Đánh giá an toàng mạng máy tính

Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Giới thiệu đề tài: Ngày nay, lĩnh vực thông tin ngày phát triển vượt bậc, ứng dụng công nghệ thông tin mang lại nhiều lợi ích nhiều lĩnh vực y tế, giáo dục, kinh tế, quốc phòng… Trong đó, Website sử dụng hều hết lĩnh vực có quy mô toàn cầu Chính vậy, website ngày có th ể xem mặt đại diện cho công ty, quan m ạng Internet Thông qua website, m ọi việc trao đổi, giao dịch, tiếp xúc người thực cách dễ dàng tạo vô số điều kiện thuận lợi để phát triển Tuy nhiên, bên cạnh ưu điểm thuận lợi mà website đem lại có khó khăn thử thách mà người dùng phải đối mặt: là, làm cách để bảo vệ website cách an toàn, vững trước công hacker Một website bị “đánh sập” đồng nghĩa với việc: uy tín công ty giảm xúc, khách hàng, cổ phiếu giảm giá kéo theo việc làm ăn thua lỗ dẫn đến phá sản Để giải phần khó khăn thử thách nêu trên, chúng em xin dùng đề tài :” Trình bày nguy cơ, đe doạ hệ thống Web Server Xây d ựng sách an toàn thông tin bi ện pháp ngăn ngừa, hạn chế rủi ro cho dịch vụ Web” để làm rõ vấn đề Đề tài hai học viên: Huỳnh Cao Tuấn Phan Hữu Tiếp đảm nhận.Trước phân tích vấn đề, chúng em xin chân thành cám ơn th ầy hỗ trợ chúng em nhiều môn học: “ Đánh giá an toàn mạng máy tính” Vì lấy kinh nghiệm thực tế mà thân có trình làm việc để trình bày đề tài này, mong góp ý Thầy Chúng em xin chân thành cám ơn ! Biên Hòa, ngày 15 tháng 12 n ăm 2009 Huỳnh Cao Tuấn Phan Hữu Tiếp Trang 1/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Nội dụng đề tài gồm 03 phần:  Phần 1: Khái quát Web Server  Phần 2: Những nguy đe dọa đến hệ thống Web Server (học viên Huỳnh Cao Tuấn đảm nhiệm)  Phần 3: Xây dựng sách an toàn thông tin bi ện pháp ngăn ngừa, hạn chế rủi ro cho dịch vụ Web ( học viên Phan Hữu Tiếp đảm nhiệm) Phần 1: Khái quát Web Server Web Server (máy chủ Web): máy tính mà dịch vụ Web cung cấp chủ yếu Web Server thường máy chủ có dung lượng lớn, tốc độ cao, dùng để lưu trữ thông tin ngân hàng liệu, chứa website thiết kế với thông tin liên quan khác (các mã Script, chương trình, file Multimedia) Web Server có khả gửi đến máy khách trang Web thông qua môi trường Internet (hoặc Intranet) qua giao thức HTTP - giao thức thiết kế để gửi file đến trình duyệt Web (Web Browser), giao thức khác Tất Web Server có địa IP (IP Address) có Domain Name Giả sử bạn đánh vào Address tr ình duyệt bạn dòng http://www.lhu.edu.vn sau gõ phím Enter bạn gửi yêu cầu đến Server có Domain Name lhu.edu.vn Server s ẽ tìm trang Web có tên *.htm r ồi gửi đến trình duyệt bạn Trang 2/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Bất kỳ máy tính trở thành Web Server việc cài đặt lên chương trình phần mềm Server Software sau k ết nối vào Internet Khi máy tính bạn kết nối đến Web Server gửi đến yêu cầu truy cập thông tin từ trang Web đó, Web Server Software s ẽ nhận yêu cầu gửi lại cho bạn thông tin mà bạn mong muốn Giống phần mềm khác mà bạn cài đặt máy tính mình, Web Server Software c ũng ứng dụng phần mềm Nó cài đặt, chạy máy tính dùng làm Web Server, nh có chương