tong quan ve bao mat he thong thong tin 2

bai 2

1. BMHTTT
1
NNNN
CHƯƠNG I CHƯƠNG I
TỔNG QUAN VỀBẢO MẬT
HệThống Thông Tin

2. BMHTTT 2
NNNN
I.1 Gi I.1 Gi
ớới thi i thiệệu chung u chung
I.1.1 Mở đầu vềbảo mật hệthống thông tin „
Gồm ba hướng chính
„
Bảo đảm an toàn thông tin tại máy ch ủ
„
Bảo đảm an toàn cho phía máy trạm
„
Bảo mật thông tin trên đường truyền
„
Cóthểxem xét theo
„
Hệ điều hành vàứng dụng
„
Cơ sởdữliệu
„
Mạng

3. BMHTTT 3
NNNN
NhNh
ữững yêu c ng yêu cầầu vu vềềan to an toà
à
nn
„
Confidentiality (sựtin cậy)
„
Integrity (tính toàn vẹn)
„
Authentication (chứng thực)
„
Non-repudiation (không th ểtừchối)
„
Availability (sẵn dùng)
„
Access control (điều khi ển truy cập)
„
Combined
„
User authentication used for access control
„
Non-repudiation combined with authentication

4. BMHTTT 4
NNNN
CC
áá
c yêu an to c yêu an to
àà
n thông tin n thông tin
„
Nhiều yêu c ầu mới liên quan tới bảo mật hệthống
thông tin trên mạng
„
Ngoài ph ương pháp vật lý còn cần các kỹthuật bảo
mật, chính sách bảo mật vàcác giải pháp bảo mật
„
Phải cócác công cụhỗtrợbảo đảm an toàn thông
tin.
„
Các yêu c ầu mới: Bảo mật Outsourcing, bảo mật hệ
thống phân bố, bảo mật trong Datamining, cơ sở
dữliệu thống kê, giao dịch th ương mại điện tử, tính
riêng t ư, tội phạm vàbản quy ền số…

5. BMHTTT 5
NNNN
Attack Attack

6. BMHTTT 6
NNNN
RiskRisk
Employees
(remote worker
s,
mobile workers)
Business Partners
(suppliers, outsourcers
,

(suppliers, outsourcers
,

cons
ultants
cons
ultants)
Competitors
Customers
Hackers
Contractors Temporaries
Visitors
D
i
g
i
t
a
l
B
u
s
in
e
s
s
D
i
g
i
t
a
l
B
u
s
in
e
s
s
C
y
b
e
r
C
y
b
e
r
--c
rim
e
c
rim
e
Employees
Sensitive Data

7. BMHTTT 7
NNNN
I.1.2 I.1.2
Nguy c ơ v Nguy c ơ v
àà
hihi
ểểm hm họọaa
„
Hiểm họa vô tình: khi người dùng khởi động lại
hệthống ởchế độ đặc quyền, họcóthểtùy ý chỉnh
sửa hệthống. Nhưng sau khi hoàn thành công việc
họkhông chuy ển hệthống sang chế độ thông
thường, vô tình đểkẻxấu lợi dụng.
„
Hiểm họa cốý: như cốtình truy nhập hệthống
trái phép. „
Hiểm họa thụ động:làhiểm họa nhưng chưa
hoặc không tác động trực tiếp lên h ệthống, như
nghe trộm các gói tin trên đường truyền.
„
Hiểm họa chủ động:làviệc sửa đổi thông tin,
thay đổi tình tr ạng hoặc hoạt động của h ệthống

8. BMHTTT 8
NNNN
Nguyên nhân Nguyên nhân
„
Từphía người sửdụng:xâm nhập bất hợp pháp,
ăn cắp tài sản cógiátr ị. Trong đóquan tr ọng nh ất
lànhững người dùng nội bộ
„
Kiến trúc hệthống thông tin:tổchức hệthống
kỹthuật không cócấu trúc ho ặc không đủmạnh
đểbảo vệthông tin.
„
Chính sách bảo mật an toàn thông tin:không
chấp hành các chuẩn an toàn, không xác định rõ
các quyền trong vận hành hệthống.

