Bài giảng An toàn và bảo mật hệ thống thông tin - Chương 1: Tổng quan về an toàn thông tin

Các thành phần của ATTT
 . An toàn hệ thống thông tin
 . Mối đe dọa, điểm yếu, lỗ hổng và nguy cơ mất ATTT
 3
Tại sao cần đảm bảo an toàn cho thông 
 tin, hệ thống và mạng?
 1.1.1 Sự cần thiết của an toàn thông tin
 Do chúng ta sống trong “thế giới kết nối”:
 . Mọi thiết bị tính toán & truyền thông đều có kết nối Internet;
 . Các hệ thống kết nối “sâu và rộng” ngày càng phổ biến:
 • Smart community (cộng đồng thông minh)
 • Smart city (thành phố thông minh)
 • Smart home (ngôi nhà thông minh)
 . Các khái niệm kết nối mọi vật, kết nối tất cả trở nên ‘nóng’
 • IoT: Internet of Things
 • IoE: Internet of Everything
 . Các hệ thống không có kết nối khả năng sử dụng hạn chế.
 5
Mô hình kết nối trong Cộng đồng thông minh
 6
Mô hình kết nối trong Thành phố thông minh
 7
Mô hình kết nối trong Ngôi nhà thông minh
 8
Mô hình Internet of Things
 9
Mô hình Internet of Things
 10
Mô hình Internet of Everything
 11
 1.1.1 Sự cần thiết của an toàn thông tin
 Nhiều nguy cơ, đe dọa mất an toàn thông tin, hệ thống, 
 mạng:
 . Bị tấn công từ tin tặc
 . Bị tấn công hoặc lạm dụng từ người dùng
 . Lây nhiễm các phần mềm độc hại (vi rút, sâu,...) 
 . Nguy cơ bị nghe trộm, đánh cắp và sửa đổi thông tin
 . Lỗi hoặc các khiếm khuyết phần cứng, phần mềm.
 12
 1.1.1 Sự cần thiết của an toàn thông tin
Thế giới 
kết nối 
với nhiều 
nguy cơ 
và 
đe dọa
 13
 1.1.1 Sự cần thiết của an toàn thông tin
Các mối đe 
dọa và nguy 
cơ thường 
trực: tin tặc 
(hackers) và 
các phần 
mềm độc hại 
(viruses, 
worms, 
trojans)
 14
 1.1.2 Một số khái niệm trong ATTT
 An toàn thông tin 
 (Information Security) là 
 gì?
 . An toàn thông tin là việc 
 bảo vệ chống truy nhập, sử 
 dụng, tiết lộ, sửa đổi, hoặc 
 phá hủy thông tin một cách 
 trái phép;
 . An toàn thông tin còn bao 
 gồm cả việc đảm bảo an 
 toàn cho các thành phần, 
 hoặc hệ thống được sử 
 dụng để quản lý, lưu trữ, xử 
 lý và trao đổi thông tin.
 15
 1.1.2 Một số khái niệm trong ATTT
 Các lĩnh vực chính của an toàn thông tin:
 . An toàn công nghệ thông tin (IT Security):
 • Đôi khi còn gọi là an toàn máy tính (Computer Security) là ATTT áp dụng 
 cho các hệ thống công nghệ thông tin;
 • Các hệ thống công nghệ thông tin của 1 tổ chức cần được đảm bảo an toàn 
 khỏi các tấn công mạng.
 . Đảm bảo thông tin (Information Assurance): 
 • Đảm bảo thông tin không bị mất khi xảy ra các sự cố (thiên tai, hỏng hóc hệ 
 thống, trộm cắp, phá hoại,);
 • Thường sử dụng kỹ thuật tạo dự phòng ngoại vi (offsite backup).
 16
 1.1.2 Một số khái niệm trong ATTT
 Các thành phần của ATTT:
 . An toàn máy tính và dữ liệu (Computer and data security)
 . An ninh mạng (Network security )
 . Quản lý ATTT (Management of information security)
 . Chính sách ATTT (Policy)
 17
 1.1.2 Một số khái niệm trong ATTT
 Các thành phần của ATTT:
 18
 1.1.2 Một số khái niệm trong ATTT
 Hệ thống thông tin (HTTT)
 . Hệ thống thông tin (IS – Information System) là một hệ thống tích hợp 
 các thành phần nhằm phục vụ việc thu thập, lưu trữ, xử lý thông tin và 
 chuyển giao thông tin, tri thức và các sản phẩm số;
 . Các doanh nghiệp và các tổ chức sử dụng các hệ thống thông tin 
 (HTTT) để thực hiện và quản lý các hoạt động:
 • Tương tác với khác khàng;
 • Tương tác với các nhà cung cấp;
 • Tương tác với các cơ quan chính quyền;
 • Quảng bá thương hiệu và sản phẩm;
 • Cạnh tranh với các đối thủ trên thị trường.
