Mục lục
1/ Phân tích những điểm yếu trong mô hình mạng hiện tại. ............................................... 4
2/ Phân tích những rủi ro mất mát dữ liệu ........................................................................... 5
2.1/ Attacker .................................................................................................................... 5
2.2/ Nhân viên.................................................................................................................. 7
3/ Thiết kế lại hệ thống mạng với tính bảo mật tốt nhất...................................................... 8
3.1/ Vẽ mô hình tổng thể. ................................................................................................ 8
3.2/ Vẽ mô hình chi tiết cho từng phần (Web Security, Email Security, IDS/IPS
Security,…)...................................................................................................................... 9
3.3/ Thuyết minh giải pháp cho từng phần .................................................................... 10
3.3.1/ Triển khai chính sách và cơ chế ...................................................................... 10
3.3.2/ Các mục tiêu của bảo mật hệ thống ................................................................. 11
3.3.3/ Triển khai mô hình phân cấp Domain Server-Clien ....................................... 12
3.3.4/ Triển khai các FireWall UTM chuyên dụng ................................................... 13
3.3.5/ Cơ chế bảo mật Mail bằng Sophos UTM ........................................................ 13
3.3.6/ Cài đặt các phần mềm diệt virus Norton trên từng máy trạm ......................... 18
3.3.7/ Triển khai chiến lược bảo mật hệ thống .......................................................... 19
3.3.8/ Sử dụng IP Security ......................................................................................... 24
3.3.9/ Vấn đề con người trong bảo mật hệ thống: ..................................................... 25
1
3.3.10/ Triển khai phần mềm CheckPoint ................................................................. 26
3.3.11/ Cài đặt Spector 360 lên hệ thống để theo dõi thống kê, giám sát, quản lý
người dùng. ................................................................................................................ 32
4/ Xây dựng chính sách an toàn thông tin để phối hợp với các công nghệ được sử dụng
trong hệ thống để giảm thiểu tối đa khả năng mất mất dữ liệu trong hệ thống. ................ 37
4. 1/ Chính sách an toàn thông tin ................................................................................. 37
4.2/ An toàn thông tin của tổ chức................................................................................. 37
4.3/ Phân loại và kiểm soát tài nguyên .......................................................................... 38
4.3.1/ Trách nhiệm đối với tài sản ............................................................................. 38
4.3.2/ Phân loại thông tin ........................................................................................... 38
4.4/ An toàn nhân sự ...................................................................................................... 38
4.4.1/ Trước khi tuyển dụng: ..................................................................................... 38
4.4.2/ Trong thời gian làm việc: ................................................................................ 39
4.4.3/ Chấm dứt hoặc thay đổi công việc: ................................................................. 39
4.5/ Bảo vệ môi trường và vật lý ................................................................................... 40
4.5.1/ An toàn khu vực .............................................................................................. 40
4.5.2/ An toàn thiết bị ................................................................................................ 40
4.6/ Quản lý truyền thông và vận hành.......................................................................... 41
4.6.1/ Sao lưu dự phòng............................................................................................. 41
4.6.2/ Quản lý an toàn mạng ...................................................................................... 41
4.6.3/ Quản lý phương tiện ........................................................................................ 41
4.7/ Kiểm soát truy cập .................................................................................................. 42
4.7.1/ Mục đích .......................................................................................................... 42
2
4.7.2/ Các chính sách ................................................................................................. 42
4.8/ Phát triển và duy trì hệ thống ................................................................................. 45
4.9/ Quản lý sự liên tục trong kinh doanh ..................................................................... 46
4.10/ Sự tuân thủ ............................................................................................................ 47
3
- Quản trị theo mô hình workgroup
- Router Cisco tích hợp firewall
- Không có phần mềm antivirus, firewall chuyên dụng cũng như các chính sách bảo mật
khác.
1/ Phân tích những điểm yếu trong mô hình mạng hiện tại.
Các máy trong mạng có thể nhìn thấy nhau, ping được một cách dễ dàng, dễ lan
truyền virus truyền trong đường mạng gây mất mát thông tin, làm trì trễ hệ thống
mạng.
