Xem mẫu
- LỜI NÓI ĐẦU
Khoá luận trình bày về bảo đảm ATTT trong kiểm soát truy nhập. Khoá
luận tập trung vào một số phương pháp kiểm soát truy nhập, một số chính sách
truy cập, và một số kĩ thuật kiểm soát truy nhập.
Nội dung của khoá luận gồm:
Chương 1: Trình bày một số khái niệm cơ bản liên như: hệ mã hoá, chữ kí
điện tử, hàm băm. Ngoài ra, trình bày các yêu cầu và giải pháp bảo đảm ATTT.
Đồng thời cũng nêu ra các bài toán ATTT.
Chương 2: Cho chúng ta những hiểu biết chung về vấn đề kiểm soát truy
nhập. Phần này, tập trung vào trình bày một số phương pháp kiểm soát truy
nhập, chính sách truy nhập, và kĩ thuật kiểm soát truy nhập.
Trình bày 2 phương pháp thường được sử dụng trong kiểm soát truy nhập,
đó là kiểm soát truy nhập “thủ công” và kiểm soát truy nhập “tự động”.
Trình bày một số chính sách kiểm soát truy nhập. Ở phần này, cho chúng
ta cái nhìn tổng quan về các chính sách kiểm soát truy nhập.
Tiếp theo, khoá luận trình bày 5 kĩ thuật kiểm soát truy nhập. Đó là, hệ
thống nhận dạng và xác thực, tường lửa, mạng riêng ảo, hệ thống phát hiện và
ngăn chặn xâm nhập, và tường lửa ứng dụng web. Ở phần này, ngoài việc cho
chúng ta có những khái niệm cơ bản, còn chỉ ra những ưu nhược điểm của từng
kĩ thuật.
Trong quá trình hoàn thành đồ án tốt nghiệp, người viết không tránh khỏi
thiếu sót. Rất mong nhận được sự đóng góp ý kiến của thấy cô và các bạn.
1
- Bảng danh mục các từ, thuật ngữ
ACL (Access Control List) Danh sách kiểm soát truy cập.
ATTT An toàn thông tin.
CA (Certificate Authourity) Tổ chức cấp chứng chỉ
Cisco ACL Danh sách kiểm soát truy cập của
Cisco
DAC (Discretionary Access Control) Kiểm soát truy cập tuỳ quyền.
DdoS (Distrubuted DoS) Từ chối dịch vụ phân tán.
DES (Data Encrytion Standard)
DSS (Digital Signature Standard)
DoS ( Denial of Service) Từ chối dịch vụ.
FTP (File Transfer Protocol) Giao thức truyền file.
gcd (greatest common divion) Ước số chung lớn nhất
HIDS (Host IDS)
HTTP (Hypertext Transfer Protocol) Giao thức truyền siêu văn bản.
ICMP (Internet Control Message Giao thức kiểm soát thông điệp mạng.
Protocol)
IDS (Intrustion Detect System) Hệ thống phát hiện xâm nhập.
IETF (Internet Engineering Task
Force)
IPS (Intrustion Prevent System) Hệ thống ngăn chặn xâm nhập.
ISP (Internet Service Providers) Nhà quản lí thiết bị mạng.
LBAC (Lattice Based Access Control) Kiểm soát truy cập dùng lưới.
MAC (Mandatory Access Control) Kiểm soát truy cập bắt buộc.
NIC (Network Interface Card) Card giao tiếp mạng.
NIDS (Network base IDS)
PIN (Personal Identification Number ) Số định danh cá nhân
2
- PKI (Public Key Infrastructure) Hạ tầng cơ sở khoá công khai.
RBAC (Role Base Access Control) Kiểm soát truy cập trên cơ sở vai trò.
SNMP (Simple Network Managerment Giao thức quản lí mạng.
Protocol)
SSL (Secure Socket Layer) Khe cắm an toàn.
SYN (Synchronize) Đồng bộ.
TA (Trusted Authority) Cơ quan uỷ thác cấp chứng thực.
TCP (Transmission Control Protocol)
TCP/ IP (Transfer Control Protocol/
Internet Protocol)
UDP (User Datagram Protocol)
URL (Uniform Resource Locator)
WAF (Web Application Firewall) Tường lửa ứng dụng web.
3
- CHƯƠNG 1: MỘT SỐ KHÁI NIỆM CƠ SỞ
1.1 KHÁI NIỆM MÃ HOÁ.
1.1.1 Hệ mã hóa.
Hệ mã hóa là bộ gồm 5 thành phần (P, C, K, E, D) trong đó:
P (Plaintext): tập hữu hạn các bản rõ có thể.
C (Ciphertext): tập hữu hạn các bản mã có thể.
K (Key): tập hữu hạn các khóa có thể.
E (Encrytion): tập các hàm lập mã có thể.
D (Decrytion): tập các hàm giải mã có thể.
