Bài tập lớn tiểu luận nhóm (37)

Câu 14: Mục đích giao thức HTTPS gì? kết hợp giao thức HTTP giao thức bảo mật SSL hay TLS cho phép trao đổi thông tin cách bảo mật Internet Giao thức HTTPS thường dùng giao dịch nhậy cảm cần tính bảo mật cao sử dụng HTTPS Client gửi request cho secure page (có URL bắt đầu với https://) Server gửi lại cho client certificate Client (web browser) tiến hành xác thực certificate cách kiểm tra (verify) tính hợp lệ chữ ký số CA kèm theo certificate Giả sử certificate xác thực hạn sử dụng client cố tình truy cập Web browser cảnh báo tin cậy certificate (do dạng self-signed SSL certificate certificate hết hiệu lực, thông tin certificate không đúng) xảy bước sau Client tự tạo ngẫu nhiên symmetric encryption key (hay session key), sử dụngpublic key (lấy certificate) để mã hóa session key gửi cho server Server sử dụng private key (tương ứng với public key certificate trên) để giải mã session key Sau đó, server client sử dụng session key để mã hóa/giải mã thông điệp suốt phiên truyền thông Và tất nhiên, session key tạo ngẫu nhiên khác phiên làm việc với server Ngồi encryption chế hashing sử dụng để đảm bảo tính Integrity cho thơng điệp trao đổi HTTPS giao thức phổ biến Internet cần thiết để đảm bảo an toàn, tin cậy cho mơi trường Web Câu 15: Mục đích giao thức PGP gì? Mục tiêu ban đầu PGP nhằm vào mật mã hóa nội dung thơng điệp thư điện tử tệp đính kèm cho người dùng phổ thông Bắt đầu từ 2002, sản phẩm PGP đa dạng hóa thành tập hợp ứng dụng mật mã đặt quản trị máy chủ Các ứng dụng PGP bao gồm: thư điện tử, chữ ký số, mật mã hóa ổ đĩa cứng máy tính xách tay, bảo mật tệp thư mục, bảo mật phiên trao đổi IM, mật mã hóa luồng chuyển tệp, bảo vệ tệp thư mục lưu trữ máy chủ mạng Phiên PGP Desktop 9.x dành cho máy để bàn bao gồm tính năng: thư điện tử, chữ ký số, bảo mật IM, mật mã hóa ổ đĩa cứng máy tính xách tay, bảo mật tệp thư mục, tệp nén tự giải mã, xóa file an tồn Các tính riêng biệt cấp phép theo cách khác tùy theo yêu cầu Phiên PGP Universal 2.x dành cho máy chủ cho phép triển khai ứng dụng tập trung, thiết lập sách an ninh lập báo cáo Phần mềm dùng để mật mã hóa thư điện tử cách tự động cổng vào (gateway) quản lý phần mềm máy khách PGP Desktop 9.x Nó làm việc với máy chủ khóa cơng khai PGP (gọi PGP Global Directory) để tìm kiếm khóa người nhận có khả gửi thư điện tử an tồn khơng tìm thấy khóa người nhận cách sử dụng phiên làm việc HTTPS Với ứng dụng PGP Desktop 9.0 quản lý PGP Universal Server 2.0, tất ứng dụng mật mã hóa PGP dựa kiến trúc proxy Các phần mềm giúp loại bỏ việc sử dụng plug-in thư điện tử tránh cho người dùng việc sử dụng ứng dụng khác Tất hoạt động máy chủ máy khách tự động tuân theo sách an ninh PGP Universal server cịn tự động hóa q trình tạo, quản lý kết thúc khóa chia sẻ ứng dụng PGP Các phiên PGP cho phép sử dụng tiêu chuẩn: OpenPGP S/MIME, cho phép trao đổi với ứng dụng tuân theo tiêu chuẩn NIST Hoạt động PGP[sửa | sửa mã nguồn] PGP sử dụng kết hợp mật mã hóa khóa cơng khai thuật tốn khóa đối xứng cộng thêm với hệ thống xác lập mối quan hệ khóa cơng khai danh