Xem mẫu
HỌC VIỆN CÔNG NGHỆ BƢU CHÍNH VIỄN THÔNG
----------------------------------HOÀNG XUÂN DẬU
NGUYỄN THỊ THANH THỦY
IT
BÀI GIẢNG
PT
CƠ SỞ AN TOÀN THÔNG TIN
HÀ NỘI 2016
Bài giảng Cơ sở an toàn thông tin
Các bảng danh mục
MỤC LỤC
MỤC LỤC .................................................................................................................................. 1
DANH MỤC CÁC HÌNH .......................................................................................................... 5
DANH MỤC CÁC THUẬT NGỮ TIẾNG ANH VÀ VIẾT TẮT ............................................ 8
MỞ ĐẦU .................................................................................................................................... 9
CHƢƠNG 1. TỔNG QUAN VỀ AN TOÀN THÔNG TIN .................................................... 11
1.1. KHÁI QUÁT VỀ AN TOÀN THÔNG TIN ................................................................. 11
1.1.1. Một số khái niệm trong an toàn thông tin............................................................... 11
1.1.2. Sự cần thiết của an toàn thông tin........................................................................... 13
1.2. CÁC YÊU CẦU ĐẢM BẢO ATTT VÀ HTTT ........................................................... 15
1.2.1. Bí mật ..................................................................................................................... 15
IT
1.2.2. Toàn vẹn ................................................................................................................. 16
1.2.3. Sẵn dùng ................................................................................................................. 16
1.3. CÁC THÀNH PHẦN CỦA AN TOÀN THÔNG TIN ................................................. 17
1.3.2. An toàn máy tính và dữ liệu ................................................................................... 17
PT
1.3.3. An ninh mạng ......................................................................................................... 18
1.3.4. Quản lý an toàn thông tin ....................................................................................... 18
1.3.5. Chính sách an toàn thông tin .................................................................................. 19
1.4. CÁC MỐI ĐE DỌA VÀ NGUY CƠ TRONG CÁC VÙNG HẠ TẦNG CNTT ......... 19
1.4.1. Bảy vùng trong cơ sở hạ tầng CNTT...................................................................... 19
1.4.2. Các mối đe dọa và nguy cơ trong các vùng hạ tầng CNTT .................................... 20
1.5. MÔ HÌNH TỔNG QUÁT ĐẢM BẢO ATTT VÀ HỆ THỐNG THÔNG TIN ............ 21
1.5.1. Nguyên tắc đảm bảo an toàn thông tin, hệ thống và mạng..................................... 21
1.5.2. Mô hình tổng quát đảm bảo an toàn thông tin và hệ thống thông tin ..................... 22
1.6. CÂU HỎI ÔN TẬP ....................................................................................................... 23
CHƢƠNG 2. LỖ HỔNG BẢO MẬT VÀ ĐIỂM YẾU HỆ THỐNG ...................................... 24
2.1. TỔNG QUAN VỀ LỖ HỔNG BẢO MẬT VÀ CÁC ĐIỂM YẾU HỆ THỐNG ......... 24
2.1.1. Khái quát về điểm yếu hệ thống và lỗ hổng bảo mật ............................................. 24
2.1.2. Một số thống kê về lỗ hổng bảo mật ...................................................................... 26
2.2. CÁC DẠNG LỖ HỔNG TRONG HỆ ĐIỀU HÀNH VÀ PHẦN MỀM ỨNG DỤNG 28
2.2.1. Lỗi tràn bộ đệm ...................................................................................................... 28
2.2.2. Lỗi không kiểm tra đầu vào .................................................................................... 34
-1-
Bài giảng Cơ sở an toàn thông tin
Các bảng danh mục
2.2.3. Các vấn đề với điều khiển truy nhập ...................................................................... 36
2.2.4. Các điểm yếu trong xác thực, trao quyền ............................................................... 37
2.2.5. Các điểm yếu trong các hệ mật mã ......................................................................... 37
2.2.6. Các lỗ hổng bảo mật khác....................................................................................... 37
2.3. QUẢN LÝ, KHẮC PHỤC CÁC LỖ HỔNG BẢO MẬT VÀ TĂNG CƢỜNG KHẢ
NĂNG ĐỀ KHÁNG CHO HỆ THỐNG .............................................................................. 38
2.3.1. Nguyên tắc chung ................................................................................................... 38
2.3.2. Các biện pháp cụ thể............................................................................................... 38
2.4. GIỚI THIỆU MỘT SỐ CÔNG CỤ RÀ QUÉT ĐIỂM YẾU VÀ LỖ HỔNG BẢO
MẬT ..................................................................................................................................... 39
2.4.1. Công cụ rà quét lỗ hổng bảo mật hệ thống ............................................................. 39
2.4.2. Công cụ rà quét lỗ hổng ứng dụng web .................................................................. 40
