Phân tích các chuẩn đánh giá an toàn thông tin được xây dựng và sử dụng tại việt nam

MỤC LỤC DANH MỤC HÌNH VẼ MỞ ĐẦU Chương TỔNG QUAN VỀ ĐÁNH GIÁ AN TOÀN THƠNG TIN 1.1 Khái niệm an tồn thơng tin .6 1.2 Khái niệm đánh giá an tồn thơng tin 1.3 Nhu cầu đánh giá an tồn thơng tin tiêu chí đánh giá chung 1.4 Phương pháp luận đánh giá an tồn thơng tin 1.4.1 Phương pháp ISSAF 10 1.4.2 Phương pháp OSSTMM 12 1.4.3 Phương pháp OWASP 14 1.5 Các kỹ thuật đánh giá 17 1.6 Yêu cầu cụ thể việc thực đánh giá an tồn thơng tin 19 1.6.1 Quy trình thực đánh giá an tồn thơng tin .19 1.6.2 Mơ tả chi tiết hạng mục đánh giá an toàn thông tin mạng 21 Chương TIÊU CHUẨN ĐÁNH GIÁ AN TỒN THƠNG TIN .24 2.1 Các tiêu chuẩn quốc tế đánh giá an tồn thơng tin 24 2.2 Các tiêu chuẩn đánh giá an tồn thơng tin Việt Nam 29 2.3 Phân tích Bộ tiêu chuẩn TCVN 8709 (ISO/IEC 15408) 30 2.4 Phân tích Bộ tiêu chuẩn ISO/IEC 18045 34 2.5 Liên hệ thực tiễn 39 2.5.1 Tình hình an tồn thơng tin quan nhà nước .39 2.5.2 Đề xuất biện pháp đảm bảo an tồn thơng tin mạng .41 KẾT LUẬN 44 TÀI LIỆU THAM KHẢO 45 DANH MỤC HÌNH Hình 1.1 Phương thức làm việc ISSAF .11 Hình 1.2 Khái qt mơ hình OSSTMM 13 Hình 1.3 Phương thức làm việc OSSTMM .14 Hình 1.4 Phương thức làm việc OWASP 16 Hình 1.5 Quy trình thực đánh giá An tồn thơng tin mạng .19 YHình 2.1 Mối quan hệ tiêu chuẩn ISO/IEC 27000……… ….24 Hình 2.2 Quá trình hình thành phát triển ISO/IEC 15408 27 Hình 2.3 Quá trình hình thành cộng đồng CC (Common Criteria) 28 Hình 2.4 Ví dụ báo cáo công nhận tuân thủ theo tiêu chí chung 28 Hình 2.5 Ví dụ sản phẩm đánh giá xác nhận .29 MỞ ĐẦU Tính cấp thiết đề tài Từ đầu kỷ 21, giới bước vào cách mạng công nghiệp lần thứ tư Đây cách mạng gắn liền với phát triển không gian mạng, hợp công nghệ vật lý, kỹ thuật số sinh học, kết hợp hệ thống ảo thực thể, làm thay đổi cách thức người tạo sản phẩm, từ tạo nên “cuộc cách mạng” tổ chức chuỗi sản xuất - giá trị Sự kết nối tương tác thông qua Internet mở kỷ nguyên thúc đẩy tiến trình phát triển xã hội nhân loại Không gian mạng trở thành phận cấu thành đóng vai trị quan trọng việc xây dựng xã hội thông tin kinh tế tri thức Do vậy, phát triển làm chủ không gian mạng nhiệm vụ quan trọng, cấp bách nước giới Bên cạnh lợi ích to lớn mà khơng gian mạng đem lại, nước phải đối mặt với nguy cơ, như: Chiến tranh mạng, gián điệp mạng, công mạng, tội phạm mạng nhiều vấn đề phức tạp Đối với Việt Nam, thời gian qua, lực thù địch, tội phạm mạng gia tăng hoạt động công mạng nhằm thu thập thông tin, bí mật nhà nước, bí mật nội bộ, chiếm quyền điều khiển, phá hoại hệ thống mạng thông tin; sử dụng Internet, trang mạng xã hội với nhiều phương thức, thủ đoạn tinh vi, xảo quyệt nhằm gây chia rẽ nội bộ, xâm phạm lợi ích, an ninh quốc gia Công tác quản lý nhà nước an tồn, an ninh mạng cịn sơ hở, chưa theo kịp tốc độ phát triển ứng dụng công nghệ thông tin, báo điện tử, mạng xã hội, trò chơi trực tuyến, thuê bao di động trả trước, hoạt động cung cấp dịch vụ viễn thông, Internet Một số quan, tổ chức, cá nhân chủ quan, sơ hở quản lý thông tin nội bộ, bí mật nhà nước; chưa nhận thức đầy đủ vị trí, tầm quan trọng cơng tác bảo đảm an tồn, an ninh mạng tính chất nguy hiểm âm mưu, hoạt động lực thù địch, tội phạm mạng chống phá ta không gian mạng; cơng tác phịng ngừa cịn để lộ, lọt bí mật nhà nước, bí mật nội mạng… Cùng với đó, phát triển dịch vụ, mạng xã hội, trò chơi trực tuyến xu hướng chuyển dịch hoạt động mặt đời sống xã hội lên không gian mạng đặt thách thức gay gắt với công tác bảo đảm an toàn, an ninh mạng Với xu hướng kết hợp hệ thống ảo thực thể, Internet kết nối vạn vật hệ thống, hoạt động công mạng lực thù địch, tội phạm mạng ngày gia tăng, không dừng lại mục đích thu thập thơng tin bí mật, mà cịn phá hoại sở liệu, hạ tầng cơng nghệ thơng tin, chí trở thành loại vũ khí nguy hiểm, có sức tàn phá nặng nề, sử dụng song hành loại vũ khí truyền thống xung đột vũ trang xảy Bối cảnh đặt yêu cầu cấp bách phải tạo chuyển biến sâu sắc nhận thức cấp ủy đảng, quyền, đồn thể từ Trung ương đến địa phương tầm quan trọng cơng tác bảo đảm an tồn thơng tin mạng, coi nhiệm vụ quan trọng, cấp bách, thường xuyên, lâu dài hệ thống trị tồn dân lãnh đạo Đảng, quản lý Nhà nước Trong đó, vấn đề có tính then chốt đánh giá kiểm định an toàn cho hệ thống thơng tin Trước tình hình đó, việc nghiên cứu đề tài: “Phân tích chuẩn đánh giá an tồn thơng tin xây dựng sử dụng Việt Nam?” có ý nghĩa mặt thực tiễn khoa học, đáp ứng đòi hỏi