HỌC VIỆN NÔNG NGHIỆP VIỆT NAM
KHOA CÔNG NGHỆ THÔNG TIN
--------------------------------

ĐÁNH GIÁ KIỂM ĐỊNH HỆ THỐNG THÔNG TIN
Đề tài: Hướng dẫn về An ninh mạng thử ngiệm và Bảo mật máy tính.
---------------------o0o---------------------

SINH VIÊN THỰC HIỆN:
STT
1
2

HỌ VÀ TÊN
Đặng Bá Trường

3
4
5
6
7
8
9
10

1

MSV
637667

LỚP

K63ATTT


MỤC LỤC
MỤC LỤC.............................................................................................................. 2
CHƢƠNG 1. ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN. ... 5
HƢỚNG DẪN VỀ AN NINH MẠNG THỬ NGHIỆM VÀ BẢO MẬT MÁY TÍNH 5
1.1. GIỚI THIỆU ................................................................................................ 5
1.1.1. Mục đích và phạm vi hoạt động ............................................................. 5
1.1.2. Định nghĩa ........................................................................................... 5
1.1.2.1.
1.1.2.2.

Hệ thống ...................................................................................... 5
Kiểm tra An ninh Mạng ................................................................. 6

1.1.2.3.

Kiểm tra bảo mật hoạt động - Kiểm tra: ......................................... 6

1.1.2.4. Lỗ hổng bảo mật: .......................................................................... 6
1.1.3. Đối tượng ............................................................................................ 6
1.2. VÒNG ĐỜI PHÁT TRIỂN HỆ THỐNG ........................................................ 6
1.2.1. Phạm vi hoạt động ................................................................................ 7
1.2.2. Giai đoạn thực hiện............................................................................... 7
1.2.3. Ghi lại kết quả kiểm tra bảo mật............................................................. 7
1.2.4. Vai trò và trách nhiệm ........................................................................... 8
1.2.4.1.
1.2.4.2.


Quản lý CNTT cấp cao/ Giám đốc thông tin(CIO) ........................... 8
Người quản lý chương trinh bảo mật hệ thống thơng tin (ISSM)........ 8

1.2.4.3.
1.2.4.4.

Nhân viên An nình hệ thống Thơng tin (ISSO) ................................ 8
Quản trị hệ thống và mạng ............................................................. 8

1.2.4.5. Người quản lý và Chủ sở hữu......................................................... 9
1.3. CÁC KĨ THUẬT KIỂM TRA BẢO MẬT ...................................................... 9
1.3.1. Quét mạng ........................................................................................... 9
1.3.2. Quét lỗ hổng bảo mật .......................................................................... 10
1.3.3. Bẻ khóa mật khẩu ............................................................................... 11
1.3.3.1.

Cách thức:.................................................................................. 11

1.3.3.2.

Tác dụng: ................................................................................... 11

1.3.4. Kiểm tra thâm nhập ............................................................................ 12
1.3.4.1.
1.3.4.2.

Giai đoạn Planning (Lập kế hoạch) ............................................... 12
Giai đoạn Discovery (Khám phá) Giai đoạn này được chia thành 2
phần: ......................................................................................... 12


1.3.4.3.

Giai đoạn Attack......................................................................... 13
2


1.3.4.4.

Reporting (Báo cáo) .................................................................... 13

1.4. CÁC NGUYÊN TÁC CHUNG VỀ BẢO MẬT THÔNG TIN ........................ 13
1.5. LẬP KẾ HOẠCH ĐÁNH GIÁ BẢO MẬT................................................... 14
1.5.1. Xây dựng chính sách Đánh giá An ninh ................................................ 14
1.5.2. Các kĩ thuật lựa chọn và tùy chỉnh ........................................................ 14
1.6. THỰC HIỆN ĐÁNH GIÁ ........................................................................... 15
1.6.1. Điều phối ........................................................................................... 15
1.6.2. Đánh giá ............................................................................................ 15
1.6.3. Phân tích ............................................................................................ 16
1.6.4. Xử lí dữ liệu:...................................................................................... 17
1.6.4.1.
1.6.4.2.

Thu thập dữ liệu.......................................................................... 17
Lưu trữ dữ liệu ........................................................................... 18

1.6.4.3.

Truyền dữ liệu ............................................................................ 18

1.6.4.4.


Hủy bỏ giữ liệu........................................................................... 18

3


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

TÀI LIỆU THAM KHẢO
-

/>
-

/>
DANH MỤC BẢNG:
Bảng 1.3.1 1 Các giai đoạn của kiểm tra thâm nhập. ................................................ 12

4


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

CHƢƠNG 1. ĐÁNH GIÁ – KIỂM ĐỊNH AN TOÀN HỆ THỐNG THÔNG
TIN.
HƢỚNG DẪN VỀ AN NINH MẠNG THỬ NGHIỆM VÀ BẢO MẬT MÁY
TÍNH

1.1. Giới thiệu
1.1.1. Mục đích và phạm vi hoạt động


- Mục đích của tài liệu này là cung cấp hướng dẫn về kiểm tra an ninh
mạng. Xác định yêu cầu kiểm tra mạng và cách ưu tiên các hoạt động
kiểm tra các nguồn lực hạn chế, mô tả các kĩ thuật và công cụ kiểm tra an
ninh mạng.
- Trọng tâm chính của tài liệu này là thơng tin cơ bản về các kĩ thuật và
công cụ để cá nhân bắt đầu chương trình kiểm tra bảo mật mạng.
- Bảo mật mạng tổng quát có thể áp dụng cho tất cả các mạng được kết nối
với các hệ thống sau:
 Tường lửa, cả bên trong và bên ngoài.
 Bộ định tuyến và thiết bị chuyển mạch.
 Hệ thống bảo mật chu vi mạng liên quan như hệ thống phát hiện
xâm nhập.
 Máy chủ web, máy chủ Email và các máy chủ ứng dụng khác (VD:
máy chủ cung cấp tên miền DNS hoặc máy chủ thư mục, máy chủ
tệp).
1.1.2. Định nghĩa
1.1.2.1. Hệ thống

-

Hệ thống máy tính(VD: Máy tính lớn, máy tính mini).
Hệ thống mạng (Mạng cục bộ LAN).
Miền mạng.
Máy chủ (Các hệ thống máy tính).
Các nút mạng, bộ định tuyến, bộ chuyển mạch và tưởng lửa.
Mạng và các ứng dụng máy tính trên mỗi hệ thống máy tính.
5



ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

1.1.2.2. Kiểm tra An ninh Mạng

Cung cấp thông tin về tính tồn vẹn của tổ chức mạng và các hệ thống liên quan. Các
hoạt động thử nghiệm Kiểm tra an ninh mạng bao gồm các hoạt động: lập bản đồ, quét lỗ
hỗng bảo mật, bẻ khỏa mật khẩu, kiểm tra cấp phép, quay số và điều khiển chiến tranh,
kiểm tra tính tồn vẹn của tệp và qt viruts.
1.1.2.3. Kiểm tra bảo mật hoạt động - Kiểm tra:

Bảo mật mạng được thực hiện trong giai đoạn hoạt động của tuổi thọ hệ thống, nghĩa
là trong khi hệ thống hoạt động trong mơi trường hoạt động của nó.
1.1.2.4. Lỗ hổng bảo mật

Mỗi lỗi hoặc cấu hình sai hoặc các trường hợp đặc biệt có thể dẫn đến khai thác lỗ
hỗng đó. Mỗi lỗ hổng có thể bị khia thác trực tiếp bởi kẻ tấn công hoặc gián tiếp thông
qua các cuộc tấn công tự động như từ chối dịch vụ phân tán tấn cơng hoặc bởi viruts máy
tính.
1.1.3. Đối tƣợng

Hữu ích cho các nhà quản lý chương trình bảo mật, các nhà quản lý kĩ thuật và chức
năng, quản trị viên mạng và hệ thống, và các nhân viên CNTT.
1.2. Vòng đời phát triển hệ thống

Đánh giá an ninh hệ thống mạng có thể và cần được tiến hành ở các giai đoạn phát
triển hệ thống khác nhau. Các hoạt động đánh giá an ninh mạng bao gồm, đánh giá rủi ro,
chứng nhận và công nhận C&A, đánh giá hệ thống và thử nghiệm bảo mật vào các giai
đoạn phát triển hệ thống.
Vịng đời của một hệ thống điển hình bào gồm các hoạt động sau:
- Khởi tạo:

Hệ thống được mô ta về mục đích, nhiệm vụ và cấu hình của nó.
- Phát triển và Mua lại:
Hệ thống có thể được kí hợp đồng và xây dựng theo các thủ tục và yêu câu lập
thành văn bản.
- Thực hiện và Cài đặt:
Hệ thống được cài đặt và tích hợp với các ứng dụng khác và thường là trên 1 mạng.
- Vận hành và bảo trì:
Hệ thống được vận hành và bảo trì theo nhiệm vụ và u cầu của nó.
- Loại bỏ:
Vịng đời của hệ thống đã hồn tất và nó bị vơ hiệu hóa và bị xóa khỏi mạng.

6


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

1.2.1. Phạm vi hoạt động

Kiểm tra và Đánh giá Bảo mật (ST&E) là một kiểm tra hoặc phân tích các biện pháp
bảo vệ được đặt trên hệ thống thông tin khi nó được tích hợp đầy đủ các hoạt động. Các
mục tiêu của ST&E là:
- Khám phá các lỗi thiết kế, triển khai các hoạt động có thể cho phép vi phạm
bảo mật chính sách.
- Xác định tính đầy đủ của các cơ chế bảo mật, đảm bảo các thuộc tính khác để
thực thi chính sách bảo mật.
- Đánh giá mức độ nhất quán giữa các tài liệu hệ thống và thực hiện nó.
Phạm vi của kế hoạch ST&E thường đề cập đến vấn đề bảo mật máy tính, bảo mật
truyền thông, bàn phát an ninh, an ninh vật lý, an ninh nhân sự, an ninh hành chính và an
ninh hoạt động.
1.2.2. Giai đoạn thực hiện


Khi một hệ thống hoạt động, điều quan trọng là phải xác định trạng thái hoạt động của
nó, tức là một hệ thống được vận hành theo các yêu cầu bảo mật hiện tại của nó. Các loại
kiểm tra đã chọn và tần suất của chúng phụ thuộc vào tầm quan trong của hệ thống và các
nguồn lực có sẵn để thử nghiệm. Tuy nhiên việc kiểm tra có thể được thực hiện thương
xuyên hơn đối với các hệ thống có khả năng bị đe dọa cao (ví dụ như máy chủ web) hoặc
các hệ thống có thơng tin quan trọng.
Trong Giai đoạn Vận hành, thử nghiệm vận hành được tiến hành định kì. Trong Giai
đoạn Bảo trì, thử nghiệm ST&E có thể cần được tiến hành giống như trong Giai đoạn
Thực hiện. Mức độ kiểm tra này cũng có thể được yêu cầu trước khi hệ thống có thể trở
lại trạng thái hoạt động của nó, tùy thuộc vào mức độ nghiêm trọng của hệ thống và các
ứng dụng của nó. Ví dụ, đối với một máy chủ hoặc tường lửa quan trọng có thể yêu cầu
kiểm tra đầy đủ, trong khi hệ thống máy tính để bàn có thể khơng u cầu kiểm tra.
1.2.3. Ghi lại kết quả kiểm tra bảo mật