người dùng (ID) Phiên hệ thống thường biết tên mạng lưới tín nhiệm dựa mối quan hệ ngang hàng (khác với hệ thống X.509 với cấu trúc dựa vào nhà cung cấp chứng thực số) Các phiên PGP sau dựa kiến trúc tương tự hạ tầng khóa cơng khai PGP sử dụng thuật tốn mật mã hóa khóa bất đối xứng Trong hệ thống này, người sử dụng phải có cặp khóa: khóa cơng khai khóa bí mật Người gửi sử dụng khóa cơng khai người nhận để mã hóa khóa chung (cịn gọi khóa phiên) dùng thuật tốn mật mã hóa khóa đối xứng Khóa phiên khóa để mật mã hóa thơng tin gửi qua lại phiên giao dịch Rất nhiều khóa cơng khai người sử dụng PGP lưu trữ máy chủ khóa PGP khắp giới (các máy chủ mirror lẫn nhau) Người nhận hệ thống PGP sử dụng khóa phiên để giải mã gói tin Khóa phiên gửi kèm với thông điệp mật mã hóa hệ thống mật mã bất đối xứng tự giải mã với khóa bí mật người nhận Hệ thống phải sử dụng dạng thuật toán để tận dụng ưu hai: thuật toán bất đối xứng đơn giản việc phân phối khóa cịn thuật tốn đối xứng có ưu tốc độ (nhanh cỡ 1000 lần) Một chiến lược tương tự dùng (mặc định) để phát xem thơng điệp có bị thay đổi giả mạo người gửi Để thực mục tiêu người gửi phải ký văn với thuật tốn RSA DSA Đầu tiên, PGP tính giá trị hàm băm văn tạo chữ ký số với khóa bí mật người gửi gửi văn chữ kí số đến người nhận Khi nhận văn bản, người nhận tính lại giá trị băm văn đồng thời giải mã chữ ký số khóa cơng khai người gửi Nếu giá trị băm giống khẳng định (với xác suất cao) văn chưa bị thay đổi kể từ gửi người gửi người sở hữu khóa bí mật tương ứng Trong q trình mã hóa kiểm tra chữ ký, điều vô quan trọng khóa cơng khai sử dụng thực thuộc người cho sở hữu Nếu đơn giản download khóa cơng khai từ khơng thể đảm bảo điều PGP thực việc phân phối khóa thơng qua chứng thực số tạo nên kỹ thuật mật mã sáo cho việc sửa đổi (khơng hợp pháp) dễ dàng bị phát Tuy nhiên điều thơi chưa đủ ngăn chặn việc sửa đổi sau chứng thực tạo Người dùng cần phải trang bị khả kiểm tra xem khóa cơng khai có thực thuộc người cho sở hữu hay không Từ phiên đầu tiên, PGP có chế hỗ trợ điều gọi mạng lưới tín nhiệm Mỗi khóa cơng khai (rộng thơng tin gắn với khóa hay người) bên thứ xác nhận (theo cách điện tử) Trong đặc tả gần OpenPGP, chữ ký tin cậy sử dụng để tạo nhà cung cấp chứng thực số (CA) Một chữ ký tin cậy chứng tỏ khóa thực thuộc người sử dụng người đáng tin cậy để ký xác nhận khóa mức thấp Một chữ ký có mức tương đương với chữ ký mơ hình mạng lưới tín nhiệm Chữ ký mức tương đương với chữ ký CA có khả xác nhận cho số lượng khơng hạn chế chữ ký mức Chữ ký mức tương tự chữ ký danh sách CA mặc định Internet Explorer; cho phép người chủ tạo CA khác PGP thiết kế với khả hủy bỏ/thu hồi chứng thực có khả bị vơ hiệu hóa Về khía cạnh đó, điều tương đương với danh sách chứng thực bị thu hồi mơ hình hạ tầng khóa cơng khai Các phiên PGP gần hỗ trợ tính hạn sử dụng chứng thực Vấn đề xác định mối quan hệ khóa cơng khai người sở hữu khơng phải vấn đề riêng PGP Tất hệ thống sử dụng cặp khóa cơng khai khóa bí mật phải đối phó với vấn đề chưa có giải pháp hồn thiện tìm Mơ hình ban đầu PGP trao cho quyền định