ngày cao cơng tác đảm bảo an tồn thơng tin mạng Kết cấu đề tài Ngoài phần mở đầu kết luận Kết cấu đề tài bao gồm chương: Chương 1: Tổng quan đánh giá an toàn thông tin Chương cung cấp khái niệm đánh giá, tầm quan trọng đánh giá phương pháp luận đánh giá an tồn hệ thống thơng tin Đồng thời chương giới thiệu kỹ thuật đánh giá yêu cầu cụ thể việc đánh giá an tồn thơng tin Chương 2: Tiêu chuẩn đánh giá an tồn thơng tin Ở chương giới thiệu phân tích tiêu chuẩn an tồn thơng tin sử dụng Việt Nam giới Bên cạnh phân tích tình hình thực tiễn cơng tác đảm bảo an tồn thơng tin quan phủ với đề xuất giải pháp khắc phục Chương TỔNG QUAN VỀ ĐÁNH GIÁ AN TOÀN THƠNG TIN 1.1 Khái niệm an tồn thơng tin Thông tin lưu trữ sản phẩm hệ thống công nghệ thông tin tài nguyên quan trọng cho thành cơng tổ chức đó, tài sản cá nhân hay tổ chức Các thông tin cá nhân lưu trữ hệ thống thơng tin cần giữ bí mật, bảo vệ không bị thay đổi không phép Trong sản phẩm hệ thống công nghệ thông tin thực đảm bảo chúng, thông tin cần kiểm soát để đảm bảo chúng bảo vệ chống lại nguy cơ, ví dụ việc phổ biến thay đổi thông tin không mong muốn trái phép, nguy mát thông tin An tồn thơng tin an tồn kỹ thuật cho hoạt động sở hạ tầng thông tin, bao gồm an tồn phần cứng phần mềm theo tiêu chuẩn kỹ thuật nhà nước ban hành; trì tính chất bí mật, tồn vẹn, xác, sẵn sàng phục vụ thơng tin lưu trữ, xử lý truyền tải mạng (theo định nghĩa Nghị định 64-2007/NĐ-CP) Đảm bảo an tồn thơng tin đảm bảo an tồn kỹ thuật cho hoạt động sở hạ tầng thông tin, bao gồm đảm bảo an tồn cho phần cứng phần mềm hoạt động theo tiêu chuẩn kỹ thuật nhà nước ban hành; ngăn ngừa khả lợi dụng mạng sở hạ tầng thông tin để thực hành vi trái phép gây hại cho cộng đồng, phạm pháp hay khủng bố; đảm bảo tính chất bí mật, tồn vẹn, xác, sẵn sàng phục vụ thơng tin lưu trữ, xử lý truyền tải mạng Như khái niệm đảm bảo an tồn thơng tin bao hàm đảm bảo an toàn cho phần cứng phần mềm An toàn phần cứng bảo đảm hoạt động cho sở hạ tầng thông tin An toàn phần mềm gồm hoạt động quản lý, kỹ thuật nhằm bảo vệ hệ thống thông tin, đảm bảo đảm cho hệ thống thực đảm bảo, phục vụ đối tượng cách sẵn sàng, xác, tin cậy An tồn cơng nghệ thơng tin đảm bảo an toàn kỹ thuật cho sản phẩm, dịch vụ hệ thống công nghệ thông tin 1.2 Khái niệm đánh giá an tồn thơng tin Một nhu cầu thực tế đặt làm để biết sản phẩm hệ thống có tin cậy hay khơng, có áp dụng biện pháp kỹ thuật an tồn phù hợp hay khơng, mức độ an toàn nào? Đánh giá an toàn thơng tin để đáp ứng nhu cầu đó, nhằm cung cấp chứng việc đảm bảo an toàn cho sản phẩm hệ thống Mặt khác, nhiều người tiêu dùng cơng nghệ thơng tin khơng có đủ kiến thức, chuyên môn tài nguyên cần thiết để phán xét an toàn sản phẩm hệ thống cơng nghệ thơng tin có phù hợp hay không, dựa vào cam kết nhà phát triển Bởi vậy, người tiêu dùng nâng cao tin cậy biện pháp an toàn sản phẩm hệ thống công nghệ thông tin cách đặt hàng phân tích an tồn cho chúng, nghĩa đánh giá an toàn 1.3 Nhu cầu đánh giá an toàn thơng tin tiêu chí đánh giá chung Đánh giá an tồn thơng tin nhu cầu thực tế, giúp người dùng xác định xem sản phẩm hệ thống cơng nghệ thơng tin có đủ an tồn tin cậy chưa đưa vào sử dụng, rủi ro an tồn tiềm ẩn sử dụng có chấp nhận hay không, sản phẩm hệ thống có áp dụng biện pháp kỹ thuật an tồn phù hợp hay khơng, mức độ an toàn Ngoài ra, việc đánh giá an tồn thơng tin cịn giúp doanh nghiệp việc phát triển sản phẩm hệ thống công nghệ thơng tin đảm bảo u cầu an tồn thơng tin Thực tế cho thấy, mơ hình tổng thể cho đánh giá an tồn thơng tin cần thiết Mơ hình khơng đáp ứng nhu cầu đảm bảo an tồn hệ thống thơng tin, mà đồng thời phương tiện hữu hiệu để khảo sát qui hoạch, phát triển hệ thống đánh giá kết Để đạt so sánh hiệu kết đánh giá, đánh giá cần thực theo khung mô hình thức tiêu chí đánh giá chung (Common Criteria), thành phần giám sát chất lượng trình đánh giá tổ chức có thẩm quyền đánh giá tương thích với ngữ cảnh đánh giá Sử dụng phương pháp đánh giá chung làm tăng thêm tính xác khách quan kết đánh giá, song sử dụng phương pháp đánh giá chung chưa đủ Cần có tiêu chí đánh giá chung lược đồ đánh giá Nhiều tiêu chí đánh giá địi hỏi có kinh nghiệm chuyên gia kiến thức bản, nhằm đạt quán khách quan kết đánh giá Để tăng cường quán khách quan cho kết đánh giá, cần có quy trình cơng nhận/phê chuẩn Quy trình xem xét kỹ cách độc lập kết đánh giá để đưa chứng nhận/ phê chuẩn mức độ an toàn cho sản phẩm/ hệ thống công nghệ thông tin vào sử dụng 