1

BÀI 7.

THIẾT KẾ AN TOÀN BẢO MẬT CHO HỆ THỐNG MẠNG

Bùi Trọng Tùng, SoICT, HUST

1

Nội dung

• Khái niệm chung về thiết kế hệ thống mạng

• Quá trình thiết kế an toàn bảo mật cho mạng

• Phân tích một số mô hình thiết kế an toàn bảo mật

2

1

2

2

1. TỔNG QUAN VỀ QUY TRÌNH THIẾT KẾ HỆ THỐNG MẠNG

Bùi Trọng Tùng, SoICT, HUST

3

Quy trình thiết kế

• Lập kế hoạch (Planning) • Xây dựng tiến trình công việc

• Dự trù chi phí

• Dự đoán rủi ro

• Thiết kế (Design)• Thu thập yêu cầu, khảo sát hiện trạng

• Phân tích

• Đề xuất giải pháp

• Xây dựng sơ đồ thiết kế

• Lập tài liệu

4

3

4

3

Quy trình thiết kế(tiếp)

• Triển khai cài đặt (Implementation)• Cài đặt phần cứng : triển khai hệ thống cáp mạng, lắp đặt,

cấu hình thiết bị nối kết mạng (hub, switch, router)

• Cài đặt phần mềm• Cấu hình server, máy trạm

• Cài đặt, cấu hình các dịch vụ mạng

• Tạo người dùng, phân quyền sử dụng

• Vận hành (Operation)• Kiểm tra

• Sự kết nối giữa các máy tính

• Hoạt động của các dịch vụ

• Mức độ an toàn của hệ thống

Dựa vào bảng đặc tả yêu cầu

• Giám sát : hiệu năng, hiệu suất, độ an toàn mạng5

Quy trình thiết kế(tiếp)

• Tối ưu hóa (Optimization)

• Đánh giá hiệu năng, hiệu quả mạng

• Xây dựng giải pháp tăng cường hiệu năng, cải thiện hiệu quả mạng

• Chuẩn bị mở rộng mạng

• Bảo trì (Retirement)

• Khắc phục những vấn đề nảy sinh

6

5

6

4

Mô hình thiết kế

• Mô hình phân cấp 3 lớp (3-layer hierarchical topology)

7

Mô hình phân cấp 3 lớp

• Lớp lõi (Core layer)

• Lưu lượng mạng lớn

• Tin cậy, nhanh, chịu lỗi

• Lưu ý : • Hạn chế thực hiện các cấu hình làm chậm tốc độ xử lý : định

tuyến VLAN, ACL, lọc gói tin...

• Không kết nối trực tiếp máy trạm

• Switch layer 2 : nhanh, dễ mở rộng, rẻ

• Switch layer 3, router : cân bằng tải, giám sát dữ liệu quảng bá

8

7

8

5

Mô hình phân cấp 3 lớp

• Lớp phân phối (Distribution Layer)• Triển khai các chính sách của mạng

• ACL, lọc gói, QoS

• Firewall

• Cân bằng tải

• VLAN routing

• Cung cấp các kết nối dự phòng cho lớp truy cập

• Lớp truy cập (Access Layer)• Có thể triển khai thêm các chính sách từ lớp phân phối

• Cung cấp kết nối tới các nhóm máy trạm

• Phân đoạn mạng

• Lưu ý : không sử dụng router tại lớp này

9

Mô hình mạng doanh nghiệp(1)

10

9

10

6

Mô hình mạng doanh nghiệp(2)

• Enterprise Core: phần mạng hạ tầng có vai trò gắn kết tất cả các phân vùng trong mạng

• Intranet Data Center: phân vùng tập trung các máy chủ lưu trữ dữ liệu và các ứng dụng

• Phục vụ cho người dùng bên trong, không cho phép truy cập từ bên ngoài

• Yêu cầu ATBM:

• Tính sẵn sàng của các máy chủ

• Ngăn chặn các hành vi tấn công DoS, lạm quyền, xâm nhập trái phép, rò rỉ dữ liệu, giả mạo thông tin

• Đảm bảo an toàn dữ liệu

• Giám sát, kiểm duyệt dữ liệu11

Mô hình mạng doanh nghiệp(3)

• Enterprise Campus: hạ tầng kết nối mạng cho người dùng đầu cuối. Yêu cầu ATBM:

• Tính sẵn sàng của hạ tầng

• Chống các hành vi truy cập trái phép, lạm quyền, xâm nhập, rò rỉ dữ liệu và giả mạo

