Đồ án Mạng máy tính và vấn đề bảo mật bằng Firewall

ất cả các fragment đều có số nhận dạng các fragment của khối dữ liệu ban đầu khi ráp nối chúng sẽ không được ráp lại với nhau cho đến khi chúng đến nút cuối cùng. 1. f. Cơ chế truyền dữ liệu IP - Đối với thực thể IP trạm nguồn: Khi nhận được yêu cầu gửi từ tầng trên, nó thực hiện các bước sau đây: Tạo một IP datagram theo các thông số của hàm SEND Tính checksum và ghép vào header của datagram Ra quyết định chọn đường trạm đích nằm trên cùng một mạng hoặc là gateway nếu trạm đích không cùng trạm. Chuyển datagram xuống tầng dưới để truyền qua mạng - Đối với gateway: Khi nhận được một datagram chuyển tiếp, nó thực hiện các bước sau: Tính checksum, nếu bất cập thì loại bỏ datagram. Giảm giá trị của tham số Time - to - live. Nếu thời gian đã hết thì loại bỏ datagram Ra quyết định chọn đường Phân đoạn datagram, nếu cần Kiến tạo lại IP header, bao gồm giá trị mới của các vùng Time - to - live, fragmentation và checksum Chuyển datagram xuống tầng dưới để truyền qua mạng - Đối với thực thể IP ở trạm đích: Tính checksum, nếu bất cập thì loại bỏ datagram Tập hợp các đoạn datagram (nếu có phân đoạn) Chuyển dữ liệu và các tham số điều khiển lên tầng trên bằng cách dùng Primitve Delive. 2. Giao thức TCP Giao thức điều khiển truyền TCP (Transomission Control Protocol) là giao thức theo kiểu có liên kết (connection - oriented). Nghĩa là cần phải thiết lập một liên kết logic giữa một cặp thực thể TCP trước khi chúng trao đổi dữ Liệu cho nhau. Giao thức TCP được thiết kế để phù hợp với việc phân cấp giao thức theo tầng, trợ giúp cho các ứng dụng liên mạng. Nó cung cấp các liên lạc tin cậy cho việc tương tác giữa các thực thể trong quá trình kết nối. Đối với dữ liệu dùng trong TCP là đoạn dữ liệu (Segment). IP cung cấp cho TCP khả năng nhận và gửi các Segment có độ dài thay đổi được chứa trong các datagram. IP datagram cung cấp phương tiện để định danh các TCP nguồn và đích, IP đồng thời cũng làm việc vời sự phân đoạn hay giáp nối các TCP Segment để chuyển giao thông là liên mạng và các gateway. 2.a. Cấu trúc đoạn dữ liệu TCP Hình 3.11. Khuôn dạng của TCP Segment - Source Port: 16 bit Số hiệu cổng của trạm nguồn - Destination Port : 16 bit Số hiệu cổng trạm đích - Sequence Number Số hiệu tuần tự của byte dữ liệu đầu tiên trong Segment, trừ trường hợp bit SYN được thành lập. Nếu bit SYN được thiết lập thì Sequence Number là số hiệu tuần tự ban đầu. Trường này được dùng để thực hiện việc điều đình khi TCP mở kết nối với một TCP ở xa. - Acknowledgment Number : 32 bít Số hiệu của Segment tiếp theo nà trạm nguồn đang chờ để nhận. Trường này được dùng để báo cho biết Segment trước co nhận thành công hay không. Trường này được kiểm tra khi có ACK được thiết lập. Khi kết nối được thiết lập thi trường này luôn được gửi đi. Data offset: 4 bít Cho biết số lượng các word trong header của TCP chỉ vị trí ban đầu của vùng dữ liệu. - Reserved : 6 bit Chưa sử dụng - Các cờ: URG: khi được thiết lập thì vùng Urgent Pointer có hiệu lực ACK: khi được thiết lập thi vùng Acknowledgment Number có hiệu lực PSH; chức năng PUSH được