1.4 Phương pháp luận đánh giá an tồn thơng tin Để thực đánh giá an tồn thơng tin cách tối ưu đắn, người đánh giá cần phải có phương pháp luận cụ thể Phương pháp luận đánh giá nên lập thành tài liệu nên tái thực theo nhiều phiên vì: - Cung cấp tính thống có cấu trúc cho việc kiểm thử an tồn, từ giảm thiểu rủi ro trình đánh giá - Giúp dễ dàng việc chuyển giao quy trình đánh giá có thay đổi nhân đánh giá - Chỉ hạn chế tài nguyên kết hợp với đánh giá an tồn Bởi đánh giá an tồn thơng tin cần vấn đề thời gian, nhân lực, phần cứng, phần mềm; song lại yếu tố làm hạn chế tới cách thức tần suất đánh giá Chính thế, việc xác định phương thức đánh giá, xác định kiểu kiểm thử kiểm tra, có phương pháp luật phù hợp giúp giảm thiểu hạn chế trên, đồng thời giảm bớt chi phí cho việc thực đánh giá Xây dựng phương pháp luận đánh giá an tồn thơng tin theo giai đoạn mang lại nhiều ưu điểm cung cấp cấu trúc, điểm dừng tự nhiên cho trình chuyển đổi nhân viên Phương pháp luận cần chứa tối thiểu pha sau: - Lập kế hoạch: Pha đóng vai trị quan trọng góp phần giúp cho q trình đánh giá thành công Trong pha này, thông tin cần thiết để phục vụ trình đánh giá thu thập, chẳng hạn tài sản, mối đe dọa tài sản biện pháp kiểm soát an toàn sử dụng nhằm giảm thiểu mối đe dọa Ngồi ra, người đánh giá hình dung phương pháp tiếp cận đánh giá pha Một đánh giá an toàn nên coi dự án khác với kế hoạch quản lý dự án để mục tiêu, mục đích, phạm vi, yêu cầu, vai trị trách nhiệm nhóm, hạn chế, yếu tố thành công, giả định, tài nguyên, thời gian phân phối - Thực thi: Mục tiêu cho giai đoạn thực thi xác định lỗ hổng xác nhận chúng thích hợp Pha cần phải hoạt động liên quan tới phương pháp kỹ thuật đánh giá dự kiến Mặc dù hoạt động cụ thể pha khác tùy theo kiểu đánh giá hoàn thành pha người đánh giá phải xác định hệ thống, mạng lỗ hổng - Hậu thực thi: Giai đoạn hậu thực thi tập trung vào việc phân tích lỗ hổng xác định để biết nguyên nhân thực sự, đưa khuyến cáo giảm nhẹ lỗ hổng phát triển báo cáo cuối Có vài phương pháp luận chấp nhận để thực kiểu đánh giá an tồn thơng tin khác Chẳng hạn NIST đưa phương pháp luận – Hướng dẫn đánh giá biện pháp kiểm sốt an tồn hệ thống thông tin liên bang (NIST - SP 800-53A) Tài liệu cung cấp gợi ý cho việc đánh giá tính hiệu biện pháp kiểm sốt an toàn nêu NIST SP 800-53 Hay phương pháp luận sử dụng rộng rãi khác phương pháp mở kiểm thử an tồn thủ cơng (Open Source Security Testing Methodology Manual - OSSTMM) Bởi có nhiều lí để tiến hành đánh giá nên tổ chức muốn sử dụng nhiều phương pháp luận Dưới xem xét kỹ số phương pháp luận ứng dụng rộng rãi đánh giá an tồn hệ thống thơng tin là: - Phương pháp đánh giá an toàn hệ thống thông tin – ISSAF - Phương pháp mở đánh giá an tồn thủ cơng – OSSTMM - Dự án mở bảo mật ứng dụng Web – OWASP 1.4.1 Phương pháp ISSAF ISSAF phương pháp luận đánh giá an tồn hệ thống thơng tin tổ chức OISSG, đời năm 2003, cho phép người nghiên cứu, đánh giá an ninh công nghệ thông tin chuyên nghiệp tham gia đóng góp, thảo luận lĩnh vực an ninh cơng nghệ thơng tin Khung làm việc phân vào số loại lĩnh vực giải đánh giá an ninh theo trình tự Mỗi lĩnh vực đánh giá phận khác hệ thống mục tiêu cung cấp liệu đầu vào cho nhóm cơng việc an ninh thành cơng ISSAF phát triển tập trung vào hai lĩnh vực: quản lý kỹ thuật Mặt quản lý thực quản lý nhóm cơng việc kinh nghiệm thực tế tốt phải tuân thủ suốt trình đánh giá, mặt kỹ thuật thực quy tắc cốt lõi, thủ tục cần tuân thủ tạo quy trình đánh giá an ninh đầy đủ Về mặt kỹ thuật, ISSAF xây dựng loạt phương pháp đánh giá cho thành phần hệ thống cơng nghệ thơng tin như: đánh giá an tồn mật khẩu; đánh giá an toàn thiết bị mạng: Switch, Router, Firewall, IDS, VPN, Anti-Virus, WLAN…; đánh giá an ninh máy chủ: Windows, Linux, Novell, Web Server; đánh giá an ninh ứng dụng web, mã nguồn, CSDL đến đánh giá an ninh phi công nghệ an ninh vật lý; công nghệ xã hội Về phương thức làm việc, ISSAF bao gồm giai đoạn tiếp cận bước đánh giá, là: 10 biểu diễn tập hợp thành phần đảm bảo, họ lớp Phần dùng làm tham chiếu cho tiêu chí đánh giá bắt buộc báo cáo yêu cầu chức an toàn, để xác định xem sản phẩm hay hệ thống công nghệ thơng tin có thỏa mãn tiêu chí đánh giá nêu hay không Phần (TCVN 8709-3) hướng dẫn lập báo cáo cấp độ thành phần đảm bảo an toàn cho sản phẩm hệ thống cơng nghệ thơng tin Các tiêu chí đảm bảo an tồn chuẩn hóa chung cho sản phẩm hệ thống công nghệ thông tin biểu diễn dạng tập hợp thành phần, họ lớp hồ sơ bảo vệ tập đích an tồn Phần dùng làm tham chiếu cho tiêu chí đánh giá bắt buộc báo cáo thành phần đảm bảo an toàn, để đánh giá cho hồ sơ bảo vệ tập đích an tồn, xác định cấp độ đảm bảo an toàn cho sản phẩm hay hệ thống công nghệ thông tin sở mức độ thỏa mãn tiêu chí đánh giá nêu Như vậy, phần tiêu chuẩn, phần phần tổng quan, trình bày mơ hình tổng qt cho đánh giá an tồn thơng tin; phần phần chi tiết tiêu chí chung đảm bảo an toàn yêu cầu đảm bảo chung cho sản phẩm hệ thống công nghệ thông tin Quan điểm nguyên tắc đánh giá tính an tồn sản phẩm cơng nghệ thơng tin tiêu chí chung để đánh giá an tồn cơng nghệ thơng tin (CC) hay TCVN 8709 thông qua loạt khái niệm cấu trúc mà việc hiểu sâu sắc chúng tiền đề để sử dụng hiệu CC Các khái niệm cốt lõi phản ánh quan điểm phương pháp CC gồm: Đối tượng đánh giá, mục tiêu an toàn, yêu cầu an toàn, mức kiểm định cấu trúc “Hồ sơ bảo vệ”, cấu trúc “lớp - họ - thành phần”, xem xét sau đây: Đối tượng đánh giá (TOE - Evaluation object) sản phẩm công nghệ thông tin đưa đánh giá CC qui định sản phẩm tập hợp phương tiện công nghệ thông tin thực chức định, sử dụng trực tiếp tích hợp vào hệ thống Như vậy, sản phẩm theo CC hiểu đơn lẻ hệ thống, hệ thống khai thác sản phẩm điều kiện cụ thể CC đòi hỏi 31 đối tượng đánh giá phải xem xét mơi trường an tồn cụ thể bao gồm môi trường pháp lý (các qui định, văn hướng dẫn liên quan tới TOE); mơi trường hành chính, quản trị (các điều khoản sách an tồn, chương trình an tồn có liên quan đến đối tượng); môi trường vật lý biện pháp bảo vệ vật lý; mơi trường kỹ thuật (mục đích sử dụng TOE lĩnh vực sử dụng, tài nguyên cần bảo vệ phương tiện TOE) Khi mô tả môi trường đối tượng, vấn đề quan trọng mô tả nguy an toàn, gồm nguy thực nguy giả định Mục tiêu an toàn (ST- Security target) tập hợp yêu cầu an toàn đặc tả dùng làm sở để đánh giá tính an tồn sản phẩm Mục tiêu an tồn xây dựng sau phân tích mơi trường an tồn, tức phân tích yếu tố đảm bảo cho an toàn mối nguy đe dọa an tồn, quy định sách an toàn tổ chức, kinh nghiệm, kỹ kiến thức Mục tiêu an toàn bao gồm mục tiêu an toàn cho đối tượng mục tiêu an toàn cho mơi trường Mục tiêu an tồn cho đối tượng phải có khả đối chiếu với mối đe dọa an tồn mà đối phó phương tiện kỹ thuật đối tượng đánh giá sách an tồn tổ chức Mục tiêu an tồn cho mơi trường cần đối chiếu với mối đe dọa mà phương tiện kỹ thuật đối tượng sách an tồn khơng hồn tồn có khả chống đỡ u cầu an tồn kết biến đổi mục tiêu an toàn thành yêu cầu cụ thể Các yêu cầu an toàn xác định riêng cho đối tượng cho môi trường CC phân biệt hai loại yêu cầu an toàn: yêu cầu chức yêu cầu đảm bảo Yêu cầu chức đặt cho chức sản phẩm, có nhiệm vụ trì an tồn cơng nghệ thơng tin định vận hành an toàn mong muốn đối tượng Ví dụ yêu cầu chức yêu cầu định danh, xác thực, kiểm tốn an tồn không chối bỏ nguồn gốc Các yêu cầu đảm bảo lại quy định công nghệ trình thiết kế, chế tạo, khai thác sản phẩm, xác định mức an toàn tối thiểu phù hợp với mục tiêu an tồn cơng bố Trong đó, mức an toàn chức chọn theo: tối thiểu, trung bình cao 32 Mỗi chức địi hỏi thỏa mãn mức tối thiểu an tồn tương ứng Ví dụ, yêu cầu đảm bảo đòi hỏi tính chặt chẽ q trình thiết kế hay xác định điểm yếu tiềm sản phẩm phân tích ảnh hưởng đến độ an tồn sản phẩm Nếu yêu cầu chức đặt cho chức sản phẩm yêu cầu đảm bảo lại đặt cho hoạt động nhà thiết kế Hồ sơ bảo vệ (Protected Profile - PP) tài liệu mẫu để xây dựng mục tiêu an tồn ST Nó giúp nhà phát triển xây dựng hồ sơ cụ thể cho đối tượng cần đánh giá, giúp người tiêu dùng định hướng vào nhóm u cầu an tồn giúp nhà kiểm định dựa vào để đánh giá sản phẩm Nếu mục tiêu an toàn ST xây dựng cho đối tượng cụ thể PP lại xây dựng chung cho loại đối tượng PP mơ tả yêu cầu chung cho TOE, thường nhóm người tiêu dùng nhóm nhà phát triển sản phẩm viết PP có cấu trúc gồm phần: Giới thiệu PP, định nghĩa vấn đề an toàn đưa mối đe dọa phải đối mặt, Mục tiêu an toàn, định nghĩa thành phần mở rộng tức thành phần chưa có phần CC; u cầu an tồn cho TOE, cho mơi trường TOE Cấu trúc “lớp - họ - thành phần” Các yêu cầu an tồn xác định tiêu chí chung thể cụ thể tính an tồn sản phẩm công nghệ thông tin Để phân mức an toàn TOE CC, yêu cầu an toàn phân cấp nhờ sử dụng cấu trúc “lớp - họ thành phần”, hai dạng yêu cầu cấu trúc giống Lớp sử dụng để chia nhóm chung yêu cầu an tồn, thành phần nhóm có định hướng chung khác mục tiêu an tồn Lớp chia thành hai loại: lớp chức lớp đảm bảo Lớp chức mô tả Phần II CC gồm phần; Lớp