Nghiên cứu giải pháp đánh giá hệ thống an toàn thông tin : Luận văn ThS. Công nghệ thông tin: 60 48 10

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ ********* VŨ THU UYÊN NGHIÊN CỨU GIẢI PHÁP ĐÁNH GIÁ HỆ THỐNG AN TỒN THƠNG TIN LUẬN VĂN THẠC SĨ Hà Nội – 2011 ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ ********* VŨ THU UYÊN NGHIÊN CỨU GIẢI PHÁP ĐÁNH GIÁ HỆ THỐNG AN TOÀN THƠNG TIN Ngành: Cơng nghệ thơng tin Chun ngành: Cơng Nghệ Phần Mềm Mã số: 60.48.10 LUẬN VĂN THẠC SĨ NGƯỜI HƯỚNG DẪN KHOA HỌC: PSG.TS Nguyễn Hữu Ngự Hà Nội – 2011 MỤC LỤC MỤC LỤC HÌNH MỤC LỤC BẢNG DANH MỤC TÊN VIẾT TẮT MỞ ĐẦU I Lý chọn đề tài II Lịch sử vấn đề .7 III Mục đích, nhiệm vụ nghiên cứu IV Phương pháp nghiên cứu CHƯƠNG 1: TỔNG QUAN 1.1 Tổng quan hệ thống thông tin .9 1.1.1 Khái niệm 1.1.2 Các thành phần hệ thống thông tin 1.1.3 Các điểm yếu hệ thống thông tin 1.2 Các vấn đề chung an tồn thơng tin 13 1.2.1 An tồn thơng tin gì? .13 1.2.2 Các u cầu an tồn thơng tin .13 1.2.3 Các phương pháp bảo vệ an tồn thơng tin 14 1.2.4 Một số giải pháp khắc phục điểm yếu 14 1.3 Giới thiệu tiêu chuẩn đánh giá hệ thống an tồn thơng tin .16 1.3.1 Chuẩn an tồn thơng tin .16 1.3.2 Các tiêu chuẩn đánh giá an tồn thơng tin 17 CHƯƠNG 2: ĐỀ XUẤT GIẢI PHÁP ĐÁNH GIÁ HỆ THỐNG AN TỒN THƠNG TIN 26 2.1 Tiêu chuẩn chung Common Criteria - CC .26 2.1.1 Khái niệm mơ hình chung CC 26 2.1.2 Những yêu cầu chức an toàn SFR 36 2.1.3 Những yêu cầu đảm bảo an toàn SAR 42 2.1.4 Những mức đảm bảo đánh giá (EALs) 47 2.1.5 Nội dung chuẩn PP 49 2.1.6 Lớp đảm bảo đánh giá Hồ sơ bảo vệ APE yêu cầu EAL4 .53 2.2 Phương pháp luận cho đánh giá an toàn - CEM 57 2.2.1 Mối quan hệ CEM CC 57 2.2.2 Sơ đồ tổng quát cho đánh giá 58 2.2.3 CEM hướng dẫn đánh giá lớp đảm bảo APE 60 CHƯƠNG 3: ỨNG DỤNG GIẢI PHÁP ĐÁNH GIÁ HỆ THỐNG AN TỒN THƠNG TIN 72 3.1 Áp dụng CC đánh giá thiết bị FIREWALL/VPN NOKIA sử dụng giải pháp CHECKPOINT VPN-1/FIREWALL-1 .72 3.1.1 Khái quát chung FireWall/VPN Nokia 72 3.1.2 Áp dụng CC vào đánh giá thiết bị Firewall/VPN Nokia 76 3.2 Đánh giá hệ thống an tồn thơng qua điểm yếu 124 KẾT LUẬN 131 TÀI LIỆU THAM KHẢO .132 MỤC LỤC HÌNH Hình 1: Mơ hình PDCA áp dụng cho q trình xử lý ISMS 19 Hình 2: Sơ đồ lịch sử phát triển CC 20 Hình 1: Đặc tả đối tượng quanh CC 27 Hình 2: Mối quan hệ PP, ST TOE 29 Hình 3:Sơ đồ mơi trường phát triển sử dụng 31 Hình 4: Phân tích để đưa mục tiêu an toàn 32 Hình 5: Mơ hình đưa mức đánh giá 33 Hình 6: Phân Lớp, Họ, Thành phần, Phần tử Gói 34 Hình 7: Những chủ thể, thao tác, đối tượng 35 Hình 8: Mơ hình tổng quát CC 35 Hình 9: Cách bố trí lớp chức 36 Hình 10: Phân cấp lớp kiểm toán 37 Hình 11: Phân cấp lớp liên lạc 37 Hình 12: Phân cấp lớp bảo vệ liệu 38 Hình 13: Phân cấp lớp hỗ trợ mật mã 38 Hình 14: Phân cấp lớp định danh xác thực 39 Hình 15: Phân cấp lớp quản lý an toàn 39 Hình 16: Phân cấp lớp