Với mỗi k ∈ K, có hàm lập mã ek ∈ E, ek : P → C và hàm giải mã dk∈ D,
dk: C → P sao cho dk(ek(x)) = x , ∀ x ∈ P.
Mã hóa cho ta bản mã ek(P)= C.
Giải mã cho ta bản rõ dk(C)= P.
1.1.2 Một số hệ mã hóa thường dùng.
Hệ mã hóa đối xứng là hệ mã mà khi ta biết khóa lập mã, “dễ” tính được
khóa giải mã và ngược lại. Trong nhiều trường hợp khóa lập mã và giải mã là
giống nhau. Hệ mã hóa đối xứng yêu cầu người nhận và gửi phải thỏa thuận
khóa trước khi thông tin được gửi đi. Khóa này phải được giữ bí mật, độ an toàn
của hệ phụ thuộc vào khóa. Nếu khóa bị lộ thì rất dễ giải mã.
Một số hệ mã hóa đối xứng: DES, RC2, RC4, RC5, IDEA, ...
Hệ mã hóa phi đối xứng là hệ mã mà khi biết khóa lập mã, khó” tính được
khoá giải mã và ngược lại .
Hệ trên còn được gọi là hệ mã hóa khóa công khai vì khóa để mã hóa là
công khai. Ta dùng khóa công khai này để mã hóa thông điệp, nhưng chỉ người
có khóa giải mã mới có thể đọc được thông điệp.
Một số hệ mã hoá phi đối xứng: RSA, Elgamal, ...
4
- 1.2 SƠ ĐỒ CHỮ KÍ ĐIỆN TỬ.
Chữ kí điện tử là thông tin đi kèm theo một tài liệu khác như văn bản,
hình ảnh, .... nhằm xác định người chủ của dữ liệu và đảm bảo tính toàn vẹn của
dữ liệu đó. Đồng thời nó còn cung cấp chức năng chống chối bỏ của người gửi
thông tin.
Sơ đồ kí điện tử gồm 5 thành phần (P, A, K, S, V) trong đó:
P là tập hữu hạn các văn bản có thể.
A là tập hữu hạn các chữ kí có thể.
K là tập hữu hạn các khóa có thể.
Với k ∈ K, k = (k’, k’’), k’ là khoá bí mật để kí, và
k’’ là khoá công khai để kiểm thử chữ kí.
S là tập các thuật toán kí có thể.
V là tập các thuật toán kiểm thử.
Với mỗi k ∈ K, có thuật toán ký sig k’ ∈ S, sig k: P → A và
thuật toán kiểm thử ver k’’ ∈ V, ver k’’: P x A → {đúng, sai}, thoả mãn điều kiện
sau đây với mọi x ∈ P, y ∈ A:
ver k’’ (x,y) = đúng, nếu y = sig k’(x)
sai, nếu y ≠ sig k’(x)
Một số chữ kí điện tử: RSA, Elgamal, DSS, ....
1.3 HÀM BĂM (HASH FUNCTION).
Giả sử D là tập các văn bản có thể. X là tập các văn bản tóm lược (đại
diện) có thể. Việc tìm cho mỗi văn bản một tóm lược tương ứng xác định một
hàm h: D→ X. Hàm h như vậy được gọi là hàm băm.
Hàm băm thường phải thỏa mãn các điều kiện sau:
+ Hàm băm phải là hàm không va chạm mạnh.
+ Hàm băm là hàm một phía.
+ Hàm băm phải là hàm không va chạm yếu.
5
- 1.4 TỔNG QUAN VỀ ATTT.
1.4.1 Một số khái niệm.
Hacker: là kẻ xâm nhập vào mạng trái phép bằng cách sử dụng các công
cụ phá mật khẩu hoặc khai thác các điểm yếu của các thành phần truy nhập trên
hệ thống.
Eavesdropping: là đối tượng nghe trộm thông tin trên mạng, chúng sử
dụng các công cụ sniffer, sau đó dùng các công cụ phân tích và debug để lấy
được các thông tin có giá trị.
Sniffer:
Trong bảo mật hệ thống sniffer được hiểu là công cụ (có thể là phần mềm
hoặc phấn cứng) “bắt” thông tin lưu chuyển trên mạng. Dùng thông tin đã thu
được, để “đánh hơi” lấy được thông tin có giá trị trao đổi trên mạng. Hoạt động
của sniffer giống như chương trình “bắt” thông tin gõ từ bàn phím (key capture).
Tuy nhiên, các tiện ích của key capture chỉ thực hiện trên một trạm làm việc cụ
thể. Còn sniffer thì có thể “bắt” được các thông tin trao đổi giữa nhiều trạm làm
việc với nhau.
1.4.2 Một số bài toán trong ATTT.
Bài toán bảo mật: giữ bí mật đối với những người không có thẩm quyền.