đảm bảo mô tả phần CC gồm phần Họ phần tử lớp, nhóm u cầu an tồn có mục tiêu an tồn khác tầm quan trọng tính chặt chẽ Thành phần tập hợp nhỏ yêu cầu an toàn Các thành phần an toàn thuộc họ xếp theo thứ tự tăng dần để biểu thị tầm quan trọng 33 tính chặt chẽ có mục tiêu, họ tổ chức dạng tập hợp có thứ tự phần Ví dụ FIA_UAU.5 thành phần biểu thị điều kiện để xác thực lại người dùng Để đánh giá sảm phẩm công nghệ thông tin, kèm với tiêu chuẩn ISO/IEC 15408 tiêu chuẩn TSO/IEC 18045 ISO/IEC 15408 đưa tiêu chí đánh giá an tồn cơng nghệ thơng tin chung ISO/IEC 18045 đưa hệ thống phương pháp đánh giá an tồn cơng nghệ thơng tin cho tiêu chí an tồn quy định ISO/IEC 15408 2.4 Phân tích Bộ tiêu chuẩn ISO/IEC 18045 Bộ tiêu chuẩn ISO/IEC 18045 có tên “Cơng nghệ thơng tin - Các kỹ thuật an toàn - Hệ thống phương pháp đánh giá an tồn cơng nghệ thơng tin” ISO/IEC 18045 biên soạn Ủy ban kỹ thuật liên hợp ISO/IEC JTC công nghệ thông tin (Joint Technical Committee ISO/IEC JTC) Tiểu ban SC 27 kỹ thuật an tồn cơng nghệ thơng tin (Information Technology Subcommittee SC 27, IT security techniques) Tài liệu chuẩn ISO/IEC 18045 xuất tổ chức tài trợ dự án tiêu chuẩn chung tiêu đề “Các tiêu chí chung cho đánh giá an tồn công nghệ thông tin” Tiêu chuẩn ISO/IEC 18045 cung cấp hệ thống phương pháp đánh giá an tồn cơng nghệ thơng tin cho tiêu chí an tồn quy định ISO/IEC 15408 - Phiên tiêu chuẩn ISO/IEC 18045 ISO/IEC 18045: 2005, tiêu chuẩn đưa hệ thống phương pháp đánh giá an tồn thơng tin theo tiêu mà tiêu chuẩn quốc tế ISO 15408:2005 đưa Nội dung tiêu chuẩn bao gồm hệ thống phương pháp đánh giá cho phép đánh giá theo cấp độ từ EAL tới EAL quy định ISO 15408: 2005 Nội dung tiêu chuẩn ISO 18045: 2005 bao gồm Điều sau: Giới thiệu Phạm vi áp dụng Thuật ngữ định nghĩa Ký hiệu từ viết tắt Tổng quan Các quy ước 34 Các nhiệm vụ đánh giá chung Đánh giá hồ sơ bảo vệ Đánh giá mục tiêu bảo mật 10 Đánh giá an tồn thơng tin theo cấp độ 11 Đánh giá an tồn thơng tin theo cấp độ hai 12 Đánh giá an tồn thơng tin theo cấp độ ba 13 Đánh giá an tồn thơng tin theo cấp độ bốn 14 Điều chỉnh sai sót - Phiên thứ hai thay cho phiên ISO/IEC 18045:2008 phiên nay, tiêu chuẩn đưa hệ thống phương pháp đánh giá an tồn thơng tin theo tiêu chí mà tiêu chuẩn ISO 15408:2008 đưa Tại phiên không đưa hệ thống phương pháp đánh giá theo cấp độ từ EAL tới EAL mà đưa hệ thống phương pháp đánh giá theo lớp ISO/IEC 18045:2008 gồm Điều sau: Phạm vi áp dụng: Đưa phạm vi áp dụng tiêu chuẩn Tài liệu viện dẫn: Đưa tài liệu mà tiêu chuẩn viện dẫn Thuật ngữ định nghĩa: Giới thiệu thuật ngữ áp dụng tiêu chuẩn Ký hiệu thuật ngữ viết tắt: Giới thiệu ký hiệu thuật ngữ viết tắt sử dụng tiêu chuẩn Tổng quan: Giới thiệu bố cục tiêu chuẩn Các quy ước tiêu chuẩn: Giới thiệu quy ước tiêu chuẩn sử dụng tiêu chuẩn Quy trình đánh giá nhiệm vụ liên quan: Đưa quy trình đánh giá nhiệm vụ liên quan sử dụng việc đánh giá tiêu đưa lớp TCVN 8701-3: 2011 Lớp APE: Đánh giá hồ sơ bảo vệ Điều mô tả việc đánh giá PP Các yêu cầu hệ thống phương pháp để đánh giá PP giống đánh giá PP, không phụ thuộc vào EAL (hoặc tập yêu cầu đảm bảo khác) đòi hỏi PP Hệ thống phương pháp đánh giá Điều dựa vào yêu cầu PP quy định TCVN 8709-3: 2011 lớp APE Lớp ASE: Đánh giá đích an tồn Điều mơ tả việc đánh giá ST Việc đánh giá ST nên bắt đầu 35 trước có hoạt động đánh giá TOE ST cung cấp sở bối cảnh để thực hoạt động Hệ thống phương pháp đánh giá Điều vào yêu cầu dựa ST theo quy định TCVN 8709-3: 2011 lớp ASE 10 Lớp ADV: Phát triển Mục đích hoạt động phát triển đánh giá tài liệu thiết kế phạm vi thích hợp để hiểu làm TSF đáp ứng SFR làm triển khai SFR mà không bị giả mạo bị bỏ qua Sự hiểu biết đạt thông qua thẩm tra mô tả ngày tinh tế tài liệu thiết kế TSF Tài liệu thiết kế bao gồm đặc tả chức (trong mơ tả giao diện TSF), mơ tả thiết kế TOE (trong mơ tả kiến trúc TSF xét cách thức hoạt động để thực chức liên quan đến SFR yêu cầu), mô tả triển khai (mô tả mức mã nguồn) Ngồi ra, có mơ tả kiến trúc an tồn (trong mơ tả đặc tính kiến trúc TSF để giải thích cách thực thi an tồn khơng thể bị can thiệp bị bỏ qua), mơ tả nội (trong mơ tả để TSF kết cấu cách dễ hiểu khuyến khích), mơ hình sách an tồn (trong thức mơ tả sách an tồn thực thi TSF) 11 Lớp AGD: Tài liệu hướng dẫn Mục đích hoạt động tài liệu hướng dẫn để đánh giá tính đầy đủ tài liệu mơ tả cách người sử dụng xử lý TOE cách an toàn Tài liệu hướng dẫn cần phân loại tài khoản theo kiểu người sử dụng khác (ví dụ người