 19
 1.1.2 Một số khái niệm trong ATTT
 Mô hình hệ thống thông tin
 20
 1.1.2 Một số khái niệm trong ATTT
 Hệ thống thông tin
 . Một hệ thống thông tin dựa trên máy tính (Computer-Based 
 Information System) là một hệ thống thông tin sử dụng công nghệ máy 
 tính để thực thi các nhiệm vụ.
 . Các thành phần của hệ thống thông tin dựa trên máy tính:
 • Hardware: phần cứng để thu thập, lưu trữ, xử lý và biểu diễn dữ liệu 
 • Software: các phần mềm chạy trên phần cứng để xử lý dữ liệu
 • Databases: lưu trữ dữ liệu
 • Networks: hệ thống truyền dẫn thông tin/dữ liệu
 • Procedures: tập hợp các lệnh kết hợp các bộ phận nêu trên để xử lý dữ liệu, 
 đưa ra kết quả mong muốn.
 21
 1.1.2 Một số khái niệm trong ATTT
 An toàn hệ thống thông tin (ISS - Information Systems 
 Security): Là việc đảm bảo các thuộc tính an ninh an toàn 
 của hệ thống thông tin:
 . Bí mật (Confidentiality)
 . Toàn vẹn (Integrity)
 . Sẵn dùng (Availability)
 22
 1.1.2 Một số khái niệm trong ATTT
 Mối đe dọa (threat): Mối đe dọa là bất kỳ một hành động nào 
 có thể gây hư hại đến các tài nguyên hệ thống (gồm phần 
 cứng, phần mềm, CSDL, các file, dữ liệu, hoặc hạ tầng 
 mạng vật lý,).
 Điểm yếu (weakness): là những khiếm khuyết hoặc lỗi tồn 
 tại trọng hệ thống:
 . Điểm yếu phần cứng
 . Điểm yếu phần mềm (Hệ điều hành và ứng dụng)
 Lỗ hổng (vulnerability): là bất kỳ điểm yếu nào trong hệ 
 thống cho phép mối đe dọa có thể gây tác hại.
 23
 1.1.2 Một số khái niệm trong ATTT
 Nguy cơ (risk): là tiềm năng một mối đe dọa có thể khai khác 
 một lỗ hổng để tấn công hoặc gây nguy hiểm cho hệ thống.
 . Nguy cơ xuất hiện khi có mối đe dọa và lỗ hổng bảo mật.
 Quan hệ giữa Mối đe dọa và Lỗ hổng:
 . Các mối đe dọa thường khai thác một hoặc một số lỗ hổng đã biết để 
 thực hiện các cuộc tấn công phá hoại;
 . Nếu tồn tại một lỗ hổng trong hệ thống, sẽ có khả năng một mối đe 
 dọa trở thành hiện thực;
 . Không thể triệt tiêu được hết các mối đe dọa, nhưng có thể giảm thiểu 
 các lỗ hổng, qua đó giảm thiểu khả năng bị tận dụng để tấn công.
 24
 1.2 Các yêu cầu đảm bảo an toàn thông tin và HTTT
 Bí mật 
 (Confidentiality)
 Toàn vẹn (Integrity)
 Sẵn dùng/khả dụng
 (Availability)
 25
 1.2 Các yêu cầu đảm bảo an toàn thông tin
 Tính bí mật (Confidentiality): 
 chỉ người dùng có thẩm 
 quyền mới được truy nhập 
 thông tin.
 Các thông tin bí mật có thể 
 gồm:
 . Dữ liệu riêng của cá nhân;
 . Các thông tin thuộc quyền sở 
 hữu trí tuệ của các doanh nghiệp 
 hay các cơ quan/tổ chức;
 . Các thông tin có liên quan đến 
 an ninh quốc gia.