Bài toán toàn vẹn dữ liệu: kiểm chứng tính toàn vẹn của thông tin.
Bài toán xác nhận thực thể: xác định danh tính của một chủ thể.
Bài toán chữ kí: dùng để gắn một thông tin với một chủ thể xác định.
Bài toán không chối bỏ: ngăn ngừa việc chối bỏ trách nhiệm đối với một
cam kết đã có.
1.4.3 Các yêu cầu về đảm bảo ATTT.
1) Yêu cầu bảo mật thông tin.
6
- Tính bí mật là thông tin chỉ được phép truy nhập bởi người có quyền truy
nhập. Đây là một trong ba đặc tính quan trọng nhất của ATTT. Tính bí mật là
một trong những mục tiêu của các hệ mã hoá.
2) Yêu cầu bảo toàn thông tin.
Trong lĩnh vực ATTT, tính bảo toàn (toàn vẹn) bảo đảm các mục tiêu sau:
ngăn ngừa việc thay đổi thông tin trái phép của người dùng không có thẩm
quyền, ngăn ngừa việc vô ý thay đổi thông tin của người dùng có thẩm quyền,
duy trì tính nhất quán của thông tin.
3) Yêu cầu sẵn sàng.
Tính sẵn sàng được thể hiện là thông tin được đưa đến người dùng kịp
thời, không bị gián đoạn. Mọi hành vi làm gián đoạn quá trình truyền thông tin,
khiến thông tin không đến được người dùng, chính là đang tấn công vào tính sẵn
sàng của hệ thống đó.
4) Yêu cầu xác thực.
Ngoài 3 đặc tính trên, người ta còn đưa ra tính xác thực. Tính xác thực là
đảm bảo thông tin cần được xác thực nguồn gốc. Tính xác thực thường đi kèm
với tính chống chối cãi, không cho phép người dùng chối bỏ thông tin của họ
1.4.4 Một số giải pháp chung bảo đảm ATTT.
1) Chính sách bảo đảm ATTT.
Là tập hợp các qui tắc áp dụng cho mọi đối tượng có tham gia quản lí, sử
dụng tài nguyên và dịch vụ mạng. Với mục tiêu là giúp người dùng biết được
trách nhiệm của mình trong việc bảo vệ các thông tin, đồng thời giúp nhà quản
trị thiết lập các biện pháp bảo đảm hữu hiệu trong quá trình trang bị, cấu hình
kiểm soát hoạt động của hệ thống và mạng.
2) Giải pháp bảo đảm ATTT.
Là tập hợp các biện pháp nhằm bảo đảm ATTT.
Ví dụ: Để bảo đảm ATTT có 3 giải pháp chính :
7
- (1) Kiểm soát truy nhập.
(2) “Che giấu thông tin”.
(3) Kiểm soát, xử lí “lỗ hỏng” thiếu an ninh.
CHƯƠNG 2: VẤN ĐỀ KIỂM SOÁT TRUY NHẬP.
2.1 MỘT SỐ PHƯƠNG PHÁP KIỂM SOÁT TRUY NHẬP.
Kiểm soát truy nhập thường sử dụng 2 phương pháp sau:
Kiểm soát truy cập trực tiếp vào hệ thống thông tin (kiểm soát truy nhập
“thủ công”).
Hệ thống tự động phát hiện và ngăn chặn xâm nhập vào\ ra hệ thống
thông tin (kiểm soát truy nhập “tự động”).
2.1.1 Kiểm soát truy cập trực tiếp.
2.1.1.1 Hệ thống kiểm soát truy cập trực tiếp.
Hệ thống kiểm soát truy cập trực tiếp cung cấp các dịch vụ sau: nhận dạng
và xác thực (Indentification and Authentication), ủy quyền (Authorization), qui
trách nhiệm (Accountability).
1) Dịch vụ nhận dạng và xác thực:
Xác định ai là người được đăng nhập vào hệ thống.
Nhận dạng và xác thực: là qui trình gồm 2 bước nhằm xác thực người truy
nhập vào hệ thống.
Nhận dạng là phương pháp người dùng báo cho hệ thống biết họ là ai. Và
hệ thống xác nhận có đúng là người đó không. Xác thực là qui trình xác minh
danh hiệu của người dùng. Quá trình xác thực phải dựa vào 1 trong 3 yếu tố:
+ Những chi tiết mà người dùng biết trước như: mật khẩu, số định danh
cá nhân (PIN). Việc này cần thiết cho việc truy cập chương mục.
+ Những gì người dùng đã có như thẻ thông minh (smart card) hoặc một
dấu hiệu nào đó. Điều này dùng để mở khoá chương mục.
+ Những gì người dùng sở hữu bẩm sinh như vân tay, giọng nói, ...
2) Dịch vụ ủy quyền:
Xác định những gì mà một người dùng đã được xác thực có thể thi hành.