cuối người sử dụng mơ hình PKI quy định tất chứng thực phải xác nhận (có thể khơng trực tiếp) nhà cung cấp chứng thực trung tâm Câu 16: Mục đích giao thức SSH gì? SSH giao thức mạng dùng để thiết lập kết nối mạng cách bảo mật SSH hoạt động lớp mơ hình phân lớp TCP/IP Các công cụ SSH (như OpenSSH, ) cung cấp cho người dùng cách thức để thiết lập kết nối mạng mã hoá để tạo kênh kết nối riêng tư Hơn tính tunneling cơng cụ cho phép chuyển tải giao vận theo giao thức khác Do thấy xây dựng hệ thống mạng dựa SSH, có hệ thống mạng riêng ảo VPN đơn giản SSH chương trình tương tác máy chủ máy khách có sử dụng chế mã hoá đủ mạnh nhằm ngăn chặn tượng nghe trộm, đánh cắp thông tin đường truyền Các chương trình trước đây: telnet, rlogin khơng sử dụng phương pháp mã hố Vì nghe trộm chí đọc tồn nội dung phiên làm việc cách sử dụng số công cụ đơn giản Sử dụng SSH biện pháp hữu hiệu bảo mật liệu đường truyền từ hệ thống đến hệ thống khác SSH gì? SSH chương trình tương tác máy chủ máy khách có sử dụng chế mã hố đủ mạnh nhằm ngăn chặn tượng nghe trộm, đánh cắp thơng tin đường truyền Các chương trình trước đây: telnet, rlogin không sử dụng phương pháp mã hố Vì nghe trộm chí đọc tồn nội dung phiên làm việc cách sử dụng số công cụ đơn giản Sử dụng SSH biện pháp hữu hiệu bảo mật liệu đường truyền từ hệ thống đến hệ thống khác Cách thức làm việc SSH SSH làm việc thông qua bước đơn giản: • Định danh host - xác định định danh hệ thống tham gia phiên làm việc SSH • Mã hoá - thiết lập kênh làm việc mã hoá • Chứng thực - xác thực người sử dụng có quyền đăng nhập hệ thống Định danh host Việc định danh host thực qua việc trao đổi khoá Mỗi máy tính có hỗ trợ kiểu truyền thơng SSH có khố định danh Khố gồm hai thành phần: khố riêng khố cơng cộng Khố công cộng sử dụng cần trao đổi máy chủ với phiên làm việc SSH, liệu mã hố khố cơng khai giải mã khố riêng Khi có thay đổi cấu hình máy chủ: thay đổi chương trình SSH, thay đổi hệ điều hành, khoá định danh thay đổi Khi người sử dụng SSH để đăng nhập vào máy chủ cảnh báo thay đổi Khi hai hệ thống bắt đầu phiên làm việc SSH, máy chủ gửi khố cơng cộng cho máy khách Máy khách sinh khoá phiên ngẫu nhiên mã hoá khoá khố cơng cộng máy chủ, sau gửi lại cho máy chủ Máy chủ giải mã khoá phiên khố riêng nhận khoá phiên Khoá phiên khoá sử dụng để trao đổi liệu hai máy Quá trình xem bước nhận diện máy chủ máy khách Mã hố Sau hồn tất việc thiết lập phiên làm việc bảo mật (trao đổi khoá, định danh), trình trao đổi liệu diễn thơng qua bước trung gian mã hố/giải mã Điều có nghĩa liệu gửi/nhận đường truyền mã hoá giải mã theo chế thoả thuận trước máy chủ máy khách Việc lựa chọn chế mã hoá thường máy khách định Các chế mã hoá thường chọn bao gồm: 3DES, IDEA, Blowfish Khi chế mã hoá lựa chọn, máy chủ máy khách trao đổi khoá mã hoá cho Việc trao đổi bảo mật dựa đinh danh bí mật máy Kẻ cơng khó nghe trộm thơng tin trao đổi đường truyền khơng biết khố mã hố Các thuật toán mã hoá khác ưu, nhược điểm loại: • 3DES (cũng biết Triple-DES) phương pháp mã hoá mặc định cho SSH • IDEA—Nhanh 3DES, chậm Arcfour Blowfish • Arcfour—Nhanh, vấn đề bảo mật phát • Blowfish—Nhanh bảo mật, phương pháp mã hoá cải tiến Chứng thực Việc chứng thực bước cuối ba bước, bước đa dạng Tại thời điểm này, kênh trao đổi thân bảo mật Mỗi định danh truy nhập người sử dụng cung cấp theo nhiều cách khác Chẳng hạn, kiểu chứng thực rhosts sử dụng, khơng phải mặc định; đơn giản kiểm tra định danh máy khách liệt kê file rhost (theo DNS địa IP) Việc chứng thực mật cách thông dụng để định danh người sử dụng, có cách khác: chứng thực RSA, sử dụng ssh-keygen ssh-agent để chứng thực cặp khoá Câu 18: Mục đích mã hóa gì? Chương 3/1 Câu 19: Mục đích chữ kí điện tử gì? Chương 3/3 Câu 20: Hãy so sánh Firewall Next Generation Firewall? Câu 22: Endpoint Protection gì? Hãy vẽ sơ đồ triển khai Endpoint Protection trình bày tính giải pháp này? (chương ¾)  Endpoint Protection công nghệ bảo mật đầu cuối (User, Computer, Application, Data Device)  Tại cần nên sử dụng Enpoint Protection:  Quản lý tập trung mối đe dọa Endpoint  Phù hợp cho mô hinh mạng bảo mật theo chiều sâu (phân lớp)  Giúp quản lý mạng tốt Câu 23: Unified Threat Management gì? Hãy vẽ sơ đồ triển khai Unified Threat Management trình bày tính giải pháp này?(chương 3/14) UTM giải pháp bảo mật toàn diện chuẩn hoá lĩnh vực bảo mật mạng máy tính chống lại mối hiểm nguy hay hacker mạng Internet mạng nội Là bao gồm tất tính tường lửa (Firewall) tập trung vào thiết bị (thuật ngữ gọi Firewall Single UTM Appliance), thực nhiều tính như: bảo mật mạng (Network Firewalling), ngăn ngừa phòng chống xâm nhập (Network Intrusion Prevention), IPS - Intrusion Prevention System, IDS - Intrusion Detection System, theo mẫu (UTM Appliance) tự động nhận biết xâm nhập, phòng chống Spam (Anti-spam gateway), VPN - Virtual Private Network( Mạng riêng ảo), SSL VPN, tính lọc nội dung Internet (Content Filtering), cân tải mạng máy tính (Load Balancing), quản lý băng thông mạng (QoS, Bandwitdh managerment) cuối báo cáo cảnh báo tất tình trạng an tồn mạng máy tính Câu 24: Trong ISO 27001, vẽ sơ đồ hoạt động máy ISMS?  Xác định phạm vi xây dựng hệ thống ISMS cho phù hợp với doanh nghiệp (hoạt động kinh doanh, vị doanh nghiệp, tài sản doanh nghiệp)  Những khơng thực cần giải thích rõ ràng tài liệu Statement of Applicability (SOA) Câu 25: Có khía cạnh liên quan đến bảo mật hệ thống nêu ISO27002? Hãy liệt kê khía cạnh bảo mật đó? -Bảo đảm an ninh thơng tin hiểu trì tính bí mật, tính tồn vẹn tính sẵn sàng thơng tin Ba tính chất viết tắt nhóm từ tiếng Anh: C.I.A, C tính bí mật (Confidentiality); I tính tồn vẹn (Integrity); A tính sẵn sàng (Availability) Tính bí mật đảm bảo người phép truy cập thơng tin Tính tồn vẹn đảm bảo xác đầy đủ thơng tin phương pháp xử lý thơng tin Tính sẵn sàng đảm bảo người sử dụng phép truy cập thông tin tài sản tương ứng cần Ba thuộc tính ln ln tiêu chuẩn để kiểm chứng mức độ bảo đảm an ninh thông tin hệ thống thông tin Vdu: -Tập trung vào giải pháp kỹ thuật nên tổ chức bỏ qua yếu tố người quy trình nghiệp vụ, chưa có sách tồn diện an ninh thơng tin, cấu tổ chức chuyên trách an ninh thông tin nên dù đầu tư tương