 26
 1.2 Các yêu cầu đảm bảo an toàn thông tin
 Tính bí mật có thể được đảm bảo bằng kênh mã hóa VPN
 27
 1.2 Các yêu cầu đảm bảo an toàn thông tin
 Tính toàn vẹn (Integrity): thông tin chỉ có thể được sửa đổi 
 bởi những người dùng có thẩm quyền.
 Tính toàn vẹn liên quan đến tính hợp lệ (validity) và chính 
 xác (accuracy) của dữ liệu.
 . Trong nhiều tổ chức, thông tin có giá trị rất lớn, như bản quyền phần 
 mềm, bản quyền âm nhạc, bản quyền phát minh, sáng chế;
 . Mọi thay đổi không có thẩm quyền có thể ảnh hưởng rất nhiều đến giá 
 trị của thông tin.
 Dữ liệu là toàn vẹn nếu:
 . Dữ liệu không bị thay đổi;
 . Dữ liệu hợp lệ;
 . Dữ liệu chính xác.
 28
 1.2 Các yêu cầu đảm bảo an toàn thông tin và HTTT
 Tính toàn 
 vẹn: CSDL 
 chỉ có thể 
 được truy 
 nhập/sửa 
 đổi bởi 
 người dùng 
 có thẩm 
 quyền.
 29
 1.2 Các yêu cầu đảm bảo an toàn thông tin và HTTT
 Tính sẵn dùng (Availability): thông tin có thể truy nhập bởi 
 người dùng hợp pháp bất cứ khi nào họ có yêu cầu.
 Tính sẵn dùng có thể được đo bằng các yếu tố:
 . Thời gian cung cấp dịch vụ (Uptime);
 . Thời gian ngừng cung cấp dịch vụ (Downtime);
 . Tỷ lệ phục vụ: A = (Uptime)/(Uptime + Downtime);
 . Thời gian trung bình giữa các sự cố;
 . Thời gian trung bình ngừng để sửa chữa;
 . Thời gian khôi phục sau sự cố.
 30
 1.2 Các yêu cầu đảm bảo an toàn thông tin và HTTT
 Tính sẵn dùng
 Không đảm bảo tính sẵn dùng
 Đảm bảo tính sẵn dùng
 31
1.3 Các thành phần của ATTT
 An toàn máy tính và dữ liệu 
 (Computer and data security)
 An ninh mạng (Network security)
 Quản lý ATTT (Management of 
 information security)
 Chính sách ATTT (Policy)
 32
 1.3.1 An toàn máy tính và dữ liệu
 An toàn hệ điều hành
 An toàn ứng dụng/dịch vụ
 Điều khiển truy cập
 Mã hóa/bảo mật dữ liệu
 Phòng chống phần mềm 
 độc hại
 Sao lưu tạo dự phòng 
 dữ liệu
 33
1.3.1 An toàn máy tính và dữ liệu
 34
 1.3.2 An ninh mạng
 Tưởng lửa (Firewall)
 Mạng riêng ảo (VPN)
 Bảo mật dữ liệu truyền
 Phát hiện/ngăn chặn tấn 
 công, xâm nhập (IPS/IDS)
 Giám sát mạng
 35
1.3.2 An ninh mạng
 36
1.3.2 An ninh mạng
 37
1.3.2 An ninh mạng
 38
 1.3.3 Quản lý an toàn thông tin
 Quản lý rủi ro (risk)
 Các chuẩn ATTT
 Chính sách ATTT
 Đào tạo người dùng
 39
 1.3.3 Quản lý an toàn thông tin
Chu trình Plan – Do – Check – Act của hệ thống quản lý 
ATTT (ISMS – Information Security Management System)
 40
 1.3.4 Chính sách an toàn thông tin
 Chính sách ATTT ở mức 
 vật lý (Physical security 
 policy)
 Chính sách ATTT ở mức 
 tổ chức (Orgranisational 
 security policy)
 Chính sách ATTT ở mức 
 logic (Logical security 
 policy)
 41
 1.3.4 Chính sách an toàn thông tin
 Các thành phần của chính sách ATTT
 42
 1.3.4 Chính sách an toàn thông tin
Áp dụng chính sách xác thực ‘mạnh’ sử dụng đặc đặc điểm 
sinh trắc (Biometric) thay cho mật khẩu truyền thống
 43
 1.3.4 Chính sách an toàn thông tin
Áp dụng chính sách xác thực ‘mạnh’ sử dụng đặc đặc điểm 
sinh trắc (Biometric) thay cho mật khẩu truyền thống
 44
1.4 Các mối đe dọa và nguy cơ ATTT trong 