Kiểm tra bảo mật cung cấp cái nhìn sâu sắc về các hoạt động của vòng đời phát triển
hệ thống, chẳng hạn như rủi ro khi phân tích và lập kế hoạch dự phịng.
Kiểm tra bảo mật có thể được sử dụng trong những cách sau:
- Là điểm tham chiếu cho hành động khắc phục
- Việc xác định các hoạt động để giảm thiểu và giải quyết các lỗ hỗng đã được
xác định.
- Là một tiêu chuẩn để theo dõi tiến trình của tổ chức trong việc đáp ứng các
yêu cầu bảo mật.
- Đánh giá tính trạng thực hiện các yêu cầu bảo mật hệ thống.
- Tiến hành phân tích chi phí/ lợi ích để cải thiện bảo mật hệ thống.
- Để tăng cường các hoạt động vòng đời khác, cahwngr hạn như đánh giá rủi
ro, Chứng nhận và Ủy quyền (C&A) và nổ lực cải thiện hiệu suất.
7



ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

1.2.4. Vai trò và trách nhiệm
1.2.4.1. Quản lý CNTT cấp cao/ Giám đốc thông tin(CIO)

Cung cấp các dịch vụ chỉ đạo và tư vấn để bảo vệ hệ thống thông tin cho toàn bộ tổ
chức.
Quản lý CNTT cấp cao/ CIO chịu trách nhiệm về các hoạt động liên quan đến bảo mật
sau:
- Phát triển chính sách và duy trì an ninh thông tin của tổ chức.
- Đảm bảo thiết lập và tuân thủ các quy trình đánh giá bảo mật nhất quán trong
toàn bộ tổ chức.
- Tham gia phát triển các quy trình ra quyết định và sắp xếp thứu tự ưu tiên của
các hệ thống kiểm tra bảo mật.
1.2.4.2. Người quản lý chương trinh bảo mật hệ thống thông tin (ISSM)

Giám sát việc thực hiện và tuân thủ các tiêu chuẩn, quy tắc và các quy định được chỉ
định trong chính sách bảo mật của tổ chức.
Các ISSM phải chịu trách nhiệm về các hoạt động:
- Xây dựng và thực hiện các quy trình vận hành tiêu chuẩn.
- Tuân thủ các chính sách, tiêu chuẩn và các yêu cầu bảo mật.
- Đảm bảo các hệ thống quan trọng được xác định và lên lịch kiểm tra định kì
theo các yêu cầu về chính sách bảo mật của từng hệ thống tương ứng.
1.2.4.3. Nhân viên An nình hệ thống Thơng tin (ISSO)

Giám sát tất cả các khía cạnh của thơng tin bảo mật trong tổ chức. Đảm bảo an ninh
thông tin của tổ chức tuân thủ đúng theo chính sách, tiêu chuẩn và thu tục của hệ thống.
ISSO phải chịu trách nhiệm về các hoạt động sau:
- Phát triển các tiêu chuẩn và quy định bảo mật cho lĩnh vực phụ trách của họ
- Hợp tác trong việc phát triển và triển khai các cơng cụ bảo mật.

- Duy trì hồ sơ cấu hình của tất cả các hệ thống do tổ chức kiểm sốt bao gồm
các máy tính lớn, hệ thống phân tán, máy vi tính và các cổng truy cập số.
- Duy trì tính tồn vẹn hoạt động của hệ thống bằng cách tiến hành các thực
nghiệm và đảm bảo rằng các chuyện gia CNTT được chỉ định đang tiến hành
kiểm tra theo lịch trình trên các hệ thống quan trọng.
1.2.4.4. Quản trị hệ thống và mạng

Phải giải quyết các yêu cầu bảo mật đối với các hệ thống củ thể mà họ chịu trách
nhiệm hằng ngày. Các vấn đề và giải pháp bảo mật có thể bắt nguồn từ bên ngoài (VD
các bản vá bảo mật từ các nhà cung cấp…) hoặc từ bên trong tổ chức (VD: Văn phòng an
ninh…).

8


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

Các quản trị viên phải chịu trách nhiệm về các hoạt động:
- Giám sát tính tồn vẹn của hệ thống, mức độ bảo vệ và các sự kiện liên quan
đến bảo mật.
- Giải quyết các bất thường bảo mật được phát hiện liên quan đến tài nguyên của
hệ thống.
- Tiến hành kiểm tra bảo mật theo yêu cầu.
- Đánh gái và xác minh các biện pháp an ninh đã thực hiện.
1.2.4.5. Người quản lý và Chủ sở hữu

Giám sát sự tuân thủ tổng thể của các tài sản của họ đối với các yêu cầu bảo mật được
xác định. Họ cũng phải chịu trách nhiệm đảm bảo rằng kết quả kiểm tra và các khuyến
nghị được thông qua.
1.3. Các kĩ thuật kiểm tra bảo mật


Các loại kiểm tra bảo mật:
- Quét mạng.
- Quét lỗ hổng bảo mật.
- Bẻ khóa mật khẩu.
- Xem lại nhật kí.
- Người kiểm tra tính tồn vẹn.
- Phát hiện Viruts.
- Kiểm tra thâm nhập.
1.3.1. Quét mạng

Quét mạng bao gồm việc sử dụng máy quét các cổng để xác định tất cả các máy chủ
có khả năng kết nối với mạng của tổ chức, các dịch vụ mạng hoạt động trên máy chủ đó
chẳng hạn như giao thức truyền tệp FTP, giao thức truyền siêu văn bản HTTP và các ứng
dụng cụ thể chạy dịch vụ đã xác định chẳng hạn như WU-FTPD, máy chủ thông tin
Internet IIS và Apache cho dịch vụ HTTP.
Trong khi máy quét cổng xác định máy chủ, dịch vụ, ứng dụng và hệ điều hành đang
hoạt động, chúng KHÔNG xác định các lỗ hổng (ngồi một số cổng Trojan thơng
thường). Các lỗ hổng chỉ có thể được xác định bằng người diễn giải kết quả quét và lập
bản đồ.
Các tổ chức nên tiến hành quét mạng để:
- Kiểm tra các máy chủ trái phép được kết nối với mạng của tổ chức.
- Xác định các dịch vụ dễ bị tổn thương.
- Xác định các sai lệch so với các dịch vụ được phép được xác định trong
chính sách bảo mật của tổ chức.
- Chuẩn bị cho thử nghiệm thâm nhập.
- Hỗ trợ cấu hình hệ thống phát hiện xâm nhập (IDS).
- Thu thập bằng chứng.