8
- Sự ủy quyền: định nghĩa “quyền” và “phép” của người dùng trong một hệ
thống. Sau khi người dùng đã được chứng thực, thì việc ủy quyền chỉ định
những cái gì mà người dùng đó có thể thi hành trên hệ thống.
3) Dịch vụ qui trách nhiệm:
Nhận dạng và chứng thực những hành vi, hoạt động mà người dùng đã
thi hành trong khi họ đang sử dụng hệ thống.
2.1.1.2 Mật khẩu.
1) Tiêu chuẩn mật khẩu an toàn.
Sử dụng tối thiểu 8 kí tự, nói chung mật khẩu dài thì độ an toàn cao hơn.
Mật khẩu gồm 3 trong 4 nhóm kí tự sau:
+ Kí tự “số”.
+ Chữ in.
+ Chữ thường.
+ Kí tự đặc biệt trên bàn phím như @, &, #, ….
2) Phương pháp tạo mật khẩu.
Mật khẩu do người dùng tạo ra:
Là mật khẩu do người dùng tạo ra cho mục đích riêng của họ. Tuy nhiên,
người dùng chọn mật khẩu thường là các thông tin cá nhân như tên người thân,
ngày sinh, …. hoặc dùng cùng một mật khẩu ưa thích trên nhiều máy, các mật
khẩu này dễ bị người khác đoán được.
Mật khẩu do máy tạo ra:
Chương trình này thường đưa ra cho người dùng một số mật khẩu để họ
lựa chọn, người dùng quyết định bằng cách gõ lại mật khẩu đã chọn.
Chương trình trên hoạt động theo chu kì, để nếu mật khẩu bị lộ cũng chỉ
có hiệu lực trong thời gian nhất định (gọi là tuổi của mật khẩu).
Những mật khẩu có thể hiệu chỉnh:
9
- Sơ đồ tạo mật khẩu có thể hiệu chỉnh cho phép người quản trị hệ thống
cung cấp cho người dùng một phần mật khẩu, trên cơ sở đó người dùng có thể
xây dựng mật khẩu mới theo tiêu chuẩn đã đề ra. Sơ đồ được gọi là hiệu chỉnh vì
người quản trị có thể thay đổi độ dài và những thuộc tính khác của xâu kí tự
được tạo ra.
3) Các tấn công dò tìm mật khẩu.
a) Tấn công toàn diện.
Trong tấn công toàn diện, người tấn công thử mọi khả năng mà mật khẩu
có thể được người dùng sử dụng. Số mật khẩu được tạo tuỳ thuộc vào hệ thống
nhất định.
Rõ ràng việc tấn công toàn diện gặp khó khăn khi mật khẩu có độ dài lớn
và theo đúng tiêu chuẩn chọn mật khẩu. Tuy nhiên, để tìm mật khẩu cụ thể
không cần thử toàn bộ mật khẩu có thể.
b) Tìm file mật khẩu của hệ thống.
Cách dò tìm như trên dựa theo việc suy đoán các khả năng có thể. Do các
mật khẩu được lưu trên máy, nên việc tìm các file này để đọc là hướng hiệu quả.
Các file chứa mật khẩu thường được mã hoá, file đọc được là bản mã.
Như vậy có thể dùng các thuật toán mã hoá để tìm ra bản rõ tương ứng.
c) Các biện pháp dò tìm thông minh.
Sử dụng các virus dạng “Trojan Horse” để lấy cắp mật khẩu. Các virus
này có thể ghi lại mật khẩu khi khởi động máy hoặc làm giả thủ tục đăng nhập,
đánh lừa người dùng để lấy cắp mật khẩu, hoặc chứa từ điển để dò tìm mật khẩu.
4) Các biện pháp bảo vệ mật khẩu.
a) Bảo vệ mật khẩu đối với người dùng.
Người dùng cần tuân thủ các tiêu chuẩn lựa chọn mật khẩu; Không sử
dụng các từ có trong từ điển; Không ghi lại mật khẩu; Không tiết lộ mật khẩu;
Thường xuyên thay đổi mật khẩu, ngay cả khi không có nghi ngờ rằng mật khẩu
đã bị lộ.
b) Mật khẩu dùng một lần.
10
- Là loại mật khẩu thay đổi mỗi lần sử dụng, thực chất đây là hệ thống xác
định người dùng bằng hỏi đáp. Hàm cho từng người là cố định nhưng các tham
số của mỗi lần xác nhận là khác nhau. Vì vậy câu trả lời của người dùng là khác
nhau, đồng nghĩa với việc mật khẩu là khác nhau.
c) Bảo vệ mật khẩu lưu trong máy.
File mật khẩu lưu trong máy cần được mã hoá để chống lại việc truy nhập
và lấy cắp thông tin về mật khẩu. Thường sử dụng hai cách để bảo vệ là mã hoá
truyền thống và mã hoá một chiều.
d) Muối mật khẩu.