riêng tư 40 Hình 17: Phân cấp lớp chức an toàn 40 Hình 18: Phân cấp lớp sử dụng tài nguyên 41 Hình 19: Phân cấp lớp truy cập 41 Hình 20: Phân cấp lớp tuyến/kênh tin 41 Hình 21: Cách bố trí lớp chức 42 Hình 22: Phân cấp lớp quản lý cấu hình 43 Hình 23: Phân cấp lớp đảm bảo vận hành 43 Hình 24: Phân cấp lớp đảm bảo phát triển 44 Hình 25: Phân cấp lớp đảm bảo tài liệu hướng dẫn 44 Hình 26: Phân cấp lớp đảm bảo hỗ trợ vòng đời 45 Hình 27: Phân cấp lớp đảm bảo kiểm định 45 Hình 28: Phân cấp lớp đảm bảo đánh giá tổn thương 46 Hình 29: Phân cấp lớp đảm bảo đánh giá PP 46 Hình 30: Phân cấp lớp đảm bảo đánh giá ST 47 Hình 31: Những mức đánh giá 47 Hình 32: Nội dung PP 50 Hình 33: Mơ hình phân tích lớp APE 53 Hình 34: So sánh lớp APE CC 3.1 CC 2.3 70 Hình 35: Mối quan hệ CC CEM 57 Hình 36: Các nhiệm vụ đánh giá 58 Hình 37: Nội dung báo cáo kỹ thuật 59 MỤC LỤC BẢNG Bảng 1: Những thành phần đảm bảo an toàn mức EAL4 55 Bảng 2: Các yêu cầu chức an toàn TOE 87 Bảng 3: Các thành phần đảm bảo TOE 99 Bảng 4: Các u cầu chức an tồn cho mơi trường IT 99 Bảng 5: Sơ đồ mục tiêu sở 107 Bảng 6: Sơ đồ yêu cầu sở TOE 111 Bảng 7: Sơ đồ yêu cầu sở môi trường IT 113 Bảng 8: Sơ đồ phụ thuộc CC Part 116 Bảng 9: Sơ đồ tóm tắt đặc điểm kỹ thuật sở TOE 124 DANH MỤC TÊN VIẾT TẮT CC Common Criteria CEM Common Methodology for Information Security Evaluation EAL Evaluation Assurance Level ETR Evaluation Technical Report IPS Intrusion Prevention System IT Information Technology LDAP Lightweight Directory Access Protocol OR Observation Report PP Protection Profile SF Security Function SFP Security Function Policy SIC Secure Internal Communication SOF Strength of Function ST Security Target TOE Target of Evaluation TSC TSF Scope of Control TSF TOE Security Functions TSFI TSF Interface TSP TOE Security Policy URL Universal Resource Locator VPN Virtual Personal Network MỞ ĐẦU I Lý chọn đề tài Nhu cầu ứng dụng công nghệ thông tin vào lĩnh vực đời sống rộng rãi Việc đảm bảo an tồn an tồn thơng tin u cầu hàng đầu quan, doanh nghiệp, … Cần phải áp dụng giải pháp an tồn an tồn thơng tin, nắm điểm yếu hệ thống an tồn thơng tin Vì lý chọn đề tài “Nghiên cứu giải pháp đánh giá hệ thống an tồn thơng tin” mong góp phần vào việc đề xuất số biện pháp giải pháp đánh giá hệ thống an tồn thơng tin cách phù hợp để tăng độ an tồn an tồn thơng tin hệ thống sản phẩm CNTT II Lịch sử vấn đề Vấn đề an tồn, an ninh thơng tin khơng ngày trở nên quan trọng với phát triển theo chiều rộng chiều sâu xã hội thơng tin Khi nói đến an tồn thơng tin (ATTT), điều người ta thường nghĩ đến xây dựng tường lửa (Firewall) tương tự để ngăn chặn cơng xâm nhập bất hợp pháp Cách tiếp cận khơng hồn tồn chất ATTT khơng đơn sử dụng số công cụ vài giải pháp mà để đảm bảo ATTT cho hệ thống cần có nhìn tổng qt khoa học Khơng thể đảm bảo an tồn 100% cho hệ thống