Trong q trình hoạt động, mạng ln phải chịu sự tác động mạnh mẽ từ mơi trường ngồi với những hành động truy nhập trái phép để can thiệp vào các tài nguyên trong mạng.
Những đe dọa về an ninh mạng có thể do một cá nhân, đối tượng nào đó khi thực hiện có thể làm hỏng LAN, như cố ý sửa đổi thơng tin, gây ra lỗi trong tính tốn, hay có thể ngẫu nhiên xóa bỏ các tệp tin trong mạng…Những nguy hiểm có thể cũng xảy ra do các hoạt động trong tự nhiên…
Những hành động can thiệp vào một mạng LAN có thể liệt kê như sau:
Đồ án tốt nghiệp Đại học Chương 2. Bảo mật mạng và Internet
Truy nhập LAN trái phép : Được thực hiện do một cá
nhân trái phép tìm được cách truy nhập LAN
Khơng thích hợp truy nhập tài nguyên LAN : Do cá
nhân được phép hoặc không được phép truy nhập LAN gây ra. Cố tình truy nhập tài nguyên LAN trong các trường hợp không được phép.
Làm lộ dữ liệu : Do một các nhân đọc thơng tin và có thể
để lộ thơng tin, do vơ tình hoặc có chủ ý.
Thay đổi trái phép dữ liệu và phần mềm : Là hành
động sửa đổi, xóa hay phá hủy dữ liệu LAN và phần mềm trong trường hợp trái phép hoặc do ngẫu nhiên.
Làm lộ lưu lượng LAN
Giả mạo lưu lượng : Xuất hiện một bản tin và được gửi
một cách hợp phát, tên người gửi, trong đó thực tế bản tin đã không được thực hiện
Phá hỏng các chức năng LAN 2.3 Bảo mật mạng
Trước những nguy cơ mà một mạng gặp phải, đã đặt ra yêu cầu bảo mật mạng. Bảo mật mạng là nhân tố vô cùng quan trọng trong hoạt động mạng. Yêu cầu cho các hoạt động bảo mật mạng là bất kỳ bản tin nào được gửi cũng phải đến đúng địa chỉ đích. Thực hiện điều khiển truy nhập trên toàn mạng, tất cả các thiết bị kết nối như các đầu cuối, chuyển mạch, modem, gateway, cầu nối, router… Bảo vệ thông tin được phát, cảnh báo hoặc loại bỏ các cá nhân hoặc thiết bị trái phép. Mọi vi phạm bảo mật xuất hiện trên mạng phải được phát hiện, báo cáo và nhận trả lời thích hợp. Có kế hoạch khơi phục lại kênh liên lạc ban đầu cho người sử dụng khi gặp phải sự cố an ninh mạng. Bảo mật mạng được xem xét theo các khía cạnh sau.
Đồ án tốt nghiệp Đại học Chương 2. Bảo mật mạng và Internet
2.3.1 Chính sách bảo mật
Một chính sách bảo mật là một thơng báo rõ ràng các nguyên tắc mà theo nó người được truy nhập tới công nghệ của một tổ chức và các tài sản thơng tin phải tn theo.
Mục đích chính của chính sách bảo mật là dành cho người sử dụng, các nhân viên, và các nhà quản lý với những nhu cầu bắt buộc cần bảo vệ công nghệ và các tài sản thông tin. Chính sách bảo mật chỉ rõ các cơ chế mà qua đó phù hợp với yêu cầu. Một mục đích khác là cung cấp một đường cơ sở từ đó định cấu hình và đánh giá các hệ thống máy tính và các mạng tuân thủ chính sách.
Một chính sách sử dụng thích hợp (AUP) cũng có thể là một phần của chính sách bảo mật. Nó giải thích rõ ràng những gì mà người sử dụng sẽ và khơng được làm đối với các thành phần khác nhau của hệ thống, bao gồm loại lưu lượng đã cho phép trên mạng. AUP phải trình bày đơn giản, rõ ràng tránh sự tối nghĩa hay hiểu lầm.
Đặc trưng của một chính sách bảo mật hiệu quả là:
1. Nó phải được thực hiện qua các thủ tục quản lý hệ thống, công bố sử dụng
2. Các nguyên tắc, hoặc các phương thức phù hợp khác. 3. Nó phải được thi hành với các cơng cụ bảo mật.
4. Nó phải định nghĩa rõ ràng trách nhiệm người sử dụng, nhà quản trị, và các nhà quản lý.
Các thành phần của một chính sách bảo mật hiệu quả bao gồm :
1. Các nguyên tắc lựa chọn cơng nghệ máy tính : Chỉ rõ nhu cầu, ưu tiên, các đặc trưng bảo mật. Bổ sung các các chính sách lựa chọn hiện có và các ngun tắc.