2.5. CÂU HỎI ÔN TẬP ....................................................................................................... 41
CHƢƠNG 3. CÁC DẠNG TẤN CÔNG VÀ CÁC PHẦN MỀM ĐỘC HẠI ........................ 42
IT
3.1. KHÁI QUÁT VỀ MỐI ĐE DỌA VÀ TẤN CÔNG...................................................... 42
3.1.1. Mối đe dọa .............................................................................................................. 42
3.1.2. Tấn công ................................................................................................................. 42
PT
3.2. CÁC CÔNG CỤ HỖ TRỢ TẤN CÔNG ....................................................................... 43
3.2.1. Công cụ quét cổng dịch vụ ..................................................................................... 43
3.2.2. Công cụ nghe lén .................................................................................................... 44
3.2.3. Công cụ ghi phím gõ .............................................................................................. 45
3.3. CÁC DẠNG TẤN CÔNG THƢỜNG GẶP .................................................................. 46
3.3.1. Tấn công vào mật khẩu ........................................................................................... 46
3.3.2. Tấn công bằng mã độc ............................................................................................ 47
3.3.3. Tấn công từ chối dịch vụ ........................................................................................ 52
3.3.4. Tấn công giả mạo địa chỉ ........................................................................................ 57
3.3.5. Tấn công nghe lén................................................................................................... 58
3.3.6. Tấn công kiểu ngƣời đứng giữa .............................................................................. 59
3.3.7. Tấn công bằng bom thƣ và thƣ rác ......................................................................... 60
3.3.8. Tấn công sử dụng các kỹ thuật xã hội .................................................................... 60
3.3.9. Tấn công pharming ................................................................................................. 62
3.4. CÁC DẠNG PHẦN MỀM ĐỘC HẠI .......................................................................... 64
3.4.1. Giới thiệu ................................................................................................................ 64
3.4.2. Logic bombs ........................................................................................................... 64
3.4.3. Trojan Horses ......................................................................................................... 65
-2-
Bài giảng Cơ sở an toàn thông tin
Các bảng danh mục
3.4.4. Back doors .............................................................................................................. 65
3.4.5. Viruses .................................................................................................................... 65
3.4.6. Worms .................................................................................................................... 67
3.4.7. Zombies .................................................................................................................. 68
3.4.8. Rootkits................................................................................................................... 68
3.4.9. Adware và Spyware ................................................................................................ 69
3.5. CÂU HỎI ÔN TẬP ....................................................................................................... 69
CHƢƠNG 4. ĐẢM BẢO AN TOÀN THÔNG TIN DỰA TRÊN MÃ HÓA ........................ 70
4.1. KHÁI QUÁT VỀ MÃ HÓA THÔNG TIN VÀ ỨNG DỤNG ...................................... 70
4.1.1. Các khái niệm cơ bản ............................................................................................. 70
4.1.2. Các thành phần của một hệ mã hóa ........................................................................ 72
4.1.3. Mã hóa dòng và mã hóa khối ................................................................................. 73
4.1.4. Sơ lƣợc lịch sử mật mã ........................................................................................... 74
IT
4.1.5. Ứng dụng của mã hóa ............................................................................................. 74
4.2. CÁC PHƢƠNG PHÁP MÃ HÓA ................................................................................. 75
4.2.1. Phƣơng pháp thay thế ............................................................................................. 75
4.2.2. Phƣơng pháp hoán vị .............................................................................................. 76
PT
4.2.3. Phƣơng pháp XOR ................................................................................................. 76
4.2.4. Phƣơng pháp Vernam ............................................................................................. 77
