1.2.4.1. Ngăn chặn thông tin.
Tài nguyên thông tin bị phá huỷ, không sẵn sàng phục vụ hoặc sử dụng được. Đây là hình thức tấn công làm mất khả năng phục vụ của thông tin, những ví dụ về kiểu tấn công này là phá huỷ đĩa cứng, cắt đứt đường truyền tin, vô hiệu hoá hệ thống quản lý tệp.
1.2.4.2. Chặn bắt thông tin.
Nghe trộm để thu tin trên mạng và sao chép bất hợp pháp các tệp hoặc các chương trình.
1.2.4.3. Sửa đổi thông tin.
Một người không được uỷ quyền truy nhập chỉnh sửa thông tin trên mạng. Đây là hình thức tấn công lên tính toàn vẹn của thông tin. Nó có thể thay đổi giá trị trong tệp dữ liệu, sửa đổi một chương trình để nó vận hành khác đi và sửa đổi nội dung các thông báo truyền trên mạng.
1.2.4.4. Chèn thông tin giả.
Một người không được uỷ quyền chèn các đối tượng giả vào hệ thống. Đây là hình thức tấn công lên tính chính xác của thông tin, nó có thể là chèn các thông báo giả mạo vào mạng hay thêm các bản ghi vào tệp.
Chương 2: CÁC PHƯƠNG PHÁP KIỂM SOÁT TRUY NHẬP 2.1. KIỂM SOÁT TRUY NHẬP TRỰC TIẾP
2.1.1 . Kiểm soát truy cập bằng cấp quyền truy cập
Một trong những nguy cơ gây mất an toàn cho hệ thống thông tin cần bảo vệ là người quản trị không cấp phát quyền hạn đúng hoặc cấp sai cho người truy cập. Một số quyền cơ bản của các hệ thống:
+ Quyền đọc (Read): Người truy cập chỉ được phép xem thông tin trong một phạm vi nhất định hoặc toàn bộ thông tin trong hệ thống.
+ Quyền cập nhật (Update): Người truy cập được phép sửa đổi thông tin trong một phạm vi nhất định nào đó. Quyền này là cần thiết, vì trong một số trường hợp ta chi cho phép người truy cập được bổ sung thông tin mà không được phép sửa đổi thông tin đó kể cả thông tin mà mình đã nhập.
+ Quyền bổ sung (Append): Người truy cập được phép bổ sung thông tin trong phạm vi được người quản trị cho phép.
+ Quyền thực thi (Excute): Đối với một số tệp tin ứng dụng, người truy cập có thể được phép “chạy” chương trình đó.
+ Quyền phê duyệt (Approve): Đối với chương trình quản lý, người quản trị cho phép người truy cập phê duyệt một số chức năng quản lý. Ví dụ như: Phê duyệt lương cán bộ, phê duyệt khen thưởng, phê duyệt lên lớp cho học sinh...
Ngoài ra đối với đối tượng truy cập ta chia ra các cấp độ bảo mật khác nhau. Để từ đó phân phối quyền truy cập phù hợp với mỗi đối tượng.
Quá trình phân nhóm, phân công chi tiết cụ thể mỗi nhóm người dùng hoặc người dùng đỏi hỏi người phân công phải có góc độ nhìn tổng quan về hệ thống cần kiểm soát mỗi khi có sự chống chéo về chức năng. Để tránh mất kiểm soát truy cập vào hệ thống thông tin khi phân công không đúng chức năng với người dùng. Ví dụ trong trường hợp có nhiều chức năng chỉ được phân công bởi một nhóm người dùng hoặc một người dùng.
Hình 2.1. Mô hình phân công chức năng tướng ứng người truy cập và đối tượng được truy cập
2.1.2. Kiểm soát truy cập trực tiếp bằng cơ chế xác thực
Một trong những lá chắn bên ngoài của mỗi hệ thống là xác thực người dùng trước khi cho phép truy cập vào hệ thống đó. Họ phải khai báo họ là ai và họ phải đưa ra một số những dấu hiệu để hệ thống xác thực được đúng người truy cập để từ đó phân quyền đúng cho người truy cập, nếu xác thực không đúng thì chối bỏ truy cập của người đó. Có nhiều cơ chế xác thực người truy cập. Yêu cầu của phương pháp này là yêu cầu người truy cập cung cấp thông tin mà họ có để chứng minh với hệ thống: Mình là người truy nhập hợp pháp. Những thông tin này chỉ có người dùng biết hoặc có. Điều đó đảm bảo an toàn cho hệ thống mỗi khi cho phép ai đó truy cập và khai thác thông tin.
Các phương pháp xác thực thông tin người truy cập: + Xác thực thông qua mật khẩu.
