Bài giảng An toàn và an ninh mạng – Bùi Trọng Tùng cung cấp những kiến thức về một số ví dụ về vấn đề bảo vệ an toàn thông tin; dịch vụ và cơ chế an toàn an ninh các dạng tấn công; một số dạng tấn công; các dạng tấn công vào hệ thống tấn công thụ động; các dịch vụ an toàn an ninh đảm bảo tính riêng tư; các mô hình an toàn mạng và hệ thống...
An toàn An ninh mạng Bùi Trọng Tùng Bộ mơn Truyền thơng Mạng máy tính Tài liệu W Stallings – Network and Internetwork Security; Introduction to Cryptography – PGP D Stinson – Cryptography: Theory and Practice CuuDuongThanCong.com https://fb.com/tailieudientucntt Giới thiệu chung Trước xuất máy tính: Bảo vệ thông tin, tài liệu: – – Các chế bảo vệ; Khoá kho hồ sơ lưu trữ văn Khi xuất máy tính - bảo vệ thơng tin điện tử: – – – Sao chép thơng tin dễ dàng Cần thiết có cơng cụ tự động ñể bảo mật tệp, dạng thông tin chứa máy tính ðặc biệt hệ thống chia sẻ tài nguyên mạng Vấn ñề Computer Security Khi xuất hệ phân tán sử dụng mạng ñể truyền liệu trao ñổi thông tin: Bảo vệ thông tin truyền mạng – – – Truyền liệu người sử dụng máy tính, Giữa máy tính máy tính Nhu cầu bảo vệ liệu truyền → Network Security Một số ví dụ vấn đề bảo vệ an tồn thơng tin Truyền file – – – CuuDuongThanCong.com A truyền file cho B; Trong file chứa thơng tin bí mật; C khơng phép đọc file theo dõi q trình truyền file chép file q trình truyền https://fb.com/tailieudientucntt Một số ví dụ Trao đổi thơng điệp – – – – – – Quản trị mạng D gửi thơng điệp đến máy tính chịu quản trị E; Thơng điệp chứa thơng tin danh sách người sử dụng Người sử dụng F bắt thơng điệp; F thêm user vào nội dung thơng điệp, gửi tiếp cho E; E nhận thơng điệp, khơng biết bị F thay ñổi, tưởng D gửi tới thay đổi danh sách user Một số ví dụ – Giả mạo: Kịch giống trường hợp trước; F tạo thơng điệp riêng mình, chứa thơng tin riêng có lợi cho F gửi cho E E nhận thơng tin từ F, cho thơng tin D gửi cập nhật thông tin giả mạo vào CSDL CuuDuongThanCong.com https://fb.com/tailieudientucntt Giới thiệu chung – Sự phức tạp toán Bảo mật liên mạng: Khơng tồn phương pháp thích hợp cho trường hợp Các chế bảo mật ln đơi với biện pháp đối phó Lựa chọn giải pháp thích hợp với ngữ cảnh sử dụng Dịch vụ chế an toàn an ninh Các dạng cơng Ba khía cạnh an tồn an ninh thông tin: – – – CuuDuongThanCong.com Tấn công vào an ninh thơng tin Các chế an tồn an ninh Các dịch vụ an tồn an ninh thơng tin https://fb.com/tailieudientucntt Dịch vụ chế an toàn an ninh Các dạng công – Phân loại dịch vụ an toàn an ninh: Bảo mật riêng tư ( confidentiality Xác thực ( authentication ) Tồn vẹn thơng tin ( integrity ) Chống phủ ñịnh ( nonrepudiation ) Kiểm sốt truy cập ( access control ) Tính sẵn sàng ( availability ) Dịch vụ chế an tồn an ninh Các dạng cơng Các chế an tồn an ninh – Khơng tồn chế nhất; – Sử dụng kỹ thuật mật mã CuuDuongThanCong.com https://fb.com/tailieudientucntt Dịch vụ chế an tồn an ninh Các dạng cơng Các dạng cơng Truy nhập thơng tin bất hợp pháp; Sửa đổi thông tin bất hợp pháp; v.v v.v – – – Một số dạng công Các dạng cơng vào hệ thống máy tính mạng: Ngn th«ng tin Nơi nhận thông tin Luồng thông tin thông thCho phép hai bên truyền tin trao đổi thơng tin sử dụng thuật tốn an tồn; Những thơng tin mật đạt độ an tồn thích hợp Các mơ hình an tồn mạng hệ thống Mơ hình an tồn an ninh hệ thống – – – Truy nhập hacker; Các lỗ hổng an ninh hệ thống; Các tiến trình ngoại lai: Các tiến trình truy cập tới thơng tin: làm phá hủy, sửa đổi thơng tin khơng ñược phép Các tiến trình dịch vụ: phát hiên lỗi dịch vụ hệ thống ñể ngăn chặn việc sử dụng người khơng ủy quyền CuuDuongThanCong.com https://fb.com/tailieudientucntt 19 Các mơ hình an tồn mạng v h thng Đối phơng Kênh truy nhập Con ngời Phần mềm Cổng bảo vệ Các tài nguyên hệ thống: Dữ liệu; Các trình ,ứng dụng; Các phần mềm; Mô hình An ninh truy nhập hệ thống M¹ng An ninh hệ thống Các lỗ hổng bảo mật Quét lỗ hổng bảo mật CuuDuongThanCong.com