Bài giảng An toàn và bảo mật thông tin
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
1. Mục đích và yêu cầu
Trường Đại học Thương mại
Khoa HTTT Kinh tế và THMĐT
Bộ môn Công nghệ thông tin
• Mục đích của học phần
– Cung cấp những kiến thức cơ bản về an toàn
và bảo mật thông tin cho HTTT doanh nghiệp
– Cung cấp thông tin về các nguy cơ tấn công
và phương pháp đảm bảo an toàn cho hệ
thống thông tin doanh nghiệp
Bài giảng học phần:
An toàn và bảo mật thông tin
– Giới thiệu một số ứng dụng của công nghệ
trong đảm an toàn và bảo mật thông tin
doanh nghiệp
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
1
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
2
1. Mục đích và yêu cầu (t)
2. Cấu trúc học phần
• Yêu cầu cần đạt được
• Học phần gồm 3 tín chỉ (45 tiết) phân phối như
sau:
– Nắm vững các kiến thức cơ bản về an toàn
và bảo mật thông tin doanh nghiệp
– Nội dung lý thuyết và thảo luận 45 tiết (15 buổi)
– Có kiến thức về các nguy cơ tấn công và và
các phương pháp đảm bảo an toàn cho hệ
thống thông tin doanh nghiệp
– Thời gian:
• 10 tuần lý thuyết,
• 2 tuần bài tập và kiểm tra
• 3 buổi thảo luận
– Sử dụng được một số ứng dụng đã có trong
việc đảm bảo an toàn thông tin doanh nghiệp
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
3
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
4
3. Nội dung học phần
3. Nội dung học phần (t)
• Chương 1. Tổng quan
– Khái niệm chung về an toàn và bảo mật thông tin
• Chương 1: Tổng quan về ATBM thông tin
• An toàn và bảo mật thông tin
• Chương 2: Các hình thức tấn công và các rủi ro
của hệ thống
• Vai trò của an toàn và bảo mật thông tin
• Nguy cơ và phân loại các nguy cơ
• Phòng tránh và phục hồi thông tin
• Chương 3: Các phương pháp phòng tránh và
phục hồi
– Mục tiêu và yêu cầu của an toàn và bảo mật thông tin
• Mục tiêu
• Yêu cầu và quy trình chung
• Mô hình an toàn và chính sách bảo mật
• Chương 4: Ứng dụng an toàn và bảo mật thông
tin
– . Chính sách pháp luật của nhà nước
• Luật, nghị định về ATBM thông tin ở Việt Nam
• Luật và chính sách về ATBM thông tin quốc tế
•
Định hướng phát triển về ATBM thông tin của Việt Nam
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
5
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
6
Bài giảng: An toàn bảo mật thông tin
1
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
3. Nội dung học phần (tt)
8/7/2017
3. Nội dung học phần (ttt)
•
Chương 3: Các phương pháp phòng tránh và phục
•
Chương 2: Các hính thức tấn công và rủi ro của hệ thống
– 2.1. Tổng quan về tấn công hệ thống thông tin
hồi
– 3.1. Các phương thức phòng tránh
•
•
•
2.1.1. Khái niệm tấn công và phân loại
2.1.2. Một số phương thức tấn công thụ động
2.1.3. Một số phương thức tấn công chủ động
•
•
•
•
3.1.1. Phòng tránh mức vật lý
3.1.2. Phòng tránh mức hệ điều hành và mạng
3.1.3. Phòng tránh mức dữ liệu
– 2.2. Rủi ro và đánh giá rủi ro cho hệ thống thông tin
•
•
•
2.2.1. Khái niệm rủi ro của hệ thống
2.2.2. Xác định rủi ro và đánh giá
2.2.3. Các chiến lược và phương thức kiểm soát rủi ro
3.1.4. Phòng tránh bằng chính sách và giáo dục
– 3.2. Phòng tránh bằng mã hóa
•
•
•
•
3.2.1. Các khái niệm liên quan đến mã hóa
3.2.2. Thuật toán mã hóa và các ứng dụng
3.2.3. Các thuật toán mã hóa đối xứng
3.2.4. Các thuật toán mã hóa không đối xứng
– 2.2. Các hình thức tấn công vào HTTT DN ở Việt Nam hiện nay
•
•
•
2.2.1. Tội phạm công nghệ cao ở Việt Nam
2.2.2. Các mối đe dọa đối với HTTT doanh nghiệp
2.2.3. Các kiểu tấn công vào HTTT doanh nghiệp
– 3.3. Một số biện pháp phục hồi
– 2.3. Những xu hướng tấn công trong tương lai
•
•
•
3.3.1. Biện pháp phục hồi dữ liệu văn bản
3.3.2. Biện pháp phục hồi dữ liệu phi văn bản
3.3.3. Biện pháp phục hồi hệ thống
•
•
•
2.3.1. Xu hướng tấn công bằng kỹ thuật
2.3.2. Xu hướng tấn công phi kỹ thuật
2.3.3. Xu hướng tấn từ các phương tiện truyền thông xã hội
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
7
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
8
4. Tài liệu tham khảo
3. Nội dung học phần (tttt)
Chương 4: Ứng dụng an toàn và bảo mật thông tin
– 4.1. Sử dụng chữ ký điện tử
1) Bộ môn CNTT, Giáo trình An toàn dữ liệu trong thương mại điện
tử,, Đại học Thương Mại, NXB Thống kê, 2009.
•
2) Phan Đình Diệu, Lý thuyết mật mã và an toàn thông tin, Đại học
Quốc gia Hà Nội, NXB ĐHQG, 1999.