 các vùng hạ tầng CNTT
Bảy vùng trong cơ sở hạ tầng CNTT
Các mối đe dọa và nguy cơ trong 
 các vùng hạ tầng CNTT
 45
 1.4.1 Bảy vùng trong cơ sở hạ tầng CNTT
 Bảy vùng trong cơ sở hạ tầng CNTT:
 . Vùng người dùng (User domain)
 . Vùng máy trạm (Workstation domain)
 . Vùng mạng LAN (LAN domain)
 . Vùng LAN-to-WAN (LAN-to-WAN domain)
 . Vùng WAN (WAN domain)
 . Vùng truy nhập từ xa (Remote Access domain)
 . Vùng hệ thống/ứng dụng (Systems/Applications domain)
 46
1.4.1 Bảy vùng trong cơ sở hạ tầng CNTT
 47
 1.4.2 Các mối đe dọa và nguy cơ trong 
 các vùng hạ tầng CNTT
 Các đe dọa/nguy cơ với vùng người dùng:
 . Thiếu ý thức về vấn đề an ninh an toàn
 . Coi nhẹ các chính sách an ninh an toàn
 . Vi phạm chính sách an ninh an toàn
 . Đưa CD/DVD/USB với các files cá nhân 
 vào hệ thống
 . Tải ảnh, âm nhạc, video trái phép
 . Phá hoại dữ liệu, ứng dụng và hệ thống
 . Tấn công phá hoại từ các nhân viên bất mãn
 . Nhân viên có thể tống tiền hoặc chiếm đoạt 
 thông tin nhạy cảm, hoặc quan trọng.
 48
 1.4.2 Các mối đe dọa và nguy cơ trong 
 các vùng hạ tầng CNTT
 Các đe dọa/nguy cơ với vùng người dùng:
 49
 1.4.2 Các mối đe dọa và nguy cơ trong 
 các vùng hạ tầng CNTT
 Các đe dọa/nguy cơ với vùng máy trạm:
 . Truy nhập trái phép vào máy trạm
 . Truy nhập trái phép vào hệ thống, 
 ứng dụng và dữ liệu
 . Các lỗ hổng an ninh trong hệ điều hành máy trạm
 . Các lỗ hổng an ninh trong các phần mềm 
 ứng dụng máy trạm
 . Các hiểm họa từ virus, mã độc và 
 các phần mềm độc hại
 . Người dùng đưa CD/DVD/USB với các files 
 cá nhân vào hệ thống
 . Người dùng tải ảnh, âm nhạc, video trái phép.
 50
 1.4.2 Các mối đe dọa và nguy cơ trong 
 các vùng hạ tầng CNTT
 Các đe dọa/nguy cơ với vùng LAN:
 . Truy nhập trái phép vào mạng LAN vật lý
 . Truy nhập trái phép vào hệ thống, 
 ứng dụng và dữ liệu
 . Các lỗ hổng an ninh trong hệ điều hành máy chủ
 . Các lỗ hổng an ninh trong các phần mềm ứng 
 dụng máy chủ
 . Nguy cơ từ người dùng giả mạo 
 trong mạng WLAN
 . Tính bí mật dữ liệu trong mạng WLAN 
 có thể bị đe dọa
 . Các hướng dẫn và chuẩn cấu hình cho máy chủ 
 LAN chưa được tuân thủ.
 51
 1.4.2 Các mối đe dọa và nguy cơ trong 
 các vùng hạ tầng CNTT
 Các đe dọa/nguy cơ với vùng 
 LAN-to-WAN:
 . Thăm dò và rà quét trái phép các cổng 
 dịch vụ
 . Truy nhập trái phép
 . Lỗ hổng an ninh trong các bộ định tuyến, 
 tường lửa và các thiết bị mạng khác
 . Người dụng cục bộ (trong LAN) có thể tải 
 các file không xác định nội dung từ các 
 nguồn không xác định.
 52
 1.4.2 Các mối đe dọa và nguy cơ trong 
 các vùng hạ tầng CNTT
 Các đe dọa/nguy cơ với vùng WAN:
 . Rủi ro từ việc dữ liệu có thể được truy 
 nhập trong môi trường công cộng và mở
 . Hầu hết dữ liệu được truyền dưới dạng 
 rõ (cleartext/plaintext)
 . Dễ bị nghe trộm
 . Dễ bị tấn công phá hoại
 . Dễ bị tấn công từ chối dịch vụ (DoS) và 
 từ chối dịch vụ phân tán (DDoS)
 . Kẻ tấn công có thể tự do, dễ dàng gửi 
 email có đính kèm virus, sâu và các 
 phần mềm độc hại.
