Xõy dựng một hệ thống firewalls khụng phải là đơn giản; yờu cầu ngƣời quản trị hệ thống phải cú kinh nghiệm quản trị hệ thống và hiểu biết cơ chế hoạt động cỏc cỏc dịch vụ. Ngoài ra, ngƣời cài đặt firewalls cần kiểm tra từng bƣớc sau:
Xỏc định kiến trỳc mạng và giao thức cần thiết. Xõy dựng cỏc chớnh sỏch an toàn
Cú đƣợc những cụng cụ cần thiết
Sử dụng những cụng cụ này một cỏch hiệu quả Kiểm tra thử nghiệm hệ thống
Xỏc định kiến trỳc mạng và giao thức cần thiết.
Bƣớc đầu tiờn là cần phải hiểu toàn bộ mạng, cụng việc này khụng chỉ đơn giản là xem lại cỏc mỏy, cỏc giấy tờ văn bản vv...nú phải đƣợc thảo luận với cỏc phũng khỏc nhau. Với mạng lớn hơn thỡ cần phải cú sự hợp tỏc một phũng phụ trỏch toà nhà này với phũng phụ trỏch toà nhà kia mà mỗi toà nhà cú thể cỏch nhau hàng trăm hàng ngàn dặm.
Cụng việc đầu tiờn của bạn là xỏc định xem cỏi nào bị cấm và cỏi nào khụng bị cấm, cũng nhƣ bạn cần phải liệt kờ tất cả cỏc giao thức cần thiết đƣợc sử dụng trờn mạng của bạn. Nếu bạn làm tốt cụng việc này thỡ coi nhƣ bạn đó tạo đƣợc một “bức tranh” về firewall của bạn. việc xỏc định xem ai hay cỏi gỡ bị cấm khụng cho kết nối qua firewall là một vấn đề khỏ phức tạp vớ dụ nhƣ bạn sẽ khụng cho cỏc mạng tung ra những email khụng mong muốn mang nội dung xấu hay những thụng tin khụng phục vụ cho mục đớch kinh doanh của bạn. Đồng thời bạn cũng cú thể cấm những địa chỉ đƣợc biết đến nhƣ là địa chỉ của cỏc hacker.
Xõy dựng cỏc chớnh sỏch về bảo mật:
Cần thiết lập một chớnh sỏch cụ thể về bảo mật, từ đú xỏc định cỏc "luật" ỏp dụng trờn firewalls. Trỏnh xảy ra trƣờng hợp
Cỏc "luật" trờn firewalls bị mõu thuẩn với nhau;
Chi tiết cỏch thức xõy dựng một firewall sẽ đƣợc trỡnh bày trong phần phụ lục.
3.3.3. Một số phần mềm firewalls thƣờng sử dụng:
3.3.3.1. Packet filtering:
Kiểu lọc gúi tin này cú thể đựơc thực hiện mà khụng cần taọ một firewall hoàn chỉnh, cú rất nhiều cỏc cụng cụ trợ giỳp cho việc lọc gúi tin trờn Internet (kể cả phải mua hay đƣợc miễn phớ). Sau đõy ta cú thể liệt kờ một số tiện ớch nhƣ vậy
TCP_Wrappers
TCP_Wrappers là một chƣơng trỡnh đƣợc viết bởi Wietse Venema, ngƣời ta cho rằng khụng cú cụng cụ nào khỏc mà dễ sử dụng và hiệu quả hơn nú. Chƣơng trỡnh hoạt động bằng cỏch thay thế cỏc trỡnh thƣờng trỳ của hệ thống và ghi lại tất cả cỏc yờu cầu kết nối, thời gian yờu cầu, và địa chỉ nguồn. Chƣơng trỡnh này cũng cú khả năng ngăn chặn cỏc địa chỉ IP hay cỏc mạng khụng đƣợc phộp kết nối.
NetGate
NetGate đƣợc đƣa ra bởi Smallwork là một hệ thống dựa trờn cỏc luật về lọc gúi tin. Nú đƣợc viết ra để sử dụng trờn cỏc hệ thống Sun Sparc OS 4.1.x. Tƣơng tự nhƣ cỏc kiểu packet filtering khỏc NetGate kiểm tra tất cả cỏc gúi tin nú nhận đƣợc và so sỏnh với cỏc luật đó đƣợc tạo ra.