Các máy không được phân quyền người dùng.
Dữ liệu không được mã hóa, quản lý bảo mật tốt.
Không có phần mềm diệt virus chuyên chặn các lây lan trong nội bộ.
Không có firewall chuyên dụng, nên không quản lý được việc nhân viên ra vào
những trang web có mã độc. Hacker có thể thăm dò vào hệ thống nội bộ.
Không có bảo mật các máy trạm.
4
Không có bảo mật hệ thống FTP, rất khó phát hiện khi máy trạm, server bị mất dữ
liệu.
Mô hình trên dễ bị nhiễm virus phân tán qua mạng, USB, khi phát hiện rất khó
đóng băng để khắc phục dẫn đến mất mát và thay đổi dữ liệu khá lớn.
Mô hình trên khi có xâm nhập rất khó phát hiện.
Không có phân cấp chia IP, bộ lọc gói, các cuộc tấn công sẽ qua mặt, dễ xâm nhập
vào hệ thống.
Không điều khiển được các dịch vụ trong hệ thống.
Không có tính xác thực an toàn cho hệ thống, dễ bị tấn công nghe lén hoặc truy
xuất trái phép.
Dễ dàng chiếm quyền điều khiển một phần hoặc toàn bộ hệ thống khi bị phá hoại.
2/ Phân tích những rủi ro mất mát dữ liệu
2.1/ Attacker
Bị nghe lén, xâm nhập, khai thác cơ sở dữ liệu (database exploitation), khai thác
mail (e-mail exploitation).
5
Một khi hacker đọc được thông tin trên đường truyền giữa máy của nạn nhân và
máy chủ trên Internet, hacker có thể tiến hành các tấn công nghiêm trọng khác, bao gồm:
Ăn cắp các thông tin nhạy cảm trực tiếp trên đường truyền như các mật khẩu, thẻ tín
dụng, nội dung email... Chẳng hạn, người dùng sẽ bị mất mật khẩu khi truy cập vào các
trang Web không sử dụng phương thức mã hóa mật khẩu; hay các trang sử dụng phương
thức giả mạo (phishing) để ăn cắp mật khẩu và các thông tin nhạy cảm khác. Cụ thể,
hacker có thể giả mạo hệ thống phân giải tên miền (DNS) để lừa người dùng vào các
trang Web Yahoo Mail giả, eBay giả... để ăn cắp mật khẩu, thẻ tín dụng.
Hacker còn có thể sử dụng phương thức người trung gian (man in the middle
attack) để ăn cắp thông tin đối với các giao thức mã hóa như SSL (Security Socket
Layer). Như vậy, nếu không cẩn thận, người dùng sẽ bị mất mật khẩu ngay cả khi truy
cập vào các trang Web có sử dụng giao thức SSL như dịch vụ online banking. Khi đọc
được thông tin trên đường truyền, hacker có thể tấn công vào các phiên kết nối để sửa
đổi, làm hỏng dữ liệu. Ví dụ, hacker có thể nghe lén các đoạn chat Yahoo và có khả năng
sửa đổi nội dung đoạn chat của người dùng.
Bị mất thông tin, thay đổi dữ liệu trên hệ thống, không có cơ chế bảo vệ tập tin.
Bị giả danh, dẫn đến các máy bị tắc nghẽn không còn khả năng hoạt động bình
thường. Mục tiêu của tấn công smurf là làm tê liệt một máy nào đó bằng các gói
ICMP.
Bị lấy cắp hay thay đổi thông tin mà chỉ nhằm vào mục đích ngăn chặn hoạt động
bình thường của hệ thống, đặc biệt đối với các hệ thống phục vụ trên mạng công
cộng như Web server, Mail server, …
Bị dò mật khẩu (Password attack): đánh cắp thông tin.
Bị quá tải kết nối trên máy chủ và dẫn tới từ chối dịch vụ (DoS).
Hệ thống bị chiếm quyền điều khiển.
6
2.2/ Nhân viên
Để lộ thông tin, tài khoản trên mạng, thông qua USB làm lây nhiễm virus nội bộ.
