10 lỗi thiết kế bảo mật
mạng thường gặp
Quản trị mạng – Có thể cho
rằng bảo mật mạng là một
trong những chức năng quan
trọng nhất của CNTT. Tuy
nhiên đôi khi chúng ta lại bắt gặp một số tổ chức bỏ sót
những thao tác thiết kế bảo mật tuy đơn giản nhưng lại rất cần
thiết. Vậy những lỗi mà các công ty này mắc phải là gì, trong
bài này chúng tôi sẽ giới thiệu cho các bạn một số lỗi thường
gặp phải và hậu quả của nó là có thể gây ra sự thỏa hiệp cho
mạng của bạn cũng như đặt công ty rơi vào tình trạng rủi ro
cao.
1. Thiết lập nhưng sau đó bỏ quên
Lỗi đầu tiên mà chúng tôi muốn chỉ ra cho các bạn là việc lập
kế hoạch. Nó liên quan đến những gì mà chúng ta có thể mô
tả qua cụm từ “thiết lập nhưng sau đó bỏ quên”. Đây là
những gì xảy ra khi các tổ chức chỉ chuyên tâm vào việc bảo
vệ các mạng của họ mà quên đánh giá lại các kế hoạch bảo
mật. Những hiểm họa đối với vấn đề bảo mật thường thay đổi
nhanh do đó kiến trúc bảo mật của bạn cũng cần phải thay đổi
theo sao cho phù hợp. Cách tốt nhất để thực hiện điều này là
phải đánh giá lại những nhu cầu bảo mật của công ty theo một
cơ sở nào đó.
2. Mở quá nhiều cổng tường lửa so với cần thiết
Tất cả chúng ta đều biết rằng, việc mở nhiều cổng quá mức
cần thiết sẽ có nhiều tác hại, tuy nhiên đôi khi việc mở cổng
là không thể tránh khỏi. Cho ví dụ, lấy một máy chủ
Microsoft Office Communications Server 2007 R2. Nếu bạn
đang lên kế hoạch để cung cấp sự truy cập bên ngoài, khi đó
một số cổng cần phải được mở. Thêm vào đó OCS 2007 R2
sẽ gán một dải rộng các cổng mang tính động. Vậy các quản
trị viên bảo mật cần làm gì trong trường hợp này?
Một trong những giải pháp tốt nhất là sử dụng một reverse
proxy (ví dụ như ForeFront Threat Management Gateway
của Microsoft). Một reverse proxy sẽ đứng giữa Internet và
máy chủ yêu cầu mở nhiều cổng khác nhau. Khi không thấy
được nhu cầu cần thiết mở cổng, reverse proxy có thể chặn và
lọc các yêu cầu, sau đó chuyển chúng máy chủ mà chúng
được dự định gửi đến. Điều này sẽ làm ẩn máy chủ đối với
thế giới bên ngoài và giúp bảo vệ mạng của bạn tránh được
các yêu cầu mã độc.
3. Hoạt động quá công suất
Với hiện trạng nền kinh tế thế giới đang suy thoái, sức ép đối
với các tài nguyên máy chủ đang tồn tại ngày càng tăng. Một
máy chủ có thể phải cấu hình nhiều ứng dụng cũng như nhiều
role ứng dụng. Tuy cách thức tiến hành này không tồi nhưng
có một vấn đề mà chúng ta cần biết là khi kích thước của mã
ứng dụng tăng thì nguy cơ xuất hiện các lỗ hổng có khả năng
khai thác cũng tăng lên.
Việc sử chỉ sử dụng một máy chủ chuyên dụng cho một ứng
dụng là không thực tế, bạn cần phải quan tâm về các ứng
dụng nào hoặc các role ứng dụng nào nên được cấu hình trên
một máy chủ riêng. Cho ví dụ, để giảm tối thiểu, một máy
chủ Exchange 2007 yêu cầu đến ba server roles (hub
transport, client access và mailbox server). Tuy bạn có thể
host tất cả ba role này trên cùng một máy chủ nhưng nên
tránh thực hiện điều đó nếu cung cấp Outlook Web Access
cho người dùng bên ngoài. Client Access Server role sẽ có
hiệu lực cho IIS trong việc cấu hình Outlook Web Access.
Chính vì vậy, nếu đặt client access server role trên cùng máy
chủ như hub transport và mailbox server roles của mình thì
chắc chắn bạn sẽ phơi bày cơ sở dữ liệu mailbox của mình
trên Internet.
4. Bỏ qua các máy trạm
Có người hỏi rằng, mối đe dọa lớn nhất đối với bảo mật mạng
là gì. Câu trả lời của chúng tôi ở đây chính là các máy trạm
(workstation). Chúng ta có thể thấy được rất nhiều tổ chức lỗ
nực trong việc bảo mật mạng nhưng thực tế lại bỏ quên mất
các máy trạm của họ. Trừ khi các máy trạm được bảo vệ một