+ Xác thực thông qua nhận dạng: Vân tay, Tròng mắt... + Xác thực thông qua: Ký số.
2.1.3. Kiểm soát truy cập bằng mã hóa, giấu thông tin
Bất cứ một hệ thống thông tin nào đều có nguy cơ bị tấn công và mất an toàn cho hệ thống đó. Nguy cơ đó luôn tồn tại, điều quan trọng là hệ thống thông tin đó có những phương pháp giấu, mã hóa thông tin để tin tặc hoặc không thể tìm thấy thông tin hoặc tìm thấy mà không hiểu được thông tin lấy được khi xâm nhập bất hợp pháp vào hệ thống.
Giấu thông tin hoặc mã hóa thông tin là rào cản cuối cùng quyết định mức độ an toàn của thông tin cần bảo vệ. Mục đích của việc này là đảm bảo khi có hiện tượng kẻ tấn công xâm nhập thành công vào hệ thống. Nhưng không thể phát hiện ra tin được đặt ở đâu và nếu có phát hiện ra tin đặt ở đâu thì cũng không có thể hiểu được nội dung của thông tin đó có ý nghĩa thế nào.
2.2.3.1. Phương pháp giấu tin.
Tin được chia nhỏ và đặt nó vào nhiều vị trí khác nhau hoặc cất giấu nó trong môi trường khác làm cho kẻ tấn công không phát hiện ra tin được giấu [6].
Ví dụ, giấu tin vào tệp âm thanh, hình ảnh... mà không làm ảnh hưởng nhiều đến chất lượng của môi trường, mắt thường không thể phát hiện ra được.
2.1.3.2. Phương pháp mã hóa.
Thông tin được làm biến dạng nó thành một dạng khác khiến cho kẻ tấn công không phát hiện ra đó là thông tin gì [6]. Chỉ có người dùng hợp pháp biết được cơ chế mã hóa, các khóa cần thiết mới có thể giải mã thông tin bị biến dạng mới có thể chuyển nó thành dạng nguyên gốc. (adsbygoogle = window.adsbygoogle || []).push({});
Ngoài các cách này ra còn nhiều phương pháp khác cũng có thể kiểm soát trực tiếp người dùng truy cập vào hệ thống thông tin nhằm xấy dựng một hệ thống thông tin có thể miễn dịch mức cao nhất đối với những kẻ tấn công.
2.2. KIỂM SOÁT TRUY NHẬP TỰ ĐỘNG 2.2.1. Tường lửa 2.2.1. Tường lửa
2.2.1.1. Vai trò của tường lửa trong kiểm soát truy cập
Là thành phần dùng để tạo ra một rào cản giữa hệ thống mạng bên trong và mạng bên ngoài không tin cậy. Nó có chức năng tương tự như một bức tường lửa vật lý. Nó cố gắng ngăn chặn các cuộc tấn công làm mất an toàn tới hệ thống mạng bên trong.
2.2.1.2. Phân loại tường lửa
Tường lửa được phân loại theo 2 tiêu chí [12]: 1/. Tường lửa là phần cứng:
Là loại tường lửa được tích hợp trên các thiết bị phần cứng như Router. Chúng có những đặc điểm sau:
+ Không linh hoạt như tường lửa là phần mềm (Khó khăn trong việc bổ sung thêm các chức năng mới ví dụ như các tập luật).
+ Hoạt động ở tầng thấp hơn tường lửa mềm. + Không kiểm tra được nội dung gói tin. 2/. Tường lửa là phần mềm.
Là các loại tường lửa được cài đặt tại máy chủ mạng. Đặc điểm của tường lửa là phần mềm như sau:
+ Hoạt động ở tầng cao hơn tường lửa là phần cứng.
+ Có thể kiểm tra được nội dung gói tin thông qua các từ khóa.
2.2.1.3. Cấu tạo và ứng dụng của tường lửa
Tường lửa gồm các thành phần sau [2]:
+ Bộ lọc định tuyến gói tin (packet – filtering router). + Cổng ứng dụng (Application – level gateway). + Cổng vòng (circuit – level gateway).
1/. Bộ lọc định tuyến gói tin
+ Tường lửa hoạt động chặt chẽ với giao thức TCP/IP. Ngoài ra tường lửa còn liên quan đến gói tin và địa chỉ của gói tin đó.
+ Bộ lọc định tuyến cho phép hoặc không cho phép mỗi gói tin mà nó kiểm duyệt vào bên trong mạng nội bộ.
+ Tường lửa sẽ kiểm tra toàn bộ dữ liệu để xác định xem các gói tin trong bản tin có phù hợp với tập luật đã đề ra. Tuy nhiên các luật cũng phải dựa vào thông tin ở đầu mỗi gói tin dùng để cho phép các gói tin được vận chuyển qua mạng. Cụ thể như:
- Địa chỉ IP của máy xuất phát. - Địa chỉ IP của máy đích đến.