đối lớn hệ thống thông tin tồn nhiều điểm yếu gây an ninh thông tin Dưới số trường hợp cụ thể: +Trường hợp thứ liên quan đến việc cấp tài khoản dịch vụ Mỗi thành viên đơn vị cấp tài khoản sử dụng dịch vụ mạng (gồm username password), để truy cập mạng sử dụng dịch vụ phân quyền mail, dịch vụ truyền tệp, khai thác CSDL, truy cập từ xa, truy cập Internet +Trường hợp thứ hai liên quan đến vận hành quản lý Trung tâm liệu (DC), hệ thống máy chủ “trái tim” mạng máy tính Để bảo vệ cho “trái tim” này, đơn vị đầu tư lớn để xây dựng DC với hệ thống UPS, sàn nâng, hệ thống làm mát, hệ thống cảnh báo chữa cháy, hệ thống phát chất lỏng, camera giám sát, cửa từ Tuy nhiên DC số đơn vị có điểm yếu dẫn đến cố nghiêm trọng Trong DC đại có hệ thống máy phát điện dự phịng, điện nguồn bị ngắt tự động chạy, phát điện cung cấp cho nguồn nuôi DC hoạt động liên tục +Trường hợp thứ ba cố xảy ngành Ngân hàng Đó việc nhân viên công ty, sử dụng thẻ ATM giám đốc (thẻ có số dư 0) “vô tư” rút hàng trăm lần, với tổng số tiền lên đến hàng tỷ đồng bị phát Sở dĩ cố không bị phát sớm nhân viên ngân hàng không tuân thủ quy trình đối chiếu chéo Những ví dụ cho thấy tổ chức đầu tư lớn vào hạ tầng kỹ thuật coi nhẹ yếu tố tổ chức, quy trình nghiệp vụ khơng thường xun kiểm tra tính tn thủ nội quy, quy chế cố an ninh thơng tin nghiêm trọng xẩy ISO 27002 bao gồm 134 biện pháp cho an ninh thông tin chia thành 11 nhóm mục tiêu sau: • • • • • • • • • • Chính sách an ninh thơng tin (Information security policy): thị hướng dẫn an ninh thông tin Tổ chức an ninh thông tin (Organization of information security): tổ chức biện pháp an ninh qui trình quản lý Quản lý tài sản (Asset management): trách nhiệm phân loại giá trị thông tin An ninh tài nguyên người (Human resource security) : bảo đảm an ninh An ninh vật lý môi trường (Physical and environmental security) Quản lý vận hành trao đổi thông tin (Communications and operations management) Kiểm soát truy cập (Access control) Thu nhận, phát triển bảo quản hệ thống thông tin (Information systems acquisition, development and maintenance) Quản lý cố an ninh thông tin (Information security incident management) Quản lý trì khả tồn doanh nghiệp (Business continuity management) • Tuân thủ quy định pháp luật (Compliance) Câu 26: Bạn trình bày vấn để liên quan đến Access Control? Access Control hệ thống kiểm soát vào cửa lối thông qua việc xác thực vân tay, thẻ cảm ứng, mật khẩu, khuôn mặt, …trên thiết bị nhận dạng Việc kiểm sốt thực đơn lẻ, kết hợp Hệ thống kiểm soát vào hoạt động dựa công nghệ nhận dạng (thẻ vân tay) kiểm tra mật khẩu, ID (đã cài đặt) tất cá nhân, người vào qua hệ thống kiểm sốt: • Mỗi thành viên cấp số ID cụ thể thẻ dấu vân tay làm số • ID Hệ thống kiểm soát vào quản lý phân quyền dựa số ID cấp Tất lần vào thành viên lưu lại đầu đọc kiểm soát (Số ID cá nhân, ngày vào/ra, cổng, cửa vào/ra, tình trạng vào/ra)… Trong đó: • Bộ điều khiển (Controller): Có nhiệm vụ lưu trữ liệu, kiểm tra tính hợp lệ thẻ, vân tay để điều • khiển khóa mở cửa Dữ liệu hợp lệ đầu đọc cho phép mở cửa Đầu đọc phụ (Reader): Nhận