thiết lập . RST: khởi đổng lại liên kết. SYN: dùng để đồng bộ hóa các số hiệu tuần tự lúc ban đầu khi thiết lập liên kết. FIN: Không còn dữ liệu ở trạm nguồn để truyền tiếp - Window: 16 bít Chỉ số byte dữ liệu được chấp nhận, bắt đầu từ byte được chỉ ra trong vùng ACK Number. Trường này được dùng để kiểm soát luồng quản lý Buffer - Checksum 16 bit Mã kiểm soát lỗi CRC cho toàn bộ Segment ( gồm cả header và data) - Urgent Pointer: 16 bít Có hiệu lực khi bit URG được thiết lập chỉ số hiệu tuần tự của byte đi sau dữ liệu khẩn, cho biết độ dài của dữ liệu khẩn. - Options: có độ dài thay đổi được, Khai báo các options của TCP, trong đó độ dài tối đa của vùng TCP data trong một Segment Padding: có độ dài thay đổi chứa dữ liệu của tầng trên. Độ dài tối đa ngầm định là 536 byte, giá trị này có thể thay đổi được trong phần options. *Khái niệm về cồng ( Port ) Trong mô hình phân tầng của TCP/IP giao thức TCP nằm ở tầng truyền vận. Tầng vận chuyển có thể tạo nhiều liên kết logic trong vùng một liên kết mạng, quá trình này được gọi là ghép kênh (Multiplexing). Quá trình ghép kênh xảy ra khi một số liên kết truyền vận chia xẻ cùng một liên kết mạng. Khi quá trình ghép kênh xảy ra thi nhiều phân tử phần mềm sẽ sử dụng cùng một địa chỉ của tầng để làm địa chỉ hoạt động của nó. Để xác địch duy nhất phần tử phần mềm vận chuyển, người ta sử dụng thêm một kiểu định danh khác. Đó là địa chỉ truyền vận (Transport Address), đìa chỉ truyền vận là tổ hợp của địa chỉ tầng mạng và số hiệu của điểm truy cập dịch vụ (SAP Number) tầng truyền vận. Đây những là số hiệu cổng (port number) được dùng để xác định địa chỉ truyền vận. Các Router có thể khảo sát trường Port Number trong header của TCP và thực hiện các quyết định lọc gói dựa vào các giá trị trong trường này. Một số dịch vụ TCP/IP sử dụng các giá trị cổng chuẩn được liệt kê trong bảng 3. Cổng Mô tả 20 ftp data 21 ftp control 23 telnet 25 Smtp (mail) 70 Gopher protocol 79 Finger Protocol 80 Worrld Wide Web (HTTP) 513 Rlogin Bảng 3.12. Một số cổng chuẩn của TCP 2.b. Giao diện của TCP Giao diện của TCP nằm ở hai phía: Một phía đối với người dùng hoặc các quá trình ứng dụng một phía đối với giao thức mức thấp hơn như IP. Giao diện giữa một quá trình ứng dụng và TCP bao gồm một số các lời gọi giống như lời gọi mà hệ điều hành cung cấp một quá trình ứng dụng để thao tác các file gọi là hàm dịch vụ nguyên thuỷ. Các hàm dịch vụ của TCP được mô tả hình sau: Hàm Chức năng Unspecified Passive Open Đón yêu cầu liên kết từ một trạm xa bất kỳ Full Specified Passive Open Đón yếu cầu liên kết từ một trạm đích đã chỉ ra Acctive Open Yêu cầu mở liên kết với trạm đích đã chỉ ra Acctive Open WWith Data Yêu cầu mở liên kết với trạm đích đã chỉ ra và truyền dữ liệu theo yêu cầu Send Truyền dữ liệu qua liên kết có tên được chỉ ra Allocate Tăng thêm độ dài dữ liệu nhận Close Đóng yêu cầu liên kết một cách bình thường Abort Yêu cầu đóng liên kết bất bình thường Status Hỏi trạng thái kiên kết Open ID Báo cho người sử dụng biết tên liên kết được gán cho liên kết được yêu cầu trong hàm Open Open Failure Thông báo việc thiết lập liên kết thất