4.2.5. Phƣơng pháp sách hoặc khóa chạy ......................................................................... 77
4.2.6. Phƣơng pháp hàm băm ........................................................................................... 77
4.3. CÁC GIẢI THUẬT MÃ HÓA ...................................................................................... 78
4.3.1. Các giải thuật mã hóa khóa đối xứng ..................................................................... 78
4.3.2. Các giải thuật mã hóa khóa bất đối xứng ............................................................... 87
4.4. Các hàm băm ................................................................................................................. 89
4.4.1. Khái quát về hàm băm ............................................................................................ 89
4.4.2. Một số hàm băm thông dụng .................................................................................. 92
4.5. CÂU HỎI ÔN TẬP ....................................................................................................... 95
CHƢƠNG 5. CÁC KỸ THUẬT VÀ CÔNG NGHỆ ĐẢM BẢO AN TOÀN THÔNG TIN . 96
5.1. ĐIỀU KHIỂN TRUY NHẬP ........................................................................................ 96
5.1.1. Khái niệm điều khiển truy nhập ............................................................................. 96
5.1.2. Các biện pháp điều khiển truy nhập ....................................................................... 96
5.1.3. Một số công nghệ điều khiển truy nhập ............................................................... 101
5.2. TƢỜNG LỬA.............................................................................................................. 106
-3-
Bài giảng Cơ sở an toàn thông tin
Các bảng danh mục
5.2.1. Giới thiệu tƣờng lửa ............................................................................................. 106
5.2.2. Các loại tƣờng lửa ................................................................................................ 108
5.2.3. Các kỹ thuật kiểm soát truy nhập ......................................................................... 110
5.2.4. Các hạn chế của tƣờng lửa .................................................................................... 110
5.3. CÁC HỆ THỐNG PHÁT HIỆN VÀ NGĂN CHẶN XÂM NHẬP ............................ 111
5.3.1. Giới thiệu .............................................................................................................. 111
5.3.2. Phân loại ............................................................................................................... 112
5.3.3. Các kỹ thuật phát hiện xâm nhập ......................................................................... 113
5.4. CÁC CÔNG CỤ RÀ QUÉT PHẦN MỀM ĐỘC HẠI ................................................ 114
5.5. CÂU HỎI ÔN TẬP ..................................................................................................... 116
CHƢƠNG 6. QUẢN LÝ, CHÍNH SÁCH VÀ PHÁP LUẬT AN TOÀN THÔNG TIN ..... 117
6.1 QUẢN LÝ AN TOÀN THÔNG TIN ........................................................................... 117
6.1.1. Khái quát về quản lý an toàn thông tin ................................................................. 117
IT
6.1.2. Đánh giá rủi ro an toàn thông tin .......................................................................... 118
6.1.3. Phân tích chi tiết rủi ro an toàn thông tin ............................................................. 120
6.1.4. Thực thi quản lý an toàn thông tin ........................................................................ 122
6.2. CÁC CHUẨN QUẢN LÝ AN TOÀN THÔNG TIN ................................................. 125
PT
6.2.1. Giới thiệu .............................................................................................................. 125
6.2.2. Chu trình Plan-Do-Check-Act .............................................................................. 126
6.3. PHÁP LUẬT VÀ CHÍNH SÁCH AN TOÀN THÔNG TIN ...................................... 127
6.3.1. Giới thiệu về pháp luật và chính sách an toàn thông tin ....................................... 127
6.3.2. Luật quốc tế về an toàn thông tin ......................................................................... 128
6.3.3. Luật Việt Nam về an toàn thông tin ..................................................................... 129
6.4. VẤN ĐỀ ĐẠO ĐỨC AN TOÀN THÔNG TIN ......................................................... 130
6.4.1. Sự cần thiết của đạo đức an toàn thông tin ........................................................... 130
6.4.2. Một số bộ quy tắc ứng xử trong CNTT và ATTT ................................................ 130
6.4.3. Một số vấn đề khác ............................................................................................... 131
6.5. CÂU HỎI ÔN TẬP ..................................................................................................... 132
TÀI LIỆU THAM KHẢO ...................................................................................................... 133
