An toàn và bảo mật thông tin

An tồn bảo mật thơng tin admin02/10/2015 An tồn bảo mật Chưa có bình luận An tồn bảo mật thông tin cung cấp kiến thức / kỹ         Cập nhật vá lỗi cho hệ điều hành phần mềm Xóa bỏ phần mềm độc hại Loại bỏ phần mềm spyware Tìm lỗ hổng bảo mật: máy chủ, phần mềm, ứng dụng Thiết lập tường lửa Danh sách điều khiển truy cập Có thể đảm nhận nhiệm vụ kỹ thuật viên an ninh hệ thống cho mạng máy tính doanh nghiệp nhỏ vừa Có thể thi lấy chứng kỹ thuật viên bảo mật quốc tế CompTIA Security+ Mô tả mơn học an tồn bảo mật thơng tin              Các kiến thức chung bảo mật Các phần mềm độc hại dạng công kỹ nghệ xã hội Các cách công vào mạng vào ứng dụng Đánh giá khả thiệt hại làm giảm bớt công Bảo đảm an toàn cho máy chủ, cho ứng dụng cho liệu Bảo đảm an toàn cho mạng Quản trị mạng an toàn Bảo đảm an toàn cho mạng không dây Các kiến thức điều khiển việc truy cập Việc xác thực cách quản lý tài khoản Các kiến thức mật mã Đảm bảo hoạt động liên tục kinh doanh Cách làm giảm bớt rủi ro an ninh mạng Nội dung mơn học an tồn bảo mật thông tin Bài 1: Giới thiệu bảo mật thông tin  Các thử thách bảo mật thơng tin  Bảo mật thơng tin  Ai kẻ công?  Tấn công phòng thủ  Phòng thủ để chống lại cơng Bài 2: Các phương pháp công  Tấn công sử dụng phần mềm độc hại  Tấn công sử dụng kỹ nghệ xã hội Bài 3: Tấn công vào ứng dụng mạng  Tấn công vào ứng dụng  Tấn công vào mạng  Đánh giá điểm yếu  Quét tìm lỗ hổng kiểm tra thâm nhập  Làm giảm ngăn chặn Các công Bài 4: Bảo mật máy chủ, ứng dụng mạng  Bảo mật cho máy chủ  Bảo mật cho ứng dụng  Đảm bảo an toàn cho liệu  Bảo mật thông qua thiết bị mạng  Bảo mật thông qua công nghệ mạng  Bảo mật thông qua thành phần thiết kế mạng Bài 5: Xây dựng hệ thống tường lửa  Giới thiệu phần mềm tường lửa Microsoft Forefront Threat Management Gateway  Cài đặt Microsoft Forefront Threat Management Gateway  Tạo Access Rule Bài 6: Bảo mật mạng  Các giao thức mạng phổ biến  Các nguyên tắc quản trị mạng  Đảm bảo an toàn cho ứng dụng mạng  Các vụ công vào mạng không dây  Các lỗ hổng bảo mật IEEE 802.11  Các giải pháp bảo mật cho mạng không dây Bài 7: Điều khiển truy cập  Điều khiển truy cập gì?  Thực thi việc điều khiển truy cập  Các dịch vụ xác Thực Bài 8: Xác thực quản lý tài khoản  Các tín vật dùng cho xác thực  Các dạng ký lần (Single Sign-on)  Quản lý tài khoản  Các hệ điều hành tin cậy Bài 1: Giới thiệu bảo mật thơng tin admin05/10/2015 An tồn bảo mật Bình luận Tổng quan bảo mật thông tin  Những thử thách bảo mật thông tin  Những số liệu bật bảo mật giới kỷ 21  Bảo mật cá nhân  Bảo mật thông tin Bảo mật thơng tin  Khơng có giải pháp đơn giản  Nhiều dạng cơng khác  Việc phòng thủ chống lại cơng thường khó khăn Các cơng Sức mạnh tính tốn ngày nâng cao: Giúp cho việc phá mật dễ dàng  Những lỗ hổng phần mềm thường không vá: Các điện thoại thông minh trở thành mục tiêu cơng Các ví dụ công gần     Phần mềm diệt vi rút giả mạo (Được quảng cáo kẻ lấy trộm thẻ tín dụng) Các vụ công ngân hàng trực tuyến Cuộc tranh luận Hội nghị Tin tặc Vụ lừa đảo lệ phí tinh vi mang số hiệu 419 Nigeria (Một kiểu lừa đảo qua Internet hàng đầu)  Đánh cắp danh tính nhờ sử dụng Firesheep  Phần mềm độc hại  Các thiết bị USB bị lây nhiễm Các vụ đánh cắp thơng tin điển hình  Tổ chức Mơ tả cách thơng tin bị đánh cắp Số danh tính bị lộ Seacoast Radiology, NH Thông tin cá nhân bị tiết lộ vụ vi phạm bảo mật 231.400 DeviantART, Silverpop Systems Inc., CA Những kẻ công tiết lộ thơng tin tồn người dùng sở liệu 13.000.000 Trường Đại học Tổng hợp bang Ohio, OH Một số cá nhân đăng nhập trái phép truy cập thông tin sinh viên thành viên trường 750.000 Gawker, NY Kẻ công truy cập vào sở liệu, lấy mật + email người dùng nhân viên 1.300.000 Những khó khăn việc phòng thủ chống lại cơng  Các thiết bị kết nối tồn cầu  Sự gia tăng tốc độ vụ công  Các công ngày tinh vi  Các công cụ công ngày đơn giản sẵn dùng  Các lỗ hổng phát nhanh  Vá lỗi chậm: việc cung cấp vá yếu  Các vụ công phân tán  Người dùng bị bối rối Bảo mật thơng tin gì? Trước phòng thủ, bạn cần hiểu:  Bảo mật thông tin gì?  Tại bảo mật thơng tin lại quan trọng?  