9. BMHTTT 9
NNNN
MM
ộột st sốốv
v
íí
dd
ụụ
„
Tin tặc, từphía bọn tội phạm, dùng các kỹthuật và
các công c ụ: phần mềm gián điệp, bẻkhóa, các
phần mểm tấn công, khai thác thông tin, l ỗhổng
bảo mật, theo dõi qua vai…
„
Hãng sản xuất cài sẵn các loại 'rệp' điện tử theo ý
đồ định tr ước
„
Những chương trình ứng dụng chứa đựng những
nguy hại tiềm ẩn: cửa sau, gián điệp…

10. BMHTTT 10
NNNN
Internet Scanner Internet Scanner
iPaq
Notebook
Access Port
Switch
Main Corporate Backbone
Access Port
Notebook
Firewall
Notebook
1. Finds the Holes
2. Finds Rogue Access Points or Devices

11. BMHTTT 11
NNNN
TT
ấấn công d n công dữữliliệệu
u

12. BMHTTT 12
NNNN
I.1.3 Phân lo I.1.3 Phân lo
ạại ti tấấn công m n công mạạngng
„
Tấn công gi ảmạo:làmột thực thểtấn
công giảdanh một thực thểkhác. Tấn công
giảmạo thường được kết hợp với các dạng
tấn công khác như tấn công chuyển tiếp và
t
ấn công sửa đổi thông báo.
„
Tấn công chuyển tiếp:xảy ra khi m ột
thông báo, hoặc một ph ần thông báo được
gửi nhiều lần, gây ra các tác động tiêu cực.
„
Tấn công s ửa đổi thông báo:xảy ra khi
nội dung của một thông báo bịsửa đổi
nhưng không bịphát hiện.

13. BMHTTT 13
NNNN
Phân lo Phân lo
ạại ti tấấn công m n công mạạng (tt) ng (tt)
„
Tấn công từchối dịch vụ:xảy ra khi một
thực thểkhông thực hiện chức năng của
mình, gây cản trởcho các th ực thểkhác thực
hiện chức năng của chúng.
„
Tấn công từbên trong hệthống:xảy ra
khi người dùng hợp pháp cốtình hoặc vô ý
can thi ệp hệthống trái phép.

14. BMHTTT 14
NNNN
TT
ấấn công b n công bịị đ

độộng/ch ng/chủủ đ độộng ng
„
Tấn công bị động:do thám, theo dõi
đường truyền để:
„
Nhận được nội dung bản tin hoặc
„
Theo dõi luồng truyền tin
„
Tấn công chủ động: thay đổi luồng dữliệu
để:
„
Giảmạo một người nào đó.
„
Lặp lại bản tin trước
„
Thay đổi bản tin khi truyền
„
Từchối dịch vụ.

15. BMHTTT 15
NNNN
Security Attacks Security Attacks Release of message
contents
Traffic analysis
•
eavesdropping (nghe lén), monitoring transmissions
Passive threats

16. BMHTTT 16
NNNN
Passive Attacks Passive Attacks

17. BMHTTT 17
NNNN
Passive Attacks Passive Attacks

18. BMHTTT 18
NNNN
ActiveAttacks
Attacks
Masquerade (lừa dối)
Denial of service
•
some modification of the data stream
Active threats
Replay
Modification of
message contents

19. BMHTTT 19
NNNN
Active Attacks Active Attacks

20. BMHTTT 20
NNNN
Active Attacks Active Attacks

21. BMHTTT 21
NNNN
I.2 Ba kh I.2 Ba kh
íí
a ca c
ạạnh c nh củủa an to a an toààn thông tin n thông tin
„
Bảo vệtấn công
„
Cơ chếan toàn
„
Dịch vụan toàn
Giải pháp an toàn

22. BMHTTT 22
NNNN
BB
ảảo vo vệệt
t
ấấn công n công
„
Bảo vệtấn công nhằm mục đích An toàn
thông tin, cách thức chống lại tấn công vào
hệthống thông tin hoặc phát hiện ra chúng.
„
Cần tập trung chống một sốkiểu tấn công:
thụ động vàchủ động.

23. BMHTTT 23
NNNN
CC
áá
c cơ ch c cơ ch
ếếan to an toààn n
„
Các c ơ chếan ninh khác nhau được thiết kế
đểphát hiện, bảo vệhoặc khôi phục do tấn
công pháhoại.
„
Không có cơ chế đơn lẻnào đáp ứng được
mọi chức năng yêu cầu của công tác an
ninh. Tuy nhiên cómột thành phần đặc biệt
nằm trong mọi cơ chếan toàn đólà: kỹ
thuật mã hoá.