chấp nhận, cài đặt, quản trị vận hành TOE) mà hành động không xác ảnh hưởng xấu đến an tồn TOE liệu Lớp tài liệu hướng dẫn chia thành hai họ, họ thứ đề cập tới hướng dẫn người dùng chuẩn bị (tất công việc thực để chuyển đổi TOE giao vào cấu hình đánh giá môi trường mô tả ST, nghĩa là chấp nhận cài đặt TOE) họ thứ hai đề cập tới hướng dẫn người sử dụng vận hành (tất công việc thực trình vận hành TOE cấu hình đánh giá nó, nghĩa vận hành quản trị) 36 12 Lớp ALC: Hỗ trợ vịng đời Mục đích hoạt động hỗ trợ vòng đời để xác định phù hợp thủ tục an toàn mà nhà phát triển sử dụng trình phát triển bảo trì TOE Các thủ tục bao gồm mơ hình vịng đời sử dụng nhà phát triển, quản lý cấu hình, biện pháp an tồn sử dụng suốt q trình phát triển TOE, công cụ sử dụng nhà phát triển suốt vòng đời TOE, xử lý lỗ hổng an toàn, hoạt động chuyển giao Kiểm sốt việc phát triển bảo trì TOE dẫn đến điểm yếu triển khai thực Sự phù hợp với mô hình vịng đời xác định giúp để cải thiện kiểm sốt lĩnh vực Một mơ hình vịng đời có khả thành cơng sử dụng cho TOE mang đến tường minh việc đánh giá tiến độ phát triển TOE Mục đích hoạt động quản lý cấu hình để hỗ trợ khách hàng việc xác định TOE đánh giá, để đảm bảo hạng mục cấu hình xác định nhất, đầy đủ thủ tục sử dụng nhà phát triển để kiểm soát theo dõi thay đổi thực cho TOE Điều bao gồm chi tiết thay đổi theo dõi, cách thức thay đổi tiềm áp dụng, mức độ tự động hóa sử dụng để giảm phạm vi lỗi Các thủ tục an toàn phát triển dự định để bảo vệ TOE thông tin thiết kế liên quan khỏi can thiệp tiết lộ Can thiệp vào q trình phát triển cho phép tạo điểm yếu có chủ định Tiết lộ thơng tin thiết kế cho phép khai thác điểm yếu dễ dàng Tính đầy đủ thủ tục phụ thuộc vào chất TOE phát triển trình Việc sử dụng công cụ phát triển xác định áp dụng tiêu chuẩn thực nhà phát triển bên thứ ba tham gia vào trình phát triển giúp đảm bảo điểm yếu khơng phát sinh q trình tinh chỉnh Hoạt động khắc phục thiếu sót dự kiến để theo dõi thiếu sót an tồn, để xác định hành động hiệu chỉnh, phân phối thông tin hành động hiệu chỉnh đến người dùng TOE Mục đích hoạt động chuyển giao để đánh giá mức độ đầy đủ tài liệu 37 thủ tục sử dụng để đảm bảo TOE chuyển giao cho khách hàng mà không sửa đổi 13 Lớp ATE: Kiểm thử Mục đích hoạt động để xác định xem đáp ứng TOE mô tả ST theo quy định chứng đánh giá (được mô tả lớp ADV) Xác định thực thông qua số kết hợp nhà phát triển kiểm thử chức TSF (kiểm thử chức (ATE_FUN)) kiểm trhủ độc lập TSF người đánh giá (kiểm thử độc lập (ATE_IND)) Ở mức thấp đảm bảo, khơng có u cầu cho tham nhà gia phát triển, việc kiểm thử tiến hành người đánh giá, sử dụng thơng tin sẵn có hạn chế TOE Đảm bảo bổ sung tăng thêm nhà phát triển tham gia kiểm thử cung cấp thêm thông tin TOE, người đánh giá gia tăng hoạt động kiểm thử độc lập 14 Lớp AVA: Đánh giá điểm yếu Mục đích hoạt động đánh giá điểm yếu để xác định khả khai thác sai sót điểm yếu TOE môi trường vận hành Việc xác định dựa phân tích chứng đánh giá tìm kiếm tài liệu cơng bố người đánh giá hỗ trợ cách kiểm thử thâm nhập người đánh giá 15 Lớp ACO: Thành phần Mục tiêu hoạt động để xác định xem thành phần tích hợp cách an toàn theo quy định ST cho TOE kết hợp Điều đạt thông qua kiểm tra kiểm thử giao diện thành phần, hỗ trợ cách kiểm tra việc thiết kế thành phần tiến hành phân tích điểm yếu Phụ Lục A: Hướng dẫn đánh giá chung Mục đích phần đưa hướng dẫn chung cung cấp chứng cớ kỹ thuật kết đánh giá Việc sử dụng hướng dẫn chung giúp người đánh giá đạt tính khách quan, lặp lại công việc Phụ lục B: Đánh giá điểm yếu (AVA) Phụ lục giải thích tiêu chí AVA_VAN ví dụ ứng 38 dụng chúng Phụ lục khơng định nghĩa tiêu chí AVA; định nghĩa tìm thấy TCVN 8709-3:2011 lớp AVA: Đánh giá điểm yếu Phụ lục gồm phần chính: + Hướng dẫn để hồn thành phân tích điểm yếu độc lập + Cách mơ tả sử dụng khả công giả định kẻ cơng 2.5 Liên hệ thực tiễn 2.5.1 Tình hình an tồn thơng tin quan nhà nước Trong thời gian vừa qua, tình hình an tồn thơng tin Việt Nam tiếp tục diễn biến phức tạp Các công, gián điệp, tội phạm mạng gia tăng nhằm phá hoại hệ thống thông tin, đánh cắp liệu ngày có tổ chức, tinh vi, gây hậu nghiêm trọng, đe dọa đến ổn định trị, an ninh quốc gia làm xuất nguy xảy chiến tranh mạng Không nằm ngồi tác động từ tình hình chung giới, Việt Nam, nhiều mạng công nghệ thông tin trọng yếu quan Đảng Chính phủ trở thành mục tiêu công mạng, không ngừng gia tăng cường độ độ nguy hiểm xuất phát từ số nước khác khu vực giới