III: GIẢI PHÁP TỔNG THỂ CHO AN TOÀN THÔNG TIN TRÊN MẠNG
3.2: Các phương pháp và phương tiện bảo vệ thông tin
Trong giai đoạn đầu tiên, người ta cho rằng việc bảo vệ thông tin trong hệ thống thông tin tính toán có thể được thực hiện tương đối dễ dàng, thuần túy bằng các chương trình phần mềm. Chính vì vậy các phương tiện chương trình có kèm theo việc bổ sung các biện pháp tổ chức cần thiết được phát triển một cách đáng kể. Nhưng cho đến lúc chỉ riêng các phương tiện tỏ ra không thể đảm bảo chắc chắn việc bảo vệ thông tin thì các thiết bị kỹ thuật đa năng, thậm chí cả một hệ thống kĩ thuật lại phát triển một cách mạnh mẽ. Từ đó cần thiết phải triển khai một cách đồng bộ tất cả các phương tiện bảo vệ thông tin. Các phương pháp bảo vệ thông tin bao gồm
• Các chướng ngại:
Chướng ngại là nhằm ngăn cản kẻ tấn công tiếp cận thông tin được bảo vệ.
chặt chẽ về chế độ làm việc của người sử dụng, các kĩ thuật viên sử dụng các chương trình phần mềm, các cơ sở dữ liệu và các thiết bị mang tin.
Cần phải quy định thời gian làm việc trong tuần, trong ngày cho người sử dụng và nhân viên kĩ thuật trên mạng. Trong thời gian làm việc, cần phải xác định một danh mục những tài nguyên của mạng được phép tiếp cận và trình tự tiếp cận chúng. Cần thiết phải có cả một danh sách các cá nhân được quyền sử dụng các phương tiện kĩ thuật, các chương trình.
Với các ngân hàng dữ liệu người ta cũng chỉ ra một danh sách những người sử dụng dược quyền tiếp cận nó. Đối với các thiết bị mang tin, phải xác định chặt chẽ vị trí lưu giữ thường xuyên, danh sách các cá nhân có quyền nhận các thiết bị này.
Hình 3: Các phương pháp và phương tiện bảo vệ thông tin.
• Mã hóa thông tin:
Là phương pháp bảo vệ thông tin trên mạng máy tính bằng cách dùng các phương pháp mật mã để che dấu thông tin mật. Dạng bảo vệ này được sử dụng rộng rãi trong quá trình truyền và lưu giữ thông tin. Khi truyền tin theo kênh truyền công khai thì việc mã hóa là phương pháp duy nhất để bảo vệ thông tin.
• Các qui định:
Các qui định nhằm tránh được một cách tối đa các khả năng tiếp cận phi pháp thông tin trong các hệ thống xử lí tự động. Để bảo vệ một cách có hiệu quả cũng cần phải quy định một cách chặt chẽ về kiến trúc của hệ thống thông tin tính toán, về lược đồ công nghệ của việc xử lí tự động các thông tin cần bảo vệ , tổ chức và đảm bảo điều kiện làm việc của tất cả các nhân viên xử lí thông tin…
• Cưỡng bức:
Là phương pháp bảo vệ bắt buộc người sử dụng và các nhân viên của hệ thống phải tuân theo Các chướng ngại
Điều khiển Mã hóa thông tin
Quy định Cướng bức Kích thích Vật lý Máy móc Chương trình Tổ chức Luật pháp Đạo đức Các phương tiện bảo vệ Các phương pháp bảo vệ
• Kích thích:
Là các biện pháp động viên giáo dục ý thức, tính tự giác đối với vấn đề bảo vệ thông tin người sử dụng.
Các phương pháp bảo vệ thông tin đã xét ở trên thường được thực hiện bằng cách sử dụng các phương tiện bảo vệ khác nhau, đồng thời các phương tiện bảo vệ này cũng được phân chia thành các phương tiện kĩ thuật, các phương tiện chương trình, tổ chức, luật pháp và đạo đức.
Các phương tiện bảo vệ là tất cả các biện pháp tổ chức và kỹ thuật. Các biện pháp tổ chức và pháp lí được thực hiện trong quá trình thiết kế và vận hành hệ thống thông tin. Các biện pháp tổ chức cần được quan tâm một cáh đầy đủ trong quá trình thiết kế, xây dựng và hoạt động của hệ thống.
Các phương tiện luật pháp bao gồm các điều khoản luật pháp của nhà nước qui định về nguyên tắc sử dụng và xử lí thông tin, về việc tiếp cận có hạn chế thông tin và những biện pháp xử lí khi vi phạm những nguyên tắc đó.
Quá trình xây dựng hệ thống bảo vệ thông tin trải qua nhiều giai đoạn. Trong giai đoạn đầu các phương tiện chương trình chiếm ưu thế phát triển còn đến giai đoạn hai thì tất cả các phương tiện bảo vệ đều được quan tâm. Nhưng đến giai đoạn ba thì hình thành rõ rệt các khuynh hướng sau:
- Tạo ra những thiết bị có chức năng bảo vệ cơ bản.
- Xây dựng các phương tiện bảo vệ phức hợp có thể thực hiện một vài chức năng bảo vệ khác nhau.
- Thống nhất và chuẩn hóa các phương tiện bảo vệ. 3.3. Thực hiện và đào tạo người sử dụng:
Ban đầu, sự hỗ trợ cần thiết sẽ được đúc rút lại và lên kế hoạch hoàn chỉnh cho dự án bảo mật. Đây chính là bước đi quan trọng mang tính chiến lược của mỗi hệ thống về vấn đề bảo mật. Các chi tiết kỹ thuật của bất kỳ sự mô tả nào cũng sẽ thay đổi theo môi trường, công nghệ, và các kỹ năng liên quan, ngoài ra có một phần không nằm trong việc thực thi bảo mật nhưng chúng ta không được coi nhẹ, đó chính là sự đào tạo. Để đảm bảo sự thành công bảo mật ngay từ lúc đầu, người sử dụng phải có được sự hiểu biết cần thiết về chính sách bảo mật, gồm có:
Kỹ năng về các hệ thống bảo mật mới, các thủ tục mới.
Hiểu biết về các chính sách mới về tài sản, dữ liệu quan trọng của hệ thống.
Hiểu các quy trình bắt buộc mới, chính sách bảo mật hệ thống.
Nói tóm lại, không chỉ đòi hỏi người sử dụng có các kỹ năng cơ bản, mà đòi hỏi họ phải biết tại sao và cái gì họ đang làm là cần thiết với chính sách bảo mật của hệ thống.
3.4. Tiếp tục kiểm tra, phân tích và thực hiện
Hầu hết những gì mong đợi của một hệ thống bảo mật bất kỳ là chạy ổn định, điều khiển được hệ thống và nắm bắt được các luồng dữ liệu của hệ thống. Quá trình phân tích, tổng hợp các thông tin, sự kiện từ firewall, IDS’s, VPN, router, server và các ứng dụng là cách duy nhất để kiểm tra hiệu quả của một hệ thống bảo mật và cũng là cách duy nhất để kiểm tra hầu hết sự vi phạm về chính sách bảo mật cũng như các lỗi thông thường mắc phải với hệ thống.