24. BMHTTT 24
NNNN
CC
áá
c dc d
ịịch v ch vụụan to an toààn n
„
Cóthểdùng một hay nhiều cơ chếan toàn
đểcung cấp dịch vụ.
„
Người ta thường dùng các biện pháp tương
tự như trong thếgiới thực: chữký, công
chứng, b ản quyền…

25. BMHTTT 25
NNNN
MM
ộột st sốố lưu ý v lưu ý vềềb
b
ảảo mo mậậtt
„
Những đe dọa thường do mởrộng kênh
thông tin
„
Xem xét hệthống trong mối quan hệvới môi
trường
„
Kỹthuật bảo mật phải chứng tỏ được khả
năng b ảo vệtốt hệthống (logic
authentication)

26. BMHTTT 26
NNNN
MM
ốối
i
đeđedodoạạtrong trongthông thôngtin client tin client--server server
DoOperation
o
(wait)
o
(continue)
GetRequest
execute
request
SendReplay
GetRequest
execute
request
SendReplay
DoOperation
o
(wait)
o
(continue)
Client
imposter
server imposter
Eaves dropping
replayer
Replay messages
Request messages

27. BMHTTT 27
NNNN
NhNh
ữững đòi h ng đòi hỏỏi vi vềềthông tin client thông tin client-
-
serve
r
serve
r
„
Kênhthôngtin phảian toànđểtránhviệc
chenvàomạng.
„
Server phảinhậndạngđượcclient
„
Client phảinhậndạngđượcserver
„
Phảixácđịnhđượcngườilàchủthậtsự
củamessage vàmessage đókhôngkhông
hềcósựthayđổi(cóthểnhờvàot ổchức
thứba)

28. BMHTTT 28
NNNN
I.3 Mô h I.3 Mô h
ìì
nh an to nh an to
àà
n mn m
ạạngng
Kiến trúc an toàn của hệthống truyền thông
mởOSI „
Bộphận chuẩn hóa tiêu chuẩn của tổchức truyền
thông qu ốc tế (International Telecommunication
Union) đã đềra Kiến trúc an ninh X800 dành cho
hệthống trao đổi thông tin mởOSI
„
X800 làdịch vụcung cấp nh ằm đảm bảo an toàn
thông tin thiết yếu vàviệc truyền dữliệu của hệ
thống
„
RFC 2828 đã nêu định ngh ĩa cụthể hơn: dịch vụan
toàn làdịch v ụ trao đổi vàxửlý, cung cấp cho hệ
thống nh ững bảo vệ đặc biệt cho các thông tin
nguồn

29. BMHTTT 29
NNNN
ĐĐ
ịị
nh ngh nh nghĩĩa da dịịch v ch vụụtheo X800 theo X800
„
Xác thực: tin tưởng làthực thể trao đổi
đúng làthực thể đã tuyên bố. Người đang
trao đổi với mình
đ
úng như tên c ủa anh ta,
không cho phép người khác m ạo danh.
„
Quyền truy c ập: ngăn cấm vi ệc sửdụng
nguồn thông tin không không được phép.
Mỗi đối tượng trong hệthống được cung cấp
các quyền nhất định vàchỉ
đượ
c hành động
trong khuôn khổcác quyền được cấp.
„
Bảo mật dữliệu:bảo đảm dữliệu không b ị
khám phábởi người không cóquyền.

30. BMHTTT 30
NNNN
ĐĐ
ịị
nh ngh nh nghĩĩa da dịịch v ch vụụtheo X800 theo X800
„
Toàn vẹn dữliệu:dữliệu được gửi từ người có
quyền. Nếu có thay đổi như làm trìhoãn vềmặt
thời gian hay sửa đổi thông tin, thìxác thực sẽcho
cách kiểm tra nh ận biết làcócác hiện tượng đó đã
xảy ra.
„
Không từchối:chống lại việc phủnhận của từng
thành viên tham gia trao đổi. Người gửi không thể
chối bỏlàmình đã gửi thông tin với nội dung như
vậy và người nhận cũng không thểnói dối là tôi
chưa nhận được thông tin đó.

31. BMHTTT 31
NNNN
Cơ ch Cơ ch
ếếan to an toà
à
n theo X800 n theo X800
„
Cơ chếan toàn chuyên dụng được cài đặt
trong một giao thức của một tầng chuyển
vận: mã hoá, chữ ký điện tử, quy ền truy
cập, toàn vẹn dữliệu, trao đổi cóphép, đệm
truy ền, kiểm soát định hướng, công chứng.
„
Cơ chếan toàn thông dụngkhông ch ỉrõ
việc sửdụng cho giao thức trên tầng nào
hoặc dịch vụan ninh cụthểnào: chức năng
tin cậy, nhãn an toàn, phát hiện sựkiện, lần
vết vết an toàn, khôi phục an toàn.