- Những thủ tục truyền tin (TCP, UDP, ICMP, IP Tunnel) - Cổng TCP/IP nơi xuất phát.
- Cổng TCP/IP nơi đích đến. - Dạng thông báo ICMP. - Giao diện của gói đến.
- Giao diện của gói được gửi đi.
Nếu gói tin thỏa mã các tập luật thì tường lửa cho phép nó đi qua. Ngược lại, gói tin sẽ bị chặn tại đây. Ngoài ra tường lửa còn cho phép kiểm soát các cổng vào, ra. Nhờ thế mà tường lửa có thể chặn hoặc cho phép một hoặc nhiều kết nối cụ thể ví dụ như: ICMP, HTTP, HTTPS, FTP … tới máy chủ.
Ưu điểm
+ Bộ lọc gói tin được sư dụng rộng rãi trên các loại tường lửa. Ưu điểm của loại này là chi phí thấp ví nó được tích hợp sẵn vào thiết bị phần cứng (router).
Nhược điểm:
+ Việc cấu hình phức tạp, lọc nhiều, các tập luật thường dài và phức tạp. + Vì kiểm soát header của các gói tin nên bộ lọc không thể kiểm soát được nội dung gói tin nên nó có thể chứa các yếu câu trái phép.
2/. Cổng ứng dụng.
Loại tường lửa này được xây dựng để kiểm soát các loại dịch vụ, giao thức được phép truy cập vào hệ thống mạng – được gọi là Proxy service. (adsbygoogle = window.adsbygoogle || []).push({});
Proxy service là các bộ mã lệnh đặc biệt được cài đặt trên cổng cho từng ứng dụng. Cổng ứng dụng được coi như là một pháo đài (bastion host) – Nó có thể chống lại sự tấn công từ bên ngoài.
Bastion host chạy các phiên bản an toàn của phần mềm hệ thống. Các phiên bản này được thiết kế với mục đích là dùng để chống lại sự tấn công từ bên ngoài vào trong mạng ngoài ra nó cũng đảm bảo sự phù hợp của tường lửa.
Chỉ một số những dịch vụ cần thiết được kiểm soát như: telnet, SMTP, FTP, xác thực người sử dụng… mới cần thiết cài trên Bastion host.
Bastion host có thể yêu cầu nhiều mức độ xác thực khác nhau, hoặc là mật khẩu của người dùng hoặc là thẻ thông minh.
Mỗi proxy chỉ kiểm soát được một máy chủ trên toàn hệ thống.
Mỗi Proxy có cơ chế ghi lại nhật ký việc trao đổi thông tin qua nó, việc kết nối hoặc thời gian kết nối. Vì thế mà khi xảy ra tấn công chúng ta có thể lần theo dấu vết kẻ tấn công hoặc ngăn chặn việc phá hoạt tài nguyên hệ thống.
Các proxy độc lập với nhau, không ảnh hưởng tới nhau khi một trong số các proxy gặp vấn đề.
Ưu điểm
+ Kiểm soát được các dịch vụ mạng đã được sử dụng và kiểm soát được các dịch vụ hoạt động trên máy chủ. Vì nếu không cài đặt proxy thì dịch vụ đó không hoạt động được.
+ Có được đầy đủ nhật ký truy nhập vào hệ thống của mạng bên ngoài. + Việc cấu hình các tập luật đơn giản hơn, dễ kiểm tra hơn so với bộ lọc gói tin.
Nhược điểm
Đòi hỏi thao tác phức tạp ở phía máy trạm, yêu cầu phải thay đổi các phần mềm đã cài đặt phía máy trạm.
Hình 2.3. Mô hình minh họa nguyên tắc hoạt động của cổng ứng dụng
3/. Cổng vòng.
Là một chức năng đặc biệt có thể thực hiện bởi cổng ứng dụng. Nó chỉ thực hiện nhiệm vụ là chuyển tiếp các kết nối TCP qua tường lửa chứ không thực hiện bất kỳ hành động xử lý hoặc lọc gói tin nào.
Với đặc điểm này, cổng vòng có vai trò che dấu thông tin trong mạng nội bộ (chỉ sử dụng nó khi đã có sự tin tưởng mức độ an toàn từ mạng nội bộ).
Hình 2.4. Mô hình minh họa nguyên tắc hoạt động của cổng vòng
Ưu điểm
+ Người trong mạng nội bộ sử dụng thuận tiện các dịch vụ internet mà vẫn duy trì được hệ thống tường lửa – ngăn chặn được các hiểm họa từ bên ngoài.