https://fb.com/tailieudientucntt 20 Lỗ hổng bảo mật Khái niệm lỗ hổng bảo mật Phân loại lỗ hổng bảo mật – – – Lỗ hổng từ chối dịch vụ Lỗ hổng cho phép người dùng bên mạng với quyền hạn chế tăng quyền mà không cần xác thực Lỗ hổng cho phép người khơng ủy quyền xâm nhập từ xa không xác thực Khái niệm lỗ hổng Tất đặc tính phần mềm phần cứng cho phép người dùng khơng hợp lệ, truy cập hay tăng quyền không cần xác thực Tổng quát: lỗ hổng phương tiện đối phương lợi dụng ñể xâm nhập vào hệ thống CuuDuongThanCong.com https://fb.com/tailieudientucntt 21 Lỗ hổng từ chối dịch vụ Cho phép ñối phương lợi dụng làm tê liệt dịch vụ hệ thống ðối phương làm khả hoạt động máy tính hay mạng, ảnh hưởng tới tồn tổ chức Một số loại công từ chối dịch vụ: Bandwith/Throughput Attacks Protocol Attacks Software Vulnerability Attacks – – – Lỗ hổng tăng quyền truy nhập không cần xác thực Là lỗi phần mềm hay hệ ñiều hành có phân cấp người dùng Cho phép loại người dùng với quyền sử dụng hạn chế tăng quyền trái phép Ví dụ : – CuuDuongThanCong.com Sendmail : cho phép người dùng bình thường khởi động tiến trình sendmail, lợi dụng sendmail khởi động chương trình khác với quyền root https://fb.com/tailieudientucntt 22 Lỗ hổng tăng quyền truy nhập không cần xác thực – Tràn ñệm : Code segment Buffer Data segment Overflow here Lỗ hổng cho phép xâm nhập từ xa không xác thực Là lỗi chủ quan người quản trị hệ thống hay người dùng Do không thận trọng, thiếu kinh nghiệm, khơng quan tâm đến vấn đề bảo mật Một số cấu hình thiếu kinh nghiệm : – – – – CuuDuongThanCong.com Tài khoản có password rỗng Tài khoản mặc định Khơng có hệ thống bảo vệ firewall, IDS, proxy Chạy dịch vụ không cần thiết mà khơng an tồn : SNMP, pcAnywhere,VNC , … https://fb.com/tailieudientucntt 23 Kiểm thử thâm nhập (Cont) Các loại lỗ hổng phát hiện: – – – – – – Thiếu sót nhân hệ thống Tràn đệm Các liên kết đường dẫn Tấn cơng miêu tả file Quyền truy nhập file thư mục Trojan So sánh phương pháp Kiểu quét ðiểm mạnh Quét mạng • nhanh so với quét ñiểm yếu • hiệu cho qt tồn mạng • nhiều chương trình phần mềm miễn phí • tính tự động hóa cao • giá thành hạ Qt điểm yếu • nhanh, tùy thuộc vào số điểm qt • số phần mềm miễn phí • tự động cao • ñược ñiểm yếu cụ thể • thường ñưa ñược gợi ý giải điểm yếu • giá thành cao cho phần mềm tốt free • dễ vận hành CuuDuongThanCong.com ðiểm yếu • khơng ñược ñiểm yếu cụ thể • thường ñược dùng mở đầu cho kiểm thử thâm nhập • địi hỏi phải có ý kiến chun mơn để đánh giá kết qủa • nhiên tỉ lệ thất bại cao • chiếm tìa ngun lớn điểm qt • khơng có tính ẩn cao (dễ bị phát người sử dụng, tường lửa, IDS) • trở nên nguy hiểm tay người hiểu biết • thường khơng phát điểm yếu • chỉ ñược ñiểm yếu bề mặt hệ thống https://fb.com/tailieudientucntt 32 So sánh (Cont) Kiểm thử thâm nhập CuuDuongThanCong.com • Sử dụng kĩ thuật thực tế mà kẻ cơng sử dụng •Chỉ điểm yếu • Tìm hiểu sâu ñiểm yếu, chúng ñược sử dụng để cơng vào hệ thống • Cho thấy điểm yếu khơng lí thuyết • Cung cấp chứng cho vấn ñề bảo mật • ðịi hỏi nhiều người có khả chun mơn cao • Tốn nhiều cơng sức • Chậm, ñiểm kiểm thử phải ngừng làm việc thời gian dài • Khơng phải tất host ñều ñược thử nghiệm (do tốn thời gian) •Nguy hiểm thực người khơng có chun mơn • Các cơng cụ kĩ thuật trái luật • Giá thành đắt đỏ https://fb.com/tailieudientucntt 33 ... Dịch vụ chế an toàn an ninh Các dạng cơng Ba khía cạnh an tồn an ninh thông tin: – – – CuuDuongThanCong.com Tấn công vào an ninh thơng tin Các chế an tồn an ninh Các dịch vụ an tồn an ninh thơng... vụ chế an toàn an ninh Các dạng công Các chế an tồn an ninh – Khơng tồn chế nhất; – Sử dụng kỹ thuật mật mã CuuDuongThanCong.com https://fb.com/tailieudientucntt Dịch vụ chế an toàn an ninh Các... sử dụng thuật tốn an tồn; Những thơng tin mật đạt độ an tồn thích hợp Các mơ hình an tồn mạng hệ thống Mơ hình an tồn an ninh hệ thống – – – Truy nhập hacker; Các lỗ hổng an ninh hệ thống; Các