Truy xuất trái phép, xóa, thay đổi, đánh cắp dữ liệu.
Bị đánh lừa từ các tấn công giả danh và lên các trang web có mã độc, virus.
Từ những lỗ hổng phần mềm, người dùng dễ dàng thả virus, thư rác xâm nhập vào
hệ thống.
Người dùng được tự do xem thao tác các thông tin dữ liệu.
Không có đánh giá, kiểm soát, giám sát những thao tác rủi ro của người dùng
trong hệ thống an ninh.
Gởi những tài liệu mật đến một tài khoản email khác.
Nhân viên dùng mail trong lúc làm việc có thể soạn mail trực tiếp đính kèm
những tài liệu mật và gởi đến cho một người khác.
Nhân viên mang laptop của mình vào công ty để làm việc. Có khả năng laptop
này có thể chứa những tài liệu mật và khi mang về nhà họ có thể làm mất
những tài liệu mật đó.
Nhân viên thiếu cẩn trọng trong việc sử dụng một số công cụ gởi mail. VD:
MS outlook có chức năng autocomplete email address. Khi người dùng gõ
đúng first name thì outlook sẽ tìm kiếm trong bộ đệm xem ai có địa chỉ email
đúng với first name đó và tự động điền vào mục email address. Nếu người
7
dùng không cẩn thận kiểm tra địa chỉ email người nhận thì có thể gởi sai địa
chỉ dẫn đến nguy cơ mất mát cao.
Thông qua Web post: Khi nhân viên truy cập các trang web có chức năng Post
document như: facebook,... Nhân viên có thể sử dụng chức năng này để truyền tải
những tài liệu mật. VD nhân viên vào facebook gởi tin nhắn cho ai đó rồi có đính
kèm file mật. Đó là một nguồn mất mát dữ liệu cao.
Network:
Nhân viên có thẩm quyền có thể chia sẽ những tài liệu mật cho những người
khác trong công ty thông qua mạng LAN.
Nhân viên không có thẩm quyền truy nhập vào file mật vẫn có thể truy cập vào
file mật đó nếu không có những chính sách rõ ràng, chặt chẽ.
IM chat: Nhân viên có thể sử dụng những ứng dụng chat trong lúc làm việc. Họ có
thể sử dụng công cụ này để gõ trực tiếp hay đính kèm file có nội dung mật và
truyền tải cho người khác.
3/ Thiết kế lại hệ thống mạng với tính bảo mật tốt nhất
3.1/ Vẽ mô hình tổng thể.
8
3.2/ Vẽ mô hình chi tiết cho từng phần (Web Security, Email Security, IDS/IPS
Security,…)
9
3.3/ Thuyết minh giải pháp cho từng phần
3.3.1/ Triển khai chính sách và cơ chế
Hai khái niệm quan trọng thường được đề cập khi xây dựng một hệ thống bảo mật:
Chính sách bảo mật (Security policy): Chính sách bảo mật là hệ thống các quy
định nhằm đảm bảo sự an toàn của hệ thống.
Cơ chế bảo mật (Security mechanism): Cơ chế bảo mật là hệ thống các phương
pháp, công cụ, thủ tục, …dùng để thực thi các quy định của chính sách bảo mật.
Cho trước một chính sách bảo mật, cơ chế bảo mật phải đảm bảo thực hiện được 3
yêu cầu sau đây:
1. Ngăn chặn các nguy cơ gây ra vi phạm chính sách
2. Phát hiện các hành vi vi phạm chính sách
3. Khắc phục hậu quả của rủi ro khi có vi phạm xảy ra
Thông thường, việc xây dựng một hệ thống bảo mật phải dựa trên 2 giả thiết sau
đây:
1. Chính sách bảo mật phân chia một cách rõ ràng các trạng thái của hệ thống thành
2 nhóm: an toàn và không an toàn.
2. Cơ chế bảo mật có khả năng ngăn chặn hệ thống tiến vào các trạng thái không an
toàn.
Chỉ cần một trong hai giả thiết này không đảm bảo thì hệ thống sẽ không an toàn.