bại Open Success Thông báo thiết lập liên kết thành công Deliver Thông báo dữ liệu đến Closing Thông báo người sử dụng ở xa yêu cầu đóng liên kết và tất cả dữ liệu gửi người ở xa đã tiếp nhận Terminate Thông báo liên kết đã kết thúc kèm theo mô tả nguyên nhân kết thúc. 2.c Chức năng cơ bản của TCP * Truyền dữ liệu cơ bản TCP có thể truyền liên tục các byte mỗi hướng giữa các người dùng bằng các đóng gói một số lượng byte nào đó vào trong các Segment để truyền qua mạng Intemet. TCP sẽ quyết định khi nào đóng gói và đưa dữ liệu đi vào lúc nào thấy thuận tiện. Người dùng cần được đảm bảo rằng tất cả các dữ liệu họ chuyển cho TCP đã được truyền đi, một hàm PUSH được dùng cho mục đích này. Để đảm bảo dữ liệu chuyển giao cho TCP thực sự đã được chuyển đi một hàm PUSH được xúc tiến ngay lập tức và chuyển giao dữ liệu hết cho bên nhận.Tuy nhiên điểm PUSH chính xác có thể không thấy được đối với người dùng bên nhận. * Khôi phục dữ liệu: TCP buộc phải khôi phục lại dữ liệu đã bị hư hỏng, mất mát, trùng lập hoặc chuyển giao không theo yêu cầu do hệ thông liên lạc của Intemet. Điều này được thực hiện bằng cách gán một số hiệu tuần tự cho mỗi Segment được truyền và yêu cầu xác nhận ACK từ TCP nhận. Nếu ACK không nhận được trong khoảng thời gian một Timeout thì dữ liệu sẽ được truyền lại. ở bên nhận các số hiệu tuần tự được sử dụng để xếp thứ tự chính xác các Segment nhận được và để hạn chế trùng lặp. Các checksum được thêm vào các Segment để kiểm tra tại đầu nhận. * Điều khiển luồng TCP cung cấp một phương tiện cho bên nhận để điều hành lượng dữ liệu gửi tới, đó là cơ chế cửa sổ. Mỗi ACK chỉ ra khoảng các số hiệu tuần tự chấp nhận tuỳ và Segment cuối cùng nhận được thành công. Cửa sổ biểu thị số lượng các byte mà bên gửi có thể truyền trước khi nhận được cho phép tiếp theo. * Dồn kênh Để cho nhiều quá trình trong một host sử dụng các tiện ích liên lạc TCP một cách đồng thời, TCP cung cấp một tập hợp các địa chỉ hoặc cổng trong nội bộ từng host, móc nối các địa chỉ mạng và địa chỉ host vào nhau từ tầng liên lạc mạng tạo ra các socket có thể được dùng cho nhiều kết nối đồng thời. * Thiết lập kết nội Các cơ cấu truyền dữ liệu, khôi phục dữ liệu điều khiển luồng đòi hỏi các TCP phải khỏi tạo và duy trì các thông tin trạng thái cho mỗi luồng dữ liệu Việc kết hợp các thông tin này bao gồm các socket các số hiệu tuần tự, các kích thước cửa sổ được gọi là một kết nối. Mỗi một kết nối định nghĩa duy nhất bởi một cặp socket xác định hai đầu của nó. Khi hai quá trình muốn liên lạc với nhau, đầu tiên TCP phải thiết lập kết nối. Khi việc liên lạc hoàn thành, kết nối được đóng lại để giải phóng tài nguyên cho các ứng dụng khác. . * Lựa chọn ưu tiên và bảo mật Những người dùng TCP có thể yêu cầu mức bảo mật và ưu tiên cho việc liên lạc của họ, luôn có những dự phòng và giá trị mặc định để sừ dụng khi các đặc tính không được dùng tới. THiết kế mạng Card giao tiếp mạng: NIC (network Interface Card) Card giao tiếp mạng (viết tắt là NIC - Network Interface Card) hay bộ tương thích mạng (Network Adapter) thực chất là một bảng mạch nhiều linh kiện điện tử hợp thành tạo ra