Những kẻ công ai? Bảo mật thông tin  Bảo mật (security)  Các bước để bảo vệ người tài sản khỏi mối nguy hại  Mối nguy hại chủ ý vô ý  Phải hy sinh tiện lợi để đổi lấy an tồn  Bảo mật thơng tin (information security): Bảo vệ thông tin dạng số hóa: Thơng tin cung cấp giá trị cho người cho tổ chức Ba hình thức bảo mật thông tin: thường gọi CIA Sự cẩn mật (Confidentiality): Chỉ cá nhân phép truy cập thơng tin  Sự tồn vẹn (Integrity): Đảm bảo thơng tin xác khơng bị thay đổi  Sự sẵn sàng (Availability): Những người có quyền truy cập thông tin Các biện pháp cần thực để bảo mật thông tin   Sự xác thực (authentication): Đảm bảo cá nhân người mà họ tự khai nhận  Sự ủy quyền (authorization): Cấp phép truy cập thơng tin  Kiểm tốn (accounting): Cung cấp khả theo dõi kiện Các tầng bảo mật thông tin Tầng Mô tả Sản phẩm bảo mật Là hình thức bảo mật vật lý, đơn giản khóa cửa, hay phức tạp thiết bị bảo mật mạng Con người Những người cài đặt sử dụng cách đắn sản phẩm bảo mật để bảo vệ liệu Thủ tục, quy trình Các kế hoạch sách tổ chức thiết lập để đảm bảo người sử dụng sản phẩm cách đắn Các thuật ngữ bảo mật thông tin Tài sản (asset): Là phần tử có giá trị Mối đe dọa (threat): Là hành động kiện có khả gây nguy hại Tác nhân đe dọa (threat agent): Người phần tử có sức mạnh gây mối đe dọa Các tài sản công nghệ thông tin    Tên thành phần Ví dụ Tài sản quan trọng? Thông tin Cơ sở liệu khách hàng, nhân viên, sản xuất, bán hàng, tiếp thị, tài Có: Cực kỳ khó thay Phần mềm ứng dụng Ứng dụng giao dịch đơn hàng chuyên dụng, xử lý văn phổ dụng Có: Là phần tùy chỉnh dành riêng cho tổ chứcKhông: Phần mềm phổ dụng Phần mềm hệ thống Hệ điều hành Khơng: Có thể thay dễ dàng Các phần tử vật lý Server, định tuyến (router), đĩa DVD, cấp nguồn Khơng: Có thể thay dễ dàng Các dịch vụ Dịch vụ truyền âm liệu Khơng: Có thể thay dễ dàng Các thuật ngữ bảo mật thông tin  Lỗ hổng (vulnerability) Là thiếu sót hay điểm yếu bị khai thác Tác nhân đe dọa lợi dụng để vượt qua bảo mật Rủi ro (risk)  Khả tác nhân đe dọa khai thác lỗ hổng  Khơng thể loại bỏ hồn tồn  Chi phí q cao  Mất q nhiều thời gian để thực  Một số cấp độ rủi ro phải giả định    Các lựa chọn để đối phó với rủi ro  Chấp nhận rủi ro  Cần biết mát xảy  Làm giảm rủi ro  Thực biện pháp phòng ngừa  Hầu hết rủi ro bảo mật thơng tin phòng ngừa  Chuyển rủi ro sang người khác  Ví dụ: mua bảo hiểm Tầm quan trọng bảo mật thơng tin – Phòng ngừa đánh cắp liệu      – Cản Bảo mật thường đơi với việc phòng ngừa đánh cắp liệu Đánh cắp liệu kinh doanh Thông tin quyền sở hữu Đánh cắp liệu cá nhân Mã số thẻ tín dụng trở việc đánh cắp danh tính Sử dụng trái phép thơng tin người khác Thường nhằm mục đích thu lợi tài Ví dụ:  Đánh cắp SSN cá nhân  Tạo tài khoản tín dụng  Sử dụng tài khoản để mua hàng  Để lại khoản nợ chưa toán – Tránh hậu liên quan tới pháp luật    Luật pháp bảo vệ quyền riêng tư liệu điện tử Đạo luật trách nhiệm giải trình tính khả chuyển bảo hiểm sức khỏe năm 1996 (HIPAA)  Đạo luật Sarbanes-Oxley năm 2002 (Sarbox)  Đạo luật Gramm-Leach-Bliley (GLBA)  Đạo luật khai báo vi phạm bảo mật sở liệu bang California (2003) – Duy trì sản xuất   Việc khắc phục hậu sau bị cơng làm lãng phí tài ngun  Thời gian tiền bạc – Đẩy lui chủ nghĩa khủng bố tin học (cyberterrorism)           Mục tiêu khủng bố tin học: thơng tin, hệ thống máy tính, liệu Ngân hàng Quân đội Năng lượng (các nhà máy điện) Giao thông (các trung tâm điều khiển hàng không) Các hệ thống cấp nước Mục đích khủng bố tin học: Gây hoảng loạn tinh thần Kích động bạo lực Gây thảm họa tài Kẻ cơng ai? Phân loại kẻ công  Hacker (tin tặc)  Kẻ viết kịch non tay (Script kiddie)  Gián điệp (Spy)  Nội gián (Insider)  Tội phạm máy tính (Cybercriminal)  Kẻ khủng bố tin học (Cyberterrorist) Hacker: Tin tặc (hacker)  Những người sử dụng kỹ máy tính để cơng máy tính  Thuật ngữ không phổ biến cộng đồng bảo mật Tin tặc mũ trắng (white hat hacker)  Mục đích lỗ hổng bảo mật  Không đánh cắp làm hỏng liệu Tin tặc mũ đen (black hat hacker): Mục đích gây hại hủy diệt Kẻ viết kịch non tay: Kẻ viết kịch non tay (script kiddie) Là người dùng khơng có kỹ Mục đích cơng: bẻ khóa máy tính để phá hoại Cách thức tiến hành  Tải phần mềm công tự động (mã kịch bản)  Sử dụng phần mềm để thực hành vi nguy hại  Các phần mềm cơng đa số có hệ thống menu Việc công trở nên dễ dàng với người dùng khơng có kỹ  40% vụ công thực kẻ viết kịch non tay Gián điệp: Gián điệp máy tính (spy)    Được thuê để công máy tính hệ thống cụ thể: Có kỹ máy tính xuất sắc: Khả cơng che đậy dấu vết Mục đích: đánh cắp thơng tin mà không gây ý hành động họ Nội gián    Nhân viên, nhà thầu đối tác kinh doanh Ví dụ vụ công nội gián gây  Nhân viên chăm sóc sức khỏe tiết lộ thông tin sức khỏe người tiếng Do bất mãn bị đuổi việc  Nhân viên phủ phát tán mã kịch độc hại  Nhà đầu tư chứng khoán che giấu khoản lỗ thông qua giao dịch giả mạo  Sĩ quan quân đội Mỹ tiếp cận tài liệu nhạy cảm  48% vi phạm liên quan tới “rò rỉ liệu” có liên quan tới nội gián Tội phạm máy tính   Tội phạm máy tính (cybercriminal): Mạng lưới gồm kẻ công, đánh cắp danh tính, gửi thư rác, lừa đảo tài  Những điểm khác biệt so với kẻ công thông thường  Động cao  Sẵn sàng chấp nhận rủi ro nhiều  Kiếm lợi nhiều  Ngoan cố  Mục đích: Tập trung vào lợi ích tài