Đây là kiểu Firewall thông dụng hoạt động dựa trên mô hình OSI mức mạng. Firewall mức mạng thường hoạt động theo nguyên tắc router hay còn được gọi là router, tức là tạo ra các luật lệ về quyền truy cập mạng dựa trên mức mạng. Mô hình
này hoạt động theo nguyên tắc lọc gói tin. Ở kiểu hoạt động này các gói tin đều được kiểm tra địa chỉ nguồn nơi chúng xuất phát. Sau khi địa chỉ IP nguồn được xác định, nó sẽ tiếp tục được kiểm tra với các luật đã đặt ra trên router.
Với phương thức hoạt động như vậy, các Firewall hoạt động ở lớp mạng có tốc độ xử lý nhanh vì nó chỉ kiểm tra địa chỉ IP nguồn mà không cần biết địa chỉ đó là địa chỉ sai hay bị cấm. Đây chính là hạn chế của kiểu Firewall này vì nó không đảm bảo tính tin cậy.
Lỗ hổng của kiểu Firewall này là nó chỉ sử dụng địa chỉ IP nguồn để làm chỉ thị. Khi một gói tin mang địa chỉ nguồn là địa chỉ giả thì nó sẽ vượt qua được một số mức truy nhập để vào bên trong mạng.
Firewall kiểu packet filtering chia làm hai loại:
- Packet filtering firewall: Hoạt động tại lớp mạng (Network Layer) của mô hình OSI. Các luật lọc gói tin dựa trên các trường trong IP header, transport header, địa chỉ IP nguồn và địa chỉ IP đích …
Internet Private Network Security perimeter Packet filtering router
- Circuit level gateway: Hoạt động tại lớp phiên (Session Layer) của mô hình OSI. Mô hình này không cho phép các kết nối end to end.
Hình 1.10.Circuit level gateway Outside host Inside host in in in out out out outside connection inside connection Circuit level gateway 1.4.2. Application-proxy firewall
Khi mộ kết nối từ một người dùng nào đó đến mạng sử dụng Firewall kiểu này thì kết nối đó sẽ bị chặn lại, sau đó Firewall sẽ kiểm tra các trường có liên quan của gói tin yêu cầu kết nối. Nếu việc kiểm tra thành công, có nghĩa là các trường thông tin đáp ứng được các luật đặt ra trên Firewall thì Firewall sẽ tạo mộ cầu kết nối cho gói tin đi qua.
* Ưu điểm:
- Không có chức năng chuyển tiếp các gói tin IP.
- Điều khiển một cách chi tiết hơn các kết nối thông qua Firewall. - Đưa ra công cụ cho phép ghi lại quá trình kết nối.
* Nhược điểm:
- Tốc độ xử lý khá chậm.
- Sự chuyển tiếp các gói tin IP khi mộ máy chủ nhận được mộ yêu cầu từ mạng ngoài rồi chuyển chúng vào mạng trong chính là lỗ hổng cho hacker xâm nhập.
- Kiểu firewallnày hoạt động dựa trên ứng dựng phần mềm nên phải tạo cho mỗi dịch vụ trên mạng một trình ứng dựng uỷ quyền (proxy) trên Firewall (Ex. Ftp proxy, Http proxy).
- Applicatin level gateway: Hoạt động ở lớp ứng dụng (Application Layer) trong mô hình TCP/IP.
Outside host Inside host
outside connection inside connection Application level gateway TELNET HTTP SMTP FTP
- Stateful multilayer inspection firewall: Đây là loại Firewall kết hợp được tính năng của các loại Firewall trên, mô hình này lọc các gói tin tại lớp mạng và kiểm tra nội dung các gói tin tại lớp ứng dụng. Loại Firewall này cho phép các kết nối trực tiếp giữa client và host nên giảm thiểu được lỗi, nó cung cấp các tính năng bảo mật cao và trong suốt đối với End Users.
1.5. MỘT SỐ VẤN ĐỀ KHI LỰA CHỌN MỘT FIREWALL 1.5.1. Sự cần thiết của Firewall 1.5.1. Sự cần thiết của Firewall
Giải quyết đến thực thi vấn đề Firewall sẽ không xảy ra nếu không nghiên cứu và phân tích. Giải quyết đến vấn đề thực thi Firewall sẽ dựa những đòi hỏi phải định danh và chứng minh. Bởi vì thực thi của Firewall không được định danh như hướng giải quyết của những tổ chức khác. Tạo ra những Firewall dựa vào quy mô nhỏ, những ý nghĩa không thể tạo ra được bởi lổ hổng an ninh và cơ chế gây ra những vấn đề mạng lưới nhiều hơn là thực hiện Firewall.