•
•
4.1.1.Khái niệm và hoạt động
4.1.2.Ứng dụng trong chứng thực điện tử
3) William Stallings, Cryptography and Network Security Principles
and Practices, Fourth Edition, Prentice Hall, 2008
– 4.2. Phát hiện lỗ hổng bảo mật
•
•
4.2.1. Phát hiện lỗ hổng của phần mềm ứng dụng
4.2.2. Phát hiện lỗ hổng của hệ điều hành
4) Man Young Rhee. Internet Security: Cryptographic principles,
algorithms and protocols. John Wiley & Sons, 2003.
– 4.3. Sử dụng chứng thực số
•
•
4.3.1. Sử dụng chứng thực cá nhân
4.3.2. Sử dụng chứng thực doanh nghiệp
5) David Kim, Michael G. Solomon, Fundamentals of Information
Systems Security, Jones & Bartlettlearning, 2012.
– 4.4. An toàn và bảo mật trên các phương tiện truyền thông
6) Michael E. Whitman, Herbert J. Mattord, Principles of information
security, 4th edition, Course Technology, Cengage Learning, 2012.
•
•
4.4.1. Các phương tiện truyền thông xã hội
4.4.2. Những nguy cơ và giải pháp cho người dùng
7) Matt Bishop, Introduction to Computer Security, Prentice Hall,
2004.
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
9
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
10
Chương I:
TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Đặt vấn đề
•
Khái niệm chung về an toàn và bảo mật thông tin
– An toàn và bảo mật thông tin
– Vai trò của an toàn và bảo mật thông tin
– Nguy cơ và phân loại các nguy cơ
– Phòng tránh và phục hồi thông tin
Mục tiêu và yêu cầu của an toàn và bảo mật thông tin
– Mục tiêu
– Yêu cầu và quy trình chung
– Mô hình an toàn và chính sách bảo mật
Chính sách pháp luật của nhà nước
– Luật, nghị định về ATBM thông tin ở Việt Nam
– Luật và chính sách về ATBM thông tin quốc tế
‐ Những cơ hội trong
kỷ nguyên số?
‐ Những thách thức
với tổ chức, doanh
nghiệp?
‐ Những vấn đề đặt ra
với con người?
‐ …
•
•
–
Định hướng phát triển về ATBM thông tin của Việt Nam
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
11
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
12
Bài giảng: An toàn bảo mật thông tin
2
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 1:
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Khái niệm về an toàn và bảo mật thông tin
TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Khái niệm chung về an toàn và bảo mật thông tin
• Khái niệm ATTT
– ATTT là gì?
– An toàn và bảo mật thông tin
– Vai trò của an toàn và bảo mật thông tin
– Nguy cơ và phân loại các nguy cơ
– Phòng tránh và phục hồi thông tin
– Bảo mật TT là gì?
• Ví dụ
– Hỏng hóc máy tính
– Sao chép dữ liệu trái
phép
– Giả mạo
– …
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
13
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
14
16
18
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Bảo mật hệ thống thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Khái niệm HTTT an toàn
• Bảo mật hệ thống là
gì?
• Khái niệm HTTT An toàn
– Đảm bảo tính bí mật
– Đảm bảo tính toàn vẹn
– Đảm bảo tính sẵn
– Đảm bảo an toàn thông
tin
– Đảm bảo hệ thống có
khả năng hoạt động liên
tục
sàng
• Bảo mật HTTT là gì?
– Các công cụ?
– Đảm bảo khả năng phục
hồi
– Các biện pháp?
– Thực hiện như thế
nào?
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
15
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Các vùng cần đảm bảo an toàn thông tin trong HTTT
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Các vùng cần đảm bảo an toàn thông tin trong HTTT
– Vùng người dùng (User domain)
– Vùng máy trạm (Workstation domain)
– Vùng mạng LAN (LAN domain)
– Vùng LAN-to-WAN (LAN-to-WAN domain)
– Vùng WAN (WAN domain)
– Vùng truy nhập từ xa (Remote Access domain)
– Vùng hệ thống/ứng dụng (Systems/Applications
domain)
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
17
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bài giảng: An toàn bảo mật thông tin
3
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Vai trò của an toàn và bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Nguy cơ mất an toàn và bảo mật thông tin
• Vì sao ATBM TT có vai trò quan trọng ?
• Giá trị của thông tin?
• Nguy cơ và phân loại các nguy cơ
– Nguy cơ là gì?
– Phân loại các nguy cơ
• Ngẫu nhiên
• Lợi thế cạnh tranh của tổ chức ?
• Uy tín thương hiệu và sự phát triển?
• …
• Có chủ định
– Nguyên nhân?
– Xu hướng?
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
19
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
20
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Nguy cơ mất an toàn và bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Nguy cơ mất an toàn và bảo mật thông tin
Ví dụ các nguy cơ được xem xét trong hệ thống từ
• Nguy cơ trong DN hiện nay:
– Từ các yếu tố kỹ thuật ?
– Do lập kế hoạch, triển khai, thực thi, vận hành ?
– Do quy trình, chính sách an ninh bảo mật ?
– Do yếu tố người ?
– Do hạ tầng CNTT? Hạ tầng truyền thông?
– Do thảm hoạ từ thiên nhiên hoặc con người
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
21
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
22
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG
TIN
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Khái niệm chung về an toàn và bảo mật thông tin
Khái niệm chung về an toàn và bảo mật thông tin
US Internet Crime Complaint Centre
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
23
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
24
Bài giảng: An toàn bảo mật thông tin
4
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Khái niệm chung về an toàn và bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Khái niệm chung về an toàn và bảo mật thông tin
• Phòng tránh là gì?
