Giải pháp an ninh bảo mật của Token RSA

0

Internet và mô hình thương mại điện tử
Với sự phát triển của mạng Internet hiện nay, các doanh nghiệp nhanh chóng nhận thấy lợi ích của việc sử dụng mạng Internet để mở rộng thêm mạng doanh nghiệp bao gồm cả các đối tác, nhà cung cấp và nhất là thông qua Internet, các doanh nghiệp có thể cung cấp các dịch vụ của mình đến với khách hàng thông qua các ứng dụng web.

Tuy nhiên, với việc mở rộng mạng doanh nghiệp đến nhiều đối tượng, doanh nghiệp bắt buộc phải cung cấp dữ liệu thông tin của mình cho các đối tượng đó. Do vậy, vấn đề đặt ra ở đây là khả năng đảm bảo an ninh mạng là một trong những yếu tố sống còn cho một doanh nghiệp khi áp dụng mô hình thương mại điện tử. An ninh mạng bao gồm rất nhiều các khía cạnh khác nhau. Một trong những khía cạnh được quan tâm nhất khi xem xét một hệ thống an ninh mạng là giải pháp xác thực (Authentication) người dùng. Xác thực là một quá trình mà đảm bảo cho một thực thể rằng phía đầu bên kia của kết nối đúng là đối tượng mà thực thể đó cần giao tiếp. Trong thế giới thực, chúng ta hoàn toàn có thể nhận biết một ai đó thông qua các đặc điểm sinh học như khuôn mặt, giọng nói hoặc thậm chí chỉ là hình dáng hay những dấu hiệu khác. Tuy nhiên, xác thực trên mạng lại là một vấn đề hoàn toàn khác bởi vì hai người làm việc với nhau trên mạng qua một khoảng cách lớn về địa lý, do vậy cần có những giải pháp xác thực trên mạng.

Các doanh nghiệp khi mở rộng hệ thống mạng của mình đến với nhiều đối tượng thì cần phải có khả năng phân quyền (Authorization) một cách thích hợp và chính xác. Phân quyền là các quy định về khả năng truy cập dữ liệu của một tổ chức hay nối cách khác là các quy định về việc những đối tượng nào sẽ được truy cập vào những thông tin nào. Ở đây, chúng ta lại thấy vai trò của vấn đề xác thực. Nếu không có một giải pháp xác thực đảm bảo thì việc phân quyền cũng sẽ không thể thực hiện được một cách đúng đắn.

Giải pháp xác thực bằng mật khẩu

Có lẽ hầu hết trong số chúng ta đều đã từng sử dụng Internet, E-Mail hoặc đăng nhập (Login) và một hệ thống mạng nào đó. Khi đăng nhập vào các hệ thống trên, tất cả những cái mà chúng ta cần là một Tên truy cập (Username) và một Mật khẩu (Password) gắn với tên truy cập đó. Để đăng nhập vào hệ thống, chúng ta chỉ cần cung cấp cho hệ thống tên truy cập và mật khẩu là đủ. Tên truy cập là hoàn toàn công khai trong khi mật khẩu nhất thiết phải được giữ kín. Giải pháp xác thực này có những ưu nhược điểm của nó. Ưu điểm của nó là:

· Đơn giản, dễ sử dụng.

· Không cần thêm bất cứ một phần mềm hoặc phần cứng nào.

Tuy nhiên, giải pháp xác thực này cũng có những nhược điểm như sau:

· Dễ bị giả mạo: chỉ cần biết được mật khẩu của ai đó, hacker hoàn toàn có thể mạo danh người đó để thực hiện các giao dịch trên mạng hoặc đăng nhập vào hệ thống để tiến hành phá hoại hay đánh cắp thông tin.

· Dễ bị đánh cắp: một mật khẩu thông thường là được dùng nhiều lần, do vậy chỉ cần những phần mềm đơn giản (có thể tải được một cách dễ dàng từ Internet), một hacker có thể chặn bắt được các gói tin trên mạng và lấy cắp được mật khẩu người sử dụng. Người dùng cũng hay có xu hướng là sử dụng những mật khẩu đơn giản, dễ nhớ và cũng chỉ có một vài mật khẩu để sử dụng quay vòng và kết quả là rất dễ bị đoán biết. Các phần mềm spyware hiện nay rất phổ biến và được nguỵ trang rất kỹ nên đa số người sử dụng khó có thể nhận biết được. Những chương trình như Keyboard logging sẽ ghi lại những gì người dùng gõ từ bàn phím và gửi đến cho chủ nhân của nó.

· Quản lý khó khăn: với nhiều hệ thống, người sử dụng phải sử dụng nhiều mật khẩu, do vậy, vấn đề quản lý mật khẩu trở nên phức tạp. Một hệ thống mạng hiện nay bao gồm rất nhiều các ứng dụng và dịch vụ chạy trên nó (VD: các phần mềm kế toán, quản lý,..., các dịch vụ E-Mail, nhắn tin,...). Với mỗi một ứng dụng hoặc dịch vụ đó, thường là người sử dụng lại cần phải có thêm một mật khẩu để sử dụng. Do vậy, với số lượng mật khẩu nhiều, người sử dụng sẽ hay ghi lại (save password) ngay trong máy tính, viết ra giấy hoặc thậm chí không sử dụng mật khẩu. Điều này đặc biệt nguy hiểm trong môi trường sử dụng chung máy tính.

· Chi phí cao: trong một mạng doanh nghiệp lớn, sẽ có rất nhiều yêu cầu tới bộ phận hỗ trợ kỹ thuật về các vấn đề liên quan đến mật khẩu và hầu hết trong số đó sẽ là do người sử dụng quên mật khẩu, mật khẩu bị hết hạn sử dụng,...Trước khi bộ phận hỗ trợ kỹ thuật giải quyết được vấn đề, người sử dụng sẽ không thể đăng nhập được vào hệ thống và do vậy sẽ không thể làm việc được dẫn đến giảm năng suất lao động. Tất cả những điều này làm chi phí của giải pháp xác thực bằng mật khẩu trên thực tế là rất cao

Với tất cả những nhược điểm trên, chúng ta có thể thấy rằng xác thực bằng mật khẩu không thể đảm bảo được an toàn và độ tin cậy nhất là trong những lĩnh vực nhậy cảm như ngành ngân hàng, tài chính, bưu điện, dịch vụ y tế,... nơi mà những thông tin cần phải được giữ bí mật tuyệt đối . Người sử dụng thậm chí có thể khởi kiện những tổ chức cung cấp dịch vụ do những thông tin cá nhân của họ bị tiết lộ. Trong một hội thảo về an ninh mạng do hãng RSA tổ chức vào tháng 2 năm 2004, ngay cả chủ tịch Microsoft, Bill Gate cũng đã phát biểu là xác thực người dùng bằng mật khẩu hiện nay là không an toàn.

Giải pháp xác thực hai yếu tố SecurID của RSA (Two – Factors Authentication)

Với việc sử dụng giải pháp xác thực truyền thống là không an toàn, người ta cần những giải pháp xác thực tốt hơn trong môi trường kinh doanh hiện nay. Một giải pháp xác thực chỉ được gọi là tốt khi mà nó đáp ứng được những yêu cầu chủ yếu sau:

· Chi phí thấp

· Dễ dàng, thuận tiện cho người sử dụng và sử dụng được trong nhiều hệ thống
. Khả năng mở rộng và tương thích với các hệ thống khác tốt
Để đáp ứng được những yêu cầu mới về an ninh mạng hiện nay, RSA đã đưa ra một giải pháp xác thực người dùng được gọi là giải pháp xác thực dựa trên hai yếu tố SecurID.

Chúng ta hãy cùng xem xét một ví dụ sau (Hình 1): một ai đó muốn rút tiền từ một máy ATM, anh/chị ta cần phải có đủ hai yếu tố sau: (a) một thẻ ATM (ATM card) và (b) là một mã số cá nhân hay còn được gọi là PIN (Personal Identification Number). Ở đây, nếu một ai đó muốn rút được tiền của người khác thì bắt buộc phải có đủ cả hai yếu tố này là thẻ ATM và số PIN. Nếu chủ sở hữu có bị mất thẻ thì người cầm thẻ cũng không thể rút được tiền ra hay nếu có đánh cắp được số PIN thì cũng phải có thẻ ATM mới có thể tiến hành rút tiền được. Đây cũng là một giải pháp xác thực người dùng hai yếu tố. Hai yếu tố ở đây là: thẻ ATM (cái mà bạn có) và số PIN (cái mà chỉ có bạn biết). Giải pháp xác thực hai yếu tố SecurID của RSA cũng hoạt động theo nguyên tắc trên: để đăng nhập vào hệ thống, bạn phải có đủ hai yếu tố: cái mà bạn biết và cái mà bạn có.

Giải pháp RSA SecurID^® gồm có ba thành phần:

· RSA SecurID^® Authenticators: Là thiết bị được gắn với người sử dụng. Chúng có thể là phần cứng hoặc phần mềm và được gọi là các Token. Nếu là phần mềm, chúng có thể được cài đặt lên máy tính xách tay hoặc các thiết bị cầm thay khác như PDA, Wireless Phone, .... Các thiết bị này tạo ra các con số khác nhau trong một khoảng thời gian nhất định. Khách hàng có thể lựa chọn thiết bị phù hợp với nhu cầu của mình.

. RSA ACE/Agent Software: là phần mềm được cài lên trên các điểm truy cập vào mạng (Ví dụ: gateway, VPN, Remote Access Server,...), các máy chủ (server) và các tài nguyên thông tin cần được bảo vệ của doanh nghiệp. Nó hoạt động giống như là một người gác cửa. Khi có yêu cầu đăng nhập của người sử dụng gửi đến, nó sẽ tiếp nhận và chuyển những thông tin đăng nhập tới máy chủ có thành phần RSA ACE/Server để thực hiện xác thực. Hầu hết các sản phẩm router, remote access server, firewall, VPN, wireless access,... của các hãng sản xuất hàng đầu trên thế giới đều đã tích hợp sẵn thành phần này trong các sản phẩm của mình. Đây là một lợi ích vô cùng quan trọng cho giải pháp RSA SecurID.

· RSA ACE/Server: là thành phần quản trị của giải pháp RSA SecurID được sử dụng để kiểm tra các yêu cầu xác thực và quản trị tập trung chính sách xác thực của trên toàn mạng doanh nghiệp.RSA ACE/Server có thể được mở rộng theo bất cứ nhu cầu nào của doanh nghiệp. RSA ACE/Server có khả năng xác thực được hàng triệu người sử dụng, xác thực người dùng trong mạng cục bộ, người dùng truy cập từ xa, người dùng qua VPN,...RSA ACE/Server tương thích hoàn toàn với các thiết bị mạng, RAS, VPN, Access Point,... của tất cả các hãng sản xuất lớn trên thế giới. Do vậy, với giải pháp SecurID của RSA, người dùng hoàn toàn không phải lo lắng tới vấn đề tương thích.

Giải pháp xác thực RSA SecurID hoạt động như thế nào?

Như đã đề cập ở trên, SecurID bao gồm ba thành phần. Thành phần RSA SecurID Authenticator hay còn được gọi là Token sẽ được trao cho người sử dụng. Thành phần này có nhiều loại khác nhau (là hardware token hoặc software token) nhưng đều có một chức năng là tạo ra những chuỗi số khác nhau sau một khoảng thời gian nhất định (Thông thường là một phút).

