết các HTTP server đều hỗ trợ các phiên SSL, ở phía client các trình duyệt Internet Explorer và Netscape Navigator đều hỗ trợ SSL

Hình 1: SSL giữa tầng ứng dụng và tầng TCP/IP

1.7.2 Nhiệm vụ và cấu trúc của SSL

Những mục đích chính của việc phát triển SSL là:

• Xác thực server và client với nhau: SSL hỗ trợ sử dụng các kỹ thuật mã hoá khoá

chuẩn (mã hoá sử dụng khoá công khai) để xác thực các đối tác truyền thông với

nhau Hầu hết các ứng dụng hiện nay xác thực các client bằng cách sử dụng chứng chỉ

số, SSL cũng có thể sử dụng phương pháp này để xác thực client

• Đảm bảo toàn vẹn dữ liệu: trong một phiên làm việc, dữ liệu không thể bị làm hỏng

dù vô tình hay cố ý

đánh cắp trên đường truyền và chỉ có đúng người nhận mới có thể đọc được các dữ

liệu đó Các dữ liệu được bảo vệ bao gồm các những dữ liệu liên quan đến chính hoạt động giao thức (các thông tin trao đổi trong quá trình thiết lập phiên làm việc SSL) và các dữ liệu thực trao đổi trong phiên làm việc

Thực tế SSL không phải là một giao thức đơn mà là một bộ các giao thức, có thể được chia làm 2 lớp:

1 Giao thức đảm bảo sự an toàn và toàn vẹn dữ liệu: lớp này chỉ có một giao thức là SSL Record Protocol

2 Các giao thức thiết kế để thiết lập kết nối SSL: lớp này gồm có 3 giao thức: SSL

Handshake Protocol, SSL ChangeCipherSpecProtocol và SSL Alert Protocol

Hình 2: Các lớp giao thức SSL

SSL sử dụng các giao thức này để thực hiện các nhiệm vụ được đề cập ở trên SSL Record Protocol chịu trách nhiệm mã hoá và đảm bảo toàn vẹn dữ liệu Như ta thấy trong hình 2, giao thức này còn chịu trách nhiệm đóng gói các dữ liệu của các giao thức SSL khác tức là cũng liên quan đến các tác vụ kiểm tra dữ liệu SSL

Ba giao thức còn lại chịu trách nhiệm quản lý các phiên, quản lý các tham số mã hoá

và truyền các thông điệp SSL giữa client và server Trước khi đi vào chi tiết về vai trò của từng giao thức chúng ta hãy xem xét hai khái niệm mang tính nền tảng liên quan tới việc sử dụng SSL

1.7.3 Phiên SSL và kết nối SSL

Các khái niệm đề cập ở trên là các khái niệm cơ bản của công nghệ SSL Ngoài ra còn

có rất nhiều thuộc tính khác của SSL mà chúng ta sẽ xem xét ở đây:

 Connection (kết nối): là một liên kết client/server logic với những kiểu dịch

vụ

thích hợp SSL connection là một kết nối điểm nối điểm giữa 2 nút mạng

 Session (phiên): là một sự kết hợp giữa một client và một server xác định bằng một bộ các tham số ví dụ thuật toán sẽ sử dụng, số hiệu phiên v.v Khi một phiên SSL giữa một client và một server được thiết lập bằng giao thức SSL Handshake Protocol thì

tất cả các kết nối sau này được thiết lập giữa cặp server/client đó sẽ sử dụng chung bộ tham số đó mà không phải tiến hành thoả thuận lại

Điều đó có nghĩa là trong một phiên SSL giữa một client và một server có thể có nhiều kết nối giữa client và server đó Về lý thuyết cũng có thể có nhiều phiên SSL dùng chung một kết nối, nhưng trên thực tế không sử dụng đến khả năng này Khái niệm phiên và kết nối SSL liên quan đến nhiều tham số sử dụng trong truyền thông hỗ trợ SSL giữa client

và server Trong quá trình thoả thuận của giao thức handshake ngoài việc chọn các phương pháp mã hoá dữ liệu thì một loạt các tham số của Session State cũng được chọn, Session State bao gồm:

 Master secret: là một số bí mật 48 byte được server và client dùng chung,

Cờ “is resumable”: cho biết có thể sử dụng phiên này để khởi tạo các kết nối mới được không Ngoài ra còn có một số tham số khác:

Số ngẫu nhiên của Server và client: dữ liệu ngẫu nhiên do cả client và server sinh ra cho mỗi kết nối

của server

Server write key: chìa khoá mà server dùng để mã hoá và client dùng để giải mã dữ liệu Client write key: chìa khoá mà client dùng để mã hoá và server dùng để giải mã dữ liệu Sequence number (số thứ tự): server và client quản lý một cách riêng rẽ các số thứ tự để đánh số các thông điệp gửi và nhận cho mỗi kết nối

1.7.4 SSL Record Protocol

SSL Record Protocol sử dụng để trao đổi tất cả các kiểu dữ liệu trong một phiên – bao gồm các thông điệp, dữ liệu của các giao thức SSL khác và dữ liệu của ứng dụng

SSL Record Protocol liên quan đến việc bảo mật và đảm bảo toàn vẹn dữ liệu

Mục đích của SSR Record Protocol là thu nhận những thông điệp mà ứng dụng chuẩn

bị gửi, phân mảnh dữ liệu cần truyền, đóng gói, bổ xung header tạo thành một đối tượng gọi là bản ghi (record), bản ghi đó được mã hoá và có thể truyền bằng giao thức TCP Bước đầu tiên của quá trình chuẩn bị truyền dữ liệu là phân mảnh dữ liệu, tức là chia nhỏ dòng dữ liệu thành các mảnh kích thước 16KB (hoặc nhỏ hơn) Những mảnh dữ liệu này sau đó có thể được nén trước khi truyền Sau đó bắt đầu quá trình tạo các bản ghi cho mỗi đơn vị dữ liệu bằng cách bổ xung thêm header, một số byte cho đủ kích thước qui định của bản ghi nếu kích thước bản ghi chưa đủ và cuối cùng là phần MAC

MAC (Message Authentication Code) là mã xác thực thông điệp sử dụng để khi phát

dữ liệu trong các phiên SSL Phần header của mỗi bản ghi chứa 2 thông tin quan trọng đó

là độ dài của bản ghi và độ dài của khối dữ liệu thêm vào phần dữ liệu gốc Phần dữ liệu của một bản ghi gồm: dữ liệu gốc, các byte bổ xung cho đủ kích thước gói tin qui định,

giá trị MAC được sử dụng để kiểm chứng sự toàn vẹn của thông điệp chứa trong bản ghi gửi cùng với MAC đó MAC là kết quả của một của một hàm băm theo một thuật toán băm được qui định trước (ví dụ MD5 hoặc SHA-1).MAC được tính toán dựa trên việc áp dụng hàm băm trên các dữ liệu sau: khoá bí mật, dữ liệu gốc, phần thông tin bổ xung, số thứ tự

Khoá bí mật ở đây có thể là khoá ghi MAC của client (client write MAC secret) hoặc của server (server write MAC secret) tuỳ thuộc vào ai là người tạo gói tin

Sau khi nhận được một gói tin thì bên nhận tự tính lại giá trị MAC và so sánh với giá trị MAC chứa trong gói tin đó Nếu hai giá trị MAC đó giống nhau có nghĩa là dữ liệu hông

bị thay đổi trong quá trình truyền trên mạng Độ dài của trường MAC phụ thuộc vào

Tiếp theo, phần dữ liệu cộng với MAC sẽ được mã hoá sử dụng phương pháp mã hoá (đối xứng) đã thoả thuận trước ví dụ DES hoặc triple DES Như vậy là cả

dữ liệu và MAC đều được mã Phần dữ liệu đã được mã hoá đó được gắn thêm header bao gồm các trường sau:

Kiểu nội dung (content type): xác định dữ liệu nào chứa trong gói tin để quyết định xem giao thức nào ở lớp cao hơn sẽ chịu trách nhiệm xử lý dữ liệu của gói tin đó Các giá trị có thể của trường này là: change_cipher_spec, alert, handshake và

application_data tham chiếu đến các giao thức tương ứng ở mức cao hơn

Phiên bản chính (major version): phần chỉ số chính của phiên bản SSL đang sử dụng

Ví dụ với SSL 3.0 thì giá trị trường này là 3

Phiên bản phụ (minor version): phần chỉ số phụ của phiên bản SSL đang sử dụng Ví

dụ với SSL 3.0 thì giá trị trường này là 0

Sau khi tính toán xong các trường này, bản ghi đã được tạo xong và sẵn sàng để gửi đến cho máy đích Toàn bộ quá trình chuẩn bị bản ghi trước khi gửi được mô tả trong hình 3