trình mà người sử dụng truy cập đến thông tin trang Web từ máy tính khác mạng (Internet, Intranet) Web Server Software có th ể tích hợp với CSDL (Database), hay điều khiển việc kết nối vào CSDL để truy cập kết xuất thông tin từ CSDL lên trang Web truy ền tải chúng đến người dùng Server phải hoạt động liên tục 24/24 giờ, ngày tuần 365 ngày năm, để phục vụ cho việc cung cấp thông tin trực tuyến Vị trí đặt server đóng vai trò quan trọng chất lượng tốc độ truyền tải thông tin từ server máy tính truy c ập Phần 2: Những nguy đe dọa an toàn hệ thống Web Server I Nguy khách quan Đường truyền kết nối hệ thống Web Server với Internet bị đứt  Hậu quả: hệ thống Web Server truy cập  Lý giải: việc thường xảy chất lượng nhà cung cấp mạng không tốt Sử dụng hệ thống phần mềm quyền:  Ở Việt Nam đa số máy tính sử dụng hệ điều hành quyền quyền không hợp pháp Điều dẫn đến việc hệ thống không cập nhật kịp thời vá lỗi Trang 3/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Hoặc Server bị “đóng băng” lúc để yêu cầu xác nhận quyền sử dụng hợp pháp Các tác nhân thiên nhiên hay s ự cố khác :  Hoả hoạn, lũ lụt, chập điện, sét đánh…  Sự cố phần cứng máy tính II Nguy chủ quan Là nguy người cố tình gây ra, nhằm mục đích phá hoại hệ thống liệu, tính xác thông tin mà Website cung c ấp Những người có hành vi giới chuyên môn gọi Hacker Thông thường hành vi có động kinh tế phục vụ cho mục đích trị Có tầng để Hacker tiến hành công Web Server  Tầng web service (như IIS )  Software Web Server bị lỗi (bị buffer overflow, bị thiếu kiểm soát chủ quyền cần thiết để chạy service)  Admin vô tình thiếu sót thiết lập server (.htaccess bị lỗi, gán quyền filesystem không đúng)  Server software không lo li ệu đầy đủ việc kiểm soát encode decode MIME type khiến cho service bị quản lý bất hợp pháp  Tầng ứng dụng (như chạy cgi, php, asp, jsp )  Các INPUT data thiếu xác thực (cần INPUT validation) nên b ị xss, sql injection  Dùng SSI không kiểm soát chặt chẽ  Cho phép include không ki ểm soát nội dung include  Thiếu chặt chẽ chế gán quyền thực thi quyền web application (nên bị leo thang) Trang 4/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Sau số lỗ hỏng khiến Web Server Website bị chiếm quyền điều khiển bất hợp pháp Lỗi SQL Injection Khi triển khai ứng dụng web Internet, nhi ều người nghĩ việc đảm bảo an toàn, bảo mật nhằm giảm thiểu tối đa khả bị công từ tin tặc đơn tập trung vào vấn đề chọn hệ điều hành, hệ quản trị sở liệu, webserver chạy ứng dụng, mà quên thân ứng dụng chạy tiềm ẩn lỗ hổng bảo mật lớn Một số lỗ hổng SQL injection SQL injection kĩ thuật cho phép kẻ công lợi dụng lỗ hổng việc kiểm tra liệu nhập ứng dụng web thông báo lỗi hệ quản trị sở liệu để "tiêm vào" (inject) thi hành câu lệnh SQL bất hợp pháp (không người phát triển ứng dụng lường trước) Hậu tai hại cho phép kẻ công thực thao tác xóa, hiệu chỉnh, … có toàn quyền sở liệu ứng dụng, chí server mà ứng dụng chạy Lỗi thường xảy ứng dụng web có liệu quản lí hệ quản trị sở liệu SQL Server, MySQL, Oracle, DB2, Sysbase Có bốn dạng thông thường bao gồm: vượt qua kiểm tra