32. BMHTTT 32
NNNN
Mô hMô h
ìì
nh truy c nh truy c
ậập mp mạạng an to ng an toàànn

33. BMHTTT 33
NNNN
I.4 B I.4 B
ảảo mo mậật thông tin trong h t thông tin trong hệệ cơ s cơ sởởd
d
ữữliliệệuu
„
Các hệ cơ sởdữliệu (CSDL) ngày nay như
Oracle, SQL Server, DB2 đều cósẵn các
công cụbảo vệtiêu chuẩn như hệthống
định danh vàkiểm soát truy xuất. Tuy nhiên,
các biện pháp bảo vệnày hầu như không có
tác dụng trước các tấn công từbên trong.

34. BMHTTT 34
NNNN
Databases
Transaction
Applications
Data Security and Compliance Data Security and Compliance The Landscape The Landscape
Data At Rest
• Data classification
• Device control
• Content control
• Application control
Transaction Data
• Direct Database Access • Access via Applications
• Web applications • Web services
Data Storage
(SAN and NAS)
Servers,
Endpoints
Communication
Channels
Data In Motion
• Outgoing communications
• Internal communications
• Databases and documents
• Monitoring and enforcement
Employees
(Honest & Rogue)
Customers
& Criminals
Accidental,
Intentional and
Malicious Leaks
Employees
(Honest & Rogue)
Employees
(Honest & Rogue)

35. BMHTTT 35
NNNN
BB
ảảo mo mậật dt dựựa va và
à
o to t
ầầng CSDL trung gian ng CSDL trung gian
„
Một CSDL trung gian được xây dựng giữa ứng dụng
vàCSDL g ốc. CSDL trung gian này cóvai trò mã
hóa dữliệu trước khi cập nhật vào CSDL gốc, đồng
thời giải mã dữliệu trước khi cung cấp cho ứng
dụng. CSDL trung gian đồng thời cung cấp thêm
các chức năng qu ản lý khóa, xác thực ng ười dùng
vàcấp phép truy cập.
„
Giải pháp này cho phép tạo thêm nhiều chức năng
vềbảo mật cho CSDL. Tuy nhiên, mô hình CSDL
trung gian đòi hỏi xây dựng một ứng dụng CSDL tái
tạo tất cảcác chức năng của CSDL gốc.

36. BMHTTT 36
NNNN
BB
ảảo mo mậật dt dựựa va và
à
o to t
ầầng CSDL trung gian ng CSDL trung gian

37. BMHTTT 37
NNNN
Mô hMô h
ìì
nh bnh b
ảảng ng ảảoo
„
Ngoài các quyền cơ bản do CSDL cung cấp, hai quyền
truy cập:
„
Người sửdụng chỉ được quy ền đọc dữliệu ởdạng mã hóa.
Quyền này phù hợp với những đối tượng cần qu ản lý CSDL
mà không cần đọc nội dung dữliệu.
„
Người sửdụng được quy ền đọc dữliệu ởdạng giải mã.

38. BMHTTT 38
NNNN
KiKi
ếến tr n trú
ú
c mc m
ộột ht hệệbbảảo mo mậật CSDL t CSDL

39. BMHTTT 39
NNNN
HH
ệệb
b
ảảo mo mậật CSDL t CSDL
„
Trigger: được sửdụng đểlấy dữliệu đến từcác câu
lệnh INSERT, UPDATE (đểmã hóa). „
View:các view được sửdụng đểlấy dữliệu đến từcác
câu lệnh SELECT (đểgiải mã). „
Extended Stored Procedures: được gọi từcác
Trigger hoặc View dùng đểkích hoạt các d ịch vụ được
cung c ấp bởi Modulo DBPEM từ trong môi trường của
hệquản tri CSDL.
„
DBPEM (Database Policy Enforcing Modulo):cung
cấp các dịch vụmã hóa/giải mã dữliệu gửi đến từcác
Extended Stored Procedures vàthực hiện việc kiểm
tra quyền truy xuất của người dùng (dựa trên các chính
sách bảo mật được lưu trữtrong CSDL v ềquyền bảo
mật).