9



ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

Kết quả quét mạng phải được lập thành văn bản và sửa chữa các khiếm khuyết đã xác
định. Các hành động khắc phục có thể cần thiết do kết quả của quá trình quét mạng:
- Điều tra và ngắt kết nối các máy chủ lưu trữ trái phép.
- Tắt hoặc xóa các dịch vụ khơng cần thiết và dễ bị tấn công.
- Sửa đổi các máy chủ dễ bị tấn công để hạn chế quyền truy cập vào các dịch vụ
dễ bị tổn thương ở một số lượng giới hạn được yêu cầu máy chủ.
- Sửa đổi tường lửa doanh nghiệp để hạn chế truy cập từ bên ngoài vào các dịch
vụ dễ bị tấn công.
1.3.2. Quét lỗ hổng bảo mật

Máy quét lỗ hổng bảo mật cung cấp cho quản trị viên hệ thống và mạng các công cụ
chủ động có thể được sử dụng để xác định các lỗ hổng trước khi kẻ thù có thể tìm thấy
chúng. Máy quét lỗ hổng bảo mật tương đối nhanh và cách dễ dàng để định lượng mức
độ phơi nhiễm của một tổ chức đối với các lỗ hổng bề mặt.
Máy quét lỗ hổng bảo mật giúp xác định các phầm mền lỗi thời, các bản vá hiện hành
hoặc nâng cấp hệ thống và xác thực sự tuân thủ hay sai lệch so với chính sách bảo mật
của tổ chức.
Máy quét lỗ hỗng bảo mật cung cấp những thông tin quan trọng và hướng dẫn về cách
giảm thiểu các lỗ hổng ngoài ra cịn có thể tự động sửa chửa và khác phục một số lỗi phát
hiện ra của các lỗ hổng.
Các khả năng mà máy quét lỗ hông cung cấp:
- Xác định các máy chủ đang hoạt động trên mạng.
- Xác định các dịch vụ đang hoạt động và dễ bị tấn công trên máy chủ.
- Xác định ứng dụng và lấy Banner.
- Nhận dạng hệ điều hành.
- Xác định các lỗ hổng liên quan đến các hệ điều hành và ứng dụng được phát

hiện.
- Xác định các cài đặt bị cấu hình sai.
- Kiểm tra việc tn thủ các chính sách bảo mật.
- Thiết lập nền tảng cho các thử nghiệm thâm nhập.
Kết quả quét lỗ hổng phải được lập thành tài liệu và phát hiện ra những khiếm khuyết
được sửa chữa. Các hành động khắc phục sau có thể cần thiết do quá trình quét lỗ hổng
bảo mật:
- Nâng cấp hoặc vá các hệ thống dễ bị tấn công để giảm thiểu các lỗ hổng đã
xác định khi thích hợp.
- Triển khai các biện pháp giảm thiểu (kỹ thuật hoặc thủ tục) nếu hệ thống
không thể ngay lập tức được vá (ví dụ: nâng cấp hệ điều hành sẽ làm cho ứng
dụng chạy trên hệ điều hành hệ thống không hoạt động), để giảm thiểu
xác suất hệ thống này bị xâm phạm.
- Cải thiện chương trình và thủ tục quản lý cấu hình để đảm bảo rằng hệ thống
được nâng cấp thường xuyên.
10


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

-

Chỉ định một nhân viên giám sát các cảnh báo lỗ hổng và danh sách gửi thư,
kiểm tra khả năng áp dụng vào môi trường của tổ chức và bắt đầu các thay đổi
hệ thống thích hợp.
Sửa đổi các chính sách bảo mật, kiến trúc hoặc tài liệu khác của tổ chức để
đảm bảo rằng thực hành bảo mật bao gồm cập nhật và nâng cấp hệ thống kịp
thời.

1.3.3. Bẻ khóa mật khẩu

1.3.3.1. Cách thức:

Khi người dùng nhập mật khẩu, một băm của mật khẩu đã được tạo và so sánh với một
băm mật khẩu thực của người dùng, Nếu hàm băm khớp thì mật khẩu được xác thực
Bẻ khóa mật khẩu là q trình khơi phục mật khẩu thơng qua hàm băm mật khẩu được
lưu trữ trong hệ thống máy tính hoặc được truyền qua mạng.
Sau khi có được những băm này, một trình bẻ khóa mật khẩu sẽ tạo ra các băm bổ
sung cho đến khi tìm thấy kết quả phù hợp hoặc người đánh giá tạm dừng việc bẻ khóa.
Trình bẻ khóa mật khẩu nên được chạy trên hệ thống liên tục để đảm bảo chính xác
thành phần mật khẩu trong toàn bộ tổ chức. Các hành động sau đây có thể được thực hiện
nếu khơng thể chấp nhận được số lượng mật khẩu cao có thể bị bẻ khóa:
- Nếu mật khẩu bẻ khóa được chọn theo chính sách, thì chính sách đó nên được
sửa đổi thành giảm tỷ lệ mật khẩu có thể bẻ khóa. Nếu việc sửa đổi chính sách
như vậy sẽ dẫn đến người dùng viết ra mật khẩu của họ vì chúng khó ghi nhớ,
một tổ chức nên xem xét việc thay thế xác thực bằng mật khẩu bằng một hình
thức xác thực khác.
-

