• An to n v bà à ảo mật luôn l lý do khià ến chúng ta chọn giải pháp lắp đặt kiểu mạng dựa trên máy phục vụ.
• Trong môi trường dựa trên máy phục vụ, chế độ bảo mật do người quản trị mạng quản lý, bằng cách đặt ra các chính sách v áp à đặt các chính sách ấy cho từng người dùng trên mạng.
Khái niệm:
Theo mội định nghĩa rộng thì an ninh – an toàn mạng dùng riêng, hay mạng nội bộ là giữ không cho ai làm cái mà mạng nội bộ đó không muốn cho làm.
Vậy khi kết nối LAN phải triển khai cơ chế nào để thực hiện yêu cầu an ninh an toàn. Chúng ta gọi đó là an ninh an toàn mạng.
Tài nguyên mà chúng ta muốn bảo vệ là gì?
• Là các dinhcj vụ mà mạng đang triển khai
• Là các thông tin quan trọng mà mạng đó đang lu giữ, hay cần lu chuyển .
• Là các tài nguyên phần cứng và phần mềm mà hệ thống mạng đó có để cung ứng cho những ngời dùng mà nó cho phép.
Nhìn từ một khía cạnh khác thì vấn đề an ninh an toàn khi thực hiện kết nối LAN còn đợc thể hiện qua tính bảo mật (confidentiality ), tính toàn vẹn
(integrity) và tính sẵn dùng (availability) của các taì nguyên về phần cứng, phần mềm, dữ liệu và các dịch vụ của hệ thống mạng.
Vấn đề an ninh - an toàn còn thể hiện qua mối quan hệ giữa ngời dùng với hệ thống mạng và tài nguyên trên mạng. Các quan hệ này đợc xác định , đợc đảm bảo qua các phơng thức xác thực (authentication ), xác định đợc phép (authorization ) dùng và bị từ chối (repudiation ). Chúng ta sẽ xét chi tiết:
• Tính bảo mật: Bảo đảm tài nguyên mạng không bị tiếp xúc, bị sử
dụng bởi ngời không có thêm quyền. Chẳng hạn dữ liệu truyền đi trên mạng đợc đảm bảo không bị lấy trộm cần đợc mã hoá trớc khi truyền. Các tài nguyên đó đều có chủ và đợc bảo vệ bằng các công cụ và các cơ chế an ninh – an toàn.
• Tính toàn vẹn: Đảm bảo không có việc sử dụng, và sửa đổi nếu
không đợc cho phép, ví dụ nh lấy hay sửa đổi dữ liệu, cũng nh thay đổi cấu hình hệ thống bởi những ngời không đợc phép hoặc không có quyền. Thông tin lu hay truyền trên mạng và các tệp cấu hình hệ thống luôn đợc đảm bảo giữ toàn vẹn. Chúng chỉ đợc sử dụng và đợc sửa đổi bởi những ngời chủ của nó hay đợc cho phép.
• Tính sẵn dùng: Tài nguyên trên mạng luôn đợc đảm bảo không thể
bị chiếm giữ bởi ngời không có quyền. Các tài nguyên luôn sẵn sàng phục vụ những ngời đợc phép sử dụng. Những ngời có quyền có thể đợc dùng bất cứ khi nào. Thuộc tính này rất quan trọng, nhất là trong các dịch vụ mạng phục vụ công cộng (ngân hàng, t vấn, chính phủ điện tử,…).
• Việc xác thực: Thực hiện xác định ngời dùng đợc quyền dùng một
tài nguyên nào đó ng thông tin hay tài nguyên phần mềm và phần cứng trên mạng. Việc xác thực thờng kết hợp với sự cho phép, hay từ chối phục vụ. Xác thực thờng đợc dùng là mật khẩu (password), hay căn cớc của ngời dùng nh vân tay hay các dấu hiệu đặc dụng. Sự cho phép xác định ngời dùng đợc quyền thực hiện một hành động nào đó nh đọc ghi một tệp (lấy thông tin ), hay chạy chơng trình (dùng tài nguyên phần mềm), truy nhập vào một đoạn mạng (dùng tài nguyên phần cứng), gửi hay nhận th điện tử, tra cứu cơ sở dữ liệu, dịch vụ mạng… Ngời dùng thờng phải qua giai đoạn xác thực bằng mật khẩu (password, RADIUS …) trớc khi đợc phép khai thác thông tin hay một tài nguyên nào đó trên mạng.
Xây dựng an ninh – an toàn mạng khi kết nối LAN nh thế nào?
Các bớc xây dung:
• Xác định cần bảo vệ cái gì?
• Xác định bảo vệ khỏi những loại tấn công nào ?
• Xác định những mối đe doạ an ninh có thể ?
• Xác định các công cụ đẻ đảm bảo an ninh ?
• Xây dựng mô hình an ninh – an toàn.
Thờng kiểm tra các bớc trên, nâng cấp, cập nhật và hệ thống khi có một lỗ hổng an ninh - an toàn đợc cảnh báo.
Mục đích của việc xây dụng mô hình an ninh – an toàn khi kết nối LAN là xây dựng các phơng án để triển khai vấn đề an ninh – an toàn khi kết nối và đa LAN vào hoạt động.
Đầu tiên mục đích và yêu cầu về vấn đề an ninh – an toàn hệ thống ứng dụng phải đợc vạch ra rõ ràng.