40. BMHTTT 40
NNNN
HH
ệệb
b
ảảo mo mậật CSDL t CSDL
„
Security Database: lưu trữcác chính sách bảo mật
vàcác khóa giải mã. Xu hướng ngày nay thường là lưu
trữCSDL v ềbảo mật này trong Active Directory (một
CSDL dạng thư mục để lưu trữtất cảthông tin vềhệ
thống mạng).
„
Security Services:chủyếu thực hi ện vi ệc bảo vệcác
khóa giải mã được lưu trong CSDL bảo mật.
„
Management Console:dùng đểcập nhật thông tin
lưu trong CSDL bảo mật (ch ủyếu làsoạn thảo các
chính sách bảo mật) vàthực hiện thao tác bảo vệmột
trường nào đó trong CSDL để đảm bảo tối đa tính bảo
mật, thông tin được trao đổi.

41. BMHTTT 41
NNNN
Internet
Router
Firewall
DMZ
Web Front-End
Database Back-End
Firewall
Application
Server
Ecommerce Architecture Ecommerce Architecture
Application
Firewall
Encryption
Appliance
Database
Firewall

42. BMHTTT 42
NNNN
NhNh
ữững tr ng trởởngngạại cho Database i cho DatabaseSecurity Security

43. BMHTTT 43
NNNN
An to An to
àà
n CSDL n CSDL
„
Authentication
„
Who is it?
„
Authorization (s ựcấp quyền)
„
Who can do it?
„
Encryption
„
Who can see it?
„
Audit (kiểm tra, ki ểm toán)
„
Who did it?

44. BMHTTT 44
NNNN
DB2DB2

45. BMHTTT 45
NNNN
KiKi
ểểm tra sau khi t m tra sau khi tấấn công n công
•
You have discovered you have been attacked
•
Now what???
•
Need to collect as much data about attack as possible
•
When did it occur
•
How did it occur
•
Where did it come from
•
Databases write auditing data in numerous locations
•
Collect all those locations into a single repository
•
Correlate events to get a better picture of what
happened

46. BMHTTT 46
NNNN
I.5 h I.5 h
ệệththốống tin c ng tin cậậy
y
Kiểm soát truy cập „
Hệthống đã xác định được định danh như người
sửdụng, xác định các ngu ồn gốc nào nócóthể
truy cập. Mô hình tổng quát làma trận truy c ập với
„
Chủthể-thực th ểchủ động (người sửdụng, quá
trình)
„
Đối tượng -thực th ểbị động (file hoặc nguồn)
„
Quyền truy c ập –cách mà đối tượng được truy c ập
„
Cóthể được phân tách bởi
„
Các cột như danh sách kiểm soát truy cập
„
Các hàng như các th ẻvềkhả năng

47. BMHTTT 47
NNNN
CC
ấấu tr u trú
ú
c đi c đi
ềều khi u khiểển truy c n truy cậậpp

48. BMHTTT 48
NNNN
CC
áá
c hc h
ệệththốống tin c ng tin cậậyy
„
Phân loại: unclassified (U), confidential (C), secret
(S), top secret (TS)… „
Hệthống an toàn đa mức
„
No read up: ch ỉcó thể đọc những đối tượng ít hay b ằng
với quyền được truy cập
„
No write down: chỉcó thểviết những đối tượng nhiều
hay bằng với quyền được truy cập
„
Thuộc tính reference monitor (policy):
„
Phốin hợp đầy đủ(Complete mediation)
„
Cô lập (Isolation)
„
Có thểkiểm tra (Verifiability)
„
Hệthống an toàn phải thỏa các tính chất trên

49. BMHTTT 49
NNNN
Reference Monitor Reference Monitor

50. BMHTTT 50
NNNN
Phòng ch Phòng ch
ốống Trojan ng Trojan

51. BMHTTT 51
NNNN
I.6 Ph I.6 Ph
ầần mn mềềm cm có
ó
hh
ạạii
„
I.6.1 Virus vàcác chương trình xâm hại
„
I.6.2 Antivirus
„
I.6.3 T ấn công từchối dịch vụ

52. BMHTTT 52
NNNN
I.6.1 Virus v I.6.1 Virus v
àà
cc
áá
c chương tr c chương tr
ìì
nh xâm h nh xâm h
ạạii
Thuật ngữ

53. BMHTTT 53
NNNN
Virus Virus
„
4 giai đoạn
„
Nằm im -chờsự
kiện kích hoạt
„
Lan truyền –lặp
sinh ra ch ương
trình/đĩa
„
Kích hoạt -bởi sự
kiện đểthực hiện bộ
tải
„
Thực hiện bộtải
„
Cấu trúc

