Nghiên cứu về biện pháp an ninh cho ứng dụng điện toán đám mây saas (tt)

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG - ĐẶNG ANH TUẤN NGHIÊN CỨU VỀ BIỆN PHÁP AN NINH CHO ỨNG DỤNG ĐIỆN TOÁN ĐÁM MÂY SAAS Chuyên ngành: Khoa học máy tính Mã số: 60.48.01.01 TĨM TẮT LUẬN VĂN THẠC SĨ HÀ NỘI - 2014 Luận văn hoàn thành tại: HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG Người hướng dẫn khoa học: TS Nguyễn Trung Kiên Phản biện 1: …………………………………………………………………………… Phản biện 2: ………………………………………………………………………… Luận văn bảo vệ trước Hội đồng chấm luận văn thạc sĩ Học viện Cơng nghệ Bưu Viễn thơng Vào lúc: ngày tháng năm Có thể tìm hiểu luận văn tại: - Thư viện Học viện Cơng nghệ Bưu Viễn thơng LỜI NĨI ĐẦU Với phát triển nhanh chóng hệ thống mạng Internet giới, với nhu cầu người ngày cao dịch vụ cho thuê phần mềm qua mạng (Software as a Service, viết tắt SaaS) thay cho mơ hình bán phần mềm cổ điển Ngày nay, Phần mềm dịch vụ SaaS biết đến mơ hình dịch vụ Cơng nghệ Thơng tin ngày sử dụng rộng rãi giới lợi chi phí đáp ứng đầy đủ nhanh chóng nhu cầu doanh nghiệp Tuy nhiên, mơ hình SaaS tiềm ẩn nhiều rủi ro vấn đề an ninh An ninh cho SaaS coi vấn đề quan tâm hàng đầu không với nhà cung cấp dịch vụ mà với người sử dụng dịch vụ SaaS Việc áp dụng biện pháp an ninh vào thực tiễn giúp nhà cung cấp SaaS thuyết phục doanh nghiệp khách hàng sử dụng tin tưởng vào an ninh Bản thân cơng tác trường Đại học Phịng cháy chữa cháy, tương lai gần, nhà trường tách thành sở giảng dạy 03 địa điểm tỉnh Hà Nam, tỉnh Hịa Bình tỉnh Đồng Nai Trên sở đó, đề tài tìm hiểu biện pháp an ninh cho dịch vụ SaaS nhằm đề xuất, tham mưu cho lãnh đạo nhà trường xây dựng, sử dụng số dịch vụ SaaS thông qua nhà cung cấp SaaS, nhằm phục vụ công tác giảng dạy nghiên cứu cán bộ, giáo viên nhà trường thuận lợi Mục tiêu đề tài tập trung vào nghiên cứu thách thức an ninh triển khai mơ hình dịch vụ SaaS giải pháp phòng ngừa, giảm thiểu rủi ro để phù hợp với thách thức Qua đó, đề xuất với lãnh đạo nhà trường ứng dụng mơ hình SaaS vào mặt cơng tác, giảng dạy học tập nhà trường Với mục tiêu đặt vậy, nội dung kết nghiên cứu luận văn sẽ: - Cung cấp nhìn tổng thể ĐTĐM, lợi ích, ưu nhược điểm ĐTĐM - Nghiên cứu mơ hình dịch vụ SaaS cơng nghệ ĐTĐM để từ đề xuất mơ hình triển khai đám mây riêng SaaS trường Đại học PCCC - Xác định thách thức an ninh giải pháp cho thách thức cho mơ hình SaaS triển khải tại trường Đại học PCCC Những nội dung luận văn trình bày ba chương sau: Chương 1: Trình bày khái qt điện tốn đám mây, mơ hình điện tốn đám mây SaaS (tính chất, đặc điểm, thành phần dạng triển khai) vai trị vấn đề an ninh mơi trường ứng dụng SaaS Chương 2: Nghiên cứu nhóm nguy an ninh mơ hình đám mây SaaS, đưa giải pháp tương ứng để giải vấn đề an ninh nói Chương 3: Áp dụng số giải pháp để kiểm thử vấn đề an ninh triển khai mơ hình SaaS cho sở trường Đại học PCCC tỉnh Hà Nam Phần kết luận đưa đánh giá kết đạt thảo luận hướng nghiên cứu tiếp luận văn CHƯƠNG NGHIÊN CỨU TỔNG QUAN VỀ SAAS TRONG MƠ HÌNH ĐIỆN TỐN ĐÁM MÂY 1.1 Tổng quan điện tốn đám mây Điện toán đám mây giải pháp tất tài ngun điện tốn (phần cứng, phần mềm, mạng, lưu trữ, v.v) cung cấp nhanh chóng, dễ dàng, tốn Điện tốn đám mây sử dụng cơng nghệ Ảo hóa, dịch vụ cho thuê sở hạ tầng, hệ điều hành, ứng dụng người dùng cuối quản trị dễ dàng người dùng cuối Yếu tố cho giải pháp chúng sở hữu khả điều chỉnh tăng giảm, người dùng có tài nguyên mà họ cần: không nhiều không (tối ưu) Theo Wikipedia: “Điện toán đám mây mơ hình điện tốn có khả co giãn (scalable) linh động tài nguyên thường ảo hóa cung cấp dịch vụ mạng Internet” Theo Viện quốc gia Tiêu chuẩn Công nghệ Mỹ (NIST - National Institute of Standards and Technology): “Điện tốn đám mây mơ hình cho phép vị trí thuận tiện, khách hàng truy cập mạng theo yêu cầu chia sẻ tài nguyên máy tính (mạng, máy chủ, lưu trữ, ứng dụng dịch vụ) nhanh chóng từ nhà cung cấp cung cấp quản lý tối thiểu tương tác mức dịch vụ Mơ hình điện tốn đám mây bao gồm đặc điểm, mơ hình dịch vụ, mơ hình triển khai.” 1.1.1 Các đặc điểm Điện tốn đám mây 1.1.1.1 Tự phục vụ theo nhu cầu (On-Demand Self-Rervice): Một người dùng tự tính tốn khả dự phịng mình, chẳng