Từng cơ chế riêng lẻ được thiết kế để bảo vệ một hoặc một số các quy định trong chính
sách. Tập hợp tất cả các cơ chế triển khai trên hệ thống phải đảm bảo thực thi tất cả các
quy định trong chính sách. Hai nguy cơ có thể xảy ra khi thiết kế hệ thống bảo mật do
không đảm bảo 2 giả thiết ở trên:
Chính sách không liệt kê được tất cả các trạng thái không an toàn của hệ thống,
hay nói cách khác, chính sách không mô tả được một hệ thống bảo mật thật sự.
Cơ chế không thực hiện được tất cả các quy định trong chính sách, có thể do giới
hạn về kỹ thuật, ràng buộc về chi phí, …
10
3.3.2/ Các mục tiêu của bảo mật hệ thống
Một hệ thống bảo mật là hệ thống thoả mãn 3 yêu cầu cơ bản là tính bí mật, tính
toàn vẹn và tính khả dụng, gọi tắt là CIA.
Để thực hiện mô hình CIA, người quản trị hệ thống cần định nghĩa các trạng thái an
toàn của hệ thống thông qua chính sách bảo mật, sau đó thiết lập các cơ chế bảo mật để
bảo vệ chính sách đó. Một hệ thống lý tưởng là hệ thống:
Có chính sách xác định một cách chính xác và đầy đủ các trạng thái an toàn của hệ
thống
Có cơ chế thực thi đầy đủ và hiệu quả các quy định trong chính sách.
Tuy nhiên trong thực tế, rất khó xây dựng những hệ thống như vậy do có những hạn
chế về kỹ thuật, về con người hoặc do chi phí thiết lập cơ chế cao hơn lợi ích mà hệ thống
an toàn đem lại. Do vậy, khi xây dựng một hệ thống bảo mật, thì mục tiêu đặt ra cho cơ
chế được áp dụng phải bao gồm 3 phần như sau:
Ngăn chặn (prevention): mục tiêu thiết kế là ngăn chặn các vi phạm đối với chính
sách.
Có nhiều sự kiện, hành vi dẫn đến vi phạm chính sách. Có những sự kiện đã được
nhận diện là nguy cơ của hệ thống nhưng có những sự kiện chưa được ghi nhận là nguy
11
cơ. Hành vi vi phạm có thể đơn giản như việc để lộ mật khẩu, quên thoát khỏi hệ thống
khi rời khỏi máy tính, … hoặc có những hành vi phức tạp và có chủ đích như cố gắng tấn
công vào hệ thống từ bên ngoài. Các cơ chế an toàn (secure mechanism) hoặc cơ chế
chính xác (precise mechanism) theo định nghĩa ở trên là các cơ chế được thiết kế với mục
tiêu ngăn chặn.
Phát hiện (detection): mục tiêu thiết kế là tập trung vào các sự kiện vi phạm chính
sách đã và đang xảy ra trên hệ thống.
Thực hiện các cơ chế phát hiện nói chung rất phức tạp, phải dựa trên nhiều kỹ thuật
và nhiều nguồn thông tin khác nhau. Về cơ bản, các cơ chế phát hiện xâm nhập chủ yếu
dựa vào việc theo dõi và phân tích các thông tin trong nhật ký hệ thống (system log) và
dữ liệu đang lưu thông trên mạng (network traffic) để tìm ra các dấu hiệu của vi phạm.
Các dấu hiệu vi phạm này thường phải được nhận diện trước và mô tả trong một cơ sở dữ
liệu của hệ thống.
Khi máy tính bị nhiễm virus. Đa số các trường hợp người sử dụng phát hiện ra virus
khi nó đã thực hiện phá hoại trên máy tính. Tuy nhiên có nhiều virus vẫn đang ở dạng
tiềm ẩn chứ chưa thi hành, khi đó dùng chương trình quét virus sẽ có thể phát hiện ra. Để
chương trình quét virus làm việc có hiệu quả thì cần thiết phải cập nhật thường xuyên
danh sách virus. Quá trình cập nhật là quá trình đưa thêm các mô tả về dấu hiệu nhận biết
các loại virus mới vào cơ sở dữ liệu.