-4-
nguon tai.lieu . vn
----------------------------------HOÀNG XUÂN DẬU
NGUYỄN THỊ THANH THỦY
IT
BÀI GIẢNG
PT
CƠ SỞ AN TOÀN THÔNG TIN
HÀ NỘI 2016
Bài giảng Cơ sở an toàn thông tin
Các bảng danh mục
MỤC LỤC
MỤC LỤC .................................................................................................................................. 1
DANH MỤC CÁC HÌNH .......................................................................................................... 5
DANH MỤC CÁC THUẬT NGỮ TIẾNG ANH VÀ VIẾT TẮT ............................................ 8
MỞ ĐẦU .................................................................................................................................... 9
CHƢƠNG 1. TỔNG QUAN VỀ AN TOÀN THÔNG TIN .................................................... 11
1.1. KHÁI QUÁT VỀ AN TOÀN THÔNG TIN ................................................................. 11
1.1.1. Một số khái niệm trong an toàn thông tin............................................................... 11
1.1.2. Sự cần thiết của an toàn thông tin........................................................................... 13
1.2. CÁC YÊU CẦU ĐẢM BẢO ATTT VÀ HTTT ........................................................... 15
1.2.1. Bí mật ..................................................................................................................... 15
IT
1.2.2. Toàn vẹn ................................................................................................................. 16
1.2.3. Sẵn dùng ................................................................................................................. 16
1.3. CÁC THÀNH PHẦN CỦA AN TOÀN THÔNG TIN ................................................. 17
1.3.2. An toàn máy tính và dữ liệu ................................................................................... 17
PT
1.3.3. An ninh mạng ......................................................................................................... 18
1.3.4. Quản lý an toàn thông tin ....................................................................................... 18
1.3.5. Chính sách an toàn thông tin .................................................................................. 19
1.4. CÁC MỐI ĐE DỌA VÀ NGUY CƠ TRONG CÁC VÙNG HẠ TẦNG CNTT ......... 19
1.4.1. Bảy vùng trong cơ sở hạ tầng CNTT...................................................................... 19
1.4.2. Các mối đe dọa và nguy cơ trong các vùng hạ tầng CNTT .................................... 20
1.5. MÔ HÌNH TỔNG QUÁT ĐẢM BẢO ATTT VÀ HỆ THỐNG THÔNG TIN ............ 21
1.5.1. Nguyên tắc đảm bảo an toàn thông tin, hệ thống và mạng..................................... 21
1.5.2. Mô hình tổng quát đảm bảo an toàn thông tin và hệ thống thông tin ..................... 22
1.6. CÂU HỎI ÔN TẬP ....................................................................................................... 23
CHƢƠNG 2. LỖ HỔNG BẢO MẬT VÀ ĐIỂM YẾU HỆ THỐNG ...................................... 24
2.1. TỔNG QUAN VỀ LỖ HỔNG BẢO MẬT VÀ CÁC ĐIỂM YẾU HỆ THỐNG ......... 24
2.1.1. Khái quát về điểm yếu hệ thống và lỗ hổng bảo mật ............................................. 24
2.1.2. Một số thống kê về lỗ hổng bảo mật ...................................................................... 26
2.2. CÁC DẠNG LỖ HỔNG TRONG HỆ ĐIỀU HÀNH VÀ PHẦN MỀM ỨNG DỤNG 28
2.2.1. Lỗi tràn bộ đệm ...................................................................................................... 28
2.2.2. Lỗi không kiểm tra đầu vào .................................................................................... 34
-1-
Bài giảng Cơ sở an toàn thông tin
Các bảng danh mục
2.2.3. Các vấn đề với điều khiển truy nhập ...................................................................... 36
2.2.4. Các điểm yếu trong xác thực, trao quyền ............................................................... 37
2.2.5. Các điểm yếu trong các hệ mật mã ......................................................................... 37
2.2.6. Các lỗ hổng bảo mật khác....................................................................................... 37
2.3. QUẢN LÝ, KHẮC PHỤC CÁC LỖ HỔNG BẢO MẬT VÀ TĂNG CƢỜNG KHẢ
NĂNG ĐỀ KHÁNG CHO HỆ THỐNG .............................................................................. 38
2.3.1. Nguyên tắc chung ................................................................................................... 38
2.3.2. Các biện pháp cụ thể............................................................................................... 38
2.4. GIỚI THIỆU MỘT SỐ CÔNG CỤ RÀ QUÉT ĐIỂM YẾU VÀ LỖ HỔNG BẢO
MẬT ..................................................................................................................................... 39
2.4.1. Công cụ rà quét lỗ hổng bảo mật hệ thống ............................................................. 39
2.4.2. Công cụ rà quét lỗ hổng ứng dụng web .................................................................. 40
2.5. CÂU HỎI ÔN TẬP ....................................................................................................... 41
