Bài 10: An toàn thông tin
1
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Khái niệm Information security (InfoSec)
Có nhiều định nghĩa
Đảm bảo thông tin không bị truy cập, sử dụng, rò rỉ, công bố, phá huỷ, sửa đổi, làm nguy hại, ngăn cản,… một cách trái phép
2
Cả ở hình thức vật lý và điện tử Gắn liền với các quá trình sản sinh, lưu trữ, sử dụng, xử lý, truyền thông thông tin Bao trùm các khái niệm an toàn máy tính, an ninh mạng (network security) EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Nguy cơ của mất ATTT Phụ thuộc vào giá trị của thông tin
Giá trị có thể được nhân lên khi số lượng thay đổi (quy luật lượng - chất)
Với quốc gia: có thể ảnh hưởng tới an ninh, ưu thế cạnh tranh, chiến lược an ninh, quốc phòng, gián điệp,… Với các doanh nghiệp: thiệt hại về tài chính, nhân lực, ảnh hưởng tới chiến lược thương mại,… Với cá nhân: tài chính, uy tín, tự do cá nhân,…
3
Nếu cá nhân là người có vai trò quan trọng trong tổ chức, đất nước? EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Đảm bảo ATTT
Trong các HTTT, quản trị viên thường là người có trách nhiệm đảm bảo ATTT
4
Liên quan nhiều lĩnh vực: ICT, pháp lý, tâm lý, xã hội,… Các nguy cơ ATTT cũng liên quan tới các lĩnh vực tương ứng EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Lịch sử: sơ khai
Mật mã Caesar (50 trCN)
Các hình thức sử dụng con dấu, niêm phong Mật lệnh trong quân đội Mật thám, tình báo, phản gián,…
5
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Lịch sử: hiện đại Các phương thức mã hoá sử dụng bởi quân đội các nước trong TTTG thứ 1 (1914-1918) Từ TK XX, khi các kỹ thuật truyền thông, lưu trữ thông tin và máy tính ra đời, ATTT càng được quan tâm nhiều Từ khoảng 1990, khi mọi thông tin được lưu trữ trên máy tính, và các máy tính đều được kết nối mạng, ATTT trở nên đặc biệt quan trọng
6
Đối với các quốc gia Đối với các doanh nghiệp, tổ chức Đối với các cá nhân EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Lịch sử: hiện nay Sự bùng nổ về CNTT&TT mang lại nhiều nguy cơ mới về ATTT
Sử dụng mạng xã hội Sử dụng thiết bị di động Các thiết bị IoT Điện toán đám mây
Bảo mật thông tin cá nhân ngày càng trở nên quan trọng
7
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Lược sử một số vụ tấn công 1971: Virus đầu tiên (Creeper)
Có khả năng lây lan qua mạng ARPANET Không gây nguy hại gì
1988: Morris worm
Nhiễm 5-10% trong số 6000 máy tính được nối Internet Sử dụng các phương thức rlogin, X windows, dò mật khẩu, tràn bộ đệm
1999: Virus Melissa
Nhiễm 1,2 triệu máy tính Sử dụng Visual Basic trong MS Outlook tự phát tán qua email trong danh bạ
2000: Love Bug
8
Gây thiệt hại 10 tỉ USD Sử dụng Visual Basic trong MS Outlook tự phát tán qua email trong danh bạ Thay thế các file ảnh trên máy bằng virus EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Lược sử một số vụ tấn công (tiếp) 2002: Virus Simile
Có khả năng tự thay đổi (tránh các trình quét virus) Sử dụng cơ chế autorun trong các thư mục của Windows
2003: Slammer worm
Nhiễm 75.000 máy tính trong vòng 10 phút Gây chậm đáng kể hoạt động của Internet Sử dụng lỗi tràn bộ đệm của SQL Server
2003: Code Red worm
Nhiễm khoảng 400.000 máy tính Sử dụng một lỗi tràn bộ đệm của MS IIS
2008: Conficker worm
9
Nhiễm khoảng 1,7 triệu máy tính Đóng trình diệt virus EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Số lượng malware
https://antivirus-review.com/ 10
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Những nguy cơ ATTT
Mật khẩu đơn giản Lỗi phần cứng, phần mềm
Các cơ chế cho phép chương trình chạy tự động