– Khái niệm
– Biện pháp thực hiện
• Kỹ thuật
• Phi kỹ thuật
– Xu hướng hiện nay?
• Về kỹ thuật
• Về chính sách và con người?
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
25
27
29
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
26
28
30
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Khái niệm chung về an toàn và bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Khái niệm chung về an toàn và bảo mật thông tin
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Khái niệm chung về an toàn và bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Mục tiêu và yêu cầu của an toàn bảo mật thông tin
• Mục tiêu của ATBM TT
• Khắc phục
– Phát hiện các nguy cơ
– Khắc phục là gì?
– Nghiên cứu các biện pháp ngăn chặn
– Nghiên cứu và cài đặt các biện pháp phục hồi
– Vì sao cần khắc phục?
– Nguyên tắc chung để khắc phuc?
– Các biện pháp kỹ thuật?
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bài giảng: An toàn bảo mật thông tin
5
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Mục tiêu và yêu cầu của an toàn bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Mục tiêu và yêu cầu của an toàn bảo mật thông tin
•
-
-
-
-
-
-
Yêu cầu:
• Đảm bảo HTTT luôn được bảo mật
– Phát hiện vi phạm tính bí mật?
Mức tổ chức ?
Mức cá nhân ?
Mức vật lý ?
Phần cứng ?
Phần mềm ?
Hệ thống mạng ?
– Phát hiện vi phạm tính toàn vẹn?
– Phát hiện vi phạm tính sẵn sàng?
– Phát hiện các gian lận trong giao dịch?
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
31
33
35
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
32
34
36
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Mục tiêu và yêu cầu của an toàn bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Mục tiêu và yêu cầu của an toàn bảo mật thông tin
Quy trình chung đảm bảo an toàn hệ thống
• Mô hình bảo mật theo
chiều sâu
Xác định
Đánh giá
– Từ ngoài vào trong
– Từ mức thấp đến mức
cao
– Từ mức tổng quát đến
chi tiết
Lựa chọn
giải pháp
Giám sát
rủi ro
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Mục tiêu và yêu cầu của an toàn bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Mục tiêu và yêu cầu của an toàn bảo mật thông tin
Bên thứ ba đáng tin
• Các mức bảo vệ
trong mô hình theo
chiều sâu
Bên nhận
Chuyển đổi
liên quan
đến an toàn
Chuyển đổi
liên quan
đến an toàn
– Các biện pháp?
– Kỹ thuật?
Kênh
thông tin
– Phương pháp thực
hiện?
Thông tin
bí mật
Thông tin
– Chính sách của tổ
chức?
bí mật
Đối thủ
Mô hình an toàn trong truyền thông tin
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bài giảng: An toàn bảo mật thông tin
6
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Mục tiêu và yêu cầu của an toàn bảo mật thông tin
• Luật và nghị định về ATBM TT ở Việt Nam
• Chính sách bảo mật theo lớp
– Luật số: 012/2017/QH14: Sửa đổi, bổ sung một số
điều của bộ luật hình sự số 100/2015/QH13
– Luật số: 086/2015/QH13: ATTT Mạng
– Luật số: 104/2016/QH13: Tiếp cận thông tin
– Luật số: 103/2016/QH13: Luật báo chí
– Luật số: 051/2005/QH11: Luật giao dịch điện tử
– Luật số: 041/2009/QH12: Luật viễn thông
– Luật số: 059/2010/QH12: Luật bảo vệ người tiêu
dùng
– Lớp an ninh cơ quan/tổ chức (Plant Security)
•
Lớp bảo vệ vật lý
•
Lớp chính sách & thủ tục đảm bảo ATTT
– Lớp an ninh mạng (Network Security)
•
Lớp an ninh cho từng thành phần mạng
•
Tường lửa, mạng riêng ảo (VPN)
– Lớp an ninh hệ thống (System Security)
•
•
•
•
Lớp tăng cường an ninh hệ thống
Lớp quản trị tài khoản và phân quyền người dùng
Lớp quản lý các bản vá và cập nhật phần mềm
Lớp phát hiện và ngăn chặn phần mềm độc hại.
– Luật số: 005/2011/QH13: Luật cơ yếu
– Luật số: 016/2012/QH13: Luật quảng cáo
– Luật số: 067/2006/QH11: Luật Công nghệ thông tin
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
37
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
38
39
40
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
• PART I: GENERAL PRINCIPLES
– Principle 1: Right to Information
– Principles on National Security and the Right to
Information (Các nguyên tắc cho an ninh quốc gia và
quyền thông tin)
– Principle 2: Application of these Principles
– Principle 3: Requirements for Restricting the Right to
Information on National Security Grounds
– Các nguyên tắc này đã được phát triển nhằm hướng
dẫn những người tham gia soạn thảo, sửa đổi hoặc
thực thi luật pháp hoặc các điều khoản liên quan đến
thẩm quyền của chính phủ để giữ lại thông tin đảm
bảo an ninh quốc gia hoặc để trừng phạt việc tiết lộ
thông tin của các tổ chức, cá nhân
– Principle 3: Requirements for Restricting the Right to
Information on National Security Grounds
– Principle 5: No Exemption for Any Public Authority
– Principle 6: Access to Information by Oversight Bodies
– Principle 7: Resources
– Principle 8: States of Emergency
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
41
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
42
Bài giảng: An toàn bảo mật thông tin
7
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
PART II: INFORMATION THAT MAY BE WITH HELD ON NATIONAL
SECURITY GROUNDS, AND INFORMATION THAT SHOULD BE
DISCLOSED
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
•
• PART IIIA: RULES REGARDING LASSIFICATION
AND DECLASSIFICATION OF INFORMATION
– Principle 9: Information That Legitimately May Be
Withheld
– Principle 11: Duty to State Reasons for Classifying
Information
– Principle 12: Public Access to Classification Rules
– Principle 13: Authority to Classify
– Principle 14: Facilitating Internal Challenges to
Classification
– Principle 10: Categories of Information with a High
Disclosure
• A. Violations of International Human Rights and Humanitarian
Law
– Principle 15: Duty to Preserve, Manage, and Maintain
National Security Information
– Principle 16: Time Limits for Period of Classification
– Principle 17: Declassification Procedures
• B. Safeguards for the Right to Liberty and Security of Person,
the Prevention of Torture and Other Ill-treatment, and the Right to
Life
• C. Structures and Powers of Government
• D. Decisions to Use Military Force or Acquire Weapons of Mass
Destruction
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
43
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
44
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
•
PART IIIB: RULES REGARDING HANDLING OF
REQUESTS FOR INFORMATION
• PART IV: JUDICIAL ASPECTS OF NATIONAL
SECURITY AND RIGHT TO INFORMATION
– Principle 27: General Judicial Oversight Principle
– Principle 28: Public Access to Judicial Processes
– Principle 18: Duty to Consider Request Even if Information Has
Been Classified
– Principle 19: Duty to Confirm or Deny
– Principle 20: Duty to State Reasons for Denial in Writing
– Principle 21: Duty to Recover or Reconstruct Missing Information
– Principle 22: Duty to Disclose Parts of Documents
– Principle 29: Party Access to Information in Criminal
Proceedings
– Principle 23: Duty to Identify Information Withheld
– Principle 24: Duty to Provide Information in Available Formats
– Principle 25: Time Limits for Responding to Information Requests
– Principle 26: Right to Review of Decision Withholding Information
– Principle 30: Party Access to Information in Civil Cases
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
45
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
46
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
• PART VI: PUBLIC INTEREST DISCLOSURE BY
PUBLIC PERSONNEL
•
PART V: BODIES THAT OVERSEE THE SECURITY
SECTOR
– Principle 31: Establishment of Independent Oversight Bodies
– Principle 37: Categories of Wrongdoing
– Principle 38: Grounds, Motivation, and Proof for
Disclosures of Information Showing Wrongdoing
– Principle 39: Procedures for Making and Responding to
Protected Disclosures Internally or to Oversight Bodies
– Principle 40: Protection of Public Disclosures
– Principle 41: Protection against Retaliation for Making
Disclosures of Information Showing Wrongdoing
– Principle 42: Encouraging and Facilitating Protected
Disclosures
– Principle 32: Unrestricted Access to Information Necessary for
Fulfillment of Mandate
– Principle 33: Powers and Resources and Procedures Necessary to
Ensure Access to Information
– Principle 34: Transparency of Independent Oversight Bodies
– Principle 35: Measures to Protect Information Handled by Security
Sector Oversight Bodies
– Principle 36: Authority of the Legislature to Make Information Public
– Principle 43: Public Interest Defence for Public Personnel
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
47
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
48
Bài giảng: An toàn bảo mật thông tin
8
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
•
PART VII: LIMITS ON MEASURES TO SANCTION OR
RESTRAIN THE DISCLOSURE OF INFORMATION TO
THE PUBLIC
• PART VIII: CONCLUDING PRINCIPLES
– Principle 50: Relation of These Principles to
Other Standards
– Principle 44: Protection against Penalties for Good Faith,
Reasonable Disclosure by Information Officers
– Principle 45: Penalties for Destruction of, or Refusal to Disclose,
– Principle 46: Limitations on Criminal Penalties for the Disclosure
of Information by Public Personnel
• ANNEX A: PARTNER ORGANIZATIONS
– Principle 47: Protection against Sanctions for the Possession
and Dissemination of Classified Information by Persons Who
Are Not Public Personnel
– Principle 48: Protection of Sources
– Principle 49: Prior Restraint
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
49
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
50
Chương 1: TỔNG QUAN VỀ AN TOÀN BẢO MẬT THÔNG TIN
Chính sách pháp luật của nhà nước về an toàn bảo mật thông tin
Kết thúc chương I
•
Trình bày các khái niệm về an toàn thông tin ? bảo mật hệ thống
thông tin?
• Định hướng về phát triển ATBM TT của Việt Nam
– ATTTs là một trụ cột để phát triển CNTT, CPĐT…
– ATTTs là một bộ phận của QPANQG
•
•
•
•
•
•
•
•
•
•
•
Nêu và phân tích vai trò của ATBM TT trong DN?
Nguy cơ là gì? Trình bày các loại nguy cơ mất ATTT ?
Các nguy cơ tấn công vào HTTT của DN ?
– ATTTs là một ngành kinh tế công nghiệp, dịch vụ công
nghệ cao
Mục tiêu của an toàn bảo mật thông tin?
Các yêu cầu an toàn và bảo mật thông tin?
– ATTTs là một lĩnh vực đặc thù ưu tiên sản phẩm, tổ chức
nội địa
Phân tích quy trình chung đảm bảo ATBM TT ?
Trình bày và phân tích mô hình truyền thông tin an toàn?
Chính sách và pháp luật Việt Nam với ATBM TT?
Chính sách và pháp luật quốc tế trong đảm bảo ATTT?
Định hướng phát triển ATTT của Việt Nam?
– ATTTs là một lĩnh vực nóng trong đối ngoại
– ATTTs là sự nghiệp của toàn xã hội
Vì sao ATTT và BM hệ thống thông tin là không thể thiếu trong thời
đại công nghệ số?