2. Một chính chính sách bảo mật xác định hợp lý những nhu cầu bảo mật như tạo ra cơ chế quản lý thư điện tử, đăng nhập nhấn phím, và truy nhập các tệp tin người sử dụng.
Đồ án tốt nghiệp Đại học Chương 2. Bảo mật mạng và Internet
3. Một chính sách truy nhập định nghĩa các quyền truy nhập và các đặc quyền để bảo vệ khỏi mất hoặc bị lộ bằng việc chấp nhận sử dụng các nguyên tắc cho người sử dụng, các nhân viên vận hành và các nhà quản lý. Nó có thể cung cấp các nguyên tắc cho các kết nối bên ngồi, truyền thơng số liệu, kết nối các thiết bị tới mạng, bổ xung các phần mềm mới cho hệ thống. Vì vậy, nó phải chỉ rõ mọi thơng điệp khai báo. (các thông điệp kết nối phải cung cấp hoặc ủy quyền sử dụng và quản lý tuyến, và khơng nói đơn giản là “Welcome”).
4. Một chính sách giải trình (Accountability Policy) định nghĩa trách nhiệm của người sử dụng, các nhân viên hoạt động, và các nhà quản lý. Nó chỉ rõ khả năng đánh giá, và cung cấp các nguyên tắc xử lý các việc xảy ra. (phải làm gì và tiếp xúc ai khi việc xâm nhập có thể được phát hiện).
5. Một chính sách nhận thực thiết lập sự tin cậy thơng qua một chính sách mật khẩu có hiệu lực, và bằng việc tạo các nguyên tắc cho nhận thực vị trí từ xa và sử dụng các thiết bị nhận thực (các mật khẩu và các thiết bị tạo ra chúng).
6. Một khai báo có hiệu lực sắp xếp các nhu cầu của người sử dụng cho tính sẵn sàng của tài ngun. Nó nên đánh địa chỉ dư và khôi phục phát hành, cũng như chỉ rõ thời gian hoạt động, khoảng thời gian ngừng hoạt động để bảo dưỡng. Nó cũng bao gồm thơng tin tương tác để báo cáo tình trạng xấu của mạng và hệ thống.
7. Một chính sách bảo dưỡng mạng và hệ thống cơng nghệ thơng tin mơ tả cách bảo trì cho cả bên trong và bên ngoài cho những người được phép thao tác và truy nhập công nghệ. Một chủ đề quan trọng là đánh địa chỉ ở đây là bảo trì từ xa được cho phép và truy nhập được điều khiển.
Đồ án tốt nghiệp Đại học Chương 2. Bảo mật mạng và Internet
8. Chính sách thơng báo vi phạm phải chỉ ra loại vi phạm, phải báo cáo và tới người nào.
9. Thông tin hỗ trợ cung cấp cho người sử dụng, nhân viên, và nhà quản lý cùng với thông tin tương tác cho mỗi loại vi phạm chính sách các nguyên tắc dựa trên hướng dẫn thao tác các truy vấn bến ngoàn vể một xâm phạm an ninh.
2.3.1 Các cơ chế và dịch vụ bảo mật
Một dịch vụ bảo mật là tập hợp các cơ chế, thủ tục và các điều khiển khác được thi hành để giúp giảm bớt những rủi ro và những mối nguy hiểm có thể xảy ra. Ví dụ, dịch vụ nhận dạng và nhận thực giúp giảm bớt sự nguy hiểm đối với người sử dụng trái phép. Một số dịch vụ cung cấp sự bảo vệ tránh khỏi những đe dọa, đôi khi các dịch vụ khác cung cấp việc dị tìm các sự kiện dẫn tới nguy hiểm.
Nhận dạng và nhận thực : là dịch vụ bảo mật giúp đảm bảo rằng mạng
LAN chỉ được truy nhập bởi những người được trao quyền.
Điều khiển truy nhập : là dịch vụ bảo mật giúp đảm bảo rằng cá tài nguyên
LAN được sử dụng theo một loại ủy quyền.
Độ tin cậy bản tin thông điệp và dữ liệu : là một dịch vụ bảo mật giúp đảm
bảo rằng dữ liệu LAN, phần mềm và các message không bị lộ cho các tổ chức không được trao quyền.
