07/01/2018
1
TỔNG QUAN VỀ
AN TOÀN HỆ THỐNG THÔNG TIN
(OVERVIEW OF INFORMATION SYSTEMS SECURITY)
Giáo viên: Nguyễn ThịHạnh
Nguyễn Thị Hạnh
Nội dung
1. An toàn hệthống thông tin
2. Mục tiêu an toàn toàn hệthống thông tin
3. Các tấn công an toàn hệthống thông tin
4. Các bước cơ bản an toàn hệ thống thông tin
5. Sự cần thiết của An toàn HTTT đối với cá nhân, tổchức, và xã
hội
6. Pháp luật vềan toàn hệthống thông tin
Nguyễn Thị Hạnh
07/01/2018
2
1. An toàn hê thống thông tin
˗Information systems Security
˗Bao hàm một lĩnh vực rộng lớn các hoạt động trong một tổ
chức.
˗Nó bao gồm cả những sản phẩm và những quy trình nhằm
ngăn chặn việc truy cập trái phép, hiệu chỉnh, xóa, phá
hủy, làm lộ và làm gián đoạn thông tin và hoạt động của hệ
thống một cách trái phép.
Nguyễn Thị Hạnh
2. Mục tiêu an toàn thông tin
˗Ba khái niệm:
Tính bảo mật (Confidentiality),
Tính toàn vẹn(Integrity) và
Tính sẳn dùng (Availability)
hình thành mộtTam giác bảo
mật CIA (CIA triad).
˗Ba khái niệm thểhiện các mục
tiêu cốt lỗi an toàn cho cảthông
tin và dịch vụcủa hệthống
Nguyễn Thị Hạnh
07/01/2018
3
2. Mục tiêu an toàn thông tin
˗Tính bí mật (Confidentiality):
Che dấu nội dung hoặc sự tồn tại dữ liệu, thông tin và tài nguyên
Một hệ thống an toàn sẽ đảm bảo sự bí mật của dữ liệu. Có nghĩa là
nó chỉ cho phép những các cá nhân hợp pháp được xem những dữ
liệu hợp
Ví dụ: Trong hệ thống thông tin ngân hàng, chỉ có chủ tài khoản hoặc
người được ủy quyền mới được phép xem thông tin tài khoản và thực
hiện giao dịch trên tài khoản đó. Người thân cũng không thể xem được
thông tin của tài khoản đó.
Nguyễn Thị Hạnh
2. Mục tiêu an toàn thông tin
˗Tính toàn vẹn (Integrity):
Chỉ những người dùng được ủy quyền mới được phép chỉnh sửa dữ
liệu.
Ví dụ: Trong hệ thống thông tin ngân hàng, bản thân chủ tài khoản
cũng không thể tự tiện thay đổi thông tin tài khoản (như địa chỉ, số
điện thoại,..) trừ khi chủ tài khoản có phiếu yêu cầu và
Nguyễn Thị Hạnh
07/01/2018
4
2. Mục tiêu an toàn thông tin
˗Tính sẵn dùng (Availability):
Cho phép truy cập dữ liệu và tài nguyên ở mọi lúc.
Đảm bảo dữ liệu luôn sẵn sàng được truy cập bởi những người dùng
hợp pháp, không bị trì hoãn.
Denial-of-service là một hình thức tấn công làm mất đi tính sẵn sàng
của dữ liệu.
Ví dụ: Trong hệ thống quản lý thông tin ngân hàng, cần đảm bảo rằng
chủ tài khoản có thể truy vấn/giao dịch thông tin tài khoản của mình bất
cứ lúc nào.
Nguyễn Thị Hạnh
2. Mục tiêu an toàn thông tin
˗Bên cạnh bộba CIA, trong lĩnh vực an toàn còn khái niệm quan
trọng cần có:
Tính chống thoái thác (Non-repudiation): Khả năng ngăn chặn việc
từ chối một hành vi đã làm.
Ví dụ: Trong hệ thống ngân hàng, có khả năng cung cấp bằng chứng
để chứng minh một hành vi khách hàng đã thực hiện, như giao dịch
thanh toán, giao dịch chuyển khoản....
Nguyễn Thị Hạnh
07/01/2018
5
3. Các tấn công an toàn thông tin
˗Có thểphân hai loại chính:
Tấn công thụ động (passive attacks): cốgắng tìm hiểu hoặc sử
dụng thông tin từhệthống nhưng không ảnh hưởng đến tài nguyên hệ
thống.
Tấn công chủ động (active attacks): cốgắng để thay đổi tài nguyên
hệthống hoặcảnh hưởng đến hoạtđộng của hệthống.
Nguyễn Thị Hạnh
3.1 Tấn công thụ động
˗Các tấn công thụ động thực chất là nghe lén, hoặc giám sát
việc trao đổi thông tin. Mục tiêu củađối phương là thu thập
thông tin đang được trao đổi.
˗Hai loại tấn công thụ động là (a) xem trộm thông tin; (b) Phân
tích lưu lượng
˗Các tấn công thụ động rất khó phát hiện bởi vì chúng không
làm sai lệch hoặc hủy hoại thông tin trao đổi, nhưng có thểcó
những biện pháp ngăn chặn hiệu quả.
Nguyễn Thị Hạnh