Chẳng hạn mục tiêu và yêu cầu an ninh – an toàn khi kết nối LAN cho các cơ quan hành chính nhà nớc sẽ khác với việc kết nối LAN cho các trờng đại học.
Thứ hai, mô hình an ninh – an toàn phải phù hợp với các chính sách, nguyên tặc và luật lệ hiện hành.
Thứ ba, phải giải quyết cá vấn đề liên quan đến an ninh – an toàn một cách toàn cụa. Có nghĩa là phải đảm bảo cả về phơng tiện kỹ thuật và con ngời triển khai.
Một số công cụ triển khai mô hình an ninh – an toàn
Hệ thống tờng lửa 3 phần (three-part firewall System) - Hệ thống tờng lửa là gì?
Tờng lửa là một công cụ phục vụ cho việc thực hiện an ninh – an toàn mạng từ vong ngoài, nhiệm vụ của nó nh là hệ thống hàn rào vong ngoài của cơ sở cần bảo vệ. Khi kết nối hai hay nhiều phần tử của LAN nguy cơ mất an ninh tại các điểm kết nối là rất lớn, tờng lửa là công cụ đợc chọn đặt tại các điểm kết nối đó.
Tờng lửa trong tiếng Anh là Firewall, là ghép của hai từ fireproof và wall nghĩa là ngăn không cho lửa cháy lan. Trong xây dung, tờng lửa đợc thiết kế để ngăn không cho lửa cháy lan từ phần này của toà nhà sang phần khác của toà nhà khi có hoả hoạn. Trong công nghệ mạng, tờng lửa đợc xây dựng với mục đích tơng tự, nó ngăn ngừa các hiểm hạo từ phía cộng đồng các mạng công cộng hay mạng Internet, hay tấn công vào một mạng nội bộ (internal networt) của một công ty, hay một tổ chức khi mạng này kết nối qua mạng công cộng, hay internet.
- Chức năng của hệ thống tờng lửa:
Tờng lửa dặt ở cổng vào/ ra của mạng, kiểm soát việc truy cập vào ra của mạng để ngăn ngừa việ tấn công từ phía ngoài vào mạng nội bộ.
Tờng lửa phải kiểm tra, phát hiện, dò tìm dấu vết tất cả các dữ liệu đi qua nó để làm cơ sở cho các quyết định (cho phép, loại bỏ, xác thực, mã hoá, ghi nhật ký…) kiểm soát các dịch vụ của mạng nó bảo vệ.
Để đảm bảo múc độ an ninh – an toàn cao, tờng lửa phải có khả năng truy nhập, phân tích và sử dụng các thông tin về truyền thông trong 7 tầng và các trạng thái của các phiên truyền thông và các ứng dụng. Tờng lửa cũng phải có khả năng thao tác các dữ liệu bằng các phép toán logic, số học nhằm thực hiện các yêu cầu về an ninh – an toàn. Tờng lửa bao gồm các thành phần: các bộ lọc hay sàng lọc.
Tờng lửa chính là cổng (gateway) vào/ ra của một mạng nội bộ (mạng trong), trên đó có đặt hai bộ lọc vào/ra để kiểm tra dữ liệu vào/ra mạng nội bộ.
Xác định vị trí đặt tờng lửa trong hệ thống mạng hiện đại.
Theo truyền thống thì tờng lửa đợc đặt tại vị trí vào/ra mạng nội bộ (mạng đợc bảo vệ) với mạng công cộng (mạng ngoài), hay mạng internet (khi kết nối với internet).
Ngày nay trong một tổ chức khi kết nối LAN có thể nối mạng khác nhau, và do yêu cầu an ninh – an toàn của đoạn mạng đó khác nhau. Khi đó tờng lửa sẽ đợc đặt ở vị trí vào/ ra của đoạn mạng cần bảo vệ.
Dữ liệu vào/ra mạng nội bộ với mạng ngoài đều đi qua tờng lửa, do đó tờng lửa, do đó tờng lửa có thể kiểm soát và đảm bảo dữ liệu nào đó là có thể đợc chấp nhận (acceptable) cho phép vào/ra mạng nội bộ.
Về mặt logic thì tờng lửa là điểm thắt (choke point). Cơ chế này bắt buộc những kẻ tấn công từ phía ngoài
Hệ thống tờng lửa chia thành ba phần (Three- Part Fire Wall System) đặc biệt quan trọng tring thiết kế WAN.ở đây chúng tôi chỉ nêu một số khía cạnh chung nhất cấu trúc của mô hình trong thiết kế mạng LAN.
40 Intern et Hidden Corporate Systems Inside
Filter OutsideFilter Bastion Hosts Advertise Route to Isolation LAN Only Hình 3-12 : Mô hình t ờng lửa 3 phần Mạng trong Mạng ngoài Bộ lọc
vào Cổng vào/ raGateway Bộ lọcra
Mô hình t ờng lửa
- LAN cô lập làm vùng đệm giữa mạng công tác với mạng bên ngoài (LAN cô lập đợc gọi là khu phi quân sự hay vùng DMZ).
- Thiết bị định tuyến trong có cài đặt bộ lọc gói đợc đặt giữa DMZ và mạng công tác.
- Thiết bị định tuyến ngoài có cài đặt bộ lọc gói đợc đặt giữa DMZ và mạng ngoài.