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
51
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
52
Chương 2:
Các hình thức tấn công và rủi ro của hệ
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
thống
– 2.1. Tổng quan về tấn công hệ thống thông tin
•
•
Khái niệm
Phân loại
•
•
•
2.1.1. Khái niệm tấn công và phân loại
2.1.2. Một số phương thức tấn công thụ động
2.1.3. Một số phương thức tấn công chủ động
–
–
Đe dọa (Threat)
– 2.2. Rủi ro và đánh giá rủi ro cho hệ thống thông tin
Lỗ hổng (Vulnerability)
•
•
•
2.2.1. Khái niệm rủi ro của hệ thống
2.2.2. Xác định rủi ro và đánh giá
2.2.3. Các chiến lược và phương thức kiểm soát rủi ro
– 2.2. Các hình thức tấn công vào HTTT DN ở Việt Nam hiện nay
•
•
•
2.2.1. Tội phạm công nghệ cao ở Việt Nam
2.2.2. Các mối đe dọa đối với HTTT doanh nghiệp
2.2.3. Các kiểu tấn công vào HTTT doanh nghiệp
– 2.3. Những xu hướng tấn công trong tương lai
•
•
•
2.3.1. Xu hướng tấn công bằng kỹ thuật
2.3.2. Xu hướng tấn công phi kỹ thuật
2.3.3. Xu hướng tấn từ các phương tiện truyền thông xã hội
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
53
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
54
Bài giảng: An toàn bảo mật thông tin
9
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Source code: mã nguồn
• Programmer: lập trình viên
• Software component: thành phần phần mềm
• Program version: phiên bản chương trình
• Systems: các hệ thống
• Networks: các mạng
• Security flaw: khiếm khuyết an ninh
• Vulnerability: lỗ hổng an ninh
• Exploit: khai thác lỗ hổng an ninh
• System integrator: nhân viên tích hợp hệ thống
• System administrator: nhân viên quản trị hệ thống
• Network administrator: nhân viên quản trị mạng
• Security analyst: nhân viên phân tích an ninh
• Vulnerability analyst: nhân viên phân tích lỗ hổng an
ninh
56
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
55
57
59
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
• Artifact analyst: nhân viên phân tích hiện vật.
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Kịch bản
. Thu thập thông tin
. Thu thập các thông tin xa hơn
. Tấn công
7 bước cơ bản của một cuộc tấn công hiện nay
. Xâm nhập thành công
. Vui vẻ và bổ ích
Ba kiểu phổ biến
. Thu thập thông tin
1. Thăm dò
2. Tìm hiểu và quét hệ thống
3. Chiếm quyền
4. Duy trì điều khiển, khai thác
5. Xóa dấu vết và kết thúc
.
Khai thác lỗ hổng
. Tấn công từ chối dịch vụ (Dos)
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
58
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
• Tấn công thụ động
– Khái niệm
– Đặc điểm
– Các phương thức thực hiện
– Ngăn chặn
– Môi trường
Nghe trộm đường truyền
Dữ liệu truyền từ Bob ‐> Alice , Darth nghe trộm được nhưng không thay đổi dữ
liệu
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
60
Bài giảng: An toàn bảo mật thông tin
10
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Phân tích lưu lượng
Dữ liệu truyền từ Bob ‐> Alice (Dữ liệu đã mã hóa), Darth lấy được dữ liệu
nhưng không hiểu ‐> phân tích luồng thông tin để phán đoán
‐ Mạng LAN
‐ Mạng không dây (Wireless LAN)
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
61
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
62
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
• Tấn công chủ động
– Khái niệm
– Đặc điểm
– Các phương thức thực hiện
– Ngăn chặn
– Môi trường
Giả mạo
Darth giả mạo thông điệp của Bob rồi gửi cho Alice, Chỉ áp
dụng với mạng bảo mật kém, không có mã hóa hay xác thực
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
63
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
64
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Tấn công làm trễ
Thay đổi thông điệp
Darth lấy được 1 gói tin từ Bob, đợi 1 thời gian nào đó rồi gửi
lại cho Alice
Thông điệp từ Bob bị Darth chặn lại, sửa đổi rồi mới gửi lại cho Alice
=> Alice không biết thông điệp đã bị sửa đổi
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
65
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
66
Bài giảng: An toàn bảo mật thông tin
11
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
• Một số công cụ và kỹ thuật hỗ trợ tấn
công:
• Tấn công DoS
– Khái niệm
– Công cụ quét lỗ hổng (Vulnerability scanners)
– Công cụ quét cổng dịch vụ (Port scanners)
– Công cụ nghe lén (Sniffers)
– Đặc điểm
– Phân loại
– Phòng tránh
– Khắc phục
– Công cụ ghi phím gõ (Keyloggers)
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
67
69
71
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
68
70
72
DoS
DDoS
‐ Kẻ tấn công tìm cách chiếm
dụng và điều khiển nhiều máy
tính hoặc mạng máy tính
trung gian
Từ nhiều nơi đồng loạt gửi
rất lớn
Mục đích chiếm dụng tài
nguyên, làm quá tải đường
truyền của một mục tiêu xác
định nào đó.
• Hàng loạt Client gửi
request đến Server
• Server không reply
được do nghẽn đường
truyền
• => DoS cổ điển
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
RDoS
Tóm tắt các kiểu DDoS
-
•
Attacker => chiếm quyền điểu
khiển các Master
Các Master => chiếm quyền điểu
khiển các Slave => các Master sẽ
yêu cầu Slave gửi các gói tin =>
các Reflector
-
-
Các gói tin không có địa chỉ máy
gửi chỉ có địa chỉ máy nhận.