hạn lưu trữ mạng, cần thiết tự động thực mà không cần tương tác người nhà cung cấp dịch vụ 1.1.1.2 Truy xuất diện rộng (Broad Network Access) Khả sẵn có mạng truy cập thơng qua chế tiêu chuẩn khuyến khích sử dụng tảng thiết bị đầu cuối không đồng điện thoại di động, máy tính bảng, máy tính xách tay, máy trạm 1.1.1.3 Dùng chung tài nguyên (Resource Pooling) Tài ngun tính tốn nhà cung cấp gộp lại để phục vụ cho nhiều người dùng sử dụng mơ hình nhiều người th, với nguồn tài ngun vật lý ảo khác tự động phân cơng bố trí theo nhu cầu người dùng Nguồn tài nguyên độc lập với người sử dụng thông thường 1.1.1.4 Khả co giãn (Rapid Elasticity) Khả co giãn cung cấp phát hành cách linh hoạt, tự động số trường hợp, mở rộng nhanh chóng ngồi bên tương xứng với nhu cầu Khả sẵn có, cho phép cung cấp khơng giới hạn khai thác với số lượng tới người sử dụng 1.1.1.5 Điều tiết dịch vụ (Measured Service) Hệ thống điện toán đám mây tự động kiểm sốt tối ưu hóa sử dụng tài ngun cách tận dụng khả điều tiết số mức độ phù hợp với loại hình dịch vụ Tài nguyên sử dụng theo dõi, kiểm soát báo cáo, cung cấp minh bạch cho nhà cung cấp người sử dụng dịch vụ 1.1.2 Mơ hình dịch vụ Điện toán đám mây 1.1.2.1 Phần mềm dịch vụ (SaaS) Khả cung cấp cho người sử dụng ứng dụng nhà cung cấp chạy sở hạ tầng đám mây Các ứng dụng truy cập từ thiết bị khác người sử dụng thông qua giao diện khách hàng giao diện chương trình phần mềm 1.1.2.2 Nền tảng dịch vụ ( PaaS ) Khả cung cấp cho người sử dụng để triển khai cho sở hạ tầng điện toán đám mây người sử dụng tạo mua lại ứng dụng tạo sử dụng ngôn ngữ lập trình, thư viện, dịch vụ, cơng cụ hỗ trợ nhà cung cấp 1.1.2.3 Cơ sở hạ tầng dịch vụ (IaaS) Khả cung cấp cho người sử dụng khả cung cấp, lưu trữ, mạng, tài nguyên máy tính khác, nơi mà người sử dụng triển khai chạy phần mềm nào, bao gồm hệ điều hành ứng dụng 1.1.3 Mơ hình phát triển Điện toán đám mây 1.1.3.1 Đám mây riêng (Private Cloud) Cơ sở hạ tầng đám mây cung cấp để sử dụng độc quyền tổ chức bao gồm nhiều người sử dụng (ví dụ: đơn vị kinh doanh) Nó sở hữu, quản lý hoạt động tổ chức, bên thứ ba, số kết hợp họ, tồn bên bên ngồi tổ chức, doanh nghiệp 1.1.3.2 Đám mây cơng cộng (Public Cloud) Cơ sở hạ tầng đám mây cung cấp mở rộng cho người sử dụng chung công cộng Nó sở hữu, quản lý điều hành doanh nghiệp, tổ chức phủ, số kết hợp họ Nó tồn phía nhà cung cấp mây 1.1.3.3 Đám mây hỗn hợp (Hybrid Cloud) Cơ sở hạ tầng điện toán đám mây thành phần hai nhiều sở hạ tầng điện toán đám mây khác (tư nhân, cộng đồng, công cộng) mà tồn thực thể nhất, bị ràng buộc với công nghệ tiêu chuẩn công nghệ độc quyền cho phép ứng dụng liệu tính di động 1.1.3.4 Đám mây cộng đồng (Community Cloud) Cơ sở hạ tầng điện toán đám mây cung cấp để sử dụng độc quyền cộng đồng cụ thể người sử dụng từ tổ chức chia sẻ mối quan tâm (ví dụ: nhiệm vụ, yêu cầu bảo mật, sách cân nhắc tuân thủ) 1.2 Nghiên cứu dạng điện toán đám mây SaaS 1.2.1 Khái niệm SaaS SaaS cung cấp ứng dụng hoàn chỉnh dịch vụ theo yêu cầu cho nhiều khách hàng thông qua Internet Trong SaaS cần server đóng vai trị hosting quản lý ứng dụng Server “Cloud” “Mainframe” Người dùng truy xuất ứng dụng thông qua trình duyệt web SaaS cho phép khách hàng sử dụng ứng dụng sở “chỉ trả tiền bạn dùng” (pay-as-you-go) loại bỏ bắt buộc phải cài đặt chạy ứng dụng phần cứng riêng khách hàng Khách hàng cần truy cập vào ứng dụng thơng qua trình duyệt Web thông qua Internet SaaS sử dụng thuê bao tất hỗ trợ, bảo trì nâng cấp nhà cung cấp SaaS 1.2.2 Lịch sử hình thành mơ hình SaaS Trước mơ hình SaaS xuất hiện, nghe nói tới mơ hình nhà cung cấp dịch vụ phần mềm (Application Service Provider - ASP) ASP định nghĩa nhà cung cấp dịch vụ cho thuê ứng dụng (phần mềm), giúp khách hàng loại bỏ đáng kể chi phí liên quan đến việc mua tự bảo dưỡng ứng dụng 1.2.3 Những mơ hình triển khai đám mây SaaS 1.2.3.1 Đám mây riêng (Private Cloud) On site Private Cloud: Doanh nghiệp hay tổ chức tự triển khai dịch vụ đám mây riêng SaaS dựa theo nhu cầu doanh nghiệp, tổ chức mà tự thiết lập sở hạ tầng, dịch vụ cho đám mây để phục cho client bên đám mây Outsource Private Cloud: Đây bước phát triển mơ hình On Site Private Cloud