Tràn bộ đệm MS Office macro (VB script), ActiveX, autorun
Phân quyền không đúng Người dùng thiếu kỹ năng (hoặc quy trình được thiết kế chưa tốt) Các cổng bảo mật kém được mở (telnet) Truyền thông không được mã hoá, xác thực 11
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Tam giác CIA (CIA triad, 1989)
Chỉ 3 yếu tố quan trọng của ATTT 12
C: Confidentiality (tin cậy, bí mật) I: Integrity (toàn vẹn) A: Availability (sẵn sàng) EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Confidentiality (tin cậy, bí mật)
Data
Đảm bảo
Thông tin nơi gửi và nơi nhận là đúng các đối tượng
Thông tin nhận được là chính xác
Thông tin không được cung cấp cho những đối tượng không mong muốn
Thường dựa trên các cơ chế mã hoá, xác thực, phân quyền 13
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Integrity (toàn vẹn)
Data
Đảm bảo thông tin không bị sửa đổi, thay thế trong khi lưu trữ, truyền thông, xử lý Thường dựa trên các cơ chế mã hoá, checksum
14
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Availability (sẵn sàng)
Data
Đảm bảo thông tin không bị ngăn cản, tiêu huỷ
Bao gồm cả việc cung cấp dịch vụ không gián đoạn với người dùng
Thường dựa trên cơ chế dự phòng, tăng tài nguyên hệ thống 15
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
CIA mở rộng
Parkerian hexad (1998)
Possession
Khả năng kiểm soát và sở hữu thông tin
Authenticity
CIA + Possession, Authenticity, Utility
Tính xác thực của thông tin với thực tế
Utility
16
Tính hữu dụng của thông tin theo mục đích sử dụng EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
An toàn là một tiến trình, không phải trạng thái
Thế nào là một hệ thống an toàn?
Là khi danh sách các mục tiêu an ninh được đảm bảo cho tới khi các nguy cơ mới xuất hiện Là khi duy trì được một trạng thái cân bằng về khả năng bảo vệ và các nguy cơ
“Security is a process, not an end state” (Mitch Kabay)
Không có an toàn tuyệt đối Không có an toàn vĩnh cửu Bản thân giá trị của thông tin thay đổi theo thời gian, hoàn cảnh Nguy cơ của các thao tác, hành vi thay đổi theo thời gian, hoàn cảnh
➔ Tiến trình là gì? 17
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Ví dụ spyware – IE 6.0
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Ví dụ spyware – IE 6.0 (tiếp)
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Ví dụ về các nguy cơ thay đổi theo thời gian
Cách mạng hôm nay có thể dẫn tới ác mộng ngày mai (VD: chất thải nhựa) Với trình duyệt web:
Sử dụng các hàm scanf, strcpy trong C
Lỗi tràn bộ đệm (buffer overflow)
Mức độ an toàn của mật khẩu, kỹ thuật mã hoá Gửi ảnh, thông tin cá nhân lên mạng xã hội
Truy cập web sử dụng HTTP → mã hoá, xác thực Cửa sổ popup Cookie
Kẻ xấu lợi dụng lừa đảo người post, bạn bè người post Kẻ xấu biết không có nhà để tới ăn trộm
AI, IoT sẽ mang lại nhiều nguy cơ mới 20
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Tiến trình ATTT
Assessment (đánh giá)
Protection (bảo vệ)
Các biện pháp sẵn sàng trước những nguy cơ đã biết trong việc cân bằng với nguồn lực cho phép
Detection (phát hiện)
Chuẩn bị tổng hợp về các khía cạnh kỹ thuật, tài chính, pháp lý, quy trình, con người
Phát hiện các nguy cơ dựa trên các biểu hiện, hoạt động bất thường
Response (phản hồi) 21
Tìm hiểu và đưa ra các biện pháp và quy trình mới nếu cần để khắc phục các vấn đề được phát hiện EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Theo góc độ vận động của hệ thống
Phân tích → Thiết kế → Cài đặt → Thử nghiệm → Cải tiến Quy trình đối với hệ thống ATTT có thể dựa trên sự kiện 22