Tội ác máy tính (cybercrime)   Mục tiêu công nhằm vào mạng tài  Truy cập trái phép thơng tin  Đánh cắp thơng tin cá nhân Tội phạm tài mạng (financial cybercriminal)  Bn bán thẻ tín dụng thơng tin tài  Sử dụng thư rác để thực lừa đảo Những kẻ khủng bố tin học: Những kẻ khủng bố tin học (cyberterrorist) Động liên quan tới hệ tư tưởng, tín ngưỡng… Mục đích công:  Hủy hoại thông tin điện tử, phát tán thông tin thất thiệt tuyên truyền  Ngăn cản dịch vụ dành cho người dùng máy tính hợp pháp  Thực vụ xâm nhập trái phép  Hậu quả:  Làm tê liệt hoạt động sở hạ tầng chủ chốt  Làm sai hỏng thông tin quan trọng Tấn công phòng thủ   Đặc điểm chung dạng công: Đều sử dụng chung bước Để bảo vệ máy tính khỏi bị cơng: Làm theo năm nguyên tắc bảo mật Các bước vụ công        Chứng nghiệm thông tin: Thông tin loại phần cứng phần mềm sử dụng Thâm nhập tuyến phòng thủ: Bắt đầu cơng Sửa đổi thiết lập bảo mật: Cho phép kẻ công xâm nhập trở lại hệ thống bị hại cách dễ dàng Vòng sang hệ thống khác: Sử dụng công cụ tương tự để công sang hệ thống khác Làm tê liệt mạng thiết bị Phòng thủ chống lại cơng: Các nguyên tắc bảo mật     Phân tầng Giới hạn Đa dạng Gây khó hiểu  Đơn giản Phân tầng Bảo mật thông tin phải tạo thành tầng Cơ chế phòng vệ đơn lẻ bị vượt qua cách dễ dàng Kẻ cơng khó khăn phải vượt qua tất tầng phòng thủ  Phương pháp bảo mật phân tầng  Rất hữu dụng để chống lại nhiều kiểu công khác  Mang lại bảo vệ toàn diện Giới hạn    Giới hạn truy cập thông tin: Giảm mối đe dọa thông tin Chỉ người cần sử dụng thông tin cấp phép truy cập: Khối lượng truy cập bị hạn chế, người dùng truy cập cần biết  Các phương pháp giới hạn truy cập  Công nghệ: Cấp quyền truy cập file  Áp dụng thủ tục: Cấm xóa tài liệu khỏi kho tài sản Đa dạng   Liên quan mật thiết tới việc phân tầng: Các tầng phải khác (đa dạng) Nếu kẻ công vượt qua tầng: Những kỹ thuật tương tự không thành công để xuyên phá tầng khác  Việc vi phạm tầng bảo mật khơng làm ảnh hưởng tới tồn hệ thống  Ví dụ đa dạng: Sử dụng sản phẩm bảo mật hãng sản xuất khác Gây khó hiểu   Làm khó hiểu chi tiết bên giới bên ngồi Ví dụ: khơng tiết lộ thơng tin chi tiết về:  Kiểu máy tính  Phiên hệ điều hành  Nhãn hiệu phần mềm sử dụng  Những kẻ cơng khó khăn để thực công thông tin chi tiết hệ thống Đơn giản  Bản chất bảo mật thông tin phức tạp Các hệ thống bảo mật phức tạp  Gây khó hiểu khó khắc phục cố  Thường thỏa hiệp để người dùng tin cậy dễ sử dụng  Hệ thống bảo mật nên đơn giản: Để người nội hiểu sử dụng  Đơn giản với bên  Phức tạp bên ngồi Tổng kết  Các vụ cơng vào bảo mật thông tin gia tăng theo hàm mũ năm gần  Có số lý khiến cho việc phòng thủ chống lại vụ cơng gặp khó khăn  Bảo mật thơng tin: bảo vệ tính tồn vẹn, tính cẩn mật tính sẵn sàng thơng tin:  Trên thiết bị lưu trữ, xử lý truyền tải thông tin  Sử dụng sản phẩm, người thủ tục  Mục đích bảo mật thơng tin  Ngăn chặn đánh cắp liệu  Ngăn chặn đánh cắp danh tính   Tránh hậu liên quan tới luật pháp việc không bảo mật thơng  tin Duy trì sản xuất Đẩy lùi chủ nghĩa khủng bố tin học  Những kẻ cơng máy tính thuộc nhiều thành phần khác nhau, với động khác  Năm bước vụ công Bài tập thực hành  Bài thực hành số 1: Sử dụng chương trình Secunia Personal Software Inspector (PSI) để phát cài đặt cập nhật phần mềm  Bài thực hành số 2: Quét phần mềm độc hại sử dụng công cụ Microsoft Windows Software Removal  Bài thực hành số 3: Sử dụng phần mềm phân tích EULA – End User Licence Aggrement   Bài 2: Các phương pháp cơng mạng admin07/10/2015 An tồn bảo mật Chưa có bình luận Mục tiêu học phương pháp công mạng  Mô tả khác vi rút sâu máy tính  Liệt kê kiểu phần mềm độc hại giấu  Nhận dạng loại phần mềm độc hại kiếm lợi  Mô tả kiểu công tâm lý sử dụng kỹ nghệ xã hội  Giải thích vụ cơng vật lý sử dụng kỹ nghệ xã hội Tấn công sử dụng phần mềm độc hại Phần mềm độc hại (malware)  Xâm nhập vào hệ thống máy tính khơng hay biết hay đồng ý chủ nhân  Dùng để loạt phần mềm gây hại gây phiền nhiễu  Mục đích phần mềm độc hại  Lây nhiễm hệ thống  Che dấu mục đích  Thu lợi bất Phần mềm độc hại lan truyền     Phần mềm độc hại lan truyền: Dạng phần mềm độc hại nhắm tới mục tiêu chủ yếu lan truyền Có hai dạng phần mềm độc hại lan truyền:  Vi rút (virus)  Sâu (worm) Phần mềm độc hại lan truyền – Vi rút  Vi rút (virus): Là mã máy tính nguy hiểm, có khả tái tạo máy tính  Các phương thức lây nhiễm vi rút  Lây nhiễm kiểu nối thêm  Lây nhiễm kiểu mát Thụy Sĩ  Lây nhiễm kiểu chia tách  Khi chương trình nhiễm vi rút khởi động:  Tự nhân (lây lan sang file khác máy tính)  Kích hoạt chức phá hoại  Hiển thị thông điệp gây phiền nhiễu  Thực hành vi nguy hiểm  Các ví dụ hoạt động vi rút  Làm cho máy tính lặp lặp lại cố           Xóa