54. BMHTTT 54
NNNN
Virus n Virus n
éé
nn

55. BMHTTT 55
NNNN
CC
áá
c kic ki
ểểu Virus u Virus
„
Cóthểphân loại dựa trên kiểu tấn công
„
Virus cư trúởbộnhớ
„
Virus ởsector khởi động
„
Virus Lén lút: ẩn mình trước các chương trình AV
„
Virus nhi ều hình thái (Polymorphic, không dùng
signature được): thay đổi cách nhi ễm
„
Virus biến hoá(Metamorphic): Viết lại chính nó,
gia tăng vi ệc khónh ận diện, thay đổi hành vi và
sựxuất hi ện

56. BMHTTT 56
NNNN
TT
ìì
m him hi
ểểu thêm v u thêm vềềvirus virus
„
polymorphic virus:
„
Nhân đôi nhưng cónhững mẩu bit khác nhau.
„
Hoán vịcác lệnh th ừa hay các lệnh độc lập
„
Tạo ra phần mã hóa cho phần còn lại, khóa mã
hóa sẽ thay đổi ngẫu nhiên khi nghiễm vào
chương trình khác „
virus-creation toolkit

57. BMHTTT 57
NNNN
Marco Virus Marco Virus
„
Giữa thập niên 90
„
Nhiễm MS WORD/Excel vànhững phần mềm
hỗtrợ
„
Macro nhiễm vào tài liệu
„
Macro virus thường phát tán dựa vào email

58. BMHTTT 58
NNNN
Virus email Virus email
„
Đây là loại virus lan truy ền khi mở file
đính kèm ch ứa marco virus (Melissa).
„
Virus g ởi chính nótới những người dùng
trong mail list
„
Thực hiện pháhoại cục bộ
„
Cuối 1999 những virus này cóthểhoạt động
khi người dùng chỉcần mởemail

59. BMHTTT 59
NNNN
CC
áá
c chương tr c chương tr
ìì
nh xâm h nh xâm h
ạạii
„
Có2 loại
„
Dựa vào các chương trình khác: Virus, logic
bomb và backdoor
„
Chương trình độc lập: Worm and zombie
„
Tiến trình
„
Hoạt động dựa vào trigger
„
Tạo bản copy

60. BMHTTT 60
NNNN
CC
ửửa sau (Backdoor) a sau (Backdoor)
„
Điểm vào ch ương trình bímật, cho phép
những người biết truy cập màkhông cần các
thủtục thông thường.
„
Những người phát triển th ường dùng để
phát triển vàkiểm tra chương trình
„
Backdoor xuất phát từ ý tưởng của những
người phát triển game
„
Rất khó ngăn chặn trong h ệ điều hành, đòi
hỏi sựphát triển vàc ập nhật phần mềm tốt.

61. BMHTTT 61
NNNN
Bom logic Bom logic
„
Đây làmột trong những phần mềm cóh ại
kiểu cổ, code được nhúng trong chương
trình h ợp pháp. Nó được kích hoạt khi gặp
điều ki ện xác định
„
Cómặt hoặc vắng mặt một sốfile
„
Ngày tháng/th ời gian cụthể
„
Người sửdụng nào đó
„
Khi được kích hoạt thông thường nólàm
hỏng hệthống
„
Biến đổi/xoá file/đĩa, làm dừng máy,…

62. BMHTTT 62
NNNN
NgNg
ựựa th a thà
à
nh T ơ roa nh T ơ roa
(Trojan horse) (Trojan horse)
„
Là chương trình cóthểhoàn thành những
hoạt động gián tiếp mànhững người không
cóquyền không thểthực hiện trực tiếp
„
Cóthểgiảdạng các chương trình tiện ích,
các ch ương trình ứng d ụng, nócóthể thay
đổi hoặc pháhủy dữliệu
„
Cóthểmột trình biên dịch insert thêm mã
vào ứng dụng login đểcho phép người viết
cóthểlogin vào hệthống với 1 PWD đặc biệt

63. BMHTTT 63
NNNN
Zombie Zombie
„
Đây là chương trình bímật điều khi ển máy tính
khác trên mạng
„
Sửdụng các máy tính b ịnhiễm màkhông b ịnghi
ngờ đểtiến hành các tấn công.
„
Rất khó đểnhận ra người tạo ra Zombie
„
Thông thường sửdụng đểkhởi động tấn công từ
chối các d ịch vụphân tán (Ddos). Nócóthểsử
dụng hàng tr ăm máy tính b ịnhiễm đểlàm tràn
ngập việc di chuy ển thông tin trên Internet
(traffic)