• Đảm bảo an toàn dữ liệu

• Phân nhóm người dùng

• Áp đặt các chính sách truy cập

• Bảo vệ người dùng và thiết bị đầu cuối

12

11

12

7

Mô hình mạng doanh nghiệp(4)

• Enterprise Internet Edge: phần hạ tầng mạng cung cấp kết nối Internet, bao gồm cả phân vùng DMZ cung cấp dịch vụ công cộng, kết nối vào trong mạng cho người dùng ở xa, kết nối tới các mạng chi nhánh

Yêu cầu ATBM:

• Tính sẵn sàng của hạ tầng và dịch vụ

• Phòng chống tấn công DoS, xâm nhập, rò rỉ dữ liệu, giả mạo

• Bảo đảm an toàn dữ liệu

• Bảo vệ máy chủ và dịch vụ

• Phân nhóm máy chủ, dịch vụ, người dùng

• Giám soát, kiểm duyệt dữ liệu

13

Mô hình mạng doanh nghiệp(5)

• Enterprise WAN Edge: phân vùng kết nối WAN. Yêu cầu ATBM:

• Tính sẵn sàng của hạ tầng và dịch vụ

• Phòng chống tấn công DoS, lạm dụng truy cập, xâm nhập, rò rỉ dữ liệu, giả mạo

• An toàn dữ liệu truyền qua kết nối WAN

• Phân nhóm người dùng

14

13

14

8

Mô hình mạng doanh nghiệp(6)

• Enterprise Branch: Hệ thống mạng chi nhánh ở xa, có thể nối tới mạng trung tâm qua kết nối WAN hoặc Internet. Các yêu cầu về ATBM tương tự như phân vùng Enterprise Campus

• Management: Phân vùng mạng phục vụ cho công tác quản trị mạng

• Out-of-band (OOB) Management: đường truyền dữ liệu quản trị tách biệt với đường truyền dữ liệu người dùng

• In-band (IB) Management: dữ liệu quản trị và dữ liệu người dùng chung đường truyền

15

2. THIẾT KẾ AN TOÀN BẢO MẬT HỆ THỐNG MẠNG

Bùi Trọng Tùng, SoICT, HUST

16

15

16

9

Thiết kế an toàn bảo mật cho mạng

• Phân tích yêu cầu

• Khảo sát hệ thống mạng, các tài nguyên trong mạng cần bảo vệ

• Phân tích các nguy cơ

• Phát triển kế hoạch và chính sách ATBM cho mạng

• Xây dựng giải pháp thiết kế

• Triển khai và vận hành

• Đào tạo người dùng

17

Quy trình thiết kế

18

17

18

10

Phân tích yêu cầu

• Tìm hiểu các đặc điểm chung của tổ chức (hoạt động, cơ cấu tổ chức...)

• Nhu cầu kết nối với mạng công cộng ?

• Nhu cầu truy cập từ bên ngoài ?

• Nhu cầu hỗ trợ các người dùng “di động” ?

• Các ứng dụng trong mạng?

• Yêu cầu về bảo mật, tính sẵn sàng ?

• Các yếu tố khác ảnh hưởng đến dự án : chính sách công ty, tài chính, thời gian hoàn thành...

19

Tên ƯD Loại ƯD Yêu cầu an toàn bảo mật Ghi chú

Khảo sát hệ thống mạng

• Mô tả hạ tầng mạng

• Sơ đồ vật lý : vị trí thiết bị, sơ đồ đường dây, đặc điểm các đường cáp

• Sơ đồ logic mạng

• Giao thức

• Băng thông

• Dịch vụ hạ tầng đang sử dụng

• Định địa chỉ/Định danh

20

19

20

11

Phân tích các tài nguyên trong mạng

• Tài nguyên cần bảo vệ:• Thiết bị hạ tầng của mạng: switch, router, firewall,…

• Dịch vụ mạng và các máy chủ cung cấp dịch vụ: DHCP, DNS,…

• Thiết bị và người dùng đầu cuối

• Dữ liệu

• Các phân vùng trong mạng

• Thông tin về các máy chủ và dịch vụ trong mạng

• Phân tích luồng dữ liệu tới các phân vùng• Nguồn truy cập

• Các nhóm người dùng chính

• Luồng dữ liệu của hệ thống mạng đang sử dụng

21

Tên ứng dụng

Luồng dữ liệu

Giao thức Nhóm người dùng

Kho dữ liệu

Phân tích các nguy cơ ATBM

• Các nguy cơ đối với dịch vụ mạng trên phân vùng DMZ(Web, Email, DNS, DHCP,...)