file định dạng lại ổ cứng  Tắt thiết lập bảo mật máy tính Vi rút khơng thể tự động lây lan sang máy tính khác Nó phụ thuộc vào hành động người dùng để lây lan Các vi rút đính kèm theo file Vi rút lan truyền cách truyền nhận file bị nhiễm vi rút Các loại vi rút máy tính  Vi rút chương trình (program virus): Lây nhiễm file thực thi  Vi rút macro (macro virus): Thực thi đoạn mã kịch  Vi rút thường trú (resident virus): Vi rút lây nhiễm file người dùng hệ điều hành mở  Vi rút khởi động (boot virus): Lây nhiễm vào Master Boot Record  Vi rút đồng hành (companion virus): Chèn thêm chương trình độc hại vào hệ điều hành Phần mềm độc hại lan truyền – Sâu Sâu (worm)  Chương trình độc hại  Khai thác lỗ hổng ứng dụng hệ điều hành  Gửi sang thiết bị mạng khác Sâu có thể:  Sử dụng tài nguyên  Để lại đoạn mã làm hại hệ thống bị lây nhiễm Các ví dụ hoạt động sâu  Xóa file máy tính  Cho phép kẻ cơng điều khiển từ xa máy tính bị hại Khác biệt vi-rút sâu Hành động Vi-rút Sâu Lây lan sang máy tính khác Do người dùng truyền file bị lây nhiễm sang máy tính khác Sử dụng hệ thống mạng để di chuyển sang máy tính khác Cách thức hoạt động Chèn mã vào file Khai thác lỗ hổng ứng dụng hệ điều hành Cần tác động từ phía người dùng Có Khơng Khả điều khiển từ xa Khơng Có  Phần mềm độc hại giấu Phần mềm độc hại giấu (concealing malware)  Dạng phần mềm độc hại có mục tiêu che giấu có mặt chúng trước người dùng  Khác hẳn với việc lan truyền nhanh vi rút sâu  Các dạng phần mềm độc hại giấu  Trojan  Rootkit  Bom lơgíc (logic bomb)  Cửa hậu (backdoor) Phần mềm độc hại giấu – Trojan  Trojan (ngựa thành Troy)  Là chương trình thực mục đích nằm ngồi điều quảng cáo  Thường chương trình thực thi, chứa mã ẩn để thực việc cơng  Đơi ngụy trang dạng file liệu   Các tiến trình nên vận hành cấp độ bảo mật tối thiểu cần thiết để hoạt động xác  Cám dỗ gán mức ưu tiên cao lớn Những thử thách phương pháp ưu tiên  Thử thách Giải thích Các ứng dụng kế thừa Nhiều ứng dụng phát triển nội tổ chức khơng bảo trì ứng dụng bên thứ ba khơng hỗ trợ Việc xây dựng lại ứng dụng chi phí lớn; cách thay chạy ứng dụng môi trường ảo Các nhiệm vụ quản trị chung Những công việc quản trị hệ thống thực người dùng; khơng có đặc quyền cao, người dùng phải liên hệ với trợ lý kỹ thuật để thực nhiệm vụ Cài đặt/Nâng cấp phần mềm Việc cập nhật phần mềm không triển khai tập trung đòi hỏi đặc quyền cao, nghĩa cần tới hỗ trợ từ trợ lý kỹ thuật; điều thường dẫn tới làm giảm suất tăng chi phí hỗ trợ Từ chối ngầm Nếu điều kiện không đáp ứng rõ ràng, yêu cầu truy cập bị từ chối Ví dụ: định tuyến mạng từ chối truy cập ngoại trừ điều kiện phù hợp với quy tắc giới hạn Các kỳ nghỉ bắt buộc   Hạn chế gian lận muốn gian lận, thủ phạm phải có mặt hàng ngày để tiếp tục gian lận che dấu hành vi gian lận  Lên kế hoạch kiểm tra hành vi nhân viên giữ chức vụ nhạy cảm thời gian nghỉ họ Thực thi điều khiển truy cập  Danh sách điều khiển truy cập (Access Control List – ACL)  Chính sách nhóm (Group Policy)  Giới hạn tài khoản Danh sách điều khiển truy cập        Tập quyền gắn với đối tượng Xác định chủ thể truy cập tới đối tượng thao tác mà chủ thể thực Khi chủ thể yêu cầu thực thao tác: Hệ thống kiểm tra danh sách điều khiển truy cập mục duyệt Danh sách điều khiển truy cập thường xem xét mối liên hệ với file hệ điều hành Mỗi mục bảng danh sách điều khiển truy cập gọi mục điều khiển (ACE) Cấu trúc ACE (trong Windows)  Nhận dạng bảo mật (Access identifier) cho tài khoản người dùng tài khoản nhóm phiên đăng nhập  Mặt nạ truy cập (Access mask) xác định quyền truy cập ACE điều khiển Cờ (Flag) cho biết kiểu ACE  Tập cờ (Set of flags) xác định đối tượng kế thừa quyền hay khơng Chính sách nhóm Tính Microsoft Windows  Cho phép sử dụng Active Directory (AD) để quản lý cấu hình tập trung cho máy tính người dùng từ xa  Thường sử dụng môi trường doanh nghiệp  Các thiết lập lưu trữ GPO (Group Policy Object – Đối tượng sách nhóm)  Local Group Policy  Có tùy chọn so với Group Policy  Được sử dụng để cấu hình thiết lập cho hệ thống khơng phải phần AD Giới hạn tài khoản   Giới hạn thời gian ngày (time of day restriction) Giới hạn số lần người dùng đăng nhập vào hệ thống ngày Cho phép chọn khối thời gian chặn truy cập cho phép Có thể thiết lập hệ thống riêng lẻ Hạn sử dụng tài khoản (account expiration)  Các tài khoản “mồ côi” (orphaned account): tài khoản hoạt động sau nhân viên rời khỏi tổ chức  Tài khoản không hoạt động (dormant account): tài khoản không truy cập khoảng thời gian dài  Cả hai kiểu tài khoản nguy bảo mật          Các khuyến cáo xử lý tài khoản “mồ côi” tài khoản “ngủ đơng” Thiết lập qui trình thức Chấm dứt truy cập Quản lý nhật ký (file log) Các tài khoản “mồ côi” vấn đề nan giải đối tổ chức Account expiration (thời gian hiệu lực tài khoản): Thiết lập hết hạn cho tài khoản người dùng (hết hiệu lực)  Password expiration (thời gian hiệu lực mật khẩu) thiết lập khoảng thời gian mà người dùng phải thay đổi mật mới: Khác với account expiration (thời gian hiệu lực tài khoản)  Account expiration thiết lập số ngày mà người dùng khơng có hành động truy cập Các dịch vụ xác thực  Xác thực (Authentication): Quá trình xác minh thơng tin Các dịch vụ xác thực cung cấp mạng: Máy chủ xác thực chun dụng Còn gọi máy chủ AAA thực đồng thời nhiệm vụ ủy quyền (authorization) kiểm toán (accounting)  Các kiểu xác thực máy chủ AAA thông dụng  RADIUS  Kerberos  TACACS  LDAP RADIUS     RADIUS (Remote Authentication Dial In User Service – Bộ quay số xác thực từ xa dịch vụ người dùng)  Được giới thiệu vào năm 1992  Trở thành tiêu chuẩn công nghiệp  Phù hợp cho ứng dụng kiểm sốt dịch vụ cỡ lớn Ví dụ truy cập quay số tới mạng doanh nghiệp  Hiện xẫn sử dụng RADIUS client  Thường thiết bị điểm truy cập không dây (AP)  Có nhiệm vụ gửi thơng tin người dùng với tham số kết nối tới máy chủ RADIUS Hồ sơ người dùng RADIUS lưu trữ sở liệu trung tâm: Tất máy chủ từ xa chia sẻ thơng tin  Ưu điểm dịch vụ trung tâm  Tăng cường bảo mật có điểm quản lý mạng  Dễ dàng theo dõi truy vết việc sử dụng để toán lưu giữ số liệu thống kê mạng Kerberos  Hệ thống xác thực phát triển MIT: Sử dụng mã hóa xác thực để đảm bảo tính bảo mật  Thường sử dụng cài đặt thiết lập giáo dục phủ  Hoạt động giống việc sử dụng giấy phép lái xe để toán séc  Vé Kerberos  Chứa thông tin liên quan tới người dùng  Người dùng trình diện vé vào mạng cho dịch vụ  Rất khó để chép  Hết hiệu lực sau vài sau ngày TACACS        So TACACS (Terminal Access Control Access Control Systems – Hệ thống điều khiển truy cập điều khiển truy cập thiết bị đầu cuối) Dịch vụ xác thực tương tự RADIUS Do Cisco Systems phát triển Thường sử dụng thiết bị UNIX Giao tiếp cách chuyển tiếp thông tin xác thực người dùng tới máy chủ trung tâm Phiên TACACS+ sánh RADIUS TACACS+ LDAP Giới thiệu LDAP (Lightweight Directory Access Control – Giao thức truy cập thư mục hạng nhẹ)  Dịch vụ thư mục  Cơ sở liệu lưu mạng  Chứa thông tin người dùng thiết bị mạng  Lưu vết theo dõi tài nguyên mạng đặc quyền người dùng tài nguyên  Cho phép từ chối truy cập dựa thông tin lưu trữ  Tiêu chuẩn cho dịch vụ thư mục: X.500  DAP (Directory Access Protocol – Giao thức truy cập thư mục)  Một tập đơn giản DAP  Được thiết kế để hoạt động giao thức TCP/IP  Có chức đơn giản  Mã hóa thành phần giao thức theo cách đơn giản so với X.500  Là giao thức mở  Nhược điểm LDAP: Có thể mục tiêu công tiêm nhiễm LDAP  Tương tự công tiêm nhiễm SQL  Xảy liệu người dùng cung cấp không lọc cách Tổng kết học điều khiển truy cập   Điều khiển truy cập trình tài nguyên bị từ chối cấp phép truy cập  Có bốn mơ hình điều khiển truy cập  Các quy tắc thực hành tốt để thực thi điều khiển truy cập bao gồm  Tách nhiệm vụ  Luân chuyển công việc  Ưu tiên  Từ chối ngầm  Kỳ nghỉ bắt buộc  Thực thi phương pháp điều khiển truy cập bao gồm  Danh sách điều khiển truy cập  Chính sách nhóm  Giới hạn tài khoản  Các dịch vụ xác thực server AAA chuyên biệt server xác thực cung cấp mạng  RADIUS  Kerberos  TACACS  LDAP Bài tập thực hành điều khiển truy cập      Bài thực hành số 1: Sử dụng Discretionary Access Control (Kiểm soát truy cập tuỳ ý) để uỷ quyền Windows Server 2008 Bài thực hành số 2: Kích hoạt IEEE 802.1x Windows Bài thực hành số 3: Sử dụng việc kiểm soát tài khoản người dùng (User Account Control – UAC) Windows Bài thực hành số 4: Sử dụng Discretionary Access Control để chia sẻ thư mục Windows Bài 8: Xác thực tài khoản, quản lý tài khoản admin22/10/2015 An tồn bảo mật Chưa có bình luận Mục tiêu học xác thực tài khoản  Mô tả ba kiểu xác thực thơng tin  Giải thích mà mơ hình đăng nhập đơn thực  Liệt kê thủ tục quản lý tài khoản để bảo mật mật  Định nghĩa hệ điều hành tin cậy Giới thiệu Xác thực thơng tin: Q trình nhằm đảm bảo người có ý định truy cập tới tài nguyên đáng tin cậy  Các chủ đề đề cập  Xác thực quản lý bảo mật tài khoản người dùng  Các kiểu xác thực thơng tin khác  Mơ hình đăng nhập đơn  Các kỹ thuật công nghệ quản lý bảo mật tài khoản người dùng  Các hệ điều hành tin cậy Xác thực thông tin  Các kiểu xác thực thơng tin    Bạn có gì? Ví dụ: khóa từ xe tơ Bạn ai? Ví dụ: đặc điểm khn mặt công nhận tiếp viên câu lạc sức khỏe Bạn biết gì? Ví dụ: Sự kết hợp mật mã để mở cửa tủ để đồ câu lạc sức khỏe Bạn biết nật  Khi người dùng đăng nhập vào hệ thống Được yêu cầu xác định danh tính: Người dùng nhập tên đăng nhập (username)  Người dùng yêu cầu cung cấp thông tin để