Giả sử một người sử dụng trong hệ thống được cấp phát một Token, khi đăng nhập vào hệ thống, người sử dụng này sẽ được yêu cầu nhập tên đăng nhập (VD: JSMITH) và một dẫy số được gọi là Passcode. Dẫy số này gồm có hai thành phần là số PIN và dẫy số xuất hiện trên token (Token code) của người đó vào thời điểm đăng nhập. Tất cả các thông tin (Tên đăng nhập và Passcode) này được thành phần RSA ACE/Agent tiếp nhận và thành phần này sẽ lại gửi những thông tin này đến RSA ACE/Server. Server này sẽ có số PIN của người sử dụng trong cơ sở dữ liệu của nó. Ngoài ra, nó cũng có một cơ chế cho phép nó tính toán ra một dẫy số của nó. ACE/Server sẽ ghép số PIN trong cơ sở dữ liệu và dẫy số của nó với nhau sau đó .

so sánh với Passcode của người sử dụng cung cấp. Nếu hai dẫy số này giống nhau, người dùng được xác thực là hợp lệ và được quyền đăng nhập vào mạng. Trong trường hợp ngược lại, quyền truy cập sẽ bị từ chối. Hoặc được chấp nhận truy cập hoặc không, những thông tin này sẽ được RSA ACE/Server gửi đến người sử dụng thông qua thành phần RSA ACE/Agent.

Cơ chế để RSA ACE/Server tính toán được một dẫy số của nó để so khớp với dẫy số trên token của người sử dụng là tương đối đơn giản. Như được minh hoạ trên hình 4, để tạo ra được dẫy số thay đổi sau mỗi khoảng thời gian, một token sẽ có những thành phần sau:

· Một đồng hồ bên trong (Tính theo giờ UTC).

· Một số Seed có độ dài 64 hoặc 128 bits.

· Thuật toán tạo số giả ngẫu nhiên

Với hai yếu tố là thời gian và số seed, sau khi áp dụng thuật toán tạo số giả ngẫu nhiên, token sẽ có một con số xuất hiện trên màn hình của nó (token code) và sau một khoảng thời gian xác định, thuật toán này lại tạo ra được một con số khác ứng với thời gian đó. Thuật toán này luôn tạo được những con số thay đổi theo thời gian và không lặp lại. Do vậy, việc dự đoán trước con số sẽ xuất hiện tiếp theo hoặc con số sẽ xuất hiện tại một thời điểm nào đó trong tương lai là không thể (chỉ có thể thực hiện được khi có số seed và thuật toán).

Khi gán một token cho một người sử dụng, quản trị mạng cũng sẽ phải cập nhật số seed của token đó vào cơ sở dữ liệu của RSA ACE/Server tương ứng với người dùng. Trên RSA ACE/Server cũng có một chương trình chạy thuật toán tạo số giả ngẫu nhiên giống với trên token. Khi có yêu cầu đăng nhập của người sử dụng, căn cứ vào tên đăng nhập, căn cứ vào đồng hồ hệ thống, căn cứ vào số seed được lưu trong cơ sở dữ liệu, khi chạy thuật toán tạo số giả ngẫu nhiên, RSA ACE/Server cũng sẽ có được một dẫy số giống với dẫy số trên token của người sử dụng tại cùng một thời điểm. Dãy số này được ghép với số PIN của người sử dụng trong cơ sở dữ liệu, RSA ACE/Server có thể kiểm tra được người sử dụng này có hợp lệ hay không.

Điều gì sẽ xảy ra khi đồng hồ trên token và đồng hồ trên RSA ACE/Server không giống nhau? Trong thực tế thì điều này luôn luôn xảy ra. Tuy vậy, RSA ACE/Server luôn ghi nhận lại một sự sai lệch về thời gian giữa nó và từng token khi đăng nhập và RSA ACE/Server sẽ chấp nhận bất cứ passcode nào của người sử dụng nằm trong khoảng thời gian sai lệch đó. Ví dụ, nếu RSA ACE/Server ghi nhận sự sai lệch của một token với nó là một phút thì nó sẽ chấp nhận bất cứ passcode nào của người sử dụng mà rơi vào khoảng thời gian trước thời điểm đăng nhập một phút, tại đúng thời điểm và sau thời điểm đó một phút. Khoảng thời gian sai lệch tối đa cho phép có thể thay đổi được trên RSA ACE/Server.

Như được mô tả trên hình 2, token của người sử dụng có rất nhiều loại khác nhau. Căn cứ vào nhu cầu thực tế, một tổ chức khi triển khai giải pháp xác thực RSA SecurID có thể lựa chon thiết bị phù hợp nhất với yêu cầu của mình. Thành phần RSA ACE/Agent có thể được cài lên rất nhiều điểm khác nhau trong hệ thống. Nó có thể được cài lên các điểm truy cập vào mạng như gateway, RAS, VPN,... cũng như cài lên các server Windows, Novell,...và được tích hợp sẵn trong tất cả các sản phẩm của các hãng sản xuất lớn như Microsoft, Nokia, CheckPoint, Cisco, Nortel...Thành phần RSA ACE/Server thực sự là thành phần quan trọng nhất của giải pháp. Để có thể hoạt động được liên tục và thuận lợi cho quá trình xác thực người sử dụng, RSA ACE/Server có thể được cài lên trên nhiều server trong đó có một máy đóng vai trò chính (ACE/Server Primary ) và các máy còn lại đóng vai trò bản sao (ACE/Server Replica). Các máy bản sao có thể được đặt phân tán và luôn được đồng bộ với máy chính. Khi máy chính không thể hoạt động, một máy bản sao nào đó có thể được nâng cấp lên thành máy chính. Quá trình hoạt động không hề bị dán đoạn.

Qua cấu trúc cũng như nguyên lý hoạt động của giải pháp RSA SecurID, ta thấy nó có những ưu điểm sau:

· Độ an toàn cao: được xác thực dựa trên hai yếu tố (PIN + Token code) và luôn thay đổi, khi một ai đó có chặn bắt được passcode của người sử dụng thì cũng thể sử dụng nó để đăng nhập vào hệ thống. Do vậy, nó khắc phục được một nhược điểm rất lớn của xác thực bằng password là chỉ cần chặn bắt được password là có thể sử dụng để đăng nhập.

· Quản lý password: đây là một nhược điểm cố hữu của password. Nhưng đối với SercurID, do được xác thực tập trung trên RSA ACE/Server và ACE/Agent có thể được cài đặt tại rất nhiều điểm, chí cần sử dụng một token là người sử dụng có thể xác thực được tại bất cứ đâu trong mạng, tránh được việc phải sử dụng nhiều password.

· Thuận tiện: với nhiều lựa chọn cho thành phần RSA SecurID Authenticator, người sử dụng có thể lựa chọn được thành phần thích hợp nhất cho mình.

· Khả năng mở rộng: với việc được cài đặt RSA ACE/Server lên nhiều máy chủ, một tổ chức có nhiều chi nhánh có thể cung cấp khả năng xác thực thông qua một máy chủ bản sao được đặt ngay tại chi nhánh thay vì phải sử dụng những kết nối đắt tiền về trung tâm để xác thực. Người dùng SecurID của tổ chức này cũng có thể đăng nhập thông qua một tổ chức khác miễn là RSA ACE/Server của hai tổ chức này tin cậy (Trusted) lẫn nhau.

· Tích hợp với hệ điều hành MS Windows: không chỉ bảo vệ người dùng khi truy cập vào trong mạng, khi truy cập vào ngay trong máy tính cá nhân (Windows logon), RSA SecurID cũng được kích hoạt để bảo vệ máy tính người dùng. Giờ đây, password để truy cập vào máy tính cá nhân sẽ được thay bằng passcode. Đây là một trong những tính năng mới nhất của giải pháp này và điều này đảm bảo mọi tài nguyên thông tin trong doanh nghiệp đều được bảo vệ.

· Hoạt động liên tục: khi một máy chủ chính không thể hoạt động được, một máy chủ bản sao sẽ được nâng cấp lên thành máy chủ chính. Điều này đảm bảo hệ thống hoạt động được liên tục và ổn định.

· Chi phí thấp: với việc không phải sử dụng và quản lý quá nhiều password, người sử dụng sẽ không phải yêu cầu hỗ trợ từ bộ phận kỹ thuật, do vậy, chi phí cho hỗ trợ kỹ thuật giảm và năng suất lao động tăng lên.

Với các ưu điểm trên, chúng ta thấy rằng giải pháp xác thực người sử dụng RSA SecurID thực sự là một giải pháp rất tối ưu. Trong một hệ thống, với những cá nhân có quyền truy cập vào các thông tin quan trọng và nhậy cảm như lãnh đạo tổ chức, phòng kế toán, các quản trị hệ thống,... thì sử dụng giải pháp xác thực này sẽ giảm thiểu đến mức thấp nhất các nguy cơ như bị đánh cắp thông tin hay phá hoại xuống đến mức thấp nhất.

Tìm hiểu IDS (Intrusion Detection System ) trong bảo mật hệ thống mạng

16:46 | 01/07/2010

Trong bài viết này tôi trình bày với các bạn sự khác nhau giữa các dạng Intrusion Detection, các khái niệm về các dạng đó, hiểu cách triển khai và cấu hình mỗi dạng Intrusion Detection System. Intrusion Detection có khả năng phát hiện các nguy cơ bảo mật xảy ra trong cả hệ thống mạng hay trong một hệ thống cụ thể.

Trong bài viết này tôi trình bày với các bạn sự khác nhau giữa các dạng Intrusion Detection, các khái niệm về các dạng đó, hiểu cách triển khai và cấu hình mỗi dạng Intrusion Detection System. Intrusion Detection có khả năng phát hiện các nguy cơ bảo mật xảy ra trong cả hệ thống mạng hay trong một hệ thống cụ thể.

I. IDS(Intrusion Detection Systems)

I.1. Khái niệm về IDS

IDS (Intrusion Detection System_ hệ thống phát hiện xâm nhập) là một thống giám sát lưu thông mạng, các hoạt động khả nghi và cảnh báo cho hệ thống, nhà quản trị


Ngoài ra IDS cũng đảm nhận việc phản ứng lại với các lưu thông bất thường hay có hại bằng cách hành động đã được thiết lập trước như khóa người dùng hay địa chỉ IP nguồn đó truy cập hệ thống mạng,…..

IDS cũng có thể phân biệt giữa những tấn công bên trong từ bên trong (từ những người trong công ty) hay tấn công từ bên ngoài (từ các hacker). IDS phát hiện dựa trên các dấu hiệu đặc biệt về các nguy cơ đã biết (giống như cách các phần mềm diệt virus dựa vào các dấu hiệu đặc biệt để phát hiện và diệt virus) hay dựa trên so sánh lưu thông mạng hiện tại với baseline(thông số đo đạc chuẩn của hệ thống) để tìm ra các dấu hiệu khác thường.

Ta có thể hiểu tóm tắt về IDS như sau :

+ Chức năng quan trọng nhất : giám sát -cảnh báo - bảo vệ

--------Giám sát : lưu lượng mạng + các hoạt động khả nghi.
--------Cảnh báo : báo cáo về tình trạng mạng cho hệ thống + nhà quản trị.
-------- Bảo vệ : Dùng những thiết lập mặc định và sự cấu hình từ nhà quản trị mà có những hành động thiết thực chống lại kẻ xâm nhập và phá hoại.

+ Chức năng mở rộng :

------- Phân biệt : "thù trong giặc ngoài"
------- Phát hiện : những dấu hiệu bất thường dựa trên những gì đã biết hoặc nhờ vào sự so sánh thông lượng mạng hiện tại với baseline

I.2. Phân loại IDS

Có 2 loại IDS là Network Based IDS(NIDS) và Host Based IDS (HIDS):

I.2.1. NIDS :

Được đặt giữa kết nối hệ thống mạng bên trong và mạng bên ngoài để giám sát toàn bộ lưu lượng vào ra.
Có thể là một thiết bị phần cứng riêng biệt được thiết lập sẵn hay phần mềm cài đặt trên máy tính. Chủ yếu dùng để đo lưu lượng mạng được sử dụng.Tuy nhiên có thể xảy ra hiện tượng nghẽn cổ chai khi lưu lượng mạng hoạt động ở mức cao.