• Các nguy cơ đối với truy cập từ bên ngoài vào phân vùng nội bộ

• Các nguy cơ khi người dùng bên trong truy cập tới mạng Internet

• Các nguy cơ từ trong mạng

• Các nguy cơ khác phát sinh do sự cố

22

21

22

12

Các cơ chế ATBM(nhắc lại)

• Mật mã học:• Bảo vệ bí mật

• Xác thực toàn vẹn

• Xác thực nguồn gốc

• Định danh

• Xác thực danh tính

• Phân quyền

• Nhật ký(Logging)

• Kiểm toán(Auditing)

• Ngụy trang

23

Kiểm soát truy cập

Các giải pháp công nghệ

• Các giải pháp xác thực tài khoản• Giao thức: CHAP, EAP, OpenID…

• Cơ chế: xác thực đa yếu tố

• Dịch vụ: RADIUS, LDAP, TACACS/TACACS++…

• Các mô hình phân quyền: DAC, MAC, RBAC

• Các giải pháp bảo vệ dữ liệu:• Giao thức: WPA/WPA2, IPSec, SSL/TLS

• Dịch vụ: VPN

• PKI

• IDPS

• Honeypot

• Firewall

• SIEM(System Information and Event Management)

24

23

24

13

Các nguyên tắc khi thiết kế

• Phân nhóm người dùng và quyền truy cập• Tối thiểu hóa quyền

• Phân tách mạng thành các phân vùng cho các nhóm người dùng khác nhau

• Phân vùng hệ thống mạng theo chức năng và thiết kế giải pháp cho từng phân vùng

• Cách ly các phân vùng có mức độ an ninh khác nhau và giám sát đầy đủ lưu lượng giữa các phân vùng

• Phòng thủ theo chiều sâu

• Thiết kế có dự phòng tài nguyên để nâng cao tính sẵn sàng

• Giữ cho thiết kế đơn giản

25

Thiết kế ATBM cho Enterprise Core

• Dự phòng kết nối và thiết bị

• Tách biệt các kết nối tới phân vùng Management

• Gia cố các thiết bị mạng

• Cài đặt các giao thức định tuyến có cơ chế xác thực(RIPv2, OSPF, EIGRP), lọc thông tin định tuyến

• Giám sát đầy đủ các trạng thái hoạt động của thiết bị

26

25

26

14

Thiết kế ATBM cho Intranet Data Center

27

Thiết kế ATBM cho Intranet Data Center

28

FirewallFirewall

27

28

15

Thiết kế ATBM cho Enterprise Campus

29

NAC: Network Access Control

IDPS

IDPS

Thiết kế ATBM cho Enterprise Campus

• Triển khai các biện pháp phòng chống tấn công cho lớp truy cập (Access Layer):• Tấn công Spanning Tree Protocol

• DHCP Starvation, DHCP Spoofing

• ARP Spoofing

• IP Spoofing

• MAC Flooding

• Broadcast storm

• Tấn công VLAN

• Phân tách nhóm người dùng và (nếu cần) thiết lập ACL để kiểm soát lưu lượng

• Phòng chống tấn công tới máy trạm người dùng

30

29

30

16

Thiết kế ATBM cho Enterprise Internet Edge

31

BGP Routing

Giám sát luồng dữ liệu

32

firewall

31

32

17

Giám sát luồng dữ liệu Web

33

Giám sát dịch vụ email

34

Email Inspector

33

34

18

Thiết kế ATBM cho Enterprise Branch

35

Firewall /VPN Gateway

Thiết kế ATBM cho Management

36

35

36

19

Thiết kế an toàn bảo mật mức vật lý

• Sử dụng các biện pháp bảo vệ cho các thiết bị phần cứng và hạ tầng kết nối

• Thiết kế an toàn bảo mật mức vật lý:

• Phòng và tủ chứa thiết bị cần được khóa

• Thiết lập chính sách, quy định về việc vào ra phòng

• Hệ thống camera giám sát khu vực đặt thiết bị

• Đường truyền cần đặt ngầm hoặc đặt trong ống bảo vệ

• Hệ thống nguồn điện dự phòng

• Hệ thống phát hiện và phòng cháy, chữa cháy

• Hệ thống chống sét

37

3. MỘT SỐ MẪU THIẾT KẾ AN TOÀN BẢO MẬT CHO HỆ THỐNG MẠNG VÀ DỊCH VỤ

http://www.opensecurityarchitecture.org/

38

37

38

20

Tài liệu tham khảo

• Bài giảng sử dụng hình ảnh minh họa từ tài liệu “Cisco SAFE Reference Guide”, 2009 Cisco Systems

39

39