lúc đăng nhập (authorization bypass), s dụng câu lện SELECT, sử dụng câu lệnh INSERT, sử dụng stored-procedures 1.1 Dạng công vượt qua kiểm tra đăng nhập Với dạng công này, tin tặc dễ dàng vượt qua trang đăng nhập nhờ vào lỗi dùng câu lệnh SQL thao tác s liệu ứng dụng web Xét ví dụ điển hình, thông thường phép người dùng truy cập vào trang web đư ợc bảo mật, hệ thống thường xây dựng trang đăng nhập để yêu cầu người dùng nhập thông tin tên đăng nhập mật Sau người dùng nhập thông tin vào, hệ thống kiểm tra tên đăng nhập mật có hợp lệ hay không để định cho phép hay từ chối thực tiếp Trang 5/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Trong trường hợp này, người ta dùng hai trang, trang HTML để hiển thị form nhập liệu trang ASP dùng để xử lí thông tin nhập từ phía người dùng Ví dụ: login.htm Username: Password: execlogin.asp Thoạt nhìn, đoạn mã trang execlogin.asp d ường không chứa lỗ hổng an toàn Người dùng đăng nhập mà tên đăng nh ập mật hợp lệ Tuy nhiên, đoạn mã thực không an toàn tiền đề cho lỗi SQL injection Đặc biệt, chỗ sơ hở nằm chỗ liệu nhập vào từ người dùng dùng để xây dựng trực tiếp câu lệnh SQL Chính điều cho phép kẻ công điều khiển câu truy vấn thực Ví dụ, người dùng nhập chuỗi sau vào ô nhập liệu username/password trang login.htm là: vấn gọi thực là: ' OR ' ' = ' ' Lúc này, câu truy SELECT * FROM T_USERS WHERE USR_NAME ='' OR ''='' and USR_PASSWORD= '' OR ''='' Câu truy vấn hợp lệ trả tất ghi T_USERS đoạn mã xử lí người dùng đăng nhập bất hợp pháp người dùng đăng nhập hợp lệ Trang 6/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp 1.2 Dạng công sử dụng câu lệnh SELECT Dạng công phức tạp Để thực kiểu công này, kẻ công phải có khả hiểu lợi dụng sơ hở thông báo lỗi từ hệ thống để dò tìm điểm yếu khởi đầu cho việc công Xét ví dụ thường gặp website v ề tin tức Thông thường, có trang nhận ID tin cần hiển thị sau truy vấn nội dung tin có ID Ví dụ: http://www.myhost.com/shownews.asp?ID=123 Mã ngu ồn cho chức thường viết đơn giản theo dạng Trong tình thông thường, đoạn mã hiển thị nội dung tin có ID trùng với ID định không thấy có lỗi Tuy nhiên, giống ví dụ đăng nhập trước, đoạn mã để lộ sơ hở cho lỗi SQL injection khác Kẻ công thay ID hợp lệ cách gán ID cho giá trị khác, từ đó, khởi đầu cho công bất hợp pháp, ví dụ như: OR 1=1 (nghĩa là, http://www.myhost.com/shownews.asp?ID=0 or 1=1) Câu truy vấn SQL lúc trả tất article từ bảng liệu thực câu lệnh: SELECT * FROM T_NEWS WHERE NEWS_ID=0 or 1=1 1.3 Dạng công sử dụng câu lệnh INSERT Thông thường ứng dụng web cho phép người dùng đăng kí tài khoản để tham gia Chức thiếu sau đăng kí thành công, người dùng xem hiệu chỉnh thông tin SQL injection dùng hệ thống không kiểm tra tính hợp lệ thông tin nhập vào Ví dụ, câu lệnh INSERT có cú pháp Trang 7/18 Đồ án đánh giá an toàn m ạng máy tính dạng: Huỳnh Cao Tuấn – Phan Hữu Tiếp INSERT INTO TableName VALUES('Value One', 'Value Two', 'Value Three' ) Nếu đoạn mã xây dựng câu lệnh SQL có dạng : Thì chắn bị lỗi SQL injection, v ì ta nhập vào trường thứ ví dụ như: ' + (SELECT TOP FieldName FROM