Nếu mật khẩu bẻ khóa khơng được chọn theo chính sách, người dùng nên được
hướng dẫn về các tác động có thể có của việc lựa chọn mật khẩu yếu.Nếu
những vi phạm như vậy của cùng một người dùng vẫn tiếp diễn,ban quản lý nên
xem xét các bước bổ sung (đào tạo bổ sung, quản lý mật khẩuphần mềm để
thực thi các lựa chọn tốt hơn, từ chối quyền truy cập, v.v.) để đạt được sự tuân
thủ của người dùng. Nhiều máy chủ nền tảng cũng cho phép quản trị viên hệ
thống đặt độ dài và độ phức tạp của mật khẩu tối thiểu.

1.3.3.2. Tác dụng

-


Đánh giá được độ mạnh yếu của các mật khẩu.
Để nâng cao độ an tồn cho mật khẩu thì nên áp dụng các chính sách hết hạn
mật khẩu (trong 1 khoảng thời gian ngắn sẽ phải thay đổi mật khẩu) và tăng độ
mạnh cho các mật khẩu (tạo mật khẩu dài có sử dụng số, chữ, các kí tự đặc
biệt…. ).

11


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

1.3.4. Kiểm tra thâm nhập

Kiểm tra thâm nhập là kiểm tra bảo mật trong đó người đánh giá bắt chước các cuộc
tấn công trong thế giới thực để xác định các phương pháp phá vỡ các tính năng bảo mật
của ứng dụng, hệ thống hoặc mạng.
Kiểm tra xâm nhập giúp xác định:
- Hệ thống nào chịu được các cuộc tấn cơng mạnh.
- Mức độ phức tạp có thể xảy ra nà kẻ tấn công cần để xâm nhập thành công
vào hệ thống.
- Các biện pháp đối phó bổ sung có thể giảm thiểu các mối đe dọa dối với hệ
thống.
- Khả năng phát hiện các cuộc tấn công và phản ứng thích hợp của người
phịng thủ.
Các giai đoạn kiểm tra thâm nhập:

Bảng 1.3.1 1 Các giai đoạn của kiểm tra thâm nhập.

1.3.4.1. Giai đoạn Planning (Lập kế hoạch)


-

Trong giai đoạn này, các quy tắc được xác định, sự phê duyệt của quản trị viên
hệ thống được hoàn thiện và lập thành văn bản.
Thiết lập các mục tiêu thử nghiệm.

1.3.4.2. Giai đoạn Discovery (Khám phá) Giai đoạn này được chia thành 2 phần:

 Phần đầu tiên : là bắt đầu thử ngiệm thực tế và bao gồm việc thu thập và quét
thông tin :
- Thông tin tên máy chủ và địa chỉ IP có thể được thu thập thơng qua
nhiều phương pháp, bao gồm cả DNS, truy vấn InterNIC và dò tìm mạng
12


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

-

Có thể lấy tên nhân viên và thơng tin liên hệ bằng cách tìn kiểm trên các
Web của tổ chức.
- Thông tin ứng dụng và dịch vụ: Chẳng hạn như số phiên bản, cookie…
 Phần thứ 2 : Phân tích các lỗ hổng mà phần khám phá tìm ra để đánh giá mức
độ bảo mật của thông tin:
- Ứng dụng và HDH của máy chủ được quét chống lại các cơ sở dữ liệu lỗ
hổng bảo mật (quá trình này tự động do máy quét lỗ hổng thực hiện).
- Người kiểm tra có thể sử dụng các cơ sỡ dữ liệu để xác định các lỗ hổng
theo cách thủ công.
- Các quy trình thủ cơng có thể xác định các lỗ hổng mới hoặc che khuất
các lỗ hổng tự động do máy qt bỏ sót.

1.3.4.3. Giai đoạn Attack

Trong khi trình quét lỗ hổng chỉ kiểm tra sự tồn tại có thể có của lỗ hổng, giai đoạn tấn
cơng của kiểm tra thâm nhập khai thác lỗ hổng để xác nhận sự tồn tại của nó.
Hầu hết các lỗ hổng được khai thác bởi thử nghiệm sau:
- Cấu hình sai: Các cài đặt bảo mật bị cấu hình sai, đặc biệt là các cài đặt mặc
định khơng an tồn và thường dễ bị khai thác.
- Kernel Flaws: Mã hạt nhân là cốt lỗi cảy một hệ điều hành và thực thi mơ
hình bảo mật hệ thống vì vậy nên bất kì lỗ hổng bảo mật nào trong hạt nhân
đều khiển toàn bộ hệ thống gặp nguy hiểm.
- Tràn bộ đệm: Tràn bộ đêmh xảy ra khi các chương trình khơng kiểm tra đầy
đủ đầu vào cho độ dài thích hợp.
- Xác thực đầu vào không đủ: Được gọi là tấn công SQL Injection.
1.3.4.4. Reporting (Báo cáo)

Giai đoạn báo cáo này xảy ra đồng thời với cả ba giai đoạn khác nhau trong quá trình
kiểm tra xâm nhập.
1.4. Các nguyên tác chung về bảo mật thơng tin

 Tính đơn giản: Cơ chế bảo mật và hệ thống thơng tin nói riêng phải đơn giản
nhưng khả thi. Sự phức tạp là gốc rễ của nhiều vấn đề bảo mật.
 Fial-Safe: nếu xảy ra lỗi, hệ thống sẽ bị lỗi một cách an toàn. Đó là, nếu một
thất bại xảy ra, bảo mật vẫn nên được thực thi. Thà mất chức năng còn hơn mất
bảo mật.
 Hồn thành hịa giải: Thay vì cũng cấp trực tiếp vào thơng tin, những người
hịa giải thực thi chinh sách truy cấp nên được sử dụng. Các ví dụ phổ biến bao
gồm quyền đối với hệ thống tệp, web và cổng thư…
 Thiết kế mở: Bảo mật hệ thống khơng nên phụ thuộc vào tính bí mất của việc
khai thác các thành phần của nó.
13



ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

 Tách biệt các đặc quyền: Các chức năng, ở các mức độ nên tách biệt các đặc
quyền ra càng nhiều chi tiết càng tốt. Có thể áp dụng cho cả hệ thống và người
vân hành/ người dùng, giữa người vận hành và người dùng hệ thống các vai trò
này càng tách biệt càng tốt. Ví dụ, nếu tài nguyên cho phép, vai trò của quản trị
viên hệ thống phải tách biệt với vai trò bảo mật của người quản lý.
 Phòng thủ phân lớp: Các cơ chế bảo mật đơn lẻ là không đủ. Các cơ chế bảo
mật cần được phân lớp vì một cơ chế bảo mật duy nhất không đủ để xâm nhập
máy chủ hoặc mạng.
 Thỏa hiệp: Khi hệ thống và mạng bị xâm phạm thì việc ghi lại nhật kí nên
được tạo ra. Thơng tin này có thể hỗ trợ việc bảo mật mạng và máy chủ sau
này, hỗ trợ xác định các phương pháp và cách khai thác được sử dụ bởi các kẻ
được tấn cơng. Những thơng tin này có thể được sử dụng để bảo mật máy chủ
và mạng tốt hơn trong tương lai. Ngồi ra điều này có thế hơc trợ các tổ chức
trong việc xác định và truy tố những kẻ tấn công.
1.5. Lập kế hoạch đánh giá bảo mật
1.5.1. Xây dựng chính sách Đánh giá An ninh

Các tổ chức nên phát triển một chính sách đánh giá an tồn thông tin riêng để đưa ra
định hướng và hướng dẫn cho các đánh giá viên bảo mật của họ.
Chính sách nay phải xác định các yêu cầu đánh giá bảo mật và quy trách nhiệm cho
những cá nhân chịu trách nhiệm đảm bảo rằng các đánh giá tuân thủ các yêu cầu:
- Các yêu cầu của tổ chức mà các đánh giá phải tuân thủ.
- Các vai trò và trách nhiệm phù hợp (tối thiểu là đối với những cá nhân phê
duyệt và thực hiện đánh giá).
- Tuân thủ các phương pháp đã được vạch ra từ trước.
- Tần suất đánh giá.

- Các yêu cầu về tài liệu chẳng hạn như kế hoạch đánh giá và kết quả đánh giá.
1.5.2. Các kĩ thuật lựa chọn và tùy chỉnh

Có nhiều yếu tố cần xem xét khi xác định kiểm tra và xét nhiệm kĩ thuật nào nên được
sử dụng cho một đánh giá cụ thể.
Một số kĩ thuật có thể tốn kém hơn đánh kể so với những kĩ thuật khác và một số kĩ
thuậy cũng có thể mất nhiều thời gian để thực hiện.
Trong hầu hết các trường hợp sử dụng nhiều hơn một kĩ thuật có thể được sử dụng để
đáp mục tiêu đánh giá.

14


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

1.6. Thực hiện đánh giá
1.6.1. Điều phối

Trong suốt quá trình đánh giá, điều quan trọng là người đánh giá phải phối hợp với các
đơn vị khác nhau trong Cơ quan.
Phối hợp thích hợp giúp đảm bảo rằng:
- Các bên liên quan nhận thức được lịch trình đánh giá, các hoạt động và các
tác động tiềm tàng đối với đánh giá có thể có.
- Việc đánh giá khơng diễn ra trong q trình nâng cấp, tích hợp cơng nghệ mới
hoặc các thời điểm khác khi bảo mật hệ thống bị thay đổi (ví dụ: thử nghiệm
xảy ra trong các cửa sổ bảo trì hoặc thời gian sử dụng thấp).
- Người đánh giá được cung cấp các cấp độ tiếp cận cần thiết đối với cơ sở và hệ
thống, nếu thích hợp.
- Các nhân sự thích hợp như CIO, CISO và ISSO được thông báo về bất kỳ tác
động cao nào nghiêm trọng các lỗ hổng ngay khi chúng được phát hiện.

- Các cá nhân phù hợp được thơng báo (ví dụ: người đánh giá, nhóm ứng phó sự
cố, cấp cao quản lý) trong trường hợp có sự cố.
1.6.2. Đánh giá

Trong quá trình đánh giá, nhóm ứng phó sự cố của tổ chức có thể phát hiện ra sự cố.
Đây có thể là gây ra bởi hành động của người đánh giá hoặc bởi một kẻ thù thực sự tình
cờ thực hiện một cuộc tấn cơng trong khi đang trong q trình đánh giá. Nếu sự hiện diện
của kẻ thù là được phát hiện trong quá trình đánh giá, cần báo cáo ngay cho cá nhân thích
hợp. Người đánh giá ngừng đánh giá các hệ thống liên quan đến sự cố trong khi tổ chức
thực hiện phản ứng.
Ngoài việc gặp phải các sự cố mới hoặc phát hiện ra những sự cố hiện có, người đánh
giá có thể phải đối mặt với các kỹ thuật khác, những thách thức về hoạt động và chính trị
trong q trình đánh giá. Chúng có thể bao gồm:
- Sự phản kháng đối với các đánh giá có thể đến từ nhiều nguồn trong một tổ
chức, bao gồm quản trị viên hệ thống và mạng và người dùng cuối.
-

Thiếu tính hiện thực: Để chuẩn bị cho đánh giá, người dùng và quản trị viên
đôi khi sửa đổi cài đặt để làm cho hệ thống của họ an tồn hơn, chống lại sự tấn
cơng hoặc tn thủ chính sách hơn và các yêu cầu khác. Mặc dù điều này có thể
được xem là tích cực, nhưng những thay đổi được thực hiện theo các tình huống
thường chỉ được duy trì trong suốt thời gian đánh giá, sau đó hệ thống được trả
về cấu hình trước đó của chúng.

