TRƯỜNG ĐẠI HỌC CÔNG NGHIỆP HÀ NỘI
KHOA CÔNG NGHỆ THÔNG TIN
------------o0o-------------

BÀI TẬP LỚN
MÔN: ĐẢM BẢO CHẤT LƯỢNG PHẦN MỀM
Đề tài: TÌM HIỂU VỀ AN TOÀN BẢO MẬT HỆ THỐNG MẠNG,
DỮ LIỆU.
Giảng viên hướng dẫn

:

Th.s Nguyễn Đức Lưu

Lớp

: KTPM4 – K10

Sinh viên thực hiện

:

Lê Hồng Huấn
Trần Văn Dương
Phạm Minh Hồng

Hà Nội, 2018

1

LỜI CẢM ƠN
Trong suốt quá trình học tập và làm bài tập lớn, nhóm 02 đã nhận được sự
hướng dẫn, giúp đỡ nhiệt tình của quý thầy cô trong khoa Công nghệ thông tin
trường Đại học Công nghiệp Hà Nội và các bạn trong lớp để hoàn thành đề tài tìm
hiểu của nhóm. Với lòng kính trọng và sự biết ơn sâu sắc, nhóm em xin được bày
tỏ lời cảm ơn chân thành tới thầy Nguyễn Đức Lưu - người thầy đã hết lòng giúp
đỡ, hướng dẫn và tạo mọi điều kiện thuận lợi cho nhóm trong suốt quá trình học
tập và hoàn thành bài tập lớn của nhóm.
Những đóng góp của mọi người là kinh nghiệm quý báu giúp cho các thành
viên trong nhóm có những dự tính sau này trong khi làm đồ án tốt nghiệp và sau
khi tốt nghiệp.
Chúng em xin chân thành cảm ơn !

Sinh viên nhóm 02

2


MỤC LỤC

3


PHẦN 1. MỞ ĐẦU
1. Tên đề tài
Tìm hiểu về an toàn bảo mật hệ thống mạng, dữ liệu.
2. Lý do chọn đề tài
Hiện nay, hầu hết các tổ chức, đơn vị, trường học đều đã kết nối mạng nội bộ
mạng đến các chi nhánh, đối tác và đã thừa hưởng nhiều lợi ích từ đó. Nhưng chính
sự thuận lợi này lại chứa nhiều mối nguy hiểm tiềm ẩn như: virus, hacker, v.v công

nghệ cao. Từ đó dẫn đến nguy mất an toàn thông tin là rất cao.
Có nhiều loại hình tội phạm khác nhau, các đe doạ về mạng và tài nguyên
Internet xuất phát từ cộng đồng nhỏ. Tuy nhỏ như nhân tố này lại không ngừng lớn
mạnh bởi ít có chế tài nào kiềm chế nó một cách hiệu quả, chỉ cần một công cụ tấn
công được phát tán lên mạng là ngay lập tức rất nhiều hệ thống máy tính trở thành
mục tiêu tấn công thông qua các lỗ hổng phần mềm. Những kẻ đứng đằng sau các
vụ tấn công này có thể là tin tặc, bẻ khoá phần mềm hoặc "nội gián". Thiệt hại từ
những vụ tấn công mạng là rất lớn, đặc biệt là những thông tin thuộc lĩnh vực kinh
tế, an ninh, quốc phòng… Do đó, việc xây dựng hàng rào kỹ thuật để ngăn chặn
những truy cập trái phép trở thành nhu cầu cấp bách trong các hoạt động truyền
thông.
Theo số liệu thống kê, Việt Nam đứng thứ 2 trong khu vực Đông Nam á về
các hoạt động tấn công mạng. Thực tế, nguy cơ mất an ninh an toàn mạng máy tính
còn có thể phát sinh ngay từ bên trong. Nguy cơ mất an ninh từ bên trong xảy ra
thường lớn hơn nhiều, nguyên nhân chính là do người sử dụng có quyền truy nhập
hệ thống nắm được điểm yếu của hệ thống hay vô tình tạo cơ hội cho những đối
tượng khác xâm nhập hệ thống.
Xuất phát từ những vấn đề trên nhóm 02 trong môn đảm bảo chất lượng
phần mềm đã cùng nhau “tìm hiểu về an toàn bảo mật hệ thống mạng, dữ liệu ”

4


3. Mục đích
Đề tài “tìm hiểu về an toàn bảo mật hệ thống mạng, dữ liệu” nhằm tìm
hiểu về sự an toàn của hệ thống trong khi làm phần mềm. Để từ đó nêu ra các giải
pháp hay tránh được các lỗi cơ bản trong khi làm hệ thống mạng, dữ liệu.
4. Bố cục
Nội dung chính chia làm 3 chương:
Chương 1. Tổng quan an toàn bảo mật hệ thống mạng, dữ liệu.

