3 Đảm bảo an ninh và tính sẵn sàng của dịch vụ đáp ứng QoS
3.1.1 Khuyến nghị ITU-T X.805
Khuyến nghị X.805 [90] được ITU-T đưa ra nhằm cung cấp giải pháp an ninh đầu cuối áp dụng cho từng thiết bị. Các thiết bị được đảm bảo an ninh qua các phân lớp trừu tượng dưới dạng lớp hạ tầng, lớp dịch vụ. Điều này tạo ra sự phân cấp trong việc bảo vệ các thiết bị hay thực thể chức năng theo vòng. Việc phân lớp an ninh trong từng thiết bị hay thực thể chức năng tạo điều kiện thuận lợi cho việc xác định cách thức bảo vệ các phần tử mạng lớp cao dựa trên sự bảo vệ ở lớp dưới. X.805 định nghĩa 3 lớp an ninh là lớp an ninh cơ sở hạ tầng, lớp an ninh các dịch vụ và lớp an ninh các ứng dụng. Các lớp an ninh này được xây dựng hỗ trợ nhau tạo thành giải pháp an ninh tổng thể cho mạng NGN. Cách thức xử lý theo mô hình phân lớp sẽ thực hiện theo 3 bước. Ban đầu các lỗ hổng an ninh được xử lý tại lớp an ninh cơ sở hạ tầng, sau đó xử lý tại lớp dịch vụ, cuối cùng các lỗ hổng an ninh được xử lý tại mức ứng dụng.
Mô hình bảo mật áp dụng các biện pháp an ninh với 3 lớp an ninh và 8 biện pháp phòng chống [90] được thể hiện trong Hình 3.1.
Hình 3.1: Kiến trúc bảo mật và biện pháp an ninh của ITU-T X.805
Ba lớp an ninh gồm có:
Lớp an ninh cơ sở hạ tầng (Infrastructure Security Layer) gồm các thành phần cơ bản xây dựng nên mạng (như router, switch, server), các kết nối truyền thông giữa các thiết bị, các dịch vụ mạng và ứng dụng trên đó được bảo vệ bằng các biện pháp an ninh.
Lớp an ninh dịch vụ (Services Security Layer) đảm bảo cho các dịch vụ mà các nhà cung cấp đưa tới khách hàng gồm dịch vụ truyền tải cơ bản và dịch vụ hỗ trợ như dịch vụ hỗ trợ người dùng truy cập Internet (DHCP, DNS,...), dịch vụ hỗ trợ giá trị gia tăng (GPS, chat,. . . ). Lớp này dùng để bảo vệ nhà cung cấp dịch vụ và khách hàng trước các nguy cơ tấn công.
Lớp an ninh ứng dụng (Application Security Layer) tập trung vào đảm bảo an ninh cho các ứng dụng chạy trên mạng được truy nhập bởi khách hàng
được thực thi nhờ sự hỗ trợ của các dịch vụ mạng như: ứng dụng truyền file (ftp), duyệt Web (http/https). Một số ứng dụng cơ bản như tra số điện thoại, ứng dụng thư điện tử và thư thoại, thương mại điện tử,. . . được cung cấp bởi nhà cung cấp dịch vụ ASP.
Khuyến nghị X.805 phân các hoạt động ra thành 3 kiểu hoạt động cần được bảo vệ ứng với 3 mặt phẳng an ninh.
Mặt phẳng an ninh quản lý (Management Plane) bảo vệ các chức năng OAM&P của các phần tử mạng, các phương tiện truyền dẫn, các hệ thống hỗ trợ (các hệ thống hỗ trợ vận hành, hệ thống hỗ trợ kinh doanh, hệ thống hỗ trợ khách hàng,. . . ) và các trung tâm dữ liệu. Mặt phẳng an ninh quản lý hỗ trợ các chức năng liên quan đến lỗi hệ thống, dung lượng hệ thống, quản trị hệ thống, độ khả dụng và an ninh hệ thống.
