1. Yêu cầu chung đối với hệ thống giám sát
1.2. Yêu cầu chung về xây dựng hệ thống giám sát đảm bảo an toàn thông tin 43 1.3.
Phát triển một hệ thống giám sát đảm bảo an toàn thông tin tổng thể phải đạt những mục tiêu chính như sau:
- Có chiến lược tổng thể cho việc đảm bảo an toàn thông tin.
- Hệ thống an toàn thông tin xây dựng với mô hình bảo vệ nhiều tầng khác nhau dựa trên cơ sở các ứng dụng.
- Trong mỗi tầng ứng dụng phân thành những lớp bảo vệ khác nhau.
- Giải pháp tổng thể cần hoạch định các chính sách và quy trình thực hiện cũng như việc phản ứng nhanh khi có tấn công.
- Thiết bị - quy trình cho việc tự động cập nhật các dạng tấn công mới định kỳ và các phương pháp phòng chống.
- Xây dựng một hệ thống quản lý - điều khiển và giảm sát chức năng cũng như quy trình của các thiết bị an toàn thông tin được đưa vào mạng.
Việc đề xuất giải pháp an toàn thông tin cho hệ thống là rất cần thiết. Trong bài này sẽ dựa vào một nguyên tắc chiến lược cho việc phát triển giải pháp an toàn thông tin của hãng Cisco System. Chiến lược này dựa trên nguyên tắc cho phép những nhà đầu tư có thể chủ động quản lý và bảo vệ chính môi trường mạng của họ trên cơ sở tích hợp
các giải pháp/sản phẩm an ninh khác nhau phù hợp hạ tầng cung cấp dịch vụ của chính mình. Giải pháp an toàn thông tin nói trên tập trung vào việc bảo vệ các phần tử mạng theo phân lớp:
-Bảo mật vòng ngoài.
-Bảo mật trên các kết nối trong mạng.
- Bảo mật hệ thống cung cấp dịch vụ (Datacenter). - Xây dựng hệ thống quản trị bảo mật.
Các loại hình tấn công ngày nay hầu như tập trung khai thác vào chính những lỗ hổng ở tầng ứng dụng, và bám sát vào các dịch vụ phổ dụng chuyển giao cho người dùng đầu cuối như đã nêu trong chương 2. Vì lẽ đó, đối với một hạ tầng cung cấp dịch vụ qua nền IP, một hệ thống bảo mật, phòng thủ vành đai đòi hỏi mang tính chiến lược và thiết yếu cho hoạt động của tổng thể toàn hệ thống mạng. Trong kiến trúc tổng thể
của hệ thống đảm bảo an toàn thông tin, chúng ta có thể có hai hướng lựa chọn:
- Sử dụng một hoặc một nhóm các thiết bị chuyên dụng để hình thành vành đai bảo mật và tích hợp phân hệ bảo mật vành đai này vào kiến trúc khung vật lý của thiết bị định tuyến kết nối mạng. Các thiết bị này hoàn toàn độc lập về mặt vật lý đối với các thiết bị đang có trong ba tầng cũng như đối với kiến trúc module hóa của các thiết bị định tuyến.
- Sử dụng các phần mềm và công cụ để giám sát mạng, phát hiện và chống xâm nhập trái phép, đảm bảo ngăn chặn kịp thời các tấn công và cảnh báo về các lỗ hổng cũng như các nguy cơ tiềm ẩn.
1.3. Những nguyên tắc trong xây dựng chính sách an toàn thông tin
Chính sách an toàn thông tin cũng đóng một vai trò hết sức quan trọng như đã nêu trong chương 1. Từ chính sách an toàn thông tin tổng thể sẽ đưa ra các chính sách an toàn cụ thể cho từng thiết bị sẽ được thiết lập trong hệ thống và mạng cụ thể. Thiết lập chính sách an toàn mạng cụ thể sẽ quyết định đến hiệu quả sử dụng đối với từng thiết bị được thiết kế, lắp đặt cụ thể. Khi xây dựng chính sách an toàn an ninh mạng cụ thể nếu không được thiết lập một cách phù hợp dẫn tới thiết bị bảo vệ sẽ mang lai rất ít giá trị sử dụng.
Khi xây dựng một chính sách an toàn thông tin tổng thể cần lưu ý những nguyên tắc chủ yếu như sau:
Thiết lập các chính sách bảo vệ an toàn mạng từ phía lớp trong ra lớp ngoài mạng phải được qui định theo nguyên tắc. Chính sách cụ thể sẽ cho phép hoặc từ chối một cách rõ ràng về việc các dịch vụ truy cập phải được sử dụng như thế nào, có các ngoại lệ đối với các quy tắc đó hay không.
Mọi dịch vụ hoặc ứng dụng không được phép sẽ được chỉ định bị từ chối (phương pháp chặn tất cả traffic giữa hai mạng ngoại trừ đối với những dịch vụ và ứng
dụng được cho phép). Do đó, mỗi ứng dụng và dịch vụ mong muốn cho phép được triển khai từng dịch vụ một.
Không dịch vụ hoặc ứng dụng nào có thể là lỗ hổng tiềm tàng trên Firewal được cho phép (phương pháp an toàn nhất, từ chối các dịch vụ và ứng dụng trừ khi được cho phép một cách rõ ràng bởi người quản trị). Đây là nguyên tắc nghiêm ngặt và ít tiện lợi.
Mọi dịch vụ hoặc ứng dụng không được từ chối một cách chỉ định được cho phép (phương pháp này cho phép tất cả các traffic giữa hai mạng ngoại trừ đối với những dịch vụ và ứng dụng mà bị từ chối). Vì vậy, mỗi dịch vụ hoặc ứng dụng mà có hại nên bị từ chối nên được từ chối từng cái một. Mặc dù đây là một phương pháp thuận tiện và mềm dẻo đối với người sử dụng, nó có thể gây ra một vài vấn đề an toàn nghiêm trọng.
Đối với sự truy nhập từ ngoài vào (Remote Access ) hệ thống mạng nên cung cấp sự xác nhận người sử dụng và một cách lý tưởng chỉ cung cấp sự giới hạn các user nhất định đối với hệ thống đã được xác nhận chắc chắn là đã được đăng ký trong corporate intranet (authorization - sự cấp phép). Remote Access Server cũng phải đinh nghĩa nếu một user được coi là di động (có thể kết nối từ nhiều vị trí ở xa) hoặc cố định (chỉ có thể kết nối từ một vị trí ở xa), và hạn chế tuyệt đối sử dụng call-back chỉ dành đối với các user cá biệt khi mà họ đã được xác nhận một cách đúng đắn.
Đối với các dịch vụ công cộng (trên Website), kiểm soát truy nhập không quan tâm đến danh tính nên cho phép người dùng thông tin truy cập đến các server trong khu vực DMZ (Demilitarized Zone). Nhưng điều đó không có nghĩa là tất cả các dịch vụ trong một corporate intranet cũng yêu cầu ít nhất sự xác nhận mật khẩu và điều khiển truy nhập phù hợp. Do vậy, các phiên truy nhập trực tiếp từ bên ngoài vào hệ thống luôn luôn phải được xác nhận và kiểm tra.