Chương 2. Một số giải pháp đảm bảo an toàn bảo mật hệ thống mạng,
dữ liệu.
Chương 3. Ứng dụng.
5. Phương pháp tiếp cận
Thu thập thống kê phân tích: Lý thuyết trong tài liệu đảm bảo chất lượng
phần mềm, thông tin trên Internet
Phân tích mẫu: tìm hiểu an toàn và thông tin an toàn trên mạng
Thực nghiệm: tìm hiểu đề tài an toàn hệ thống, thựa hiện một số giải pháp an
toàn dữ liệu và bảo mật dữ liệu

5


PHẦN 2. NỘI DUNG
Chương 1. Tổng quan an toàn bảo mật hệ thống mạng, dữ liệu
1.1. Khái niệm hệ thống
Hệ thống là 1 tập hợp có tổ chức gồm nhiều phần tử có các mối quan hệ ràng
buộc lẫn nhau và cùng hoạt động hướng tới một mục tiêu chung. Phần tử có thể là
vật chất hoặc phi vật chất: Con người, máy móc, thông tin, dữ liệu, phương pháp
xử lý, qui tắc, quy trình xử lý.
Phân loại hệ thống:
Hệ thống mở: có tương tác với môi trường.
Hệ thống đóng: không tương tác với môi trường (chỉ có trên lý thuyết). Mục
tiêu của hệ thống là lý do tồn tại của hệ thống. Để đạt được mục tiêu, hệ thống
tương tác với môi trường bên ngoài của nó.
1.2. Khái niệm hệ thống thông tin
Là hệ thống mà mối liên hệ giữa các thành phần của nó cũng như mối liên hệ
giữa nó với các hệ thống thông tin khác. Là sự trao đổi thông tin. Mục tiêu của hệ
thống thông tin là cung cấp thông tin phục vụ cho con người trong một tổ chức nào
đó.


Data

People

Process

Hình 1.1: Hệ thống thông tin là gì
6


1.3. Khái niệm an toàn hệ thống thông tin
An toàn máy tính xét trên tính bí mật, tính toàn vẹn, tính sẵn sàng. Ba tính đó
còn gọi là tam giác C-I-A (confidentiality, integrity,availability). Đảm bảo an toàn
hệ thống thông tin là đảm bảo an toàn của hệ thống thông tin (phần cứng, phần
mềm, dữ liệu) trước các mối đe dọa (sự truy cập, sửa đổi, phá hoại dữ liệu bất hợp
pháp) bằng các biện pháp kỹ thuật lẫn phi kỹ thuật (mã hóa, kiểm soát truy cập,
chính sách …).
Một hệ thống thông tin được xem là an toàn khi đảm bảo ít nhất ba mục tiêu
cơ bản: tính bí mật, tính toàn vẹn, tính sẵn sàng. Ngoài ra còn có các mục tiêu khác
như: tính không thể chối cãi, tính xác thực.
1.3.1. Tính bí mật (Confidentiality)
Đảm bảo tính bí mật của thông tin, tức là thông tin chỉ được phép truy cập
(đọc) bởi những đối tượng (người, chương trình máy tính) được cấp phép. Tính bí
mật của thông tin có thể đạt được bằng cách giới hạn truy cập về cả mặt vật lý, ví
dụ tiếp cận trực tiếp tới thiết bị lưu trữ thông tin đó hoặc logic, ví dụ như truy cập
thông tin từ xa qua môi trường mạng.

Hình 1.2: Bảo mật thông tin bằng cách giới hạn mã khóa


Sau đây là một số cách thức như vậy:
-

Khóa kín và niêm phong thiết bị.
Yêu cầu đối tượng cung cấp credential, ví dụ, cặp username + password hay
đặc điểm về tính xác thực.
Sử dụng firewall hoặc ACL trên router để ngăn chặn truy cập trái phép.
7


-

Mã hóa thông tin sử dụng các giao thức và thuật toán mạnh như SSL/TLS,
AES.

1.3.2. Tính toàn vẹn (integrity)
Đảm bảo tính toàn vẹn thông tin, tức là thông tin chỉ được phép xóa hoặc sửa
bởi những đối tượng được cho phép và phải đảm bảo băng thông vẫn còn chính xác
khi được lưu trữ hay truyền đi. Về điểm này, nhiều người thường hay nghĩ tính
toàn vẹn đơn giản chỉ là đảm bảo thông tin không bị thay đổi là chưa đầy đủ.
Ngoài ra một giải pháp “data integrity” có thể bao gồm thêm việc xác thực
nguồn gốc của thông tin này (thuốc sở hữu của đối tượng nào) để đảm bảo thông
tin đến từ một nguồn đáng tin cậy và ta gọi đó là tính “authenticity” của thông tin.
-

Sau đây là một số trường hợp tính toàn vẹn của thông tin bị phá vỡ.
Thay đổi giao diện trang chủ của một Website
Chặn đứng và thay đổi gói tin được gửi qua mạng
Chính sửa trái phép các file được lưu trữ trên máy tính
Do có sự cố trên đường truyền mà tín hiệu bị nhiễu hoặc suy hao dần đến

thông tin bị sai lệch.