xác thực: Người dùng nhập mật Mật kiểu xác thực phổ biến Mật đem lại bảo vệ mức yếu    Những điểm yếu mật Điểm yếu mật có liên quan đến trí nhớ người  Con người nhớ số lượng ghi hữu hạn  Những mật dài, phức tạp đem lại hiệu tốt khó nhớ  Người dùng phải ghi nhớ mật nhiều tài khoản khác  Các sách bảo mật qui định mật hết hiệu lực sau khoảng thời gian: Người dùng phải ghi nhớ mật nhiều lần  Người dùng thường chọn đường tắt  Sử dụng mật yếu: Ví dụ: từ thơng dụng, mật ngắn, thông tin cá nhân  Sử dụng lại mật cho nhiều tài khoản khác nhau: Kẻ công dễ dàng truy cập tới tài khoản khác làm hại tài khoản Tấn công vào mật  Kỹ nghệ xã hội: Lừa đảo, nhìn trộm qua vai, lục lọi thùng rác Sao chụp  Bộ theo dõi thao tác bàn phím, trình phân tích giao thức  Tấn cơng kiểu “người đứng giữa” công tái chuyển  Cài đặt lại mật khẩu: Kẻ công đạt truy cập vật lý vào máy tính cài đặt lại mật  Đốn trực tuyến: Khơng thực thiết thực  Phá khóa ngoại tuyến  Phương thức sử dụng hầu hết công mật  Kẻ công đánh cắp file chứa mật mã hóa: Đối chiếu với mật mã hóa chúng tạo  Các kiểu phá khóa ngoại tuyến  Tấn cơng “bạo lực”  Tấn công dùng từ điển Tấn công “bạo lực”   Đặc điểm công “bạo lực” (brute-force attack)  Mọi khả kết hợp chữ cái, chữ số ký tự sử dụng để tạo mật mã hóa, sau đối chiếu với file đánh cắp  Tốc độ chậm triệt để  Các tham số chương trình cơng “bạo lực” tự động  Độ dài mật  Bộ ký tự  Ngôn ngữ  Mẫu mật  Bước nhảy Tấn công dùng từ điển   Tấn công dùng từ điển (dictionary attack) Kẻ cơng tạo phiên mã hóa từ thông dụng từ điển  So sánh với file mật đánh cắp Đặc điểm công dùng từ điển  Kẻ công tạo phiên mã hóa từ thơng dụng từ điển  So sánh với file mật đánh cắp   Biến thể công dùng từ điển: Tấn công lai ghép (hybrid attack): Thay đổi từ từ điển  Thêm chữ số vào cuối mật  Đánh vần từ theo thứ tự ngược  Các từ lỗi tả  Bao gồm ký tự đặc biệt Tấn công sử dụng bảng cầu vồng  Bảng cầu vồng (Rainbow table): Chứa số lượng lớn mật mã hóa tạo sẵn  Các bước sử dụng bảng cầu vồng: Tạo bảng  Chuỗi mật thơ  Mã hóa mật ban đầu  Truyền vào hàm để tạo mật thô khác  Lặp lại số vòng định  Sử dụng bảng cầu vồng để bẻ mật  Sử dụng thủ tục tạo bảng cầu vồng khởi tạo chạy với mật mã hóa file đánh cắp  Kết thu chuỗi mật khởi tạo  Lặp lại nhiều lần, bắt đầu với mật kết vừa thu tìm thấy mật mã hóa gốc  Mật sử dụng bước lặp cuối mật bẻ  Ưu điểm bảng cầu vồng so với phương thức công khác  Có thể tái sử dụng nhiều lần  Tốc độ nhanh so với công dùng từ điển  Yêu cầu nhớ máy tính Bảo vệ mật    Tạo sử dụng mật mạnh: Hiểu sâu sắc cách thức tạo mật mạnh thông qua việc nghiên cứu phương thức công mật Hầu hết mật gồm hai phần:  Phần gốc Phần đính kèm: Tiền tố hậu tố Phương thức chương trình cơng mật  Kiểm tra đối chiếu mật với 1000 mật thông dụng  Kết hợp mật với hậu tố thông dụng  Sử dụng 5.000 từ thông dụng, 10.000 tên riêng, 100.000 từ tổng hợp có từ điển  Sử dụng chữ in thường, chữ in hoa ký tự đầu, chữ in hoa toàn chữ in hoa ký tự cuối  Thay ký tự từ điển ký tự đặc biệt Ví dụ: $ thay cho s, @ thay cho a Những gợi ý chung để tạo mật mạnh  Khơng sử dụng từ có từ điển từ phiên âm  Không sử dụng ngày sinh, tên thành viên gia đình, tên vật nuôi, địa hay thông tin cá nhân  Không lặp lại ký tự sử dụng thứ tự  Không sử dụng mật ngắn Quản lý mật  Biện pháp phòng vệ quan trọng: ngăn không cho kẻ công lấy file mật mã hóa  Phòng chống đánh cắp file mật  Khơng để máy tính khơng có người giám sát  Chế độ bảo vệ hình nên thiết lập để yêu cầu mật phục hồi  Thiết lập mật bảo vệ ROM BIOS  Sử dụng khóa vật lý bảo vệ máy tính để khơng cho phép mở máy  Các biện pháp quản lý mật tối ưu  Thay đổi mật thường xuyên  Không sử dụng lại mật cũ Các thủ tục quản lý mật tối ưu  Không viết mật  Sử dụng mật riêng cho tài khoản  Thiết lập mật tạm thời cho việc truy cập người dùng khác  Không cho phép chế độ tự động đăng nhập vào tài khoản máy tính  Khơng nhập mật máy tính truy cập công cộng  Không nhập mật kết nối vào mạng khơng dây chưa mã hóa Một số dẫn khác: Sử dụng ký tự bàn phím Được tạo cách giữ phím ALT gõ phím số Bổ sung mật  Vấn đề: việc quản lý hàng loạt mật mạnh gánh nặng với người dùng  Giải pháp: dựa vào công nghệ để lưu trữ quản lý mật  Trình duyệt Web Internet Explorer (IE) Firefox chứa chức cho phép người dùng lưu giữ mật  Mật tự động hồn thành IE: Được mã hóa lưu trữ registry Windows Nhược điểm bổ sung mật  Thông tin mật cụ thể với máy tính  Mật bị lộ người dùng khác phép truy cập vào máy tính Các ứng dụng quản lý mật khẩu:Người dùng tạo lưu trữ mật file “kho chứa” bảo vệ mật chủ an tồn (strong master password) Các tính ứng dụng quản lý mật              Khả kéo thả Mã hóa nâng cao Bảo vệ nhớ giúp ngăn không cho đệm hệ điều