Bài giảng An toàn an ninh thông tin - Chương 1: Tổng quan về an toàn an ninh thông tin - Bùi Trọng Tùng
BÀI 1.
TỔNG QUAN VỀAN TOÀNAN NINH
THÔNG TIN
Bùi Trọng Tùng,
Viện Công nghệ thông tin và Truyền thông,
Đại học Bách khoa Hà Nội
1
1
Nội dung
• An toàn an ninh thông tin (security) là gì?
• Chính sách và các cơ chế an toàn an ninh
• Lỗ hổng an toàn bảo mật, nguy cơ an toàn an ninh
• Nguyên lý xây dựng hệ thống an toàn an ninh
2
2
1
1. MỞ ĐẦU
Bùi Trọng Tùng,
Viện Công nghệ thông tin và Truyền thông,
Đại học Bách khoa Hà Nội
3
3
1. Mở đầu
• Báo cáo về an toàn an ninh thông tin:
IBM X-Force Threat Intelligence Index 2019
Symantec Internet Security Threat Report 2019
Verizon 2018 Data Breach Investigations Report
Cisco 2019 Annual Security Report
4
4
2
An toàn an ninh thông tin là gì?
Bảo vệ tài nguyên hệ thống thông tin trước các hành vi gây
tổn hại
• Tài nguyên hệ thống:
Phần cứng: máy tính, đường truyền, thiết bị mạng...
Phần mềm
Dữ liệu
Người dùng
• Các hành vi gây tổn hại: phần lớn là các hành vi tấn công
cố ý
Tấn công vật lý: tấn công vào phần cứng
Tấn công logic: sử dụng các chương trình phá hoại để can thiệp
vào quá trình xử lý và truyền dữ liệu
5
5
An toàn an ninh thông tin là gì?
• Hoạt động của hệ thống: yêu cầu tính đúng đắn là thực
hiện đầy đủ và chính xác với mọi giá trị đầu vào
Có thể không phát hiện được tình huống đáp ứng một giá trị đầu
vào độc hại sẽ dẫn đến một kết quả đầu ra nằm ngoài mong đợi
• AT-ANTT: là một dạng của tính đúng đắn
Hệ thống có khả năng phát hiện và ngăn chặn các giá trị đầu vào
không mong muốn
Đạt được tính đúng đắn ngay cả khi có sự hiện diện của kẻ tấn
công
6
6
3
Tại saoAT-ANTT là quan trọng?
Các hành vi tấn công AT-ANTT tác động tiêu cực tới:
• An toàn thân thể của mỗi cá nhân
• Sự bí mật của thông tin cá nhân và tổ chức
• Tài sản của cá nhân và tổ chức
• Sự phát triển của một tổ chức
• Nền kinh tế của một quốc gia
• Tính an toàn của một quốc gia
• …
7
7
Nguy cơ với an toàn thân thể
8
8
4
Đánh cắp thông tin cá nhân
9
9
Đánh cắp tài sản
10
10
5
Tác động tới nền kinh tế
Báo cáo khảo sát Tội phạm kinh tế tại Việt
Nam năm 2018 – PWC Vietnam
11
11
Tác động tới nền kinh tế
12
12
6
Xâm phạm chủ quyền quốc gia
13
Về môn học này
• Mã học phần: IT4015
• Tên học phần: Nhập môn An toàn thông tin
• Khối lượng: 3(3-1-0-6)
• Đánh giá:
Quá trình: 40% (2 bài thi giữa kỳ: 30% + 10%)
Cuối kỳ: 60%
• Website:
14
14
7
Thông tin giảng viên
Bùi Trọng Tùng,
Bộ môn Truyền thông và Mạng máy tính
Email: [email protected]
Địa chỉ: phòng 405, nhà B1
Group: https://www.facebook.com/groups/FAQ.TungBT
15
Nội dung học phần
• Mở đầu: Các khái niệm và nguyên lý cơ bản
• Phần 1: Các hệ mật mã và ứng dụng
Hệ mật mã khóa đối xứng
Hệ mật mã khóa công khai
Xác thực thông điệp
• Phần 2: Kiểm soát truy cập
Xác thực danh tính
Ủy quyền
• Phần 3: An toàn-an ninh phần mềm
16
16
8
Tài liệu tham khảo
[1] TS. Nguyễn Khanh Văn (2015). Giáo trình Cơ Sở An
Toàn Thông Tin. Nhà xuất bản Bách Khoa Hà nội.