Internet Packet Filter
Phần mềm này hoàn toàn miễn phớ, đƣợc viết bởi Darren Reed. Đõy là một chƣơng trỡnh khỏ tiện lợi, nú cú khả năng ngăn chặn đƣợc việc tấn cụng bằng địa chỉ IP giả. Một số ƣu điểm của chƣơng trỡnh là nú khụng chỉ cú khả năng huỷ bỏ cỏc gúi tin TCP khụng đỳng hoặc chƣa hoàn thiện mà cũn khụng gửi lại bản tin ICMP lỗi. Chƣơng trỡnh này cho phộp bạn cú thể kiểm tra thử cỏc luật bạn ra trƣớc khi sử dụng chỳng.
3.3.3.2. Application-proxy firewall
TIS FWTK
TIS FWTK (Trusted information Systems Firewall Tool Kit) là một phần mềm đầu tiờn đầy đủ tớnh năng của firewall và đặc trƣng cho kiểu firewall hoạt động theo phƣơng thức ứng dụng. Những phiờn bản đầu tiờn của phần mềm này là miễn phớ và
bao gồm nhiều thành phần riờng rẽ mỗi thành phần phục vụ cho một kiểu dịch vụ trờn mạng. Cỏc thành phần chủ yếu bao gồm: Telnet FTP rlogin sendmail http
Phần mềm này là một hệ thống toàn diện, tuy nhiờn nú khụng cú khả năng bảo vệ mạng ngay sau khi bạn cài đặt nú xong, bởi vỡ việc cài đặt và cấu hỡnh nú khụng phải là dễ dàng. Khi cấu hỡnh phần mềm này bạn phải thực sự hiểu mỡnh đang làm gỡ bởi cú thể với cỏc luật bạn tạo ra thỡ mạng của bạn khụng thể đƣợc kết nối với bất kỳ mạng nào khỏc thậm chớ ngay cả những mạng quen thuộc. Điểm đặc trƣng nhất của phần mềm này là nú cú sẵn nhiều tiện ớch giỳp bạn điều khiển đƣợc truy nhập đối với toàn mạng, một phần mạng hay thậm chớ chỉ riờng một địa chỉ.
3.4. XÂY DỰNG CHÍNH SÁCH BẢO MẬT
Qua trỡnh bày ở cỏc phần trờn cho chỳng ta thấy phần nào những hoạt động liờn quan xõy dựng một chớnh sỏch bảo mật. Đú là những hoạt động nhằm thiết lập cỏc khung chớnh sỏch nhằm đảm an toàn cho hệ thống, đồng thời đảm bảo hệ thống ổn định và cú tớnh thực thi cao, cú khả năng chống lại cỏc cuộc tấn cụng vào mạng. Tuy nhiờn, một hệ thống nếu dựa vào mục tiờu bảo mật mà làm mất đi tớnh mềm dẻo và dễ sử dụng thỡ chớnh sỏch bảo mật trờn hệ thống đú cũng chƣa phải là tốt. Cú thể núi rằng một hệ thống cú chớnh sỏch bảo mật hợp lý là biện phỏp tốt nhất để đảm bảo an toàn mạng. Do đú, phần sau đõy sẽ trỡnh bày những bƣớc cần thiết để xõy dựng một chớnh sỏch bảo mật hợp lý đối với cỏc hệ thống cung cấp dịch vụ trờn mạng.
3.4.1. Cỏc bƣớc chuẩn bị:
Trong cỏc bƣớc xõy dựng một chớnh sỏch bảo mật đối với một hệ thống, nhiệm vụ đầu tiờn của ngƣời quản trị là xỏc định đƣợc đỳng mục tiờu cần bảo mật. Việc xỏc định những mục tiờu của chớnh sỏch bảo mật giỳp ngƣời sử dụng biết đƣợc trỏch nhiệm của mỡnh trong việc bảo vệ cỏc tài nguyờn thụng tin trờn mạng, đồng
trang bị, cấu hỡnh và kiểm soỏt hoạt động của hệ thống. Những mục tiờu bảo mật bao gồm:
3.4.1.1. Xỏc định đối tượng cần bảo vệ:
Đõy là mục tiờu đầu tiờn và quan trọng nhất trong khi thiết lập một chớnh sỏch bảo mật. Ngƣời quản trị hệ thống cần xỏc định rừ những đối tƣợng nào là quan trọng nhất trong hệ thống cần bảo vệ; xỏc định rừ mức độ ƣu tiờn đối với những đối tƣợng đú. Vớ dụ cỏc đối tƣợng cần bảo vệ trờn một hệ thống cú thể là: Cỏc mỏy chủ dịch vụ, cỏc router, cỏc điểm truy nhập hệ thống, cỏc chƣơng trỡnh ứng dụng, hệ quản trị CSDL, cỏc dịch vụ cung cấp...