TableName) + ' Lúc câu truy vấn là: INSERT INTO TableName VALUES(' ' + (SELECT TOP FieldName FROM TableName) + ' ', 'abc', 'def') Khi đó, lúc thực lệnh xem thông tin, xem bạn yêu cầu thực thêm lệnh là: SELECT TOP FieldName FROM TableName 1.4 Dạng công sử dụng stored -procedures Việc công stored -procedures gây tác hại lớn ứng dụng thực thi với quyền quản trị hệ thống 'sa' Ví dụ, ta thay đoạn mã tiêm vào dạng: ' ; EXEC xp_cmdshell ‘cmd.exe dir C: ' Lúc hệ thống thực lệnh liệt k ê thư mục ổ đĩa C:\ cài đặt server Việc phá hoại kiểu n tuỳ thuộc vào câu lệnh đằng sau cmd.exe Tấn công từ chối dịch vụ Tấn công từ chối dịch vụ (DoS) công hệ thống mạng nhằm ngăn cản truy xuất tới dịch vụ Tấn công DoS phá hủy dịch vụ mạng cách làm tràn ngập số lượng kết nối, tải server chương trình chạy server, tiêu tốn tài nguyên server, ngăn chặn người dùng hợp lệ truy nhập tới dịch vụ mạng Các công thực nhằm vào thiết bị mạng bao gồm công vào thiết bị định tuyến, web, thư điện tử hệ thống DNS Tấn công từ chối dịch vụ có thẻ thực theo số cách định Có năm kiểu công sau đây: Trang 8/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Nhằm tiêu tốn tài nguyên tính toán băng thông, dung lượng đĩa cứng thời gian xử lý Phá vỡ thông tin cấu thông tin định tuyến Phá vỡ trạng thái thông tin vi ệc tự động reset lại phiên TCP Phá vỡ thành phần vật lý mạng máy tính Làm tắc nghẽn thông tin liên lạc có chủ đích người dùng nạn nhân dẫn đến việc liên lạc hai bên không thông suốt Một công từ chối dịch vụ bao gồm việc thực thi malware nhằm:  Làm tải lực xử lý, dẫn đến hệ thống thực thi công việc khác  Những lỗi gọi tức microcode máy tính  Những lỗi gọi tức chuỗi thị, dẫn đến máy tính rơi vào trạng thái hoạt động không ổn định bị  Những lỗi khai thác hệ điều hành dẫn đến việc thiếu thốn tài nguyên bị thrashing VD: sử dụng tất lực có sẵn dẫn đến không công việc thực tế hoàn thành  Gây crash hệ thống  Tấn công từ chối dịch vụ iFrame: trang HTML gọi đến trang web với nhiều yêu cầu nhiều lần băng thông trang web bị hạn Có nhiều phương cách để thực công từ chối dịch vụ, có nhiều cách phân loại DoS Cách phân loại phổ biến thường dùng dựa vào giao thức hình thức công DoS, ví dụ tràn ngập ICMP với Smurf, Ping of Death, khai thác điểm yếu TCP hoạt động giao thức phân mảnh gói tin với SYN flood, LanD attacks, TearDrop hay m ức Trang 9/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp dịch vụ với Flash Crowds (ở Việt Nam thường biết đến với tên Xflash) Phân loại theo phương thức công, DoS thực vài gói tin đơn lẻ gửi thẳng tới server gây rối loạn hoạt động (như slammer worm), ho ặc kích hoạt để gửi từ nhiều nguồn (từ chối dịch vụ phân tán – DdoS) Tấn công thực mạng Internet (sử dụng web server), h oặc broadcast mạng bên (insider attacks – với Blaster worm), m ạng P2P (P2P index poinsioning) hay Wireless (WLAN authentication rejection attack -spoof sender) Tuy nhiên, có th ể thấy cách phân loại dựa chủ yếu vào cách nhìn từ phát sinh công, thế, không hệ thống hóa phương thức phòng tránh Nguy việc cho Upload File lên Web Server: Khi cài đặt ứng dụng