hành bị xâm hại  Hẹn để giải phóng đệm clipboard Các ứng dụng quản lý mật Kiểu ứng dụng Mô tả Ưu điểm Nhược điểm Ứng dụng cài đặt Được cài đặt chương trình máy tính Cho phép người dùng truy cập tới mật mà không cần nhớ Phải cài đặt máy tính phải cập nhật máy tính Ứng dụng di động Ứng dụng độc lập chứa ổ USB flash Người dùng khơng bị giới hạn máy tính cài đặt sẵn ứng dụng Người dùng phải mang theo ổ USB flash để không cho người khác sử dụng Lưu trữ Internet Ứng dụng file lưu trữ trực tuyến Có thể truy cập chương trình file từ máy tính Việc lưu trữ mật trực tuyên bị xâm hại kẻ cơng Bạn có gì: Thẻ xác thực thẻ từ? Thẻ xác thực (token) Thiết bị nhỏ có hình hiển thị Đồng với máy chủ xác thực Mã sinh từ thuật toán Mã thay đổi sau 30 60 giây  Các bước đăng nhập người dùng sử dụng thẻ xác thực  Người dùng nhập tên đăng nhập mã thẻ xác thực cung cấp  Máy chủ xác thực tìm kiếm thuật tốn gắn liền với người dùng, sinh mã so sánh với mã người dùng  Nếu hai mã trùng khớp, người dùng xác thực  Những ưu điểm thẻ xác thực so với mật khẩu: Mã thẻ xác thực thay đổi thường xuyên Kẻ công cần phải phá mã khoảng thời gian hữu hạn Sinh mã so sánh mã      Những ưu điểm thẻ xác thực so với mật Người dùng khơng cần quan tâm việc mật bị đánh cắp Nếu thẻ xác thực bị đánh cắp, mối nguy hại trở nên rõ ràng: Cần có bước để vơ hiệu hóa tài khoản  Các biến thể hệ thống sử dụng thẻ xác thực  Một số hệ thống sử dụng mã thẻ xác thực  Một số khác sử dụng mã thẻ xác thực kết hợp với mật  Một số kết hợp mã PIN với mã thẻ xác thực  Thẻ từ (card)  Thẻ thơng minh chứa mạch tích hợp (chip) lưu giữ thơng tin  Các chân tiếp xúc cho phép truy cập điện tử tới nội dung bên Chip  Thẻ khơng tiếp xúc: Khơng đòi hỏi truy cập vật lý tới thẻ  Các thẻ truy cập chung (Common Access Card – CAC)  Do Bộ quốc phòng Mỹ ban hành  Chứa mã vạch, dải từ ảnh chủ thẻ Bạn ai: Sinh trắc học      Sinh trắc học tiêu chuẩn  Sử dụng đặc điểm vật lý mang tính cá biệt người để xác thực  Máy quét dấu vân tay kiểu phổ biến  Các đặc điểm khuôn mặt, hay mắt sử dụng Các kiểu máy quét dấu vân tay Máy quét dấu vân tay tĩnh: Chụp ảnh dấu vân tay đối chiếu với hình ảnh file  Máy quét dấu vân tay động: Sử dụng khe hở nhỏ  Nhược điểm sinh trắc học tiêu chuẩn  Chi phí cho thiết bị quét phần cứng  Các đọc ln có lỗi định  Từ chối người dùng hợp lệ  Chấp nhận người dùng không hợp lệ  Sinh trắc học hành vi  Xác thực dựa hành vi thông thường mà người dùng thực  Động lực học gõ phím  Nhận dạng giọng nói  Theo dấu chân máy tính (Computer footprinting)  Động lực học gõ phím  Cố gắng nhận dạng nhịp độ bấm phím người dùng  Mỗi người dùng có tốc độ gõ phím khác  Đạt độ xác lên tới 98%  Sử dụng hai biến đơn  Thời gian dừng (dwell time) (thời gian từ lúc nhấn lúc nhả phím)  Thời gian chuyển (flight time) (thời gian hai thao tác gõ phím)  Nhận dạng giọng nói  Có số đặc tính tạo nên giọng nói riêng người  Mẫu giọng nói tạo  Kẻ cơng khó để xác thực thơng qua ghi âm người dùng: Âm điệu phát âm từ đặt cạnh phần mẫu giọng nói thực  Theo dấu chân máy tính (computer footprinting)  Dựa vào mẫu truy cập điển hình  Vị trí địa lý  Thời gian ngày  Nhà cung cấp dịch vụ Internet  Cấu hình PC  Sinh trắc học nhận thức  Liên quan đến nhận thức, trình tư hiểu biết người dùng  Dễ dàng ghi nhớ dựa trải nghiệm sống người dùng  Kẻ công khó bắt chước  Ví dụ: nhận dạng khn mặt cụ thể  Ví dụ: người dùng chọn kiện đáng nhớ đời yêu cầu cung cấp thông tin chi tiết kiện  Được dự đốn trở thành yếu tố xác thực quan trọng tương lai Mơ hình đăng nhập đơn  Quản lý định danh Sử dụng chứng chứng thực chung cho nhiều mạng Được gọi quản lý định danh liên kết (FIM) mạng thuộc sở hữu tổ chức khác  Mơ hình đăng nhập đơn (SSO) hứa hẹn giúp giảm gánh nặng ghi nhớ tên đăng nhập mật lần Windows Live ID     Được giới thiệu vào năm 1999 với tên gọi NET passport Sau đổi tên thành Microsoft Passport Network, cuối Windows Live ID  Được thiết kế giải pháp SSO cho Website thương mại  Quá trình xác thực  Người dùng nhập tên đăng nhập mật  Người dùng cung cấp cookie “global” tồn khoảng thời gian hữu hạn lưu trữ máy tính với thẻ ID mã hóa  Thẻ ID gửi tới Website  Website sử dụng thẻ ID để xác thực  Website lưu trữ cookie “local” mã hóa, có thời gian tồn hữu hạn máy tính người dùng  Windows Live ID khơng hỗ trợ rộng rãi Hiện sử dụng để xác thực cho: Windows Live, Office Live, Xbox Live, MSN dịch vụ trực tuyến Microsoft OpenID  Quản lý định danh liên kết nguồn mở phân tán (Decentralized open source FIM) Không yêu cầu phải cài đặt phần mềm máy tính desktop Hệ thống nhận dạng dựa URL OpenID cung cấp phương tiện để chứng minh người sử dụng chủ sở hữu URL  Quá trình xác thực:  Người dùng truy cập vào Website