Trong bƣớc này cần xỏc định rừ phạm vi và ranh giới giữa cỏc thành phần trong hệ thống để khi xảy ra sự cố trờn hệ thống cú thể cố lập cỏc thành phần này với nhau, dễ dàng dũ tỡm nguyờn nhõn và cỏch khỏc phục. Cú thể chia cỏc thành phần trờn một hệ thống theo cỏc cỏch sau:
Phõn tỏch cỏc dịch vụ tựy theo mức độ truy cập và độ tin cậy
Phõn tỏch hệ thống theo cỏc thành phần vật lý nhƣ cỏc mỏy chủ (server), router, cỏc mỏy trạm (workstation)...
Phõn tỏch theo phạm vi cung cấp của cỏc dịch vụ nhƣ: cỏc dịch vụ bờn trong mạng (NIS, NFS...) và cỏc dịch vụ bờn ngoài nhƣ Web, FTP, Mail...
3.4.1.2. Xỏc định nguy cơ đối với hệ thống
Cỏc nguy cơ đối với hệ thống chớnh là cỏc lỗ hổng bảo mật của cỏc dịch vụ, hệ thống đú cung cấp. Việc xỏc định đỳng đắn cỏc nguy cơ này giỳp ngƣời quản trị cú thể trỏnh đƣợc những cuộc tấn cụng mạng, hoặc cú biện phỏp bảo vệ đỳng đắn. Thụng thƣờng, một số nguy cơ này nằm ở cỏc thành phần sau trờn hệ thống:
Cỏc điểm truy nhập:
Cỏc điểm truy nhập của hệ thống bất kỳ (Access Points) thƣờng đúng vai trũ quan trọng đối với mỗi hệ thống vỡ đõy là điểm đầu tiờn mà ngƣời sử dụng cũng nhƣ những kẻ tấn cụng mạng quan tõm tới. Thụng thƣờng cỏc điểm truy nhập thƣờng phục vụ hầu hết ngƣời dựng trờn mạng, khụng phụ thuộc vào quyền hạn cũng nhƣ dịch vụ mà ngƣời sử dụng dựng. Do đú, cỏc điểm truy nhập thƣờng là thành phần cú tớnh bảo mật lỏng lẻo. Mặt khỏc, đối với nhiều hệ thống cũn cho phộp ngƣời sử
dụng dựng cỏc dịch vụ nhƣ Telnet, rlogin để truy nhập vào hệ thống, đõy là những dịch vụ cú nhiều lỗ hổng bảo mật.
Khụng kiểm soỏt được cấu hỡnh hệ thống
Khụng kiểm soỏt hoặc mất cấu hỡnh hệ thống chiếm một tỷ lệ lớn trong cỏc số cỏc lỗ hổng bảo mật. Ngày nay, cú một số lƣợng lớn cỏc phần mềm sử dụng, yờu cầu cấu hỡnh phức tạp và đa dạng hơn, điều này cũng dẫn đến những khú khăn để ngƣời quản trị nắm bắt đƣợc cấu hỡnh hệ thống. Để khắc phục hiện tƣợng này, nhiều hóng sản xuất phần mềm đó đƣa ra những cấu hỡnh khởi tạo mặc định, trong khi đú những cấu hỡnh này khụng đƣợc xem xột kỹ lƣỡng trong một mụi trƣờng bảo mật. Do đú, nhiệm vụ của ngƣời quản trị là phải nắm đƣợc hoạt động của cỏc phần mềm sử dụng, ý nghĩa của cỏc file cấu hỡnh quan trọng, ỏp dụng cỏc biện phỏp bảo vệ cấu hỡnh nhƣ sử dụng phƣơng thức mó húa hashing code (MD5).