Có thể xảy ra trường hợp hai người khác nhau cùng dùng chung một mật
khẩu. Khi đó trong bản mã hoá sẽ có hai bản mã như nhau và đó là kẽ hở để có
thể dò tìm mật khẩu đã mã hoá.
Để khắc phục tình trạng trên, HĐH Unix sử dụng một cơ chế mở rộng mật
khẩu gọi là “muối” mật khẩu. Muối là một số 12 bit hình thành từ ngày hệ thống
và số hiệu tiến trình được thêm vào mật khẩu
Muối
Mật khẩu DES Mã mật khẩu Muối File mật khẩu
Muối mật khẩu
Mã mật khẩu Muối
Mã mật khẩu
DES
Bản mã mật khẩu
Hình 2.1 Cơ chế muối mật khẩu So sánh
11
- Cơ chế muối mật khẩu như sau: mật khẩu và muối được mã hoá, bản mã
và muối tương ứng cùng được lưu trong file mật khẩu.
Khi người dùng nhập mật khẩu, nó sẽ được mã hoá cùng với muối, kết
quả được so sánh với bản mã đã lưu trữ.
2.2.2 Kiểm soát truy nhập “tự động”.
Để kiểm soát truy nhập “tự động”, hiện nay người ta dùng các giải pháp:
+ Tường lửa (Firewall).
+ Mạng riêng ảo (VPN).
+ Hạ tầng cơ sở khoá công khai (PKI).
Tường lửa:
Là thiết bị nhằm ngăn chặn sự truy nhập không hợp lệ từ ngoài vào mạng
bên trong. Nó thường gồm cả phần cứng và phần mềm. Tường lửa thường được
dùng theo phương thức ngăn chặn hay tạo các luật đối với các địa chỉ khác nhau.
Tường lửa là tường chắn đầu tiên bảo vệ giữa mạng bên trong với mạng
bên ngoài. Nó là công cụ cơ sở được dùng theo một chính sách an toàn, để ngăn
ngừa truy nhập không được phép giữa các mạng.
Mạng riêng ảo:
Là một mạng riêng sử dụng hệ thống mạng công cộng (thường là Internet)
để kết nối các địa điểm hoặc người dùng từ xa với một mạng LAN ở trụ sở trung
tâm. Thay vì dùng kết nối phức tạp như đường dây thuê bao số, VPN tạo ra các
liên kết ảo được truyền qua Internet giữa mạng riêng của một tổ chức với địa
điểm hoặc người dùng ở xa.
Hạ tầng cơ sở khoá công khai:
Là hệ thống cung cấp và quản lí chứng chỉ số, thực hiện xác thực định
danh các bên tham gia vào quá trình trao đổi thông tin. Cơ chế này gán cho mỗi
người dùng trong hệ thống một cặp khoá công khai /khoá bí mật. Các quá trình
này thường được thực hiện bởi một phần mềm đặt tại trung tâm và các phần
12
- mềm phối hợp khác tại các địa điểm của người dùng. Khoá công khai thường
được phân phối trong chứng chỉ khoá công khai.
PKI có thể được định nghĩa như một hạ tầng cơ sở sử dụng công nghệ
thông tin để cung cấp dịch vụ mã hoá khoá công khai và chữ ký số. Ngoài ra,
PKI còn quản lý khoá và chứng chỉ được dùng trong hệ thống.
2.2 MỘT SỐ CHÍNH SÁCH TRUY CẬP.
2.2.1 Kiểm soát truy cập tuỳ quyền
(Discretionary Access Control- DAC).
Là chính sách truy cập mà chủ nhân thông tin hay tài nguyên tự quyết
định xem ai là người được phép truy cập nó, và những quyền nào mà người đó
được phép thi hành.
Hai khái niệm trong truy cập tuỳ quyền là: sở hữu thông tin, quyền và
phép truy cập thông tin.
Kĩ thuật được dùng trong kiểm soát truy cập tùy quyền là danh sách kiểm
soát truy cập (Access Control List- ACL).
2.2.2 Kiểm soát truy cập trên cơ sở vai trò
(Role Base Access Control - RBAC).
Chỉ định tư cách nhóm người dùng dựa trên vai trò của tổ chức hoặc chức
năng của vai trò. Chính sách này giúp tối giảm việc điều hành quản lí quyền và
phép truy cập. Nó sẽ hạn chế người dùng bất hợp pháp truy cập hệ thống.
Trong an ninh với hệ thống máy tính, kiểm soát truy cập trên cơ sở vai trò
là một trong số các chính sách kiểm soát và đảm bảo quyền sử dụng cho người
dùng.
2.2.3 Kiểm soát truy cập bắt buộc
(Mandatory Access Control - MAC).
Là chính sách truy cập do hệ thống quyết định, không phải do cá nhân sở
hữu tài nguyên quyết định.