khả năng thu phát tín hiệu và cho phép máy tính có thể làm việc trên mạng. Mỗi hệ thống mạng đều phải có các NIC tương thích. Các NIC này được gắn vào các khe slot có sẵn trên Bus mở rộng của máy tính còn cáp được gắn vào ổ cắm trên NIC. 2. Thiết bị lặp ( Repeater) Đây là thiết bị trung gian thực hiện chức năng chuyển tiếp vật lý. Nó cũng dùng để tái tạo lại các tín hiệu để truyền đến môi trường truyền dẫn mở rộng (trên khoảng cách xa). Repeater không thể kết nối các mạng có công nghệ và giao thức khác nhau. Một số Repeater chỉ có chức năng đơn giản là khuếch đại tín hiệu. Lúc đó thì mọi tiếng ồn trên mạng cũng bị khuếch đại theo. Ngoài ra nếu tín hiệu gốc bị méo thì loại Repeater khuếch đại này cũng sẽ không thể xử lý được. Các loại Repeater tiên tiến hơn có thể mở rộng phạm vi của đường truyền mạng bằng cách: khuếch đại và tái sinh tín hiệu. Chúng định danh dữ liệu trong tín hiệu nhận được và dùng dữ liệu đó tái sinh tín hiệu gốc.Điều đó cho phép khuếch đại tín hiệu mong muốn đồng thời giảm được tiếng ồn và hiệu chỉnh các tín hiệu méo. Lưu ý rằng: Các mạng đều được thiết kế với kích thước giới hạn do độ trễ truyền dẫn, bởi vậy không thể dùng Repeater để mở rộng vô hạn. Hình 4.14. Mở rộng Ethernet LAN bằng Repeater 3. Bridge (Cầu) Bridge là một thiết bị mềm dẻo hơn so với Repeater. Một Repeater chuyển tiếp tất cả tín hiệu mà nó nhận được. Còn Bridge có chọn lọc chỉ chuyển đi các tín hiệu có đích ở phần mạng bên kia. Bridge có thể làm được điều đó vì mỗi thiết bị trên mạng đều có một địa chỉ duy nhất, và địa chỉ đích được đặt trong phần header của mỗi gói tin được truyền. Hình 4.15. Nối hai mạng cục bộ bằng một Brridge Bridge là việc như sau: Nhận mọi việc gói tin LAN A và LANB Kiểm ra các địa chỉ đích ghi trong gói tin Các gói tin trên LAN A mà có đích trên LANA bị huỷ bỏ. Tương tự đối với gói tin trên LANB mà có đích trên LANB. Các gói tin đó có thể gửi đến đích không cần đến Bridge. Các gói tin LANA có đích trên LANB thì sẽ được gửi tới LANB tương tự đối vời các gói tin trên LAN B mà có đích trên LANA. 4. Multiplexor (Bộ dồn kênh) Multiplexor là thiết bị có ehức năng tổ hợp một số tín hiệu để chúng có thể truyền với nhau và sau đó khi nhận được tách ra trở lại tín hiệu gốc như thế gọi là phân kênh (demultiplexor). Hình 4.16. Dồn kênh và phân kênh tín hiệu 5. Modem Modem (modulation/ Domodulatio) là thiết bị có chức năng chuyển đổi tín hiệu số thành tín hiệu tương tự và ngược lại để kết nối các máy tính qua đường điện thoại. Các modem giúp mạng máy tính trao đổi email và thực hiện việc chuyển dữ liệu trong giới hạn, nhưng kết nối cực kỳ giới hạn do hầu hết các modem đều giới hạn về băng thông. Các modem không giúp cho mạng kết nối đến những mạng ở xa, giống như Router, để có thể trao đổi dữ liệu trực tiếp. Thay vào đó modem hoạt động giống như card mạng ở chỗ nó cung cấp điểm truy cập vào phương tiện truyền thông, mà trong trường hợp này là các dây điện thoại để gửi các tín hiệu tương tự đến các thiết bị khác trên mạng mà hầu hết đến modem. Modem có hai loại cơ bản : Modem không đồng bộ Modem đồng bộ 6. Router Router là một thiết bị (thông