CHƢƠNG 3. CÁC DẠNG TẤN CÔNG VÀ CÁC PHẦN MỀM ĐỘC HẠI ........................ 42
IT
3.1. KHÁI QUÁT VỀ MỐI ĐE DỌA VÀ TẤN CÔNG...................................................... 42
3.1.1. Mối đe dọa .............................................................................................................. 42
3.1.2. Tấn công ................................................................................................................. 42
PT
3.2. CÁC CÔNG CỤ HỖ TRỢ TẤN CÔNG ....................................................................... 43
3.2.1. Công cụ quét cổng dịch vụ ..................................................................................... 43
3.2.2. Công cụ nghe lén .................................................................................................... 44
3.2.3. Công cụ ghi phím gõ .............................................................................................. 45
3.3. CÁC DẠNG TẤN CÔNG THƢỜNG GẶP .................................................................. 46
3.3.1. Tấn công vào mật khẩu ........................................................................................... 46
3.3.2. Tấn công bằng mã độc ............................................................................................ 47
3.3.3. Tấn công từ chối dịch vụ ........................................................................................ 52
3.3.4. Tấn công giả mạo địa chỉ ........................................................................................ 57
3.3.5. Tấn công nghe lén................................................................................................... 58
3.3.6. Tấn công kiểu ngƣời đứng giữa .............................................................................. 59
3.3.7. Tấn công bằng bom thƣ và thƣ rác ......................................................................... 60
3.3.8. Tấn công sử dụng các kỹ thuật xã hội .................................................................... 60
3.3.9. Tấn công pharming ................................................................................................. 62
3.4. CÁC DẠNG PHẦN MỀM ĐỘC HẠI .......................................................................... 64
3.4.1. Giới thiệu ................................................................................................................ 64
3.4.2. Logic bombs ........................................................................................................... 64
3.4.3. Trojan Horses ......................................................................................................... 65
-2-
Bài giảng Cơ sở an toàn thông tin
Các bảng danh mục
3.4.4. Back doors .............................................................................................................. 65
3.4.5. Viruses .................................................................................................................... 65
3.4.6. Worms .................................................................................................................... 67
3.4.7. Zombies .................................................................................................................. 68
3.4.8. Rootkits................................................................................................................... 68
3.4.9. Adware và Spyware ................................................................................................ 69
3.5. CÂU HỎI ÔN TẬP ....................................................................................................... 69
CHƢƠNG 4. ĐẢM BẢO AN TOÀN THÔNG TIN DỰA TRÊN MÃ HÓA ........................ 70
4.1. KHÁI QUÁT VỀ MÃ HÓA THÔNG TIN VÀ ỨNG DỤNG ...................................... 70
4.1.1. Các khái niệm cơ bản ............................................................................................. 70
4.1.2. Các thành phần của một hệ mã hóa ........................................................................ 72
4.1.3. Mã hóa dòng và mã hóa khối ................................................................................. 73
4.1.4. Sơ lƣợc lịch sử mật mã ........................................................................................... 74
IT
4.1.5. Ứng dụng của mã hóa ............................................................................................. 74
4.2. CÁC PHƢƠNG PHÁP MÃ HÓA ................................................................................. 75
4.2.1. Phƣơng pháp thay thế ............................................................................................. 75
4.2.2. Phƣơng pháp hoán vị .............................................................................................. 76
PT
4.2.3. Phƣơng pháp XOR ................................................................................................. 76
4.2.4. Phƣơng pháp Vernam ............................................................................................. 77