1.5.2. Firewall điều khiển và bảo vệ gì ?
Để tạo ra một Firewall thì phải định danh cho được chức năng nào của Firewall sẽ cần để thực hiện. Nó sẽ điều khiển truy cập đến từ mạng lưới nào, hay nó sẽ bảo vệ những dịch vụ và người sử dụng nào.
Firewall điều khiển gì ? - Truy cập vào mạng. - Truy cập ngoài mạng.
- Truy cập trong những mạng lưới bên trong, những lĩnh vực hay những công trình kiến trúc.
- Truy cập những nhóm đặt trưng, nhũng người sử dụng hoặc địa chỉ. - Truy cập đến những tài nguyên cụ thể hoặc những dịch vụ.
Firewall cần bảo vệ cái gì?
- Những mạng lưới hoặc bộ điều khiển đặc biệt. - Dịch vụ đặc biệt.
- Thông tin riêng tư hoặc công cộng. - Người sử dụng.
Sau khi nhận ra được Firewall cần để bảo vệ và điều khiển cái gì, quyết định điều gì có thể xảy ra liên tục với sự bảo vệ và điểu khiển này. Điều gì sẽ xảy ra khi người sử dụng truy cập đến những trang mà không có quyền truy cập. Điều này sẽ xảy ra nếu dịch vụ không được bảo vệ và thông tin không được bảo mật tốt. Có phải sự rủi ro của việc điều khiển hoặc bảo vệ đủ cho bước kế tiếp trong ước lượng thì cần phải có giải pháp Firewall.
1.6. NHỮNG HẠN CHẾ CỦA FIREWALL
Firewall không đủ thông minh như con người để có thể đọc hiểu từng loại thông tin và phân tích nội dung tốt hay xấu của nó. Firewall chỉ có thể ngăn chặn sự xâm nhập của những nguồn thông tin không mong muốn nhưng phải xác định rõ các thông số địa chỉ.
Firewall không thể ngăn chặn một cuộc tấn công nếu cuộc tấn công này không "đi qua" nó. Một cách cụ thể, Firewall không thể chống lại một cuộc tấn công từ một đường dial-up, hoặc sự rò rỉ thông tin do dữ liệu bị sao chép bất hợp pháp lên đĩa mềm.
Firewall cũng không thể chống lại các cuộc tấn công bằng dữ liệu (data-drivent attack). Khi có một số chương trình được chuyển theo thư điện tử, vượt qua Firewall vào trong mạng được bảo vệ và bắt đầu hoạt động ở đây.
Một ví dụ là các virus máy tính. Firewall không thể làm nhiệm vụ rà quét virus trên các dữ liệu được chuyển qua nó, do tốc độ làm việc, sự xuất hiện liên tục của các virus mới và do có rất nhiều cách để mã hóa dữ liệu, thoát khỏi khả năng kiểm soát của
Firewall. Firewall có thể ngǎn chặn những kẻ xấu từ bên ngoài nhưng còn những kẻ xấu ở bên trong thì sao. Tuy nhiên, Firewall vẫn là giải pháp hữu hiệu được áp dụng rộng rãi.
Để có được khả nǎng bảo mật tối ưu cho hệ thống, Firewall nên được sử dụng kết hợp với các biện pháp an ninh mạng như các phần mềm diệt virus, phần mềm đóng gói, mã hoá dữ liệu. Đặc biệt, chính sách bảo mật được thực hiện một cách phù hợp và có chiều sâu là vấn đề sống còn để khai thác tối ưu hiệu quả của bất cứ phần mềm bảo mật nào. Và cũng cần nhớ rằng công nghệ chỉ là một phần của giải pháp bảo mật. Một nhân tố nữa hết sức quan trọng quyết định thành công của giải pháp là sự hợp tác của nhân viên, đồng nghiệp.
CHƯƠNG 2. TÌM HIỂU CÁC VẤN ĐỀ BẢO MẬT
Bảo mật là một vấn đề lớn đối với tất cả các mạng trong môi trường doanh nghiệp hiện nay. Các hacker và kẻ xâm nhập đã tạo ra rất nhiều cách để có thể thành công trong việc làm sập một mạng hoặc dịch vụ Web của một công ty. Nhiều phương pháp đã được phát triển để bảo mật hạ tầng mạng và việc truyền thông trên Internet, bao gồm các cách như sử dụng tường lửa, mã hóa, và mạng riêng ảo. Bảo mật hệ thống mạng bao gồm 3 yếu tố: Tính bảo mật, tính nguyên vẹn, tính sẵn sàng
Tính bảo mật: Bảo vệ thông tin nhạy cảm không bị truy cập bởi những người không có quyền hạn
- Tính nguyên vẹn: Bảo vệ thông tin hệ thống khỏi bị sửa bởi hacker - Tính sẵn sàng: Luôn đảm bảo sự sẵn có tài nguyên tới người dùng
Để bảo vệ hệ thống của bạn, đầu tiên bạn phải nhận ra bạn cần bảo vệ chúng khỏi ai và khỏi cái gì. Để có thể phòng thủ đối với các sự tấn công, bạn phải hiểu các kiểu đe dọa đến sự bảo mật mạng của bạn. Có 4 mối đe dọa bảo mật
• Mối đe dọa ở bên trong • Mối đe dọa ở bên ngoài • Mối đe dọa không có cấu trúc • Mối đe dọa có cấu trúc
a) Mối đe dọa ở bên trong
Thuật ngữ “Mối đe dọa ở bên trong” được sử dụng để mô tả một kiểu tấn công được thực hiện từ một người hoặc một tổ chức có một vài quyền truy cập mạng của bạn. Các cách tấn công từ bên trong được thực hiện từ một khu vực được tin cậy trong mạng. Mối đe dọa này có thể khó phòng chống hơn vì các nhân viên có thể truy cập mạng và dữ liệu bí mật của công ty. Hầu hết các công ty chỉ có các tường lửa ở đường biên của mạng, và họ tin tưởng hoàn toàn vào các ACL (Access Control Lists) và quyền truy cập server để quy định cho sự bảo mật bên trong. Quyền truy cập server thường bảo vệ tài nguyên trên server nhưng không cung cấp bất kì sự bảo vệ nào cho mạng. Mối đe dọa ở bên trong thường được thực hiện bởi các nhân viên bất bình, muốn “quay mặt” lại với công ty. Nhiều phương pháp bảo mật liên quan đến vành đai của mạng, bảo vệ mạng bên trong khỏi các kết nối bên ngoài, như là Internet. Khi vành đai của mạng được bảo mật, các phần tin cậy bên trong có khuynh hướng bị bớt nghiêm ngặt hơn. Khi một kẻ xâm nhập vượt qua vỏ bọc bảo mật cứng cáp đó của mạng, mọi chuyện còn lại thường là rất đơn giản. Vì vậy cần phải có các mức bảo mật như sau: - Bảo mật mức vật lý: Đặt thiết bị mạng vào trong một phòng an ninh , luôn khóa - Bảo mật hệ điều hành: Sử dụng phiên bản mới nhất IOS để đáp ứng các nhu cầu của
doanh nghiệp. Lưu trữ bản sao file cấu hình
- Bảo mật Router, Switch: Bảo mật truy cập quản trị như console, telnet… Tắt các cổng trên router, switch không sử dụng, tắt các dịch vụ không cần thiết
b) Mối đe dọa ở bên ngoài
Mối đe dọa ở bên ngoài là từ các tổ chức, chính phủ, hoặc cá nhân cố gắng truy cập từ bên ngoài mạng của công ty và bao gồm tất cả những người không có quyền truy cập vào mạng bên trong. Thông thường, các kẻ tấn công từ bên ngoài cố gắng từ các server quay số hoặc các kết nối Internet. Mối đe dọa ở bên ngoài là những gì mà các công ty thường phải bỏ nhiều hầu hết thời gian và tiền bạc để ngăn ngừa. Giải pháp như sau:
- Triển khai firewall bảo vệ mạng bên trong
- Chỉ cho phép các dịch vụ cần thiết đáp ứng nhu cầu của tổ chức
- Có các biện pháp ngăn ngừa và phát hiện xâm nhập vào mạng bên trong
c) Mối đe dọa có cấu trúc
Mối đe dọa có cấu trúc là khó ngăn ngừa và phòng chống nhất vì nó xuất phát từ các tổ chức hoặc cá nhân sử dụng một vài loại phương pháp luận thực hiện tấn công. Các hacker với kiến thức, kinh nghiệm cao và thiết bị sẽ tạo ra mối đe dọa này.
Các hacker này biết các gói tin được tạo thành như thế nào và có thể phát triển mã để khai thác các lỗ hổng trong cấu trúc của giao thức. Họ cũng biết được các biện
pháp được sử dụng để ngăn ngừa truy cập trái phép, cũng như các hệ thống IDS và cách chúng phát hiện ra các hành vi xâm nhập. Họ biết các phương pháp để tránh những cách bảo vệ này.
Trong một vài trường hợp, một cách tấn công có cấu trúc được thực hiện với sự trợ giúp từ một vài người ở bên trong. Đây gọi là mối đe dọa có cấu trúc ở bên trong. Cấu trúc hoặc không cấu trúc có thể là mối đe dọa bên ngoài cũng như bên trong.
2.1. Nguyên tắc bảo vệ hệ thống mạng2.1.1. Hoạch định hệ thống bảo vệ mạng 2.1.1. Hoạch định hệ thống bảo vệ mạng
Trong môi trường mạng, phải có sự đảm bảo rằng những dữ liệu có tính bí mật phải được cất giữ riêng, sao cho chỉ có người có thẩm quyền mới được phép truy cập chúng. Bảo mật thông tin là việc làm quan trọng, và việc bảo vệ hoạt động mạng cũng có tầm quan trong không kém.
Mạng máy tính cần được bảo vệ an toàn, tránh khỏi những hiểm hoạ do vô tình hay cố ý. Tuy nhiên một nhà quản trị mạng cần phải biết bất cứ cái gì cũng có mức độ, không nên thái quá. Mạng không nhất thiết phải được bảo vệ quá cẩn mật, đến mức người dùng luôn gặp khó khăn khi truy nhập mạng để thực hiện nhiệm vụ của mình. Không nên để họ thất vọng khi cố gắng truy cập các tập tin của chính mình.
Bốn hiểm hoạ chính đối với sự an ninh của mạng là: - Truy nhập mạng bất hợp pháp.
- Sự can thiệp bằng phương tiện điện tử. - Kẻ trộm.
- Tai họa vô tình hoặc có chủ ý.
Mức độ bảo mật: Tuỳ thuộc vào dạng môi trường trong đó mạng đang hoạt động.
Chính sách bảo mật: Hệ thống mạng đòi hỏi một tập hợp nguyên tắc, điều luật và chính sách nhằm loại trừ mọi rủi ro. Giúp hướng dẫn vượt qua các thay đổi và những tình huống không dự kiến trong quá trình phát triển mạng.
Đào tạo: Người dùng mạng được đào tạo chu đáo sẽ có ít khả năng vô ý phá huỷ một tài nguyên.
An toàn cho thiết bị: Tuỳ thuộc ở quy mô công ty, độ bí mật dữ liệu, các tài nguyên khả dụng. Trong môi trường mạng ngang hàng, có thể không có chính sách bảo vệ phần cứng có tổ chức nào. Người dùng chịu trách nhiệm đảm bảo an toàn cho máy tính và dữ liệu của riêng mình.
2.1.2. Mô hình bảo mật
Hai mô hình bảo mật khác nhau đã phát triển, giúp bảo vệ an toàn dữ liệu và tài nguyên phần cứng:
- Bảo vệ tài nguyên dùng chung bằng mật mã: Gắn mật mã cho từng tài nguyên dùng chung.
- Truy cập khi được sự cho phép: Là chỉ định một số quyền nhất định trên cơ sở người dùng, kiểm tra truy nhập tài nguyên dùng chung căn cứ vào CSDL user-access trên máy server.
2.1.3. Nâng cao mức độ bảo mật
Kiểm toán: Theo dõi hoạt động trên mạng thông qua tài khoản người dùng, ghi lại nhiều dạng biến cố chọn lọc vào sổ nhật ký bảo mật của máy server. Giúp nhận biết các hoạt động bất hợp lệ hoặc không chủ định. Cung cấp các thông tin về cách dùng trong tình huống có phòng ban nào đó thu phí sử dụng một số tài nguyên nhất định, và cần quyết định phí của những tài nguyên này theo cách thức nào đó.
Máy tính không đĩa: Không có ổ đĩa cứng và ổ mềm. Có thể thi hành mọi việc như máy tính thông thường, ngoại trừ việc lưu trữ dữ liệu trên đĩa cứng hay đĩa mềm cục bộ. Không cần đĩa khởi động. Có khả năng giao tiếp với server và đăng nhập nhờ vào một con chip ROM khởi động đặc biệt được cài trên card mạng. Khi bật máy tính không đĩa, chip ROM khởi động phát tín hiệu cho server biết rằng nó muốn khởi động. Server trả lời bằng cách tải phần mềm khởi động vào RAM của máy tính không đĩa và tự động hiển thị màn hình đăng nhập . Khi đó máy tính được kết nối với mạng.
Mã hoá dữ liệu: Đó là mã hoá thông tin sang dạng mật mã bằng một phương pháp nào đó sao cho đảm bảo thông tin đó không thể nhận biết được nếu nơi nhận không biết cách giải mã. Một người sử dụng hay một host có thể sử dụng thông tin mà không sợ ảnh hưởng đến người sử dụng hay một host khác.