tín hiệu quẹt thẻ vân tay gửi cho điều khiển kiểm tra Nếu • liệu gửi kiểm tra hợp lệ, đầu đọc cho phép mở cửa Khóa Lock: Dùng để đóng mở cửa tín hiệu hợp lệ Có loại khóa( khóa má từ - dùng đóng mở • chiều khóa chốt thả- dùng đóng mở chiều) Nút ấn EXIT (Exit button): Dùng để mở cửa khách đến cơng tác, lễ tân dùng nút bấm để • mở cửa cho khách vào dùng thay đầu đọc phụ cần quản lý chiều vào Cảm biến cửa (Door sensor): Báo trạng thái cửa đóng hay mở Ứng dụng hệ thống kiểm soát vào Cấp quyền & thời gian vào cửa/ khu vực Đảm bảo an ninh cho nhân viên công ty, ngăn ngừa kẻ xấu xâm nhập với mục đích xấu trộm cướp, phá hoại Đảm bảo an tồn cho tài sản cơng ty Nếu xảy mát dựa vào liệu vào để truy cứu trách nhiệm.Phát xâm nhập bất hợp pháp, báo động trường hợp khẩn cấp để có hành động kịp thời đập phá, hỏa hoạn Câu 28: Bạn trình bày vấn để liên quan đến Phycial Security? -Physical Security Áp dụng rào cản vật lý thủ tục điều khiển để kiểm tra mức độ phòng ngừa bảo vệ chống lại hiểm hoạ tài nguyên thông tin -An toàn vật lý (Physical Security) việc bảo vệ phần cứng, hệ thống mạng, chương trình liệu khỏi mối nguy hiểm vật lý gây ảnh hưởng đến hoạt động hệ thống Ví dụ: hỏa hoạn gây tổn hại đến máy tính hệ thống mạng -Trung tâm liệu (data center): nơi tập trung lưu trữ xử lý liệu, cần bảo vệ nghiêm ngặt khỏi mối nguy hiểm -Cần xác định tất mối nguy hiểm lên kế hoạch để quản lý chúng Các mối nguy hiểm vật lý gồm: Hỏa hoạn cháy nổ Nhiệt độ độ ẩm Thiên tai: ngập lụt, bão, sấm chớp, động đất Sập nhà , Hóa chất , Mất điện , Mất tín hiệu liên lạc Thiết bị hỏng Các phần tử phá hoại: nhân viên bên trong, kẻ trộm -Kiểm sốt an tồn vật lý +Quản lý hành (Administrative control): sử dụng sách/luật để định nghĩa cách vận hành hệ thống thơng tin đúng, an tồn bảo mật Quản lý truy cập vật lý (Physical access control): sử dụng cơng cụ kiểm sốt việc vào mơi trường bên ngồi hệ thống thơng tin hàng rào, khóa cửa, bảo vệ, … Quản lý kỹ thuật (Technical control): sử dụng phần mềm, phần cứng hỗ trợ bảo vệ an tồn cho tài sản cơng ty/tổ chức +Quản lý truy cập vật lý (Physical access control): sử dụng cơng cụ kiểm sốt việc vào mơi trường bên ngồi hệ thống thơng tin hàng rào, khóa cửa, bảo vệ, … Quản lý kỹ thuật (Technical control): sử dụng phần mềm, phần cứng hỗ trợ bảo vệ an toàn cho tài sản cơng ty/tổ chức -Lựa chọn vị trí an toàn để xây dựng trung tâm liệu Khu vực xung quanh Các yếu tố thiên tai: lũ lụt, động đất, bão,… Thiết kế hợp lý an tồn: Vị trí đặt server CSDL, hệ thống điện, báo cháy, Bố trí ánh sáng, cửa vào … -Đảm bảo có người có quyền vào khu vực nhạy cảm như: chỗ server CSDL, hệ thống mạng, điện, … Sử dụng công cụ: Cổng, rào , Nhân viên bảo vệ, Khóa, Thiết bị theo dõi, phát xâm phạm Hệ thống phát xâm nhập bao gồm cảm ứng phát chuyển động, thiết bị báo động Khi cảm ứng phát có xâm nhập kích hoạt thiết bị báo động Thiết bị theo dõi (như camera) dùng để quan sát hiệu tài sản công ty/tổ chức: ν Theo dõi từ xa Phân chia khu vực công ty/tổ chức dựa theo mức độ chứa thông tin, thiết bị quan trọng Phân vùng Khu vực chung: nhân viên khách