Những bug phần mềm sử dụng
Những bug phần mềm tạo nờn những lỗ hổng của dịch vụ là cơ hội cho cỏc hỡnh thức tấn cụng khỏc nhau xõm nhập vào mạng; Cỏc chƣơng trỡnh trojans và virus là những vớ dụ cụ thể. Do đú, ngƣời quản trị phải thƣờng xuyờn cập nhật tin tức trờn cỏc nhúm tin về bảo mật và từ nhà cung cấp phần mềm để phỏt hiện những lỗi của phần mềm sử dụng. Khi phỏt hiện cú bug cần thay thế hoặc ngừng sử dụng phần mềm đú chờ nõng cấp lờn phiờn bản tiếp theo.
Những nguy cơ trong nội bộ mạng
Một hệ thống khụng những chịu tấn cụng từ ngoài mạng, mà cú thể bị tấn cụng ngay từ bờn trong. Cú thể là vụ tỡnh hoặc cố ý, cỏc hỡnh thức phỏ hoại bờn trong mạng vẫn thƣờng xảy ra trờn một số hệ thống lớn. Chủ yếu với hỡnh thức tấn cụng ở bờn trong mạng là kẻ tấn cụng cú thể tiếp cận về mặt vật lý đối với cỏc thiết bị trờn hệ thống, đạt đƣợc quyền truy nhập bất hợp phỏp tại ngay hệ thống đú. Vớ dụ nhiều trạm làm việc cú thể chiếm đƣợc quyền sử dụng nếu kẻ tấn cụng ngồi ngay tại cỏc trạm làm việc đú.
3.4.1.3. Xỏc định phương ỏn thực thi chớnh sỏch bảo mật
hoàn hảo khi nú cú tớnh thực thi cao. Để đỏnh giỏ tớnh thực thi này, cú một số tiờu chớ để lựa chọn đú là:
Tớnh đỳng đẵn
Đõy là tiờu chớ đầu tiờn và quan trọng nhất để lựa chọn một chớnh sỏch bảo mật. Nú đảm bảo cho sự thành cụng của chớnh sỏch đú. Vớ dụ, nếu nhƣ một hệ thống thƣờng xuyờn cú cỏc nguy cơ bị tấn cụng từ bờn ngoài, một chớnh sỏch bảo mật cần phải đảm bảo kiểm soỏt đƣợc cỏc truy nhập của khỏch hàng vào hệ thống bằng việc xõy dựng cỏc thủ tục quản lý tài khoản ngƣời dựng chặt chẽ và kỹ càng.
Tớnh thõn thiện
Một chớnh sỏch bảo mật cần thiết lập cỏc cụng cụ bảo mật thõn thiện với ngƣời quản trị và dễ dàng thực thi cỏc chớnh sỏch bảo mật. Đồng thời, cũn đảm bảo cỏc biện phỏp bảo mật trờn hệ thống khụng làm khú khăn hoặc bất tiện đối với ngƣời sử dụng. Vớ dụ, những chớnh sỏch nhằm kiểm tra tớnh hợp lệ khi khỏch hàng truy nhập vào hệ thống; những chớnh sỏch về bảo vệ mật khẩu nhƣ yờu cầu khỏch hàng đối mật khẩu trong một thời gian xỏc định... cỏc chớnh sỏch này phải cú tớnh "trong suốt" đối với khỏch hàng sử dụng hệ thống.
Tớnh hiệu quả:
Sau cựng, một chớnh sỏch bảo mật đƣợc quyết định bởi cỏc nhà quản lý; họ quan tõm đến hiệu quả mà chớnh sỏch đú mang lại. Một chớnh sỏch bảo mật cú thể đảm bảo hệ thống an toàn, tin cậy, nhƣng lại cần cú chi phớ quỏ cao so với lợi nhuận mà hệ thống đú đem lại sẽ khụng đƣợc quyết định thực thi. Tuy nhiờn, trong một khớa cạnh khỏc, cú thể cỏc chớnh sỏch khụng thể đem lại hiệu quả ngay, do đú cần xem xột mức độ chi phớ bảo mật hệ thống đối với một thời gian dài cựng với cỏc lợi nhuận khỏc đem lại từ hệ thống bảo mật nhƣ nõng cao chất lƣợng dịch vụ bằng tớnh ổn định của hệ thống,...