minh) hơn Bridge vì nó còn có thể thực hiện các giải thuật chọn đường đi tối ưu cho các gói tin Hình Dùng Router trong liên mạng 7. Thiết bị định tuyến cầu. ( Brouter) Thiết bị này thực hiện hai chức năng: trước kết định tuyến dữ liệu (datagram) (chức năng Router) và sau đó là thực hiện bắc cầu (Bridge) cho lưu lượng dữ liệu. 8. Hub (Bộ tập trung) Hub là bộ chia hay còn còn gọi là bộ tập trung. Với một bộ tập trung, mỗi một điểm hay một thiết bị đều được nối lại với máy Hub theo một kiểu mẫu hình sao. Người ta chia làm 3 loại Hub sau đây: 8.1 Hub bị động ( Pasive Hub) Hub không chứa các linh kiện điện tử và cũng không xử lý các tín hiệu này mà chúng chỉ có chức năng tồ húp các tín hiệu từ một số đoạn cáp mạng. Khoảng cách từ một máy tính đến một Hub phải nhỏ hơn nữa khoảng cách tối đa cho phép giữa hai máy trên mạng. 8.2 Hub chủ động ( Active Hub) Hub có chứa các linh kiện điện tử có thể khuếch đại và xử lý các tín hiệu truyền giữa các thiết bí mạng. Trong quá trình truyền các tín hiệu có thể bị suy giảm, Hub có tác dụng tái sinh các tín hiệu làm cho nó khoẻ hơn ít lỗi và có thể truyền đi xa hơn. Tuy nhiên bù lại thì giá thành của thiết bị lại cao hơn so với Hub bị động. 8.3 Hub thông minh (Inteliig) Hub thông minh chính là Hub chủ động kèm theo một số chức năng mới như: quản trị hub nó cho phép hub gửi các gói tin về trạm điều khiển mạng trung tâm và nó cũng cho phép trạm trung tâm quản lý Hub. 9. Cổng gateway Gateway là thiết bị để chuyển đổi giữa các giao thức hay cấu trúc khác nhau ví dụ: Gateway cần để chuyển đổi giao thức TCP/IP trên mạng Ethemet thành SNA trên mạng To ken Rang và ngược lại. Vì gateway chuyển đổi hầu hết các lớp giao thức nên nó phủ toàn bộ 7 lớp của mô hình OSI. Terminal System Terminal System Hình 2.1. Kết nối bằng gateway Phần II Cấu trúc và nguyên lý Firewall Chương iv: các vấn đề bảo mật mạng và Internet Ngày nay Intemet đã trở thành một kho tàng thông tin khổng lồ, phục vụ cho nhiều mục đích và lĩnh vực khác nhau. Là sơ sở dữ liệu phục vụ hữu hiệu cho mỗi ngành sản xuất kinh doanh cho đến nghiên cứu khoa học giáo dục xã hội. Với sự phát triển không ngừng công nghệ thông tin, các dịch vụ trên Intemet cũng ngày càng tăng bên cạnh sự phát triển đó, Intemet cũng trở thành đối tượng cho nhiều cuộc tấn công với mục đích khác nhau, do đó việc bảo vệ các tài nguyên thông tin là điều không thể thiếu khi kết nối mạng con với Intemet. Nhu cầu bảo vệ thông tin bao gồm: Bảo vệ dữ liệu quan trọng: các thông tin lưu trữ trên mạng có giá trị về kinh tế, quân sự, chính sách, cần phải giữ bí mật. Các thông tin này phải đảm bảo tính an toàn tính toàn vẹn, tức không bị mất mát hoặc sửa đổi . - Bảo vệ tài nguyên trên mạng: đảm bảo các tài nguyên trên mạng được sử dụng đúng mục đích. Những kẻ tấn công sau khi làm chủ được hệ thống có thể dùng các tài nguyên này vào những mục đích xấu như các kết nối mạng sẵn có để tấn công các hệ thống khác. Bảo vệ uy tín cơ quan: những kẻ tấn công có thể dùng hệ thống của cơ quan để làm bàn đạp tấn công các hệ thống khác. Về bản chất, Intemet là một mạng của các mạng, trong đó các mạng con (subnet) được nối thông qua các cửa khẩu của mạng (gateway). Các cửa khẩu này thường là các bộ phận chọn đường (Router) với chức năng chính 1 tiếp nhận và chọn hướng đi tới đích cho các gói thông tin trên mạng Mục tiêu an toàn thông tin là kiểm soát được thông tin ra vào các cửa khẩu phải ngăn chặn được các truy nhập bất hợp pháp từ bên ngoài và và lọc bỏ các gói tin không được phép xuất hoặc nhập, đo đó cần phải xây dựng bức tường lửa (Firewall) ngăn cách tài nguyên thông tin của mạng nội bộ với Intemet 4.1. Các phương pháp tấn công mạng dữ liệu 4.1.1. Truy nhập bất hợp pháp Kẻ tấn công chiếm được quyền truy nhập vào mạng bằng cách dò tìm tên người sử dụng mật khẩu. Đó là phương pháp đơn giản, dễ thực hiện. Kẻ tấn công dùng chương trình dò tìm mật mã dựa vào thông tin về người sử dụng như tên, ngày sinh địa chỉ số nhà . . . Biện pháp đối phó: cấm các truy nhập nghi ngờ và thường xuyên thay đổi mật khẩu. 4.1.2. Khai thác điểm yếu trong các chương trình ứng dụng Một số các chương trình ứng dụng và các dịch vụ mạng được thiết kế cho kẻ tấn công lợi dụng. Trong một số trường hợp các yếu điểm của hệ điều hành cho phép kẻ tấn công có quyền của người quản trí hệ thống. Điển hình là chương trình Sendmail và chương trình Rlogin của hệ điều hành Unix Sendmail được chạy với quyền ưu tiên của người quản trị hệ thống do chương trình phải có quyền ghi vào hộp thư của người sử dụng và trực tiếp nhận các yêu cầu về thư trên mạng bên ngoài. Đây chính là yếu tố là làm cho Sendmail trở thành nguồn cung cấp những lỗ hổng về bảo mật để truy nhập hệ thống. Rlogin cho phép người sử dụng truy nhập vào một máy ở xa và sử dụng tài nguyên của máy này. Trong quá trình nhận tên và mật khẩu của người sử dụng, rlogin không kiểm tra độ dài dòng nhận do đó kẻ tấn công có thể đưa một xâu đã được tính toán từ trước để ghi đè lên mã chương trình của Rlogin qua đó chiếm được quyền truy nhập. Biện pháp đối phó: không sử dụng các chương trình này, tìm hình thức khác thay thế. Sửa các yếu điểm của phần mềm, tuy nhiên đây là công việc rất phức tạp. 4.1.3. Vô hiệu hoá các dịch vụ và chức năng của hệ thống Đây là kiểu tấn công làm tê liệt hoàn toàn hệ thống, không cho hệ thống thực hiện các chức năng được thiết kế, ngăn cản các người dùng khác sử dụng các dịch vụ của hệ thống. Kiểu tấn công này không thể ngăn chặn được vì những phương tiện để làm việc truy nhập hệ thống. Kiểu tấn công này buộc hệ thống phải tiêu hao toàn bộ tính toán và sử dụng tất cả tài nguyên để phục vụ, không còn khả năng để phục vụ các công việc có ích khác. Kiểu tấn công này có thể được thực hiện ở mạng, bằng cách gán các datagram mờ ám gây lỗi hoặc làm tắc nghẽn mạng. Chúng cùng có thể có thể thực hiện tầng ứng dụng bằng cách thực hiện các lệnh ứng dụng gây cho hệ thống bận liên tục và ngừng mọi chức năng. Biện pháp đối phó: chặn các lưu lượng nghi ngờ đến trạm host của hệ thống, ngăn chặn các lệnh và yêu cầu bị nghi ngờ là mờ ám. 4.1.4. Giả mạo địa chỉ Kiểu tấn công này thực hiện ở mức mạng hệ thống. Việc giả mạo địa chỉ được thực hiện thông qua khả năng dẫn đường trực tiếp. Kẻ tấn công gửi các gói tin IP tới mạng