13
- Nó được sử dụng trong các hệ thống đa tầng, tức là những hệ thống xử lí
các loại dữ liệu nhạy cảm như các thông tin được phân hạng về mức độ bảo mật
trong chính phủ hay quân đội.
Các phương pháp thường dùng để áp dụng kiểm soát truy cập bắt buộc là:
kiểm soát truy cập dùng theo luật (Rule Base Access Control) và kiểm soát
truycập dùng lưới (Lattice Base Access Control).
2.3 MỘT SỐ KĨ THUẬT KIỂM SOÁT TRUY NHẬP.
2.3.1 Hệ thống nhận dạng và xác thực.
Tiền đề của hệ thống an ninh là nhận dạng đúng người dùng. Với mục tiêu đó,
cơ chế xác thực người dùng qua một vài sở hữu riêng hoặc liên kết các mô hình.
Hệ thống xác thực dùng thông tin để nhận biết người dùng:
+ Hệ thống mật khẩu: Người dùng được nhận dạng qua chuỗi kí tự bí mật,
chỉ riêng người dùng và hệ thống biết.
+ Hệ thống hỏi - đáp: Người dùng được nhận dạng qua việc trả lời các câu
hỏi mà hệ thống đưa ra. Câu hỏi là khác nhau cho mỗi người dùng, và thường là
các hàm toán học.
+ Hệ thống xác thực kép (bắt tay): Hệ thống tự giới thiệu với người dùng,
người dùng tự xác thực lại với hệ thống. Việc xác thực của hệ thống xuất hiện
qua thông tin chỉ người dùng biết, có thể là ngày, giờ của phiên làm việc cuối
cùng. Người dùng xác thực là mật khẩu.
Hệ thống xác thực dùng thông tin sở hữu của người dùng:
Về cơ bản là hệ thống thẻ: Thẻ từ chứa mã vạch hoặc mã từ hoặc bộ vi xử
lí. Việc xác thực xuất hiện lúc chấp nhận thẻ đưa vào đọc, đôi khi kèm theo mã
bí mật.
Hệ thống xác thực dùng thông tin cá nhân của người dùng:
Thông tin cá nhân là những đặc thù chỉ có của người dùng như vân tay,
giọng nói, ảnh lưới võng mạc, …. Những thông tin này được sử dụng để nhận
dạng người dùng, hiện nay có các hệ thống sau:
+ Hệ thống fax- máy tính.
+ Hệ thống vân tay.
14
- + Hệ thống ghi âm.
+ Hệ thống áp lực tay.
+ Hệ thống lưới võng mạc.
Các hệ thống trên có thể được dùng độc lập hoặc phối hợp nhiều hệ thống
cùng một lúc tuỳ thuộc vào mức độ an ninh cần thiết.
2.3.2 Tường lửa (Firewall).
2.3.2.1 Khái niệm tường lửa.
Firewall là một kĩ thuật được tích hợp vào hệ thống, để chống lại sự truy
cập trái phép, nhằm bảo vệ các nguồn tin nội bộ cũng như hạn chế sự xâm nhập
vào hệ thống của một số thông tin khác không mong muốn.
Firewall quyết định những dịch vụ nào từ bên trong được phép truy cập
từ bên ngoài, những người nào từ bên ngoài được phép truy cập đến các dich vụ
bên trong, những dịch vụ nào bên ngoài được phép truy cập bởi những người
bên trong.
2.3.2.2 Phân loại tường lửa.
Có 2 loại tường lửa chính là:
Ủy quyền ứng dụng (Application proxies).
Cổng lọc gói tin (Packet filtering gateway).
2.3.2.3 Những hạn chế của Firewall.
Firewall chỉ ngăn chặn được sự xâm nhập của những thông tin không
mong muốn, nhưng phải xác định rõ các thông số địa chỉ.
Firewall không thể ngăn chặn cuộc tấn công, nếu cuộc tấn công này
không đi qua nó. Chẳng hạn nó không thể chống lại cuộc tấn công từ một đường
dial- up, hoặc rò rỉ thông tin do dữ liệu bị sao chép bất hợp pháp lên đĩa mềm.
Firewall không thể chống lại cuộc tấn công bằng dữ liệu (data driven
attack). Khi một chương trình được chuyển theo thư điện tử, vượt qua Firewall
vào trong mạng, nó sẽ hoạt động tại đây.
Firewall không làm nhiệm vụ quét virus trên dữ liệu chuyển đến nó.
15
- 2.3.3 Mạng riêng ảo (Virtual Private Network - VPN).
2.3.3.1 Khái niệm mạng riêng ảo.
Mạng riêng ảo là mạng dành riêng, để kết nối các máy tính của các tổ
chức với nhau thông qua mạng Internet công cộng.
Công nghệ VPN chỉ rõ 3 yêu cầu cơ bản:
Cung cấp truy nhập từ xa tới tài nguyên của một tổ chức mọi lúc, mọi nơi.