Phục hồi (recovery): mục tiêu thiết kế bao gồm các cơ chế nhằm chặn đứng các vi
phạm đang diễn ra hoặc khắc phục hậu quả của vi phạm một cách nhanh chóng nhất
với mức độ thiệt hại thấp nhất.
Tùy theo mức độ nghiêm trọng của sự cố mà có các cơ chế phục hồi khác nhau. Có
những sự cố đơn giản và việc phục hồi có thể hoàn toàn được thực hiện tự động mà
không cần sự can thiệp của con người, ngược lại có những sự cố phức tạp và nghiêm
trọng yêu cầu phải áp dụng những biện pháp bổ sung để phục hồi.
Một phần quan trọng trong các cơ chế phục hồi là việc nhận diện sơ hở của hệ thống
và điều chỉnh những sơ hở đó. Nguồn gốc của sơ hở có thể do chính sách an toàn chưa
chặt chẽ hoặc do lỗi kỹ thuật của cơ chế.
3.3.3/ Triển khai mô hình phân cấp Domain Server-Clien
Phân quyền truy cập cho từng máy, phân quyền cho người dùng được quyền truy
xuất, gom vùng quản lý, quản lý tập trung.
12
3.3.4/ Triển khai các FireWall UTM chuyên dụng
Chức năng của tường lửa trên mạng là quản lý lưu lượng vào/ra trên kết nối Internet
và ghi lại các sự kiện diễn ra trên kết nối này phục vụ cho các mục đích an toàn mạng.
Tuy nhiên, do bản chất của tường lửa là giám sát lưu lượng luân chuyển thông qua một
kết nối giữa mạng nội bộ và mạng công cộng bên ngoài, cho nên tường lửa không có khả
năng giám sát và ngăn chặn các tấn công xuất phát từ bên trong mạng nội bộ. Chức năng
chủ yếu của tường lửa như sau:
Separator: Tách rời giữa mạng nội bộ và mạng công cộng, ràng buộc tất cả các kết
nối từ trong ra ngoài hoặc từ ngoài vào trong phải đi qua tường lửa như một đường
đi duy nhất.
Restricter: Chỉ cho phép một số lượng giới hạn các loại lưu lượng được phép
xuyên qua tường lửa, nhờ đó người quản trị có thể thực thi chính sách bảo mật
bằng cách thiết lập các quy tắc lọc gói tương ứng gọi là các access rules.
Analyzer: Theo dõi (tracking) lưu lượng luân chuyển qua tường lửa, ghi lại các
thông tin này lại (logging) theo yêu cầu của người quản trị để phục vụ cho các
phân tích để đánh giá mức độ an toàn của hệ thống.
Ngoài các chức năng cơ bản trên, một số bức tường lửa còn có chức năng xác thực
(authentication) đối với người sử dụng trước khi chấp nhận kết nối.
3.3.5/ Cơ chế bảo mật Mail bằng Sophos UTM
3.3.5.1/ SMTP:
1. Antivirus:
Chọn action Quarantine: Nếu phát hiện nội dung của mail có mã độc thì Block và
store tại quarantine. User có thể xem những mail bị cách ly bằng cách thông qua User
Portal hay daily quarantine report. Chỉ có administrator mới có thể giải phóng những mail
bị cách ly.
Antivirus engine: single scan: đảm bảo hành động scan được thực thi một cách
nhanh nhất(maximum performance). Nhưng ở thời điểm nhất định cần scan cẩn thận nhất
có thể thì có thể chuyển sang chế độ dual scan(maximum recognition rate) scan một
traffic thông qua rất nhiều virus scaner.
13
2. MIME type filter:
Sẽ cách ly tất cả những mail có nội dung chứa:
audio: mp3,wav...: Quarantine audio content.
video:mpg, mov...: Quarantine video content.
Executable content: exe, jar...: Quarantine executable content.
3. File Extention Filter:
Cách ly tất cả các mail có các extension như executable(exe, bat, py) bằng cách add
vào mục add extension(+).