3.4.2. Thiết lập Cỏc qui tắc/thủ tục
3.4.2.1. Cỏc thủ tục đối với hoạt động truy nhập bất hợp phỏp
Sử dụng một vài cụng cụ cú thể phỏt hiện ra cỏc hành động truy nhập bất hợp phỏp vào một hệ thống. Cỏc cụng cụ này cú thể đi kốm theo hệ điều hành, hoặc từ cỏc hóng sản xuất phần mềm thứ ba
Cỏc cụng cụ nhận biết truy nhập khụng hợp lệ
Đõy là biện phỏp phổ biến nhất để theo dừi cỏc hoạt động hệ thống.
Cỏc cụng cụ logging: Nhƣ trong mục I trỡnh bày về cỏc cụng cụ theo dừi logfile, hầu hết cỏc hệ điều hành đều hỗ trợ một số lƣợng lớn cỏc cụng cụ ghi log với nhiều thụng tin bổ ớch. Để phỏt hiện những hoạt động truy nhập bất hợp phỏp, một số qui tắc khi phõn tớch logfile nhƣ sau:
So sỏnh cỏc hoạt động trong logfile với cỏc log trong quỏ khứ. Đối với cỏc hoạt động thụng thƣờng, cỏc thụng tin trong logfile thƣờng cú chu kỳ giống nhau; vớ dụ thời điểm ngƣời sử dụng login hoặc log out, thời gian sử dụng cỏc dịch vụ trờn hệ thống...
Nhiều hệ thống sử dụng cỏc thụng tin trong logfile để tạo húa đơn cho khỏch hàng. Cú thể dựa vào cỏc thụng tin trong húa đơn thanh toỏn để xem xột cỏc truy nhập bất hợp phỏp nếu thấy trong húa đơn đú cú những điểm bất thƣờng nhƣ thời điểm truy nhập, số điện thoại lạ...
Dựa vào cỏc tiện ớch nhƣ syslog để xem xột, đặc biệt là cỏc thụng bỏo lỗi login khụng hợp lệ (bad login) trong nhiều lần.
Dựa vào cỏc tiện ớch kốm theo hệ điều hành để theo dừi cỏc tiến trỡnh đang hoạt động trờn hệ thống; để phỏt hiện những tiến trỡnh lạ, hoặc những chƣơng trỡnh khởi tạo khụng hợp lệ...
Sử dụng cỏc cụng cụ giỏm sỏt khỏc: Vớ dụ sử dụng cỏc tiện ớch về mạng để theo dừi cỏc lƣu lƣợng, tài nguyờn trờn mạng để phỏt hiện những điểm nghi ngờ.
Xõy dựng kế hoạch giỏm sỏt: Do cú nhiều cụng việc phải giỏm sỏt, nờn ngƣời quản trị cần xõy dựng kế hoạch giỏm sỏt thụng qua cỏc cụng cụ trờn hệ thống nhƣ cron, tạo schedule... Mặt khỏc, kế hoạch này đảm bảo cỏc cụng cụ giỏm sỏt khụng chiếm nhiều tài nguyờn hệ thống.
Dựa vào cỏc bỏo cỏo này ngƣời quản trị cú thể phỏt hiện những điểm yếu trờn mạng, đồng thời dự bỏo đƣợc hƣớng phỏt triển mạng trong tƣơng lai.
Cỏc phản ứng của hệ thống
Dựa vào cỏc bƣớc trờn để xỏc định hệ thống bị tấn cụng. Khi phỏt hiện cần thực hiện cỏc cụng việc sau:
Xỏc định mức độ nguy hiểm: Đỏnh giỏ mức độ nguy hại và ảnh hƣởng của nú. Nếu cỏc hành động phỏ hoại
Trong một số trƣờng hợp, cần dựa vào phỏp luật hiện hành để xử lý.
3.4.2.2. Triển khai chớnh sỏch bảo mật
Đào tạo người sử dụng
Ngƣời sử dụng đúng vai trũ quan trọng trong quỏ trỡnh thực thi một chớnh sỏch bảo mật. Về phớa ngƣời dựng luụn mong muốn tớnh đơn giản và dễ dàng đối với cỏc thủ tục. Do đú, khi xõy dựng chớnh sỏch bảo mật, một mặt đảm bảo chớnh sỏch đú khụng làm cản trở ngƣời sử dụng, mặt khỏc cần giỏo dục ngƣời sử dụng nhận thức