Kết nối các chi nhánh văn phòng với nhau.
Kiểm soát truy nhập của khách hàng, nhà cung cấp và các thực thể bên
ngoài tới những tài nguyên của một tổ chức.
2.3.3.2 Các mô hình VPN.
• Truy cập từ xa:
Các truy cập từ xa của VPN đảm bảo các kết nối được bảo mật, mã hóa
giữa mạng riêng của công ty với các nhân viên qua nhà cung cấp thứ ba.
Có 2 kiểu truy cập từ xa VPN:
+ Khởi tạo bởi phía khách (Client Initiated):
Người dùng từ xa sử dụng phần mềm VPN client, để thiết lập một đường hầm
an toàn tới mạng riêng, thông qua ISP trung gian.
+ Khởi tạo bởi NAS (Network Access Server Initiated):
Người dùng từ xa quay số tới ISP, NAS sẽ thiết lập đường hầm an toàn tới mạng
riêng cần kết nối.
• Intranet VPN:
Xây dựng mạng riêng ảo, để kết nối các mạng cục bộ vào một mạng riêng
thống nhất. Chẳng hạn như công ty có một hoặc nhiều địa điểm ở xa, mỗi địa
điểm sử dụng mạng LAN.
16
- • Extranet VPN:
Khi công ty có mối quan hệ mật thiết với công ty khác, họ có thể sử dụng
mô hình mạng Extranet VPN để kết nối kiểu mạng LAN với LAN, cho phép
công ty đó làm việc trong môi trường có chia sẻ tài nguyên.
2.3.4 Hệ thống phát hiện và ngăn chặn xâm nhập.
2.3.4.1 Hệ thống phát hiện xâm nhập (Intrusion Detect System - IDS).
Hệ thống phát hiện xâm nhập cung cấp thêm cho việc bảo vệ thông tin
mạng ở mức độ cao hơn. IDS cung cấp cho việc bảo vệ bằng cách trang bị cho ta
thông tin về cuộc tấn công.
Network IDS (NIDS)- là hệ thống đọc gói tin ngầm (sniffer), và Host IDS
(HIDS)- phân tích log, kiểm tra tích hợp. Sự khác nhau chủ yếu giữa NIDS và
HIDS là dữ liệu mà nó tìm kiếm. Trong khi NIDS nhìn vào toàn cảnh các
chuyển dịch trên mạng, thì HIDS quan sát các host, hệ điều hành và các ứng
dụng.
1) HIDS:
Dùng để kiểm soát lưu lượng thông tin ở từng host, có khả năng tạo ra các
riêng biệt cho từng loại máy tính, có thể giám sát các kích thước của file,
checksum....
Chức năng của HIDS:
a) Giám sát Logfile:
Một HIDS đơn giản nhất là thiết bị giám sát logfile, nó cố gắng phát hiện
những xâm nhập bằng cách phân tích các log sự kiện của hệ thống.
Thiết bị giám sát logfile nổi tiếng là swatch (Simple Watcher) (Xem
http://www.oit.ucsb.edu/~eta/swatch ). Swatch quét tất cả các đầu vào log và tạo
cảnh báo theo thời gian thực.
Giám sát logfile được coi là hệ thống phát hiện xâm nhập theo cách đặc
biệt. Log cũng chứa nhiều thông tin không trực tiếp liên quan đến sự xâm nhập
b) Giám sát tính toàn vẹn:
17
- Một công cụ giám sát tính toàn vẹn sẽ nhìn vào cấu trúc chủ yếu của hệ
thống để tìm sự thay đổi.
Giám sát toàn vẹn phổ biến nhất là Tripwire (http://www.tripwire.com).
Tripwire nên được cài đặt trên một hệ thống khi nó còn nguyên bản từ nhà sản
xuất, với những ứng dụng cần thiết nhất trước khi kết nối với mạng.
Mấu chốt để sử dụng kiểm tra toàn vẹn hệ thống cho thiết bị phát hiện
xâm nhập đó là xác định ranh giới an toàn, và điều này chỉ có thể được thiết lập
trước khi hệ thống được kết nối với mạng. Nếu không có trạng thái an toàn thì
công cụ kiểm tra toàn vẹn bị hạn chế, vì hacker có thể đã giới thiệu những thay
đổi của họ với hệ thống trước khi công cụ này hoạt động lần đầu.
2) NIDS
NIDS có nhiệm vụ giám sát toàn bộ hoạt động của một phân đoạn mạng
hay một mạng con. Điều trên thực hiện được là nhờ vào việc thay đổi chế độ
trên card giao tiếp mạng (NIC) của NIDS.
Chức năng của NIDS:
+ Nhận dạng dấu hiệu (signature matchers): IDS phát hiện các cuộc tấn
công dựa trên CSDL về dấu hiệu tấn công. Khi hacker tìm cách khai thác lỗ
hổng đã biết thì, IDS cố gắng đưa lỗi đó vào CSDL của mình.