NIDS :
------Ví trí : mạng bên trong --NIDS---mạng bên ngoài
------Loại : hardware (phần cứng) hoặc software (phần mềm)
------Nhiệm vụ : chủ yếu giám sát lưu lượng ra vào mạng.
------Nhược điểm : Có thể xảy ra hiện tượng nghẽn khi lưu lượng mạng hoạt động ờ mức cao.

Một số sản phẩm NIDS :
-Cisco IDS

-Dragon® IDS/IPS

I.2.2. HIDS

Được cài đặt cục bộ trên một máy tính làm cho nó trở nên linh hoạt hơn nhiều so với NIDS. Kiểm soát lưu lượng vào ra trên một máy tính, có thể được triển khai trên nhiều máy tính trong hệ thống mạng. HIDS có thể được cài đặt trên nhiều dạng máy tính khác nhau cụ thể như các máy chủ, máy trạm, máy tính xách tay. HIDS cho phép bạn thực hiện một cách linh hoạt trong các đoạn mạng mà NIDS không thể thực hiện được. Lưu lượng đã gửi tới máy tính HIDS được phân tích và chuyển qua nếu chúng không chứa mã nguy hiểm. HIDS được thiết kế hoạt động chủ yếu trên hệ điều hành Windows , mặc dù vậy vẫn có các sản phẩm hoạt động trong nền ứng dụng UNIX và nhiều hệ điều hành khác.

HIDS :
------Ví trí : cài đặt cục bộ trên máy tính và dạng máy tính => linh hoạt hơn NIDS.
------Loại : software (phần mềm)
------Nhiệm vụ : phân tích lưu lượng ra vào mạng chuyển tới máy tính cài đặt HIDS
------Ưu điểm :
----------------+ Cài đặt trên nhiều dạng máy tính : xách tay, PC,máy chủ ...
----------------+ Phân tích lưu lượng mạng rồi mới forward.
------Nhược điểm : Đa số chạy trên hệ điều hành Window . Tuy nhiên cũng đã có 1 số chạy được trên Unix và những hệ điều hành khác.

Một số sản phẩm HIDS :

-Snort(Miễn phí_ open source)

-GFI EventsManager 7

-ELM 5.0 TNT software:

I.3. Các kỹ thuật xử lý dữ liệu được sử dụng trong các hệ thống phát hiện xâm nhập:

Phụ thuộc vào kiểu phương pháp được sử dụng để phát hiện xâm nhập, các cơ chế xử lý khác nhau cũng được sử dụng cho dữ liệu đối với một IDS.

-Hệ thống Expert (Expert systems)

Hệ thống này làm việc trên một tập các nguyên tắc đã được định nghĩa từ trước để miêu tả các tấn công. Tất cả các sự kiện có liên quan đến bảo mật đều được kết hợp vào cuộc kiểm định và được dịch dưới dạng nguyên tắc if-then-else. Lấy ví dụ Wisdom & Sense và ComputerWatch (được phát triển tại AT&T).

-Phát hiện xâm nhập dựa trên luật(Rule-Based Intrusion Detection):
Giống như phương pháp hệ thống Expert, phương pháp này dựa trên những hiểu biết về tấn công. Chúng biến đổi sự mô tả của mỗi tấn công thành định dạng kiểm định thích hợp. Như vậy, dấu hiệu tấn công có thể được tìm thấy trong các bản ghi(record). Một kịch bản tấn công có thể được mô tả, ví dụ như một chuỗi sự kiện kiểm định đối với các tấn công hoặc mẫu dữ liệu có thể tìm kiếm đã lấy được trong cuộc kiểm định. Phương pháp này sử dụng các từ tương đương trừu tượng của dữ liệu kiểm định. Sự phát hiện được thực hiện bằng cách sử dụng chuỗi văn bản chung hợp với các cơ chế. Điển hình, nó là một kỹ thuật rất mạnh và thường được sử dụng trong các hệ thống thương mại (ví dụ như: Cisco Secure IDS, Emerald eXpert-BSM(Solaris)).

-Phân biệt ý định người dùng(User intention identification):

Kỹ thuật này mô hình hóa các hành vi thông thường của người dùng bằng một tập nhiệm vụ mức cao mà họ có thể thực hiện được trên hệ thống (liên quan đến chức năng người dùng). Các nhiệm vụ đó thường cần đến một số hoạt động được điều chỉnh sao cho hợp với dữ liệu kiểm định thích hợp. Bộ phân tích giữ một tập hợp nhiệm vụ có thể chấp nhận cho mỗi người dùng. Bất cứ khi nào một sự không hợp lệ được phát hiện thì một cảnh báo sẽ được sinh ra.

-Phân tích trạng thái phiên (State-transition analysis):
Một tấn công được miêu tả bằng một tập các mục tiêu và phiên cần được thực hiện bởi một kẻ xâm nhập để gây tổn hại hệ thống. Các phiên được trình bày trong sơ đồ trạng thái phiên. Nếu phát hiện được một tập phiên vi phạm sẽ tiến hành cảnh báo hay đáp trả theo các hành động đã được định trước.

-Phương pháp phân tích thống kê (Statistical analysis approach):
Đây là phương pháp thường được sử dụng.
Hành vi người dùng hay hệ thống (tập các thuộc tính) được tính theo một số biến thời gian. Ví dụ, các biến như là: đăng nhập người dùng, đăng xuất, số tập tin truy nhập trong một khoảng thời gian, hiệu suất sử dụng không gian đĩa, bộ nhớ, CPU,… Chu kỳ nâng cấp có thể thay đổi từ một vài phút đến một tháng. Hệ thống lưu giá trị có nghĩa cho mỗi biến được sử dụng để phát hiện sự vượt quá ngưỡng được định nghĩa từ trước. Ngay cả phương pháp đơn giản này cũng không thế hợp được với mô hình hành vi người dùng điển hình. Các phương pháp dựa vào việc làm tương quan thông tin về người dùng riêng lẻ với các biến nhóm đã được gộp lại cũng ít có hiệu quả.
Vì vậy, một mô hình tinh vi hơn về hành vi người dùng đã được phát triển bằng cách sử dụng thông tin người dùng ngắn hạn hoặc dài hạn. Các thông tin này thường xuyên được nâng cấp để bắt kịp với thay đổi trong hành vi người dùng. Các phương pháp thống kê thường được sử dụng trong việc bổ sung trong IDS dựa trên thông tin hành vi người dùng thông thường.

II. Thông tin trọng yếu
Intrusion Detection là thiết bị bảo mật vô cùng quan trọng. Intrusion Detection Systems (IDS) là giải pháp bảo mật được bổ sung cho Firewalls (hình dưới đây thể hiện điều đó). Một IDS có khả năng phát hiện ra các đoạn mã độc hại hoạt động trong hệ thống mạng và có khả năng vượt qua được Firewall.
Hầu hết các vấn đề liên quan tới IDS đó là cấu hình sai, đó là việc thiết lập các thống số bị lỗi. Đó là những giao tiếp hợp lệ nhưng lại bị thiết bị IDS cảnh báo là các giao tiếp đó là các đoạn mã nguy hiểm …
Có hai dạng chính của IDS đó là: Network Based và Host Based

Network Based
Một Network-Based IDS (hình dưới đây) sẽ kiểm tra các giao tiếp trên mạng với thời gian thực (real-time). Nó kiểm tra các giao tiếp, quét header của các gói tin, và có thể kiểm tra nội dung của các gói đó để phát hiện ra các đoạn mã nguy hiểm hay các dạng tấn công khác nhau. Một Network-Based IDS hoạt động tin cậy trong việc kiểm tra, phát hiện các dạng tấn công trên mạng, ví dụ như dựa vào băng thông (bandwidth-based) của tấn công Denied of Service (DoS).

Host Based
Một Host-Based IDS hiển thị dưới hình dưới chỉ làm nhiệm vụ giám sát và ghi lại log cho một máy chủ (host-system). Đây là dạng IDS với giới hạn chỉ giám sát và ghi lại toàn bộ những khả năng của host-system (nó bao gồm cả hệ điều hành và các ứng dụng cũng như toàn bộ service của máy chủ đó). A Host-Based IDS có khả năng phát hiện các vấn đề nếu các thông tin về máy chủ đó được giám sát và ghi lại. Là thiết bị bảo mật cho phát hiện các tấn công trực tiếp tới một máy chủ,
Hình dưới đây thể hiện một host-based IDS được hoạt động nhằm nâng cao bảo mật cho hệ điều hành.

Active Detection and Passive Detection
IDS là một hệ thống tự động giám sát trong thời gian thực (Network-Based IDS) hay xem sét lại các thiết lập giám sát (audit log) nhằm phát hiện ra các lỗi bảo mật và các tấn công trực tiếp tới hệ thống mạng hay tới một máy chủ. Có hai phương thưc cơ bản để IDS phát hiện ra các tấn công hay các nguy cơ bảo mật là: Signature Detection và Anomaly Detection. Signature Detection được hiển thị trong hình dưới đây sẽ so sánh các tình huống thực tế với các dạng tấn công (signatures) được lưu trữ trong dữ liệu của IDS. Anomaly Detection thể hiện hình bên dưới sẽ hoạt động tùy thuộc vào môi trường và có thể phát hiện ra những biến cố bất thường. Anomaly-detection dựa vào những hoạt động bình thường của hệ thống để tự động phát hiện ra những điều không bình thường và phân tích xem đó là dạng tấn công nào.
Hiển thị: Một signature-detection IDS

Một anomaly-detection IDS sử dụng công nghệ đỉnh cao để phân tích dựa trên các thuật toán cao cấp.

Một IDS active detection: phát hiện và trả lời được thiết kế để có hành động nhanh nhất nhằm giảm thiểu các nguy hiểm có thể xảy ra với hệ thống. Việc trả lời có thể như tắt máy chủ hay tắt các dịch vụ, ngắt các kết nối (được hiển thị dưới hình dưới đây).
Một IDS với passive detection sẽ trả lời nhưng không có các hành động trực tiếp chống lại các tấn công. Nó có thể ghi lại log của toàn bộ hệ thống và cảnh báo cho người quản trị hệ thống. IDS là thiết bị phát hiện tấn công DoS rất tốt; phát hiện các bugs, flaws hoặc các tính năng ẩn, và quét ports. Nhưng nó không có khả năng phát hiện các tấn công dựa trên các email chứa các đoạn mã nguy hiểm.
Các thành phần của IDS hoạt động để giám sát mạng

IDS instructing TCP reset tất cả các kết nối.

IDS yêu cầu Firewall chặn port 80 trong 60 giây để chống lại các tấn công vào máy chủ Web cài IIS.

Honey Pots
Một honey-pot được thể hiện trong hình dưới là một môi trường giả lập được thiết kế để dụ dỗ và đánh lừa các kẻ tấn công và những kẻ gây dối từ hệ thống mạng bên trong. Honey-pot thường được phát triển như một lớp đệm của hệ thống mạng với những người dùng bình thường, phân chia thành các vùng như: Internet, DMZ, Internal.
Honey-pot hoạt động như một hệ thống mạng thật, với các thông số về dữ liệu và tài nguyên nhưng thật ra nó lại được thiết kế để đánh lừa các kẻ tấn công. Những kẻ tấn công sẽ scan và phát hiện những lỗ hổng bảo mật tại honey-pot nhưng đó chỉ là môi trường ảo còn mạng thật vẫn được ngụy trang rất kỹ. Trong một hệ thống mạng yêu cầu độ an toàn cao thì sẽ có rất nhiều honey-pot với thiết lập và nội dung giống hệt nhưng hệ thống mạng thực tế, do đó kẻ tấn công sẽ rất khó khăn trong việc xác định mạng nào là mạng thật.
Việc tạo ra honey-pot nhằm cung cấp một lớp bảo vệ thông minh cho mạng của bạn chống lại các kẻ tấn công nguy hiểm. Ngoài ra nó còn tạo một môi trường giúp các nhà quản trị thực tập các bài test bảo mật nhưng vẫn không ảnh hưởng tới hệ thống thật.
Một mạng honey pot đánh lừa những kẻ tấn công một cách thông minh.