Mặt phẳng an ninh điều khiển (Control Plane) bảo vệ các hoạt động nhằm cho phép phân bố thông tin, các dịch vụ và ứng dụng một cách hiệu quả trên mạng. Hoạt động trong mặt phẳng này thường bao gồm các dòng thông tin giữa các thiết bị trong mạng để xác định đường đi tốt nhất trong mạng. Kiểu thông tin này thường được gọi là thông tin điều khiển hay báo hiệu. Thành phần mạng dùng để vận chuyển những kiểu gói tin này có thể dùng chung hay tách rời khỏi lưu lượng người sử dụng của nhà cung cấp dịch vụ.
Mặt phẳng an ninh người sử dụng (End User Plane) quản lý an ninh truy nhập và sử dụng mạng của nhà cung cấp dịch vụ từ phía khách hàng. Mặt phẳng này liên quan đến dòng lưu lượng của người sử dụng.
Những mặt phẳng an ninh này đề cập đến các nhu cầu về an ninh kết hợp với các hoạt động quản lý mạng, hoạt động báo hiệu và điều khiển mạng và hoạt động liên quan đến người sử dụng tương ứng. Các mạng nên được thiết kế theo cách để làm sao các sự kiện xảy ra đối với mặt phẳng an ninh này được cách ly hoàn toàn với các mặt phẳng an ninh khác. Tuy nhiên mô hình trên vẫn tồn tại những nguy cơ sau:
Phá huỷ thông tin và tài nguyên (Destruction of Information & Resource)
Sửa đổi thông tin (Information Corruption and Modification)
Đánh cắp thông tin hay các tài nguyên khác (Theft of Information)
Làm lộ thông tin (Disclosure of Information)
Làm gián đoạn các dịch vụ (Interruption of Service)
Đứng trước các nguy cơ an ninh trên, mô hình đã bổ sung thêm các biện pháp (Dimension) được thực hiện bởi các cơ chế khác nhau gồm:
Điều khiển truy nhập (Access Control) nhằm hạn chế và điều khiển việc truy nhập vào các phần tử mạng, dịch vụ và ứng dụng thông qua mật khẩu, danh sách điều khiển truy nhập, Firewall.
Xác thực người dùng (Authentication) nhận dạng và kiểm tra tính đúng đắn của người dùng dựa trên khoá chia sẻ, hạ tầng khoá công khai, chữ ký số, chứng chỉ số.
Chống chối bỏ trách nhiệm (Non-reputation) nhằm ngăn chặn khả năng người dùng từ chối hành động đã thực hiện dựa trên file log ghi lại sự kiện hệ thống và chữ ký số.
Sự tin cậy của dữ liệu (Data Confidentiality) đảm bảo tính bí mật cho dữ liệu của người sử dụng tránh không được biết bởi người không mong muốn bằng mã hóa.
An toàn truyền thông (Communication Security) đảm bảo dòng thông tin chỉ đi từ nguồn đến đích mong muốn, các điểm trung gian không muốn được biết thông tin không thể truy nhập vào dòng thông tin sử dụng mạng riêng ảo thông qua MPLS.
Đảm bảo toàn vẹn dữ liệu (Data Integrity) đảm bảo rằng dữ liệu nhận được và được phục hồi là giống với dữ liệu đã gửi đi sử dụng hàm băm, chữ ký số, phần mềm chống Virus.
Đảm bảo tính khả dụng (Availability) đảm bảo cho người dùng hợp lệ luôn có thể sử dụng các phần tử mạng, các dịch vụ và ứng dụng sử dụng hệ thống phát hiện, ngăn ngừa truy nhập trái phép, sử dụng cơ chế dự phòng.
Đảm bảo tính riêng tư (Privacy) đảm bảo tính riêng tư cho nhận dạng người dùng riêng biệt.