14 Giám sát và soát xét việc triển khai giải pháp
A.10 Lưu trữ nội dung Web
A.10.1 Kiến thức cơ bản
Các dịch vụ lưu trữ nội dung Web được đưa ra bởi nhiều nhà cung cấp dịch vụ mạng dưới dạng một dịch vụ được tiêu chuẩn hóa, thường bao gồm các phương tiện cơ sở dữ liệu để xử lý dữ liệu liên tục cũng như một môi trường hoạt động ứng dụng cơ bản. Mặc dù hầu hết các thành phần cần thiết để triển khai và cung cấp các dịch vụ lưu trữ nội dung web nằm ngoài phạm vi đối với tiêu chuẩn này (như máy chủ web hoặc phần mềm cơ sở dữ liệu), nhưng một vài xem xét về toàn bộ dịch vụ này được đề cập ở đây vì nhiều người cho rằng lưu trữ nội dung web như là một phần không thể thiếu của một mạng cung cấp.
Các vị trí lưu trữ nội dung Web có các rủi ro từ các mối đe dọa khác nhau, đặc biệt tại nơi chúng được kết nối với mạng Internet, ví dụ như các tổ chức nổi bật có thể bị tấn công từ các nhóm xung quanh. Như vậy, điều quan trọng chính là tất cả các mối đe dọa tiềm năng phải được nhận dạng, và sau đó tất cả các điểm yếu mà có thể bị khai thác bởi các mối đe dọa được đóng kín lại. Để đạt được kết quả tốt nhất thì bằng cách là thiết kế sao cho không còn điểm yếu. Để giải quyết các vấn đề này theo đúng hướng dẫn đã được cung cấp thì phải có khả năng thiết kế website an toàn, tin cậy và độ rủi ro do bị phá hoại thấp.
A.10.2 Các rủi ro an toàn
Các rủi ro an toàn chính liên quan đến lưu trữ nội dung web bao gồm những rủi ro có liên quan tới:
- Truy cập bởi kẻ tấn công đến các ứng dụng và dữ liệu với một sự vi phạm vành đai bảo
vệ,
- Để lộ ra các điểm yếu trong thành phần cơ sở hạ tầng,
- Nhiều điểm lỗi đơn,
- Mất dịch vụ do bị lỗi phần cứng,
- Không có khả năng đưa ra dịch vụ bảo dưỡng,
- Truy cập không dự tính trước của người sử dụng công cộng đến các vùng lưu trữ dữ liệu,
- Các tấn công chống lại tính toàn vẹn của dữ liệu (như bị hỏng trang web hay lưu trữ nội dung bất hợp pháp),
- Tải các phần mềm độc hại lên hệ thống,
- Gây hại tới trang web bằng cách sử dụng chức năng chuyển mạch,
- Không có khả năng lưu trữ dự phòng mà không làm ảnh hưởng đến hiệu năng của trang
web,
- Tiết lộ trái phép địa chỉ IP tạo điều kiện tấn công trang web,
- Khai thác các kết nối giữa các trạm quản lý và trang Web,
- Các tấn công không phát hiện được,
- Khó khăn trong việc theo dõi xâm nhập giữa các thiết bị,
- Không có khả năng phục hồi dữ liệu,
- Không có khả năng đáp ứng các yêu cầu thỏa thuận ở mức độ dịch vụ,
- Không có khả năng duy trì tính liên tục của các dịch vụ,
- Sử dụng trái phép các dịch vụ của web, bao gồm vi phạm chính sách của tổ chức (ví dụ
như sử dụng các máy chủ cho những lợi ích riêng), không tuân thủ theo qui định và pháp luật (ví dụ như lưu trữ các tài liệu vi phạm bản quyền hoặc lưu trữ các tài liệu khiêu dâm).