với việc người sử dụng truy cập vào tài nguyên đám mây từ bên vành đai đám mây Doanh nghiệp có sử dụng dịch vụ đám mây nhà cung cấp dịch vụ đám mây (Cloud Service Provider, gọi tắt CSP) 1.2.3.2 Đám mây cộng đồng (Community Cloud) On-site Community Cloud: Các doanh nghiệp vừa cung cấp dịch vụ đám mây sử dụng dịch vụ đám mây doanh nghiệp khác Outsourced Community Cloud: Mơ hình kết hợp On-site Community Cloud Outsource Private Cloud CSP hỗ trợ On-site Private Cloud cho doanh nghiệp 1.2.3.3 Đám mây công cộng (Public Cloud) Doanh nghiệp sử dụng hoàn toàn dịch vụ đám mây CSP 1.3 Vai trò vấn đề an ninh triển khai cung cấp dịch vụ SaaS An ninh mơi trường đám mây nói là an ninh thơng thường cộng với an ninh đặc thù điện toán đám mây An ninh triển khai mơ hình cung cấp dịch vụ SaaS an ninh phụ thuộc vào kiến trúc mô hình triển khai SaaS lĩnh vực liên quan khác bao gồm: An ninh Tính riêng tư; Sự tuân thủ quy định; Pháp lý Hợp đồng ràng buộc Một phần việc quản lý kiến trúc sử dụng dịch vụ đám mây SaaS xuất vấn đề nảy sinh là: quản trị CNTT nội bộ; quản lý rủi ro Ngoài vấn đề kiến trúc ra, loạt lĩnh vực khác phải quan tâm như: - Lĩnh vực quản lý dẫn thực hiện: Quản lý rủi ro doanh nghiệp; Quản lý liên quan tới việc để lộ điện tử pháp lý; Quản lý tn thủ kiểm tốn; Quản lý vịng đời thông tin - liệu từ tạo xóa; Tính khả chuyển tính tương hợp mà giải chuẩn mở - Lĩnh vực hoạt động dẫn thực hiện: An ninh truyền thống; tính liên tục; phục hồi thảm họa; vận hành trung tâm liệu; phản ứng, thơng báo, xử lý tình huống; an ninh ứng dụng; mã hóa quản lý khóa; nhận dạng quản lý truy cập; ảo hóa 1.4 Kết luận chương Kết thúc chương, luận văn cung cấp nhìn tổng thể điện tốn đám mây, lợi ích, ưu nhược điểm mơ hình triển khai cách thức hoạt động điện toán đám mây Mơ hình SaaS cơng nghệ điện tốn đám mây cung cấp, hỗ trợ người dùng công việc, học tập nghiên cứu, chiến lược kinh doanh cần thiết Tuy nhiên, mơ hình SaaS tồn thách thức an ninh riêng CHƯƠNG NGHIÊN CỨU VẤN ĐỀ BẢO MẬT CHO SAAS Trong môi trường Internet hay nội bộ, hệ thống phần mềm truyền thống hay điện toán đám mây, vấn đề an ninh cốt lõi bảo vệ thông tin Trong đám mây SaaS, thơng tin lưu nhiều nơi, lưu trung tâm liệu “đám mây” Framework an ninh X805 ITU công cụ tốt nhiều tổ chức sử dụng để phân tích nguy đưa giải pháp bảo vệ cho hệ thống hay giải pháp mạng, chương này, học viên phân tích nguy an tồn bảo mật theo Framework anh ninh X.805 cho mơ hình On Site Private Cloud SaaS đưa Chương I 2.1 Một số vấn đề an ninh SaaS 2.1.1 Khi triển khai mơ hình SaaS Các thách thức an ninh SaaS có khác tùy thuộc vào mơ hình triển khai sử dụng nhà cung cấp SaaS, nhà cung cấp chọn để triển khai giải pháp, cách sử dụng nhà cung cấp đám mây công cộng tự lưu trữ Các nhà cung cấp đám mây công cộng chuyên dụng Amazon giúp đỡ xây dựng giải pháp SaaS an toàn cách cung cấp dịch vụ sở hạ tầng mà hỗ trợ việc bảo đảm môi trường vành đai an ninh 2.1.2 An ninh liệu Trong mơ hình triển khai ứng dụng truyền thống trước đây, liệu nhạy cảm doanh nghiệp cư trú phạm vi ranh giới doanh nghiệp bảo đảm mặt vật lý, logic nhân viên sách kiểm sốt truy cập Tuy nhiên, mơ hình SaaS, liệu doanh nghiệp lưu trữ bên ranh giới doanh nghiệp, nhà cung cấp SaaS đầu cuối 2.1.3 An ninh mạng Trong mô hình triển khai SaaS, liệu nhạy cảm thu từ doanh nghiệp, xử lý ứng dụng SaaS lưu trữ cuối nhà cung cấp SaaS 2.1.4 Tách biệt liệu Trong kiến trúc SaaS hoàn thiện nhiều người thuê, trường hợp ứng dụng lưu trữ liệu chia sẻ doanh nghiệp Điều cho phép nhà cung cấp SaaS khiến cho việc sử dụng nguồn tài nguyên hiệu giúp đạt chi phí thấp Song cần phải áp dụng kiểm tra an ninh đầy đủ để đảm bảo an ninh liệu ngăn chặn truy cập liệu trái phép từ người thuê người sử dụng từ người thuê khác 2.1.5 Tiêu chuẩn cho điện toán đám mây yếu SAS 70 tiêu chuẩn kiểm toán thiết kế để nhà cung cấp dịch vụ có đủ quyền kiểm sốt liệu Song vấn đề chỗ tiêu chuẩn không tạo để áp dụng điện toán đám mây, lại trở thành tiêu chuẩn tiêu trường hợp khơng có tiêu chuẩn dành riêng cho điện toán đám mây Tốt so với SAS 70 tiêu chuẩn ISO 27001, tiêu chuẩn kỹ thuật bảo mật thông tin công bố Tổ chức tiêu chuẩn quốc tế Thụy Sĩ Tiêu chuẩn