64. BMHTTT 64
NNNN
Sâu (Worm) Sâu (Worm)
„
Tương tự như virus email nhưng nótự động lan
truyền „
Khi trong hệthống nóho ạt động như virus
„
Nócóthểlan truyền bằng
„
Email
„
Thực thi t ừxa
„
Login t ừxa
„
Nócócác giai đoạn như virus, trong giai đoạn lan
truyền cóthực hiện
„
Tìm đểnhiễm các h ệthống khác dựa vào host
table hay remote system address „
Thiết lập connect
„
Copy t ới hệthống t ừxa vàkích hoạt bản copy

65. BMHTTT 65
NNNN
Sâu Morrris Sâu Morrris
„
Sâu Morris là sâu được tạo bởi Robert Morris vào
1988, nhằm tới các hệthống Unix. Đối với mỗi host
được khám phánóthực hiện
„
Crack file PWD
„
Phát hiện PWD và ID b ằng chương trình crack mà cốthử
„
Tên người dùng và hòan vị đơn giản
„
Danh sách pwd có sẵn (432)
„
Tất cảnhững từ trong thư muc hệthống cục bộ
„
Khám phá lỗi của giao thức mà cho biết nơi của người
dùng từxa
„
Khám phá c ửa sau trong chọn lựa debug của quá trình
remote mà nhận và gời mail

66. BMHTTT 66
NNNN
Sâu Morrris Sâu Morrris
„
Nếu một trong những cách trên thành công
„
Nó đạt được việc truyền thông với bộphiên dịch
lện hệ điều hành
„
Gởi một ch ương trình tựphát triển ngắn
(boostrap)
„
Thực thi chương trình
„
Log off
„
Chương trình boostrap gọi chương trình cha và
download phần còn lại của worm

67. BMHTTT 67
NNNN
TT
ấấn công c n công củủa sâu đương th a sâu đương thờời
i
Code Red „
7-2001
„
Dựa vào l ỗhỗng trong Microsoft Internet Information
Server (IIS) „
Disable system file checker
„
Thăm dò random IP address để vươn tới những host khác
„
Tấn công denial-of-service
„
Nó tạm hoãn và hoạt động theo một khoảng thời gian
„
Trong làn sóng tấn công thứ2, nó nhiễm 360.000 server
trong 14 giờ Code Red II „
Biến th ểtấn công IIS, cài đặt Backdoor

68. BMHTTT 68
NNNN
Nimda Nimda
„
Cuối 2001
„
Kỹthuật
„
client to client qua e-mail
„
client to client qua network share
„
Web server to client qua duyệt Web
„
client to Web server qua duyệt thư mục
Microsoft IIS 4.0 / 5.0
„
client to Web server qua backdoor
„
Thay đổi file Web vànhững file thực thi

69. BMHTTT 69
NNNN
SQL Slammer SQL Slammer
Sâu SQL Slammer „
Đầu năm 2003
„
Lỗi tràn b ộ đệm của Microsoft SQL server
Sâu Sobig.f „
Khai thác open proxy server tạo động cơ
spam t ừnhững máy tính nhiễm Mydoom „
2004
„
Cài đặt backdoor, tạo ra một lượng email
khổng lồ

70. BMHTTT 70
NNNN
KK
ỹỹthuthuậật tt tạạo sâu o sâu
„
Chạy trên nhiều platform
„
Khai thác nhiều phương tiện: Web servers,
browsers, e-mail, file sharing, vành ững ứng
dụng mạng
„
Phân bổcực nhanh
„
Đa hình (Polymorphic)
„
Biến hóa (Metamorphic)
„
Transport vehicles
„
Khia thác Zero-day

71. BMHTTT 71
NNNN
I.6.2 Antivirus I.6.2 Antivirus
„
Các b ước
„
Phát hi ện virus nhiễm trong hệthống
„
Định danh loại virus nhiễm
„
Loại bỏkhôi phục hệthống vềtrạng thái sạch
„
Thếhệ
„
First generation: simple scanners
„
Second generation: heuristic scanners
„
Third generation: activity traps
„
Fourth generation: full-featured protection

72. BMHTTT 72
NNNN
CC
áá
c Thc Th
ếếhhệệantivirus antivirus
„
Thếhệthứ1
„
Quét dấu hiệu (signature) virus
„
Độdài ch ương trình
„
Thếhệthứ2
„
Heuristic.
„
Kiểm tra checksum, dùng hàm hash mã hóa (ngoài
chương trình)
„
Thếhệthứ3
„
Chương trình thường trúkiểm tra hoạt động
„
Thếhệthứ4
„
Đóng gói các kỹthuật
„
Điều khiển truy cập (không cho phép virus update file)