1.3.3. Tính sẵn sàng (Availablility)
Đảm bảo độ sẵn sàng của thông tin, tức là thông tin có thể được truy xuất bởi
những người được phép vào bất cứ khi nào họ muốn. Ví dụ, nếu một server chỉ bị
nhưng hoạt động hay ngừng cung cấp dịch vụ trong vòng 5 phút trên một năm thì
độ sẵn sàng nó là 99,999%.
Ví dụ sau cho thấy hacker có thể cản trở tính sẵn sàng của hệ thống như thế
nào: máy của hacker sẽ gửi hàng loạt các gói tin có các MAC nguồn giả tạo đến
switch làm bộ nhớ lưu trữ MAC address table của switch nhanh chóng bị đầy khiến
switch không thể hoạt động bình thường được nữa.
Đây cũng thuộc hình thức tấn công từ chối dịch vụ (DoS). Để tăng khả năng
chống chọi với các cuộc tấn công như duy trì độ sẵn sàng của hệ thống ta có thể áp
dụng một số kỹ thuật như: Load Balancing, Clustering, redudancy, Failover.

8


1.4. Khái niệm lỗ hổng an ninh mạng
Bảo mật là một trong những lĩnh vực mà hiện nay trong giới công nghệ thông
tin khá quan tâm. Một khi internet ra đời và phát triển, nhu cầu trao đổi thông tin
trở nên cần thiết. Mục tiêu của việc nối mạng là làm cho người có thể sử dụng tài
nguyên từ những vị trí địa lý khác nhau.
Cũng chính vì vậy mà các tài nguyên cũng rất dễ dàng bị phân tán, một điều
hiển nhiên là chúng sẽ bị xâm hại, gây mất mát dữ liệu cùng các thông tin có giá
trị.
1.5. Nguy cơ đe doạ an ninh, an toàn thông tin
Hệ thống máy tính luôn bị đe dọa bởi các nguy cơ mất an toàn. Một trong
những công việc để bảo vệ hệ thống là làm sao giúp hệ thống tránh khỏi các nguy
cơ đó. Có 4 loại mối đe dọa an toàn:


Hình 1.3: Thống kê an ninh mạng năm 2017 và đầu năm 2018
Chặn bắt (Interception): chỉ thành phần không được phép cũng có thể truy cập
đến các dịch vụ hay các dữ liệu, “nghe trộm” thông tin đang được truyền đi.
Đứt đoạn (Interruption): là mối đe dọa mà làm cho dịch vụ hay dữ liệu bị mất
mát, bị hỏng, không thể dùng được nữa…

9


Thay đổi (Modification): là hiện tượng thay đổi dữ liệu hay can thiệp vào các
dịch vụ làm cho chúng không còn giữ được các đặc tính ban đầu.
Giả mạo(Fabrication): là hiện tượng thêm vào dữ liệu ban đầu các dữ liệu hay
hoạt động đặc biệt mà không thể nhận biết được để ăn cắp dữ liệu của hệ thống.
1.6. Những vấn đề đảm bảo an ninh và an toàn mạng
Yếu tố đầu tiên phải nói đến là dữ liệu, những thông tin lưu trữ trên hệ thống
máy tính cần được bảo vệ do các yêu cầu về tính bảo mật, tính toàn vẹn hay tính
kịp thời. Thông thường yêu cầu về bảo mật được coi là yêu cầu quan trọng đối với
thông tin lưu trữ trên mạng. Tuy nhiên, ngay cả khi những thông tin không bí mật,
thì yêu cầu về tính toàn vẹn cũng rất quan trọng. Không một cá nhân, một tổ chức
nào lãng phí tài nguyên vật chất và thời gian để lưu trữ những thông tin mà không
biết về tính đúng đắn của những thông tin đó.
Yếu tố thứ hai là về tài nguyên hệ thống, sau khi những kẻ tấn công đã làm
chủ được hệ thống chúng sẽ sử dụng các máy này để chạy các chương trình như dò
tìm mật khẩu để tấn công vào hệ thống mạng.
Yếu tố thứ ba là danh tiếng một khi dữ liệu bị đánh cắp thì việc nghi ngờ nhau
trong tổ chức là điều không tránh khỏi, vì vậy sẽ ảnh hưởng đến danh tiếng của tổ
chức rất nhiều.
Sau đây là một số phương thức bảo đảm an toàn, bảo mật thông tin, dữ liệu:
Mật mã (Cryptography): là việc thực hiện chuyển đổi dữ liệu theo một quy tắc

nào đó thành dạng mới mà kẻ tấn công không nhận biết được.
Xác thực (Authentication): là các thao tác để nhận dạng người dùng, nhận
dạng client hay server…
Ủy quyền (Authorization): chính là việc phân định quyền hạn cho mỗi thành
phần đã đăng nhập thành công vào hệ thống. Quyền hạn này là các quyền sử dụng
dịch vụ, truy cập dữ liệu…
Kiểm toán (Auditing): là các phương pháp để xác định được client đã truy cập
đến dữ liệu nào và bằng cách nào.
10