[2] Matt Bishop (2004). Introduction to Computer Security.
Addison-Wesley
[3] Tài liệu đọc thêm theo từng bài
17
17
Chúng ta học gì?
• Suy nghĩ về hệ thống thông tin như một kẻ tấn công
Xác định mối đe dọa và điểm yếu của hệ thống
• Làm cách nào để thực hiện một số kỹ thuật tấn công
Khai thác lỗ hổng phần mềm
• Suy nghĩ về hệ thống như người thiết kế giải pháp AT-
ANTT
Cách thức ngăn chặn và giảm thiểu tấn công
Hiểu và ứng dụng các nguyên lý AT-ANTT
Hiểu và ứng dụng các cơ chế, công cụ AT-ANTT
18
18
9
2. KHÁI NIỆM CƠ BẢN VỀAT-ANTT
Bùi Trọng Tùng,
Viện Công nghệ thông tin và Truyền thông,
Đại học Bách khoa Hà Nội
19
19
AT-ANTT là gì? - CIA
• Confidentiality (Bí mật): tài nguyên chỉ được tiếp cận bởi
các bên được ủy quyền
• Integrity (Toàn vẹn): tài nguyên chỉ được sửa đổi bởi các
bên được ủy quyền
• Availability (Sẵn sàng): tài nguyên sẵn sàng khi có yêu
cầu
Thời gian đáp ứng chấp nhận được
Tài nguyên được định vị trí rõ ràng
Khả năng chịu lỗi
Dễ dàng sử dụng
Đồng bộ khi đáp ứng yêu cầu
20
20
10
AT-ANTT là gì? – AAA
• Assurance (Đảm bảo): hệ thống cung cấp sự tin cậy và
quản trị được sự tin cậy
Ví dụ: tính tin cậy trong hệ thống thanh toán trực tuyến
Bao gồm khía cạnh kỹ thuật phần mềm: Làm thế nào chắc chắn
rằng mã nguồn phần mềm được viết theo đúng thiết kế?
• Authenticity (Xác thực): khẳng định được danh tính của
chủ thể trong hệ thống
• Anonymity (Ẩn danh): che giấu được thông tin cá nhân
của chủ thể
21
21
Chính sách và cơ chếAT-ANTT
• Chính sách AT-ANTT(security policy): tuyên bố về các
mục tiêu/yêu cầu AT-ANTT của hệ thống
Chủ thể
Hành vi phải thực hiện/được phép/không được phép
Tài nguyên
• Là cơ sở để xây dựng hạ tầng AT-ANTT
• Phục vụ cho quản trị AT-ANTT
22
22
11
Cơ chếAT-ANTT
• Là các kỹ thuật, thủ tục để thi hành và đảm bảo chính
sách AT-ANTT được thi hành
• Phân loại:
Ngăn chặn (Prevention): ngăn chặn chính sách bị xâm phạm
Phát hiện (Detection) và Ứng phó(Response): phát hiện chính sách
bị xâm phạm
False positive rate: Tỉ lệ cảnh báo sai
False negative rate: Tỉ lệ bỏ sót tấn công
23
23
Một số cơ chế AT-ANTT(tiếp)
• Bảo vệ vật lý (Physical protection)
• Mật mã học (Cryptography)
• Định danh (Identification)
• Xác thực (Authentication)
• Ủy quyền (Authorization)
• Nhật ký (Logging)
• Kiểm toán(Auditting)
• Sao lưu và khôi phục (Backup and Recovery)
• Dự phòng (Redundancy)
• Giả lập, ngụy trang (Deception)
• Gây nhiễu, ngẫu nhiên(randomness)
24
24
12
3. Lỗ hổng và tấn côngAT-ANTT
• Mối đe dọa (Threat): các hành vi tiềm ẩn khả năng gây
hại cho hệ thống
• Tấn công (Attack): thực thi nguy cơ
Thường lợi dụng, khai thác lỗ hổng
Kẻ tấn công là ai? Kẻ tấn công có gì?