 53
 1.4.2 Các mối đe dọa và nguy cơ trong 
 các vùng hạ tầng CNTT
 Các đe dọa/nguy cơ với vùng 
 truy nhập từ xa:
 . Tấn công kiểu vét cạn (brute force) 
 vào tên người dùng và mật khẩu
 . Tấn công vào hệ thống đăng nhập 
 và điều khiển truy cập
 . Truy nhập trái phép vào hệ thống 
 CNTT, ứng dụng và dữ liệu
 . Thông tin bí mật có thể bị đánh 
 cắp từ xa
 . Dò rỉ dữ liệu do vi phạm các 
 tiêu chuẩn phân loại dữ liệu.
 54
 1.4.2 Các mối đe dọa và nguy cơ trong 
 các vùng hạ tầng CNTT
 Các đe dọa/nguy cơ với vùng 
 hệ thống/ứng dụng:
 . Truy nhập trái phép đến trung tâm 
 dữ liệu, phòng máy hoặc tủ cáp
 . Khó khăn trong quản lý các máy chủ 
 yêu cầu tính sẵn dùng cao
 . Lỗ hổng trong quản lý các phần 
 mềm ứng dụng của hệ điều hành 
 máy chủ
 . Các vấn đề an ninh trong các môi 
 trường ảo của điện toán đám mây
 . Vấn đề hỏng hóc hoặc mất dữ liệu.
 55
1.5 Mô hình tổng quát đảm bảo an toàn thông tin 
 và hệ thống thông tin
 Nguyên tắc đảm bảo an toàn thông tin, 
 hệ thống và mạng
 Một số mô hình tổng quát đảm bảo an toàn thông 
 tin và hệ thống thông tin
 56
 1.5.1 Nguyên tắc đảm bảo an toàn thông tin, 
 hệ thống và mạng
 Phòng vệ nhiều lớp có chiều sâu (Defence in Depth): 
 . Tạo ra nhiều lớp bảo vệ, kết hợp tính năng tác dụng của mỗi lớp để 
 đảm bảo an toàn tối đa cho thông tin, hệ thống và mạng.
 Một lớp, một công cụ phòng vệ riêng rẽ thường không đảm 
 bảo an toàn.
 Không tồn tại HTTT an toàn tuyệt đối
 . Thường HTTT an toàn tuyệt đối là hệ thống đóng kín và không hoặc ít 
 có giá trị sử dụng.
 . Cần cân bằng giữa vấn đề an toàn, tính hữu dụng và chi phí đầu tư.
 57
 1.5.1 Nguyên tắc đảm bảo an toàn thông tin, 
 hệ thống và mạng
 Cần cân bằng giữa Usability (Tính hữu dụng), Cost (chi phí) 
 và Security (an toàn)
 58
1.5.2 Một số mô hình tổng quát đảm bảo an toàn 
 thông tin và hệ thống thông tin
 59
1.5.2 Một số mô hình tổng quát đảm bảo an toàn 
 thông tin và hệ thống thông tin
 60
1.5.2 Một số mô hình tổng quát đảm bảo an toàn 
 thông tin và hệ thống thông tin
 61
1.5.2 Một số mô hình tổng quát đảm bảo an toàn 
 thông tin và hệ thống thông tin
 62
 1.5.2 Một số mô hình tổng quát đảm bảo an toàn 
 thông tin và hệ thống thông tin
 Các lớp phòng vệ điển hình trong mô hình 
 Phòng vệ nhiều lớp:
 . Lớp an ninh cơ quan/tổ chức (Plant Security)
 • Lớp bảo vệ vật lý
 • Lớp chính sách & thủ tục đảm bảo ATTT
 . Lớp an ninh mạng (Network Security)
 • Lớp an ninh cho từng thành phần mạng
 • Tường lửa, mạng riêng ảo (VPN)
 . Lớp an ninh hệ thống (System Security)
 • Lớp tăng cường an ninh hệ thống
 • Lớp quản trị tài khoản và phân quyền người dùng
 • Lớp quản lý các bản vá và cập nhật phần mềm
 • Lớp phát hiện và ngăn chặn phần mềm độc hại.
 63