4. Antispam:
Spam Detection During SMTP Transaction: chọn chức năng confirm spam. Những
mail nào mà được xác định là spam thì mới bị loại bỏ.
Spam filter:
o Spam action: Warm: đánh dấu và cảnh báo đây là một spam mail khi hệ
thống xác định đây có lẽ là một spam mail (sử dụng mức độ này để tránh
những mất mail).
o Confirm spam: Backhole: những mail nào đã được xác nhận là spam
(không còn nghi ngờ) thì được xóa ngay lập tức.
o Spam marker: dùng chức năng này để đánh dấu một message là spam và có
thể dễ dàng nhận biết thông qua chuỗi *SPAM*.
Sender Backlist: Nếu bỏ bọc(evedent) của mail có địa chỉ mà trùng với danh sách
đen(backlist) thì sẽ được cách ly và đánh dấu trong trường subject của mail.
Expression Filter: Công cụ này sẽ được dùng để filtering một chuỗi Expression có
trong phần suject hay body. Nếu mail có chuỗi này thì sẽ bị cách ly.
3.3.5.2/ Giao thức POP3
Nếu phát hiện nội dung của mail có mã độc thì Block và Store tại Quarantine.
User có thể xem những mail bị cách ly bằng cách thông qua User Portal hay Daily
Quarantine Report. Chỉ có administrator mới có thể giải phóng những mail bị cách ly.
1. Antivirus engine:
Sử dụng mode single scan: đảm bảo hành động scan được thực thi một cách nhanh
nhất (maximum performance). Nhưng ở thời điểm nhất định cần scan cẩn thận nhất có
14
thể thì có thể chuyển sang chế độ dual scan (maximum recognition rate), scan một traffic
thông qua rất nhiều virus scaner.
2. File Extention Filter:
Cách ly tất cả các mail có các extension như executable (exe, bat, py) bằng cách add
vào mục add extension(+).
3. Antispam:
Spam Detection During SMTP Transaction: chọn chức năng confirmed spam.
Những mail nào mà được xác định là spam thì mới bị loại bỏ.
Spam filter:
o Spam action: chọn mode Warm: đánh dấu và cảnh báo đây là một spam
mail khi hệ thống xác định đây có lẽ là một spam mail (sử dụng mức độ này
để tránh những mất mail).
o Confirmed spam: chọn mode Backhole: những mail nào đã được xác
nhận là spam (không còn nghi ngờ) thì được xóa ngay lập tức.
Spam marker: dùng chức năng này để đánh dấu một message là spam và có thể
dễ dàng nhận biết thông qua chuỗi *SPAM*.
Sender Backlist: Nếu bỏ bọc(evedent) của mail có địa chỉ mà trùng với danh sách
đen(backlist) thì sẽ được cách ly và đánh dấu trong trường subject của mail.
Expression Filter: Công cụ này sẽ được dùng để filtering một chuỗi Expression
có trong phần suject hay body. Nếu mail có chuỗi này thì sẽ bị cách ly
4. Các chính sách mã hóa email(chỉ áp dụng cho SMTP, không áp dụng cho POP3).
Áp dụng chính sách Default policy:
Sign outgoing email.
Mã hóa outgoing email.
Kiểm tra incoming email.
Giải mã incoming email.
Chú ý: Để có thực thi mã hóa thì người gởi phải nằm trong danh sách internal user. Phải
có S/MIME certificate hay openPGP public key của người nhận Outgoing email thì mới
có thể mã hóa outgoing được.
Chúng ta có thể tạo danh sách các internal email list bằng cấu hình trong tab
15
Encryption -> Internal user để S/MIME key/certificate hay openPGP key pair cho các
user. Nhờ đó mà gateway có thể mã hóa e-mail.
3.3.5.3/ Web filtering:
1. Antivirus:
Quét các luồng dữ liệu inbound và outbound traffic. Để ở chế độ single scan
(maximum perfomance).
2. File extension:
Ngăn chặn những file có extension như: exe, bat, py... Sử dụng chức năng: Active
content removal:
Ngăn chặn những embedded ojbject: những thẻ