Tính tồn vẹn bản tin và dữ liệu : Là dịch vụ bảo mật giúp đảm bảo rằng
dữ liệu LAN, phần mềm và các message không bị sửa đổi bởi các tổ chức trái phép.
Không được phủ nhận : Là dịch vụ đảm bảo rằng các thực thể liên quan
trong một truyền thông không thể phủ nhận đã tham gia. Cụ thể là thực thể phát không thể phủ nhận đã gửi bản tin và thực thể nhận không thể phủ nhận đã nhận một bản tin.
Đăng nhập và giám sát : Là dịch vụ bảo mật bằng việc sử dụng các tài
ngun LAN, có thể dị tìm trên tồn LAN. Quyết định các điều khiển thích hợp và các thủ tục sử dụng trong bất kỳ môi trường LAN nào.
Đồ án tốt nghiệp Đại học Chương 2. Bảo mật mạng và Internet
2.3.2 Bảo mật môi trường vật lý
Các điều khiển bảo mật vật lý và môi trường bao gồm ba phạm vi lớn như sau:
1. Mơi trường vật lý thường là tịa nhà, cấu trúc khác hay nơi để xe cộ, hệ thống và các thành phần mạng. Các hệ thống có thể được mơ tả, dựa trên vị trí hoạt động, như là tĩnh, di động, hay linh động. Các hệ thống tĩnh được lắp đặt trong các cấu trúc ở những vị trí cố định. Các hệ thống di động được lắp đặt trong các xe cộ thực hiện chức năng của một cấu trúc, nhưng nó khơng ở một vị trí cố định. Các hệ thống linh động khơng được lắp đặt trong các vị trí hoạt động cố định. Chúng có thể hoạt động trong nhiều vị trí khác nhau, bao gồm tòa nhà, xe cộ… Những đặc trưng vật lý của cấu trúc này quyết định mức độ đe dọa vật lý như cháy, truy nhập trái phép….
2. Các điều khiển bảo mật môi trường và vật lý được thi hành để
bảo vệ hiệu quả các tài nguyên hệ thống, và sử dụng hiệu quả các tài nguyên để hỗ trợ cho hoạt động của chúng.
3. Vị trí địa lý quyết định các đặc trưng của các mới đe dọa từ tự nhiên, bao gồm động đất, ngập lụt… những đe dọa từ phía con người như trộm cắp, mất an ninh, hoặc các việc ngăn chặn truyền thông và các hoạt động gây thiệt hại, bao gồm việc đổ các chất độc hóa học, cháy nổ và nhiễu điện từ do các rada…
4. Để hỗ trợ hiệu quả các dịch vụ này (cả về mặt kỹ thuật và con
người) củng cố hoạt động hệ thống. Quá trình hoạt động của hệ thống thường phụ thuộc vào khả năng hỗ trợ từ các thành phần như nguồn điện, điều kiện khơng khí và nhiệt độ, và mơi trường viễn thơng. Việc phải hoạt động trong điều kiện dưới mức bình thường có thể dẫn tới ngưng hoạt động của hệ thống và có thể dẫn tới phá hủy phần cứng hệ thống và cơ sở dữ liệu.
5. Gián đoạn trong việc cung cấp các dịch vụ máy tính: Một đe
dọa từ xa có thể làm gián đoạn chương trình hoạt động của hệ thống. Mức độ
Đồ án tốt nghiệp Đại học Chương 2. Bảo mật mạng và Internet
nghiêm trọng thời gian tồn tại và định thời của ngắt dịch vụ và các đặc trưng hoạt động cuối cùng của người sử dụng.
6. Làm hỏng vật lý : Nếu phần cứng hệ thống bị làm hỏng hay bị
phá hủy, thông thường nó phải được sửa chữa và thay thế. Dữ liệu có thể bị phá hủy do một hành động phá hoại bằng một tấn công vật lý lên phương tiện lưu trữ dữ liệu. Do đó dữ liệu phải được lưu trữ dự phịng trong một hệ thống ln sẵn sàng hoạt động khi hệ thống hoạt động bị phá hủy. Dữ liệu sẽ được khơi phục từ các bản sao của nó.
7. Làm lộ thông tin trái phép : Môi trường vật lý có thể phải chập nhận một kẻ đột nhập truy nhập cả từ phương tiện ngoài tới phần cứng hệ thống và tới các phương tiện bên trong các thành phần hệ thống, các đường truyền dẫn hay các màn hình hiển thị. Tất cả điều này dẫn đến tổn thất thông tin.