Reflector nhận các gói tin => trả
lời theo địa chỉ trong gói tin => vô
tình trở thành kẻ trung gian tiếp
tay => tấn công từ chối dịch vụ
vào Victim
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bài giảng: An toàn bảo mật thông tin
12
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 2:
CÁC NGUY CƠ TRONG HỆ THỐNG
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
• Các kiểu tấn công phổ biến hiện nay
– Tấn công bằng mã độc
– Tấn công vào các loại mật khẩu
– Tấn công từ chối dịch vụ
– Tấn công giả mạo địa chỉ, nghe trộm
– Tấn công kiểu phát lại và người đứng giữa
– Tấn công bằng bom thư và thư rác
– Tấn công sử dụng cửa hậu Trojan
– Tấn công kiểu Social Engineering
– Tấn công phising, pharming
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
73
75
77
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
74
76
78
Chương 2:
Bản đồ lây nhiễm mã độc và virus trên thế
giới quý III/2016
Các hình thức tấn công và rủi ro của hệ thống
Tổng quan về tấn công hệ thống thông tin
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Chương 2: Các hình thức tấn công và rủi ro của hệ thống
Rủi ro và đánh giá rủi ro cho HTTT (ISO 27001:2013)
TCVN ISO/IEC XXXX:2012
Việt Nam trên bản đồ tấn công năm 08/2017
• Khái niệm
• Các mức độ ảnh hưởng
– Mức thấp
– Mức trung bình
– Mức cao
– Mức cực cao
• Nhận diện rủi ro
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bài giảng: An toàn bảo mật thông tin
13
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 2: Các hình thức tấn công và rủi ro của hệ thống
Rủi ro và đánh giá rủi ro cho HTTT (ISO 27001:2013)
TCVN ISO/IEC XXXX:2012
Chương 2: Các hình thức tấn công và rủi ro của hệ thống
Rủi ro và đánh giá rủi ro cho HTTT (ISO 27001:2013)
TCVN ISO/IEC XXXX:2012
ISMS và quy trình quản lý rủi ro an toàn thông tin (ISRM)
• Cấu trúc tiêu chuẩn ISO/IEC 27001: 2013
gồm 07 điều khoản chính
Quy trình ISMS
Quy trình quản lý rủi ro an toàn thông tin
Thiết lập ngữ cảnh
– Điều khoản 4 - Phạm vi tổ chức
– Điều khoản 5 - Lãnh đạo
– Điều khoản 6 - Lập kế hoạch
Đánh giá rủi ro
Chấp nhận rủi ro
Lập kế hoạch
– Điều khoản 7 - Hỗ trợ
– Điều khoản 8 - Vận hành hệ thống
– Điều khoản 9 - Đánh giá hiệu năng hệ thống
Thực hiện
Kiểm tra
Triển khai kế hoạch xử lý rủi ro
Liên tục giám sát và soát xét rủi ro
Hành động
Duy trì và cải tiến QT quản lý rủi ro an toàn thông tin
– Điều khoản 10 - Cải tiến hệ thống theo nguyên
tắc P-D-C-A (Plan – Do – Check – Action)
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
79
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
80
Chương 2: Các hình thức tấn công và rủi ro của hệ thống
Chương 2: Các hình thức tấn công và rủi ro của hệ thống
Triển khai hệ thống ISMS (ISO 27001:2013)
Rủi ro và đánh giá rủi ro cho HTTT (ISO 27001:2013)
TCVN ISO/IEC XXXX:2012
• Đánh giá rủi ro
– Nhận biết rủi ro
• Quy trình triển khai ISMS ở Việt Nam
– Bước 1: Khảo sát và lập kế hoạch
• Xác định nguyên nhân, nguồn phát sinh rủi ro
• Các tài sản trong phạm vi đã được thiết lập
• Các mối đe dọa, các lỗ hổng
– Bước 2: Xác định phương pháp quản lý rủi ro
• Các biện pháp, các kế hoạch triển khai xử lý rủi ro
• Các hậu quả
– Phân tích rủi ro
– Bước 3: Xây dựng hệ thống đảm bảo ATTT tại
đơn vị
• Phương pháp phân tích rủi ro
•
•
Đánh giá các hậu quả
Đánh giá khả năng xảy ra sự cố
– Bước 4: Triển khai áp dụng
– Bước 5: Đánh giá nội bộ
• Xác định mức độ rủi ro
– Ước lượng rủi ro
• DS các rủi ro cùng với các mức độ giá trị được định rõ và các
tiêu chí ước lượng rủi ro
• Các tiêu chí ước lượng rủi ro và các tiêu chí chấp nhận rủi ro
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
81
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
82
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Kiểm soát rủi ro cho HTTT (ISO 27001:2013)
Các hình thức tấn công và rủi ro của hệ thống
Các hình thức tấn công vào HTTT hiện nay
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
83
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
84
Bài giảng: An toàn bảo mật thông tin
14
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Các hình thức tấn công vào HTTT hiện nay
Các hình thức tấn công và rủi ro của hệ thống
Các hình thức tấn công vào HTTT hiện nay
• Tội phạm công nghệ cao ở Việt Nam
– Khái niệm
– Thực trạng
– Giải pháp
– Xu hướng
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
85
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
86
88
90
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Các hình thức tấn công vào HTTT hiện nay
Thực trạng ở Việt Nam
– Theo báo cáo của VNCERT, trong năm 2015, đơn vị này đã
ghi nhận được 5.898 sự cố lừa đảo (Phishing), 8.850 sự cố
thay đổi giao diện (Deface), 16.837 sự cố mã độc (Malware)
đã cảnh báo và khắc phục được 3.885 sự cố
VNCERT cũng ghi nhận 1.451.997 lượt địa chỉ IP cả nước
bị nhiễm mã độc và nằm trong các mạng Botnet trong đó
gửi cảnh báo cho 3.779 lượt địa chỉ IP của các cơ quan nhà
nước; điều phối, yêu cầu ngăn chặn 7.540 địa chỉ máy chủ
điều khiển mạng Botnet và bóc gỡ mã độc tại 1.200.000 địa
chỉ IP tại các máy bị nhiễm thuộc quản lý của các doanh
nghiệp ISP.