+ Phát hiện những dấu hiệu bất thường: liên quan đến việc thiết lập một
nền móng cơ bản của những hoạt động bình thường của hệ thống hoặc các hành
vi trên mạng, sau đó cảnh báo cho ta thấy sự chệch hướng xuất hiện.
18
- 2.3.4.2 Hệ thống ngăn chặn xâm nhập (Intrusion Prevent System-IPS).
Giải pháp ngăn ngừa xâm nhập nhằm mục đích bảo vệ tài nguyên, dữ liệu
và mạng. Chúng sẽ làm giảm bớt những mối đe dọa tấn công bằng việc loại bỏ
lưu lượng mạng bất hợp pháp, trong khi vẫn cho phép các hoạt động hợp pháp
được tiếp tục.
Cấu trúc của IPS gồm 3 modul chính: Modul phân tích gói, modul phát
hiện tấn công, modul phản ứng.
1) Modul phân tích gói:
Nhiệm vụ phân tích cấu trúc thông tin trong các gói tin. Card giao tiếp
mạng (NIC) của máy giám sát được đặt ở chế độ không phân loại, các gói tin
qua chúng đều được sao chép và chuyển lên lớp trên.
Bộ phân tích gói đọc thông tin từng trường trong gói tin, xác định chúng
thuộc kiểu gói tin nào, dịch vụ gì, .... Các thông tin này được chuyển đến modul
phát hiện tấn công.
2 ) Modul phát hiện tấn công:
Modul quan trọng nhất trong hệ thống, có khả năng phát hiện các cuộc tấn
công. Có 2 phương pháp phát hiện các cuộc tấn công xâm nhập:
+ Dò tìm sự lạm dụng (Missuse Detection): Phương pháp này phân tích
các hoạt động của hệ thống, tìm kiếm dựa trên các dấu hiệu tấn công, tức là các
sự kiện giống các mẫu tấn công đã biết.
+ Dò tìm sự không bình thường (Anomaly Detection): Là kĩ thuật dò
thông minh, nhận dạng ra các hành động không bình thường của mạng. Chúng
19
- lưu trữ các mô tả, sơ lược về các hoạt động bình thường của hệ thống. Các cuộc
tấn công có những hành động khác so với bình thường có thể sẽ bị nhận dạng.
Phương pháp trên hữu hiệu trong việc phát hiện các cuộc tấn công kiểu từ
chối dịch vụ. Nó có thể phát hiện các kiểu tấn công mới, cung cấp các thông tin
hữu ích bổ sung cho phương pháp dò sự lạm dụng. Tuy nhiên, nó thường tạo ra
một số cảnh báo sai lầm làm giảm hiệu suất hoạt động của mạng.
3) Modul phản ứng:
Khi có dấu hiệu của sự tấn công hoặc xâm nhập thì modul phát hiện tấn
công sẽ gửi tín hiệu thông báo đến modul phản ứng. Khi đó, modul phản ứng sẽ
kích hoạt Firewall thực hiện chức năng ngăn chặn cuộc tấn công. Tại đây nếu
chỉ đưa ra các cảnh báo tới người quản trị và dừng lại ở đó thì hệ thống này
được gọi là hệ thống phòng thủ bị động.
Một số kĩ thuật ngăn chặn:
+ Chấm dứt phiên làm việc (Terminate Session): Hệ thống IPS gửi các
gói tin reset thiết lập lại cuộc giao tiếp tới Client và Server. Kết quả cuộc giao
tiếp sẽ được bắt đầu lại và cuộc tấn công bị ngừng lại.
+ Hủy bỏ các gói tin tấn công (Drop Attack): Dùng firewall để hủy bỏ gói
tin hoặc chặn đứng một gói tin đơn, một phiên làm việc, một luồng thông tin
giữa hacker và victim. Tuy vậy, nó dễ lầm với các gói tin hợp lệ.
+ Thay đổi chính sách của tường lửa (Modify Firewall Policies): Cho
phép người quản trị cấu hình lại chính sách bảo mật khi cuộc tấn công xảy ra.
+ Cảnh báo tức thì (Realtime Alerting): Gửi các cảnh báo thời gian thực
đến người quản trị để họ nắm được chi tiết các cuộc tấn công, đặc điểm và thông
tin về chúng.
+ Tạo ra bản ghi log (Log packet): Các dữ liệu của gói tin được lưu trong
hệ thống các file log để người quản trị có thể theo dõi các luồng thông tin, và
dựa vào đó giúp cho modul phát hiện tấn công hoạt động.
Ba modul trên hoạt động tuần tự tạo nên IPS hoàn chỉnh. IPS được xem là
thành công nếu chúng hội tụ được các yếu tố như thực hiện nhanh, chính xác,
20
nguon tai.lieu . vn