4.2.5. Phƣơng pháp sách hoặc khóa chạy ......................................................................... 77
4.2.6. Phƣơng pháp hàm băm ........................................................................................... 77
4.3. CÁC GIẢI THUẬT MÃ HÓA ...................................................................................... 78
4.3.1. Các giải thuật mã hóa khóa đối xứng ..................................................................... 78
4.3.2. Các giải thuật mã hóa khóa bất đối xứng ............................................................... 87
4.4. Các hàm băm ................................................................................................................. 89
4.4.1. Khái quát về hàm băm ............................................................................................ 89
4.4.2. Một số hàm băm thông dụng .................................................................................. 92
4.5. CÂU HỎI ÔN TẬP ....................................................................................................... 95
CHƢƠNG 5. CÁC KỸ THUẬT VÀ CÔNG NGHỆ ĐẢM BẢO AN TOÀN THÔNG TIN . 96
5.1. ĐIỀU KHIỂN TRUY NHẬP ........................................................................................ 96
5.1.1. Khái niệm điều khiển truy nhập ............................................................................. 96
5.1.2. Các biện pháp điều khiển truy nhập ....................................................................... 96
5.1.3. Một số công nghệ điều khiển truy nhập ............................................................... 101
5.2. TƢỜNG LỬA.............................................................................................................. 106
-3-
Bài giảng Cơ sở an toàn thông tin
Các bảng danh mục
5.2.1. Giới thiệu tƣờng lửa ............................................................................................. 106
5.2.2. Các loại tƣờng lửa ................................................................................................ 108
5.2.3. Các kỹ thuật kiểm soát truy nhập ......................................................................... 110
5.2.4. Các hạn chế của tƣờng lửa .................................................................................... 110
5.3. CÁC HỆ THỐNG PHÁT HIỆN VÀ NGĂN CHẶN XÂM NHẬP ............................ 111
5.3.1. Giới thiệu .............................................................................................................. 111
5.3.2. Phân loại ............................................................................................................... 112
5.3.3. Các kỹ thuật phát hiện xâm nhập ......................................................................... 113
5.4. CÁC CÔNG CỤ RÀ QUÉT PHẦN MỀM ĐỘC HẠI ................................................ 114
5.5. CÂU HỎI ÔN TẬP ..................................................................................................... 116
CHƢƠNG 6. QUẢN LÝ, CHÍNH SÁCH VÀ PHÁP LUẬT AN TOÀN THÔNG TIN ..... 117
6.1 QUẢN LÝ AN TOÀN THÔNG TIN ........................................................................... 117
6.1.1. Khái quát về quản lý an toàn thông tin ................................................................. 117
IT
6.1.2. Đánh giá rủi ro an toàn thông tin .......................................................................... 118
6.1.3. Phân tích chi tiết rủi ro an toàn thông tin ............................................................. 120
6.1.4. Thực thi quản lý an toàn thông tin ........................................................................ 122
6.2. CÁC CHUẨN QUẢN LÝ AN TOÀN THÔNG TIN ................................................. 125
PT
6.2.1. Giới thiệu .............................................................................................................. 125
6.2.2. Chu trình Plan-Do-Check-Act .............................................................................. 126
6.3. PHÁP LUẬT VÀ CHÍNH SÁCH AN TOÀN THÔNG TIN ...................................... 127
6.3.1. Giới thiệu về pháp luật và chính sách an toàn thông tin ....................................... 127
6.3.2. Luật quốc tế về an toàn thông tin ......................................................................... 128
6.3.3. Luật Việt Nam về an toàn thông tin ..................................................................... 129
6.4. VẤN ĐỀ ĐẠO ĐỨC AN TOÀN THÔNG TIN ......................................................... 130
6.4.1. Sự cần thiết của đạo đức an toàn thông tin ........................................................... 130
6.4.2. Một số bộ quy tắc ứng xử trong CNTT và ATTT ................................................ 130
6.4.3. Một số vấn đề khác ............................................................................................... 131
6.5. CÂU HỎI ÔN TẬP ..................................................................................................... 132
TÀI LIỆU THAM KHẢO ...................................................................................................... 133
-4-