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Rủi ro ATTT (risk)
Là khả năng mất ATTT Đánh giá rủi ro:
Risk = Threat × Vulnerability × Asset
Threat: nguy cơ (thường từ bên ngoài)
Vulnerability: các điểm yếu (thường từ bên trong)
Gián điệp, hacker, đối thủ cạnh tranh, các thông tin bị rò rỉ, sự phát triển của các công cụ và kỹ thuật tấn công,…
Nguồn lực con người, hệ thống, lỗi, lỗ hổng, công nghệ, quy trình, ý thức,…
Asset: giá trị của thông tin
23
Mức độ quan trọng, giá trị về tài chính, thời gian hay tài nguyên khác Có thể phụ thuộc vào các tài sản vô hình như thương hiệu, uy tín,… EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Các nguy cơ với HTTT
24
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Nhận biết nguy cơ
25
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Quản lý rủi ro (risk management)
Nhận định và đánh giá được các rủi ro ATTT Đánh giá được tác động của các rủi ro tới cá nhân, tổ chức Phân loại được các yếu tố có tác động tới ATTT Xác định được các thông tin và đối tượng và mức độ bảo vệ tương ứng 26
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Cân bằng giữa an toàn và truy cập thông tin
Cân đối về ATTT với các nguồn lực cũng như trải nghiệm người dùng 27
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Chính sách ATTT
Gồm các quy tắc, quy trình áp dụng cho các thiết bị, con người trong một tổ chức để đảm bảo ATTT
Dựa trên các nguyên tắc chung về ATTT Điều chỉnh phù hợp với các đặc thù của tổ chức
VD: 28
Máy tính cá nhân phải cài phần mềm quét virus Mật khẩu phải dài ít nhất 8 ký tự với chữ hoa, thường, ký hiệu Không dùng email của cá nhân cho các vấn đề công việc EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Các cơ chế đảm bảo ATTT
Xác thực (authentication)
Cấp phép (authorization)
Kết hợp với cơ chế cấp phép (authorization) Mật khẩu, sinh trắc, chứng nhận Luôn cần dựa trên yếu tố được giả thiết tin cậy (root/admin user, CA, chữ ký điện tử,…) → Tối thiểu hoá TCB Bao gồm cả phân quyền, ACL
Log, kiểm kê (auditing)
Kiểm tra định kỳ hoặc sau các sự kiện, hiện tượng Bao gồm cả báo cáo tự động khi có bất thường (watchdog)
➔ Quy tắc AAA (authentication + authorization + auditing) 29
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Các cơ chế đảm bảo ATTT (tiếp)
Mã hoá (cryptography)
Tối thiểu hoá TCB
Mã hoá bí mật Mã hoá công khai TCB: Trusted Computing Base Là các yếu tố hoặc cấu phần của hệ thống luôn cần hoạt động “tuyệt đối” đúng để đảm bảo ATTT cho toàn hệ thống TCB cần được đơn giản hoá nhất có thể
Failsafe
30
Trong lập trình hay thiết kế phần cứng, luôn bắt các lỗi và xử lý dù nhỏ nhất EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Các cơ chế đảm bảo ATTT (tiếp)
Phân quyền tối thiểu
Vận hành đóng
Chỉ phân quyền vừa đủ cho các phần mềm, người dùng để thực hiện được yêu cầu được giao Cân bằng với mức độ phức tạp trong quản trị và sử dụng Hạn chế tối đa cung cấp thông tin về hệ thống ra bên ngoài hay cho những người không có phận sự “Security through obscurity”
Thiết kế mở 31
Thiết kế hệ thống không được phụ thuộc vào tính mập mờ với người dùng hay người vận hành hệ thống Luôn có người biết thông tin thiết kế hệ thống (insiders) “No security through obscurity” EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
Mô hình ATTT của NSTISSC (1991)
NSTISSC: National Security Telecommunications and Information Systems Security Committee Gồm tổng cộng 27 yếu tố cần phải được xem xét 32
EE4611: An ninh và quản trị mạng – HK2 2019/2020 PGS.TS. Đào Trung Kiên – ĐH Bách khoa Hà Nội