8. Tổn thất điều khiển đối với tính tồn vẹn hệ thống: Nếu người
truy nhập được vào khối xử lý trung tâm, nó có thể thực hiện khởi động lại hệ thống bỏ qua các điều khiển truy nhập logic. Điều này có thể dẫn đến lộ thơng tin, gian lận, thay các phần mềm hệ thống và ứng dụng, như là chương trình con ngựa thành toroa.
Bảy loại điều khiển bảo mật môi trường và vật lý cơ bản:
Các điều khiển khiển truy nhập vật lý
An toàn cháy nổ Hỗ trợ các tiện ích Giảm cấu trúc plumbing leaks Ngăn chặn dữ liệu Các hệ thống di động và linh động
Các điều khiển truy nhập vật lý
Đồ án tốt nghiệp Đại học Chương 2. Bảo mật mạng và Internet
Các điều khiển truy nhập vật lý giới hạn việc nhập và thoát của các thiết bị (thường là các thiết bị và phương tiện) từ mộ khu vực, như một tòa nhà văn phòng, trung tâm dữ liệu, hoặc các phịng có server LAN.
Các điều khiển dựa trên truy nhập vật lý tới các phần tử của hệ thống có thể bao gồm điều khiển các khu vực, các chướng ngại vật ngăn cách mỗi khu vực. Thêm vào đó các nhân viên làm việc trong khu vực giới hạn phục vụ một nhiệm vụ quan trọng trong việc cung cấp bảo mật vật lý.
Các điều khiển truy nhập vật lý không nên chỉ đánh địa chỉ khu vực bao gồm phần cứng hệ thống, nhưng ngoài ra cả các địa điểm được sử dụng kết nối các phần tử của hệ thống, dịch vụ năng lượng điện tử, điều hịa khơng khí, điện thoại và các tuyến dữ liệu, sao chép dự phòng các tài liệu nguồn và phương tiện. Điều này nghĩa là tất cả các khu vực trong một kiến trúc bao gồm các phần tử hệ thống phải được nhận dạng.
Một điều cũng rất quan trọng là việc xem xet lại hiệu quả hoạt động của các điều khiển vật lý trong mỗi khu vực, cả thời gian tồn tại hoạt động bình thường và ở mỗi thời điểm khác nhau khi một khu vực có thể khơng bị chiếm. Hiệu quả hoạt động phục thuộc vào cả các đặc trưng của các thiết bị điều khiển đã sử dụng và sự thi hành và hoạt động.
Tính khả thi của sự đăng nhập gian lận cũng cần được nghiên cứu.
Tạo thêm một chướng ngại vật để giảm sự rủi ro cho các khu vực sau chướng ngại vật. Tăng cường màn chắn ATM ở một điểm nhập có thể giảm một số sự xâm nhập.
2.3.3 Nhận dạng và nhận thực
Bước đầu tiên hướng tới bảo mật tài nguyên LAN là là khả năng kiểm tra việc nhận dạng người sử dụng. Quá trình kiểm tra một nhận dạng người sử dụng được đề cập là nhận thực. Nhận thực cung cấp cơ sở cho năng lực của các điều khiển sử dụng trên LAN. Ví dụ, cơ chế logging cung cấp cách sử dụng thông tin dựa trên ID người sử dụng. Cơ chế điều khiển truy nhập cho phép truy nhập tài
Đồ án tốt nghiệp Đại học Chương 2. Bảo mật mạng và Internet
nguyên LAN dựa trên ID người sử dụng. Cả hai điều khiển này chỉ hiệu quả khi chắc chắn rằng người sử dụng được gán ID rõ ràng và hợp lý.
Nhận dạng yêu cầu người sử dụng phải được LAN nhận biết theo một vài cách. Thông thường, điều này dựa trên việc gán ID người sử dụng. Tuy nhiên LAN khơng thể tin cậy hồn tồn vào người sử dụng trong thực tế.
Nhận thực được thực hiện bằng việc cung cấp cho người sử dụng cái gì đó mà chỉ người sử dụng có như một thẻ, hoặc chỉ người sử dụng biết, như là một mật khẩu, hoặc tạo ra một cái duy nhất chỉ liên quan đến người sử dụng như là một dấu vân tay. Những điều này sẽ giảm thiểu những nguy hiểm khi một ai đó giả mạo là người sử dụng hợp pháp.
Một thủ tục chỉ rõ sự cần thiết của nhận thực nên tồn tại trong hầu hết các