Chính phủ, Thủ tướng Chính phủ đạo yêu cầu người đứng đầu quan nhà nước phải chịu trách nhiệm để xảy an toàn, an ninh mạng Thiếu tướng Nguyễn Đăng Đào, Phó Trưởng ban Ban Cơ yếu Chính phủ cho biết, nhiệm vụ đánh giá an tồn thơng tin mạng cơng nghệ thơng tin trọng yếu Đảng Chính phủ, phối hợp với lực lượng Quân đội, Công an, Thông tin Truyền thơng thực biện pháp đối phó với chiến tranh thơng tin nhóm nhiệm vụ trọng tâm ngành Cơ yếu Đánh giá an tồn thơng tin giải pháp kỹ thuật quan trọng, có ý nghĩa thiết thực việc tăng cường lực đảm bảo an tồn thơng tin cho quan, tổ chức Đảng Chính phủ, yếu tố quan trọng góp phần đảm bảo an tồn, an ninh thơng tin hoạt động lãnh đạo, đạo, quản lý, điều hành, tác nghiệp bộ, ngành, địa phương Đánh giá kết cơng tác giám sát an tồn thơng tin mạng công 39 nghệ thông tin trọng yếu Đảng Chính phủ giai đoạn 2016 - 2020, Giám đốc Trung tâm công nghệ thông tin & GSANM Trần Đức Sự cho biết, thời gian qua, Trung tâm công nghệ thông tin & GSANM phối hợp chặt chẽ với quan có mạng giám sát triển khai đồng giải pháp: Giám sát an toàn thơng tin, đánh giá an tồn thơng tin, ứng cứu cố an tồn thơng tin, góp phần vào cơng tác đảm bảo an tồn thơng tin cho gần 20 hệ thống mạng công nghệ thông tin quan Đảng Chính phủ Từ năm 2016 - 2020, Ban Cơ yếu Chính phủ triển khai giải pháp kỹ thuật tổng thể đồng để bảo vệ thông tin lãnh đạo, đaọ Đảng Nhà nước mạng liên lạc yếu mạng công nghệ thông tin trọng yếu quan Đảng, Nhà nước bí mật, xác, kịp thời tình Theo số liệu thống kê từ năm 2016 đến nay, hệ thống giám sát an tồn thơng tin phát phát hàng triệu lượt cơng mạng nguy hiểm Trong đó, 358.684 cảnh báo liên quan đến mã độc; 417.328 cảnh báo liên quan đến công hệ thống website, cổng thông tin điện tử; 576.232 cảnh báo công khai thác lỗ hổng bảo mật nhiều cảnh báo cơng nguy hiểm khác Cảnh báo an tồn thơng tin (100%) thông báo, phối hợp xử lý kịp thời chưa để xảy cố gây tổn hại nghiêm trọng cho hệ thống mạng công nghệ thông tin Việc xây dựng, ban hành tiêu chuẩn, quy chuẩn kỹ thuật lĩnh vực an tồn thơng tin mạng chưa đáp ứng nhu cầu thực tiễn Hoạt động nâng cao lực, nhận thức trách nhiệm an tồn, an ninh mạng cịn hạn chế Hợp tác quan, tổ chức, doanh nghiệp nước bảo đảm an toàn, an ninh mạng yếu; hoạt động giám sát, đánh giá, bảo vệ hệ thống thông tin quan, tổ chức nhà nước thiếu chuyên nghiệp Trong năm 2018 đầu năm 2019 xảy số cơng mạng có chủ đích, đánh cắp thơng tin bí mật nhà nước, gây hậu nghiêm trọng 2.5.2 Đề xuất biện pháp đảm bảo an tồn thơng tin mạng Trong thời gian tới, quan, tổ chức, doanh nghiệp nhà nước cần triển 40 khai giải pháp bảo đảm an toàn, an ninh mạng tổng thể nhằm khắc phục tồn tại, hạn chế nêu trên, góp phần cải thiện khả đảm bảo an tồn thơng tin hệ thống phủ Đề xuất bộ, quan ngang bộ, quan thuộc Chính phủ, Ủy ban nhân dân tỉnh, thành phố trực thuộc trung ương, quan cần thực giải pháp sau: - Ban hành sách an tồn thơng tin mạng (thơng tư, quy chế, quy định ) áp dụng cho hệ thống thông tin quan - Thường xuyên tự đánh giá thực tế quan mức độ áp dụng thực tốt quy chế, quy định bảo đảm an tồn thơng tin mạng - Phân cơng lãnh đạo (cấp quan) phụ trách an toàn thông tin mạng - Tổ chức phận chuyên trách an tồn thơng tin mạng - Có kế hoạch đào tạo, tập huấn chung cho đơn vị trực thuộc an tồn thơng tin mạng - Có kế hoạch định kỳ tuyên truyền, phổ biến nâng cao nhận thức người sử dụng an tồn thơng tin mạng - Triển khai hệ thống quản lý an tồn thơng tin mạng (hệ thống ISMS) theo tiêu chuẩn TCVN/ISO-IEC 27000 tiêu chuẩn TCVN 11930: 2017 hay số tiêu chuẩn khác - Thực biện pháp phân loại, xác định trách nhiệm sở hữu tài sản thơng tin - Có quy trình đánh giá, quản lý xử lý rủi ro an tồn thơng tin mạng - Có quy trình thao tác chuẩn (Standard operating procedures) để phản ứng với cố an tồn thơng tin - Trong q trình triển khai dự án phát triển ứng dụng công nghệ thông tin, quan cần thực tư vấn, thẩm định, thẩm tra an tồn thơng tin mạng hệ thống thông tin xây dựng - Thực kiểm tra đánh giá an tồn thơng tin mạng định kỳ cho hệ thống thông tin - Tổ chức trực tiếp tham gia diễn tập bảo đảm an tồn thơng tin mạng cho hệ thống thông tin 41 - Trang bị, cập nhật, nâng cấp hay làm biện pháp kỹ thuật, công nghệ phù hợp quan áp dụng để bảo đảm an tồn thơng tin mạng cho hệ thống thông tin nội công cộng như: + Hệ thống thiết bị sensor ghi log-file phát cố mối đe dọa an tồn thơng tin mạng + Hệ thống giám sát quản lý kiện an tồn thơng tin (SOC- Security