2.2.2. Mạng riêng ảo
2.2.2.1. Vai trò của mạng riêng ảo.
Mạng riêng ảo không phải là một khái niệm độc lập mà nó là sự kết hợp của các công nghệ để đảm bảo một kết nối đường hầm thông qua mạng công cộng khi việc truyền dữ liệu trên mạng công cộng là không đáng tin ậy hoặc không an toàn.
Nó tạo ra một kết nối an toàn dựa trên môi trường mạng công cộng giữa các cá nhân với cá nhân hoặc giữa cá nhân với tổ chức hoặc giữa các tổ chức với nhau.
2.2.2.2. Cơ chế bảo vệ dữ liệu của mạng riêng ảo.
Mạng riêng ảo sử dụng các phương pháp mã hóa để bảo vệ dữ liệu. Sau khi có kết nối. Mạng riêng ảo sử dụng cơ chế đường hầm để đóng gói dữ liệu đã được mã hóa thành một đường hầm an toàn có công khai tiêu đề và có thể vận chuyển thông qua mạng công cộng. Các gói tin đó được đảm bảo toàn vẹn dữ liệu trong quá trình truyền.
Bản thân mạng riêng ảo không hỗ trợ cơ chế xác thực người dùng ở mức độ cao. Người dùng chỉ cần nhập tên truy nhập và mật khẩu mà phía VPN server cung cấp thì có thể có được quyền truy cập vào mạng riêng ảo từ xa và không an toàn.
2.2.2.3. Một số mô hình mạng riêng ảo phổ biến
Trên thực tế hiện nay có nhiều mô hình mạng riêng ảo khác nhau. Tuy nhiên, sử dụng mô hình này thì tùy thuộc vào đặc điểm và bài toán cụ thể. Dưới đây là một số mô hình mạng riêng ảo [6]:
1/. Mạng riêng ảo truy cập từ xa.
Đây là một kết nối Local – to – Host cho cá nhân sử dụng thiết bị truy cập từ xa (máy tính PC, laptop hoặc điện thoại di động…) có nhu cầu kết nối vào mạng của tổ chức hoặc công ty. Đây là mô hình mạng riêng ảo an toàn vì các kết nối được mã hóa theo cách riêng của người dùng và tổ chức. (adsbygoogle = window.adsbygoogle || []).push({});
2/. Mạng riêng ảo nội bộ.
Là mô hình mạng riêng ảo dùng để kết nối nhiều điểm truy cập từ xa vào mạng cố định (Kết nối Lan – to – Lan)
3/. Mạng riêng ảo mở rộng.
Mô hình này tương tự như mô hình mạng riêng ảo cục bộ nhưng phạm vi của nó rộng hơn nhiều. Được sử dụng để kết nối các đối tác kinh doanh với nhau để làm việc với dữ liệu an toàn.
2.2.2.4. Phân loại mạng riêng ảo
1/. Mạng riêng ảo có sử dụng tường lửa.
Đây là loại mạng riêng ảo có kèm theo tường lửa để hạn chế quyền truy cập vào mạng nội bộ. Các tính năng có thể của mô hình này: dịch địa chỉ, xác thực người dùng, báo cáo thời gian thực và nhật ký kết nối.
2/. Mạng riêng ảo trên phần cứng.
Là loại mạng riêng ảo có khả năng cho phép tốc độ mạng cao, hiệu suất tốt hơn độ tin cậy cao hơn. Nhưng giá thành đắt hơn các loại khác.
3/. Mạng riêng ảo trên phần mềm.
Loại này linh hoạt trong cách quản lý các giao dịch. Loại này phù hợp với trường hợp khi điểm cuối không được kiểm soát bởi các bên tương đương.
4/. Mạng riêng ảo có sử dụng giao thức SSL.
Loại mạng riêng ảo cho phép người dùng kết nối thông qua một trình duyệt web. Giao thức SSL (Secure Sokets Layer) hoặc giao thức TLS (Transport Layer Security) dùng để mã hóa các kết nối giữa các trình duyệt web và các thiết bị Mạng riêng ảo SSL. Ưu điểm của loại này là người dùng không phải cài đặt hoặc cung cấp các phần mềm nào liên quan.
2.2.2.5. Một số công nghệ đường hầm trong mạng riêng ảo
Công nghệ đường hầm sử dụng nhiều giao thức khác nhau và mỗi giao thức có các cơ chế mã hóa khác nhau và mức độ bảo mật khác nhau. Tùy từng nhu cầu sử dụng mà người dùng lựa chọn các giao thức cho phù hợp. Dưới đây là một số giao thức quan trọng [6]:
1/. Giao thức IPsec
Dùng để chuyển giao thông tin an toàn ở lớp thứ 3 của OSI thông qua mạng