• Độ rủi ro (Risk): xác suất hệ thống bị tổn hại bởi mối đe
dọa
• Lỗ hổng (Vulnerability): là những điểm yếu trong hệ thống
có thể bị khai thác, lợi dụng để gây tổn hại cho hệ thống
Tầm soát lỗ hổng định kỳ là một trong những giải pháp phòng
chống tấn công
25
25
Mô hình đe dọa
• Threat Model: mô tả những mối đe dọa kẻ tấn công có
thể gây ra cho hệ thống và hậu quả
Cái gì cần bảo vệ?
Ai có thể tấn công vào hệ thống? Chúng có gì?
Hệ thống có thể bị tấn công như thế nào?
Policiy
Security
Threat
model
Mechan
ism
26
26
13
Ai có thể tấn công bạn?
• Tội phạm vì động cơ tiền bạc
• Tội phạm vì động cơ phá hoại
• Chính phủ các nước
Nếu bạn đủ quan trọng và đáng giá :D
• Người thân quen:
Kẻ tấn công nguy hiểm nhất
27
27
Những giả định về tấn công
• Những giả định này là bi quan nhưng là sự cận trọng cần
thiết
• Kẻ tấn công có thể tương tác với hệ thống mà không gây
ra sự khác biệt rõ rang
• Kẻ tấn công có thể dễ dàng thu thập các thông tin thông
thường của hệ thống(Ví dụ: hệ điều hành, phần mềm,
dịch vụ,…)
• Kẻ tấn công có thể truy cập vào hệ thống tương tự để xác
định được cách thức hệ thống hoạt động như thế nào
28
28
14
Những giả định về tấn công(tiếp)
• Kẻ tấn công có khả năng tự động hóa các hành vi tấn
công
• Kẻ tấn công có khả năng phối hợp, điều phối các hệ
thống/thành phần khác nhau
• Kẻ tấn công có nguồn tài nguyên tính toán rất lớn
• Kẻ tấn công có thể có một số quyền truy cập nhất định
nào đó
29
29
Tại sao tấn công AT-ANTT là phổ biến?
• Thứ gì có thể hack được?
Symatec Internet Security Threat Report 2019
30
30
15
Tại sao tấn công AT-ANTT là phổ biến?
Users attacked
40
35
30
25
20
15
10
5
2000
1800
1600
1400
1200
1000
800
600
400
200
0
0
2015
2016
2017
%computer
2018
2019
Number of attacks
Kaspersky Security Bulletin 2019
31
31
Tại sao tấn công AT-ANTT là phổ biến?
• Đánh cắp thông tin cá nhân
IBM X-Force Threat Intelligence Index 2019
32
32
16
Tại sao tấn công AT-ANTT là phổ biến?
IBM X-Force Threat Intelligence Index 2019
33
33
Cuộc đua giữa tấn công và bảo vệ
34
34
17
Tại sao tấn công AT-ANTT là phổ biến?
• Công cụ có sẵn
Top 10 Web attack toolkits
Symatec Internet Security Threat Report 2017
35
35
Tại sao tấn công AT-ANTT là phổ biến?
• Công cụ có sẵn
36
36
18
Động cơ tấn công
• Tiền bạc
Kaspersky Security Bulletin 2019
37
37
Ransomware(2018)
38
Kaspersky Security Bulletin 2019
38
19
WannaCry (05/2017)
39
39
Coinminer(2018)
Symatec Internet Security Threat Report 2019
Kaspersky Security Bulletin 2019
40
40
20
Tải về để xem bản đầy đủ
39 trang
27080
Free
Bạn đang xem 20 trang mẫu của tài liệu "Bài giảng An toàn an ninh thông tin - Chương 1: Tổng quan về an toàn an ninh thông tin - Bùi Trọng Tùng", để tải tài liệu gốc về máy hãy click vào nút Download ở trên
File đính kèm:
- bai_giang_an_toan_an_ninh_thong_tin_chuong_1_tong_quan_ve_an.pdf