Khu vực hạn chế: nhân viên Khu vực nhạy cảm: nhân viên có đủ quyền Thẻ nhân viên ν Xác thực định danh ν Thẻ thơng minh: có dải từ tính (magnetic stripe) chip lưu thông tin nhân viên Được dùng thiết bị tự động ν Thẻ thông thường: lưu thông tin dạng in ấn Quản lý kỹ thuật Phát xâm nhập: Kiểm soát truy cập vật lý Hệ thống tự động nhận diện hoạt động bất thườngTheo dõi lưu trữ thông tin truy cập (access log) Theo dõi di chuyển nhân viên, thiết bị mà nhân viên sử dụng ν Thẻ thơng minh cịn có khả ghi lại truy cập nhân viên vào khu vực nhạy cảm Quản lý người Con người mắc xích yếu q trình bảo mật thơng tin Đào tạo tránh rủi ro thao tác sai Nhập, sửa, xóa sai liệu Sử dụng thiết bị khơng cách: gây sai liệu, hỏng hóc Nhận diện phần mềm, trang web gây hại Các thao tác xảy lỗi Trách nhiệm tự quản lý thông tin cá nhân bảo mật cơng việc Tự quản máy tính cá nhân, password, thẻ nhân viên, giấy tờ,… Giữ bí mật cơng việc nhạy cảm, Social engineering Tránh kẻ công từ bên trong: Tuyển chọn nhân viên, Chính sách đãi ngộ nhân viên, Hệ thống theo dõi, chống thoái thác Câu 28: Bạn trình bày vấn để liên quan đến Business Continuity? Business Continuity yếu tố quan trọng quan tâm đầu tư phát triển phải đảm bảo cơng việc kinh doanh khơng gián đoạn có cố xảy thời gian gián đoạn phải mức tối thiểu Các cố đến từ nhiều phía như: động đất, hỏa hoạn, hay cố liên quan đến vận hành hệ thống… Kế hoạch đảm bảo tính liên tục kinh doanh (BCP – Business Continuity) giúp doanh nghiệp quản lý rủi ro, tạo điều kiện cho việc đảm bảo hoạt động doanh nghiệp giúp cho doanh nghiệp đứng vững trước vấn đề khó khăn tạo dựng hình ảnh tốt khách hàng Trung tâm liệu sở hạ tầng công nghệ thông tin luôn cần thiết cho doanh nghiệp hoạt động dựa tảng cơng nghệ thơng tin Trung tâm dự phịng thơng tin cho phép doanh nghiệp bảo vệ thông tin cần thiết trung tâm liệu phục vụ cho hoạt động kinh doanh doanh nghiệp Bên cạnh doanh nghiệp cần xây dựng kế hoạch phục hồi thảm họa (DRP – Disaster Recover Plan) kế hoạch bao gồm bước: -Thiết lập kế hoạch; -Kiểm tra kế hoạch thực theo kế hoạch -Kế hoạch phải phù hợp với tiêu chuẩn ISO họ 27000 (ISO 27001 ISO 27002) Điều giúp doanh nghiệp biết rõ phạm vi làm việc, số lượng nhân lực tham gia có cố xảy ra, loạt quy trình đảm bảo cho việc truy cập vào hệ thống thông tin liệu, hoạt động doanh nghiệp có cố xảy Thông thường BCP bao hàm tất chức năng, khía cạnh kinh doanh doanh nghiệp Tính liên tục kinh doanh khả phục hồi thảm họa yếu tố quan trọng giúp cho việc đảm bảo hoạt động kinh doanh doanh nghiệp, coi kế hoạch lớn phục hồi thảm họa coi phần quan trọng bên BCP Các biện pháp an ninh trung tâm dự phòng Một hệ thống an ninh đảm bảo ảnh hưởng sách an ninh, bảo đảm an tồn cho doanh nghiệp hoạt động kinh doanh Khi doanh nghiệp hoạt động dựa tảng hệ thống công nghệ thơng tin đảm bảo an ninh hệ thống trở thành nhiệm vụ quan trọng ưu tiên hàng đầu An ninh hệ thống trung tâm dự phòng phải đảm bảo cân yếu tố C-I-A hệ thống Công nghệ thông tin Việc đảm bảo an ninh hệ thống đảm bảo tính tồn vẹn liệu, đảm bảo liệu bảo mật đảm bảo tính liên