ISO 27001 tiêu chuẩn toàn diện bao gồm nhiều khía cạnh hoạt động bảo mật mà khách hàng quan tâm 2.1.6 Vấn đề bí mật thơng tin 10 Trong mơi trường Internet, thông tin di chuyển đám mây SaaS công cộng dễ bị Hacker sử dụng kiểu công Man in the midle, Packet sniffing… để nghe tài khoản mật mã người dùng, sau dùng thơng tin truy cập vào sở liệu tiến hành sửa đổi giả mạo thông tin để có lợi cho gây tổn thất cho doanh nghiệp Cịn mơ hình triển khai đám mây SaaS riêng nguy xảy ra, Client bên đám mây, truy cập chịu ảnh hưởng sách, quy trình an ninh bảo mật 2.2.3 Nhóm nguy phá hủy thông tin Trong môi trường đám mây SaaS nguy có khả xảy ra, song khơng có nghĩa khơng có Nội nhân viên quản trị hệ thống, mối rủi ro xuất phát từ nội nhân viên quản trị thường cao mức độ nguy hiểm nhiều so với việc người dùng cố ý đưa virus hay malware vào để phá hủy liệu trung tâm liệu 2.2.4 Nhóm nguy phát tán thông tin Bản thân nhà cung cấp SaaS cung cấp phần mềm qua kiểm tra chất lượng, tìm lỗi, lỗ hổng an ninh phần mềm hệ thống cung cấp Hoặc nhà cung cấp SaaS hợp tác với bên thứ chuyên kiểm thử tìm lỗi bảo mật hệ thống phần mềm Nguy liệu người tìm lỗi bảo mật có thơng báo cho nhà cung cấp SaaS biết hay không mà giữ lại để sử dụng có lợi cho thân 2.2.5 Nhóm nguy làm gián đoạn dịch vụ Trong môi trường SaaS, cơng từ chối dịch vụ gây khó khăn không cho nhà cung cấp dịch vụ SaaS mà người dùng, doanh nghiệp, làm cho hoạt động phía liên quan bị ảnh hưởng, gây thiệt hại nặng kinh tế, trị, ảnh hưởng uy tín nhà cung cấp 2.3 Nghiên cứu biện pháp an ninh cho ứng dụng SaaS Áp dụng Kiến trúc an ninh X.805 cho hệ thống SaaS phân tích nguy mục 2.2 an ninh theo đặc trưng mơ hình SaaS Theo bảng 2- 11 đưa mối quan hệ biện pháp an ninh kiến trúc nguy an ninh Bảng 2-1: Mối quan hệ nguy giải pháp an ninh Mối đe dọa an ninh Phương hướng Đánh cắp Sửa đổi Phá hủy Lỗ hổng Từ chối an ninh thông tin thông tin thông tin an ninh dịch vụ Kiểm soát truy X X X X cập Xác thực người X X dùng Chứng minh X X X X X tránh phủ nhận Bảo mật liệu X X An ninh truyền X X liệu Đảm bảo toàn X X vẹn liệu Đảm bảo tính X X sẵn sàng Đảm bảo tính riêng tư X 2.3.1 Kiến trúc an ninh SaaS 2.3.1.1 Kiểm soát truy cập (Access Control) Phương pháp bảo vệ chống sử dụng trái phép tài nguyên mạng Kiểm soát truy cập đảm bảo nhân viên thiết bị có thẩm quyền phép truy cập vào mạng, thông tin lưu trữ, truyền thông tin, dịch vụ ứng dụng Một số chế phổ biến để thực biện pháp là: Sử dụng mật khẩu, sử dụng danh sách điều khiển truy nhập (ACL), tiêu chuẩn Ngơn ngữ đánh dấu có xác nhận an toàn bảo mật (SAML) 2.3.1.2 Xác thực người sử dụng (Authentication) Phương pháp phục vụ để xác nhận danh tính người sử dụng truy cập vào đám mây SaaS Nó đảm bảo xác thực tính hợp lệ danh tính đối 12 tượng tham gia liên lạc thông cung cấp bảo đảm người dùng cố gắng giả mạo phát lại trái phép thông tin mà thu trước 2.3.1.3 Chứng minh tránh phủ nhận (Non-Reputation) Phương pháp nhằm chống lại việc thoái thác cung cấp phương tiện để ngăn chặn cá nhân tổ chức phủ nhận thực hành động cụ thể liên quan đến liệu cách sử dụng chứng sẵn có khác hành động liên quan đến Nó đảm bảo chứng trình bày với bên thứ ba sử dụng để chứng minh số loại kiện hay hành động diễn 2.3.1.4 Bảo mật liệu (Confidentiality of Data) Phương pháp nhằm bảo vệ liệu không bị tiết lộ trái phép, đảm bảo nội dung liệu hiểu đơn vị không phép 2.3.1.5 An ninh truyền liệu (Communication Security) Phương pháp nhằm đảm bảo dịng thơng tin từ nguồn đến đích mong muốn, điểm trung gian không muốn biết thông tin truy nhập vào dịng thơng tin 2.3.1.6 Đảm bảo tồn vẹn liệu (Data Integrity) Phương pháp nhằm đảm bảo liệu nhận phục hồi giống với liệu gửi từ nguồn 2.3.1.7 Đảm bảo tính sẵn sàng (Avaiability) Phương pháp nhằm đảm bảo cho người sử dụng hợp lệ ln sử dụng phần tử mạng, dịch vụ ứng dụng 2.3.1.8 Đảm bảo tính riêng tư cho người sử dụng (Privacy) Phương pháp nhằm đảm bảo tính riêng tư cho nhận dạng việc sử dụng mạng người sử dụng 2.3.2 An ninh đặc trưng cho SaaS 2.3.2.1 Quản lý định danh trình đăng nhập (Identity Management and Sign-on Process) Để quản lý danh tính q trình đăng nhập người dùng nhà cung cấp SaaS cách sử dụng mơ hình sau: 13 - Sử dụng ngăn xếp Quản lý danh tính (Identity Management – IDM) độc lập: Các nhà cung cấp SaaS cung cấp toàn ngăn xếp dịch vụ quản lý nhân dạng trình đăng nhập Tất thông tin liên quan đến tài khoản người dùng, mật khẩu, hoàn toàn giữ lại nhà cung cấp SaaS - Đồng hóa thư ủy nhiệm: Các nhà cung cấp SaaS cung cấp thông tin tài khoản người dùng thư ủy nhiệm doanh nghiệp ứng dụng SaaS Xác thực xảy vào nhà cung cấp SaaS cách sử dụng thông tin thư ủy nhiệm - Đăng nhập lần (SSO): Tồn thơng tin tài khoản người sử dụng bao gồm thông tin quản lý lưu trữ độc lập người sở hữu Xác thực người dùng xảy ranh giới doanh nghiệp 2.3.2.2 Tuân thủ quy định (Regulatory Compliance) Việc triển khai SaaS cần phải đánh giá định kỳ cho phù hợp với tiêu chuẩn quy định công nghiệp Phiên tiêu chuẩn SAS 70 bao gồm thủ tục hoạt động an ninh vật lý logic trung tâm liệu nhà cung cấp dịch vụ Truy cập, lưu trữ xử lý liệu nhạy cảm cần phải kiểm soát cẩn thận điều chỉnh theo quy định tiêu chuẩn ISO-27001 2.3.2.3 Tách biệt liệu (Data Segregation) Trong kiến trúc SaaS hoàn thiện nhiều người thuê, trường hợp ứng dụng lưu trữ liệu chia sẻ doanh nghiệp Điều cho phép nhà cung cấp SaaS khiến cho việc sử dụng nguồn tài nguyên hiệu giúp đạt chi phí thấp Đồng thời, áp dụng kiểm tra an ninh đầy đủ để đảm bảo an ninh liệu ngăn chặn truy cập liệu trái phép từ người thuê người sử dụng từ người thuê khác 2.3.2.4 Bảo mật ứng dụng web SaaS phần mềm triển khai mạng Internet triển khai để chạy đằng sau tường lửa mạng nội máy tính cá nhân Phần mềm cung cấp dịch vụ nằm đám mây không phụ thuộc vào 14 loại người sử dụng Và lỗ hổng bảo mật ứng dụng web tạo lỗ hổng an ninh ứng dụng SaaS Lúc này, lỗ hổng an ninh gây khả tác động bất lợi tất khách hàng sử dụng điện tốn đám mây Các ứng dụng web nguy bảo mật không hiệu bảo vệ cấp độ mạng mà cần phải bảo vệ mức độ ứng dụng 2.4 Tìm hiểu tình hình nghiên cứu chuẩn hố bảo mật cho SAAS Hiện chưa có tài liệu chuẩn hóa thức an tồn bảo mật cho điện tốn đám mây có nhiều tổ chức tham gia nghiên cứu phát triển an toàn bảo mật cho điện toán đám mây, đề tài lựa chọn hai tổ chức uy tín NIST CSA làm tham khảo 2.4.1 An toàn bảo mật cho điện toán đám mây NIST Đối với an tồn bảo mật cho SaaS doanh nghiệp nhà cung cấp dịch vụ cần quan tâm vấn đề sau: - Rủi ro đến từ trình duyệt Web sử dụng ứng dụng phát triển theo dịch vụ Web - Sự tin cậy vấn đề đảm bảo tính bí mật liệu kết nối môi trường Internet doanh nghiệp nhà cung cấp dịch vụ - Mức độ an tồn điện tốn đám mây tỷ lệ nghịch với chi phí doanh nghiệp bỏ để chi trả cho nhà cung cấp dịch vụ vấn đề đảm bảo cách ly liệu ứng dụng doanh nghiệp với doanh nghiệp khác Những khuyến nghị NIST nhà cung cấp dịch vụ đám mây - Bảo vệ liệu: Mã hóa liệu, xóa liệu khơng cịn sử dụng - Bảo vệ ứng dụng doanh nghiệp thiết bị phía Client 2.4.2 An tồn bảo mật cho điện toán đám mây CSA Kết nghiên cứu CSA lĩnh vực an toàn bảo mật cho điện tốn đám mây phân tích nguy an toàn bảo mật hướng dẫn giải pháp 15 kỹ thuật sách để đảm bảo an tồn cho điện tốn đám mây hình thức an tồn bảo mật cho điện toán đám mây dịch vụ (Security as a Service) Đối với nhà cung cấp dịch vụ đám mây gồm nội dung đây: - Quản lý định danh tài nguyên điện toán đám mây kiểm soát truy cập theo định danh (Identity and Access Management) - Giám sát hành vi thâm nhập trái phép (Intrusion Management) - Đảm bảo an toàn hạ tầng mạng (Network Security) - Giám sát đảm bảo an toàn bảo mật thông tin (Security Information and Event Management) - Đánh giá mức độ an toàn bảo mật hệ thống (Security Assessments) - An toàn bảo mật cho Website, Email (Website, Email Security) - Ngăn chặn nguy dẫn đến làm liệu (Data Loss Prevention) - Mã hóa liệu (Encyption) 2.4.3 Tìm hiểu số giải pháp an ninh cụ thể Hãng lớn 2.4.3.1 Giải pháp VMware 2.4.3.2 Giải pháp Trend Micro 2.5 Kết luận chương Kết thúc chương, luận văn cung cấp tổng quát nhìn nguy an ninh an tồn thơng tin mơ hình điện toán đám mây SaaS Những phương pháp an ninh theo kiến trúc an ninh famework X.805 đặc trưng điện toán đám mây SaaS Ở đây, vấn đề an ninh cho điện toán đám mây SaaS xem xét mơ hình kiến trúc đám mây SaaS với đặc trưng mơ hình đám SaaS sử