Web, thường người quản trị quên kiểm tra việc phân quyền thư mục chứa file mà người dùng Upload lên server Thông thường thư mục cấp quyền mặc định cho thực thi tập tin có dạng *.exe, *.bat, *.asp, Chính ều này, tạo hội cho phép Hacker upload nh ững file có chứa đoạn mã gây hại sau tìm cách thực thi chúng Tấn công thông qua port không đư ợc kiểm soát: Nếu người quản trị không ý đến port mở Server có nguy bị hacker dò quét lợi dụng port để xâm nhập, công server Web Server không bảo vệ hệ thống mạng: Vấn đề cuối Web Server không đư ợc đặt vị an toàn hệ thống mạng Ta sách xây d ựng hệ thống mạng an toàn, phân vùng đ ặt biệt cho server, firewall giải pháp bảo đảm an toàn cho server Trang 10/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Phần 3: Xây dựng sách an toàn thông tin & biện pháp ngăn ngừa, hạn chế rủi ro cho dịch vụ Web Từ nguy khách quan chủ quan đe dọa hệ thống Web Server trình bày trên, nhóm chúng em có đưa sách gồm nhiều mục nhằm đảm bảo độ an toàn thông tin biện pháp ngăn ngừa hạn chế rủi ro cho dịch vụ Web Chính sách xây dựng phù hợp với nguy trình bày phần I Nguy khách quan: Đường truyền kết nối hệ thống Web Server với Internet bị đứt Hướng giải quyết: Lựa chọn nhà cung cấp ISP chất lượng phục vụ tốt nhất( lựa chọn cáp quang, chọn gói có băng thông rộng, đường truyền ổn định) Nếu đủ khả kéo thêm dây dự phòng Nghĩa lúc thuê đường truyền hai nhà cung cấp khác FPT Internet VNN Việc sử dụng hệ điều hành hệ thống Web Server: Hướng giải quyết: Lựa chọn hệ điều hành phù hợp với mục đích Web Server Phải sử dụng hệ điều hành có quyền Luôn cập nhật vá lỗi hệ điều hành (Patch) Trang 11/18 Đồ án đánh giá an toàn m ạng máy tính Server Huỳnh Cao Tuấn – Phan Hữu Tiếp CD Key Newest Patch Các tác nhân thiên nhiên hay s ự cố khác Safe Hướng giải quyết: Chọn vị trí đặt Server cho tránh lũ lụt (đặt cao), đặt nhà kiên c ố chịu động đất Phòng đặt server phải có hệ thống phòng cháy chữa cháy tiêu chuẩn thích hợp Dùng hướng dẫn ISO27001 để giải tùy tình Có sách quản lý việc vào phòng an toàn: dùng h ệ thống camera ghi nhận lại, dùng ổ khóa Có ghi nhật ký có tác động đến Server: ai?, vào thời điểm ?, có tác động đến Server? Thường xuyên xem file log đ ể có biện pháp xử lý kịp thời Có sách cho việc backup Server thường xuyên Safe 100 % ?????? ? Khu vực an toàn Trang 12/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp II Nguy chủ quan Lỗi SQL Injection Mua software có quyền đầy đủ để Update thường xuyên Thiết lập gán quyền filesystem cẩn thận xác Các INPUT data cần phải kiểm tra cẩn thận để tránh bị xss, sql injection Nếu cho phép include cần kiểm soát nội dung include Thiết lập gán quyền filesystem cẩn thận xác Tối ưu hóa việc quản lý username password c người dùng cách dùng 01 server qu ản lý riêng thông tin đăng nhập Lưu ý kỹ mật phải mã hóa ( dùng sách mã hóa c SQL hay dùng thuật toán mã hóa khác MD5 ) Đăng nhập Đăng nhập thành công Server quản lý thông tin Người dùng Server quản lý CSDL Web Server Cách thức làm giảm thiểu lỗi SQl Injection trình bày lúc ban đầu Tuy nhiên, để ngăn chặn lỗi