miễn phí cung cấp tài khoản OpenID Me.myopenID.com  Người dùng truy cập vào Website thương mại Website khác đăng nhập với tài khoản Open ID  Website chuyển hướng người dùng tới MyOpenID.com, nơi cần phải nhập mật để xác thực  MyOpenID.com chuyển hướng người dùng quay trở lại Website thương mại người dùng xác thực  Điểm yếu bảo mật  Phụ thuộc vào DNS có điểm yếu riêng  Được đánh giá chưa đủ mạnh để áp dụng cho Website ngân hàng Website thương mại điện tử Ủy quyền mở (OAuth)     Cho phép người dùng chia sẻ tài nguyên lưu Website với Website thứ hai: Không cần phải chuyển tiếp thông tin xác thực  Cho phép chia sẻ liệu liên tục Website  Phụ thuộc vào thông tin thẻ xác thực  Thay cho nhu cầu chuyển giao tên đăng nhập mật  Các thẻ xác thực dành riêng cho tài nguyên cụ thể Website khoảng thời gian hữu hạn Các thiết lập sách mật  Thuộc tính Mơ tả Thiết lập khuyến cáo Áp đặt lịch sử mật Số mật khác phải sử dụng trước sử dụng lại mật cũ (0 đến 24) Nên thiết lập 24 mật Tuổi cực đại mật Số ngày mật dùng trước người dùng đổi sang mật (0 đến 999) 60 ngày Tuổi cực tiểu mật Số ngày mật lưu giữ trước người dùng thay ngày đổi (0 đến 999); Dộ dài nhỏ mật Số ký tự tối thiểu mật (0 đến 28) Mật cần đáp ứng yêu cầu độ phức tạp Mật không chứa tên tài khoản người dùng, dãy nhiều ký tự liên tiếp, có mặt tên đầy đủ người dùng; … Lưu trữ mật sử dụng mã hóa ngược Việc lưu trữ mật sử dụng mã hóa ngược giống với việc lưu trữ phiên mật thô 12 ký tự Disabled Quản lý tài khoản Quản lý mật người dùng Có thể thực cách thiết lập quy tắc mật Quá cồng kềnh để quản lý người dùng một: Nguy bảo mật thiết lập người dùng bị bỏ sót  Phương pháp ưa dùng hơn: gán đặc quyền theo nhóm Các thiết lập mật nhóm Microsoft Windows  Các thiết lập sách mật (Pasword Policy Settings)  Chính sách khóa tài khoản (Account Lockout Policy) Các thiết lập sách khóa tài khoản    Thuộc tính Thời hạn khóa tài khoản Mơ tả Khoảng thời gian tài khoản bị khóa khơng thể truy cập trước người dùng đăng nhập trở lại Ngưỡng khóa tài khoản Số lần phép đăng nhập thất bại trước tài khoản bị khóa Đặt lại biến đếm khóa tài khoản sau Độ dài thời gian trước thiết lập ngưỡng khóa tài khoản thiết lập Thiết lập khuyến cáo Nhận xét 15 phút Thiết lập thuộc tính q cao làm tăng gọi yêu cầu trợ giúp 30 lần Thiết lập thuộc tính q thấp dẫn tới việc kẻ cơng lợi dụng trạng thái khóa tài khoản kiểu công chặn dịch vụ (DoS) 15 phút Thời gian thiết lập lại phải nhỏ giá trị khoảng thời gian khóa tài khoản Các hệ điều hành tin cậy         Những lỗ hổng hệ điều hành Kích cỡ: hàng triệu dòng mã làm cho việc phát lỗ hổng trở nên khó khăn Một ứng dụng bị xâm hại ảnh hưởng tới tồn máy tính Các ứng dụng tự xác thực thân với ứng dụng khác Khơng có đường dẫn tin cậy người dùng ứng dụng Hệ điều hành không áp dụng nguyên tắc đặc quyền tối thiểu Hệ điều hành tin cậy (trusted OS) OS thiết kế để bảo mật từ ban đầu Có thể ngăn khơng cho kẻ công truy cập tới phần nhạy cảm hệ thống  Có thể ngăn cản quản trị viên vơ tình thực thay đổi gây hại  Các nhà cung cấp hệ điều hành tin cậy: Tập trung vào việc bảo mật thành phần hệ điều hành yếu tố tảng khác  Phương pháp: phân chia dịch vụ hệ điều hành tin cậy cho khách hàng Tổng kết học xác thực tài khoản  Xác thực thơng tin chia thành ba nhóm: bạn biết gì, bạn có bạn  Mật mang lại mức độ bảo mật yếu: Phụ thuộc vào trí nhớ người  Hầu hết công mật sử dụng kỹ thuật phá khóa ngoại tuyến: Kẻ cơng đánh cắp file mật mã hóa  Thẻ xác thực thiết bị nhỏ, sinh mã dựa thuật toán sau khoảng 30 60 giây  Sinh trắc học: Sinh trắc học tiêu chuẩn, sinh trắc học hành vi, sinh trắc học nhận thức  Mơ hình đăng nhập đơn cho phép sử dụng tên đăng nhập mật để truy cập vào tất tài khoản  Các thiết lập Chính sách nhóm cho phép quản trị viên thiết lập giới hạn mật cho tồn nhóm lúc  Các hệ điều hành tin cậy thiết kế với mục đích bảo mật từ ban đầu Bài tập thực hành xác thực tài khoản  Bài thực hành số 1: Sử dụng phần mềm quản lý mật KeePass  Bài thực hành số 2: Cách sử dụng sinh trắc học nhận thức với phần mềm Passface  Bài thực hành số 3: Quản lý mật dựa trình duyệt với LastPass  ... tin cậy Bài 1: Giới thiệu bảo mật thơng tin admin05/10/2015 An tồn bảo mật Bình luận Tổng quan bảo mật thông tin  Những thử thách bảo mật thông tin  Những số liệu bật bảo mật giới kỷ 21  Bảo. .. Bài 4: Bảo mật máy chủ, ứng dụng mạng  Bảo mật cho máy chủ  Bảo mật cho ứng dụng  Đảm bảo an toàn cho liệu  Bảo mật thông qua thiết bị mạng  Bảo mật thông qua công nghệ mạng  Bảo mật thông. ..  Bảo mật thơng tin: bảo vệ tính tồn vẹn, tính cẩn mật tính sẵn sàng thông tin:  Trên thiết bị lưu trữ, xử lý truyền tải thông tin  Sử dụng sản phẩm, người thủ tục  Mục đích bảo mật thơng tin