tục hệ thống (CIA - Confidentiality - Intelgrity - Availability) Tùy mục tiêu kinh doanh doanh nghiệp mà đưa tỉ lệ ưu tiên yếu tố Dựa có yêu cầu để đảm bảo an toàn đầu tư tương ứng Trung tâm dự phòng phải đảm bảo yếu tố an ninh trung tâm chính, bao gồm bảo vệ vật lý (Physical security): phương pháp xác thực; kiểm soát truy cập hệ thống mặt logic; phương pháp phòng chống mã độc (virus, worm, trojan horses); quản lý tốt hệ thống mạng truyền thông; phương pháp mã hóa Có nhiều phương thức để bảo đảm an ninh hệ thống, để ngăn chặn, làm giảm, giám sát, phát hiện, để khắc phục cố xảy ra; dùng để phục hồi lại hệ thống có cố Một số ví dụ phương thức sử dụng để bảo vệ hệ thống lĩnh vực cụ thể trung tâm dự phòng sau (theo khuyến nghị ISO 13335): - Phần cứng: sử dụng thiết bị dự phòng, bảo vệ mặt vật lý… - Phần mềm: sử dụng chữ ký điện tử, ghi nhật ký, phòng chống mã độc… - Mạng, truyền thơng: sử dụng Firewalls, phương thức mã hóa… - Vật lý: tường rào, cửa, khóa… - Con người: tổ chức đào tạo, huấn luyện nhân viên điều lệ, thủ tục làm việc - Quản trị: kiểm tra thẻ, kiểm soát vào/ra Các phương thức phải kết hợp sử dụng lúc Để đáp ứng tiêu chuẩn nghiêm ngặt liệu phải lưu trữ bảo vệ khoảng thời gian định Hệ thống cần linh hoạt việc vận dụng cấp độ an toàn khác tùy thuộc vào giá trị thông tin lưu trữ trung tâm liệu Các sách an ninh hệ thống trung tâm dự phòng đưa nguyên tắc thủ tục để bảo vệ hệ thống dịch vụ trung tâm dự phịng, thơng qua việc ứng dụng phương thức đảm bảo an ninh hệ thống tương ứng trên, từ đảm bảo an toàn cho hệ thống Ngoài phương thức đảm bảo an ninh kèm với sách doanh nghiệp cần xây dựng kế hoạch an ninh hệ thống, phải đảm bảo bao gồm hành động thực khoảng thời gian định tương lai, từ đưa mức độ đầu tư tương ứng kế hoạch thực cán doanh nghiệp Trung tâm dự phịng Ngân hàng nơi khơng đảm bảo cho việc bảo tồn liệu nêu mà phải đảm bảo khôi phục lại hệ thống có tác động làm ảnh hưởng đến trung tâm liệu với mức độ nhanh Trung tâm dự phòng phải đáp ứng đầy đủ tiêu chuẩn an ninh hệ thống, đảm bảo an toàn liệu, áp dụng biện pháp quản lý công nghệ thông tin theo hướng dịch vụ (ITSM) bao gồm việc quản lý Trung tâm dự phịng, ln phải nâng cao tính sẵn sàng việc khơi phục hệ thống Vì lý cấp thiết đó, hệ thống phục hồi thảm họa nhắc đến phần thiếu hoạt động kinh doanh Ngân hàng Trung tâm dự phịng thơng tin đóng vai trị sở hạ tầng công nghệ thông tin thứ hai với mục đích tăng cường tính liên tục sẵn sàng cho trung tâm liệu có cố xảy  ... cách khác tùy theo yêu cầu Phiên PGP Universal 2.x dành cho máy chủ cho phép triển khai ứng dụng tập trung, thiết lập sách an ninh lập báo cáo Phần mềm dùng để mật mã hóa thư điện tử cách tự động... (User, Computer, Application, Data Device)  Tại cần nên sử dụng Enpoint Protection:  Quản lý tập trung mối đe dọa Endpoint  Phù hợp cho mô hinh mạng bảo mật theo chiều sâu (phân lớp)  Giúp... chống lại mối hiểm nguy hay hacker mạng Internet mạng nội Là bao gồm tất tính tường lửa (Firewall) tập trung vào thiết bị (thuật ngữ gọi Firewall Single UTM Appliance), thực nhiều tính như: bảo mật