Các hình thức tấn công và rủi ro của hệ thống
Các kiểu tấn công hệ thống thông tin
•
–
– VNCERT phối hợp với các tổ chức quốc tế xử lý và ngăn
chặn 200 website giả mạo (giả mạo giấy phép do Bộ TT&TT
cấp, giả mạo webmail của VNN, VDC, giả mạo website
Ngân hàng Nhà nước…)
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
87
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Các hình thức tấn công vào HTTT hiện nay
Các hình thức tấn công và rủi ro của hệ thống
Các xu hướng tấn công bằng kỹ thuật
– Tấn công bị động (Passive attack)
– Tấn công rải rác (Distributed attack)
– Tấn công Phishing
– Tấn công các hệ thống điều phối sân bay (Hijack
attack)
– Tấn công khai thác (Exploit attack)
– Tấn công gây tràn bộ đệm (Buffer overflow attack)
– Tấn công từ chối dịch vụ ( Denial of service attack)
– Tấn công kiểu người đứng giữa - Man-in-the-Middle
Attack
– Tấn công phá mã khóa (Compromised-Key Attack)
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
89
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bài giảng: An toàn bảo mật thông tin
15
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 2:
Chương 2:
Các hình thức tấn công và rủi ro của hệ thống
Các xu hướng tấn công phi kỹ thuật
Các hình thức tấn công và rủi ro của hệ thống
Xu hướng từ các phương tiện truyền thông xã hội
– Tấn công bị động (Passive attack)
• Phát tán mã độc
• Lừa đảo
– Tấn công dựa vào kỹ năng xã hội (Social
Engineering attack)
• Giả mạo
– Giả mạo (Impersonation)
– Tấn công vào yếu tố con người
– …
• Đánh cắp thông tin cá nhân
• Bêu xấu, vu khống và làm hại đến uy tín của cá
nhân và tổ chức
• …
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
91
93
95
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
92
Chương 2:
Tham khảo:
Các hình thức tấn công và rủi ro của hệ thống
Các xu hướng tấn công năm 2017
Một số hướng bảo mật của nhà cung cấp dịch vụ hiện nay
• 1. Mã độc tống tiền (ransomware).
• 2. Dựa trên các dịch vụ mạng xã hội
• 3. Khai thác và tấn công từ các thiết bị IoT
• 4. Tấn công vào hệ thống hạ tầng và cơ quan
của chính phủ
• 5. Tấn công vào các website
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
94
Một số hướng bảo mật của nhà cung cấp dịch vụ
hiện nay
Check point
ORACLE
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
96
Bài giảng: An toàn bảo mật thông tin
16
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Xác thực đa nhân tố trong HT Ibanking
HP
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
97
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
98
Chương 3:
Các phương pháp phòng tránh và phục hồi
Câu hỏi chương 2
•
Tấn công là gì? Phân loại các kiểu tấn công vào hệ thống thông
– 3.1. Các phương thức phòng tránh
• 3.1.1. Phòng tránh mức vật lý
tin?
•
•
•
Tấn công thụ động là gì? Đặc điểm và phương thức thực hiện?
Tấn công chủ động là gì? Đặc điểm và phương thức thực hiện?
Rủi ro của hệ thống là gì? Trình bày cách xác định và đánh giá
rủi ro của HTTT theo chuẩn ISO 27005:2013?
Các bước triển khai hệ thống ISMS ở Việt Nam?
Các hình thức tấn công vào HTTT hiện nay?
Vì sao càng ngày các hình thức tấn công càng tinh vi và khó
phát hiện?
Các xu hướng tấn công bằng kỹ thuât?
Các xu hướng tấn công phi kỹ thuật?
Nhưng chúng có những nguy cơ của các cá nhân và tổ chức khi
tham gia sử dung các phương tiện truyền thông xã hội?