dụng khuyến nghị ISO/IEC 27001:2005 để xác định biện pháp ngăn ngừa mặt kỹ thuật thực thi sách mặt quản lý 16 CHƯƠNG XÂY DỰNG GIẢI PHÁP VÀ THỬ NGHIỆM BẢO MẬT CHO SAAS TẠI ĐẠI HỌC PCCC 3.1 Giới thiệu trường Đại học Phòng cháy chữa cháy vấn đề đặt cho bảo mật ứng dụng CNTT trường 3.1.1 Giới thiệu trường Đại học PCCC Trường Đại học PCCC trường đào tạo kỹ sư Cứu nạn cứu hộ Phòng cháy chữa cháy bậc đại học trung cấp thuộc Bộ công an Ngày 14/10/1999 Thủ tướng Chính phủ ký Quyết định 203/1999/QĐ-TTg thành lập Trường Đại học PCCC sở Trường Cao đẳng PCCC 3.1.2 Hiện trạng hệ thống CNTT Nhà trường 3.1.2.1 Hiện trạng phần cứng Nhằm phục vụ công tác đào tạo, năm 2005 nhà trường đầu tư hệ thống Thư viện điện tử hạ tầng CNTT, 02 phòng học thực hành phòng 30 máy tính để phục vụ giảng dạy học tập, hệ thống mạng nội bộ, hệ thống mạng Internet theo mơ hình cũ Với mở rộng phạm vi nhân nhà trường, an ninh an toàn thông tin cho hệ thống xuất nhiều bất cập, chưa đáp ứng nhu cầu trao đổi nhanh chóng tình hình 3.1.2.2 Hiện trạng phần mềm Mơ hình hoạt động nhà trường chia thành nhiều phận, thực công tác chun mơn riêng biệt Vì vậy, phận lại có chương trình phần mềm riêng biệt phục vụ chun mơn phần mềm, chương trình, chức phục vụ công tác chung nhà trường 3.1.2.3 Mơ hình tổng thể Dự kiến mơ hình tổng thể ứng dụng CNTT cho trường Đại học PCCC mơ hình điện tốn đám mây SaaS Đám mây SaaS xây dựng theo mơ hình đám mây riêng, Client truy cập tới tài nguyên nằm đám mây (DataCenter DC) tương ứng với mơ hình On site Private Cloud giới thiệu Chương Người 17 sử dụng truy nhập Internet từ ngồi Internet khơng phép truy nhập vào mạng DataCenter đặt CS1 ứng dụng DataCenter truy xuất từ sở 1,2,3 qua mạng LAN 3.1.2.4 Đánh giá nguy bảo mật mơ hình Theo cấu hình chức ứng dụng SaaS dự kiến thấy đặc trưng giới hạn đối tượng cần bảo vệ sau: - Đám mây riêng (private), truy cập Internet hạn chế, nguy xuất phát từ cá nhân sử dụng khuôn viên nhà trường từ công tác quản lý - Ba sở kết nối qua hạ tầng th ngồi nên bị cơng ngang (vd: nghe lén, DoS ) kết nối này, - Tấn cơng phát sinh từ người sử dụng cuối, 3.2 Xây dựng giải pháp bảo mật SaaS cho trường ĐH PCCC 3.2.1 Mức độ quan trọng biện pháp ứng dụng Dựa đặc trưng mơ hình đám mây SaaS chương 1, với giới hạn phạm vi phần sử dụng phương pháp xây dựng bảo mật cho hệ thống SaaS chương thấy ứng dụng Trường PCCC có nhiều loại loại có số nhóm nguy khác nhóm nguy bảng 2.1 (Ví dụ: Phần mềm Website chủ yếu chịu nguy sửa dổi thông tin công DoS) Bảng 3-1 mô tả nguy ứng dụng cụ thể cấp độ nguy (với số cao nhất): Bảng 3-1: nguy ứng dụng cấp độ Nguy Phá huỷ Sửa đổi Làm lộ Đánh cắp thông thông thông thông tin Ứng dụng tin tin tin Dịch vụ lưu trữ 1 liệu Gián đoạn dịch vụ 18 Dịch vụ mail Dịch vụ ứng dụng Web nội Chương trình quản lý đào tạo 1 2 3 1 1 Để bảo vệ cho an toàn ứng dụng SaaS hệ thống ngồi việc bảo vệ ứng dụng SaaS cần bảo vệ sở hạ tầng mạng Học viên đề xuất giải pháp bảo mật cho hệ thống CNTT trường ĐH PCCC sau 3.2.2 Giải pháp tổng thể bảo vê hạ tầng CNTT cho trường PCCC Giải pháp bảo mật tổng thể từ hạ tầng đến ứng dụng có cấu trúc sau: Hình 3-3: Mơ hình bảo mật hệ thống Các lớp sở hạ tầng chính: * Lớp truy cập (Access): Cung cấp cho cán bộ, giáo viên (người sử dụng) kết nối mạng riêng ảo (VPN) sử dụng giao thức IP Sec, SSL VPN cho kết nối người sử dụng bên sở truy xuất dịch vụ từ xa người sử dụng bên sở thơng qua sách chung riêng cho người dùng * Lớp phòng vệ công (Attack prevents): Được xây dựng nhằm phát chống lại xâm nhập, công hệ thống chống lại công Dos/DDos từ người sử dụng bên bên Lớp sử dụng server IDs/Ips cho 19 phép quan sát luồng lưu lượng tới nhóm máy chủ quan trọng, nhanh chóng phát lưu lượng có hại để đưa cảnh báo thông báo * Lớp an ninh mạng (Network security): Sử dụng hệ thống firewall cho phép phân tách vùng bảo mật Inside, Outside Firewall đưa sách truy nhập phân vùng mạng với * Lớp an ninh ứng dụng (Application security): Sử dụng giao thức HTTPS mã hóa thơng tin để đảm bảo thơng tin từ ứng dụng người sử dụng tới dịch vụ ứng dụng an toàn * Lớp an ninh người sử dụng (User security): Lớp sử dụng chế quản lý người sử dụng, sử dụng máy chủ xác thực người sử