-

Giảm nhẹ ngay lập tức: Vì các điểm yếu bảo mật được xác định trong quá
trình đánh giá, quản trị viên có thể muốn thực hiện các bước ngay lập tức để
giảm thiểu chúng và mong muốn người đánh giá nhanh chóng đánh giá lại hệ
thống để xác nhận rằng các vấn đề đã được giải quyết.

15


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

-

Thời gian: Đánh giá bảo mật thường được kết hợp với phát triển hoặc triển
khai với ít thơng báo và thu hẹp khung thời gian khi nó thực sự nên trở thành
một phần thường xuyên của quá trình phát triển hoặc chu kỳ triển khai. Thời
gian cũng là một thách thức khi kiểm tra các hệ thống và mạng quan trọng trong
sản xuất, các vấn đề, hệ thống và mạng có thể cần được kiểm tra ngồi giờ.
Người đánh giá thường bị hạn chế để kiểm tra khung thời gian, trong khi những
kẻ tấn công thực sự không bị giới hạn bởi những ràng buộc như vậy.

-

Nguồn lực: Đánh giá bảo mật phải đối mặt với thách thức liên tục trong việc
thu thập và duy trì nguồn lực đầy đủ (ví dụ: một nhóm kiểm tra có tay nghề cao
và phần cứng và phần mềm cập nhật). Nó là đề xuất rằng các tổ chức chỉ định
thiết bị đánh giá bảo mật chẳng hạn như máy tính xách tay và thẻ không dây chỉ
được sử dụng để đánh giá. Nếu sử dụng phần mềm đánh giá thương mại, việc
mua các giấy phép liên tục và các hợp đồng hỗ trợ cần được xem xét. Người
đánh giá nên lên lịch thời gian trước khi bắt đầu đánh giá để đảm bảo rằng tất
cả các phần mềm đánh giá đều hoạt động đúng được vá và cập nhật. Nếu người
đánh giá nội bộ khơng có sẵn hoặc khơng đáp ứng được đánh giá yêu cầu, nó có
thể là một thách thức để tìm những người đánh giá bên ngồi đáng tin cậy, đáng
tin cậy.

-


Công nghệ phát triển: Người đánh giá cần cập nhật các công cụ và kỹ thuật
kiểm tra. Ngân sách phải cho phép các lớp đào tạo và hội nghị hàng năm, nơi
người đánh giá có thể cập nhật và làm mới kỹ năng của họ.

-

Tác động hoạt động: Mặc dù các đánh giá được lên kế hoạch để ngăn ngừa
hoặc hạn chế tác động hoạt động, ln có khả năng xảy ra các biến chứng ngẫu
nhiên hoặc bất ngờ. Mọi thử nghiệm được tiến hành nên được ghi lại bằng dấu
thời gian, loại thử nghiệm, công cụ được sử dụng, lệnh, địa chỉ IP của thử
nghiệm thiết bị, v.v. Bạn nên sử dụng tập lệnh ghi nhật ký để nắm bắt tất cả các
lệnh và tổ hợp phím được sử dụng trong quá trình thử nghiệm. Vì rủi ro hoạt
động tác động, khuyến nghị nên có một kế hoạch ứng phó sự cố đã thiết lập
trong q trình thử nghiệm.

1.6.3. Phân tích

Các mục tiêu chính khi tiến hành phân tích là phân loại lỗ hổng và xác định nguyên
nhân của lỗ hổng. Người đánh giá có thể xác nhận các lỗ hổng bằng cách kiểm tra thủ
công hệ thống dễ bị tấn công hoặc bằng cách sử dụng công cụ tự động thứ hai và so sánh
kết quả. Trong khi các lỗ hổng riêng lẻ cần được xác định và giải quyết, xác định nguyên
nhân gốc rễ của lỗ hổng bảo mật là chìa khóa để cải thiện tình hình bảo mật tổng thể của
tổ chức vì nguyên nhân gốc rễ có thể thường được truy tìm các điểm yếu ở cấp độ
chương trình. Một số nguyên nhân gốc rễ phổ biến bao gồm:
- Quản lý bản vá không đầy đủ, chẳng hạn như không áp dụng các bản vá kịp
thời hoặc không áp dụng các bản vá cho tất cả các hệ thống dễ bị tấn công.
16



ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

-

Quản lý mối đe dọa không đầy đủ, bao gồm chữ ký chống vi-rút lỗi thời, thư
rác không hiệu quả bộ lọc và bộ quy tắc tường lửa không thực thi chính sách
bảo mật của tổ chức.

-

Thiếu cơ sở bảo mật, chẳng hạn như cài đặt cấu hình bảo mật khơng nhất qn
trên các hệ thống tương tự.

-

Tích hợp kém bảo mật vào vòng đời phát triển hệ thống, chẳng hạn như thiếu
hoặc khơng hài lịng các u cầu bảo mật và lỗ hổng bảo mật trong mã ứng
dụng do tổ chức phát triển.

-

Điểm yếu của kiến trúc bảo mật, chẳng hạn như các cơng nghệ bảo mật khơng
được tích hợp đúng cách vào cơ sở hạ tầng (ví dụ: vị trí kém, khơng đủ độ bao
phủ hoặc cơng nghệ lạc hậu), hoặc kém bố trí các hệ thống làm tăng nguy cơ
xâm phạm của chúng.