• 3.1.2. Phòng tránh mức hệ điều hành và mạng
• 3.1.3. Phòng tránh mức dữ liệu
• 3.1.4. Phòng tránh bằng chính sách và giáo dục
•
•
•
• 3.2.1. Các khái niệm liên quan đến mã hóa
• 3.2.2. Thuật toán mã hóa và các ứng dụng
• 3.2.3. Các thuật toán mã hóa đối xứng
• 3.2.4. Các thuật toán mã hóa không đối xứng
•
•
•
– 3.3. Một số biện pháp phục hồi
• 3.3.1. Biện pháp phục hồi dữ liệu văn bản
• 3.3.2. Biện pháp phục hồi dữ liệu phi văn bản
• 3.3.3. Biện pháp phục hồi hệ thốn
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
99
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
100
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh và phục hồi
Quy trình chung để phòng tránh và phục hồi
Thẩm định rủi ro của hệ thống
•
Quy trình chung
• Bước 1: Thành lập bộ phận chuyên trách
• Bước 2: Thu thập thông tin
• Bước 3: Thẩm định tính rủi ro của hệ thống
• Bước 4: Xây dựng giải pháp
• Bước 5: Thực hiện và giáo dục
• Bước 6: Tiếp tục kiểm tra, phân tích và thực hiện
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
101
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
102
Bài giảng: An toàn bảo mật thông tin
17
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh và phục hồi
Quy trình hoạt động của hệ thống bảo mật
Chiến lược chung khi thực hiện
• Giới hạn quyền hạn tối thiểu (Least Privilege)
• Bảo vệ theo chiều sâu (Defence In Depth)
• Kiểm soát các nút thắt (Choke Points)
• Phát hiện điểm nối yếu nhất (Weakest Link)
• Giải pháp toàn cục (Global Integrated)
• Sử dụng đa dạng bảo vệ (Diversified protection)
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
103
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
104
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh và phục hồi
Các phương thức phòng tránh
Các phương thức phòng tránh vật lý
• Phòng tránh mức vật lý
– Sử dụng hệ thống các thiết bị vật lý
– Sử dụng các thiết bị dò tìm và báo động
– Các biện pháp vật lý thông dụng
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
105
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
106
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh và phục hồi
Các phương thức phòng tránh
Các phương thức phòng tránh
• Phòng tránh mức hệ điều hành và mạng
– Sử dụng Firewall
– Sử dụng hệ thống kiểm tra xâm nhập mạng (IDS)
– Sử dụng mạng riêng ảo (VPN)
– Sử dụng phần mềm Anti-Virus (AV)
– Bảo mật đường truyền
– Các thế hệ thẻ thông minh
– Kiểm tra máy chủ và các ứng dụng
– Kiểm soát các hệ điều hành
Jan 3, 2017 by Matt Mansfield In Technology Trends
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
107
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
108
Bài giảng: An toàn bảo mật thông tin
18
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh: bảo mật kênh truyền
Các phương pháp phòng tránh và phục hồi
Phòng tránh mức HĐH và mạng của IBM
So sánh EV, DV và OV qua các trình duyệt
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
109
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
110
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh: Hệ thống IPS
Các phương pháp phòng tránh: Hệ thống DMZ
De‐Militarized Zone
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
111
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
112
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh và phục hồi
Các phương thức phòng tránh
Phòng tránh mức dữ liệu: Quyền người dùng
• Phòng tránh mức dữ liệu
– Phân quyền người dùng
– Sử dụng các chương trình bảo mật riêng
– Sử dụng các chương trình antivirus, anti
spyware
– Mã hóa dữ liệu
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
113
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
114
Bài giảng: An toàn bảo mật thông tin
19
Bộ môn CNTT ‐ Khoa HTTT Kinh tế & TMĐT
8/7/2017
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh và phục hồi
Phòng tránh bằng chính sách và giáo dục
Phòng tránh bằng mã hóa
• Bổ sung và sửa đổi các luật, nghị định, thông tư
• Khái niệm mã hóa
• Xây dựng chính sách đảm bảo an toàn thông tin
cho tổ chức
• Mục đích của việc mã hóa
• Quy trình mã hóa
• Tuyên truyền và giáo dục
• Nhắc nhở và thực hiện
• Ứng dụng của mã hóa
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
115
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
116
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh và phục hồi
Phòng tránh bằng mã hóa
Các thuật ngữ trong mã hóa
• Plaintext: Bản rõ, bản gốc, nội dung thông điệp gốc
• Cipertext: Bản mã, bản mật, bản kết quả sau khi mã hóa
• Encryption: Mật mã hóa, mã hóa, quá trình chuyển bản
rõ thành bản mã
• Decryption: Giải mã, quá trình biến đổi bản mã thành
bản rõ
• Cryptosystem: Hệ mã, hệ mã hóa
• Cryptanalysis: Phá mã, quá trình cố gắng chuyển đổi
bản mật thành bản rõ mà không có khóa
• Không gian khóa (Keyspace) : tổng số khóa có thể có
của một hệ mã hóa
• Hàm băm (Hash function)
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
117
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
118
Chương 3:
Chương 3:
Các phương pháp phòng tránh và phục hồi
Các phương pháp phòng tránh và phục hồi
Các yêu cầu đối với hệ mã hóa
Các biện pháp phá mã phổ biến
• Yêu cầu với hệ mã hóa
– (1) Tính hỗn loạn (Confusion):
– (2) Tính khuếch tán (Diffusion):
– Nguyên lý Kerckhoff:
• Phá mã là gì?
• Các biện pháp phá mã phổ biến
– Vét cạn
•
“Tính an toàn của một hệ mã hoá không nên phục thuộc vào
việc giữ bí mật giải thuật mã hoá, mã chỉ nên phục thuộc vào
việc giữ bí mật khoá mã”.
• Thử tất cả các khả năng có thể có của khóa
– Thám mã
• Độ an toàn của hệ mã hóa
– An toàn vô điều kiện
– An toàn tính toán
• Dựa trên các lỗ hổng và điểm yếu của giải thuật
mã hóa
– Thực tế thỏa mãn hai điều kiện
Không có nhược điểm
Khóa có quá nhiều giá trị không thể thử hết được
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
119
Bộ môn CNTT - Khoa HTTT Kinh tế & TMĐT
120
Bài giảng: An toàn bảo mật thông tin
20
Tải về để xem bản đầy đủ
31 trang
19921
Free
Bạn đang xem 20 trang mẫu của tài liệu "Bài giảng An toàn và bảo mật thông tin", để tải tài liệu gốc về máy hãy click vào nút Download ở trên
File đính kèm:
- bai_giang_an_toan_va_bao_mat_thong_tin.pdf
