CEH – Module1: Tổng quan về bảo mật (phần 5+6)

5. CÁC QUY TẮC BẢO MẬT

Tại trung tâm hỏi  đáp về an toàn bảo mật thông tin của hãng Microsoft, hàng nghìn các bản báo cáo về an ninh hệ thống  đã  được nghiên cứu trong mỗi năm. Trong một số trường hợp, kết quả về mức độ an toàn của hệ thống xuất phát từ lỗi trong sản phẩm. Điều này có nghĩa là sẽ có một bản sửa lỗi phát triển ngay sau đó để khắc phục lỗi vừa tìm được. Trong một số trường hợp, các vấn đề được báo cáo là kết quả đơn giản do lỗi của ai đó tạo ra trong quá trình sử dụng sản phẩm. Nhưng lại có rất nhiều trường hợp mà không rơi vào hai trường hợp trên. Đó chính là các vấn đề an toàn bảo mật thông tin thực sự, nhưng các vấn đề này lại không do các thiếu sót từ sản phẩm. Theo năm tháng, một danh sách về những vấn đề như vậy đã được phát triển gọi là “Mười quy tắc then chốt về an toàn và bảo mật”.

 

Đừng giữ hệ thống của bạn hoạt động trong khi chờ đợi một phiên bản sửa lỗi mới, mà hãy bảo vệ bạn từ các vấn đề mà chúng tôi đưa ra dưới đây. Các lỗi này không thể do Microsoft – hay bất kì các nhà sản xuất phần mềm nào có thể sửa được, bởi vì chúng được tạo ra do chính cách hoạt động của các máy tính. Nhưng cũng đừng đánh mất hết hi vọng – điều này phụ thuộc vào chính bản thân bạn với các lỗi này, và nếu bạn giữ chúng trong đầu mình, bạn có thể cải thiện một cách đáng kể các hệ thống bảo mật của bạn.

Dưới đây là Mười Quy Tắc Then Chốt Trong Bảo Mật mà bạn nên tham khảo:

· Quy tắc 1 : Nếu một người nào đó có thể thuyết phục bạn chạy chương trình của anh ta trên máy tính của bạn, Nó sẽ không còn là máy tính của bạn nữa.

· Quy tắc 2: Nếu một người nào đó có thể sửa đổi hệ điều hành trên máy tính của bạn, Nó sẽ không còn là máy tính của bạn nữa.

· Quy tắc 3: Nếu một người nào đó truy cập vật lí không hạn chế tới máy tính của bạn. Nó sẽ không còn là máy tính của bạn nữa.

· Quy tắc 4: Nếu bạn cho phép một người nào đó đẩy các chương trình tới website của bạn. Nó sẽ không còn là website của bạn.

· Quy tắc 5: Các mật khẩu dễ nhận có thể làm hỏng hệ thống bảo mật mạnh.

· Quy tắc 6: Một hệ thống chỉ có  độ an toàn như sự tin tưởng nhà quản trị.

· Quy tắc 7: Dữ liệu được mã hoá chỉ như chìa khoá giải mã.

· Quy tắc 8: Một hệ thống quét virus hết hạn thì cũng còn tốt hơn không có hệ thống diệt virus nào.

· Quy tắc 9: Tình trạng dấu tên hoàn toàn không thực tế.

· Quy tắc 10: Công nghệ không phải là tất cả

Xem phân tích chi tiết mười quy tắc này 10 quy tac bao mat

6. XÂY DỰNG CHÍNH SÁCH BẢO MẬT

Qua trình bày ở các phần trên cho chúng ta thấy phần nào những hoạt động liên quan xây dựng một chính sách bảo mật. Đó là những hoạt động nhằm thiết lập các khung chính sách nhằm đảm an toàn cho hệ thống, đồng thời đảm bảo hệ thống ổn định và có tính thực thi cao, có khả năng chống lại các cuộc tấn công vào mạng. Tuy nhiên, một hệ thống nếu dựa vào mục tiêu bảo mật mà làm mất đi tính mềm dẻo và dễ sử dụng thì chính sách bảo mật trên hệ thống đó cũng chưa phải là tốt. Có thể nói rằng một hệ thống có chính sách bảo mật hợp lý là biện pháp tốt nhất để đảm bảo an toàn mạng. Do đó, phần sau đây sẽ trình bày những bước cần thiết để xây dựng một chính sách bảo mật hợp lý đối với các hệ thống cung cấp dịch vụ trên mạng.

6.1. Các bước chuẩn bị

Trong các bước xây dựng một chính sách bảo mật đối với một hệ thống, nhiệm vụ đầu tiên của người quản trị là xác định được đúng mục tiêu cần bảo mật. Việc xác định những mục tiêu của chính sách bảo mật giúp người sử dụng biết được trách nhiệm của mình trong việc bảo vệ các tài nguyên thông tin trên mạng, đồng thời giúp các nhà quản trị thiết lập các biện pháp đảm bảo hữu hiệu trong quá trình trang bị, cấu hình và kiểm soát hoạt động của hệ thống. Những mục tiêu bảo mật bao gồm:

Xác định đối tượng cần bảo vệ

Đây là mục tiêu đầu tiên và quan trọng nhất trong khi thiết lập một chính sách bảo mật. Người quản trị hệ thống cần xác định rõ những đối tượng nào là quan trọng nhất trong hệ thống cần bảo vệ; xác định rõ mức độ ưu tiên đối với những đối tượng đó. Ví dụ các đối tượng cần bảo vệ trên một hệ thống có thể là: Các máy chủ dịch vụ, các router, các điểm truy nhập hệ thống, các chương trình ứng dụng, hệ quản trị CSDL, các dịch vụ cung cấp …

Trong bước này cần xác định rõ phạm vi và ranh giới giữa các thành phần trong hệ thống để khi xảy ra sự cố trên hệ thống có thể cố lập các thành phần này với nhau, dễ dàng dò tìm nguyên nhân và cách khắc phục. Có thể chia các thành phần trên một hệ thống theo các cách sau:

· Phân tách các dịch vụ tùy theo mức độ truy cập và độ tin cậy

· Phân tách hệ thống theo các thành phần vật lý như các máy chủ (server), router, các máy trạm (workstation)…

· Phân tách theo phạm vi cung cấp của các dịch vụ như: các dịch vụ bên trong mạng (NIS, NFS …) và các dịch vụ bên ngoài như Web, FTP, Mail …

Xác định nguy cơ đối với hệ thống

Các nguy cơ đối với hệ thống chính là các lỗ hổng bảo mật của các dịch vụ, hệ thống đó cung cấp. Việc xác định đúng đắn các nguy cơ này giúp người quản trị có thể tránh được những cuộc tấn công mạng, hoặc có biện pháp bảo vệ đúng đắn. Thông thường, một số nguy cơ này nằm ở các thành phần sau trên hệ thống:

1. Các điểm truy nhập

Các điểm truy nhập của hệ thống bất kỳ (Access Points) thường đóng vai trò quan trọng đối với mỗi hệ thống vì đây là điểm đầu tiên mà người sử dụng cũng như những người tấn công mạng quan tâm tới. Thông thường các điểm truy nhập thường phục vụ hầu hết người dùng trên mạng, không phụ thuộc vào quyền hạn cũng như dịch vụ mà người sử dụng dùng. Do đó, các điểm truy nhập thường là thành phần có tính bảo mật lỏng lẻo. Mặt khác, đối với nhiều hệ thống còn cho phép người sử dụng dùng các dịch vụ như Telnet, login để truy nhập vào hệ thống, đây là những dịch vụ có nhiều lỗ hổng bảo mật.

2. Không kiểm soát được cấu hình hệ thống

Không kiểm soát hoặc mất cấu hình hệ thống chiếm một tỷ lệ lớn trong số các lỗ hổng bảo mật. Ngày nay, có một số lượng lớn các phần mềm sử dụng, yêu cầu cấu hình phức tạp và đa dạng hơn, điều này cũng dẫn đến những khó khăn để người quản trị nắm bắt được cấu hình hệ thống. Để khắc phục hiện tượng này, nhiều hãng sản xuất phần mềm đã đưa ra những cấu hình khởi tạo mặc định, trong khi đó những cấu hình này không được xem xét kỹ lưỡng trong một môi trường bảo mật. Do đó, nhiệm vụ của người quản trị là phải nắm được hoạt động của các phần mềm sử dụng, ý nghĩa của các file cấu hình quan trọng, áp dụng các biện pháp bảo vệ cấu hình như sử dụng phương thức mã hóa hashing code (MD5).

3. Những bug phần mềm sử dụng

Những bug phần mềm tạo nên những lỗ hổng của dịch vụ là cơ hội cho các hình thức tấn công khác nhau xâm nhập vào mạng; Các chương trình trojans và virus là những ví dụ cụ thể. Do đó, người quản trị phải thường xuyên cập nhật tin tức trên các nhóm tin về bảo mật và từ nhà cung cấp phần mềm để phát hiện những lỗi của phần mềm sử dụng. Khi phát hiện có bug cần thay thế hoặc ngừng sử dụng phần mềm đó chờ nâng cấp lên phiên bản tiếp theo.

4. Những nguy cơ trong nội bộ mạng

Một hệ thống không những chịu tấn công từ ngoài mạng, mà có thể bị tấn công ngay từ bên trong. Có thể là vô tình hoặc cố ý, các hình thức tấn công bên trong mạng vẫn thường xảy ra trên một số hệ thống lớn. Chủ yếu với hình thức tấn công ở bên trong mạng là người tấn công có thể tiếp cận về mặt vật lý đối với các thiết bị trên hệ thống, đạt được quyền truy nhập không hợp lệ tại ngay hệ thống đó.

Xác định phương án thực thi chính sách bảo mật

Sau khi thiết lập được một chính sách bảo mật, một hoạt động tiếp theo là lựa chọn các phương án thực thi một chính sách bảo mật. Một chính sách bảo mật là hoàn hảo khi nó có tính thực thi cao. Để đánh giá tính thực thi này, có một số tiêu chí để lựa chọn đó là:

1. Tính đúng đẵn

Đây là tiêu chí đầu tiên và quan trọng nhất để lựa chọn một chính sách bảo mật. Nó đảm bảo cho sự thành công của chính sách đó. Ví dụ, nếu như một hệ thống thường xuyên có các nguy cơ bị tấn công từ bên ngoài, một chính sách bảo mật cần phải đảm bảo kiểm soát được các truy nhập của khách hàng vào hệ thống bằng việc xây dựng các thủ tục quản lý tài khoản người dùng chặt chẽ và kỹ càng.

2. Tính thân thiện

Một chính sách bảo mật cần thiết lập các công cụ bảo mật thân thiện với người quản trị và dễ dàng thực thi các chính sách bảo mật. Đồng thời, còn đảm bảo các biện pháp bảo mật trên hệ thống không làm khó khăn hoặc bất tiện đối với người sử dụng. Ví dụ, những chính sách nhằm kiểm tra tính hợp lệ khi khách hàng truy nhập vào hệ thống; những chính sách về bảo vệ mật khẩu như yêu cầu khách hàng đối mật khẩu trong một thời gian xác định… các chính sách này phải có tính “trong suốt” đối với khách hàng sử dụng hệ thống.

3. Tính hiệu quả

Sau cùng, một chính sách bảo mật được quyết định bởi các nhà quản lý; họ quan tâm đến hiệu quả mà chính sách đó mang lại. Một chính sách bảo mật có thể đảm bảo hệ thống an toàn, tin cậy, nhưng lại cần có chi phí quá cao so với lợi nhuận mà hệ thống đó đem lại sẽ không được quyết định thực thi. Tuy nhiên, trong một khía cạnh khác, có thể các chính sách không thể đem lại hiệu quả ngay, do đó cần xem xét mức độ chi phí bảo mật hệ thống đối với một thời gian dài cùng với các lợi nhuận khác đem lại từ hệ thống bảo mật như nâng cao chất lượng dịch vụ bằng tính ổn định của hệ thống, …

6.2. Thiết lập các quy tắc

Các thủ tục đối với hoạt động truy nhập không hợp lệ

Sử dụng một vài công cụ có thể phát hiện ra các hoạt động truy nhập không hợp lệ vào một hệ thống. Các công cụ này có thể đi kèm theo hệ điều hành, hoặc từ các hãng sản xuất phần mềm thứ ba

1. Các công cụ nhận biết truy nhập không hợp lệ

Đây là biện pháp phổ biến nhất để theo dõi các hoạt động hệ thống.

· Các công cụ logging: Ví dụ các công cụ theo dõi logfile, hầu hết các hệ điều hành đều hỗ trợ một số lượng lớn các công cụ ghi log với nhiều thông tin bổ ích. Để phát hiện những hoạt động truy nhập không hợp lệ, một số qui tắc khi phân tích logfile như sau:

o So sánh các hoạt động trong logfile với các log trong quá khứ. Đối với các hoạt động thông thường, các thông tin trong logfile thường có chu kỳ giống nhau; ví dụ thời điểm người sử dụng login hoặc log out, thời gian sử dụng các dịch vụ trên hệ thống…

o Nhiều hệ thống sử dụng các thông tin trong logfile để tạo hóa đơn cho khách hàng. Có thể dựa vào các thông tin trong hóa đơn thanh toán để xem xét các truy nhập không hợp lệ nếu thấy trong hóa đơn đó có những điểm bất thường như thời điểm truy nhập, số điện thoại lạ

o Dựa vào các tiện ích như syslog để xem xét, đặc biệt là các thông báo lỗi login không hợp lệ (bad login) trong nhiều lần.

o Dựa vào các tiện ích kèm theo hệ điều hành để theo dõi các tiến trình đang hoạt động trên hệ thống; để phát hiện những tiến trình lạ, hoặc những chương trình khởi tạo không hợp lệ

· Sử dụng các công cụ giám sát khác: Ví dụ sử dụng các tiện ích về mạng để theo dõi các lưu lượng, tài nguyên trên mạng để phát hiện những điểm nghi ngờ.

· Xây dựng kế hoạch giám sát: Do có nhiều công việc phải giám sát, nên người quản trị cần xây dựng kế hoạch giám sát thông qua các công cụ trên hệ thống như cron, tạo schedule … Mặt khác, kế hoạch này đảm bảo các công cụ giám sát không chiếm nhiều tài nguyên hệ thống.

· Tạo các báo cáo từ các thông tin giám sát: Có thể sử dụng những thông tin từ logfile vào một CSDL; từ đó xây dựng các mẫu báo cáo theo kế hoạch giám sát. Dựa vào các báo cáo này người quản trị có thể phát hiện những điểm yếu trên mạng, đồng thời dự báo được hướng phát triển mạng trong tương lai.

2. Các phản ứng của hệ thống

Dựa vào các bước trên để xác định hệ thống bị tấn công. Khi phát hiện cần thực hiện các công việc sau:

· Xác định mức độ nguy hiểm: Đánh giá mức độ nguy hại và ảnh hưởng của nó.

· Xác định các hành động phá hoại

Trong một số trường hợp, có thể dựa vào pháp luật hiện hành để xử lý.

Triển khai chính sách bảo mật

Đào tạo người sử dụng: Người sử dụng đóng vai trò quan trọng trong quá trình thực thi một chính sách bảo mật. Về phía người dùng luôn mong muốn tính đơn giản về dễ dàng đối với các thủ tục. Do đó, khi xây dựng chính sách bảo mật, một mặt đảm bảo chính sách đó không làm cản trở người sử dụng, mặt khác người sử dụng cần nhận thức tầm quan trọng của các chính sách bảo mật và có trách nhiệm thực hiện nó; một số công việc người dùng cần lưu ý:

· Sử dụng tài khoản hợp lệ: Người sử dụng cần nhận thức được lợi ích khi sử dụng một tài khoản hợp lệ. Đối với nhà quản trị hệ thống cần có chính sách ưu đãi, khuyến khích người sử dụng dùng những tài khoản hợp lệ.

· Quản lý tài khoản: Người sử dụng nhận thức được vai trò quan trọng trong việc bảo vệ tài khoản của mình. Các hoạt động quản lý tài khoản bao gồm việc bảo vệ mật khẩu, thay đổi mật khẩu định kỳ, đăng ký thời điểm, … Sử dụng các phần mềm bảo vệ máy trạm của người sử dụng, log out khỏi hệ thống sau một thời gian time-out …

· Phát hiện tài khoản sử dụng trái phép: Người dùng cần được huấn luyện về các cách phát hiện tài khoản của mình sử dụng trái phép như thế nào. Người sử dụng cần thường xuyên kiểm tra các hoạt động của mình để đảm bảo không có người khác lợi dụng tài khoản thực hiện những hành động khác.

· Thủ tục tạo báo cáo khi có sự cố: Người sử dụng phải có thói quen thông báo sự cố đến người quản trị khi phát hiện nghi vấn đối với tài khoản của mình. Trong chính sách bảo mật cần xây dựng các mẫu báo cáo này để cung cấp cho người dùng.

6.3. Thiết lập các thủ tục bảo vệ hệ thống

Thủ tục quản lý tài khoản người sử dụng

Thủ tục quản lý tài khoản là hết sức quan trọng để chống lại các truy nhập không hợp lệ. Một số thông tin cần thiết khi xây dụng thủ tục quản lý tài khoản gồm: Đối tượng nào có thể truy nhập vào hệ thống. Một tài khoản tồn tại trong thời gian bao lâu trên hệ thống. Những đối tượng nào có quyền quản trị hệ thống… Trả lời những câu hỏi này sẽ thiết lập được các thủ tục quản lý tài khoản người sử dụng. Đồng thời cần thực hiện các biện pháp sau để bảo vệ tài khoản:

· Giám sát chặt chẽ hệ thống quản lý truy nhập người dùng. Ví dụ trên UNIX là file /etc/passwd, trên Windows NT là Database management users.

· Đối với một số dịch vụ, cho phép sử dụng các tài khoản không cần mật khẩu, hoặc dùng mật khẩu chung như FTP dùng tài khoản anonymous, dùng tài khoản guest để truy nhập vào hệ thống, cần xác định rõ quyền tác động của chúng; thông thường chỉ có quyền rất thấp trong một hệ thống. Đối với những hệ thống UNIX có hỗ trợ cơ chế che mật khẩu qua file /etc/shadow, thì cần sử dụng cơ chế này (vì thông thường file /etc/passwd trong UNIX để quyền đọc đối với tất cả người sử dụng, những kẻ tấn công có thể thấy được mật khẩu mã hóa của một tài khoản, dựa vào các chương trình bẻ khóa có thể phát hiện ra các mật khẩu yếu)

· Kiểm soát chặt chẽ các quyền của các tài khoản trên hệ thống; không sử dụng quyền root trong các trường hợp không cần thiết. Đối với các tài khoản không sử dụng trên hệ thống cần đổi mật khẩu hoặc hủy bỏ.

Ngoài ra, có các biện pháp khác như: hạn chế tài khoản truy nhập theo thời điểm, theo địa chỉ máy trạm, các thông tin tài khoản rõ ràng, hợp lệ.

Thủ tục quản lý mật khẩu

Trong hầu hết các hệ thống hiện nay đều xác thực truy nhập qua mật khẩu người dùng, vì vậy các thủ tục quản lý mật khẩu là hết sức quan trọng và cần thiết. Các công việc liên quan đễn quản lý mật khẩu bao gồm:

· Lựa chọn mật khẩu: Như chúng ta đã biết có một số hình thức tấn công mạng, phương thức phá mật khẩu khá mạnh và hữu hiệu đối với các mật khẩu yếu. Để khắc phục cần lựa chọn mật khẩu mạnh. Một số qui tắc lựa chọn mật khẩu như sau:

o Không sử dụng tên người truy nhập làm mật khẩu.

o Không sử dụng bất cứ thông tin nào liên quan đến gia đình, cá nhân người sử dụng như ngày sinh, số điện thoại … làm mật khẩu

o Không sử dụng mật khẩu chỉ gồm toàn bộ các chữ hoặc các số

o Không sử dụng những từ trong từ điển, những danh sách tuần tự làm mật khẩu

o Không sử dụng mật khẩu ít hơn 6 ký tự

o Tạo mật khẩu gồm cả chữ hoa và chữ thường

o Tạo mật khẩu kết hợp cả chữ, số và các ký tự đặc biệt

o Tạo mật khẩu có thể gõ nhanh mà không cần nhìn vào bàn phím

· Sau khi đã tạo xong mật khẩu, cần có chính sách buộc người sử dụng thay đổi mật khẩu trong một thời gian nhất định. Hầu hết các hệ thống hiện nay đều hỗ trợ cơ chế này; nếu không thay đổi mật khẩu, tài khoản đó không còn giá trị trên hệ thống

· Trong trường hợp người sử dụng bị mất mật khẩu, để cấp lại mật khẩu mới cần có các thủ tục khác để xác thực người sử dụng …

· Cần giám sát và theo dõi chặt chẽ các chương trình đổi mật khẩu; đây thường là mục tiêu để tấn công.

Thủ tục quản lý cấu hình hệ thống

Các thông tin về cấu hình của dịch vụ và phần mềm sử dụng đóng vai trò quan trọng đối với mỗi hệ thống. Các thủ tục quản lý cấu hình hệ thống cần xác định rõ ai là người có quyền hợp lệ thay đổi cầu hình hệ thống, và những thay đổi như thế nào cần được thông báo tới nhà quản lý. Trong các thủ tục quản lý cấu hình cũng cần xác định rõ một số thông tin như:

· Vị trí lưu các file cấu hình chuẩn

· Qui trình quản lý mật khẩu root

· Các thuật toán liên quan đến mã hóa mật khấu sử dụng

Thủ tục sao lưu và khôi phục dữ liệu

Sao lưu dữ liệu không chỉ đề phòng đối với trường hợp có sự cố về hệ thống phần cứng mà còn có thể khôi phục lại hệ thống trong trường hợp bị kẻ phá hoại xâm nhập và thay đổi hệ thống. Nếu không có dữ liệu sao lưu sẽ không thể khôi phục lại hệ thống trước khi bị tấn công.

Cần xây dựng kế hoạch cụ thể cho công tác sao lưu dữ liệu, xác định các phương pháp sao lưu sao cho hiệu quả nhất. Có thể sao lưu theo ngày đối với những dữ liệu thường xuyên thay đổi, sao lưu theo tuần và theo tháng đối với các dữ liệu không quan trọng. Kết hợp các biện pháp sao lưu khác nhau. Ví dụ, một kế hoạch sao lưu tốt thường áp dụng với các hệ thống đó là: Sao lưu toàn bộ hệ thống ít nhất một lần trong một tháng; Sao lưu từng phần ít nhất 2 lần một tuần. Hầu hết các hệ điều hành hiện nay đều hỗ trợ các cơ chế sao lưu.

Thủ tục báo cáo sự cố

Đối với người quản lý, người quản trị hệ thống cần xây dựng các mẫu thông báo sự cố tới người sử dụng kịp thời, trong đó xác định rõ mức độ ảnh hưởng và nguyên nhân, cách khắc phục sự cố; Các thông báo này có thể gửi qua email hoặc đường thư tín.

Đối với người sử dụng, khi phát hiện các hành động tấn công từ tài khoản người dùng, cần thông báo đến người dùng việc tài khoản của họ bị sử dụng không hợp lệ và yêu cầu có biện pháp thích hợp để bảo vệ tài khoản người dùng.