Incident Response.
Khi một vấn đề bảo mật được phát hiện, incident response sẽ phải được thiết lập. Với tác dụng là lập kế hoạch và các văn bản giảm thiểu sự bất ngờ về mức độ nguy hiểm, tạo các bản recovery cho dữ liệu một cách nhanh chóng, nếu sự cố xảy ra có thể giảm thiểu được thiệt hại và bất ngờ. Với thời gian khắc phục sự cố một cách nhanh nhất.
Nhằm giảm thiểu bạn phải có kế hoạch:
- Ghi lại toàn bộ các vấn đề được phát hiện đã xử lý và nguy cơ tiềm ẩn.
- Tạo các bản backup toàn bộ dữ liệu và thường xuyên kiểm tra các ổ đĩa, có giải pháp phòng sự cố khi ổ đĩa bị hỏng.
- Tổng hợp toàn bộ dữ liệu log được ghi lại đôi khi cũng phải thực hiện tạo ra các bản copy của dữ liệu đó, mặt khác bảo mật dữ liệu log cũng rấ quan trọng.
- Ngoài ra bạn phải có các chính sách nhằm nâng cao độ ổn định của hệ thống như tạo ra các kết nối dư thừa trong tình huống các kết nối chính bị ngắt do một nguyên nhân nào đó thì không ảnh hưởng tới các dịch vụ mạng.

Tổng kết
Trong bài viết này các bạn cần phải nắm được thế nào là một IDS vai trò của nó ra sao trong hệ thống mạng. Các dạng của IDS, phương thức phát hiện ra các tấn công, các hành động khi đã phát hiện ra tấn công. Giải pháp giả lập một mạng nhằm đánh lừa các kẻ tấn công ra sao. Cách giúp một hệ thống hoạt động ổn định và có những giải pháp khắc phục sự cố một cách nhanh nhất.

Giải pháp bảo mật dành cho các công ty chứng khoán

Giải pháp bảo mật dành cho các công ty chứng khoán

23:58 | 11/07/2010

Để đảm bảo an toàn cho các kết nối, trao đổi thông tin và ngăn chặn các tấn công cả từ bên trong trong và bên ngoài mạng, giải pháp bảo mật tổng thể và sản phẩm bảo mật cho hạ tầng công nghệ thông tin

Mô hình mạng:

Năm phân vùng trong mô hình bảo mật tổng thể là:

1. Vùng mạng LAN bên trong toà nhà của công ty Chứng khoán, vùng này bao gồm:
   • Mạng LAN các PC của khối văn phòng, khối tài chính, khối nghiệp vụ tư vấn tài chính, môigiới mua bán chứng khoán.
   • Hệ thống tổng đài IP phục vụ liên lạc của công ty Chứng khoán
2. Vùng các máy chủ DMZ cung cấp các dịch vụ trực tuyến được truy cập qua Internet như: E-Mail, Web site thông tin thị trường, Online Brokerage, Online OTC…
3. Vùng các máy chủ cơ sở dữ liệu và ứng dụng quan trọng vận hành hệ thống quản lý các giao dịch chứng khoán.
4. Vùng người dùng truy cập từ xa qua Internet vào hệ thống mạng, ứng dụng của công ty, vùng này bao gồm:
   • Nhân viên của công ty chứng khoán hoạt động tại 2 trung tâm GDCK Hà Nội và tp. Hồ Chí Minh truy cập VPN (Client to Site) về mạng của công ty.
   • Các nhà đầu tư truy cập vào Web site và dịch vụ chứng khoán trực tuyến (Online Brokerage, Online OTC) của công ty.
5. Vùng các đại lý, chi nhánh của công ty kết nối VPN Site to Site hoặc WAN vào hệ thống mạng của công ty. Đây cũng là vùng kết nối mạng thông tin từ công ty Chứng khoán tới mạng của các Ngân hàng thanh toán, lưu kí trong tương lai.

Để đảm bảo an toàn cho các kết nối, trao đổi thông tin và ngăn chặn các tấn công cả từ bên trong trong và bên ngoài mạng, giải pháp bảo mật tổng thể và sản phẩm bảo mật cho hạ tầng công nghệ thông tin được chúng tôi đề xuất như sau:

1.Phân tách các vùng mạng và bảo vệ bằng hệ thống Firewall Mạng trong phạm vi toà nhà của công ty sẽ được chia làm ba vùng chính:

• Vùng DMZ gồm các Server cho các dịch vụ trực tuyến như Web site, Email, các ứng dụng Online Brokerage, Online OTC…
• Vùng các Server cơ sở dữ liệu và ứng dụng quan trọng như BackOffice, CSDL khách hàng, giao dịch, lưu kí… Đây là vùng các Servers chính vận hành toàn bộ hệ thống phần mềm và CSDL liên quan tới giao dịch mua bán chứng khoán.
• Vùng mạng LAN bao gồm khối văn phòng, nghiệp vụ và hệ thống tổng đài IP.

Các vùng mạng sẽ được quy hoạch trên các dải IP riêng biệt. Hệ thống Firewall sẽ kiểm soát luồng dữ liệu đi qua bao gồm: Truy cập từ ngoài Internet vào vùng dịch vụ trực tuyến, người dùng ở mạng LAN truy cập Internet qua đường LeasedLine, ADSL hoặc Wireless, người dùng ở mạng LAN truy cập vào vùng Server ứng dụng và cơ sở dữ liệu. Firewall sẽ kiểm soát, xác thực và ngăn chặn những truy cập không hợp lệ, những tấn công của hacker từ ngoài Internet hoặc trực tiếp xuất phát từ bên trong mạng vào các vùng servers.

Với kinh nghiệm triển khai của hệ thống , kết hợp với sự phát triển của công nghệ, chúng tôi đề xuất hệ thống Firewall sẽ là sự kết hợp giữa Firewall VPN1- UTM của hãng Check Point chạy trên phần cứng chuyên dụng của hãng Crossbeam System. Check Point Firewall VPN1-UTM hội đủ các yêu tố bảo vệ mạng bao gồm các tính năng Firewall, AntiVirus, IPS và VPN server chỉ trong một sản phẩm. Check Point Firewall được cài trên một cặp thiết bị an ninh tích hợp chuyên dụng của hãng Crossbeam System chạy clustering ở chế độ HA (High availability) đảm bảo tính sẵn sàng cao và hiệu năng hoạt động của toàn mạng.

2. Thiết lập và bảo vệ các kết nối VPN.

Hệ thống Check Point Firewall VPN1-UTM đặt tại trụ sở chính của công ty chứng khoán bên cạnh chức năng kiểm soát các luồng thông tin ra vào mạng còn là hệ thống VPN Server cho các kết nối theo cả 2 mô hình Client to Site và Site to Site.

Với mô hình kết nối VPN Site to Site, tại mỗi chi nhánh hoặc đại lý sẽ sử dụng thiết bị Firewall VPN chuyên dụng loại nhỏ VPN1-Edge của hãng Check Point. Thiết bị này có đầy đủ tính năng Firewall và thiết lập kênh kết nối Site to Site qua đường Leaseline hoặc ADSL. Với mô hình này, hệ thống VPN Server tại Headquater sẽ tự động xác thực giữa 2 đầu thiết bị và kiểm tra tính an toàn trước khi cho phép thiết lập kênh kết nối.

Check Point VPN1-Edge khi thiết lập VPN tunnel sẽ sử dụng các công nghệ mã hoá sau

• (AES) 128-256 bit
• Triple DES 56-168 bit
• SSL – Secure Sockets Layer

Mô hình Client to Site áp dụng cho các nhân viên của công ty làm việc tại các TTGDCK thiết lập kênh kết nối qua Internet, dial-up và hỗ trợ xác thực người dùng bằng nhiều phương thức như Certificate, Token, Smartcard… trước khi cho phép kết nối. Tại các máy của nhân viên sẽ cài phần mếm thiết lập kết nối VPN client của Check Point.

3. Thiết lập các hệ thống phòng chống xâm nhập cho các vùng thông tin quan trọng.

Trong mô hình bảo mật tổng thể cho công ty chứng khoán, vùng máy chủ cơ sở dữ liệu và máy chủ ứng dụng là quan trọng nhất trong hoạt động trao đổi thông tin của công ty chứng khoán. Nếu một trong các máy chủ này bị tấn công hoặc có sự cố, hoạt động kinh doanh của các công ty sẽ bị ảnh hưởng trực tiếp. Do vậy bên cạnh hệ thống Firewall bảo vệ hạ tầng network của công ty, nhất thiết cần trang bị bổ sung hệ thống phòng chống xâm nhập (IPS) để bảo vệ riêng cho vùng các Server ứng dụng này. Khác với Network Firewall, hệ thống IPS sẽ phát hiện và ngăn chặn các xâm nhập ở tầng ứng dụng, can thiệp trực tiếp vào các protocols, các traffice mà hệ thống Firewall không phát hiện được. Hệ thống IPS được đặt trong vùng mạng LAN, do vậy hệ thống phải đảm bảo được tốc độ xử lý để không làm nghẽn luồng thông tin được trao đổi với mật độ cao tại đây.
Với mức độ quan trọng như trên, chúng tôi đề xuất triển khai thiết bị phòng chống xâm nhập Proventia Network IPS chuyên dụng của hãng Internet Security Systems –ISS. Thiết bị này cho phép ngăn chặn trước các cuộc tấn công chưa biết cũng như các cuộc tấn công đã biết như DoS, trojan, peer to peer download, backdoor, malicious http và file đính kèm e-mail mà không ảnh hưởng đến hoạt động của mạng. Đặc biệt, thiết bị Proventia Network IPS có khả năng phân tích và nhận dạng các giao thức được sử dụng trong VoIP như SIP, MGCP, H.323, H.225, H.245, Q.931, T.120 và SCCP để xác định các cuộc tấn công.
Thiết bị này sẽ được đặt trước vùng Server farm bảo vệ cho cả vùng, kiểm soát toàn bộ các yêu cầu truy cập dữ liệu cả ở mức Network và mức ứng dụng trên các Server. Cơ sở dữ liệu về các mẫu tấn công (attacking Signatures) sẽ luôn được hệ thống update từ Internet Security Systems X-Force theo thời gian thực, đảm bảo ngăn chặn tối đa các tấn công có thể xảy ra hiện nay. Proventia Network IPS có tính năng Fail-open và hỗ trợ cấu hình dạng Active/Active, Active/Passive do vậy đảm bảo tính sẵn sàng cao của toàn mạng.

4. Ngăn chặn tấn công của Virus tại Gateway và trong các vùng mạng.

Các con đường mà virus có thể tấn công và bùng phát vào mạng của công ty chứng khoán tương đối đa dạng, xuất phát từ Internet, từ người dùng bên trong, bên ngoài mạng và đặc biệt qua email. Để có một hệ thống phòng chống có hiệu quả cao thì cần phòng và chống Virus và Spyware tại cả 4 lớp mạng: gateway, mailserver, server, PCs. Hệ thống này phải được quản lý tập trung, thống nhất và luôn luôn được cập nhật mẫu Virus và Spyware từ những trung tâm phòng chống Virus và Spyware lớn trên thế giới. Ngoài ra cần phải có một chính sách bảo mật chung và kết hợp với các giải pháp bảo mật khác để phòng chống Virus và Spyware hiệu quả hơn.

Giải pháp tổng thể được chúng tôi đề xuất dựa trên công nghệ và sản phẩm phòng chống virus của hãng Trend Micro. Các sản phẩm bao gồm:

• Trend Micro™ Client/Server/Messaging Suite for SMB
• Trend Micro Internet Security
• InterScan Gateway Security Appliance

Đối với ngăn chặn và phòng chống AntiVirus tại Internet Gateway, chúng tôi sử dụng thiết bị chuyên dụng InterScan Gateway Appliance (ISGA) của hãng Trend Micro. Đây là thiết bị quét virus, spyware, phishing tại Internet Gateway trên các luồng: SMTP, POP3, HTTP, FTP và đặc biệt đảm bảo được tốc độ tại điểm Gateway mà hầu hết các traffice trao đổi thông tin giữa mạng trong và mạng ngoài đều phải đi qua.

5. Xác thực mạnh và chữ kí số để đảm bảo các giao dịch mua bán chứng khoán trực tuyến.

Trước sự sôi động của thị trường chứng khoán và số lượng các nhà đầu tư ngày càng tăng nhanh, các công ty đang rất cố gắng thu hút được nhiều nhà đầu tư đến với mình bằng cách cung cấp các dịch vụ thuận lợi nhất như mở tài khoản, giao dịch qua mạng, qua phone. Một trong những yếu tố thành công của các hình thức dịch vụ Online là tính an toàn, nhanh chóng và không làm nhà đầu tư mất các cơ hội mua bán. Xác thực mạnh danh tính trực tuyến và ứng dụng công nghệ Hạ tầng mã khoá công cộng (PKI) để mã hoá dữ liệu nhằm đảm bảo tối đa tính toàn vẹn, bí mật và chống từ chối của các giao dịch điện tử.

Hãng Entrust và hãng VASCO là 2 công ty chuyên cung cấp các giải pháp, sản phẩm xác thực mạnh và mã hoá dữ liệu cho lĩnh vực tài chính, ngân hàng. Trong lĩnh vực chứng khoán, giải pháp của Entrust và VASCO được tích hợp vào các ứng dụng giao dịch mua bán chứng khoá trưc tuyến thực hiện nhằm các mục đính:

• Xác thực mạnh 2 yếu tố khi người dùng truy cập tài khoản trực tuyến, sử dụng các phương thức xác thực như One-Time-Password token, Grid token, Mobile

• Xác thực 2 chiều giữa ứng dụng chứng khoán trực tuyến và các nhà đầu tư. Các nhà đầu tư có khả năng xác thực lại Web site, ứng dụng có đúng là Web site thật của nhà cung cấp hay không. Kĩ thuật này giúp cho nhà đầu tư chống lại các kĩ thuật tấn công phishing hoặc Farming để ăn cắp thông tin của tin tặc.
• Tích hợp chữ kí số vào các giao dịch quan trọng, đảm bảo tính toàn vẹn, tính mật, tính chống từ chối trong các giao dịch mua bán chứng khoán online. Công nghệ này cũng được các cty chứng khoán ứng dụng làm trọng tài phân xử trong trường hợp nảy sinh các vấn đề chối bỏ hoặc sai sót trong giao dịch.

Thông thường, các giải pháp xác thực truyền thống sẽ đòi hỏi hàng trăm đô-la đầu tư cho mỗi một khách hàng, vậy các công ty chứng khoán sẽ chịu chi phí này hay nhà đầu tư sẽ chịu để bảo mật thông tin của họ? Giải pháp xác thực mạnh IdentityGuard của Entrust sẽ giúp các công ty chứng khoán giải quyết bài toán này với một chi phí tối ưu nhất. Mỗi một nhà đầu tư sẽ được cấp một thẻ xác thực in ma trận một bảng như hình vẽ, mỗi một lần giao dịch, thay vì (hoặc thêm vào) việc hỏi mật khẩu, ứng dụng chứng khoán sẽ hỏi vài giá trị trong một số ô ngẫu nhiên trên thẻ. Ví dụ: A3=? B5=? C2=?... Nếu giả sử lần giao dịch đó bị lộ, kẻ xấu c ũng không thể lợi dụng được lần sau. Tất nhiên bảng giá trị này sẽ thường xuyên được thay đổi và gửi đến khách.
Thẻ xác thực có thể cấp cho các nhà đầu tư khi sử dụng giao dịch điện tử, giao dịch qua phone, trang bị cho các nhân viên của công ty tại trung tâm giao dịch truy cập VPN về mạng của công ty, trang bị cho các nhân viên trong công ty khi muốn truy cập vào một số ứng dụng nội bộ hoặc server quan trọng. Giải pháp xác thực IdentityGuard của Entrust rất phù hợp khi triển khai với một số lượng lớn bởi chi phí thấp và tính tiện dụng cao.

6. Kiểm tra, phát hiện các lỗ hổng trong ứng dụng phát triển

Hầu hết các ứng dụng chứng khoán trực tuyến hiện nay đều do các công ty phần mềm trong nước phát triển và chạy trên môi trường Web. Các ứng dụng đó được lập trình bằng các công cụ và ngôn ngữ lập trình phổ biến như .NET, Oracle và trên thực tế các ứng dụng đó luôn tiềm ẩn rất nhiều những lỗ hổng bảo mật xuất phát từ bản thân các phần mềm cơ sở dữ liệu, trong các Web server và trong các đoạn code lập trình của lập trình viên. Các lỗ hổng đó sẽ tạo ra các Backdoor để tin tặc lợi dụng làm sai lệch thông tin, chiếm đoạt quyền điều khiển của các account quản trị của ứng dụng hoặc thậm chí chiếm đoạt luôn quyền điều khiển Server. Đối với những lỗ hổng bảo mật loại này, các hệ thống như Network Firewall, IPS cũng khó có thể phát hiện ra.
Để phát hiện và ngăn chặn các lỗ hổng bảo mật trong ứng dụng Web, có 2 phương pháp được áp dụng là:

• Sử dụng chương trình phát hiện điểm yếu để rà soát tất cả các đoạn code lập trình, các hệ điều hành, các web server mà ứng dụng Web đang hoạt động. Chương trình sẽ chỉ ra những lỗ hổng và đề xuất các phương án xử lý. Giải pháp AppScan 7.0 của hãng WatchFire cho phép tự động hoá tiến trình phân tích, giúp cho thời gian phát hiện lỗ hổng, nguồn gốc phát sinh và đề xuất phương hướng ngăn chặn giảm 80% so với việc sử dụng các chuyên gia đánh giá lỗ hổng. Giải pháp này là cầu nối giữa giữa chuyên viên bảo mật với nhà phát triển ứng dụng để đem lại tính an toàn bảo mật nhất cho ứng dụng Web. Phương pháp này có thể được áp dụng ngay khi ứng dụng đang trong giai đoạn phát triển hoặc sau khi ứng dụng đã đi vào hoạt động.

• Phương pháp thứ hai được sử dụng để kiểm soát và che các lỗ hổng bảo mật trong ứng dụng là sử dụng một thế hệ Firewall mới chuyên dụng để bảo vệ cho các ứng dụng Web. Netcontinnum Application Security là một sản phẩm tường lửa ứng dụng Web của hãng Netcontinuum với mục đích phát hiện ra các lỗ hổng bảo mật, sau đó sẽ kiểm soát và ngăn chặn các tấn công tới lỗ hổng đó. Khác với giải pháp của WatchFire, Netcontinnum không yêu cầu phải ra soát toàn bộ các mã lệnh lập trình mà sẽ được đặt trước ứng dụng để kiểm soát các yêu cầu từ phía người dùng gửi tới ứng dụng Web.

Netcontinuum có khả năng phát hiện và xử lý trên 70 loại lỗ hổng và nguy cơ mất an toàn nằm bên trong các ứng dụng. Các loại lỗ hổng này đều nằm trong top 10 lỗ hổng tinh vi nhất được hiệp hội phát triển và bảo vệ ứng dụng “Open Web Application Security Project” (OWASP: www.owasp.org) nêu ra.

Kết luận:

Theo kế hoạch phát triển của ngành tài chính, ngành chứng khoán sẽ đạt 30% GPD của Việt nam đến năm 2010. Theo đúng kế hoạch này thì thị trường chứng khoán việt nam sẽ rất sôi động và phát triển nhanh chóng. Khi đó giao dịch chứng khoán trực tuyến trở thành yếu tố quan trọng làm chìa khoá cạnh tranh giữa các công ty chứng khoán. Đây cũng là yếu tố thúc đẩy sự phát triển chung của ngành chứng khoán Việt Nam tương tự như đối với thị trường chứng khoán quốc tế. Tuy vậy việc đầu tư và triển khai một hệ thống CNTT đảo bảm cho các hoạt động chứng khoán, nhất thiết cần phải đầu tư một cách đồng bộ giữa hạ tầng thông tin và hệ thống bảo mật một cách đầy đủ. Nếu hệ thống vẫn còn tồn tại những lỗ hổng chưa được bảo vệ thì có thể đó sẽ là các điểm yếu để tin tặc, hoặc thậm chí là những đối thủ cạnh tranh lợi dụng để tấn công. Hậu quả xảy ra ảnh hưởng đến hoạt động kinh doanh là khó có thể lường trước được.

Song song với việc đầu tư về công nghệ, các công ty chưng khoán sẽ phải xây dựng được riêng cho mình một hệ thống quản lý an toàn thông tin bao gồm các chính sách ATTT, các hướng dẫn cụ thể trong việc thực thi chính sách và bố trí tài nguyên con người cùng với trách nhiệm và quyền lợi cụ thể. Hệ thống quản lý này sẽ giúp cho các công ty chứng khoán có thể thích ứng linh hoạt với sự thay đổi của các rủi ro trong hệ thống CNTT. Hệ thống này được mô tả kỹ lưỡng trong chuẩn ISO17799- chuẩn quốc tế về an toàn thông tin- mà các công ty chứng khoán có thể xem xét áp dụng.
Với tư cách làm một trong các công ty hàng đầu của Việt Nam trong lĩnh vực an toàn thông tin, chúng tôi có thể cung cấp tới các công ty chứng khoán các dịch vụ về an toàn thông tin sau:

• Tư vấn giải pháp tổng thể an toàn, an ninh thông tin
• Đánh giá, kiểm định rủi ro và lên phương án xử lý trong hệ thống CNTT
• Cung cấp phần mềm, phần cứng và triển khai các giải pháp an toàn thông tin tổng thể.
• Đạo tạo về lĩnh vực an toàn, an ninh thông tin trong và ngoài nước.

Chúng tôi hi vọng kinh nghiệm và các giải pháp an toàn thông tin của chúng tôi sẽ góp phần vào sự phát triển của ngành tài chính nói chung và thị trường chứng khoán nói riêng.

Các phương thức xác thực -Authentication Methods

Các phương thức xác thực -Authentication Methods

Bạn đã được học về xác thực (authentication), đây là một trong 4 nhân tố chính
trong bảo mật computer. Mặc dù  authentication luôn có cùng một mục tiêu, nhưng
có nhiều cách tiếp cận khác nhau để hoàn thành.. Trong chủ đề này, chúng ta sẽ
thảo luận vài phương thức xác thực chính phổ biến hiện nay.
Một số nhân tố được sử dụng chính trong xác thực chẳng hạn:
• password (mật mã)
• key (khóa)
• fingerprints (vân tay)


Xác thực dựa trên User Name và Password 

Sự kết hợp của một user name và password là cách xác thực cơ bản nhất. Với kiểu
xác thực này, chứng từ ủy nhiệm User được đối chiếu với chứng từ được lưu trữ trên
database hệ thống , nếu trùng khớp username và password, thì user được xác thực
và nếu không User bị cấm truy cập. Phương thức này không bảo mật lắm vì chứng từ
xác nhận User được gửi đi xác thực trong tình trạng plain text, tức không được mã
hóa và có thể bị tóm trên đường truyền.



Figure 1-3: User name/password authentication



Nis.com.vn 2008
 


Challenge Handshake Authentication Protocol (CHAP)

Challenge Handshake Authentication Protocol (CHAP) cũng là mô hình xác thực dựa
trên user name/password. Khi user cố gắng log on, server đảm nhiệm vai trò xác
thực sẽ gửi một thông điệp thử thách (challenge message) trở lại máy tính User. Lúc
này máy tính User sẽ phản hồi lại user name và password được mã hóa. Server xác
thực sẽ so sánh phiên bản xác thực User được lưu giữ với phiên bản mã hóa vừa
nhận , nếu trùng khớp, user sẽ được authenticated. Bản thân Password không bao
giờ được gửi qua network. Phương thức CHAP thường được sử dụng khi User logon
vào các remote servers của cty chẳng hạn như RAS server.
Dữ liệu chứa password được mã hóa gọi là password băm (hash password). Một gói
băm là một loại mã hóa không có phương cách giải mã.



Figure 1-4: CHAP.


Kerberos

Kerberos authentication dùng một Server trung tâm để kiểm tra việc xác thực user
và cấp phát thẻ thông hành (service tickets) để User có thể truy cập vào tài nguyên.
Kerberos là một phương thức rất an toàn trong authentication bởi vì dùng cấp độ mã
hóa rất mạnh. Kerberos cũng dựa trên độ chính xác của thời gian xác thực giữa
Server và Client Computer, do đó cần đảm bảo có một time server hoặc
authenticating servers được đồng bộ time từ các Internet time server.
Kerberos là nền tảng xác thực chính của nhiều OS như Unix, Windows
Nis.com.vn 2008
 




Figure 1-5: Kerberos.


Tokens

Tokens là phương tiện vật lý như các thẻ thông minh (smart cards) hoặc thẻ đeo của
nhân viên (ID badges) chứa thông tin xác thực. Tokens có thể lưu trữ số nhận dạng
cá nhân-personal identification numbers (PINs), thông tin về user, hoặc passwords.
Các thông tin trên token chỉ có thể được đọc và xử lý bởi các thiết bị đặc dụng, ví dụ
như thẻ smart card được đọc bởi đầu đọc smart card gắn trên Computer, sau đó
thông tin này được gửi đến authenticating server. Tokens chứa chuỗi text hoặc giá trị
số duy nhất thông thương mỗi giá trị này chỉ sử dụng một lần.


Ví dụ về Smart Cards
Smart cards là ví dụ điển hình về xác thực tokens- token-based authentication. Một
smart card là một thẻ nhựa có gắn một chip máy tính lưu trữ các loại thông tin điện
tử  khác nhau. Nội dung thông tin của card được đọc với một thiết bị đặc biệt.

Biometrics
Biometrics (phương pháp nhận dạng sinh trắc học) mô hình xác thực dựa trên đặc
điểm sinh học của từng cá nhân. Quét dấu vân tay (fingerprint scanner), quét võng
mạc mắt (retinal scanner), nhận dạng giọng nói(voice-recognition), nhận dạng
khuôn mặt(facerecognition).Vì nhận dạng sinh trắc học hiện rất tốn kém chi phí khi
triển khai nên không được chấp nhận rộng rãi như các phương thức xác thực khác.
Nis.com.vn 2008
 

NETWORK INFORMATION SECURITY VIETNAM




Figure 1-7: Biometrics.


Multi-Factor Authentication

Multi-factor authentication, xác thực dựa trên nhiều nhân tố kết hợp, là mô hình xác
thực yêu cầu kiểm ít nhất 2 nhân tố xác thực .Có thể đó là sự kết hợp của bất cứ
nhân tố nào ví dụ như: bạn là ai, bạn có gì chứng minh, và bạn biết gì?.

Ví dụ: về một Multi-Factor Implementation:
Cần phải đưa thẽ nhận dạng vào đầu đọc và cho biết tiếp password là gì


Figure 1-8: Multi-factor authentication


Mutual Authentication

Mutual authentication, xác thực lẫn nhau là kỹ thuật bảo mật mà mỗi thành phần
tham gia giao tiếp với nhau kiểm tra lẫn nhau. Trước hết Server chứa tài nguyên
kiểm tra “giấy phép truy cập” của client và sau đó client lại kiểm tra “giấy phép cấp
tài nguyên” của Server. Điều này giống như khi bạn giao dịch với một Server của
bank, bạn cần kiểm tra Server xem có đúng của bank không hay là một cái bẫy của
hacker giăng ra, à ngược lại Server bank sẽ kiểm tra bạn…
Nis.com.vn 2008

Các kỹ thuật kiểm soát truy nhập
Kiểm soát truy nhập nói chung được chia ra làm hai loại, hoặc là tùy ý (discretionary), hoặc là bắt buộc (mandatory). Thông hiểu sự khác nhau giữa kiểm soát truy nhập tùy ý (DAC) và kiểm soát truy nhập bắt buộc (MAC), cũng như những phương pháp kiểm soát truy nhập cụ thể thuộc mỗi loại trên, là một yêu cầu then chốt để chúng ta có thể đạt được kết quả tốt trong trong quá trình kiểm soát quyền, kiểm soát truy nhập của người dùng.

1.Kiểm soát truy nhập tuỳ ý
1.1Kiểm soát truy nhập tùy ý trong hệ điều hành

Kiểm soát truy nhập tùy ý (discretionary access control - DAC) là một chính sách truy nhập mà chủ nhân của tập tin hay người chủ của một tài nguyên nào đấy tự định đoạt. Chủ nhân của nó quyết định ai là người được phép truy nhập tập tin và những đặc quyền (privilege) nào là những đặc quyền người đó được phép thi hành.
Hai khái niệm niệm quan trọng trong truy nhập tùy ý là:
• Chủ sở hữu của tập tin và dữ liệu (File and data ownership): Bất cứ một đối tượng nào trong một hệ thống cũng phải có một chủ nhân là người sở hữu nó. Chính sách truy nhập các đối tượng là do chủ nhân tài nguyên (chủ nhân của đối tượng đó) quyết định. Những tài nguyên hệ thống bao gồm: các tập tin, các thư mục, dữ liệu, các tài nguyên của hệ thống, và các thiết bị. Theo lý thuyết, đối tượng nào không có chủ sở hữu thì đối tượng đó bị bỏ lơ, không được bảo vệ. Thông thường thì chủ nhân của tài nguyên chính là người đã tạo nên tài nguyên (như tập tin hoặc thư mục).
• Các đặc quyền truy nhập: Đây là những quyền khống chế những thực thể tài nguyên mà chủ nhân của tài nguyên chỉ định cho mỗi một người hoặc mỗi một nhóm người dùng.
Kiểm soát truy nhập tùy ý có thể được áp dụng thông qua nhiều kỹ thuật khác nhau:
• Danh sách kiểm soát truy nhập (Access control list - ACL) là danh sách các đặc quyền mà chủ thể có thể được thực hiện trên một đối tượng. Mỗi đối tượng có một danh sách các quyền truy nhập tương ứng với một chủ thể. Ví dụ: trong Unix, ta có 4 người dùng là A, B, C, D chẳng hạn, khi đó ta có danh sách kiểm soát truy nhập của các file như sau:
o File0: (A,RX), File2: (A, RW-), (B, R--), (D, RW-), File3: (C, ---)
o Danh sách kiểm soát truy nhập cho ta một phương pháp linh hoạt để áp dụng quy chế kiểm soát truy nhập tùy ý.
• Kiểm soát truy nhập dựa vào role (role-based access control): kiểm soát truy nhập của người dùng dựa trên các role mà họ được gán. Role là một nhóm quyền được đặt tên. Chiến lược này giúp giảm khó khăn trong việc điều hành quản lý quyền truy nhập.

1.2. Kiểm soát truy nhập tùy ý trong CSDL

Kiểm soát truy nhập tùy ý chỉ rõ những đặc quyền mà mỗi chủ thể có thể có được trên các đối tượng và trên hệ thống (object prilvilege, system prilvilege). Các yêu cầu truy nhập được kiểm tra, thông qua một cơ chế kiểm soát tuỳ ý, truy nhập chỉ được trao cho các chủ thể thoả mãn các quy tắc cấp quyền của hệ thống.
DAC dựa vào định danh của người dùng có yêu cầu truy nhập. ‘Tùy ý’ có nghĩa rằng người sử dụng có khả năng cấp phát hoặc thu hồi quyền truy nhập trên một số đối tượng. Điều này ngầm định rằng, việc phân quyền kiểm soát dựa vào quyền sở hữu (kiểu chính sách cấp quyền dựa vào quyền sở hữu).
Trao quyền: Do người sở hữu đối tượng thực hiện. Tuy nhiên, trong DAC có thể lan truyền các quyền. Ví dụ: trong Oracle có GRANT OPTION, ADMIN OPTION.
Thu hồi quyền: Người dùng muốn thu hồi quyền (người đã được trao quyền đó) phải có đặc quyền để thu hồi quyền. Trong Oracle, nếu 1 user có GRANT OPTION, anh ta có thể thu hồi quyền đã truyền cho người khác.
Như vậy, DAC cho phép đọc thông tin từ một đối tượng và chuyển đến một đối tượng khác (đối tượng này có thể được ghi bởi một chủ thể). Điều này tạo ra sơ hở để cho tấn công con ngựa thành Tơroa sao chép thông tin từ một đối tượng đến một đối tượng khác.
Ví dụ: UserA là chủ sở hữu tableA, anh ta tạo ra khung nhìn ViewA từ bảng này (sao chép thông tin). UserA không cho phép UserB được đọc tableA nhưng lại vô tình gán quyền Write cho UserB trên ViewA. vậy là, UserB có thể đọc thông tin tableA dù không được quyền trên bảng này.

2.Kiểm soát truy nhập bắt buộc
2.1.Kiểm soát truy nhập bắt buộc trong hệ điều hành

Kiểm soát truy nhập bắt buộc (mandatory access control - MAC) là một chính sách truy nhập không do cá nhân sở hữu tài nguyên quyết định, mà do hệ thống quyết định. MAC được dùng trong các hệ thống đa cấp, là những hệ thống xử lý các loại dữ liệu nhạy cảm, như các thông tin được phân loại về mức độ bảo mật trong cơ quan chính phủ và trong quân đội. Một hệ thống đa cấp là một hệ thống máy tính duy nhất chịu trách nhiệm xử lý nhiều cấp nhạy cảm giữa các chủ thể và các đối tượng trong hệ thống.
Nhãn nhạy cảm (sensitivity label): Trong hệ thống dùng kiểm soát truy nhập bắt buộc, hệ thống chỉ định một nhãn nhạy cảm cho mỗi chủ thể và mỗi đối tượng trong hệ thống. Nhãn nhạy cảm của một chủ thể sẽ xác định mức tin cậy của chủ thể đó cần thiết để truy nhập. Để truy nhập một đối tượng nào đó, chủ thể phải có một mức nhạy cảm (độ tin cậy) tương đồng hoặc cao hơn mức nhạy cảm của đối tượng yêu cầu.
Nhập và xuất dữ liệu (Data import and export): Điều khiển việc nhập và xuất thông tin tới một hệ thống khác (bao gồm cả các máy in) là một chức năng trọng yếu trong các hệ thống sử dụng kiểm soát truy nhập bắt buộc. Nhiệm vụ của việc nhập - xuất thông tin là phải đảm bảo các nhãn nhạy cảm được giữ gìn một cách đúng đắn và các thông tin nhạy cảm phải được bảo vệ trong bất kỳ tình huống nào.
Có hai phương pháp được dùng phổ biến để áp dụng chính sách kiểm soát truy nhập bắt buộc:
• Kiểm soát truy nhập dựa vào quy tắc (rule-based access control): Việc điều khiển thuộc loại này định nghĩa thêm những điều kiện cụ thể đối với việc truy nhập một đối tượng mà chúng ta yêu cầu. Tất cả các hệ thống dùng kiểm soát truy nhập bắt buộc đều thực hiện dựa vào quy tắc, nhằm quyết định cho phép hay từ chối yêu cầu truy nhập, bằng cách đối chiếu:
o Nhãn nhạy cảm của đối tượng
o Nhãn nhạy cảm của chủ thể
• Kiểm soát truy nhập dựa vào lưới (lattice-based access control): Đây là phương pháp người ta sử dụng đối với những quyết định phức tạp trong kiểm soát truy nhập với sự liên quan của nhiều đối tượng và/hoặc chủ thể. Mô hình lưới là một cấu trúc toán học, nó định nghĩa các giá trị cận dưới lớn nhất (greaANHTUAN lower-bound) và cận trên nhỏ nhất (least upper-bound) cho những cặp nguyên tố, chẳng hạn như cặp nguyên tố bao gồm một chủ thể và một đối tượng.
Clearance là mức nhạy cảm để người dùng (hay phía Client) có thể truy nhập thông tin. Người ta thường chia Clearance thành 4 loại:
• Tối mật (Top Secret - T): Được áp dụng với thông tin mà nếu bị lộ có thể dẫn đến những thiệt hại trầm trọng với an ninh quốc gia
• Tuyệt mật (Secret - S): Được áp dụng với thông tin mà nếu bị lộ có thể dẫn đến một loạt thiệt hại với an ninh quốc gia.
• Mật (Confidential - C): Được áp dụng với thông tin mà nếu bị lộ có thể dẫn đến thiệt hại với an ninh quốc gia.
• Không phân loại (Unclassified - U): Những thông tin không gây thiệt hại
Sự phân loại mức nhạy cảm cho thông tin tuỳ thuộc vào chính sách. Người ta sẽ sử dụng cùng các mức phân loại cho các mức Clearance thành một cặp "Kiểu - Loại". Trong đó, kiểu người dùng là một giới hạn để truy nhập thông tin dựa trên sự phân loại Clearance của thông tin. Mối quan hệ trong phân loại này là: U< C < S < T.
Khái niệm MAC được hình thức hoá lần đầu tiên bởi mô hình Bell và LaPadula. Mô hình này hỗ trợ MAC bằng việc xác định rõ các quyền truy nhập từ các mức nhạy cảm kết hợp với các chủ thể và đối tượng. Hai luật sau định nghĩa truy nhập bắt buộc:
• Thuộc tính đơn giản (ss - property): Một chủ thể có thể đọc một đối tượng chỉ nếu mức nhạy cảm của chỉ thể cao hơn hoặc bằng mức nhạy cảm của đối tượng (gọi là quy tắc Readdown - Đọc xuống). Thuộc tính này cho phép các chủ thể có thể đọc các đối tượng có mức nhạy cảm thấp hơn.
• Thuộc tính * (*.Property): Một chủ thể có thể ghi thông tin vào một đối tượng chỉ nếu mức nhạy cảm của đối tượng cao hơn hoặc bằng mức nhạy cảm của chủ thể (gọi là quy tắc Write up - Ghi lên). Thuộc tính này không cho phép một chủ thể được ghi lên đối tượng mức cao hơn.
Như vậy ta có thể thấy rằng, nhờ hai thuộc tính trên mà tránh được việc để lộ thông tin bí mật bằng cách không cho phép một chủ thể đọc từ đối tượng mức cao và ghi dữ liệu xuống đối tượng mức thấp.
Chính sách MAC so sánh nhãn nhạy cảm của người dùng đang làm việc với nhãn nhạy cảm của đối tượng đang được truy nhập và sẽ từ chối truy nhập trừ khi chắc chắn việc kiểm tra MAC là phù hợp. MAC giả thiết rằng các nhãn nhạy cảm trên các chủ thể và đối tượng được gán một lần, không thể thay đổi (ngoại trừ người quản trị an toàn – Security Administrator). Đây cũng là lý do tại sao MAC được gọi là bắt buộc. Với kiểm soát bắt buộc, chỉ những người quản trị mà không phải người sở hữu các tài nguyên mới có thể đưa ra quyết định truy nhập, dựa vào các chính sách an toàn và các nhãn nhạy cảm của chủ thể và đối tượng. Và cũng chỉ một người quản trị mới có thể thay đổi mức phân loại của một tài nguyên.

2.2.Kiểm soát truy nhập bắt buộc trong cơ sở dữ liệu

Chính sách bắt buộc trong kiểm soát truy nhập được áp dụng cho các thông tin có yêu cầu bảo vệ nghiêm ngặt, trong các môi trư¬ờng mà ở đó dữ liệu hệ thống có thể được phân loại và ng¬ười dùng cũng được phân loại rõ ràng.
Chính sách bắt buộc cũng có thể đ¬ược định nghĩa như¬ là một chính sách kiểm soát luồng, bởi vì nó ngăn chặn dòng thông tin đi vào các đối t¬ượng có mức phân loại thấp hơn.
Chính sách bắt buộc quyết định truy nhập vào dữ liệu, thông qua việc định nghĩa các lớp an toàn của chủ thể và đối tượng. Mọi chủ thể và đối tượng trong hệ thống đều được gắn với một lớp an toàn (lớp truy nhập)
Lớp đối t¬ượng an toàn bao gồm: mức phân loại thể hiện mức nhạy cảm của thông tin trong đối tượng và loại - kiểu là vùng ứng dụng mà thông tin đối tượng đề cập đến (có thể là các vùng của hệ thống, hoặc các bộ phận của tổ chức).
Xét một quan hệ bộ phận được định nghĩa trong các lớp an toàn SC như sau: SC = (A, C)
Trong đó, A là mức phân loại, và C là một loại (kiểu). Giả sử ta có hai lớp an toàn SC = (A, C) và SC’ = (A’, C’), khi đó: SC SC’ nếu và chỉ nếu các điều kiện sau thỏa mãn: A A’ và C C’
Ta có ví dụ về quan hệ sau:
- Quan hệ: (2, Hạt nhân) (3, ( Hạt nhân, Nato)) là thỏa mãn
- Quan hệ: (2, (Hạt nhân, Nato)) (3, Nato) là không thỏa mãn.
(Trong Oracle thì mức nhạy cảm chỉ cần quan tâm đến A thôi)
Lớp chủ thể an toàn: tương tự như đối tượng, mỗi lớp chủ thể an toàn cũng bao gồm mức độ tin cậy gán cho chủ thể đó và loại phản ánh vùng ứng dụng mà chủ thể đó đang làm việc.
=> Mỗi chủ thể và đối t¬ượng đ¬ược gán một lớp an toàn, bao gồm một mức nhạy cảm và một tập hợp các loại (một hoặc nhiều loại).
=> Để một chủ thể được phép truy nhập vào một đối tượng, thì lớp an toàn (nhãn) của chủ thể phải thỏa mãn các tiên đề an toàn trong chính sách an toàn của hệ thống.
=> Người dùng, không thể thay đổi các quyền đã được gán, mọi thay đổi chỉ được phép khi có sự đồng ý của người trao quyền (người quản trị trung tâm). Điều này có nghĩa là, người trao quyền kiểm soát toàn bộ hệ thống trao quyền.

3.Kiểm soát truy nhập dựa vào role

Role là một nhóm các đặc quyền được đặt tên. Nhờ có role, ta có thể giảm bớt gánh nặng trong việc gán, thu hồi quyền cho người dùng hay một nhóm người dùng.
Kiểm soát truy nhập dựa vào role ( Role-Based Access Control - viết tắt là RBAC) là một trong số các phương pháp điều khiển và đảm bảo quyền sử dụng cho người dùng. Đây là một phương pháp có thể thay thế Kiểm soát truy nhập tùy ý (discretionary access control - DAC) và Kiểm soát truy nhập bắt buộc (mandatory access control - MAC).
Kiểm soát truy nhập dựa vào role (RBAC) khác với hình thức MAC và DAC truyền thống. MAC và DAC trước đây là hai mô hình duy nhất được phổ biến trong kiểm soát truy nhập. Nếu một hệ thống không dùng MAC thì người ta chỉ có thể cho rằng hệ thống đó dùng DAC, hoặc ngược lại, mà thôi. Song, một số nghiên cứu trong những năm 1990 đã chứng minh rằng RBAC không phải là MAC hoặc DAC.
Trong nội bộ một tổ chức, các roles được tạo ra nhằm đảm nhận các chức năng công việc khác nhau. Mỗi role được gắn liền với một số quyền hạn cho phép thao tác một số hoạt động cụ thể. Các thành viên trong lực lượng cán bộ công nhân viên (hoặc những người dùng trong hệ thống) được gán một role riêng, và thông qua việc phân phối role này, họ sẽ có được một số những quyền hạn cho phép họ thực hiện những chức năng cụ thể trong hệ thống.
Vì người dùng không được cấp quyền một cách trực tiếp, mà thông qua các role họ được gán, nên việc quản lý quyền hạn của người dùng trở thành một việc đơn giản, và người quản trị chỉ cần gán những role thích hợp cho người dùng mà thôi. Việc gán role này đơn giản hóa những công việc thông thường như việc thêm một người dùng vào trong hệ thống, hay đổi phòng làm việc, chức vụ của một người dùng, khi đó ta chỉ cần thu hồi các role này và gán cho họ các role khác phù hợp với vị trí của họ.
RBAC khác với các danh sách kiểm soát truy nhập (access control list - ACL) được dùng trong hệ thống kiểm soát truy nhập tùy ý, ở chỗ, nó chỉ định các quyền hạn tới từng hoạt động cụ thể với ý nghĩa trong cơ quan tổ chức, thay vì tới các đối tượng dữ liệu hạ tầng. Lấy ví dụ, một danh sách kiểm soát truy nhập có thể được dùng để cho phép hoặc từ chối quyền truy nhập ghi-Write một tập tin hệ thống (system file), song nó không nói cho ta biết phương cách cụ thể để thay đổi tập tin đó. Trong một hệ thống dùng RBAC, một thao tác có thể là việc một chương trình ứng dụng tài chính tạo ra một giao dịch trong 'tài khoản tín dụng’, hay là việc một chương trình ứng dụng y học khởi tạo một bản ghi 'thử nghiệm nồng độ đường trong máu'. Nhờ có role, ta có thể chỉ định quyền hạn của người dùng, cho phép họ thực hiện một thao tác nhất định là một việc làm đầy ý nghĩa, vì các thao tác đã được phân định tinh tế và mỗi cá nhân thao tác có một vai trò riêng trong chương trình ứng dụng.
Với khái niệm về hệ thống phân cấp các role (role hierarchy) và khái niệm về các ràng buộc (constraints), ta có thể điều khiển RBAC để tạo hoặc mô phỏng kiểm soát truy nhập dùng kiểm soát truy nhập dựa vào lưới (Lattice-Based Access Control - LBAC). Vì thế RBAC có thể được coi như là một siêu tập (superset) của LBAC.
Việc sử dụng RBAC để quản lý các đặc quyền của người dùng trong một hệ thống duy nhất hay trong một chương trình ứng dụng là một thực hành tốt nhất được chập thuận rộng rãi. Các hệ thống bao gồm thư mục hoạt động (Active Directory) của Microsoft, SELinux, hệ quản trị Oracle và nhiều hệ thống khác đều hầu như thực thi một trong những hình thức của RBAC.
Tuy nhiên, việc sử dụng RBAC để quản lý quyền của người dùng, trên toàn thể các chương trình ứng dụng, là một việc làm còn nhiều tranh luận. Sở dĩ như vậy là vì người dùng thường là một đơn vị duy nhất (unique), cho nên nhiệm vụ định nghĩa các role đầy đủ và chỉ định các người dùng thuộc role nào cho phù hợp, trong một tổ chức với hạ tầng cơ sở kỹ thuật thông tin (IT) không đồng nhất là vô cùng phức tạp.

Học Security +

Buổi 1: AAA: Access Control (PI)

AAA được viết tắt từ các chữ: Access Control, Authentication và Accounting (Auditing). Đây là thành phần được sử dụng triển khai phục vụ cho C.I.A.

Phần này doraemon nói về Access Control (kiểm soát truy cập). Cái này nói nôm na là hạn chế người khác truy cập trái phép, phân định các dạng truy cập hệ thống....

Các dạng kiểm soát truy cập:

1. Dạng ngăn cản (Preventative): ở dạng này sẽ hạn chế người lạ xâm nhập vào hệ thống, cách thức này thường được sử dụng nhất, chẳng hạn trong Domain, phải là User của Domain mới có thể truy cập FileServer, còn máy in thì vô tư.

Dạng này nếu xét theo phương diện Physical bao gồm các dạng sau: khóa cửa, kiếm bảo vệ, chuông báo động,...
Về phương diện Logical: sử dụng các việc kiểm chứng tài khoản người dùng như Users Domain, cách hạn chế truy cập tài nguyên bằng 802.1x, NAP (Network Access Protection) của Windows 2008 hoặc NAC (Network Admission Control) của Cisco
Về phương diện quản lý thì các thư ký ngồi sẽ ghi lại thời gian truy cập chẳng hạn ... :);)

Vì có thể sẽ có nhiều người ra vào (như ngân hàng, máy rút tiền ATM...) nên đôi khi cách thức ngăn cản không phải là giải pháp, do đó sẽ có những giải pháp tiếp theo.

2. Giải pháp kiểm soát truy cập gián tiếp, tức là không có bất kỳ báo động nào sẽ ngăn cản nhưng sẽ được ghi lại à. Giải pháp này bao gồm các hành động hoặc các thiết bị hoặc ... (không biết ghi là gì) sẽ làm việc:

Về phương diện Physical: sử dụng các máy ghi hình nè, các thiết bị cảm ứng ... để ghi nhận lại các hành động của người dùng và có thể đem làm bằng chứng đấy nhé, (chú ý khi đi rút tiền nhớ che mặt cẩn thận đó...:D:p)
Về phương diện quản lý và Logical: sử dụng các hình thức ghi sự kiện, ghi nhận lại thời gian và tên, việc này cũng quan trọng lắm đó nha, đừng xem thường các cô tiếp tân xinh đẹp, coi chừng bị dính ráng chịu à....

3. Giải pháp kiểm soát truy cập thu thập (Detective): giống như là truyện Conan vậy mà, dựa trên các hành động đã xảy ra, lùng các dấu vết để suy luận hung thủ vậy. Dĩ nhiên cái này cần nguồn cung cấp từ rất nhiều nơi để tìm cho được bằng chứng đó nhé. Bao gồm: giấy tờ ghi chú, các chính sách, người truy cập cuối ..... Song song với Detective là Recovery tức là khôi phục lại các tình trạng xâm nhập, mô phỏng và so sánh với hoạt động, đừng nói là nó không quan trọng nhé, nó sẽ giúp ích rất nhiều cho việc quản lý và hoàn thiện hệ thống.

4. Giải pháp Admin và môi trường làm việc: trước hết Admin là tên chỉ có thể thua chút xíu hoặc bằng với tổng giám đốc thôi, người bán được cả công ty chỉ có thể là Admin. Tuy nhiên việc giới hạn kiểm soát truy cập của Admin cũng có đó nhé, các công tác làm và ghi chú, những hành động gây nguy hại vẫn được nằm trong Policy; mặc dù Admin có thể xóa Log nhưng vẫn có cách làm ra. Nói thế thôi, Admin sẽ kiểm soát những tài nguyên và phân quyền hợp lý, tạo môi trường làm việc Physical dựa trên Logical cho tốt và các quyền hạn cần thiết của Users. Còn môi trường làm việc thì cái đó miễn bàn nhé, môi trường nào Admin và người dùng được vào, nơi nào không, truy cập những gì, chỗ nào có thể copy được, ai được cắm USB vào và copy cái gì .... Admin ơi, anh giúp làm dùm nhé....

AAA: Authentication (Part 2)

Authentication tức là kiểm chứng, xác thực người dùng. Bởi vì hệ thống máy tính của chúng ta làm việc khá là khách quan nên chỉ xác thực dựa trên những gì nó biết và thông báo là Accept hoặc là Access Denied đơn giản thế thôi. Vậy thì để chứng thực được và nhận diện thì phải cần cái ID để định danh, ví dụ như như username và password chẳng hạn, hoặc là các SID trên máy tính của nữa đó, trùng SID mà Join Domain thế nào cũng có chuyện ....:o

Authentication được xây dựng dựa trên một số yếu tố căn bản sau:

1. Những gì bạn biết (something you know): passwords là cái phổ biến nhất

2. Những gì bạn có (something you have): tức là các thành phần như thẻ OTP (ai chơi võ lâm và mua thẻ này thì biết), thẻ từ nữa nè ....

3. Những gì của riêng bạn: tức là sinh trắc học đó mà, vân tay, võng mạc, giọng nói ....

Đó là hình thức được sử dụng để kiểm chứng bạn, bạn phải có ít nhất một trong các thành phần trên để máy chứng thực là đúng còn không thì chịu khó làm Guest đi nhé...

Điểm yếu nhất trong vấn đề này có lẽ là password nên nó được xây dựng rất nhiều cơ chế bảo mật, mã hóa để đảm bảo password này. Chắc bạn biết trong Windows xài các mã hóa NTLM (học xong là là mờ luôn), NTLM2, MS-CHAP, CHAP, Kerberos....

Tính cước (Accounting)
Accounting cho phép nhà quản trị có thể thu thập thông tin như thời gian bắt đầu, thời gian kết thúc người dùng truy cập vào hệ thống, các câu lệnh đã thực thi, thống kê lưu lượng, việc sử dụng tài nguyên và sau đó lưu trữ thông tin trong hệ thống cơ sở dữ liệu quan hệ. Nói cách khác, accounting cho phép giám sát dịch vụ và tài nguyên được người dùng sử dụng. Ví dụ: thống kê cho thấy người dùng có tên truy cập là THIEN đã truy cập vào VNLABPRO_SERVER bằng giao thức FTP với số lần là 5 lần. Điểm chính trong Accounting đó là cho phép người quản trị giám sát tích cực và tiên đoán được dịch vụ và việc sử dụng tài nguyên. Thông tin này có thể được dùng để tính cước khách hàng, quản lý mạng, kiểm toán sổ sách

how to install cacti on centos

# Install cacti source v2.7
   1  yum install mysql-server mysql php-mysql php-pear php-common php-gd php-devel php php-mbstring php-cli php-snmp php-pear-Net-SMTP php-mysql httpd
    2  service mysqld restart
    3  chkconfig mysqld on
    4  service httpd restart
    5  chkconfig httpdd on
    6  chkconfig httpd on
    7  ls
    8  vi install.log
    9  mysqladmin -u root -p -e123456
   10  mysqladmin -u root password 123456
   11  mysql -u root -p -e 'create database cacti'
   12  mysql -u root -p
   13  yum install net-snmp-utils php-snmp net-snmp-libs
   14  vim /etc/snmp/snmpd.conf
    #com2sec notConfigUser  default       public
    com2sec local localhost public
    #group   notConfigGroup v1           notConfigUser
    #group   notConfigGroup v2c           notConfigUser
    group MyRWGroup v1 local
    group MyRWGroup v2c local
    group MyRWGroup usm local
    ####
    # Third, create a view for us to let the group have rights to:
    #view    systemview    included   .1.3.6.1.2.1.1
    #view    systemview    included   .1.3.6.1.2.1.25.1.1
    view all included .1 80
    #access  notConfigGroup ""      any       noauth    exact  systemview none none
    access MyRWGroup "" any noauth exact all all none
   15  /etc/init.d/snmpd start
   16  chkconfig snmpd on
   17   snmpwalk -v 1 -c public localhost IP-MIB::ipAdEntIfIndex
   18  wget http://download.fedora.redhat.com/pub/epel/RPM-GPG-KEY-EPEL
   19  rpm --import RPM-GPG-KEY-EPEL
   20  vi /etc/yum.repos.d/epel.repo
   [epel]
    name=EPEL RPM Repository for Red Hat Enterprise Linux
    baseurl=http://download.fedora.redhat.com/pub/epel/$releasever/$basearch/
    gpgcheck=1
    enabled=0
   21  yum --enablerepo=epel install cacti
   22  rpm -ql cacti | grep cacti.sql
   23  mysql -u cacti -p cacti < /usr/share/doc/cacti-0.8.7f/cacti.sql
   24  vi /etc/cacti/db.php
   * make sure these values refect your actual database/host/user/password */
    $database_type = "mysql";
    $database_default = "cacti";
    $database_hostname = "localhost";
    $database_username = "cacti";
    $database_password = "123456";
    $database_port = "3306"; 
    /* Default session name - Session name must contain alpha
characters */
    #$cacti_session_name = "Cacti";
   25  vi /etc/httpd/conf.d/cacti.conf
   # Cacti: An rrd based graphing tool
    #
    Alias /cacti    /usr/share/cacti

    <Directory /usr/share/cacti/>
        Order Deny,Allow
        Deny from all
        Allow from all
    </Directory>
   26  vi /etc/cron.d/cacti
   */5 * * * *     cacti   /usr/bin/php /usr/share/cacti/poller.php > /dev/null 2>&1
   27  service httpd restart
   28  useradd cacti
   29  cd /usr/share/cacti/
   30  sudo chown -R cacti:cacti rra/ log/
  
# Install cacti-plugin-architecture
   31  wget http://mirror.cactiusers.org/downloads/plugins/cacti-plugin-0.8.7f-PA-v2.7.tar.gz
   32  tar -zxvf cacti-plugin-0.8.7f-PA-v2.7.tar.gz
   33  cp -R cacti-plugin-arch/* ./

# Use phpmyadmin import db pa.sql
   40  tar -zxvf phpMyAdmin-2.11.10-english.tar.gz
   41  mv phpMyAdmin-2.11.10-english phpmyadmin
   42  ls
   43  vim pa.sql
# run patch
   45  sudo patch -p1 -N < cacti-plugin-0.8.7f-PA-v2.7.diff
# change db information
   46  vim /usr/share/cacti/include/global.php
   # Install plugin weathermap
   49  tar -zxvf php-weathermap-0.97a.zip
   50  unzip -u php-weathermap-0.97a.zip
   53  cp -rf weathermap/ /usr/share/cacti/plugins/
# change web path
   54  vim /usr/share/cacti/include/global.php
   / => /cacti/
   55  cd /usr/share/cacti/plugins/weathermap/
   57  history > /tmp/install_cacti_all_cmd