-

Các thủ tục ứng phó sự cố không đầy đủ, chẳng hạn như các phản ứng chậm trễ
đối với thử nghiệm thâm nhập hoạt động.


-

Đào tạo khơng đầy đủ, cho cả người dùng cuối (ví dụ: không nhận ra kỹ thuật
xã hội và lừa đảo tấn công, triển khai các điểm truy cập không dây giả mạo) và
dành cho quản trị viên mạng và hệ thống (ví dụ: triển khai các hệ thống được
bảo mật yếu, bảo trì bảo mật kém).

-

Thiếu các chính sách bảo mật hoặc thực thi chính sách (ví dụ: cổng mở, dịch
vụ đang hoạt động, không bảo đảm giao thức, máy chủ giả mạo, mật khẩu
yếu).

1.6.4. Xử lí dữ liệu
1.6.4.1. Thu thập dữ liệu

Nhóm nghiên cứu phải thu thập thơng tin liên quan trong suốt quá trình đánh giá. Điều
này bao gồm thông tin liên quan đến kiến trúc và cấu hình của mạng được đánh giá, cũng
như thơng tin về hoạt động của giám định viên. Bởi vì dữ liệu này nhạy cảm, điều quan
trọng là phải xử lý nó một cách thích hợp.
Các loại thơng tin mà người đánh giá có thể thu thập bao gồm:
- Dữ liệu cấu hình và kiến trúc: Loại đánh giá và kết quả mong muốn sẽ thúc đẩy
dữ liệu do nhóm thu thập, có thể bao gồm nhưng khơng giới hạn ở tên hệ
thống, địa chỉ IP, Hệ điều hành, vị trí mạng vật lý và logic, cấu hình bảo mật và
lỗ hổng bảo mật.

17



ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

-

Hoạt động của Người đánh giá: Người đánh giá nên ghi nhật ký bao gồm thông
tin hệ thống đánh giá và bản ghi từng bước về các hoạt động của họ. Điều này
cung cấp một dấu vết kiểm tra và cho phép tổ chức để phân biệt giữa hành
động của người đánh giá và kẻ thù thực sự. Nhật ký hoạt động cũng có thể hữu
ích trong việc xây dựng báo cáo kết quả đánh giá.

1.6.4.2. Lưu trữ dữ liệu

Lưu trữ an toàn dữ liệu được thu thập trong quá trình đánh giá, bao gồm các lỗ hổng
bảo mật, kết quả phân tích và các khuyến nghị giảm thiểu, là trách nhiệm của người đánh
giá. Việc phát hành thông tin này khơng thích hợp có thể gây tổn hại đến danh tiếng của
tổ chức và tăng khả năng bị lợi dụng. Ở mức nhỏ nhất, người đánh giá nên lưu trữ các
thông tin sau để sử dụng cho việc xác định, phân tích và báo cáo về tư thế an ninh của tổ
chức và cung cấp một dấu vết đánh giá về các hoạt động thử nghiệm:
- Kế hoạch đánh giá.
- Tài liệu về cấu hình bảo mật hệ thống và kiến trúc mạng.
- Kết quả từ các công cụ tự động và các phát hiện khác.
- Báo cáo kết quả đánh giá.
- Kế hoạch hành động khắc phục hoặc Kế hoạch Hành động và Các mốc quan
trọng.
1.6.4.3. Truyền dữ liệu

Có thể cần phải truyền dữ liệu đánh giá, chẳng hạn như cấu hình hệ thống và lỗ hổng
bảo mật, mạng hoặc Internet và điều quan trọng là đảm bảo tính bảo mật của dữ liệu được
truyền để bảo vệ nó khỏi thỏa hiệp.
1.6.4.4. Hủy bỏ giữ liệu


Khi dữ liệu đánh giá khơng cịn cần thiết, hệ thống đánh giá, tài liệu bản in và phương
tiện cần được vệ sinh thích hợp. Một số cách hủy bỏ dữ liệu mà tài liệu nhắc đến là:
- Thải bỏ: hành động loại bỏ phương tiện mà không cần cân nhắc vệ sinh khác.
Đây là hầu hết thường được thực hiện bằng cách tái chế giấy có chứa thơng tin
khơng bảo mật, nhưng cũng có thể bao gồm phương tiện truyền thơng khác.

-

Xóa: một mức độ làm sạch phương tiện truyền thông sẽ bảo vệ bí mật thơng tin
chống lại tấn cơng bàn phím mạnh mẽ. Việc xóa đơn giản các mục khơng đủ để
xóa. Thanh tốn bù trừ phải giữ cho thơng tin khơng bị truy xuất bởi các tiện
ích khơi phục dữ liệu, đĩa hoặc tệp và phải được chống lại các nỗ lực khơi phục
khi gõ phím được thực hiện từ các thiết bị và dữ liệu đầu vào tiêu chuẩn dụng
cụ nhặt rác. Ghi đè là một ví dụ về một phương pháp được chấp nhận để xóa
phương tiện.

18


ĐÁNH GIÁ – KIỂM ĐỊNH AN TỒN HỆ THỐNG THƠNG TIN

-

Thanh lọc: một quá trình làm sạch phương tiện truyền thơng nhằm bảo vệ tính
bảo mật của thơng tin chống lại tấn cơng phịng thí nghiệm. Đối với một số
phương tiện, việc xóa phương tiện khơng đủ để thanh lọc.

-


Tiêu hủy: tiêu hủy vật lý của phương tiện để làm cho nó khơng cịn sử dụng
được cho mục đích đã định của nó và làm cho dữ liệu mà nó chứa không thể
truy xuất được nữa. Sự phá hủy vật chất có thể xảy ra thơng qua một nhiều
phương pháp, bao gồm phân hủy, đốt, nghiền thành bột, cắt nhỏ và nấu chảy.

19