Operation Center / SIEM- Security Incident & Event Management) + Giải pháp phân chia hệ thống mạng thành vùng mạng chức với sách quản lý biện pháp kỹ thuật an tồn thơng tin mạng phù hợp + Hệ thống phát xâm nhập (IDS/IPS) mạng + Hệ thống phịng chống cơng DoS/DDoS + Tường lửa cho toàn mạng (Network Firewall) + Phần mềm chống virus mức mạng (Anti-Virus) + Bảo vệ kênh truyền cơng nghệ mã hóa xác thực + Kiểm sốt kênh truy cập có bắt buộc định kỳ thay đổi mật người dùng + Kiểm sốt kênh truy cập có giải pháp hạn chế đăng nhập tự động (tấn công kiểu từ điển) và/hoặc có yêu cầu xác thực hai yếu tố người dùng + Bảo mật truy cập qua mạng không dây thiết bị đầu cuối - Thực ghi nhận hành vi công (kể chưa thành công) vào hệ thống - Báo cáo chi tiết hệ thống quan gặp cố an toàn thông tin mạng - Tăng cường hợp tác, khai thác hỗ trợ từ đơn vị quản lý an tồn thơng tin bao gồm Bộ Thơng Tin Truyền Thơng, Bộ Cơng an, Ban Cơ yếu Chính phủ - Nghiên cứu áp dụng tiêu chuẩn quốc tế quản trị công nghệ thông tin, quản lý công nghệ thơng tin an tồn bảo mật thơng tin 42 - Theo dõi sát thông tin hoạt động công mạng, thông báo lỗ hổng mới, nghiên cứu có ứng phó kịp thời với vấn đề - Tận dụng trí tuệ hỗ trợ từ nguồn bên bao gồm đơn vị tư vấn, nhà cung cấp giải pháp, đối tác cung cấp sản phẩm an tồn thơng tin 43 KẾT LUẬN Đảm bảo an tồn thơng tin nhu cầu thiết thực để thúc đẩy phát triển Công nghệ Thông tin Tiêu chuẩn an tồn thơng tin cho thiết bị hệ thống lĩnh vực công nghệ thông tin Việt Nam cịn thiếu nhiều Trước tình hình đó, việc nghiên cứu tiêu chuẩn thống để đánh giá an toàn cho sản phẩm hệ thống công nghệ thông tin cần thiết Tiêu chuẩn ISO/IEC 18045 TCVN 8709 (ISO/IEC 15408) cung cấp tập phương pháp đánh giá u cầu đảm bảo an tồn dễ hiểu, sử dụng để tạo hệ thống sản phẩm tin cậy phản ánh cần thiết thị trường Các yêu cầu đảm bảo an toàn biểu diễn trình độ đánh giá đặc tả yêu cầu Tiêu chuẩn ban hành giúp quan phủ, doanh nghiệp dựa vào thực đánh giá an tồn hệ thống Nó trợ giúp đắc lực cho doanh nghiệp việc phát triển sản phẩm hệ thống công nghệ thông tin đảm bảo yêu cầu an tồn thơng tin Bài tiểu luận nêu lên nội dung đánh giá an tồn thơng tin, phân tích tiêu chuẩn ứng dụng đánh giá an tồn thơng tin mạng Cùng với liên hệ thực tiễn đề xuất giải pháp đảm bảo an tồn cho hệ thống thơng tin quan nhà nước Do hạn chế thời gian, trình độ nghiên cứu thân cịn hạn chế nên tiểu luận khơng thể tránh khỏi có thiếu sót Em mong muốn nhận ý kiến phản hồi góp ý thầy/cơ cho thiếu sót để tiểu luận em hoàn thiện 44 TÀI LIỆU THAM KHẢO [1] Karen Scarfone, Murugiah Souppaya, Amanda Cody & Angela Orebaugh, Technical Guide to Information Security Testing and Assessment, NIST SP 800115, (Năm 2008) [2] Ahmed Abdel-Aziz, Scoping Security Assessments - A Project Management Approach, SANS Institute, (Năm 2011) [3] John Wack, Miles Tracy & Murugiah Souppaya, Guideline on Network Security Testing, NIST SP 800-42, (Năm 2003) [4] Thomas Wilhelm, Professional Penetration Testing 2nd - Creating and Learning in a Hacking Lab, Syngress, (Năm 2013) [5] Martin Weiss & Michael G Solomon, Auditing IT Infrastructures For Compliance (Information Systems Security & Assurance) 2nd Edition, (Năm 2015) [6] Jeremy Faircloth, Penetration Tester’s Open Source Toolkit – Third Edition, Syngress, (Năm 2005) [7] Open Information System Security Group, Information System Security Assessment Framework (ISSAF) Draft 0.2.1, (Năm 2006) [8] British Standards Institution - BS ISO/IEC 27001:2005, Information technology – Security techniques – Information security management systems – Requirements, American National Standards Institute, (Năm 2008) [9] Patrick Engebretson, The Basics of Hacking and Penetration Testing, Syngress, (Năm 2011) [10] Lee Allen, Advanced Penetration Testing for Highly-Secured Environments, Packt Publishing, (Năm 2012) 45 ... thống cơng nghệ thơng tin cách đặt hàng phân tích an toàn cho chúng, nghĩa đánh giá an toàn 1.3 Nhu cầu đánh giá an tồn thơng tin tiêu chí đánh giá chung Đánh giá an tồn thông tin nhu cầu thực tế,... sản phẩm đánh giá xác nhận 2.2 Các tiêu chuẩn đánh giá an toàn thông tin Việt Nam Trong thời gian qua, Bộ Thông tin Truyền thông tổ chức xây dựng đề nghị công bố nhiều tiêu chuẩn quốc gia an tồn... có tính then chốt đánh giá kiểm định an toàn cho hệ thống thơng tin Trước tình hình đó, việc nghiên cứu đề tài: ? ?Phân tích chuẩn đánh giá an tồn thông tin xây dựng sử dụng Việt Nam? ” có ý nghĩa