Injection cách an toàn phụ thuộc nhiều vào kỹ lập trình người lập trình website Thông thường, lập trình viên thường có cách xử lý vấn đề theo 01 phong cách riêng c Ít trao đổi hay nghiên cứu phương pháp Đây hướng để hacker dựa vào để tìm cách đánh phá Do vậy, lập trình viên thường xuyên cập nhật kỹ lập trình để xây dựng phương pháp lập trình an toàn Một cách để giảm thiểu khả gây hại SQL Injection thực thi câu lệnh SQl Server thông qua Store Procedure hệ CSDL ( Ví dụ dùng SQL Server) Cách vi ết giảm thiểu lớn khả người sử dụng cố tình chèn đoạn mã nguy hiểm Trang 13/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp cho Server xử lý Ví dụ xóa toàn liệu hệ thống, lấy liệu trái phép Yêu cầu liệu thông qua Procedure SQL Injection Not Work ??? Kết yêu cầu trả từ Server Server tiến hành xử lý yêu cầu Server quản lý thông tin đăng nhập người dùng, ta chứa thêm ứng dụng web Còn Server CSDL c Website ta nên để riêng Tấn công theo chế DOS hay DDOS: Hướng giải quyết: Hiện tại, chưa có phương pháp phòng chống DDOS cách toàn diện Có nhiều công cụ tự động công DoS, chủ yếu công phân tán DDoS TFN, TFN2000 (Tribe Flood Network) t ấn công dựa nguyên lý Smurf, UDP, SYN, hay ICMP; Trinoo cho UDP flood; Stacheldraht cho TCP ACK, TCP NULL, HAVOC, DNS flood, ho ặc tràn ngập TCP với packets headers ngẫu nhiên Do đó, ta phải nghiên cứu cách phòng chống mà nhà quản trị khác sử dụng, xem có phù hợp với hệ thống hay không Đó đề xuất triển khai nhiều Dưới kinh nghiệm thực tiễn mà em biết được: Thứ nhất: Xây dựng hệ thống phòng thủ vật Phương pháp yêu cầu kinh phí nhiều ( vật chất lẫn người) Sử dụng hệ thống Firewall chuyên chống DOS, hệ thống phát DOS Thứ hai: Trong trình lập trình, đưa số cách phòng thủ trang web user yêu c ầu, server trả yêu cầu Có thể giới hạn số Trang 14/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp lần yêu cầu user khoảng thời gian Kiểm soát IP truy cập hệ thống Thứ ba: Thường xuyên kiểm tra trạng thái băng thông, xem lưu lượng băng thông biến đổi nào? Có bị tăng cách đột biến hay không ? Thời điểm tăng? IP chi ếm dụng thông nhiều Thứ tư: Luôn kiểm tra trạng thái Web Server Có thể dùng phần mềm hỗ trợ để giảm thiểu công việc Quan trọng trạng thái làm việc CPU, HDD, RAM (Kinh nghi ệm thực tiễn: kiểm tra đèn HDD có sáng liên tục hay không => Có user tr uy xuất liệu bất hợp pháp) Thứ năm: hệ thống Web Server hoàn hảo phụ thuộc nhiều vào người quản trị mạng Người quản trị mạng phải thường xuyên cập nhật kiến thức Điều đơn giản: Biết hệ thống bị suy yếu chỗ có biện pháp khắc phục Thứ năm: Đây phần quan trọng Có sách hợp lý Server bị công DOS Tùy trường hợp định server ngưng hoạt động để vá lỗi hay không? Phải có phối hợp chặt chẽ phòng ban trình x lý cố Việc UpLoad File lên hệ thống Web Server: Hướng giải quyết: Kiểm tra kỹ việc phân quyền thư mục Server Có chế kiểm tra virus file trước lên Server Hạn chế loại file đưa lên Server Ngăn ng ừa trường hợp Upload kèm theo đoạn mã nguy hiểm Giới hạn dung lượng file mức cho phép để không chiếm băng thông Upload Khi thuê hosting nên thuê host c ISP uy