bên trong với địa chỉ IP giả mạo, thông thường là địa chỉ của máy hoặc là mạng tin tưởng, đồng thời chỉ rõ đường dẫn mà các gói tin IP phải gửi đi. Ngoài ra kiểu tấn công này còn giả một sự kết nối TCP từ một máy chủ khác bằng cách đoán các số tuần tự của TCP. Biện pháp đối phó: kiểm tra tính chính xác của datagram và các lệnh. Ngăn chặn các datagram có địa chỉ nguồn không khả dụng. Chèn các thông tin không thể đoán trước và cơ chế điều khiển kết nối như số tuần tự TCP và bộ tự động địa chỉ các cổng (Port). 4.1.5. Nghe trộm Đây là kiểu tấn công đơn giản nhất, một trạm được cấu hình để nghe và bắt dữ các thông tin không thuộc về nó. Việc nghe trộm thông tin trên mạng có thể thu được những thông tin có ích như tên, mật khẩu của người sử dụng và các thông tin mật chuyển qua mạng. Việc nghe trộm thông qua các chương trình có thể đưa mạch giao tiếp mạng và cơ chế độ nhận toàn bộ thông tin lưu truyền trên mạng. Biện pháp đối phó: dùng các kỹ thuật mã hoá dữ liệu 4.2. Các mức bảo vệ an ninh trên mạng Trong thực tế không có phương pháp nào là an toàn tuyệt đối cả cho nên bảo vệ thông tin phải dùng nhiều mức bảo vệ như những hàng rào an ninh để đảm bảo độ tin cậy thông tin cao nhất. Hình sau đây mô tả các mức bảo vệ thông tin trên mạng. Hình 4.1. Các mức bảo vệ an ninh trên mạng * Mức quyền truy nhập (Access rights) Nhằm kiểm soát tài nguyên của mạng và quyền hạn trên nguồn tài nguyên đó. Việc xác nhập quyền truy nhập được quyết định bởi người quản trị mạng. Người quản trị mạng phân quyền cho từng nhóm. Mỗi thành viên trong nhóm thừa hưởng quyền chung của nhóm . Trong mức bảo vệ này quyền truy nhập được kiểm ở mức file. Các quyền truy nhập đến các thư mục, tập tin là đọc, ghi thay đổi xoá tạo sửa thực hiện. * Mức bảo vệ ký tên mật khẩu (Login/password) Đây là kiểm soát truy nhập nhưng không phải là mức thông tin mà là mức hệ thống (truy nhập vào mạng). Đây là phương pháp phổ biến vì nó đơn giản, ít tốn kém hiệu quả. Mỗi người sử dụng, kể cả người quản trị mạng muốn truy nhập vào hệ thống đều phải đăng ký tên và mật khẩu. Người quản lý có trách nhiệm quản lý, kiểm soát mọi hoạt động của mạng và xác định quyền truy nhập những người khác. Nếu mọi người sử dụng giữ kín tên và mật khẩu thì sẽ không ra các truy nhập trái phép. Tuy nhiên, đo nhiều nguyên nhân như người dùng thiếu thận trọng khi chọn tên và mật khẩu dễ bị phát hiện, hoặc bị các chương trình quét tìm tên và mật khẩu. Để khắc phục thì mật khẩu phải được thay đổi theo chu kỳ thời gian nào đó. * Mức mã hoá dữ liệu (data encryption) Để bảo mật thông tin truyền trên mạng, người ta dùng phương pháp mã hóa. Dữ liệu được biến đổi từ dạng nhận thức được sang dạng không nhận thức được bằng thuật toán nào đó và sẽ biến đổi ngược ở bên nhận. Phương pháp bảo vệ thông tin này rất quan trọng thường được sử dụng rộng rãi trong môi trường mạng. * Mức bảo vệ vật lý (physical protection) Bảo vệ vật lý nhằm ngăn cấm các truy nhập bất hợp pháp vào hệ thống. Thường dùng các biện pháp truyền thông như: dùng ổ khoá trên máy ngắt nguồn điện đến màn hình và bàn phím, dùng các máy trạm không có ổ đĩa mềm, cài đặt các chương trình báo động khi có xâm nhập trái phép. * Mức bảo vệ tường lửa (Firewall) Để bảo vệ an toàn và ngăn chặn xâm nhập từ xa cho máy tính hay một mạng cục bộ, người ta thường dùng thiết bị gọi là tường lửa (Firewall). Firewall ngăn chặn các truy nhập trái phép theo danh sách đã được xác định trước và có thể lọc bỏ các gói tin không muốn gởi đi hoặc nhận vào vì một lý do nào đó. Phương pháp này thường được sử dụng trong môi trường Intemet. 4.3. Một số chiến lược bảo mật 4.3.1 Cung cấp đặc quyền ít nhất (Least Privillege) Nguyên tắc cơ bản nhất của chức năng bảo mật là cơ chế đặc quyền ít nhất. Các đối tượng được cung cấp phạm vi tác động ít nhất, do đó chúng chỉ thực hiện được những chức năng trong phạm vi cho phép. Kết quả là chúng không thể gây hại cho các phân vùng mà chúng không thể tiếp cận. 4.3.2 Phòng thủ theo chiều sâu (defence In Depth) Mục tiêu của chiến lược này hệ thống bảo mật gồm nhiều mức, sau mức bảo mật này thì có mức bảo mật khác, các mức bảo mật hỗ trợ lẫn nhau. Hệ thống càng “bảo mật" khi các mức này được xây dựng theo kỹ thuật bảo mật khác nhau, ngăn chặn được các kiểu tấn công khác nhau. 4.3.3 Điểm thắt (Choke point) Việc xâm nhập vào hệ thống chỉ có thể được thực hiện thông qua một kênh hẹp. Do đó, người quản trị có thể cài đặt các cơ chế giám sát kiểm tra và điều khiển (cho phép hay không cho phép) các truy nhập vào hệ thống. Yếu điểm của phương pháp này là nó không thể kiểm soát được hình thức tấn công đi vòng qua điểm đó. 4.3.4 Điểm yếu nhất (Weakest point) Xác định đâu là điểm yếu nhất của hệ thống từ đó có chế xử lý thích hợp như loại bỏ, cô lập hay thiết kế các biện pháp quản lý kỹ lưỡng điểm này, cũng như cài sẵn các giải pháp nếu điểm này bị tấn công. 4.3.5. Cơ chế tự động ngắt khi có sự cố (Fail Safe Stance) Khi hệ thống phát hiện nguy cơ bị đe doạ thì nó có phương pháp tự bảo vệ. Ví dụ khi đáp ứng một yêu cầu có khả năng làm "down" server thì hệ thống không đáp ứng yêu cầu này hoặc một dịch vụ bị tấn công thì nó sẽ bị ngừng hoạt động. Trong trường hợp hệ thống bảo vệ bị tấn công thì nó bị ngắt các chức năng, khi đó ngay cả truy nhập hợp pháp cũng không được đáp ứng. 4.3.6 Phối hợp các thành phần của hệ thống (Universal Participation) Các thành phần hệ thống (người sử dụng, phần cứng bảo mật, phần mềm bảo mật các cơ chế an toàn, . . .) cần có sự phối hợp để tạo thành hệ bảo mật giám sát, kiểm soát và hỗ trợ lẫn nhau. 4.3.7 Tính đa dạng của hệ thống phòng thủ (Deversity of.Đefence) Hệ thống phòng thủ gồm nhiều module, cưng cấp nhiều hình thức phòng thủ khác nhau. Do đó module này lấp "lỗ hổng" của các các module khác nhau. Ngoài Firewall một mạng LAN hay một máy cục bộ cần sử dụng các module bảo vệ khác của ứng dụng, hệ điều hành, thiết bị phần cứng, . . . 4.3.8 Tính đơn giản Hệ thống được thiết kế càng đơn giản thì càng có lợi cho bảo mật: + Đơn giản nên dễ hiểu dễ kiểm soát. + Thực thi các chính sách bảo mật trong từng thành phần nhỏ chắc chắn hiểu quả hơn trong các hệ thống lớn và phức tạp. 4.3.9 Các quan điểm bảo mật hệ thống Quan điểm “mặc nhiên từ chối” (Default Deny Stance) các yêu cầu không rõ ràng