1.7. An toàn hệ thống và an toàn dữ liệu
1.7.1. Đối tượng tấn công mạng.
Là đối tượng sử dụng kỹ thuật về mạng để dò tìm các lỗ hổng bảo mật trên hệ
thống để thực hiện xâm nhập và chiếm đoạt thông tin bất hợp pháp.
Các đối tượng tấn công mạng:

Hình 1.4: Các đối tượng tấn công mạng
Hacker: Xâm nhập vào mạng trái phép bằng cách sử dụng các công cụ phá
mật khẩu hoặc khai thác các điểm yếu của hệ thống.
Masquerader: Giả mạo thông tin, địa chỉ IP, tên miền, định danh người
dùng…
Eavesdropping: Là đối tượng nghe trộm thông tin trên mạng để lấy cắp thông
tin.
1.7.2. Các lỗ hổng trong bảo mật và phương thức tấn công mạng.
Là những điểm yếu trên hệ thống mà dựa vào đó đối tượng tấn công có thể
xâm nhập trái phép vào hệ thống.
Các loại lỗ hổng trong bảo mật:
Lỗ hổng loại C: Cho phép thực hiện hình thức tấn công theo kiểu DoS (Denial
of Services – Từ chối dịch vụ) làm ảnh hưởng tới chất lượng dịch vụ, ngưng trệ,

gián đoạn hệ thống, nhưng không phá hỏng dữ liễu hoặc đoạt được quyền truy cập
hệ thống.
11


Lỗ hổng loại B: Lỗ hổng cho phép người sử dụng có thêm các quyền trên hệ
thống mà không cần kiểm tra tính hợp lệ dẫn đến lộ, lọt thông tin.
Lỗ hổng loại A: Cho phép người ngoài hệ thống có thể truy cập bất hợp pháp
vào hệ thống, có thể phá hủy toàn bộ hệ thống.
Các hình thức tấn công mạng phổ biến:
-

Tấn công trực tiếp
Kỹ thuật đánh lừa (Social EngineeringKỹ thuật tấn công vào vùng ẩn
Tấn công vào các lỗ hổng bảo mật
Khai thác tình trạng tràn bộ đệm
Nghe trộm
Kỹ thuật giả mạo địa chỉ
Sự giả mạo địa
Kỹ thuật chèn mã lệnh
Tấn công vào hệ thống có cấu hình không an toàn
Tấn công dùng Cookies
Can thiệp vào tham số trên URL
Vô hiệu hóa dịch vụ
Một số kiểu tấn công khác:
o

Lỗ hổng không cần login: Nếu như các ứng dụng không được thiết kế
chặt chẽ, không ràng buộc trình tự các bước khi duyệt ứng dụng thì
đây là một lỗ hổng bảo mật mà các hacker có thể lợi dụng để truy cập

thẳng đến các trang thông tin bên trong mà không cần phải qua bước
đăng nhập.

o

Thay đổi dữ liệu: Sau khi những người tấn công lấy được dữ liệu của
một hệ thống nào đó, họ có thể thay đổi dữ liệu này mà không quan
tâm đến người gửi và người nhận nó.

o

Password-base Attact: Thông thường, hệ thống khi mới cấu hình có
username và password mặc định. Sau khi cấu hình hệ thống, một số
admin vẫn không đổi lại các thiết lập mặc định này. Đây là lỗ hổng
giúp những người tấn công có thể thâm nhập vào hệ thống bằng con

12


đường hợp pháp. Khi đã đăng nhập vào, hacker có thể tạo thêm user,
cài backboor cho lần viếng thăm sau.
o

Identity Spoofing: Các hệ thống mạng sử dụng IP address để nhận
biết sự tồn tại của mình. Vì thế địa chỉ IP là sự quan tâm hàng đầu
của những kẻ tấn công. Khi họ tấn công vào bất cứ hệ thống nào, họ
đều biết địa chỉ IP của hệ thống mạng đó. Thông thường, những kẻ
tấn công giả mạo IP address để xâm nhập vào hệ thống và cấu hình
lại hệ thống, sửa đổi thông tin, …


Chính sách bảo mật
Chính sách bảo mật là tập hợp các quy tắc áp dụng cho những người tham gia
quản trị mạng, có sử dụng các tài nguyên và các dịch vụ mạng.

13


Chương 2. Một số giải pháp đảm bảo an toàn, an ninh hệ thống
2.1. Firewall.
Firewall là giải pháp bảo vệ mạng hiệu quả và phổ biến nhất hiện nay.
2.1.1. Khái niệm, các chức năng cơ bản và phân loại.
Khái niệm Firewall.

Firewall là thiết bị nhằm ngăn chặn sự truy nhập không hợp lệ từ mạng bên ngoài
vào mạng bên trong. Firewall bao gồm cả phần cứng và phần mềm.
Các chức năng cơ bản của Firewall.
Cho phép chặn dịch vụ truy nhập từ trong ra ngoài và ngược lại; Kiểm soát địa chỉ
truy nhập và dịch vụ sử dụng; Kiểm soát khả năng truy cập; Kiểm soát nội dung thông tin
truyền tải; Ngăn ngừa tấn công từ các mạng bên ngoài.
Phân loại Firewall.
Firewall có nhiều loại khác nhau và có ưu và nhược điểm riêng. Thông thường
Firewall được chia làm 2 loại: Firewall phần cứng và Firewall phần mềm.

Firewall phần cứng:
-

Là thiết bị được tích hợp bộ định tuyến, quy tắc lọc gói tin được đặt trên bộ
định tuyến.
Firewall sẽ dựa trên quy tắc để kiểm tra gói tin. Mô hình Firewall phần cứng.


Internet

Firewall

Network
Protection

Hình 2.1: Mô hình sử dụng Firewallphần cứng
-

Firewall phần mềm: Là phần mềm cho phép chuyển các gói tin mà máy chủ
nhận được đến địa điểm theo yêu cầu, các quy tắc lọc gói tin được người sử dụng
tự thiết lập. Tại Hình 2.2 là mô hình sử
14


Hình 2.2: Mô hình sử dụng Firewall phần mềm
• Ưu và nhược điểm của Firewall:
-

-

-

Firewall phần cứng thường sử dụng cho các mạng lớn, Firewall nhận gói tin và
kiểm duyệt rồi chuyển tiếp cho các máy trong mạng, tốc độ của Firewall phần
mềm hoạt động chậm hơn so với Firewall phần cứng nên ảnh hưởng đến tốc độ
của hệ thống mạng.
Firewall phần mềm sử dụng để đảm bảo an ninh cho các mạng vừa, nhỏ do có
chi phí

thấp, không ảnh hưởng đến tốc độ chuyển các gói tin; Firewall phần mềm thực
hiện trên từng hệ điều hành nhất định. Firewall phần cứng có thể thực hiện độc
lập.
Firewall phần mềm có thể lọc được nội dung gói tin còn Firewall phần cứng chỉ
có thể lọc thông tin của gói tin, nội dung của gói tin thì Firewall phần cứng
không thể kiểm soát.

Một số hệ thống Firewall khác.
• Packet-Filtering Router (Bộ định tuyến có lọc gói) - Hình 2.3.

Có hai chức năng: chuyển tiếp truyền thông giữa hai mạng và sử dụng các quy luật
về lọc gói để cho phép hay từ chối truyền thông. Quy luật lọc được định nghĩa sao cho
các Host trên mạng nội bộ được quyền truy nhập trực tiếp tới Internet, trong khi các Host
trên Internet chỉ có một số giới hạn các truy nhập vào các máy tính trên mạng nội bộ.

15


Packet
Filter ing
Router

INTERNET

Hình 2.3: Mô hình Packet-

LAN

Filtering Router


Ưu điểm: Cấu hình đơn giản, chi phí thấp; Trong suốt đối với người dùng.
Hạn chế: Dễ bị tấn công vào các bộ lọc do cấu hình không hoàn hảo.
• Screened Host Firewall - Hình 2.4.

Bao gồm một Packet-Filtering Router và một Bastion Host. Screened Host Firewall
cung cấp độ bảo mật cao hơn Packet-Filtering Router, vì hệ thống thực hiện bảo mật ở
tầng mạng và tầng ứng dụng. Mô hình này, đối tượng tấn công bị ngăn cản ở hai tầng bảo
mật.

16


Client

Clie

Bastion
Host

Server

nformation I

17


c. Demilitarized Zone (DMZ - khu vực phi quân sự) - Hình 2.5.
Bao gồm hai Packet-Filtering Router và một Bastion Host, có độ an toàn cao nhất vì
cung cấp cả mức bảo mật mạng và ứng dụng. Mạng DMZ đóng vai trò độc lập đặt giữa
Internet và mạng nội bộ, được cấu hình sao cho các hệ thống chỉ có thể truy nhập được

một số dịch vụ mà không được kết nối trực tiếp với mạng DMZ.
Ưu điểm: Phải qua ba tầng bảo vệ: Router ngoài, Bastion Host và Router trong.

2.1.2. Các kiến trúc Firewall.
Kiến trúc Dual-Homed Host.
Phải có ít nhất hai Card mạng để giao tiếp với hai mạng khác nhau và đóng vai trò là
Router mềm. Kiến trúc này rất đơn giản, Dual-Homed-Host ở giữa, một bên được kết nối
với Internet và một bên nối với mạng LAN.
Kiến trúc Screened Host.
Có cấu trúc ngược lại với Dual-Homed Host, cung cấp các dịch vụ từ một Host bên
trong mạng nội bộ, dùng một Router độc lập với mạng bên ngoài, cơ chế bảo mật của
kiến trúc này là phương pháp Packet Filtering.
Kiến trúc Screen Subnet (Hình 2.5).
Kiến trúc này dựa trên nền tảng của kiến trúc Screen Host bằng cách thêm vào phần
an toàn nhằm cô lập mạng nội bộ ra khỏi mạng bên ngoài, tách Bastion Host ra khỏi các
Host thông thường khác. Kiểu Screen Subnet đơn giản bao gồm hai Screen Router:
Router ngoài: Nằm giữa mạng ngoại vi và mạng ngoài có chức năng bảo vệ cho
mạng ngoại vi.
Router trong: Nằm giữa mạng ngoại vi và mạng nội bộ, nhằm bảo vệ mạng nội bộ
trước khi ra ngoài và mạng ngoại vi.

2.1.3. Chính sách để xây dựng Firewall.
Một số giải pháp và nguyên tắc cơ bản khi xây dựng Firewall.
Quyền hạn tối thiểu (Least Privilege).
Nguyên tắc này có nghĩa là bất kỳ một đối tượng nào trên hệ thống chỉ nên có
những quyền hạn nhất định.

18



Bastion
Host
INTERNET

ROUTER
Bên ngoài

Router
Inside

LAN

Information

Server

Hình 2.5: Mô hình Screened-subnet Firewall

Bảo vệ theo chiều sâu (Defense in Depth).
Lắp đặt nhiều cơ chế an toàn để có thể hỗ trợ lẫn nhau. Vì vậy Firewall được xây
dựng theo cơ chế có nhiều lớp bảo vệ là hợp lý nhất.
Nút thắt (Choke Point).
Một nút thắt bắt buộc những kẻ đột nhập phải đi qua một ngõ hẹp mà người quản trị
có thể kiểm soát.
Điểm xung yếu nhất (Weakest Link).
Cần phải tìm ra được những điểm yếu của hệ thống để có phương án bảo vệ, tránh
đối tượng tấn công lợi dụng để truy cập trái phép.
Có nghĩa là nếu hệ thống đang hỏng thì nó phải được hỏng theo một cách nào đó để
ngăn chặn sự truy nhập bất hợp pháp tốt hơn là để cho kẻ tấn công lọt vào phá hệ thống.
Sự tham gia toàn cầu.

Các hệ thống mạng cần phải có biện pháp bảo vệ an toàn. Nếu không, người truy
nhập bất hợp pháp có thể truy nhập vào hệ thống này, sau đó truy nhập sang các hệ thống
khác.
Tính đa dạng của việc bảo vệ.
Áp dụng nhiều biện pháp bảo vệ thông tin dữ liệu trong hệ thống mạng theo chiều
sâu.
Tuân thủ các nguyên tắc căn bản (Rule Base).
Thực hiện theo một số quy tắc nhất định, khi có một gói tin đi qua Firewall thì sẽ
phải dựa các quy tắc căn bản đã đề ra để phân tích và lọc gói tin.
19


Xây dựng chính sách an toàn (Security Policy).
Firewall phải được thiết kế, xây dựng bằng một chính sách an toàn sẽ tạo ra được
sức mạnh và hiệu quả cho Firewall. Một số chính sách an toàn cơ bản như sau:
+ Hạn chế những máy tính trong mạng nội bộ được truy nhập Internet.
+ Thông tin vào ra trong mạng nội bộ đều phải được xác thực và mã hoá.

Thứ tự các quy tắc trong bảng (Sequence of Rules Base).
Cần phải quan tâm đến thứ tự, cấp độ của quy tắc và trong đó có một số quy tắc đặc
biệt. Đa số các Firewall kiểm tra gói tin một cách tuần tự và liên tục, khi Firewall nhận
được một gói tin, nó sẽ xem xét gói tin đó có đúng với quy tắc hay không cho đến khi có
quy tắc nào đó thoả mãn thì nó thực thi theo quy tắc đó.
Các quy tắc căn bản (Rules Base).
-

Không có một gói tin nào có thể đi qua được, bất kể gói tin đấy là gì.
Đầu tiên cho phép việc đi từ trong ra ngoài mà không có hạn chế nào.
Hạn chế tất cả không cho phép một sự xâm nhập nào vào Firewall.
Không ai có thể kết nối với Firewall, bao gồm cả Admin, phải tạo ra một quy

tắc để cho phép Admin truy nhập vào được Firewall.

2.2. IP Security.
Khái niệm
IPsec (IP Security) bao gồm các giao thức để bảo mật quá trình truyền thông tin trên
nền tảng Internet Protocol (IP). Gồm xác thực và/hoặc mã hoá (Authenticating,
Encrypting) cho mỗi gói IP (IP Packet) trong quá trình truyền thông tin. Giao thức IPsec
được làm việc tại tầng Network Layer của mô hình OSI- Hình 2.6.
Cấu trúc bảo mật.
Khi IPsec được triển khai, cấu trúc bảo mật của nó gồm: Sử dụng các giao thức ấp
mật mã nhằm bảo mật gói tin; Cung cấp phương thức xác thực; Thiết lập các thông số mã
hoá.

20


Hình 2.6: Mô hình OSI (Open System Interconnection)

Thực trạng.
IPsec là một phần bắt buộc của IPv6, có thể được lựa chọn khi sử dụng IPv4. rong
khi các chuẩn đã được thiết kết cho các phiên bản IP giống nhau, phổ biến hiện nay là áp
dụng và triển khai trên nền tảng IPv4.
Thiết kế theo yêu cầu.
IPsec được cung cấp bởi Transport Mode (End-to-End) đáp ứng bảo mật giữa các
máy tính giao tiếp trực tiếp với nhau hoặc sử dụng Tunnel Mode (Portal-to-Portal) cho
các giao tiếp giữa hai mạng với nhau và chủ yếu được sử dụng khi kết nối VPN. IPsec đã
được giới thiệu và cung cấp các dịch vụ bảo mật:
-

-


Mã hoá quá trình truyền thông tin; Đảm bảo tính nguyên vẹn của dữ liệu; Được
xác thực giữa các giao tiếp; Chống quá trình Replay trong các phiên bảo mật;
Modes - Các mode.
Có hai mode khi thực hiện IPsec đó là: Transport Mode: Chỉ những dữ liệu giao
tiếp các gói tin được mã hoá và/hoặc xác thực; Tunnel Mode: Toàn bộ gói IP được
mã hoá và xác thực.

Mô tả kỹ thuật.
Có hai giao thức cung cấp để bảo mật cho gói tin của cả hai phiên bản IPv4 và IPv6:
-

IP Authentication Header giúp đảm bảo tính toàn vẹn và cung cấp xác thực.
IP Encapsulating Security Payload cung cấp bảo mật và có thể lựa chọn cả tính
năng Authentication và Integrity để đảm bảo tính toàn vẹn dữ liệu.

Giao thức Authentication Header (AH).
21


AH được sử dụng trong các kết nối không có tính đảm bảo dữ liệu. Là lựa chọn
nhằm chống lại các tấn công Replay Attack bằng cách sử dụng công nghệ tấn công
Sliding Windows và Discarding Older Packets. Hình 2.7 là mô hình của AH.

Hình 2.7: Mô hình hoạt động trong giao thức AH
Ý nghĩa của từng phần:
-

Next Header: Nhận dạng giao thức trong sử dụng truyền thông tin.
Payload Length: Độ lớn của gói tin AH.

Reserved: Sử dụng trong tương lai (được biểu diễn bằng các số 0).
Security Parameters Index (SPI): Nhận ra các thông số bảo mật, được tích hợp
với địa chỉ IP, và nhận dạng các thương lượng bảo mật được kết hợp với gói tin.
Sequence Number: Một số tự động tăng lên mỗi gói tin, sử dụng nhằm chống lại
tấn công dạng replay attacks.
Authentication Data: Bao gồm thông số Integrity Check Value (ICV) cần thiết
trong gói tin xác thực.

Giao thức Encapsulating Security Payload (ESP) - Hình 2.8.
Giao thức ESP cung cấp xác thực, toàn vẹn, bảo mật cho gói tin. ESP cũng hỗ trợ
tính năng cấu hình sử dụng trong trường hợp chỉ cần bảo mã hoá và chỉ cần cho
Authentication, nhưng sử dụng mã hoá mà không yêu cầu xác thực không đảm bảo tính
bảo mật.

22


Hình 2.8: Mô hình của giao thức Encapsulating Security
Payload Ý nghĩa của các phần:
-

Security Parameters Index (SPI): Nhận ra các thông số được tích hợp với địa chỉ
IP.
Sequence Number: Tự động tăng có tác dụng chống tấn công kiểu Replay
Attacks.
Payload Data: Cho dữ liệu truyền đi.
Padding: Sử dụng vài Block mã hoá.
Pad Length: Độ lớn của Padding.
Next Header: Nhận ra giao thức được sử dụng trong khi truyền thông tin.
Authentication Data: Bao gồm dữ liệu để xác thực cho gói tin.


Thực hiện.
IPsec được thực hiện trong nhân với các trình quản lý các khoá và quá trình thỏa
hiệp bảo mật ISAKMP/IKE từ người dùng. Tuy nhiên một chuẩn giao diện cho quản lý
khoá, nó có thể được điều khiển bởi nhân của IPsec.

2.3. Bảo mật Web.
2.3.1. Tìm hiểu ứng dụng Web.
Ứng dụng Web là gì.
Ứng dụng Web là một trình ứng dụng mà có thể tiếp cận qua Web thông qua mạng
như Internet hay Intranet. Ứng dụng Web được dùng để hiện thực bán hàng trực tuyến,
diễn đàn thảo luận, Weblog và nhiều chức năng khác.

23


Cấu trúc một ứng dụng Web (Hình 2.9): ứng dụng Web được cấu trúc như một ứng
dụng ba lớp. Thứ nhất là trình duyệt Web, lớp giữa sử dụng công nghệ Web động, lớp thứ
ba là cơ sở dữ liệu. Trình duyệt sẽ gửi yêu cầu đến lớp giữa để tạo ra truy vấn, cập nhật
CSDL và tạo ra giao diện cho người dùng.

Hình 2.9: Mô hình hoạt động của trình duyệt Web

Domain - Hosting.
Mạng Internet là mạng máy tính toàn cầu, nên Internet có cấu trúc địa chỉ, cách
đánh địa chỉ đặc biệt, khác cách tổ chức địa chỉ của mạng viễn thông. Khi sử dụng
Internet, người dùng không cần biết hoặc nhớ đến địa chỉ IP mà chỉ cần nhớ tên miền là
truy nhập được.
Cấu tạo của tên miền:
Gồm nhiều thành phần tạo nên, cách nhau bởi dấu chấm. Thành phần thứ nhất

"home" là tên của máy chủ , thành phần thứ hai "vnn" thường gọi là tên miền mức hai,
thành phần cuối cùng "vn" là tên miền mức cao nhất.
Tên miền mức cao nhất (Top Level Domain- TLD):
Bao gồm các mã quốc gia của các nước tham gia Internet được quy định bằng hai
chữ cái theo tiêu chuẩn ISO -3166.
Tên miền mức hai ( Second Level ):
Tên miền mức hai này do tổ chức quản lý mạng của mỗi quốc gia định nghĩa theo
các lĩnh vực kinh tế, xã hội, chính trị....
24


Các loại Domain name:
Domain Name cấp cao nhất là tên miền đăng ký trực tiếp với các nhà cung cấp
Domain Name.
Domain name thứ cấp: Là tất cả những loại Domain Name còn lại mà Domain đó
phải phụ thuộc vào một Domain Name cấp cao nhất. Để đăng ký các Domain Name kiểu
này, thông thường phải liên hệ trực tiếp với người quản lý Domain Name cấp cao nhất.
Web Hosting: Web Hosting là nơi lưu trữ tất cả các trang Web, các thông tin của
Website trên một máy chủ Internet.
* Các yêu cầu và tính năng của Web Hosting:
Web Hosting phải có một dung lượng lớn để lưu trữ các thông tin của Website.
Phải hỗ trợ truy xuất máy chủ bằng giao thức FTP để cập nhật thông tin.
Phải có băng thông (Bandwidth) đủ lớn để phục vụ trao đổi thông tin của Website.
Hỗ trợ các công cụ lập trình phần mềm trên Internet.
Hỗ trợ các dịch vụ E-mail như POP3 Email, Email Forwarding...

Web Server.
Là máy chủ có dung lượng lớn, tốc độ cao dùng để lưu trữ thông tin và những
Website đã được thiết kế cùng với những thông tin liên quan khác.


2.3.2. Bảo mật ứng dụng Web.
Bảo mật là gì ?
Bảo mật Web là yêu cầu tất yếu bởi vì những máy tính mang tính toàn cầu đang
ngày càng trở nên kém an toàn và phải đối mặt với các nguy cơ về an ninh rất cao.
3 yếu tố đảm bảo an ninh thông tin:
-

Tính bảo mật: đảm bảo rằng chỉ người được phép mới có thể truy cập thông tin.
Tính toàn vẹn: đảm bảo tính chính xác và đầy đủ của thông tin và các phương
pháp xử lý thông tin.
Tính sẵn sàng: đảm bảo người sử dụng được phép có thể truy cập thông tin.

Các phương thức gây mất an toàn thông tin (Hình 2.10).
Thu thập thông tin chung để tìm kiếm các thông tin xung quanh Website.
25