tín, tránh trư ờng hợp Web bị đánh từ nội Chú ý việc gia hạn Domain Trang 15/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Giới hạn dung lượng Upload File Upload File Go home !!! Tấn công thông qua port kh ác: Hướng giải quyết: Kiểm tra port Server cách kỹ lưỡng Riêng 02 port HTTP FTP ph ải phân quyền chia băng thông rõ ràng cho port Tùy theo chức Server mà ta phân chia hợp lý.Các port khác Server không sử dụng nên chặn lại không cho can thiệp đến Port HTTP, FTP Các port khác không sử dụng User sử dụng Khóa Server Xây dựng hệ thống mạng an toàn Hướng giải quyết: Server cần đặt vị trí an toàn hệ thống mạng Có firewall, thi ết bị phòng thủ chống xâm nhập trái phép Ta nên tách web server database serv er vi trí khác để bảo vệ chúng Tuy nhiên, cần ý, Web Server có nhiều người truy cập đến phòng thủ chặt chẽ người dùng tốn thời gian lấy liệu từ Server.Tuy theo Web Server có ch ức mà ta định xây dựng Firewall nào? Trang 16/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Nên tách phân chia băng thông r õ ràng cho Upload Download Điều quan trọng WebServer c ần ý: Độ xác liệu web số lượng user truy cập vào Web Server vào thời điểm tránh trường hợp thắt nút chai Dùng phương pháp để mã hóa liệu quan trọng CSDL Mật người quản trị thường xuyên thay đổi Luôn phải backup liệu thường xuyên Nếu trang bị Server dự phòng Dưới mô hình mà em đề xướng Trong mô hình không đề xướng chi tiết dùng Server hãng nào? Router lo ại nào? CSDL gì? Phần mềm chống virus ? Firewall nào? T ất người quản trị định triển khai thực tiến Tất lý thuyết trình bày tương đối Đăng nhập User sử dụng Firewall + phần mềm chống virus Server quản lý user Chứa ứng dụng web Thông tin userame password phải bảo mật kỹ Password phải có chế mã hóa Yêu cầu: người dùng phải thay đổi mật thường xuyên đặt mật phải có độ khó để không bị phát Server quản lý đăng nhập Chứa ứng dụng web Phải có chế backup CSDL thường xuyên theo định kỳ Mọi yêu cầu lên Server lấy liệu phải rõ ràng Khuyến khích dùng chế Procedure hệ quản trị CSDL Server chứa CSDL Server quản lý CSDL Trang 17/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Mô hình tham khảo: Hệ thống kiểm tra Server quản lý User Đăng nhập Website Username Password Chào mừng đến với Website Trang 18/18 [...]...Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Phần 3: Xây dựng chính sách an toàn thông tin & các biện pháp ngăn ngừa, hạn chế rủi ro cho dịch vụ Web Từ những nguy cơ khách quan cũng như chủ quan đe dọa hệ thống Web Server đã được trình bày như trên, nhóm chúng em có đưa ra một chính sách gồm nhiều mục nhằm đảm bảo độ an toàn thông tin cũng như là các... việc ra vào phòng an toàn: dùng h ệ thống camera ghi nhận lại, dùng ổ khóa Có ghi nhật ký những ai có tác động đến Server: ai?, vào thời điểm nào ?, có tác động gì đến Server? Thường xuyên xem file log đ ể có biện pháp xử lý kịp thời Có chính sách cho việc backup Server thường xuyên Safe 100 % ?????? ? Khu vực an toàn Trang 12/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp II... DOS, các hệ thống phát hiện được DOS Thứ hai: Trong quá trình lập trình, đưa ra một số cách phòng thủ trang web khi user yêu c ầu, và server trả về yêu cầu Có thể giới hạn số Trang 14/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp lần yêu cầu của 1 user trong 1 khoảng thời gian Kiểm soát các IP truy cập hệ thống Thứ ba: Thường xuyên kiểm tra trạng thái của băng thông, xem lưu... người truy cập đến nếu phòng thủ quá chặt chẽ thì người dùng tốn thời gian lấy dữ liệu từ Server.Tuy theo Web Server có ch ức năng gì mà ta quyết định xây dựng Firewall như thế nào? Trang 16/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Nên tách phân chia băng thông r õ ràng cho Upload và Download Điều quan trọng trong WebServer là c ần chú ý: Độ chính xác của dữ liệu trên web... của các file ở một mức cho phép để không chiếm băng thông Upload Khi thuê hosting nên thuê host c ủa các ISP uy tín, tránh trư ờng hợp Web bị đánh từ trong nội bộ Chú ý việc gia hạn Domain Trang 15/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Giới hạn dung lượng Upload File Upload File Go home !!! 4 Tấn công thông qua các port kh ác: Hướng giải quyết: Kiểm tra các port của... xây dựng phương pháp lập trình an toàn Một trong những cách để giảm thiểu khả năng gây hại của SQL Injection là thực thi các câu lệnh trên SQl Server thông qua Store Procedure của hệ CSDL ( Ví dụ dùng SQL Server) Cách vi ết này giảm thiểu rất lớn khả năng người sử dụng cố tình chèn đoạn mã nguy hiểm Trang 13/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp cho Server xử lý Ví... ràng Khuyến khích dùng cơ chế Procedure của hệ quản trị CSDL Server chứa CSDL Server quản lý CSDL Trang 17/18 Đồ án đánh giá an toàn m ạng máy tính Huỳnh Cao Tuấn – Phan Hữu Tiếp Mô hình tham khảo: Hệ thống kiểm tra Server quản lý User Đăng nhập Website Username Password Chào mừng đến với Website Trang 18/18 ... giải quyết: Lựa chọn hệ điều hành phù hợp với mục đích của Web Server Phải sử dụng hệ điều hành có bản quyền Luôn luôn cập nhật bản vá lỗi của hệ điều hành (Patch) Trang 11/18 Đồ án đánh giá an toàn m ạng máy tính Server 3 Huỳnh Cao Tuấn – Phan Hữu Tiếp CD Key Newest Patch Các tác nhân thiên nhiên hay s ự cố khác Safe Hướng giải quyết: Chọn vị trí đặt Server sao cho có thể tránh được lũ lụt (đặt trên cao),... chức năng của Server mà ta phân chia hợp lý.Các port khác của Server không sử dụng thì nên chặn lại không cho can thiệp đến Port HTTP, FTP Các port khác không sử dụng User sử dụng 5 Khóa Server Xây dựng hệ thống mạng an toàn Hướng giải quyết: Server cần được đặt ở vị trí an toàn trong hệ thống mạng Có firewall, các thi ết bị phòng thủ chống các cuộc xâm nhập trái phép Ta nên tách web server và database... Server Có thể dùng các phần mềm hỗ trợ để giảm thiểu công việc Quan trọng là trạng thái làm việc của CPU, HDD, RAM (Kinh nghi ệm thực tiễn: kiểm tra đèn của HDD có sáng liên tục hay không => Có user đang tr uy xuất dữ liệu bất hợp pháp) Thứ năm: hệ thống Web Server hoàn hảo còn phụ thuộc rất nhiều vào người quản trị mạng Người quản trị mạng phải thường xuyên cập nhật những kiến thức mới Điều đơn giản: