3.2. Đánh giá hệ thống an toàn thông qua các điểm yếu
Như phần trên tác giả vừa trình bày, là các bước ứng dụng CC để đánh giá một sản phẩm an toàn thông tin. Tuy nhiên, trên thực tế khi áp dụng cụ thể vào từng hệ thống, chúng ta còn phải quan tâm đến các vấn đề an toàn khác mà các tiêu chuẩn đánh giá chưa đề cập hết. Đó là các lỗ hổng, các điểm yếu tồn tại trong hệ thống mà rất dễ bị tấn công bởi các hacker. Sau đây là bài lab mô phỏng một trong các công cụ sniffer có thể dò tìm được điểm yếu trong hệ thống mạng nội bộ LAN.
Mô hình mạng sẽ được xây dựng như sau:
Trong bài lab này sẽ thực hiện việc lấy user và password đăng nhập hệ thống của một server nằm trong mạng LAN bằng cách sử dụng công cụ sniff: Cain and Abel
Tại máy Attacker sẽ tiến hành kiểm tra các máy nằm cùng trong mạng để biết máy muốn tấn công và lấy địa chỉ IP của máy đó
IP: 192.168.10.4/24
IP: 192.168.10.2/24
Sau khi đã biết địa chỉ của máy cần tấn công, Attacker sẽ khởi động chương trình sniff: Cain and Abel và chọn card mạng cần sniffer
Chọn tab sniffer, chạy Mac Address Scanner để xem MAC và IP đang kết nối trong host
Danh sách các host sẽ được hiện thị
Bắt đầu tiến hành Poison ARP từ router tới máy Victim (router ở đây với IP: 192.168.10.2)
Sau khi truy cập thành công, quay sang máy Attacker, trên màn hình của Cain ta chuyển sang tab pasword sẽ thu được các gói tin SMB và chuyển gói tin này sang phần cracker để tiến hành giải mã.
Và chỉ sau một khoảng thời gian giải mã, ta đã nhận được thông tin về user và password đăng nhập hệ thống.
Kết luận: Việc detect sự hiện diện của sniffer trong LAN là một việc không hề đơn giản bởi vì sniffing là một hành động passive (thụ động), nó không trực tiếp tác động và gây thay đổi (cụ thể) nào để có thể nhận ra nó một cách dễ dàng. Không có một software nào có thể detect được sniffer một cách nhanh chóng và chính xác. Vì vậy để giảm thiểu Sniff thì ta nên áp dụng các phương pháp sau:
- Giải pháp cho việc chống bị sniff thì có: gán Static Mac-Address, dùng SSL, VPN,VLAN, Switch (hỗ trợ DHCP snooping, monitor port ).
- Detect sniff thì có hai cách nền tảng: detect promiscuous mode của NIC (từng host) và theo dõi tình trạng nội mạng (trọn bộ LAN).
Có như vậy mới hạn chế được các cuộc tấn công từ bên ngoài, và đồng thời phải thường xuyên nâng cấp, cập nhật các bản vá lỗi cho HĐH của server.
KẾT LUẬN
Như trên đã trình bày, để đánh giá một hệ thống thông tin là an toàn thì có rất nhiều cách để đánh giá, tuy nhiên, trong phạm vi nghiên cứu của đề tài, tác giả tập trung vào nghiên cứu các tiêu chuẩn đánh giá một sản phẩm an toàn công nghệ thông tin nằm trong một hệ thống an toàn thông tin về mặt kỹ thuật và thuật toán mà không đi sâu nghiên cứu về mặt hành chính. Đồng thời, ngoài những tiêu chuẩn để đánh giá, tác giả còn nghiên cứu một số các phương pháp tấn công vào hệ thống bằng các công cụ sniffer, để từ đó kiểm soát và khắc phục các lỗ hổng, các điểm yếu trong hệ thống của mình tránh được các cuộc tấn công của hacker.
Theo như yêu cầu ban đầu là “Nghiên cứu giải pháp đánh giá hệ thống an toàn thông tin”, đến nay luận văn đã đạt được một số kết quả sau:
Nghiên cứu được các tiêu chuẩn để đánh giá hệ thống an toàn theo chuẩn quốc tế là ISO 27001, CC, CEM.
Đề xuất giải pháp để đánh giá các thành phần trong hệ thống, cụ thể là đánh giá các sản phẩm CNTT bằng cách sử dụng CC và CEM, từ đó có thể áp dụng vào các hệ thống thực tế.
Đưa ra cách áp dụng CC và CEM đánh giá một sản phẩm cụ thể.
Các giải pháp để đảm bảo an toàn cho hệ thống khác nằm ngoài những đánh giá dựa vào tiêu chuẩn ở trên là sử dụng công cụ sniffer để phát hiện điểm yếu của hệ thống.
Trong phạm vi của luận văn, cơ bản đã đạt được những yêu cầu đặt ra ban đầu. Tuy nhiên, do thời gian và kiến thức còn hạn chế nên tác giả cũng chưa khảo sát được hết các tình huống, điểm yếu và lỗ hổng có thể xảy ra với hệ thống để đánh giá được hệ thống đó có thật sự an toàn. Hy vọng trong tương lai, nếu có điều kiện luận văn sẽ được hoàn thiện hơn và mang tính áp dụng thực tiễn rộng rãi ở trong lĩnh vực đảm bảo an toàn, an ninh hệ thống thông tin. Tác giả rất mong muốn được sự phê bình, đánh giá và đóng góp của các thầy cô và đồng nghiệp.
Cuối cùng, em xin gửi lời cảm ơn sâu sắc đến các thầy cô trong bộ môn Công nghệ phần mềm, khoa Công nghệ thông tin trường Đại học Công nghệ đã tận tình giảng dạy, cung cấp các kiến thức quý báu trong suốt thời gian thời gian theo học Cao học tại trường. Đặc biệt, em xin chân thành cảm ơn PGS.TS Nguyễn Hữu Ngự -
Trường Đại học Tự nhiên, cùng TS. Hồ Văn Hương – Ban cơ yếu Chính phủ đã
dành nhiều thời gian quý báu cùng sự chỉ bảo tận tình, tạo mọi điều kiện thuận lợi cho em hoàn thành tốt luận văn này.
TÀI LIỆU THAM KHẢO Tiếng Việt
1. PGS.TS Trịnh Nhật Tiến (2008), An toàn và an toàn thông tin, Nhà xuất bản Quốc gia.
Tiếng Anh
2. Debra S. Herrmann (2003), Using the Common Criteria for IT Security Evaluation Auerbach Publications.
3. PTR Prentice-Hall (1994), Computer Communications Security : Principles, Standard Protocols and Techniques.
4. Andrew Hay, Peter Giannoulis, Keli Hay (2009), Nokia Firewall, VPN, and IPSO Configuration Guide.
5. Common Criteria for Information Technology Security Evaluation (2006), Part 1: Introduction and general model, Version 3.1 Revision 1.
6. Common Criteria for Information Technology Security Evaluation (2007), Part 2: Security functional components, Version 3.1 Revision 1.
7. Common Criteria for Information Technology Security Evaluation (2007), Part 3: Security assurance components, Version 3.1 Revision 2.
8. William Stallings (1998), Cryptography anh Network Security: Principles
and Practice, Second Edition, Prentice Hall, Upper Saddle River, New Jersey 07458.
Một số website
9. http://www.commoncriteriaportal.org 10.http:/www.niap-ccevs.org