Hình 3: Quá trình tạo một bản ghi của SSL Record Protocol

1.7.5 Alert Protocol

Alert Protocol được các bên sử dụng để mang các thông điệp của phiên liên quan tới

việc trao đổi dữ liệu và hoạt động của các giao thức Mỗi thông điệp của giao thức này

gồm 2 byte Byte thứ nhất chứa một trong hai giá trị là warning (1) và fatal (2) xác định

tính nghiêm trọng của thông điệp Khi một trong 2 bên gửi thông điệp có giá trị bít đầu

tiên là fatal (2) thì phiên làm việc giữa 2 bên sẽ kết thúc ngay lập tức Byte tiếp theo của

thông điệp chứa mã lỗi xảy ra trong phiên giao dịch SSL

1.7.6 Change CipherSpec Protocol

Đây là giao thức SSL đơn giản nhất Nó chỉ chứa một thông điệp mang giá trị 1 Mục

đích duy nhất của thông điệp này là làm chuyển trạng thái của một phiên từ “đang chờ”

(pending) sang “bền vững” (fixed) Ví dụ khi 2 bên qui ước bộ giao thức nào sẽ sử dụng

Cả client và server đều phải gửi thông điệp loại này cho bên đối tác, sau khi đã trao đổi

xong thì coi như hai bên đã đồng ý với nhau

1.7.7 Handshake Protocol

Handshake protocol là bộ giao thức SSL phức tạp nhất Giao thức này được sử dụng

để khởi tạo phiên SSL giữa client và server Thông điệp của giao thức này chứa rất nhiều loại thông tin, ví dụ các thuật toán mã hoá và các khoá mã mà 2 bên sẽ phải thoả thuận với nhau Nhờ giao thức này các bên sẽ xác thực lẫn nhau và thoả thuận các tham số cho phiên làm việc sẽ được thiết lập Quy trình thoả thuận giữa client và server được mô tả trong hình 4 Có thể chia quy trình này thành 4 pha

Trong pha thứ nhất: một kết nối logic được thiết lập giữa client và server để thoả thuận các tham số của kết nối Phía client gửi cho server một thông điệp client_hello chứa các

dữ liệu như:

một tem thời gian 32 bít và một số ngẫu nhiên dài 28 byte

thể hiện client muốn cập nhật các thông số cho kết nối hiện tại hay muốn khởi tạo kết nối mới Còn nếu bằng 0 thể hiện rằng client muốn khởi tạo một kết nối mới

phía client hỗ trợ

Phía server sẽ phản hồi lại bằng thông điệp server_hello có cấu trúc giống với thông điệp client_hello với các thông tin của server:

client Nếu session ID của client bằng 0 thì trường session ID của server sẽ chứa định

danh của phiên làm việc mới

350 hãng sản xuất thiết bị bảo mật nổi tiếng trên thế giới

- Eventia Analyzer: giúp đỡ người quản trị trong việc quản lý các sự kiện liên quan

đến bảo mật Eventia Analyzer cho phép quản lý tập trung, thời gian thực các thiết bị bảo mật Gateway của CheckPoint và sản phẩm của các đối tác của Checkpoint Eventia tự động thu thập dữ liệu thông tin về các sự kiện, tình hình tấn công…, tối ưu hóa cách trình bày và cung cấp cho nhà quản trị một cái đầy đủ nhất về tình hình an ninh trên mạng

- Eventia Report: Thu thập dữ liệu, thông tin từ các thiết bị bảo mật trên mạng sau đó

trình bày một cách có hệ thống, dưới dạng báo cáo giúp cho tổ chức có thể sử dụng làm căn cứ để đánh giá, xác định xem hiệu quả của chính sách bảo mật, tình hình an toàn bảo mật trên mạng …từ đó tối ưu hóa hiệu quả đầu tư Eventia Reporter tập trung hóa việc báo cáo về các hoạt động của người dùng, các thiết bị bảo mật và thiết bị mạng

- SmartCenter: Để đối phó với sự tấn công của tin tặc ngày càng phức tạp, chúng ta

phải xây dụng hệ thống an ninh bảo mật theo chiều sâu bao gồm nhiều lớp: bảo mật vòng ngoài, bảo mật bên trong, bảo mật người dùng…CheckPoint đưa ra giải phép cho phép người quản trị có thể quản lý được môi trường phức tạp đó Thông qua SmartCenter, nhà quản trị có thể thực hiện được tất cả các khía cạnh quản lý liên quan đến vấn đề bảo mật