thơng tin, ta giảm bớt rủi ro khơng mong muốn tác động từ phía lĩnh vực hoạt động kinh tế xã hội Khi tổ chức, đơn vị tiến hành đánh giá rủi ro cân nhắc kỹ biện pháp đối phó ATTT, họ luôn đến kết luận: giải pháp công nghệ (kỹ thuật) đơn lẻ cung cấp đủ an toàn Những sản phẩm Antivirus, Firewalls công cụ khác cung cấp an toàn cần thiết cho hầu hết tổ chức ATTT mắt xích liên kết hai yếu tố: yếu tố công nghệ yếu tố người Yếu tố công nghệ: bao gồm sản phẩm Firewall, phần mềm phòng chống virus, giải pháp mật mã, sản phẩm mạng, hệ điều hành ứng dụng như: trình duyệt Internet phần mềm nhận Email từ máy trạm Yếu tố người: Là người sử dụng máy tính, người làm việc với thơng tin sử dụng máy tính cơng việc Có lẽ khơng vị lãnh đạo dám khẳng định nội công ty thực an toàn tin cậy Trong bối cảnh kinh tế thị trường nay, cạnh tranh diễn gay gắt chí nhân viên nội cơng ty: tranh dành khách hàng, mục đích thăng tiến mục đích khơng lành mạnh khác Ở số tổ chức, lợi dụng lỏng lẻo quản lý ATTT, nhân viên có hành vi bất lương lấy cắp thông tin mật, chiếm đoạt tài khoản khách hàng, ăn cắp tiền thông qua hệ thống tín dụng… Theo thống kê, khoảng 70% rủi ro ATTT xuất phát từ nội tổ chức Một câu hỏi đặt trước nhà lãnh đạo nhà quản trị thông tin là: “Hệ thống thông tin tổ chức an toàn đến mức độ nào?” Câu hỏi mối quan tâm lớn vấn đề nhạy cảm khâu quản lý hệ thống thông tin Trả lời câu hỏi thật khơng đơn giản khơng phải khơng có câu trả lời Để giải đáp vấn đề trên, chủ yếu dựa vào hai phương pháp đánh giá ATTT sau: + Phương pháp đánh giá theo chất lượng ATTT hệ thống cách cho điểm.Ví dụ: hệ thống đạt 60/100 điểm 60% + Phương pháp đánh giá theo số lượng thiết bị - cơng nghệ an tồn Trong thực tế, phương pháp đánh giá theo chất lượng phương pháp để đánh giá mức độ an tồn tài ngun hệ thống thơng tin Việt Nam, việc đánh giá ATTT theo chất lượng hoàn toàn Người ta dễ ngộ nhận việc trang bị công cụ ATTT (Firewall, Anti-virus…) đảm bảo ATTT cho hệ thống Chất lượng ATTT phải đánh giá toàn yếu tố đảm bảo tính an tồn cho hệ thống từ tổ chức, người, an ninh vật lý, quản lý tài nguyên … đến việc sử dụng công cụ kỹ thuật Nói cách khác, chất lượng ATTT đánh giá sở thực thi sách ATTT hệ thống Vì thế, Phương pháp đánh giá chất lượng hệ thống ATTT dựa Tiêu chuẩn đánh giá hệ thống ATTT chuẩn hóa, cơng bố cơng nhận tồn giới III Mục đích, nhiệm vụ nghiên cứu Trong khn khổ đề tài, tác giả tập trung vào nghiên cứu vấn đề sau: - Nghiên cứu an toàn an tồn thơng tin, mật mã - Nghiên cứu nguy an tồn thơng tin mạng - Nghiên cứu hệ thống tiêu chuẩn đánh giá hệ thống an tồn thơng tin, cụ thể tiêu chuẩn Common Criteria – CC CEM - Đề xuất biện pháp giải pháp đánh giá hệ thống an tồn thơng tin - Triển khai thử nghiệm đánh giá số thành phần hệ thống thực tế IV Phương pháp nghiên cứu Phương pháp nghiên cứu tài liệu Xây dựng chương trình demo