73. BMHTTT 73
NNNN
KK
ỹỹthuthuậật ch t chốống Virus nâng cao ng Virus nâng cao
„
Giải mã giống loài
„
Sửdụng mô ph ỏng CPU
„
Quyét ch ữký virus
„
Module kiểm tra hoạt động

74. BMHTTT 74
NNNN
HHệệmimiễễn dn dịịch s ch sốố(Digital Immune System) (Digital Immune System)

75. BMHTTT 75
NNNN
HH
ệệththốống mi ng miễễn dn dịịch s ch sốố(IBM) (IBM)
„
Hoạt động
„
Chương trình theo dõi trên mỗi máy, phát
hiện dâu hiệu thìchuy ển máy qu ản tr ịtrung
tâm
„
Máy quản trịmã hóa vàg ởi đến trung tâm
phân tích
„
Trung tâm phân tích đềra cách nh ận dạng
vàremove
„
Gởi mô tảtrởlại máy quản tr ị
„
Máy quản trịchuyển tới client
„
Update

76. BMHTTT 76
NNNN
PhPh
ầần mn mềềm ngăn ch m ngăn chặặn hn hà
à
nh vi nh vi
„
Các phần mềm này được tích hợp với hệ điều hành
của máy chủ. Chương trình theo dõi các hành vi
trong thời gian thực
„
Chẳng hạn truy cập file, định dạng đĩa, các
chế độthực hiện, thay đổi tham sốhệthống,
truy cập mạng „
Có ưu điểm so v ới quét, nhưng code cóhại cóthể
chạy trước khi phát hi ện.

77. BMHTTT 77
NNNN
I.6.3 Phòng ch I.6.3 Phòng ch
ốống T ng Tấấn công t n công từừchchốối di dịịch v ch vụụ
Tấn công từchối dịch vụ „
Tấn công từchối dịch vụtừxa (DDoS) tạo thành đe dọa
đáng kể, làm cho hệthống trởnên không sẵn sàng, làm
tràn bởi sựvận chuyển vô ích.
„
Ví dụ
„
Tấn công tài nguyên nội (tấn công đồng bộ)
„
Nhiều host giao tiếp với một máy chủcần tấn công
„
Gởi TCP/IP SYN (synchronize/initialization) với địa
chỉgiả
„
Tiêu th ụtài nguyên truyền dữliệu
„
Điều khi ển nhiều máy yêu c ầu ICMP ECHO với địa
chỉgiả
„
Nhận request và gởi echo rely

78. BMHTTT 78
NNNN
TT
ấấn công t n công từừchchốối di dịịch v ch vụụ

79. BMHTTT 79
NNNN
MM
ộột st sốốc
c
áá
ch tch t
ấấn công n công
„
Trong nhiều hệthống những tài nguyên dữliệu rất
hạn chế: process identifiers, process table entries,
process slots…Kẻxâm nhập cóthểviết những
chương trình lặp tạo ra nhiều copy tiêu thụtài
nguyên này
„
Kẻxâm nhập cốtiêu thụ không gian đĩa
„
Message mail
„
Tạo nh ững lỗi mà được log
„
Ghi nh ững file trong vùng anonymous ftp hay
vùng chia s ẻ

80. BMHTTT 80
NNNN
CC
áá
c hc h
ìì
nh th nh th
ứức tc tấấn công n công

81. BMHTTT 81
NNNN
Xây d Xây d
ựựng m ng mạạng t ng tấấn công n công
„
Phần mềm zoobie phải chạy trên một sốlớn máy,
giấu sựtồn tại của nó, thông tin v ới máy chủ, có
nhiều trigger đểthực hiện tấn công tới máy đích
„
Tấn công một sốlớn hệthống dễxâm nhập
„
Chiến lược sắp đặt dựa vào scan
„
Random
„
Hit-list: danh sách máy dễbịxâm nh ập
„
Topological: dùng thông tin trong máy bịnhiễm
„
Local subnet: sau fireware

82. BMHTTT 82
NNNN
Phòng ch Phòng ch
ốống t ng tấấn công DOS n công DOS
„
Ngăn ngừa: chính sách tiêu thụtài nguyên,
backup tài nguyên, điều chỉnh hệthống và
giao thức
„
Phát hiện tấn công vàlọc: dựa vào mẫu
hành vi
„
Xác định vàlần vết