dụng tập trung để nhận diện đối tượng có khả truy cập hệ thống * Lớp máy chủ ứng dụng sở liệu (Application zone & Database): Đây lớp đặt hệ thống máy chủ ứng dụng cung cấp dịch vụ máy chủ lưu trữ (Datacenter) Các lớp sách tương ứng với hạ tầng: * Access Policy (Chính sách truy cập): Các sách áp dụng cho lớp truy cập, sử dụng phương pháp bảo mật IP Sec, SSL VPN * Documents Sercurity (Các quy tác an ninh) : Các quy tắc, cảnh báo tạo để phịng chống lại cơng DDos, sử dụng IDS * Communication Policy (Chính sách mạng): Các sách an ninh mạng đảm bảo q trình truyền thông tin mạng, sử dụng Firewall, ACLs để điều tiết luồng thơng tin * User Policy (Chính sách với người dùng): Chính sách với người dùng, yêu cầu bắt buộc sử dụng mã hóa liệu, giao thức duyệt web an toàn HTTPS * Operation & Management (Các hoạt động quản lý): Chính sách hoạt động người quản trị, người sử dụng nhằm xác thực tính hợp lệ người dùng, sử dụng kỹ thuật xác thực, khóa điện tử, mật lần 20 * Backup & Recover (Về lưu phục hồi): Chính sách quy định việc lưu liệu, xây dựng kế hoạch dự phòng để kịp thời khắc phục có cố thiên tai ngồi ý muốn 3.2.2.1 Giải pháp phần cứng * Xây dựng cài đặt máy chủ IDs: cảnh báo có dấu hiệu (đối với dấu hiệu định nghĩa máy chủ IDs), đồng thời ghi nhật ký để kiểm tra lại cần nhằm xác định bổ sung dấu hiệu xâm nhập, công từ bên vào hệ thống * Xây dựng cài đặt thiết bị chống xâm nhập IPS Cisco: chống lại xâm nhập, công dịch vụ máy chủ IDs xác định dựa dấu hiệu * Cài đặt cấu hình Firewall cứng: Sử dụng Cisco PIX 515E cấu hình phân chia vùng Inside Outside, nâng cao hiệu giám sát, ngăn chặn truy cập trái phép từ ngồi có sách truy cập mạng * Sử dụng Switch: Cấu hình quản lý cổng, chứng thực bảo vệ người dùng cuối Cấu hình lại SNMP, sử dụng AAA để quản lý cấu hình, cấu hình an ninh cho cổng, tắt cổng không sử dụng * Xây dựng cài đặt máy chủ lưu trữ: Thiết lập hệ thống máy chủ vật lý dành cho việc lưu trữ liệu, kết hợp với máy chủ chuyên dụng để lưu phục hồi liệu 3.2.2.2 Giải pháp phần mềm * Trên máy chủ IDs cài đặt Snort, phần mềm mã nguồn mở cho phép người quản trị tùy biến luật dựa dấu hiệu gói tin truyển qua trước vào tới bên máy chủ dịch vụ Người quản trị cần dựa vào tệp tin nhật ký công cụ bắt gói tin để từ dựa dấu hiệu mà cài đặt cho lọc * Sử dụng phần mềm Cisco để cấu hình thiết bị IPS thông qua báo cáo, cảnh báo máy chủ IDs mà cấu hình để chống lại công, xâm nhập vào hệ thống 21 * Cài đặt máy chủ Proxy với phần mềm ISA server để quản lý luồng thông tin từ bên thiết bị, máy tính truy cập * Cài đặt phần mềm diệt virus máy chủ tập trung, đưa lịch quét định kỳ đồng thời cài đặt phần mềm diệt virus máy tính cá nhân mạng thuộc trường Đại học PCCC sở để đảm bảo việc phần mềm độc hại không lây nhiễm vào máy chủ dịch vụ * Sử dụng phần mềm chuyên dụng Smart Backup để lưu phục hồi liệu máy chủ Storages Điều nhằm đảm bảo an tồn liệu có cố xảy * Sử dụng phần mềm ảo hóa VMware để ảo hóa máy chủ vật lý thành máy chủ ảo, từ cài đặt máy chủ dịch vụ phần mềm 3.2.2.3 Giải pháp sách, quy định * Chính sách bảo mật người sử dụng: Bên cạnh triển khai công nghệ an ninh an tồn tối ưu hệ thống cơng nghệ thơng tin việc áp dụng sách bảo mật cần thiết Trong môi trường mạng trường Đại học PCCC, số sách an ninh thông tin sau cần quan tâm: - Các yêu cầu quản lý tập trung: Các sách có quy định cụ thể nhóm người phân quyền cho nhóm người dùng truy cập vào vùng tài nguyên định hay không? Người dùng phổ biến sách hay quy định quản lý truy cập hay chưa? - Quản lý truy cập người sử dụng - Trách nhiệm người sử dụng: - Giám sát mạng: - Kiểm soát truy cập ứng dụng: - Theo dõi truy cập sử dụng hệ thống: - Kết nối từ xa làm việc qua mạng: * Các sách hệ thống: 22 - Chính sách bảo mật nhân sự: Mục tiêu để giảm bớt rủi ro mặt nhân sự, trộm cắp, gian lận lạm dụng trang thiết bị Bao gồm sách: sách tuyển dụng; sách đào tạo sử dụng nhân sự; sách sa thải - Chính sách quản lý thiết bị: Mục tiêu nhằm trì hoạt động ổn định, an tồn thiết bị triển khai hệ thống mạng thiết bị nằm sở nhằm mục đích cung cấp an tồn, bảo mật thơng tin - Chính sách quản lý truy cập: Mục tiêu cung cấp sách ràng buộc phương thức truy nhập vào hệ đám