A.10.3 Các biện pháp an toàn
Các biện pháp an toàn kỹ thuật nhằm quản lý các rủi ro từ các mối đe dọa đã được xác định đối với các web site có thể bao gồm:
- Cung cấp sự phân vùng và an toàn theo chiều sâu để giới hạn ảnh hưởng của các cuộc
tấn công thành công,
- Đặc tính kỹ thuật của các loại tường lửa khác nhau để chống lại các điểm yếu tường lửa
có thể xảy ra. (Các thông tin chi tiết hơn về tường lửa được cung cấp trong Mục A.6 ở trên và trong tiêu chuẩn TCVN xxxx-4),
- Khả năng mau phục hồi; thiết kế phải được kiểm tra đối với những điểm lỗi đơn tiềm tàng
và chúng phải được loại bỏ,
- Chia sẻ chuyển đổi dự phòng/tải trọng để bảo vệ thiết bị tránh khỏi sự cố,
- Phân nhóm có yêu cầu về tính sẵn sàng của môi trường cao 24x7,
- Ủy thác dịch vụ để giới hạn truy cập đến trang web và cho phép đăng nhập ở mức độ cao,
- Kiểm tra tính toàn vẹn thường xuyên cho các thay đổi dữ liệu bất hợp pháp,
- Các biện pháp chống mã độc (bao gồm chống virus) tải lên để ngăn chặn sự xâm nhập
- Chuyển mạch mạng lớp 2 thường được sử dụng trong thiết kế trang Web. Chuyển mạch lớp 3 không được sử dụng trừ khi đó là yêu cầu liên quan đến nghiệp vụ, như chia sẻ tải. Thêm nữa, chuyển mạch giống như vậy về mặt vật lý không được sử dụng với tường lửa. Các điểm kiểm tra phải có trong thiết kế chuyển mạch,
- Các VLAN được tách riêng bằng chức năng cho phép IDS dễ dàng điều chỉnh hơn vì chỉ
có bộ giao thức giới hạn tại mỗi VLAN. Thêm nữa, việc triển khai VLAN dự phòng sẽ cho phép dự phòng hoạt động ở bất kỳ thời gian nào trong ngày mà không cần thỏa thuận lại hiệu năng của trạm,
- Liên quan đến các hoạt động nghiệp vụ, kế hoạch thiết lập địa chỉ IP giới hạn số lượng địa
chỉ công cộng là thấp nhất, với kế hoạch thiết lập địa chỉ IP phải giữ “độ tin cậy nghiêm ngặt” vì nếu một người nào đó biết được thì sẽ có thể dùng nó để tấn công phá hoại trang web,
- Một khi các đường kết nối quản lý được kết nối thông qua mạng công cộng, chúng phải
được mã hóa (xem tiêu chuẩn TCVN xxx-4 để biết thêm thông tin cho việc truy cập từ xa). Điều này bao gồm ít nhất là cảnh báo/bẫy SNMP trên kết nối cổng bàn phím,
- Tất cả các xử lý và bản ghi sự kiện từ mỗi thiết bị được lưu vào trong một máy chủ biện
pháp, sau đó lưu dự phòng vào một phương tiện lưu trữ như đĩa CD,
- Dịch vụ đồng bộ thời gian được triển khai vì nó là chìa khóa để phân tích truy cập bất hợp
pháp và cho phép truy tìm dấu vết truy cập thông qua các file nhật ký. Điều này yêu cầu đếm thời gian các file nhật ký, và các máy chủ, phải được đồng bộ trong vòng +/-1 giây hoặc thấp hơn. (Ở đây liên quan tới NTP, các thông tin chi tiết hơn xem trong TCVN ISO/IEC 27002:2009, phần 10.6),
- Các thiết bị LAN cấu hình để biện pháp các thay đổi không quản lý được của địa chỉ MAC,
- Dịch vụ dự phòng tập trung, thường nó được thiết lập theo yêu cầu,
- Với những trang web hoạt động 24 giờ mỗi ngày như trong phần lớn các trường hợp thì
yêu cầu phần cứng chất lượng cao để có thể chịu được môi trường làm việc. Kiến trúc hạ tầng máy chủ của trang web phải được xác định để hỗ trợ hoạt động 24x7. Các hệ thống hỗ trợ hoạt động phải chắc chắn, tất cả các máy chủ và thiết bị khác phải được kiểm tra an toàn để chắc chắn rằng tất cả các thiết bị hoàn toàn hoạt động tốt,
- Triển khai các phần mềm ứng dụng mạnh, với mã được kiểm tra về cấu trúc, đúng về mặt
lôgic, và sử dụng những phần mềm xác thực đã được công nhận.
Chúng ta cũng nên lưu ý rằng các vấn đề quản lý tính liên tục nghiệp vụ thường không được xem xét đầy đủ khi thiết kế một trang web. Các hoạt động quản lý tính liên tục nghiệp vụ đầy đủ phải được thiết lập trong mối liên hệ với trang web.