mây nhà trường - Chính sách bảo mật tài liệu: Mục tiêu cung cấp nguyên tắc bảo mật cho loại tài liệu (tài liệu phần cứng, tài liệu phần mềm) lưu hành, ban hành nhà trường 3.3 Thử nghiệm giải pháp 3.3.1 Giới hạn phạm vi Do giải pháp Đại học PCCC giai đoạn thiết kế nên chưa có thiết bị thực đầy đủ để thử nghiệm nên học viên giới hạn thử nghiệm môi trường giả lập gần giống mạng thực tế kiểm tra giải pháp phịng chống cơng từ Client bên đám mây Thử nghiệm công đơn giản vào hệ thống cách công Ping of Death, Dos vào dịch vụ web server nội 3.3.2 Kịch thử nghiệm 3.3.3 Thử nghiệm đánh giá kết thử nghiệm Trong hình thức cơng hay hình thức xâm nhập có dấu hiệu riêng chúng Các thông tin dấu hiệu để IDS phát công, xâm nhập 23 3.3.3.1 Cấu trúc luật Snort 3.3.3.2 Thử nghiệm việc phát công Ping of Death vào web server Kịch công Ping of Death: - Các gói tin Ping thường có dung lượng khoảng 64 byte Với hình thức cơng Ping of Death kẻ cơng liên tục gửi gói tin Ping với dung lượng lớn ạt gây tải server - Trên máy công sử dụng lệnh: ping 192.168.2.100 –s 1000 – f Qua việc bắt phân tích gói tin Wireshark, ta định nghĩa rule cho IDS nhằm phát công Ping of Death sau: alert icmp any any -> any any (dsize: > 1000; msg: “Ping of Death”; threshold: type both, track by_src,count 100, seconds 10;sid:22222222;) 3.3.3.3 Thử nghiệm việc phát công Dos vào hệ thống web Trên máy có vai trị Attacker sử dụng công cụ hping3 để thực công Bằng cách sử dụng lệnh: hping3 -S -p 80 flood 192.168.2.100 Sử dụng Wireshark để bắt gói tin ta thấy có nhiều kết nối SYN gửi từ máy công tới máy chủ web Đây hình thức cơng liên tiếp gửi gói tin SYN khơng nhận lại gói tin ACK, làm cho máy chủ tiếp tục chờ gói tin ACK, gây tiêu tốn băng thông, không phục vụ người dùng bình thường Ta định nghĩa luật để phát hình thức cơng dựa vào cách thức định nghĩa luật Snort, ví dụ: alert tcp any any -> any 80 (msg:"you are under attack";flags: S; threshold: type both, track by_src, count 100, seconds 10; sid:10000002;) 3.3.3.4 Đánh giá kết Qua thử nghiệm giải pháp cảnh báo công vào dịch vụ dựa luật thiết lập Snort máy chủ IDS bước đầu thành công Qua cho ta thấy 24 việc cập nhật dấu hiệu bất thường để phát cơng cơng việc quan trọng, định tới việc sống hệ thống trước công 3.4 Nhận xét Học viên trình bày thử nghiệm giải pháp phát cơng mạng phần mềm Snort máy chủ IDS Giải pháp không bao trùm vấn đề an ninh cho ứng dụng điện toán đám mây song giải pháp đóng vai trị quan trọng khơng thể thiếu việc triển khai dịch vụ ứng dụng dạng điện toán đám mây SaaS Với thành phần khác giải pháp thiết kế hồn tồn thử nghiệm có thiết bị KẾT LUẬN VÀ HƯỚNG NGHIÊN CỨU TIẾP THEO Trong thời gian thực luận văn học viên nghiên cứu mô hình triển khai điện tốn đám mây SaaS, nghiên cứu mơ hình giải pháp bảo mật cho SaaS áp dụng giải pháp cho toán trường Đại học PCCC Qua trình làm luận văn học viên hiểu đặc trưng mơ hình triển khai điện tốn đám mây khác nhau, nắm nguyên tắc thiết kế giải pháp bảo mật cho mơ hình điện tốn đám mây tổng qt Nguyên tắc thiết kế học viên vận dụng vào trường hợp cụ thể trường Đai học PCCC để đưa giải pháp kỹ thuật đảm bảo tính khoa học khả thi, phù hợp với nhu cầu thực tế Trong thời gian tới, có điều kiện học viên tiếp tục nghiên cứu, triển khai nội dung: tìm kiếm giải pháp Hãng để triển khai cho dự án đảm bảo tính khả thi chi phí, xây dựng quy trình kỹ thuật kiểm tra khả an ninh cho ứng dụng SAAS trước đưa vào hoạt động, nghiên cứu triển khai giải pháp an ninh cho mơ hình đám mây lai cho ĐH PCCC nhà trường tách làm sở xa cho phép truy xuất từ Internet ... hướng nghiên cứu tiếp luận văn CHƯƠNG NGHIÊN CỨU TỔNG QUAN VỀ SAAS TRONG MƠ HÌNH ĐIỆN TỐN ĐÁM MÂY 1.1 Tổng quan điện toán đám mây Điện toán đám mây giải pháp tất tài nguyên điện toán (phần cứng,... thơng tin mơ hình điện tốn đám mây SaaS Những phương pháp an ninh theo kiến trúc an ninh famework X.805 đặc trưng điện toán đám mây SaaS Ở đây, vấn đề an ninh cho điện tốn đám mây SaaS xem xét mơ... chủ IDS Giải pháp không bao trùm vấn đề an ninh cho ứng dụng điện toán đám mây song giải pháp đóng vai trị quan trọng thiếu việc triển khai dịch vụ ứng dụng dạng điện toán đám mây SaaS Với thành